ARREST VAN HET HOF (Derde kamer)
11 december 2019 (*)
[Zoals gewijzigd bij beschikking van 13 februari 2020]
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Handvest van de grondrechten van de Europese Unie – Artikelen 7 en 8 – Richtlijn 95/46/EG – Artikel 6, lid 1, onder c), en artikel 7, onder f) – Toelaatbaarheid van de verwerking van persoonsgegevens – Nationale regeling die videobewaking toestaat ter waarborging van de veiligheid en bescherming van personen, goederen en waardevolle voorwerpen en de behartiging van gerechtvaardigde belangen, zonder toestemming van de betrokkene – Installatie van een videobewakingssysteem in de gemeenschappelijke ruimten van een voor bewoning bestemd gebouw”
In zaak C‑708/18,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Tribunal Bucureşti (rechter in eerste aanleg Boekarest, Roemenië) bij beslissing van 2 oktober 2018, ingekomen bij het Hof op 6 november 2018, in de procedure
TK
tegen
Asociaţia de Proprietari bloc M5A-ScaraA,
wijst
HET HOF (Derde kamer),
samengesteld als volgt: A. Prechal (rapporteur), kamerpresident, L. S. Rossi, J. Malenovský, F. Biltgen en N. Wahl, rechters,
advocaat-generaal: G. Pitruzzella,
griffier: A. Calot Escobar,
gezien de stukken,
gelet op de opmerkingen van:
– de Roemeense regering, vertegenwoordigd door C.‑R. Canţăr, O.‑C. Ichim en A. Wellman als gemachtigden,
– de Tsjechische regering, vertegenwoordigd door M. Smolek, J. Vláčil en O. Serdula als gemachtigden,
– de Deense regering, vertegenwoordigd door J. Nymann-Lindegren, M. Wolff en P. Z. L. Ngo als gemachtigden,
– [Zoals gewijzigd bij beschikking van 13 februari 2020] Ierland, vertegenwoordigd door M. Browne, G. Hodge en A. Joyce als gemachtigden, bijgestaan door D. Fennelly, BL,
– de Oostenrijkse regering, aanvankelijk vertegenwoordigd door G. Hesse en J. Schmoll, vervolgens door J. Schmoll als gemachtigden,
– de Portugese regering, vertegenwoordigd door L. Inez Fernandes, P. Barros da Costa, L. Medeiros, I. Oliveira en M. Cancela Carvalho als gemachtigden,
– de Europese Commissie, vertegenwoordigd door H. Kranenborg, D. Nardi en L. Nicolae als gemachtigden,
gelet op de beslissing, de advocaat-generaal gehoord, om de zaak zonder conclusie te berechten,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 6, lid 1, onder e), en artikel 7, onder f), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), en de artikelen 8 en 52 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”).
2 Dit verzoek is ingediend in het kader van een geding tussen TK en Asociaţia de Proprietari bloc M5A-ScaraA (vereniging van eigenaars van gebouw M5A-trappenhuis A, Roemenië; hierna: „vereniging van eigenaars”) over het verzoek van TK om deze vereniging te gelasten het videobewakingssysteem van dat gebouw uit te schakelen en de in de gemeenschappelijke ruimten geïnstalleerde camera’s te verwijderen.
Toepasselijke bepalingen
Unierecht
3 Richtlijn 95/46 is met ingang van 25 mei 2018 ingetrokken bij en vervangen door verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 2016, L 119, blz. 1). Gelet op de datum van de feiten in het hoofdgeding blijven de bepalingen van die richtlijn er echter op van toepassing.
4 Volgens artikel 1 van richtlijn 95/46 had die richtlijn tot onderwerp het waarborgen, in verband met de verwerking van persoonsgegevens, van de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, met name van het recht op persoonlijke levenssfeer, alsmede het opheffen van belemmeringen voor het vrije verkeer van die gegevens.
5 In artikel 3, lid 1, van deze richtlijn was bepaald:
„De bepalingen van deze richtlijn zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.”
6 Afdeling I van hoofdstuk II van voornoemde richtlijn, met als opschrift „Beginselen betreffende de kwaliteit van de gegevens”, bestaande uit artikel 6 ervan, bepaalde:
„1. De lidstaten bepalen dat de persoonsgegevens:
a) eerlijk en rechtmatig moeten worden verwerkt;
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verkregen en vervolgens niet worden verwerkt op een wijze [die] onverenigbaar is met die doeleinden. Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden wordt niet als onverenigbaar beschouwd, mits de lidstaten passende garanties bieden;
c) toereikend, ter zake dienend en niet bovenmatig moeten zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt;
d) nauwkeurig dienen te zijn en, zo nodig, dienen te worden bijgewerkt; alle redelijke maatregelen dienen te worden getroffen om de gegevens die, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt, onnauwkeurig of onvolledig zijn, uit te wissen of te corrigeren;
e) in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is. De lidstaten voorzien in passende waarborgen voor persoonsgegevens die langer dan hierboven bepaald voor historische, statistische of wetenschappelijke doeleinden worden bewaard.
2. Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.”
7 In afdeling II van dat hoofdstuk II, „Beginselen betreffende de toelaatbaarheid van gegevensverwerking”, was artikel 7 van richtlijn 95/46 als volgt verwoord:
„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:
a) de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend, of
b) de verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene, of
c) de verwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de voor de verwerking verantwoordelijke onderworpen is, of
d) de verwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene, of
e) de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag die aan de voor de verwerking verantwoordelijke of de derde aan wie de gegevens worden verstrekt, [...] is opgedragen, of
f) de verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, mits het belang of de fundamentele rechten en vrijheden van de betrokkene die aanspraak maakt op bescherming uit hoofde van artikel 1, lid 1, van deze richtlijn, niet prevaleren.”
Roemeens recht
8 Lege nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (wet nr. 677/2001 betreffende de bescherming van personen in verband met de verwerking van persoonsgegevens en het vrije verkeer van die gegevens) (Monitorul Oficial, deel I, nr. 790 van 12 december 2001), zoals gewijzigd bij wet nr. 102/2005 en noodverordening van de regering nr. 36/2007, die ratione temporis van toepassing is op het hoofdgeding, was vastgesteld ter omzetting van richtlijn 95/46 in Roemeens recht.
9 Artikel 5 van deze wet bepaalde:
„1. Verwerking van persoonsgegevens kan alleen plaatsvinden als de betrokken persoon zijn uitdrukkelijke en ondubbelzinnige toestemming voor deze verwerking heeft gegeven, tenzij het gaat om gegevens die behoren tot de in artikel 7, lid 1, en de artikelen 8 en 10 genoemde categorieën.
2. In de volgende gevallen is geen toestemming van de betrokkene vereist:
a) wanneer de verwerking noodzakelijk is voor de uitvoering van een overeenkomst of voorovereenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst of voorovereenkomst maatregelen te nemen;
b) wanneer de verwerking noodzakelijk is voor de bescherming van het leven, de lichamelijke integriteit of de gezondheid van de betrokken persoon of van een andere bedreigde persoon;
c) wanneer de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting van de voor de verwerking verantwoordelijke;
d) wanneer de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of ziet op de uitoefening van openbaar gezag dat aan de voor de verwerking verantwoordelijke of de derde aan wie de gegevens worden verstrekt is opgedragen;
e) wanneer de verwerking noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of de derde aan wie de gegevens worden verstrekt, mits dat belang geen afbreuk doet aan het belang of de fundamentele rechten en vrijheden van de betrokkene;
f) wanneer de verwerking betrekking heeft op gegevens uit documenten die voor het publiek toegankelijk zijn, in overeenstemming met de wet;
g) wanneer de verwerking wordt uitgevoerd voor uitsluitend statistische doeleinden, dan wel historisch of wetenschappelijk onderzoek, en de gegevens gedurende de gehele verwerking anoniem blijven.
3. De bepalingen van lid 2 doen geen afbreuk aan de wettelijke bepalingen inzake de verplichting van de overheid om het intieme, gezins- en privéleven te eerbiedigen en te beschermen.”
10 Besluit nr. 52/2012 van de Autoritate Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (nationale autoriteit voor het toezicht op de verwerking van persoonsgegevens, Roemenië; hierna: „ANSPDCP”) betreffende de verwerking van persoonsgegevens door gebruik van videobewakingsmiddelen, bepaalde, in de op het hoofdgeding toepasselijke versie, in artikel 1:
„Het verzamelen, registreren, opslaan, gebruiken, overdragen, openbaar maken of op enige andere wijze verwerken van videobewakingsbeelden die het mogelijk maken om natuurlijke personen direct of indirect te identificeren, is een handeling waarbij persoonsgegevens worden verwerkt die binnen de werkingssfeer van [wet nr. 677/2001] valt.”
11 Artikel 4 van dat besluit bepaalde:
„Videobewaking kan hoofdzakelijk voor de volgende doeleinden worden aangewend:
a) het voorkomen en de bestrijding van strafbare feiten;
b) toezicht op het wegverkeer en de vaststelling van schendingen van de verkeersregels;
c) de zorg voor en bescherming van personen, goederen en waardevolle voorwerpen, gebouwen en openbare voorzieningen en de omheiningen daarvan;
d) de uitvoering van maatregelen van algemeen belang of de uitoefening van openbaar gezag;
e) de behartiging van gerechtvaardigde belangen, mits er geen afbreuk wordt gedaan aan de fundamentele rechten en vrijheden van de betrokkenen.”
12 Artikel 5, leden 1 tot en met 3, van voornoemd besluit was als volgt verwoord:
„1. Er kan gebruik worden gemaakt van videobewaking op plaatsen en in ruimten die openstaan of bestemd zijn voor het publiek, met inbegrip van toegangswegen die zich op publiek of privaat domein bevinden, onder de bij wet bepaalde voorwaarden.
2. De bewakingscamera’s worden in het zicht geïnstalleerd.
3. Het gebruik van verborgen videobewakingsmiddelen is verboden, behalve in bij wet bepaalde gevallen.”
13 Artikel 6 van hetzelfde besluit luidde:
„De verwerking van persoonsgegevens door middel van videobewakingssystemen wordt verricht met de uitdrukkelijke en ondubbelzinnige toestemming van de betrokkene, of in de in artikel 5, lid 2, van wet nr. 677/2001 bedoelde gevallen [...].”
Hoofdgeding en prejudiciële vragen
14 TK woont in een appartement, waarvan hij de eigenaar is, in gebouw M5A. Op verzoek van bepaalde mede-eigenaren van dat gebouw heeft de vereniging van eigenaars tijdens een algemene vergadering van 7 april 2016 besloten om bewakingscamera’s in het gebouw te installeren.
15 Ter uitvoering van dit besluit zijn er drie bewakingscamera’s geïnstalleerd in de gemeenschappelijke ruimten van gebouw M5A. De eerste camera was gericht op de gevel van het gebouw, terwijl de tweede en derde camera waren geplaatst in respectievelijk de hal op de begane grond en de lift van het gebouw.
16 TK heeft zich tegen de installatie van dit videobewakingssysteem verzet, omdat dit een schending van het recht op eerbiediging van het privéleven zou vormen.
17 Na te hebben vastgesteld dat dit systeem in werking bleef ondanks talrijke procedures en de schriftelijke erkenning door de vereniging van eigenaars dat het geïnstalleerde videobewakingssysteem onrechtmatig was, heeft TK beroep ingesteld bij de verwijzende rechter om die vereniging te doen gelasten de drie camera’s te verwijderen en definitief uit te schakelen, op straffe van een dwangsom.
18 TK heeft bij deze rechter betoogd dat het betrokken videobewakingssysteem in strijd was met het primaire en afgeleide Unierecht, in het bijzonder het recht op eerbiediging van het privéleven, en met het nationale recht betreffende het recht op eerbiediging van het privéleven. Verder heeft hij aangegeven dat de vereniging van eigenaars de functie van verantwoordelijke voor de verwerking van persoonsgegevens op zich had genomen zonder de daartoe bij wet vastgelegde registratieprocedure te hebben gevolgd.
19 De vereniging van eigenaars heeft erop gewezen dat er is besloten een videobewakingssysteem te installeren om het komen en gaan in het gebouw zo effectief mogelijk te controleren, vanwege het feit dat de lift meerdere keren was beschadigd en bij verschillende appartementen en in de gemeenschappelijke ruimten inbraak en diefstal hadden plaatsgevonden.
20 Zij heeft ook gepreciseerd dat andere maatregelen die zij eerder had genomen, zoals het installeren van een systeem voor toegang tot het gebouw met intercom en magneetkaart, niet hebben verhinderd dat zich herhaaldelijk soortgelijke voorvallen hebben voorgedaan.
21 De vereniging van eigenaars heeft TK bovendien het proces-verbaal verstrekt dat zij had opgesteld met het bedrijf dat de camera’s van het videobewakingssysteem had geïnstalleerd, waaruit bleek dat de harde schijf van het systeem op 21 oktober 2016 was losgekoppeld en gewist, dat deze buiten werking was gesteld en dat de geregistreerde beelden waren verwijderd.
22 Zij heeft hem ook een ander proces-verbaal verstrekt, van 18 mei 2017, waaruit bleek dat de drie bewakingscamera’s waren verwijderd. Dit proces-verbaal preciseerde dat de vereniging van eigenaars in de tussentijd de procedure had doorlopen om te worden geregistreerd als verantwoordelijke voor de verwerking van persoonsgegevens.
23 TK heeft de verwijzende rechter er echter op gewezen dat de drie bewakingscamera’s nog altijd op hun plaats waren.
24 De verwijzende rechter merkt op dat artikel 5 van wet nr. 677/2001 in het algemeen bepaalde dat verwerking van persoonsgegevens, zoals het registreren van beelden door middel van een videobewakingssysteem, alleen kan plaatsvinden indien de betrokkene zijn uitdrukkelijke en ondubbelzinnige toestemming heeft gegeven. Lid 2 van datzelfde artikel noemde echter een aantal uitzonderingen op die regel, waaronder die waarbij de verwerking van de persoonsgegevens noodzakelijk is voor de bescherming van het leven, de fysieke integriteit of de gezondheid van de betrokkene of van een andere bedreigde persoon. Besluit nr. 52/2012 van de ANSPDCP voorzag in een soortgelijke uitzondering.
25 De verwijzende rechter verwijst vervolgens naar, met name, artikel 52, lid 1, van het Handvest, waarin het beginsel is neergelegd dat er een evenredige verhouding moet bestaan tussen het doel dat wordt nagestreefd met de inmenging in de rechten en vrijheden van de burgers en de daarvoor gebruikte middelen.
26 Volgens deze rechter lijkt het betrokken videobewakingssysteem niet te zijn gebruikt op een wijze die – of met een doel dat – niet overeenkomt met de door de vereniging van eigenaars genoemde doelstelling om het leven, de fysieke integriteit en de gezondheid van de betrokkenen, te weten de mede-eigenaren van het gebouw waarin dit systeem was geïnstalleerd, te beschermen.
27 In deze omstandigheden heeft de Tribunal Bucureşti (rechter in eerste aanleg Boekarest, Roemenië) de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Moeten de artikelen 8 en 52 van het [Handvest] alsmede artikel 7, onder f), van [richtlijn 95/46] aldus worden uitgelegd dat zij zich verzetten tegen nationale bepalingen zoals aan de orde in het hoofdgeding, namelijk artikel 5, lid 2, van [wet nr. 677/2001] en artikel 6 van [besluit nr. 52/2012 van de ANSPDCP], die voorzien in de mogelijkheid van videobewaking om de veiligheid en de bescherming van personen, goederen en waardevolle voorwerpen te garanderen en om gerechtvaardigde belangen te behartigen, zonder toestemming van de betrokken persoon?
2) Moeten de artikelen 8 en 52 van het [Handvest] aldus worden uitgelegd dat de beperking van rechten en vrijheden door middel van videobewaking het evenredigheidsbeginsel in acht neemt en voldoet aan het vereiste dat deze beperking ‚noodzakelijk is’ en daadwerkelijk beantwoordt aan ‚doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen’, wanneer de voor de verwerking verantwoordelijke de mogelijkheid heeft om andere maatregelen te treffen voor de bescherming van het bedoelde gerechtvaardigde belang?
3) Moet artikel 7, onder f), van [richtlijn 95/46] aldus worden uitgelegd dat het ‚gerechtvaardigde belang’ van de voor de verwerking verantwoordelijke bewezen moet zijn en op het moment van verwerking moet bestaan en actueel moet zijn?
4) Moet artikel 6, lid l, onder e), van [richtlijn 95/46] aldus worden uitgelegd dat verwerking (videobewaking) bovenmatig of niet toereikend is wanneer de voor de verwerking verantwoordelijke de mogelijkheid heeft om andere maatregelen te treffen om het betrokken gerechtvaardigde belang te beschermen?”
Beantwoording van de prejudiciële vragen
28 Vooraf moet in de eerste plaats worden vastgesteld dat de verwijzende rechter in zijn vierde vraag weliswaar verwijst naar artikel 6, lid 1, onder e), van richtlijn 95/46, maar geen uitleg geeft over de relevantie van deze bepaling voor de beslechting van het geschil in het hoofdgeding.
29 Voornoemde bepaling betreft namelijk enkel de eisen waaraan het bewaren van persoonsgegevens moet voldoen. Niets in het dossier waarover het Hof beschikt wijst erop dat het hoofdgeding betrekking heeft op dat aspect.
30 Voor zover de verwijzende rechter met deze vraag in wezen wenst te vernemen of de installatie van een videobewakingssysteem, zoals aan de orde in het hoofdgeding, evenredig is ten aanzien van het nagestreefde doel, moet daarentegen worden opgemerkt dat de vraag of de middels dit systeem verzamelde persoonsgegevens voldoen aan het evenredigheidsvereiste betrekking heeft op de uitlegging van artikel 6, lid 1, onder c), van richtlijn 95/46.
31 Laatstgenoemde bepaling moet in aanmerking worden genomen bij de toetsing aan de tweede toepassingsvoorwaarde in artikel 7, onder f), van richtlijn 95/46, volgens welke de verwerking van persoonsgegevens „noodzakelijk” moet zijn voor de behartiging van het gerechtvaardigde belang.
32 In de tweede plaats verwijst de verwijzende rechter in zijn eerste en tweede vraag naar de artikelen 8 en 52 van het Handvest, afzonderlijk beschouwd dan wel in samenhang met artikel 7, onder f), van richtlijn 95/46. Het Hof heeft echter reeds gepreciseerd dat de toetsing aan de in deze bepaling gestelde voorwaarde – omtrent het bestaan van fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon die prevaleren boven het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt – een afweging met zich meebrengt van de aan de orde zijnde tegengestelde rechten en belangen, die afhangt van de bijzondere omstandigheden van een concreet geval en in het kader waarvan rekening moet worden gehouden met het belang van de uit de artikelen 7 en 8 van het Handvest voortvloeiende rechten van de betrokkene (arrest van 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 en C‑469/10, EU:C:2011:777, punt 40). Hieruit volgt dat de artikelen 8 en 52 in het onderhavige geval niet afzonderlijk mogen worden toegepast.
33 Gelet op het voorgaande moet worden aangenomen dat de verwijzende rechter met zijn vragen, die gezamenlijk dienen te worden onderzocht, in essentie wenst te vernemen of artikel 6, lid 1, onder c), en artikel 7, onder f), van richtlijn 95/46, gelezen in het licht van de artikelen 7 en 8 van het Handvest, aldus moeten worden uitgelegd dat zij zich verzetten tegen nationale bepalingen die toestaan dat er zonder toestemming van de betrokkenen een videobewakingssysteem wordt opgezet, zoals het systeem in het hoofdgeding dat is geïnstalleerd in de gemeenschappelijke ruimten van een voor bewoning bestemd gebouw, om gerechtvaardigde belangen na te streven die erin bestaan de veiligheid en de bescherming van personen en goederen te waarborgen.
34 In herinnering dient te worden gebracht dat bewaking met behulp van video-opnamen van mensen die doorlopend worden vastgelegd, te weten op een harde schijf, geautomatiseerde verwerking van persoonsgegevens vormt overeenkomstig artikel 3, lid 1, van richtlijn 95/46 (arrest van 11 december 2014, Ryneš, C‑212/13, EU:C:2014:2428, punt 25).
35 Derhalve moet een videobewakingssysteem worden aangemerkt als geautomatiseerde verwerking van persoonsgegevens in de zin van voornoemde bepaling, wanneer de gebruikte apparatuur het mogelijk maakt om persoonsgegevens – zoals beelden die het mogelijk maken om natuurlijke personen te identificeren – te registreren en op te slaan. Het staat aan de verwijzende rechter om na te gaan of het systeem in het hoofdgeding dergelijke kenmerken vertoont.
36 Voorts moet de verwerking van persoonsgegevens te allen tijde stroken met de in artikel 6 van richtlijn 95/46 genoemde beginselen betreffende de kwaliteit van de gegevens en beantwoorden aan een van de in artikel 7 van die richtlijn genoemde beginselen betreffende de toelaatbaarheid van gegevensverwerking (arrest van 13 mei 2014, Google Spain en Google, C‑131/12, EU:C:2014:317, punt 71 en aldaar aangehaalde rechtspraak).
37 Artikel 7 van richtlijn 95/46 bevat een uitputtende lijst van gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt. De lidstaten mogen aan dit artikel geen nieuwe beginselen betreffende de toelaatbaarheid van de verwerking van persoonsgegevens toevoegen, noch bijkomende vereisten vaststellen die de reikwijdte van een van de zes in dat artikel vervatte beginselen zouden wijzigen (arrest van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 57).
38 Hieruit volgt dat de verwerking van persoonsgegevens alleen als rechtmatig kan worden aangemerkt indien deze valt onder een van de zes gevallen bedoeld in artikel 7 van richtlijn 95/46.
39 De vragen van de verwijzende rechter betreffen in het bijzonder het in artikel 7, onder f), van richtlijn 95/46 neergelegde beginsel betreffende de toelaatbaarheid van de verwerking van persoonsgegevens, welke bepaling in Roemeens recht is omgezet bij artikel 5, lid 2, onder e), van wet nr. 677/2001, waar ook naar wordt verwezen in artikel 6 van besluit nr. 52/2012 van de ANSPDCP, met betrekking tot specifiek de verwerking van persoonsgegevens door middel van videobewaking.
40 In dit verband zijn er in artikel 7, onder f), van richtlijn 95/46 drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de verwerking van persoonsgegevens rechtmatig is, te weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in de tweede plaats, de noodzakelijkheid van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de derde plaats, het feit dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren (arrest van 4 mei 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punt 28).
41 Er moet worden benadrukt dat artikel 7, onder f), van richtlijn 95/46 geen toestemming van de betrokkene vereist. Een dergelijke toestemming komt alleen voor in artikel 7, onder a), van die richtlijn, als voorwaarde waaraan de verwerking van persoonsgegevens moet voldoen.
42 In het onderhavige geval zou het doel dat de voor de verwerking van de persoonsgegevens verantwoordelijke in wezen voor ogen had met de installatie van het in het hoofdgeding aan de orde zijnde videobewakingssysteem, namelijk de bescherming van de goederen, de gezondheid en het leven van de mede-eigenaren van een gebouw, kunnen worden aangemerkt als „gerechtvaardigd belang” in de zin van artikel 7, onder f), van richtlijn 95/46. Aan de eerste voorwaarde van die bepaling is dus in beginsel voldaan (zie naar analogie arrest van 11 december 2014, Ryneš, C‑212/13, EU:C:2014:2428, punt 34).
43 De verwijzende rechter vraagt zich echter af of de eerste voorwaarde van dat artikel 7, onder f), aldus moet worden opgevat dat het belang van de betrokken verantwoordelijke ten eerste „bewezen moet zijn” en ten tweede „op het moment van verwerking moet bestaan en actueel moet zijn”.
44 In dit verband moet worden opgemerkt – zoals aangevoerd door de Roemeense en de Tsjechische regering, Ierland, de Oostenrijkse regering, de Portugese regering en de Commissie – dat, aangezien de verantwoordelijke voor de verwerking van persoonsgegevens of de derde aan wie de gegevens worden verstrekt op grond van artikel 7, onder f), van richtlijn 95/46 een gerechtvaardigd belang moet nastreven dat deze verwerking rechtvaardigt, dit belang op de datum van de verwerking bestaand, actueel, en niet van hypothetische aard moet zijn. Bij de beoordeling van alle omstandigheden van het geval kan echter niet noodzakelijkerwijs worden vereist dat de veiligheid van de goederen en personen reeds in het verleden is aangetast.
45 In het onderhavige geval lijkt er hoe dan ook voldaan te zijn aan de voorwaarde van een bestaand en actueel belang, aangezien de verwijzende rechter vermeldt dat er voorafgaand aan de installatie van het videobewakingssysteem sprake was van diefstal, inbraak en vandalisme, hoewel aan de ingang van het gebouw een beveiligingssysteem was geïnstalleerd, bestaande uit een intercom en magneetkaart.
46 Met betrekking tot de tweede voorwaarde van artikel 7, onder f), van richtlijn 95/46, namelijk dat de verwerking van persoonsgegevens noodzakelijk moet zijn voor de behartiging van het gerechtvaardigde belang, heeft het Hof in herinnering gebracht dat de uitzonderingen op de bescherming van persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke moeten blijven (arrest van 4 mei 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punt 30 en aldaar aangehaalde rechtspraak).
47 Voor de toetsing van deze voorwaarde moet de verwijzende rechter nagaan of het gerechtvaardigde belang van de verwerking van gegevens dat wordt nagestreefd met de videobewaking in het hoofdgeding en dat er in essentie in bestaat de veiligheid van goederen en personen te waarborgen en strafbare feiten te voorkomen, redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die in mindere mate afbreuk doen aan de fundamentele vrijheden en rechten van de betrokkenen, in het bijzonder aan het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens zoals gewaarborgd door de artikelen 7 en 8 van het Handvest.
48 Zoals aangevoerd door de Commissie moet de voorwaarde inzake de noodzakelijkheid van de verwerking bovendien worden onderzocht in samenhang met het beginsel van „minimale gegevensverwerking” dat is vastgelegd in artikel 6, lid 1, onder c), van richtlijn 95/46. Volgens deze bepaling moeten de persoonsgegevens „toereikend, ter zake dienend en niet bovenmatig [...] zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt”.
49 Uit het dossier waarover het Hof beschikt, volgt dat er rekening lijkt te zijn gehouden met de vereisten inzake de evenredigheid van de in het hoofdgeding aan de orde zijnde verwerking van gegevens. Het staat immers vast dat in eerste instantie alternatieve maatregelen zijn genomen – bestaande uit een aan de ingang van het gebouw geïnstalleerd beveiligingssysteem met een intercom en een magneetkaart – maar dat deze ontoereikend zijn gebleken. Bovendien is het betrokken videobewakingssysteem beperkt tot de gemeenschappelijke ruimten van het gebouw en de toegangswegen daartoe.
50 Bij de beoordeling van de evenredigheid van de verwerking van gegevens middels een videobewakingssysteem moet er echter rekening worden gehouden met de concrete wijze waarop dit systeem is opgezet en functioneert, waarbij de gevolgen voor de rechten en vrijheden van de betrokkenen moeten worden beperkt terwijl tegelijkertijd de doeltreffendheid van het betrokken videobewakingssysteem wordt gewaarborgd.
51 Zo impliceert de voorwaarde inzake de noodzakelijkheid van de verwerking, zoals de Commissie heeft aangevoerd, dat de voor de verwerking verantwoordelijke moet nagaan of het bijvoorbeeld zou volstaan om de videobewaking alleen ‘s nachts of buiten normale werktijden in te schakelen en beelden die zijn opgenomen in ruimten waar de bewaking niet noodzakelijk is, te blokkeren of onscherp te maken.
52 Wat ten slotte de derde voorwaarde van artikel 7, onder f), van richtlijn 95/46 betreft, omtrent het bestaan van fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon die prevaleren boven het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, dient in herinnering te worden gebracht, zoals reeds vermeld in punt 32 van het onderhavige arrest, dat de toetsing aan deze voorwaarde een afweging met zich meebrengt van de aan de orde zijnde tegengestelde rechten en belangen, die afhangt van de bijzondere omstandigheden van een concreet geval en in het kader waarvan rekening moet worden gehouden met het belang van de uit de artikelen 7 en 8 van het Handvest voortvloeiende rechten van de betrokkene.
53 In deze context heeft het Hof geoordeeld dat artikel 7, onder f), van richtlijn 95/46 zich ertegen verzet dat een lidstaat de mogelijkheid van verwerking voor bepaalde categorieën persoonsgegevens categorisch en over de hele linie uitsluit, zonder ruimte te bieden voor een afweging van de betrokken tegenover elkaar gestelde rechten en belangen in een concreet geval. Een lidstaat mag voor deze categorieën de uitkomst van de afweging van de tegenover elkaar gestelde rechten en belangen dan ook niet definitief vaststellen, zonder ruimte te bieden voor een afwijkende uitkomst wegens de bijzondere omstandigheden van een concreet geval (arrest van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 62).
54 Uit de rechtspraak van het Hof volgt ook dat er bij deze afweging rekening mee kan worden gehouden dat de ernst van de aantasting van de grondrechten van de betrokkene als gevolg van die verwerking kan verschillen afhankelijk van de vraag of de betrokken gegevens beschikbaar zijn in voor het publiek toegankelijke bronnen (zie in die zin arrest van 4 mei 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punt 32).
55 Anders dan in het geval van verwerking van gegevens die afkomstig zijn uit voor het publiek toegankelijke bronnen, impliceert de verwerking van gegevens die afkomstig zijn uit niet voor het publiek toegankelijke bronnen dat de informatie over het privéleven van de betrokkene inmiddels bekend is bij de voor de verwerking verantwoordelijke en, in voorkomend geval, bij de derde(n) aan wie de gegevens worden verstrekt. Deze grotere aantasting van de rechten van de betrokkene die zijn vastgelegd in de artikelen 7 en 8 van het Handvest moet in aanmerking worden genomen en in evenwicht worden gebracht met het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt (zie in die zin arrest van 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 en C‑469/10, EU:C:2011:777, punt 45).
56 Het criterium inzake de ernst van de inbreuk op de rechten en vrijheden van de betrokkene vormt een essentieel onderdeel van de door artikel 7, onder f), van richtlijn 95/46 vereiste afweging per geval.
57 In dit verband moet met name rekening worden gehouden met de aard van de betrokken persoonsgegevens, in het bijzonder de eventueel gevoelige aard ervan, alsmede met de aard en de concrete wijze van verwerking van de betrokken gegevens, in het bijzonder het aantal personen dat er toegang toe heeft en de wijze waarop zij die toegang verkrijgen.
58 Ook relevant bij deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn persoonsgegevens niet worden verwerkt wanneer hij, in de omstandigheden van het geval, redelijkerwijs geen verdere verwerking ervan kan verwachten.
59 Tot slot moeten deze elementen worden afgewogen tegen het belang, voor alle mede-eigenaren van het betrokken gebouw, van het met het betrokken videobewakingssysteem nagestreefde gerechtvaardigde belang, aangezien dit er in wezen toe strekt de bescherming te waarborgen van de goederen, de gezondheid en het leven van die mede-eigenaren.
60 Gelet op het voorgaande moet op de gestelde vragen worden geantwoord dat artikel 6, lid 1, onder c), en artikel 7, onder f), van richtlijn 95/46, gelezen in het licht van de artikelen 7 en 8 van het Handvest, aldus moeten worden uitgelegd dat zij zich niet verzetten tegen nationale bepalingen die toestaan dat er zonder toestemming van de betrokkenen een videobewakingssysteem wordt opgezet, zoals het systeem in het hoofdgeding dat is geïnstalleerd in de gemeenschappelijke ruimten van een voor bewoning bestemd gebouw, om gerechtvaardigde belangen na te streven die erin bestaan de veiligheid en de bescherming van personen en goederen te waarborgen, mits de verwerking van persoonsgegevens door middel van het betrokken videobewakingssysteem voldoet aan de voorwaarden van dat artikel 7, onder f), hetgeen de verwijzende rechter dient na te gaan.
Kosten
61 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Derde kamer) verklaart voor recht:
Artikel 6, lid 1, onder c), en artikel 7, onder f), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, gelezen in het licht van de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie, moeten aldus worden uitgelegd dat zij zich niet verzetten tegen nationale bepalingen die toestaan dat er zonder toestemming van de betrokkenen een videobewakingssysteem wordt opgezet, zoals het systeem in het hoofdgeding dat is geïnstalleerd in de gemeenschappelijke ruimten van een voor bewoning bestemd gebouw, om gerechtvaardigde belangen na te streven die erin bestaan de veiligheid en de bescherming van personen en goederen te waarborgen, mits de verwerking van persoonsgegevens door middel van het betrokken videobewakingssysteem voldoet aan de voorwaarden van dat artikel 7, onder f), hetgeen de verwijzende rechter dient na te gaan.
ondertekeningen