DOMSTOLENS DOM (tredje avdelningen)
den 11 december 2019 (*)
[Text rättad genom beslut av den 13 februari 2020]
”Begäran om förhandsavgörande – Skydd för enskilda personer med avseende på behandling av personuppgifter – Europeiska unionens stadga om de grundläggande rättigheterna – Artiklarna 7 och 8 – Direktiv 95/46/EG – Artiklarna 6.1 c och 7 f – Villkor för att personuppgiftsbehandling ska kunna tillåtas – Nationell lagstiftning enligt vilken videoövervakning får användas för att garantera säkerhet och skydd för personer, egendom och andra tillgångar samt för att skydda berättigade intressen, utan den registrerades samtycke – Ett videoövervakningssystem har installerats i de gemensamma utrymmena i en bostadsfastighet”
I mål C‑708/18,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Tribunalul Bucureşti (Förstainstansdomstolen i Bukarest, Rumänien) genom beslut av den 2 oktober 2018, som inkom till domstolen den 6 november 2018, i målet
TK
mot
Asociaţia de Proprietari bloc M5A-ScaraA,
meddelar
DOMSTOLEN (tredje avdelningen)
sammansatt av avdelningsordföranden A. Prechal (referent) samt domarna L.S. Rossi, J. Malenovský, F. Biltgen och N. Wahl,
generaladvokat: G. Pitruzzella,
justitiesekreterare: A. Calot Escobar,
efter det skriftliga förfarandet,
med beaktande av de yttranden som avgetts av:
– Rumäniens regering, genom C.-R. Canţăr, O.-C. Ichim och A. Wellman, samtliga i egenskap av ombud,
– Tjeckiens regering, genom M. Smolek, J. Vláčil och O. Serdula, samtliga i egenskap av ombud,
– Danmarks regering, genom J. Nymann-Lindegren, M. Wolff och P. Z. L. Ngo, samtliga i egenskap av ombud,
– [I rättad lydelse enligt beslut av den 13 februari 2020] Irlands regering, genom M. Browne, G. Hodge och A. Joyce, samtliga i egenskap av ombud, biträdda av D. Fennelly, BL,
– Österrikes regering, inledningsvis genom G. Hesse och J. Schmoll, därefter av J. Schmoll, båda i egenskap av ombud,
– Portugals regering, genom L. Inez Fernandes, P. Barros da Costa, L. Medeiros, I. Oliveira och M. Cancela Carvalho, samtliga i egenskap av ombud,
– Europeiska kommissionen, genom H. Kranenborg, D. Nardi och L. Nicolae, samtliga i egenskap av ombud,
med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande,
följande
Dom
1 Begäran om förhandsavgörande avser tolkningen av artiklarna 6.1 e och 7 f i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31) samt av artiklarna 8 och 52 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).
2 Begäran har framställts i ett mål mellan TK och Asociaţia de Proprietari bloc M5A-ScaraA (bostadsrättsföreningen i fastigheten M5A-uppgång A, Rumänien) (nedan kallad bostadsrättsföreningen). Målet rör TK:s yrkande om att bostadsrättsföreningen ska föreläggas att avinstallera videoövervakningssystemet i nämnda fastighet och att avlägsna de övervakningskameror som är installerade i fastighetens gemensamma utrymmen.
Tillämpliga bestämmelser
Unionsrätt
3 Direktiv 95/46/EG har upphävts och ersatts, med verkan från och med den 25 maj 2018, genom Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EUT L 119, 2016, s. 1). Med hänsyn till tidpunkten för de faktiska omständigheterna i det nationella målet är emellertid bestämmelserna i direktiv 95/46 fortfarande tillämpliga i det målet.
4 Syftet med direktiv 95/46 var enligt artikel 1 i direktivet att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, samt att undanröja hinder för det fria flödet av sådana uppgifter.
5 I artikel 3.1 i direktiv 95/46 föreskrevs följande:
”Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.”
6 Kapitel II i direktiv 95/46 innehöll en avdelning I, med rubriken ”Principer om uppgifternas kvalitet”. Nämnda avdelning bestod av artikel 6 i direktivet, och där föreskrevs följande:
”1. Medlemsstaterna skall föreskriva att personuppgifter
a) skall behandlas på ett korrekt och lagligt sätt,
b) skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder,
c) skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas,
d) skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas,
e) förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.
2. Det åligger den [personuppgiftsansvarige] att säkerställa att punkt 1 efterlevs.”
7 Avdelning II i kapitel II i direktiv 95/46 hade rubriken ”Principer som gör att uppgiftsbehandling kan tillåtas”. Nämnda avdelning bestod av artikel 7 i direktivet, och där föreskrevs följande:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
a) den registrerade otvetydigt har lämnat sitt samtycke, eller
b) behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås, eller
c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den [personuppgiftsansvarige], eller
d) behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade, eller
e) behandlingen är nödvändig för att utföra en [uppgift] av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den [personuppgiftsansvarige] eller tredje man till vilken uppgifterna har lämnats ut, eller
f) behandlingen är nödvändig för ändamål som rör berättigade intressen hos den [personuppgiftsansvarige] eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd [enligt] artikel 1.1.”
Rumänsk rätt
8 Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date (lag nr 677/2001 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter) (Monitorul Oficial, del I, nr 790, av den 12 december 2001), i dess lydelse enligt lag nr 102/2005 och brådskande regeringsdekret nr 36/2007, är med hänsyn till tidpunkten för de faktiska omständigheterna i det nationella målet tillämplig i det målet. Denna lag antogs för att införliva direktiv 95/46 med rumänsk rätt.
9 I artikel 5 i denna lag föreskrevs följande:
”1. Med undantag för behandling av personuppgifter som hör till de kategorier som anges i artikel 7.1 och i artiklarna 8 och 10, får personuppgiftsbehandling endast ske om den registrerade har lämnat sitt uttryckliga och otvetydiga samtycke till behandlingen.
2. Den registrerades samtycke krävs dock inte i följande fall:
a) Om behandlingen är nödvändig för att fullgöra ett avtal eller ett föravtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett avtal eller föravtal ingås.
b) Om behandlingen är nödvändig för att skydda den registrerades eller någon annan riskutsatt persons liv, fysiska integritet eller hälsa.
c) Om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
d) Om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige eller tredje man till vilken uppgifterna har lämnats ut.
e) Om behandlingen är nödvändig för ändamål som rör berättigade intressen hos den personuppgiftsansvarige eller hos tredje man till vilka uppgifterna har lämnats ut, under förutsättning att sådana intressen inte inverkar menligt på den registrerades intressen eller dennes grundläggande fri- och rättigheter.
f) Om behandlingen rör uppgifter som hämtats från allmänt tillgängliga handlingar, i enlighet med lagen.
g) Om behandlingen utförs uteslutande för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål, och uppgifterna förblir anonyma under hela behandlingen.
3. Bestämmelserna i punkt 2 påverkar inte de lagbestämmelser som reglerar de myndigheternas skyldighet att respektera och skydda den intima sfären, familjelivet och privatlivet.”
10 I artikel 1 i beslut nr 52/2012 från Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (den nationella tillsynsmyndigheten för behandling av personuppgifter, Rumänien) (nedan kallad ANSPDCP) avseende behandling av personuppgifter genom användning av videoövervakning, i den lydelse som är tillämplig i det nationella målet, angavs följande:
”Insamling, registrering, lagring, användning, överföring, utlämnande eller annan behandling av bilder med hjälp av videoövervakning, vilka direkt eller indirekt gör det möjligt att identifiera fysiska personer, utgör personuppgiftsbehandling som omfattas av tillämpningsområdet för [lag nr 677/2001].”
11 I artikel 4 i nämnda beslut angavs följande:
”Videoövervakning får huvudsakligen ske för följande ändamål:
a) Brottsförebyggande och brottsbekämpning.
b) Trafikövervakning och utredning av trafikbrott.
c) Säkerhet och skydd för personer, egendom och andra tillgångar, byggnader samt allmännyttiga anläggningar och deras inhägnader.
d) Genomförande av åtgärder av allmänt intresse eller för myndighetsutövning.
e) För att skydda berättigade intressen, under förutsättning att detta inte inverkar menligt på den registrerades grundläggande fri- och rättigheter.”
12 I artikel 5.1–5.3 i beslutet angavs följande:
”1. Videoövervakning får ske på platser och i lokaler som är öppna eller avsedda för allmänheten, inbegripet på allmänna tillfartsvägar som är belägna på offentlig eller privat mark, på de villkor som föreskrivs i lag.
2. Videoövervakningskameror ska installeras på ett sätt som gör att de är synliga.
3. Användning av dold videoövervakning är förbjuden, utom i de fall som föreskrivs i lag.”
13 I artikel 6 i beslutet angavs följande:
”Personuppgiftsbehandling genom videoövervakning får ske om den registrerade har lämnat sitt uttryckliga och otvetydiga samtycke eller i de fall som avses i artikel 5.2 i lag nr 677/2001 …”
Målet vid den nationella domstolen och tolkningsfrågorna
14 TK bor i en bostadsrättslägenhet i fastigheten M5A. På begäran av vissa bostadsrättsinnehavare i fastigheten beslutade bostadsrättsföreningen vid föreningsstämman den 7 april 2016 att installera videoövervakningskameror i fastigheten.
15 Med stöd av nämnda beslut installerades tre videokameror i de gemensamma utrymmena i fastigheten M5A. Den första kameran var riktad mot fasaden, medan den andra och den tredje kameran installerades i entréhallen på bottenvåningen och i hissen.
16 TK motsatte sig installationen av nämnda videoövervakningssystem, eftersom han ansåg att den utgjorde ett åsidosättande av rätten till respekt för privatlivet.
17 Trots att TK vidtog en rad åtgärder och att bostadsrättsföreningen skriftligen hade medgett att det videoövervakningssystem som installerats var olagligt, fortsatte användningen därav. TK väckte då talan vid den hänskjutande domstolen, Tribunalul Bucureşti (Förstainstansdomstolen i Bukarest, Rumänien), och yrkade att bostadsrättsföreningen skulle åläggas att vid vite avlägsna de tre kamerorna och att avinstallera videoövervakningssystemet.
18 Till stöd för sitt yrkande gjorde TK gällande att videoövervakningssystemet stred mot unionens primär- och sekundärrätt – i synnerhet rätten till respekt för privatlivet – och nationell lagstiftning om rätten till respekt för privatlivet. Han anförde vidare att bostadsrättsföreningen hade tagit på sig uppgiften att vara personuppgiftsansvarig utan att följa det registreringsförfarande som föreskrivs för detta ändamål i lagen.
19 Bostadsrättsföreningen anförde å sin sida att beslutet att installera ett videoövervakningssystem hade fattats för att på ett så effektivt sätt som möjligt kunna kontrollera vilka personer som kommer och går i fastigheten. Bakgrunden var att hissen hade vandaliserats vid flera tillfällen och att det hade skett inbrott och stölder i flera lägenheter och i de gemensamma utrymmena.
20 Bostadsrättsföreningen anförde vidare att andra åtgärder som den tidigare hade vidtagit, det vill säga installation av ett inpasseringssystem med porttelefon och magnetkort, inte hade förhindrat inbrott och stölder vid upprepade tillfällen.
21 Bostadsrättsföreningen överlämnade dessutom till TK det protokoll som den hade upprättat med det bolag som hade installerat videoövervakningssystemet. Av detta framgick att systemets hårddisk hade raderats och kopplats ur, att systemet hade avinstallerats och att det inspelade bildmaterialet hade raderats. Dessa åtgärder hade vidtagits den 21 oktober 2016.
22 Bostadsrättsföreningen överlämnade även ett annat protokoll från den 18 maj 2017, av vilket det framgick att de tre videokamerorna hade avinstallerats. I nyss nämnda protokoll angavs att bostadsrättsföreningen under tiden hade slutfört det förfarande som gjorde det möjligt att bli registrerad som personuppgiftsansvarig.
23 TK anförde emellertid vid den hänskjutande domstolen att de tre videokamerorna fortfarande satt uppe.
24 Den hänskjutande domstolen har i sin begäran om förhandsavgörande angett att det i artikel 5 i lag nr 677/2001 som huvudregel föreskrivs att personuppgiftsbehandling, såsom inspelning av bilder med hjälp av ett videoövervakningssystem, endast får ske om den registrerade uttryckligen och otvetydigt har lämnat sitt samtycke. I artikel 5.2 i lagen anges emellertid att undantag får göras från denna huvudregel i ett antal fall, bland annat om personuppgiftsbehandlingen är nödvändig för att skydda den registrerades eller någon annan riskutsatt persons liv, fysiska integritet eller hälsa. I ANSPSP:s beslut nr 52/2012 föreskrivs ett motsvarande undantag.
25 Den hänskjutande domstolen har vidare hänvisat till artikel 52.1 i stadgan, som slår fast principen att det måste finnas ett proportionalitetsförhållande mellan det mål som eftersträvas med ingreppet i medborgarnas fri- och rättigheter och de medel som används.
26 Enligt den hänskjutande domstolen förefaller emellertid det i målet aktuella videoövervakningssystemet inte ha använts på ett sätt eller för ett ändamål som inte svarade mot det ändamål som angetts av bostadsrättsföreningen, nämligen att skydda de registrerades – det vill säga bostadsrättsinnehavarna i den fastighet där systemet har installerats – liv, fysiska integritet och hälsa.
27 Det är mot denna bakgrund som Tribunalul Bucureşti (Förstainstansdomstolen i Bukarest) har beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1. Ska artiklarna 8 och 52 i stadgan och artikel 7 f i direktiv 95/46 tolkas på så sätt att de utgör hinder för nationella bestämmelser som de här aktuella, det vill säga artikel 5.2 i [lag nr 677/2001] och artikel 6 i [ANSPSP:s beslut nr 52/2012], enligt vilka videoövervakning får användas för att garantera säkerhet och skydd för personer, egendom och andra tillgångar samt att skydda berättigade intressen, utan den registrerades samtycke?
2. Ska artiklarna 8 och 52 i stadgan tolkas på så sätt att den begränsning i utövandet av medborgarnas rättigheter och friheter som följer av videoövervakning är förenlig med proportionalitetsprincipen och uppfyller nödvändighetskravet samt svarar mot både mål av allmänt samhällsintresse och behovet av att skydda andras rättigheter och friheter, om den personuppgiftsansvarige har möjlighet att vidta andra åtgärder för att skydda det berörda berättigade intresset?
3. Ska artikel 7 f i direktiv 95/46 tolkas på så sätt att den personuppgiftsansvarige måste styrka att denne avser att skydda ett faktiskt ’berättigat intresse’ vid tidpunkten för personuppgiftsbehandlingen?
4. Ska artikel 6.1 e i direktiv 95/46 tolkas på så sätt att en personuppgiftsbehandling (videoövervakning) är orimlig eller olämplig, om den personuppgiftsansvarige har möjlighet att vidta andra åtgärder för att skydda det berörda berättigade intresset?”
Prövning av tolkningsfrågorna
28 Domstolen konstaterar för det första att även om den hänskjutande domstolen i sin fjärde fråga har hänvisat till artikel 6.1 e i direktiv 95/46, har den inte lämnat någon förklaring till på vilket sätt den bestämmelsen skulle vara relevant för att avgöra det nationella målet.
29 Nämnda bestämmelse avser nämligen endast de krav som lagringen av personuppgifter ska uppfylla. Det finns emellertid ingenting i handlingarna i målet som tyder på att det nationella målet rör denna aspekt.
30 I den mån den hänskjutande domstolen däremot har ställt denna fråga för att få klarhet i huruvida installationen av ett videoövervakningssystem, som det som är aktuellt i det nationella målet, står i proportion till de mål som eftersträvas, finner EU-domstolen att frågan huruvida de personuppgifter som samlats in genom nämnda system uppfyller kravet på proportionalitet hänför sig till tolkningen av artikel 6.1 c i direktiv 95/46.
31 Den sistnämnda bestämmelsen ska beaktas vid prövningen av huruvida det andra villkoret för att artikel 7 f i direktiv 95/46 ska vara tillämplig är uppfyllt, nämligen att personuppgiftsbehandlingen måste vara ”nödvändig” för ändamål som rör det berörda berättigade intresset.
32 För det andra kan det konstateras att den hänskjutande domstolen i den första och den andra frågan har hänvisat till artiklarna 8 och 52 i stadgan, antingen för sig eller jämförda med artikel 7 f i direktiv 95/46. Det villkor som anges i nyss nämnda bestämmelse innebär att personuppgiftsbehandling inte får ske om den registrerades grundläggande fri- och rättigheter väger tyngre än det berättigade intresse som den personuppgiftsansvarige eller den eller de tredje män till vilka uppgifterna har lämnats ut avser att skydda med behandlingen. Domstolen har redan slagit fast att det vid bedömningen av nämnda villkor är nödvändigt att göra en avvägning mellan de aktuella motstående rättigheterna och intressena mot bakgrund av de konkreta omständigheterna i det enskilda fallet samt att ta hänsyn till betydelsen av den registrerades rättigheter enligt artiklarna 7 och 8 i stadgan (dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 och C‑469/10, EU:C:2011:777, punkt 40). Av detta följer att artiklarna 8 och 52 i stadgan inte ska tillämpas för sig i det nu aktuella fallet.
33 Mot bakgrund av det nyss anförda finner domstolen att den hänskjutande domstolen har ställt sina frågor, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 6.1 c och artikel 7 f i direktiv 95/46, jämförda med artiklarna 7 och 8 i stadgan, ska tolkas på så sätt att de utgör hinder för nationella bestämmelser enligt vilka ett videoövervakningssystem – som det som är aktuellt i det nationella målet – som installerats i de gemensamma utrymmena i en bostadsfastighet får användas för att skydda berättigade intressen bestående i att garantera säkerhet och skydd för personer och egendom, utan de registrerades samtycke.
34 Domstolen erinrar om att övervakning som sker med hjälp av videoinspelning av personer, där bilderna kontinuerligt sparas på ett lagringsmedium, det vill säga en hårddisk, utgör automatiserad personuppgiftsbehandling, i enlighet med artikel 3.1 i direktiv 95/46 (dom av den 11 december 2014, Ryneš, C‑212/13, EU:C:2014:2428, punkt 25).
35 Ett videokameraövervakningssystem ska därmed anses utgöra automatiserad personuppgiftsbehandling, i den mening som avses i nyss nämnda bestämmelse, om man med det system som används kan spela in och lagra personuppgifter i form av bilder som gör det möjligt att identifiera fysiska personer. Det ankommer på den hänskjutande domstolen att pröva huruvida det system som är aktuellt i det nationella målet har sådana egenskaper.
36 Det kan vidare konstateras att all behandling av personuppgifter dels ska stå i överensstämmelse med de principer om uppgifternas kvalitet som anges i artikel 6 i direktiv 95/46, dels ska svara mot någon av de principer som gör att personuppgiftsbehandlingen kan tillåtas, vilka anges i artikel 7 i direktivet (dom av den 13 maj 2014, Google Spain och Google, C‑131/12, EU:C:2014:317, punkt 71 och där angiven rättspraxis).
37 Artikel 7 i direktiv 95/46 innehåller en uttömmande och begränsande uppräkning av de fall där personuppgiftsbehandling kan anses vara tillåten. Medlemsstaterna får varken foga ytterligare principer för tillåtligheten av behandlingen av personuppgifter till dem som nämns i den artikeln eller föreskriva ytterligare villkor som påverkar räckvidden av de sex principer som föreskrivs däri (dom av den 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punkt 57).
38 För att en personuppgiftsbehandling ska kunna anses vara tillåten måste den följaktligen omfattas av något av de sex fall som anges i artikel 7 i direktiv 95/46.
39 De frågor som den hänskjutande domstolen har ställt avser i synnerhet den i artikel 7 f i direktivet angivna principen om tillåtlighet av personuppgiftsbehandling. Denna bestämmelse har införlivats med den rumänska rättsordningen genom artikel 5.2 e i lag nr 677/2001, till vilken det även hänvisas i artikel 6 i ANSPDCP:s beslut nr 52/2012 vad särskilt avser personuppgiftsbehandling genom användning av videoövervakning.
40 I artikel 7 f i direktiv 95/46 föreskrivs således tre kumulativa villkor för att personuppgiftsbehandling ska vara tillåten. Det första villkoret är att den personuppgiftsansvarige eller den eller de tredje män till vilka uppgifterna har lämnats ut avser att skydda ett berättigat intresse. Det andra villkoret är att personuppgiftsbehandlingen är nödvändig för att skydda det aktuella berättigade intresset. Det tredje villkoret är att den registrerades grundläggande fri- och rättigheter inte väger tyngre än det berättigade intresse som personuppgiftsbehandlingen avser att skydda (dom av den 4 maj 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punkt 28).
41 Det ska påpekas att artikel 7 f i direktiv 95/46 inte innehåller något krav på samtycke från den registrerade. Ett sådant samtycke krävs endast enligt artikel 7 a i detta direktiv, där det dock utgör ett villkor för att personuppgiftsbehandling ska kunna ske.
42 Vad beträffar det nu aktuella fallet gör domstolen följande bedömning. Det ändamål som den personuppgiftsansvarige i allt väsentligt avser att skydda genom att installera ett videoövervakningssystem av det slag som är aktuellt i det nationella målet, det vill säga att skydda bostadsrättsinnehavares egendom, hälsa och liv, kan anses utgöra ett ”berättigat intresse”, i den mening som avses i artikel 7 f i direktiv 95/46. Det första villkoret i den bestämmelsen får således i princip anses vara uppfyllt (se, analogt, dom av den 11 december 2014, Ryneš, C‑212/13, EU:C:2014:2428, punkt 34).
43 Den hänskjutande domstolen undrar emellertid om det nyss nämnda villkoret ska förstås på så sätt att den personuppgiftsansvarige måste ”styrka” det intresse som denne avser att skydda och att det dessutom måste vara fråga om ett ”faktiskt intresse vid tidpunkten för personuppgiftsbehandlingen”.
44 I det avseendet finner domstolen – i likhet med vad den rumänska och den tjeckiska regeringen, Irland, den österrikiska regeringen, den portugisiska regeringen och kommissionen har gjort gällande – att det av det förhållandet att det enligt artikel 7 f i direktiv 95/46 krävs att den personuppgiftsansvarige eller den eller de tredje män till vilka uppgifterna har lämnats ut avser att skydda ett berättigat intresse följer att det ska vara fråga om ett faktiskt intresse vid tidpunkten för personuppgiftsbehandlingen och inte ett intresse som är hypotetiskt vid den tidpunkten. Det kan dock inte vid bedömningen av samtliga omständigheter i det enskilda fallet anses föreligga ett krav på att det tidigare har förelegat en fara för säkerheten för personer och egendom.
45 I ett fall som det som är aktuellt i det nationella målet förefaller villkoret att det ska föreligga ett faktiskt intresse under alla omständigheter vara uppfyllt, eftersom den hänskjutande domstolen har angett att det hade förekommit stölder, inbrott och skadegörelse innan videoövervakningssystemet installerades, trots att man i entrén till fastigheten hade installerat ett säkerhetssystem med porttelefon och magnetkort.
46 Vad beträffar det andra villkoret i artikel 7 f i direktiv 95/46, det vill säga att personuppgiftsbehandlingen ska vara nödvändig för att skydda det aktuella berättigade intresset, följer det av domstolens praxis att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är absolut nödvändigt (dom av den 4 maj 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punkt 30 och där angiven rättspraxis).
47 Detta villkor innebär att den hänskjutande domstolen måste kontrollera att det berättigade intresse av personuppgiftsbehandling som den i det nationella målet aktuella videoövervakningen är avsedd att skydda – det vill säga att garantera säkerheten för personer och egendom och att förebygga brott – inte rimligen kan skyddas på ett lika effektivt sätt genom andra medel som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i stadgan.
48 Domstolen finner vidare, i likhet med vad kommissionen har gjort gällande, att villkoret om att personuppgiftsbehandlingen ska vara nödvändig ska prövas tillsammans med principen om så kallad uppgiftsminimering i artikel 6.1 c i direktiv 95/46, enligt vilken personuppgifter ska vara ”adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas”.
49 Det framgår av handlingarna i målet att de krav som är kopplade till proportionaliteten i den nu aktuella personuppgiftsbehandlingen förefaller ha beaktats. Det är nämligen utrett att bostadsrättsföreningen inledningsvis vidtog alternativa åtgärder i form av att i entrén till fastigheten installera ett säkerhetssystem med porttelefon och magnetkort, men att detta visade sig vara otillräckligt. Härtill kommer att det aktuella videoövervakningssystemet endast täcker fastighetens gemensamma utrymmen och entré.
50 Frågan huruvida personuppgiftsbehandling som sker med hjälp av ett videoövervakningssystem är proportionerlig ska emellertid bedömas med beaktande av hur systemet konkret är inrättat och fungerar, vilket ska ske på ett sätt som begränsar systemets inverkan på de registrerades fri- och rättigheter samtidigt som dess effektivitet garanteras.
51 Som kommissionen har gjort gällande innebär villkoret att personuppgiftsbehandlingen ska vara nödvändig att den personuppgiftsansvarige till exempel måste undersöka om det är tillräckligt att videoövervakningen sker endast nattetid eller utanför normal arbetstid samt blockera bilder som spelats in i områden där övervakningen inte är nödvändig eller göra dessa bilder suddiga.
52 Domstolen övergår slutligen till att behandla det tredje villkoret i artikel 7 f i direktiv 95/46, det vill säga att personuppgiftsbehandling endast får ske om den registrerades grundläggande fri- och rättigheter inte väger tyngre än det berättigade intresse som den personuppgiftsansvarige eller den eller de tredje män till vilka uppgifterna har lämnats ut avser att skydda med behandlingen. Såsom anförts ovan i punkt 32 är det vid bedömningen av nämnda villkor nödvändigt att göra en avvägning mellan de aktuella motstående rättigheterna och intressena mot bakgrund av de konkreta omständigheterna i det enskilda fallet samt att ta hänsyn till betydelsen av den registrerades rättigheter enligt artiklarna 7 och 8 i stadgan.
53 I det avseendet följer det av domstolens praxis att artikel 7 f i direktiv 95/46 utgör hinder för att en medlemsstat kategoriskt och generellt utesluter möjligheten att behandla vissa typer av personuppgifter utan att tillåta en avvägning mellan de motstående rättigheterna och intressena i det enskilda fallet. Detta innebär att en medlemsstat inte kan anses ha rätt att, vad beträffar dessa typer av personuppgifter, slutgiltigt ange vad resultatet av avvägningen mellan de motstående rättigheterna och intressena blir utan att tillåta ett annat resultat med hänsyn till de särskilda omständigheterna i det enskilda fallet. (se dom av den 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punkt 62).
54 Av domstolens praxis följer även att det är möjligt att vid nyss nämnda avvägning beakta det förhållandet att allvaret i den kränkning av den registrerades grundläggande rättigheter som personuppgiftsbehandlingen innebär kan variera beroende på om det är möjligt att få tillgång till de aktuella personuppgifterna i allmänt tillgängliga källor (se, för ett liknande resonemang, dom av den 4 maj 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punkt 32).
55 Till skillnad från behandling av personuppgifter som finns i allmänt tillgängliga källor, innebär behandling av personuppgifter som finns i källor som inte är allmänt tillgängliga att uppgifter om den registrerades privatliv blir kända för den personuppgiftsansvarige och, i förekommande fall, för den eller de tredje män till vilka uppgifterna lämnas ut. Denna allvarligare kränkning av den registrerades rättigheter enligt artiklarna 7 och 8 i stadgan ska beaktas och vägas mot det berättigade intresse som den personuppgiftsansvarige eller den eller de tredje män till vilka uppgifterna har lämnats ut avser att skydda (se, för ett liknande resonemang, dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 och C‑469/10, EU:C:2011:777, punkt 45).
56 Kriteriet avseende allvaret i kränkningen av den registrerades fri- och rättigheter utgör en central del i den avvägning som ska göras i det enskilda fallet enligt artikel 7 f i direktiv 95/46.
57 I det avseendet ska hänsyn bland annat tas till vilken typ av personuppgifter det är fråga om, i synnerhet till att det kan vara fråga om känsliga uppgifter. Vidare ska det tas hänsyn till vilken typ av personuppgiftsbehandling det är fråga om och hur denna konkret går till, varvid det särskilt ska beaktas hur många personer som har tillgång till personuppgifterna och formerna för åtkomst till dessa.
58 Vid nämnda avvägning är även den registrerades rimliga förväntningar på att dennes personuppgifter inte kommer att behandlas relevanta, om den registrerade – under omständigheterna i det aktuella fallet – inte rimligen kan förvänta sig att en sådan behandling kan komma att ske.
59 Slutligen ska de nyss nämnda faktorerna vägas mot den betydelse som samtliga bostadsrättsinnehavare i den berörda fastigheten tillmäter det berättigade intresse som det aktuella videoövervakningssystemet är avsett att skydda, eftersom detta intresse i allt väsentligt består i att garantera skyddet för bostadsrättsinnehavarnas egendom, hälsa och liv.
60 Mot bakgrund av det ovan anförda ska tolkningsfrågorna besvaras enligt följande. Artikel 6.1 c och artikel 7 f i direktiv 95/46, jämförda med artiklarna 7 och 8 i stadgan, ska tolkas på så sätt att de inte utgör hinder för nationella bestämmelser enligt vilka ett videoövervakningssystem – som det som är aktuellt i det nationella målet – som installerats i de gemensamma utrymmena i en bostadsfastighet får användas för att skydda berättigade intressen bestående i att garantera säkerhet och skydd för personer och egendom, utan de registrerades samtycke. Detta gäller under förutsättning att den personuppgiftsbehandling som sker genom det aktuella videoövervakningssystemet uppfyller de villkor som anges i artikel 7 f i direktiv 95/46, vilket det ankommer på den hänskjutande domstolen att kontrollera.
Rättegångskostnader
61 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:
Artiklarna 6.1 c och 7 f i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, jämförda med artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna, ska tolkas på så sätt att de inte utgör hinder för nationella bestämmelser enligt vilka ett videoövervakningssystem – som det som är aktuellt i det nationella målet – som installerats i de gemensamma utrymmena i en bostadsfastighet får användas för att skydda berättigade intressen bestående i att garantera säkerhet och skydd för personer och egendom, utan de registrerades samtycke. Detta gäller under förutsättning att den personuppgiftsbehandling som sker genom det aktuella videoövervakningssystemet uppfyller de villkor som anges i artikel 7 f i direktiv 95/46, vilket det ankommer på den hänskjutande domstolen att kontrollera.
Underskrifter