SODBA SODIŠČA (tretji senat)
z dne 11. decembra 2019(*)(i)
(besedilo, popravljeno s sklepom z dne 13. februarja 2016)
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Listina Evropske unije o temeljnih pravicah – Člena 7 in 8 – Direktiva 95/46/ES – Člen 6(1)(c) in člen 7(f) – Zakonitost obdelave osebnih podatkov – Nacionalna ureditev, ki dopušča videonadzor za zagotovitev varnosti in zaščite oseb, premoženja in sredstev ter uresničevanje zakonitih interesov brez privolitve posameznika, na katerega se nanašajo osebni podatki – Namestitev sistema videonadzora v skupnih delih stanovanjske stavbe“
V zadevi C‑708/18,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Tribunalul Bucureşti (okrožno sodišče v Bukarešti, Romunija) z odločbo z dne 2. oktobra 2018, ki je na Sodišče prispela 6. novembra 2018, v postopku
TK
proti
Asociaţia de Proprietari bloc M5A-ScaraA,
SODIŠČE (tretji senat),
v sestavi A. Prechal (poročevalka), predsednica senata, L. S. Rossi, sodnica, J. Malenovský, F. Biltgen in N. Wahl, sodniki,
generalni pravobranilec: G. Pitruzzella,
sodni tajnik: A. Calot Escobar,
na podlagi pisnega postopka,
ob upoštevanju stališč, ki so jih predložili:
– za romunsko vlado C.‑R. Canţăr, O.‑C. Ichim in A. Wellman, agenti,
– za češko vlado M. Smolek, J. Vláčil in O. Serdula, agenti,
– za dansko vlado J. Nymann-Lindegren, M. Wolff in P. Z. L. Ngo, agenti,
– (popravljeno s sklepom z dne 13. februarja 2016) za Irsko M. Browne, G. Hodge in A. Joyce, agenti, skupaj z D. Fennellyem, BL,
– za avstrijsko vlado sprva G. Hesse in J. Schmoll, nato J. Schmoll, agenta,
– za portugalsko vlado L. Inez Fernandes, P. Barros da Costa, L. Medeiros, I. Oliveira in M. Cancela Carvalho, agenti,
– za Evropsko komisijo H. Kranenborg, D. Nardi in L. Nicolae, agenti,
na podlagi sklepa, sprejetega po opredelitvi generalnega pravobranilca, da bo v zadevi razsojeno brez sklepnih predlogov,
izreka naslednjo
Sodbo
1 Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 6(1)(e) in člena 7(f) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355) ter členov 8 in 52 Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina).
2 Ta predlog je bil vložen v okviru spora med osebo TK in Asociaţia de Proprietari bloc M5A-ScaraA (združenje etažnih lastnikov večstanovanjske stavbe M5A – stopnišče A, Romunija, v nadaljevanju: združenje etažnih lastnikov) zaradi predloga osebe TK, naj se združenju etažnih lastnikov odredi, naj izklopi sistem videonadzora te stavbe in umakne kamere, nameščene v njenih skupnih delih.
Pravni okvir
Pravo Unije
3 Direktiva 95/46 je bila razveljavljena in nadomeščena z učinkom od 25. maja 2018 z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL 2016, L 119, str. 1). Vendar se glede na čas dejanskega stanja v sporu o glavni stvari zanj uporabljajo določbe te direktive.
4 V skladu z njenim členom 1 je namen Direktive 95/46 varstvo temeljnih pravic in svoboščin fizičnih oseb ter predvsem njihove zasebnosti pri obdelavi osebnih podatkov ter odstranjevanje ovir za prosti pretok teh podatkov.
5 Člen 3 te direktive je v odstavku 1 določal:
„Ta direktiva se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatskimi sredstvi in za drugačno obdelavo kakor z avtomatskimi sredstvi za osebne podatke, ki sestavljajo del zbirke ali so namenjeni sestavljanju dela zbirke.“
6 Poglavje II navedene direktive je vključevalo oddelek I, naslovljen „Načela v zvezi s kakovostjo podatkov“, ki ga je sestavljal člen 6 te direktive, ki je določal:
„1. Države članice določijo, da morajo biti osebni podatki:
(a) pošteno in zakonito obdelani;
(b) zbrani za določene, izrecne ter zakonite namene in se ne smejo naprej obdelovati na način, ki je nezdružljiv s temi nameni. Nadaljnja obdelava podatkov v zgodovinske, statistične ali znanstvene namene se ne šteje za nezdružljivo, če države članice zagotovijo ustrezne zaščitne ukrepe;
(c) primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali naprej obdelujejo;
(d) točni in po potrebi ažurirani; uporabiti je treba vse primerne ukrepe za zagotovitev, da se podatki, ki so netočni ali nepopolni, zbrišejo ali popravijo, ob upoštevanju namenov, za katere so bili zbrani ali za katere se naprej obdelujejo;
(e) shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo. Države članice določijo ustrezne zaščitne ukrepe za osebne podatke, shranjene za daljša obdobja za zgodovinsko, statistično ali znanstveno uporabo.
2. Upravljavec mora zagotoviti, da se ravna v skladu z odstavkom 1.“
7 Člen 7 Direktive 95/46 je v oddelku II, naslovljenem „Merila za zakonitost obdelave podatkov“, poglavja II določal:
„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:
(a) je posameznik, na katerega se osebni podatki nanašajo, nedvoumno dal svojo privolitev;
ali
(b) je obdelava potrebna za izvajanje pogodbe, katere stranka je posameznik, na katerega se nanašajo osebni podatki, ali pa za izvajanje ukrepov na zahtevo posameznika, na katerega se osebni podatki nanašajo, pred sklenitvijo pogodbe;
ali
(c) je obdelava potrebna za skladnost z zakonsko obveznostjo, ki velja za upravljavca;
ali
(d) je obdelava potrebna za varstvo življenjskih interesov posameznikov, na katere se osebni podatki nanašajo;
ali
(e) je obdelava potrebna za izvajanje naloge, ki se opravlja v javnem interesu ali pri izvrševanju javne oblasti, dodeljene upravljavcu ali tretji stranki, ki so ji posredovani podatki;
ali
(f) je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo, ki se varujejo na podlagi člena 1(1).“
Romunsko pravo
8 Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (zakon št. 677/2001 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov) (Monitorul Oficial, del I, št. 790 z dne 12. decembra 2001), kakor je bil spremenjen z zakonom št. 102/2005 in urgentno uredbo vlade št. 36/2007, ki se ratione temporis uporabi za spor o glavni stvari, je bil sprejet za prenos Direktive 95/46 v romunsko pravo.
9 Člen 5 tega zakona je določal:
„1. Vsaka obdelava osebnih podatkov, razen če se nanaša na podatke iz kategorij, navedenih v členu 7(1) ter v členih 8 in 10, se lahko opravi le, če je posameznik, na katerega se nanašajo osebni podatki, v to izrecno in nedvoumno privolil.
2. Privolitev posameznika, na katerega se nanašajo osebni podatki, se ne zahteva kadar:
(a) je obdelava potrebna za izvajanje pogodbe ali predpogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali da se na zahtevo posameznika, na katerega se nanašajo osebni podatki, sprejmejo ukrepi pred sklenitvijo pogodbe ali predpogodbe;
(b) je obdelava potrebna za zaščito življenja, telesa ali zdravja posameznika, na katerega se nanašajo osebni podatki, ali druge ogrožene osebe;
(c) je obdelava potrebna za izpolnitev zakonske obveznosti upravljavca;
(d) je obdelava potrebna za izvajanje naloge, ki se opravlja v javnem interesu ali pri izvrševanju prerogativ javne oblasti, dodeljene upravljavcu ali tretji osebi, ki so ji podatki razkriti;
(e) je obdelava potrebna zaradi zakonitih interesov upravljavca podatkov ali tretjih oseb, ki so jim osebni podatki razkriti, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki;
(f) se zadevna obdelava nanaša na podatke, ki so v skladu z zakonom dostopni javnosti;
(g) se obdelava izvaja izključno zaradi statističnih, zgodovinskih ali znanstvenih raziskav, podatki pa ostanejo anonimni med celotno obravnavo.
3. Določbe odstavka 2 ne posegajo v zakonske določbe, ki urejajo obveznost javnih organov, da spoštujejo in varujejo intimno, družinsko in zasebno življenje.“
10 Odločba št. 52/2012, ki jo je sprejel Autoritate Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (nacionalni organ za nadzor nad obdelavo osebnih podatkov, Romunija; v nadaljevanju: ANSPDCP), ki se nanaša na obdelavo osebnih podatkov z videonadzorom, je v različici, ki se uporabi za spor o glavni stvari, v členu 1 določala:
„Zbiranje, beleženje, shranjevanje, uporaba, posredovanje, razkritje ali kakršna koli druga obdelava posnetkov z videonadzorom, ki neposredno ali posredno omogočajo identifikacijo fizičnih oseb, pomeni obdelavo osebnih podatkov, ki spada na področje uporabe [zakona št. 677/2001].“
11 Člen 4 te odločbe določa:
„Videonadzor se lahko izvaja predvsem za:
(a) preprečevanje kaznivih dejanj in boj proti njim;
(b) nadzor cestnega prometa in ugotavljanje kršitev cestnoprometnih predpisov;
(c) zaščito ter varstvo ljudi, premoženja, sredstev, nepremičnin in naprav, ki se uporabljajo v javno korist, ter njihovih ohišij;
(d) izvajanje ukrepov javnega interesa ali izvajanje prerogativ javne oblasti;
(e) uresničevanje legitimnih interesov, če ne posegajo v temeljne pravice in svoboščine posameznikov, na katere se osebni podatki nanašajo.“
12 Člen 5, od (1) do (3), navedene odločbe določa:
„1. Videonadzor se lahko izvaja na površinah in krajih, ki so odprti za javnost ali so namenjeni javnosti, vključno z javnim potmi na javnih ali zasebnih površinah, pod pogoji, ki jih določa zakon.
2. Kamere za videonadzor se namestijo na vidnih mestih.
3. Uporaba prikritih sredstev za videonadzor je prepovedana, razen v primerih, ki jih določa zakon.“
13 Člen 6 te odločbe določa:
„Obdelava osebnih podatkov z sistemom videonadzora se izvaja z izrecno in nedvomno privolitvijo posameznika, na katerega se nanašajo osebni podatki, ali v primerih iz člena 5(2) zakona št. 677/2001 […]“
Spor o glavni stvari in vprašanja za predhodno odločanje
14 Oseba TK prebiva v stanovanju v stavbi M5A, katerega lastnica je. Združenje etažnih lastnikov je na skupščini 7. aprila 2016 na predlog nekaterih etažnih lastnikov te stavbe sprejelo sklep o odobritvi namestitve kamer za videonadzor v tej stavbi.
15 Ta sklep je bil izveden z namestitvijo treh kamer za videonadzor v skupnih delih stavbe M5A. Prva kamera je bila usmerjena v fasado stavbe, druga in tretja pa sta bili nameščeni v pritličju in dvigalu stavbe.
16 Oseba TK je namestitvi tega sistema videonadzora nasprotovala, ker naj bi pomenil kršitev pravice do spoštovanja zasebnega življenja.
17 Ker je oseba TK ugotovila, da sistem videonadzora, ki je bil nameščen, kljub temu, da je večkrat ukrepala in da je združenje etažnih lastnikov pisno priznalo, da ni zakonit, še naprej deluje, je pri predložitvenem sodišču predlagala, naj se navedenemu združenju naloži, naj tri kamere izklopi in dokončno odstrani, sicer se mu naloži periodična denarna kazen.
18 Oseba TK je pred predložitvenim sodiščem navedla, da zadevni sistem videonadzora krši primarno in sekundarno pravo Unije, zlasti pravico do spoštovanja zasebnega življenja, in nacionalno pravo v zvezi s pravico do spoštovanja zasebnega življenja. Navedla je tudi, da je združenje etažnih lastnikov prevzelo funkcijo upravljavca osebnih podatkov, ne da bi spoštovalo postopek registracije, ki ga v zvezi s tem določa zakon.
19 Združenje etažnih lastnikov je navedlo, da je bila odločitev o namestitvi sistema videonadzora sprejeta, da bi se čim bolj učinkovito nadzorovali prihodi in odhodi iz stavbe, ker je bilo dvigalo večkrat vandalizirano in ker so bili skupni deli večkrat predmet vlomov in tatvin.
20 Poudarilo je tudi, da drugi ukrepi, ki jih je predhodno sprejelo, in sicer namestitev sistema za vstop v stavbo z interfonom in magnetno kartico, niso preprečili večkratne ponovitve istovrstnih kaznivih dejanj.
21 Združenje etažnih lastnikov je poleg tega osebi TK posredovalo zapisnik, ki ga je sestavilo z družbo, ki je namestila kamere sistema videonadzora, pri čemer je navedlo, da je bil 21. oktobra 2016 trdi disk sistema izbrisan in izklopljen, da je bil sistem izklopljen ter da so bili posnetki izbrisani.
22 Posredovalo ji je tudi drug zapisnik z dne 18. maja 2017, iz katerega je razvidno, da so bile tri kamere za videonadzor odstranjene. V tem zapisniku je bilo pojasnjeno, da je združenje etažnih lastnikov medtem končalo postopek, na podlagi katerega je bilo lahko registrirano kot upravljavec osebnih podatkov.
23 Vendar je oseba TK pred predložitvenim sodiščem navedla, da so bile tri kamere za videonadzor še vedno nameščene.
24 Predložitveno sodišče navaja, da člen 5 zakona št. 677/2001 na splošno določa, da je obdelava osebnih podatkov, kot je shranjevanje posnetkov z uporabo sistema videonadzora, dovoljena le, če je posameznik, na katerega se nanašajo osebni podatki, v to izrecno in nedvoumno privolil. Vendar naj bi odstavek 2 tega člena določal vrsto izjem od tega pravila, med katerimi je tudi izjema, ki se nanaša na to, da je obdelava osebnih podatkov potrebna za zaščito življenja, telesa ali zdravja posameznika, na katerega se nanašajo osebni podatki, ali druge ogrožene osebe. Odločba ANSPDCP št. 52/2012 naj bi določala izjemo iste vrste.
25 Predložitveno sodišče se dalje sklicuje na člen 52(1) Listine, ki določa načelo, v skladu s katerim mora biti cilj, zaradi katerega se posega v pravice in svoboščine državljanov, sorazmeren z uporabljenimi sredstvi.
26 Navedeno sodišče meni, da zadevni sistem videonadzora, ki ga obravnava, ni bil uporabljen na način ali za namen, ki ne ustreza cilju, ki ga je navedlo združenje etažnih lastnikov, ki je zaščita telesa in zdravja posameznikov, na katere se nanašajo osebni podatki, to so etažni lastniki stavbe, v kateri je bil ta sistem nameščen.
27 V teh okoliščinah je Tribunalul Bucureşti (okrožno sodišče v Bukarešti, Romunija) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:
„1. Ali je treba člena 8 in 52 Listine ter člen 7(f) Direktive 95/46/ES razlagati tako, da nasprotujejo nacionalnim določbam, kakršna je ta v postopku v glavni stvari, ki izhaja iz člena 5(2) zakona št. 677/2001 in člena 6 [Odločbe št. 52/2012 ANSPDCP] in ki omogoča uporabo videonadzora za zagotavljanje zaščite ter varstva oseb in premoženja ter za uveljavljanje zakonitih interesov brez privolitve posameznika, na katerega se nanašajo osebni podatki?
2. Ali je treba člena 8 in 52 Listine razlagati tako, da je omejitev pravic in svoboščin z uporabo videonadzora skladna z načelom sorazmernosti ter da izpolnjuje zahtevo po ‚potrebi‘ in ‚ustreza ciljem splošnega interesa ali potrebi po zaščiti pravic in svoboščin drugih‘, tudi če bi upravljavec lahko sprejel drugačne ukrepe za zaščito obravnavanega zakonitega interesa?
3. Ali je treba člen 7(f) Direktive 95/46 razlagati tako, da mora biti ‚zakoniti interes‘ upravljavca osebnih podatkov v času obdelave teh podatkov dokazan, obstoječ in dejanski?
4. Ali je treba člen 6(1)(e) Direktive 95/46 razlagati tako, da je obdelava podatkov (videonadzor) pretirana ali neprimerna, če bi subjekt lahko sprejel drugačne ukrepe za zaščito obravnavanega zakonitega interesa?“
Vprašanja za predhodno odločanje
28 Najprej je treba ugotoviti, prvič, da čeprav se predložitveno sodišče s četrtim vprašanjem sklicuje na člen 6(1)(e) Direktive 95/46, ne navaja nobenega pojasnila glede upoštevnosti te določbe za rešitev spora v postopku v glavni stvari.
29 Navedena določba se namreč nanaša le na zahteve, ki morajo biti izpolnjene v zvezi s hrambo osebnih podatkov. Vendar iz ničesar v spisu, ki je na voljo Sodišču, ni mogoče sklepati, da se spor o glavni stvari nanaša na ta vidik.
30 V delu, v katerem predložitveno sodišče s tem vprašanjem v bistvu sprašuje, ali je vzpostavitev zadevnega sistema videonadzora, ki ga obravnava, sorazmerna z zastavljenimi cilji, pa je treba poudariti, da se vprašanje, ali osebni podatki, ki jih zbere ta sistem, ustrezajo zahtevi sorazmernosti, nanaša na razlago člena 6(1)(c) Direktive 95/46.
31 Zadnjenavedeno določbo je treba upoštevati pri preverjanju drugega pogoja uporabe, določenega v členu 7(f) Direktive 95/46, v skladu s katerim mora biti obdelava osebnih podatkov „potrebna“ za uresničitev zakonitega interesa, ki se mu sledi.
32 Drugič, predložitveno sodišče se s prvim in drugim vprašanjem navezuje na člena 8 in 52 Listine, ki se obravnavata samostojno ali ob upoštevanju člena 7(f) Direktive 95/46. Sodišče je že pojasnilo, da se za presojo pogoja iz te določbe, ki se nanaša na obstoj temeljnih pravic in svoboščin posameznika, na katerega se nanaša varstvo podatkov, ki prevladajo nad zakonitim interesom, za katerega si prizadeva upravljavec ali tretje osebe, ki so jim osebni podatki posredovani, zahteva tehtanje med zadevnimi nasprotujočimi si pravicami in interesi ob upoštevanju konkretnih okoliščin posameznega zadevnega primera, v okviru katerega je treba upoštevati pomembnost pravic posameznika, na katerega se nanašajo osebni podatki, iz členov 7 in 8 Listine (sodba z dne 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 in C‑469/10, EU:C:2011:777, točka 40). Iz tega sledi, da se ta člena 8 in 52 v obravnavanem primeru ne uporabita samostojno.
33 Glede na navedeno je treba ugotoviti, da predložitveno sodišče z vprašanji, ki jih je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 6(1)(c) in člen 7(f) Direktive 95/46 v povezavi s členoma 7 in 8 Listine razlagati tako, da nasprotujeta nacionalnim določbam, ki dovoljujejo vzpostavitev sistema videonadzora, kot je zadevni sistem v postopku v glavni stvari, ki je nameščen v skupnih delih stanovanjske stavbe, za sledenje zakonitim interesom, ki vključujejo zaščito ter varstvo oseb in premoženja, brez privolitve posameznikov, na katere se nanašajo osebni podatki.
34 Opozoriti je treba, da nadzor s slikovnim snemanjem oseb, ki se shranjuje s krožnim snemanjem na snemalno napravo, in sicer na trdi disk, v skladu s členom 3(1) Direktive 95/46 pomeni avtomatsko obdelavo osebnih podatkov (sodba z dne 11. decembra 2014, Ryneš, C‑212/13, EU:C:2014:2428, točka 25).
35 Sistem videonadzora s kamero je treba torej opredeliti kot avtomatsko obdelavo osebnih podatkov v smislu navedene določbe, kadar nameščena instalacija omogoča snemanje in shranjevanje osebnih podatkov, kot so posnetki, ki omogočajo identifikacijo fizičnih oseb. Predložitveno sodišče mora preveriti, ali ima sistem iz postopka v glavni stvari take značilnosti.
36 Poleg tega mora vsaka obdelava osebnih podatkov, prvič, biti v skladu z načeli v zvezi s kakovostjo podatkov iz člena 6 Direktive 95/46 in, drugič, ustrezati enemu od meril za zakonitost obdelave podatkov, ki so navedena v členu 7 te direktive (sodba z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 71 in navedena sodna praksa).
37 Člen 7 Direktive 95/46 določa izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov dopustna. Države članice ne smejo niti dodati novih načel glede zakonitosti obdelave osebnih podatkov iz navedenega člena niti določiti dodatnih zahtev, ki bi spreminjale obseg enega od šestih načel, določenih v tem členu (sodba z dne 19. oktobra 2016, Breyer, C‑582/14, EU:C:2016:779, točka 57).
38 Iz tega sledi, da mora obdelava osebnih podatkov, da bi jo bilo mogoče šteti za zakonito, ustrezati enemu od šestih primerov, določenih v členu 7 Direktive 95/46.
39 Vprašanja predložitvenega sodišča se nanašajo zlasti na načelo zakonitosti obdelave podatkov iz člena 7(f) Direktive 95/46, ki je bil v romunski pravni red prenesen s členom 5(2)(e) zakona št. 677/2001, na katerega se posebej v zvezi z obdelavo osebnih podatkov s sredstvi videonadzora sklicuje tudi člen 6 Odločbe št. 52/2012 ANSPDCP.
40 V zvezi s tem člen 7(f) Direktive 95/46 določa tri kumulativne pogoje za to, da je obdelava osebnih podatkov zakonita, in sicer, prvič, da si upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, prizadeva za zakonit interes, drugič, da je obdelava osebnih podatkov potrebna za uresničitev zakonitega interesa, ki se mu sledi, in tretjič, da ne prevladajo temeljne pravice in svoboščine posameznika, na katerega se nanaša varstvo podatkov (sodba z dne 4. maja 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, točka 28).
41 Poudariti je treba, da se s členom 7(f) Direktive 95/46 ne zahteva privolitev posameznika, na katerega se nanašajo osebni podatki. Taka privolitev za obdelavo osebnih podatkov se zahteva zgolj v okviru člena 7(a) te direktive.
42 V obravnavanem primeru je mogoče cilj, za katerega si v bistvu prizadeva upravljavec podatkov, ki vzpostavi sistem videonadzora, kakršen je ta v postopku v glavni stvari, in sicer varstvo premoženja, zdravja in življenja etažnih lastnikov stavbe, opredeliti kot „zakoniti interes“ v smislu člena 7(f) Direktive 95/46. Prvi pogoj, določen v tej določbi, je torej načeloma izpolnjen (glej po analogiji sodbo z dne 11. decembra 2014, Ryneš, C‑212/13, EU:C:2014:2428, točka 34).
43 Vendar se predložitveno sodišče sprašuje, ali je treba prvega od pogojev iz tega člena 7(f) razumeti tako, da mora biti interes, za katerega si prizadeva zadevni upravljavec, prvič, „dokazan“ in, drugič, „ob obdelavi obstoječ in dejanski“.
44 V zvezi s tem je treba poudariti – kot so trdile tudi romunska in češka vlada, Irska, avstrijska in portugalska vlada ter Komisija – da ker si mora v skladu s členom 7(f) Direktive 95/46 upravljavec osebnih podatkov ali tretje osebe, ki so jim osebni podatki posredovani, prizadevati za zakoniti interes, ki upravičuje to obdelavo, mora biti ta interes na datum, ko se podatki obdelujejo, obstoječ in dejanski, ne pa hipotetičen. Vendar v okviru presoje vseh okoliščin obravnavanega primera ni mogoče zahtevati, da so premoženje in osebe že bili ogroženi.
45 V obravnavanem primeru se zdi, da je v položaju, kakršen je ta v postopku v glavni stvari, pogoj v zvezi z obstoječim in dejanskim interesom vsekakor izpolnjen, saj predložitveno sodišče navaja, da je pred vzpostavitvijo sistema videonadzora prihajalo do tatvin, vlomov in vandalizma kljub temu, da je bil v stavbi nameščen varnostni sistem z interfonom in magnetno kartico.
46 V zvezi z drugim pogojem iz člena 7(f) Direktive 95/46, ki se nanaša na potrebo obdelave osebnih podatkov za uresničitev zakonitega interesa, ki se mu sledi, je Sodišče spomnilo, da morajo biti v splošnem odstopanja in omejitve varstva osebnih podatkov strogo omejeni na tisto, kar je nujno (sodba z dne 4. maja 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, točka 30 in navedena sodna praksa).
47 Ta pogoj predložitvenemu sodišču nalaga, da preveri, ali zakonitega interesa za obdelavo podatkov, ki se uresničuje z videonadzorom iz postopka v glavni stvari in ki v bistvu zajema zagotavljanje varnosti premoženja in oseb ter preprečevanje kaznivih dejanj, ni mogoče razumno doseči z drugimi sredstvi, ki manj posegajo v temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, zlasti v pravico do spoštovanja zasebnega življenja in varstva osebnih podatkov, ki ju zagotavljata člena 7 in 8 Listine.
48 Poleg tega je treba, kot je navedla Komisija, pogoj potrebe obdelave preučiti skupaj z načelom „najmanjšega obsega podatkov“ iz člena 6(1)(c) Direktive 95/46, v skladu s katerim morajo biti osebni podatki „primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali naprej obdelujejo“.
49 Iz spisa, s katerim razpolaga Sodišče, izhaja, da so zahteve, povezane s sorazmernostjo obdelave podatkov iz postopka v glavni stvari, spoštovane. Ni namreč sporno, da so bili najprej sprejeti alternativni ukrepi, in sicer varnostni sistem z interfonom in magnetno kartico, ki je bil vgrajen v vhod stavbe, ki pa so se izkazali za nezadostne. Poleg tega je zadevni videonadzor omejen na skupne dele solastnine in na poti, po katerih se do njih dostopi.
50 Vendar je treba sorazmernost obdelave podatkov z napravo za videonadzor presojati ob upoštevanju pravil za njeno namestitev in delovanje, ki morajo omejiti vpliv na pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ter hkrati zagotoviti učinkovitost zadevnega sistema videonadzora.
51 Kot je trdila Komisija, pogoj, ki se nanaša na potrebo obdelave, tako pomeni, da mora upravljavec preučiti na primer, ali zadostuje, da videonadzor deluje le ponoči ali zunaj običajnega delovnega časa in blokira ali zamegli posnetke, posnete na območjih, na katerih nadzor ni potreben.
52 Nazadnje, glede tretjega pogoja, ki je določen v členu 7(f) Direktive 95/46 in ki se nanaša na obstoj temeljnih pravic in svoboščin posameznika, na katerega se nanaša varstvo podatkov, ki prevladajo nad zakonitim interesom, za katerega si prizadeva upravljavec ali tretje osebe, ki so jim osebni podatki posredovani, je treba opozoriti, kot je že bilo navedeno v točki 32 te sodbe, da zahteva tehtanje med zadevnimi nasprotujočimi si pravicami in interesi ob upoštevanju konkretnih okoliščin posameznega zadevnega primera, v okviru katerega je treba upoštevati pomembnost pravic posameznika, na katerega se nanašajo osebni podatki, iz členov 7 in 8 Listine.
53 V zvezi s tem je Sodišče presodilo, da člen 7(f) Direktive 95/46 nasprotuje tudi temu, da država članica kategorično in na splošno izključi možnost za nekatere vrste osebnih podatkov, da se obdelajo, ne da bi omogočila tehtanje zadevnih nasprotujočih si pravic in interesov v posebnem primeru. Država članica tako za te vrste ne sme dokončno določiti izida tehtanja nasprotujočih si pravic in interesov, ne da bi omogočala drugačen izid zaradi posebnih okoliščin konkretnega primera (sodba z dne 19. oktobra 2016, Breyer, C‑582/14, EU:C:2016:779, točka 62).
54 Iz sodne prakse Sodišča prav tako izhaja, da se pri tem tehtanju lahko upošteva, da je teža posega v temeljne pravice osebe, na katero se navedena obdelava nanaša, lahko različna glede na to, ali so ti podatki že v javno dostopnih virih (glej v tem smislu sodbo z dne 4. maja 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, točka 32).
55 Drugače od obdelave podatkov, ki so v javno dostopnih virih, obdelava podatkov iz virov, ki niso javno dostopni, pomeni, da bodo odslej podatki o zasebnosti zadevne osebe poznani upravljavcu podatkov in odvisno od primera tretji osebi oziroma tretjim osebam, ki se jim osebni podatki posredujejo. Resnost tega posega v pravice zadevne osebe, določene v členih 7 in 8 Listine, je treba upoštevati in tehtati z zakonitim interesom upravljavca podatkov ali tretje osebe oziroma tretjih oseb, ki se jim osebni podatki posredujejo (glej v tem smislu sodbo z dne 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 in C‑469/10, EU:C:2011:777, točka 45).
56 Merilo teže posega v pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, je bistveni element tehtanja ali primerjanja v vsakem posameznem primeru, ki se zahteva s členom 7(f) Direktive 95/46.
57 V zvezi s tem je treba med drugim upoštevati naravo zadevnih osebnih podatkov, zlasti njihovo morebitno občutljivost, ter naravo in konkretne podrobnosti njihove obdelave, zlasti število oseb, ki imajo dostop do teh podatkov in načine dostopa do njih.
58 Pri tem tehtanju so upoštevna tudi razumna pričakovanja posameznika, na katerega se nanašajo osebni podatki, da ti podatki ne bodo obdelani, kadar ta posameznik v okoliščinah posameznega primera ne more razumno pričakovati, da bodo ti podatki obdelani.
59 Nazadnje, te elemente je treba tehtati s tem, kako pomemben je za etažne lastnike zadevne stavbe zakoniti interes, ki se v obravnavanem primeru uresničuje z zadevnim sistemom videonadzora, s katerim se zagotavlja predvsem varstvo njihovega premoženja, zdravja in življenja.
60 Glede na navedeno je treba na postavljena vprašanja odgovoriti, da je treba člen 6(1)(c) in člen 7(f) Direktive 95/46 v povezavi s členoma 7 in 8 Listine razlagati tako, da ne nasprotujeta nacionalnim določbam, ki dovoljujejo vzpostavitev sistema videonadzora, kot je zadevni sistem v postopku v glavni stvari, ki je nameščen v skupnih delih stanovanjske stavbe, za uresničevanje zakonitih interesov, ki vključujejo zaščito ter varstvo oseb in premoženja, brez privolitve posameznikov, na katere se nanašajo osebni podatki, če obdelava osebnih podatkov z zadevnim sistemom videonadzora izpolnjuje pogoje iz navedenega člena 7(f), kar mora preveriti predložitveno sodišče.
Stroški
61 Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (tretji senat) razsodilo:
Člen 6(1)(c) in člen 7(f) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov v povezavi s členoma 7 in 8 Listine Evropske unije o temeljnih pravicah je treba razlagati tako, da ne nasprotujeta nacionalnim določbam, ki dovoljujejo vzpostavitev sistema videonadzora, kot je zadevni sistem v postopku v glavni stvari, ki je nameščen v skupnih delih stanovanjske stavbe, za uresničevanje zakonitih interesov, ki vključujejo zaščito ter varstvo oseb in premoženja, brez privolitve posameznikov, na katere se nanašajo osebni podatki, če obdelava osebnih podatkov z zadevnim sistemom videonadzora izpolnjuje pogoje iz navedenega člena 7(f), kar mora preveriti predložitveno sodišče.
Podpisi
i Ime zastopnika za Irsko je bilo popravljeno po prvotni objavi na spletu.