HOTĂRÂREA CURȚII (Camera a patra)
11 decembrie 2014(*)
„Trimitere preliminară – Directiva 95/46/CE – Protecția persoanelor fizice – Prelucrarea datelor cu caracter personal – Noțiunea «exercitarea unor activități exclusiv personale sau domestice»”
În cauza C‑212/13,
având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Nejvyšší správní soud (Republica Cehă), prin decizia din 20 martie 2013, primită de Curte la 19 aprilie 2013, în procedura
František Ryneš
împotriva
Úřad pro ochranu osobních údajů,
CURTEA (Camera a patra),
compusă din domnul L. Bay Larsen, președinte de cameră, domnii J. Malenovský și M. Safjan (raportor) și doamna A. Prechal, judecători,
avocat general: domnul N. Jääskinen,
grefier: domnul I. Illessy, administrator,
având în vedere procedura scrisă și în urma ședinței din 20 martie 2014,
luând în considerare observațiile prezentate:
– pentru domnul Ryneš, de M. Šalomoun, advokát;
– pentru Úřad pro ochranu osobních údajů, de I. Němec, advokát, și de J. Prokeš;
– pentru guvernul ceh, de M. Smolek și de J. Vláčil, în calitate de agenți;
– pentru guvernul spaniol, de A. Rubio González, în calitate de agent;
– pentru guvernul italian, de G. Palmieri, în calitate de agent, asistată de P. Gentili, avvocato dello Stato;
– pentru guvernul austriac, de A. Posch și de G. Kunnert, în calitate de agenți;
– pentru guvernul polonez, de B. Majczyna, de J. Fałdyga și de M. Kamejsza, în calitate de agenți;
– pentru guvernul portughez, de L. Inez Fernandes și de C. Vieira Guerra, în calitate de agenți;
– pentru guvernul Regatului Unit, de L. Christie, în calitate de agent, asistat de J. Holmes, barrister;
– pentru Comisia Europeană, de B. Martenczuk, de P. Němečková și de Z. Malůšková, în calitate de agenți,
după ascultarea concluziilor avocatului general în ședința din 10 iulie 2014,
pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 3 alineatul (2) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO L 281, p. 31, Ediție specială, 13/vol. 17, p. 10).
2 Această cerere a fost formulată în cadrul unui litigiu între domnul Ryneš, pe de o parte, și Úřad pro ochranu osobních údajů (Oficiul pentru protecția datelor cu caracter personal, denumit în continuare „Úřad”), pe de altă parte, cu privire la decizia prin care acesta din urmă a constatat că domnul Ryneš săvârșise mai multe încălcări în ceea ce privește protecția datelor cu caracter personal.
Cadrul juridic
Dreptul Uniunii
3 Considerentele (10), (12) și (14)-(16) ale Directivei 95/46 au următorul cuprins:
„(10) […] obiectivul legislației interne privind prelucrarea datelor cu caracter personal este de a proteja drepturile și libertățile fundamentale, inclusiv dreptul la viață privată care este recunoscut atât prin articolul 8 din Convenția Europeană pentru apărarea drepturilor omului și a libertăților fundamentale, cât și în principiile generale ale dreptului comunitar; […] din acest motiv, apropierea acestor legislații nu trebuie să aibă ca rezultat scăderea protecției pe care o oferă, ci trebuie, dimpotrivă, să încerce să asigure un nivel înalt de protecție în Comunitate;
[…]
(12) […] trebuie excluse prelucrările de date efectuate de o persoană fizică în exercitarea unor activități exclusiv personale sau domestice, precum corespondența și păstrarea repertoarului de adrese;
[…]
(14) […] ținând seama de importanța evoluției, în cadrul societății informaționale, a tehnicilor utilizate pentru captarea, transmiterea, manipularea, înregistrarea, stocarea sau comunicarea datelor constituite din sunete și imagini privind persoane fizice, prezenta directivă se aplică prelucrării unor astfel de date;
(15) […] prelucrarea datelor este reglementată de prezenta directivă numai dacă este automatizată sau dacă datele prelucrate sunt cuprinse sau sunt destinate să fie cuprinse într‑un sistem de evidență structurat în conformitate cu criteriile specifice privind persoanele, astfel încât să permită accesul ușor la datele cu caracter personal în cauză;
(16) […] prelucrarea datelor constituite din sunete și imagini, cum este cazul supravegherilor video, nu intră în domeniul de aplicare a prezentei directive, dacă sunt efectuate în scopuri de siguranță publică, apărare, securitate națională ori în cursul activităților statului din domeniul dreptului penal sau în cursul altor activități care nu intră în domeniul de aplicare a dreptului comunitar.”
4 Potrivit articolului 2 din această directivă:
„În sensul prezentei directive:
(a) «date cu caracter personal» înseamnă orice informație referitoare la o persoană fizică identificată sau identificabilă (persoana vizată); o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire […] la unul sau mai multe elemente specifice, proprii identității sale fizice […];
(b) «prelucrarea datelor cu caracter personal» (prelucrare) înseamnă orice operațiune sau set de operațiuni care se efectuează asupra datelor cu caracter personal, prin mijloace automatizate sau neautomatizate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, difuzarea sau punerea la dispoziție în orice alt mod, alăturarea ori combinarea, blocarea, ștergerea sau distrugerea;
(c) «sistem de evidență a datelor cu caracter personal» (sistem de evidență) înseamnă orice serie structurată de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate după criterii funcționale sau geografice;
(d) «operator» înseamnă persoana fizică […] care, singur[ă] sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal […].”
5 Articolul 3 din directiva menționată prevede:
„(1) Prezenta directivă se aplică prelucrării automate, în totalitate sau parțial, precum și prelucrării neautomate a datelor cu caracter personal, conținute sau care urmează să fie conținute într‑un sistem de evidență a datelor cu caracter personal.
(2) Prezenta directivă nu se aplică prelucrării datelor cu caracter personal:
– puse în practică pentru exercitarea activităților din afara domeniului de aplicare a dreptului comunitar, cum ar fi cele prevăzute în titlurile V și VI din Tratatul privind Uniunea Europeană și, în orice caz, prelucrărilor care au ca obiect siguranța publică, apărarea, securitatea statului (inclusiv bunăstarea economică a statului atunci când aceste prelucrări sunt legate de probleme de securitate a statului) și activitățile statului în domeniul dreptului penal,
– efectuate de către o persoană fizică în cursul unei activități exclusiv personale sau domestice.”
6 Articolul 7 din aceeași directivă are următorul cuprins:
„Statele membre prevăd ca datele cu caracter personal să fie prelucrate numai dacă:
(a) persoana vizată și‑a dat consimțământul neechivoc sau
[…]
(f) prelucrarea este necesară pentru realizarea interesului legitim urmărit de operator sau de către unul sau mai mulți terți, cu condiția ca acest interes să nu prejudicieze interesul sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protecție în temeiul articolului 1 alineatul (1).”
7 Articolul 11 din Directiva 95/46 prevede:
„(1) Atunci când datele nu au fost colectate de la persoana vizată, statele membre prevăd obligativitatea ca operatorul […], în momentul înregistrării datelor cu caracter personal […], să furnizeze persoanei vizate cel puțin informațiile menționate mai jos, cu excepția cazului în care persoana vizată este deja informată cu privire la aceste date:
(a) identitatea operatorului […];
(b) scopurile prelucrării;
(c) orice alte informații suplimentare, cum ar fi:
– categoriile de date în cauză;
– destinatarii sau categoriile de destinatari ai datelor;
– existența dreptului de acces la datele care o privesc și de rectificare a datelor cu caracter personal,
în măsura în care, ținând seama de circumstanțele specifice în care sunt colectate datele, astfel de informații suplimentare sunt necesare pentru asigurarea unei prelucrări corecte a datelor cu privire la persoana vizată.
(2) Alineatul (1) nu se aplică atunci când, în special în cazul prelucrării în scopuri statistice sau de cercetare istorică ori științifică, informarea persoanei vizate se dovedește a fi imposibilă, implică eforturi disproporționate sau dacă legislația prevede expres înregistrarea ori comunicarea datelor. În aceste cazuri, statele membre prevăd garanții corespunzătoare.”
8 Articolul 13 alineatul (1) din această directivă prevede:
„Statele membre pot adopta măsuri legislative pentru a restrânge domeniul obligațiilor și drepturilor prevăzute la articolul […] 11 alineatul (1) […], dacă o astfel de restricție constituie o măsură necesară pentru a proteja:
[…]
(d) prevenirea, investigarea, detectarea și punerea sub urmărire a infracțiunilor sau a încălcării eticii în cazul profesiunilor reglementate;
[…]
g) protecția […] drepturilor și libertăților altora.”
9 Potrivit articolului 18 alineatul (1) din directiva menționată:
„Statele membre prevăd notificarea de către operator […] a autorității de supraveghere […] înainte de efectuarea prelucrării total sau parțial automatizate destinate să servească unui scop sau mai multor scopuri legate între ele.”
Dreptul ceh
10 Articolul 3 alineatul 3 din Legea nr. 101/2000 Sb. privind protecția datelor cu caracter personal și de modificare a mai multor legi (denumită în continuare „Legea nr. 101/2000”) prevede:
„Prezenta lege nu include în domeniul său de aplicare prelucrarea datelor cu caracter personal efectuată de către o persoană fizică exclusiv pentru uzul personal.”
11 Articolul 44 alineatul 2 din această lege reglementează răspunderea persoanei care prelucrează date cu caracter personal, care săvârșește o încălcare în măsura în care aceasta prelucrează date cu caracter personal fără consimțământul persoanei vizate, atunci când nu furnizează persoanei vizate informațiile relevante și nu îndeplinește obligația de notificare către autoritatea competentă.
12 Potrivit articolului 5 alineatul 2 din legea menționată, prelucrarea datelor cu caracter personal este posibilă în principiu numai cu consimțământul persoanei vizate. În lipsa unui asemenea consimțământ, respectiva prelucrare se poate efectua în cazul în care acest lucru este necesar pentru protecția drepturilor și a intereselor protejate prin lege ale operatorului, ale destinatarului sau ale altor persoane vizate. Cu toate acestea, prelucrarea nu trebuie să aducă atingere dreptului persoanei vizate la respectarea vieții sale private și personale.
Litigiul principal și întrebarea preliminară
13 În perioada cuprinsă între 5 octombrie 2007 și 11 aprilie 2008, domnul Ryneš a instalat și a utilizat un sistem de supraveghere video amplasat sub streașina locuinței familiei sale. Camera video era fixă, fără posibilitate de rotire, și filma intrarea în această locuință, drumul public, precum și intrarea în locuința situată vizavi. Sistemul permitea numai înregistrarea video, care era stocată pe un echipament de înregistrare în mod continuu, și anume pe un hard disk. Odată atinsă capacitatea acestuia, echipamentul efectua o nouă înregistrare peste înregistrarea existentă. În echipamentul de înregistrare menționat nu era inclus niciun monitor, astfel că imaginea nu putea fi vizualizată imediat. Numai domnul Ryneš avea acces direct la sistem și la date.
14 Instanța de trimitere arată că singurul motiv de utilizare a acestei camere video de către domnul Ryneš era de a proteja proprietatea, sănătatea și viața sa, precum și ale familiei sale. Astfel, timp de mai mulți ani, atât domnul Ryneš, cât și familia sa făcuseră obiectul unor atacuri din partea unui necunoscut care nu a putut fi identificat. În plus, între 2005 și 2007, geamurile locuinței familiei sale au fost sparte în mai multe rânduri.
15 În noaptea de 6 spre 7 octombrie 2007 a avut loc un alt atac. Un geam al locuinței în discuție a fost spart cu o aruncătură de praștie. Datorită sistemului de supraveghere video în discuție au putut fi identificați doi suspecți. Înregistrările au fost predate poliției și au fost invocate ulterior ca mijloc de probă în cadrul procedurii penale începute.
16 Întrucât unul dintre suspecți a solicitat verificarea legalității sistemului de supraveghere al domnului Ryneš, Úřad, prin decizia din 4 august 2008, a constatat că domnul Ryneš a săvârșit încălcări ale Legii nr. 101/2000 ca urmare a faptului că:
– în calitate de operator, acesta a colectat, cu ajutorul sistemului de supraveghere video, date cu caracter personal ale persoanelor care se deplasau pe strada din fața locuinței sale sau care intrau în locuința de pe partea cealaltă a străzii, fără acordul acestora;
– persoanele vizate nu au fost informate cu privire la prelucrarea acestor date cu caracter personal, la amploarea și la scopul acestei prelucrări, precum și de către cine și prin ce mijloace vor fi prelucrate datele cu caracter personal și cine va avea acces la aceste date și
– în calitate de operator, domnul Ryneš nu și‑a îndeplinit obligația de a notifica Úřad informații cu privire la prelucrarea respectivă.
17 Sesizată cu o acțiune formulată de domnul Ryneš împotriva acestei decizii, Městský soud v Praze (Curtea de Apel din Praga) a respins‑o prin hotărârea din 25 aprilie 2012. Domnul Ryneš a formulat recurs împotriva acestei hotărâri la instanța de trimitere.
18 În aceste condiții, Nejvyšší správní soud (Curtea Administrativă Supremă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarea întrebare preliminară:
„Operarea unui sistem de supraveghere video instalat într‑o locuință de familie în vederea protejării proprietății, a sănătății și a vieții proprietarilor locuinței poate fi calificată drept prelucrare a datelor cu caracter personal efectuată «de către o persoană fizică în cursul unei activități exclusiv personale sau domestice» în sensul articolului 3 alineatul (2) din Directiva 95/46[…], deși un astfel de sistem supraveghează de asemenea un spațiu public?”
Cu privire la întrebarea preliminară
19 Prin intermediul întrebării formulate, instanța de trimitere solicită, în esență, să se stabilească dacă articolul 3 alineatul (2) a doua liniuță din Directiva 95/46 trebuie interpretat în sensul că operarea unui sistem de supraveghere video care determină o înregistrare video a unor persoane stocată pe un echipament de înregistrare în mod continuu, cum ar fi un hard disk, instalat de o persoană fizică în locuința sa de familie în vederea protejării proprietății, a sănătății și a vieții proprietarilor locuinței, acest sistem supraveghind de asemenea un spațiu public, constituie o prelucrare a datelor cu caracter personal efectuată în cursul unei activități exclusiv personale sau domestice în sensul acestei dispoziții.
20 Trebuie amintit că, în conformitate cu articolul 3 alineatul (1) din directiva menționată, aceasta se aplică „prelucrării automate, în totalitate sau parțial, precum și prelucrării neautomate a datelor cu caracter personal, conținute sau care urmează să fie conținute într‑un sistem de evidență a datelor cu caracter personal”.
21 Noțiunea „date cu caracter personal” care figurează la această dispoziție include, în conformitate cu definiția prevăzută la articolul 2 litera (a) din Directiva 95/46, „orice informație referitoare la o persoană fizică identificată sau identificabilă”. O persoană identificabilă este „o persoană care poate fi identificată, direct sau indirect, în special prin referire […] la unul sau mai multe elemente specifice, proprii identității sale fizice”.
22 Prin urmare, imaginea unei persoane înregistrată de o cameră video constituie o dată cu caracter personal în sensul dispoziției menționate la punctul anterior în măsura în care aceasta permite identificarea persoanei vizate.
23 În ceea ce privește noțiunea „prelucrarea datelor cu caracter personal”, trebuie arătat că aceasta este definită la articolul 2 litera (b) din Directiva 95/46 drept „orice operațiune sau [orice] set de operațiuni care se efectuează asupra datelor cu caracter personal, […] cum ar fi colectarea, înregistrarea, […] stocarea”.
24 Astfel cum reiese în special din considerentele (15) și (16) ale Directivei 95/46, supravegherea video intră, în principiu, în domeniul de aplicare al acestei directive în măsura în care constituie o prelucrare automată.
25 Or, o supraveghere efectuată printr‑o înregistrare video a unor persoane, precum în cauza principală, stocată pe un echipament de înregistrare în mod continuu, și anume pe un hard disk, constituie, în conformitate cu articolul 3 alineatul (1) din Directiva 95/46, o prelucrare de date cu caracter personal automată.
26 Instanța de trimitere ridică problema dacă o astfel de prelucrare, într‑o situație precum cea în discuție în litigiul principal, nu este totuși exclusă de la aplicarea acestei directive în măsura în care ar fi efectuată „în cursul unei activități exclusiv personale sau domestice”, în sensul articolului 3 alineatul (2) a doua liniuță din directiva menționată.
27 Astfel cum rezultă din articolul 1 și din considerentul (10) al Directivei 95/46, aceasta urmărește să garanteze un nivel ridicat de protecție a drepturilor și a libertăților fundamentale ale persoanelor fizice, în special a dreptului la viață privată, în privința prelucrării datelor cu caracter personal (a se vedea Hotărârea Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 66).
28 În această privință, trebuie arătat că, potrivit unei jurisprudențe constante, protecția dreptului fundamental la viață privată, garantat de articolul 7 din Carta drepturilor fundamentale a Uniunii Europene, impune ca derogările de la protecția datelor cu caracter personal și limitările acesteia să fie efectuate în limitele strictului necesar (a se vedea Hotărârea IPI, C‑473/12, EU:C:2013:715, punctul 39, precum și Hotărârea Digital Rights Ireland și alții, C‑293/12 și C‑594/12, EU:C:2014:238, punctul 52).
29 Întrucât dispozițiile Directivei 95/46, în măsura în care reglementează prelucrarea unor date cu caracter personal care poate aduce atingere libertăților fundamentale și în special dreptului la viață privată, trebuie interpretate în mod necesar în lumina drepturilor fundamentale care sunt înscrise în carta menționată (a se vedea Hotărârea Google Spain și Google, EU:C:2014:317, punctul 68), derogarea prevăzută la articolul 3 alineatul (2) a doua liniuță din această directivă trebuie să primească o interpretare strictă.
30 Această interpretare strictă se întemeiază de asemenea pe însuși modul de redactare a acestei dispoziții, care exclude de la aplicarea Directivei 95/46 prelucrarea datelor efectuată în cursul unei activități nu doar personale sau domestice, ci „exclusiv” personale sau domestice.
31 Având în vedere considerațiile ce precedă, este necesar să se constate că, astfel cum a arătat avocatul general la punctul 53 din concluzii, o prelucrare de date cu caracter personal intră sub incidența derogării vizate la articolul 3 alineatul (2) a doua liniuță din Directiva 95/46 numai atunci când este efectuată în sfera exclusiv personală sau domestică a persoanei care efectuează prelucrarea.
32 Astfel, în ceea ce privește persoanele fizice, corespondența și păstrarea repertoarului de adrese constituie, având în vedere considerentul (12) al Directivei 95/46, „activități exclusiv personale sau domestice” chiar dacă, incidental, acestea privesc sau pot să privească viața privată a altor persoane.
33 În măsura în care o supraveghere video precum cea în discuție în litigiul principal se extinde, fie și parțial, la spațiul public și, în consecință, este îndreptată în afara sferei private a persoanei care efectuează prelucrarea datelor prin acest mijloc, aceasta nu poate fi considerată drept o activitate exclusiv „personală sau domestică” în sensul articolului 3 alineatul (2) a doua liniuță din Directiva 95/46.
34 În același timp, aplicarea dispozițiilor acestei directive permite, dacă este cazul, să fie luate în considerare, în conformitate în special cu articolul 7 litera (f), cu articolul 11 alineatul (2) și cu articolul 13 alineatul (1) literele (d) și (g) din directiva menționată, interesele legitime ale operatorului, care constau printre altele, precum în cauza principală, în protejarea proprietății, a sănătății și a vieții operatorului și ale familiei sale.
35 În consecință, trebuie să se răspundă la întrebarea adresată că articolul 3 alineatul (2) a doua liniuță din Directiva 95/46 trebuie interpretat în sensul că operarea unui sistem de supraveghere video care determină o înregistrare video a unor persoane stocată pe un echipament de înregistrare în mod continuu, cum ar fi un hard disk, instalat de o persoană fizică în locuința sa de familie în vederea protejării proprietății, a sănătății și a vieții proprietarilor locuinței, acest sistem supraveghind de asemenea un spațiu public, nu constituie o prelucrare a datelor cu caracter personal efectuată în cursul unei activități exclusiv personale sau domestice în sensul acestei dispoziții.
Cu privire la cheltuielile de judecată
36 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.
Pentru aceste motive, Curtea (Camera a patra) declară:
Articolul 3 alineatul (2) a doua liniuță din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretat în sensul că operarea unui sistem de supraveghere video care determină o înregistrare video a unor persoane stocată pe un echipament de înregistrare în mod continuu, cum ar fi un hard disk, instalat de o persoană fizică în locuința sa de familie în vederea protejării proprietății, a sănătății și a vieții proprietarilor locuinței, acest sistem supraveghind de asemenea un spațiu public, nu constituie o prelucrare a datelor cu caracter personal efectuată în cursul unei activități exclusiv personale sau domestice în sensul acestei dispoziții.
Semnături