РЕШЕНИЕ НА СЪДА (голям състав)
10 юли 2018 година(*)
„Преюдициално запитване — Защита на физическите лица при обработването на лични данни — Директива 95/46/ЕО — Приложно поле на посочената директива — Член 3 — Събиране на лични данни, извършвано от членовете на религиозна общност в рамките на проповедническата им дейност „от врата на врата“ — Член 2, буква в) — Понятието „файл с лични данни“ — Член 2, буква г) — Понятието „администратор“ — Член 10, параграф 1 от Хартата на основните права на Европейския съюз“
По дело C‑25/17
с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Korkein hallinto-oikeus (Върховен административен съд, Финландия) с акт от 22 декември 2016 г., постъпил в Съда на 19 януари 2017 г., в рамките на производство, образувано по искане на
Tietosuojavaltuutettu
в присъствието на:
Jehovan todistajat — uskonnollinen yhdyskunta,
СЪДЪТ (голям състав),
състоящ се от: K. Lenaerts, председател, A. Tizzano, заместник-председател, R. Silva de Lapuerta, T. von Danwitz (докладчик), J. L. da Cruz Vilaça, J. Malenovský, E. Levits и C. Vajda, председатели на състави, A. Borg Barthet, J.‑C. Bonichot, Aл. Арабаджиев, S. Rodin, F. Biltgen, K. Jürimäe и C. Lycourgos, съдии,
генерален адвокат: P. Mengozzi,
секретар: С. Strömholm, администратор,
предвид изложеното в писмената фаза на производството и в съдебното заседание от 28 ноември 2017 г.,
като има предвид становищата, представени:
– за tietosuojavaltuutettu, от R. Aarnio, в качеството на представител,
– за Jehovan todistajat — uskonnollinen yhdyskunta, от S. H. Brady, asianajaja, и P. Muzny,
– за финландското правителство, от H. Leppo, в качеството на представител,
– за чешкото правителство, от M. Smolek и J. Vláčil, в качеството на представители,
– за италианското правителство, от G. Palmieri, в качеството на представител, подпомагана от P. Gentili, avvocato dello Stato,
– за Европейската комисия, от P. Aalto, H. Kranenborg и D. Nardi, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 1 февруари 2018 г.,
постанови настоящото
Решение
1 Преюдициалното запитване се отнася до тълкуването на член 2, букви в) и г) и член 3 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10), във връзка с член 10, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“).
2 Запитването е отправено в рамките на производство, образувано по искане на tietosuojavaltuutettu (длъжностното лице по защита на данните, Финландия) да се провери законосъобразно ли е решението на tietosuojalautakunta (Комисията за защита на данните, Финландия), с което на Jehovan todistajat — uskonnollinen yhdyskunta (религиозна общност „Свидетели на Йехова“) се забранява да събира или да обработва лични данни при проповедническата дейност „от врата на врата“, доколкото не са изпълнени изискванията на финландското законодателство относно обработването на лични данни.
Правна уредба
Правото на Съюза
3 Съображения 10, 12, 15, 26 и 27 от Директива 95/46 гласят:
„(10) като имат предвид, че предмет на националните законодателства, отнасящи се до обработването на [лични] данни, е осигуряване спазването на основните права и свободи и по-конкретно правото на личен живот, което се признава както в член 8 на Европейската конвенция за защита на правата на човека и основните свободи, [подписана в Рим на 4 ноември 1950 г.,] така и от общите принципи на правото на Общността; като имат предвид, че поради тази причина сближаването на тези законодателства не трябва да доведе до намаляване степента на защита, която те осигуряват, а обратно — да има за цел гарантиране на висока степен на защита в Общността;
[…]
(12) като имат предвид, че принципите на защита трябва да се прилагат за всякакво обработване на лични данни, извършвано от всяко лице, чиято дейност се урежда от правото на Общността; като имат предвид, че трябва да се изключи обработването на данни, извършвано от физическо лице при упражняване на дейности, които са изключително лични или домашни, например кореспонденция и поддържане на адресни указатели;
[…]
(15) като имат предвид, че обработката на такива данни се обхваща от настоящата директива, само ако тя е автоматизирана или ако обработваните данни се съдържат или са предназначени да се съдържат във файлова система, структурирана съгласно определени критерии, отнасящи се до лица, с цел осигуряване на лесен достъп до въпросните лични данни;
[…]
(26) като имат предвид, че принципите на защита трябва да се прилагат за всяка информация, отнасяща се до идентифицирано лице или подлежащо на идентификация лице; като имат предвид, че за да се определи дали едно лице подлежи на идентификация, следва да се разглежда съвкупността от всички средства, които биха могли да бъдат използвани разумно от администратора или от друго лице с цел идентифицирането на даденото лице; […]
(27) като имат предвид, че защитата на лицата трябва да се отнася в еднаква степен до автоматизираната обработка на данни и до ръчната им обработка; като имат предвид, че обхватът на тази защита не трябва на практика да зависи от използваните техники, защото в противен случай това би създало сериозен риск от заобикаляне на закона; като имат предвид, при все това, че що се отнася до ръчната обработка, настоящата директива обхваща само файловите системи, а не неструктурираните досиета; като имат предвид, в частност, че съдържанието на файловата система трябва да бъде структурирано според конкретни критерии, отнасящи се до лица, позволяващи лесен достъп до личните данни; като имат предвид, че в съответствие с определението в член 2, буква в) различните критерии за определяне на съставните елементи на структурирания набор от [лични данни], както и отделните критерии, уреждащи достъп до такъв набор, могат да бъдат определени от всяка държава членка; като имат предвид, че досиетата или групите от досиета, както и заглавните им страници, които не са структурирани съгласно определените критерии, в никакъв случай не попадат в приложното поле на настоящата директива“.
4 Член 1, параграф 1 от Директива 95/46 гласи:
„В съответствие с настоящата директива държавите членки защищават основните права и свободи на физическите лица и в частност правото им на личен живот при обработването на лични данни“.
5 Член 2 от тази директива предвижда:
„По смисъла на настоящата директива:
а) „лични данни“ означава всяка информация, свързана с идентифицирано или подлежащо на идентификация лице („съответно физическо лице“); за подлежащо на идентифициране лице се смята това лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификационен номер или един или повече специфични признаци, отнасящи се до неговата физическа, физиологическа, психологическа, умствена, икономическа, културна или социална самоличност;
б) „обработване на лични данни“ („обработване“) означава всяка операция или набор от операции, извършвани или не с автоматични средства, прилагани към личните данни, като събиране, запис, организиране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на предоставяне на данните, актуализиране или комбиниране, блокиране, изтриване или унищожаване;
в) „файл с лични данни“ („файл“) означава всеки структуриран набор от лични данни, достъпен по определени критерии, централизиран, децентрализиран или разпределен по функционален или географски принцип;
г) „администратор“ означава физическо или юридическо лице, държавен орган, агенция или друг орган, който сам или съвместно с други определя целите и средствата на обработка на лични данни; когато целите и средствата на обработката се определят от национални или общностни законови или подзаконови разпоредби, администраторът или специфичните критерии за неговото назначаване могат да бъдат определени в националното право или в правото на Общността;
[…]“.
6 Съгласно член 3 от посочената директива:
„1. Настоящата директива се прилага към пълната или частична обработка на лични данни с автоматизирани средства, както и към обработката със средства, които не са автоматизирани, на лични данни, съставляващи част от файлова система, или които са предназначени да съставляват част от файлова система.
2. Настоящата директива не се прилага за обработването на лични данни:
– при извършване на дейности, извън приложното поле на правото на Общността, например дейностите, предвидени в дял V и дял VI от Договора за Европейския съюз, и във всички случаи при дейности по обработването на данни, отнасящи се до обществената сигурност, отбраната, държавната сигурност (включително икономическото благосъстояние на държавата, когато процесът на обработка е свързан[…] с държавната сигурност) и при дейности на държавата в областта на наказателното право,
– когато се извършва от физическо лице в хода на [изцяло] лични или домашни занимания“.
Финландското право
7 Директива 95/46 е транспонирана във финландското право с Henkilötietolaki (523/1999) [Закон за защита на личните данни (523/1999), наричан по-нататък „Закон № 523/1999“].
8 Член 2 от този закон е озаглавен „Soveltamisala“ (приложно поле) и предвижда във втора и трета алинея следното:
„Този закон се прилага по отношение на автоматизираното обработване на лични данни. Този закон се прилага и по отношение на другите видове обработване на лични данни, когато тези данни съставляват или са предназначени да съставляват регистър с лични данни или част от такъв регистър.
Този закон не се прилага за обработването на лични данни, извършвано от физическо лице за изцяло лични или подобни обикновени и частни цели“.
9 Съгласно член 3, параграф 3 от Закон № 523/1999 понятието „регистър с лични данни“ означава „съвкупност от лични данни, която се състои от взаимосвързани поради предназначението си вписвания и която се обработва изцяло или частично с помощта на автоматични средства за обработка на данни, или се организира като картотека, списък или по подобен начин, с цел лесно и без прекомерни разходи откриване на определени лични данни“.
10 Съгласно член 44 от този закон Комисията за защита на данните може по искане на длъжностното лице по защита на данните да забрани обработването на лични данни, когато то се извършва в нарушение на закона или на приети въз основа на закона правила и разпоредби, и да разпореди отстраняване на нарушенията или пропуските в разумен срок.
Спорът в главното производство и преюдициалните въпроси
11 На 17 септември 2013 г. по искане на длъжностното лице по защита на данните Комисията за защита на данните постановява решение, с което забранява на религиозната общност „Свидетели на Йехова“ да събира или да обработва лични данни при извършваната от членовете ѝ проповедническа дейност „от врата на врата“, доколкото не са изпълнени законовите изисквания за обработването на такива данни, предвидени в частност в членове 8 и 12 от Закон № 523/1999. Освен това на основание член 44, параграф 2 от този закон Комисията за защита на данните задължава тази общност да направи в шестмесечен срок необходимото, за да гарантира, че за нейните цели лични данни няма да се събират в нарушение на тези изисквания.
12 В мотивите на решението си Комисията за защита на данните приема, че събирането на въпросните данни от страна на членовете на религиозната общност „Свидетели на Йехова“ представлява обработване на лични данни по смисъла на посочения закон и че тази общност и членовете ѝ са съвместно администратори на такива данни.
13 Религиозната общност „Свидетели на Йехова“ обжалва това решение пред Helsingin hallinto-oikeus (Административен съд Хелзинки, Финландия). С решение от 18 декември 2014 г. посоченият съд отменя обжалваното решение, като приема, че религиозната общност „Свидетели на Йехова“ не е администратор на лични данни по смисъла на Закон № 523/1999 и че дейността ѝ не представлява незаконосъобразно обработване на такива данни.
14 Длъжностното лице по защита на данните обжалва това решение пред Korkein hallinto-oikeus (Върховен административен съд, Финландия).
15 Според констатациите на запитващата юрисдикция при проповедническата си дейност „от врата на врата“ членовете на религиозната общност „Свидетели на Йехова“ водят записки за направените посещения на лица, които самите те или посочената общност не познават. Събраните данни съдържали, евентуално и наред с другото, името и адреса на посетените лица, както и сведения за техните религиозни убеждения и семейни отношения. Тези данни били събирани като напомнителни бележки, за да може информацията да бъде намерена и използвана при следващи посещения, като съответните лица нито са давали съгласие, нито са били уведомявани за това.
16 Отново според констатациите на запитващата юрисдикция религиозната общност „Свидетели на Йехова“ е дала на членовете си указания за воденето на такива записки, като тези указания са фигурирали в поне един от информационните ѝ бюлетини, посветени на проповедническата дейност. Тази общност и нейните сборове организирали и съгласували извършваната от членовете им проповедническа дейност „от врата на врата“, в частност като съставяли карти, разпределящи проповядващите членове на общността по райони, и поддържали картотека на проповедниците, в която се отбелязва колко издания на религиозната общност е разпространил даден проповедник. Освен това сборовете на религиозната общност „Свидетели на Йехова“ поддържали списък с лица, пожелали да не бъдат посещавани от проповядващите членове на тази общност, а личните данни в този т.нар. „забранителен списък“ били използвани от членовете на тази общност. Накрая, религиозната общност „Свидетели на Йехова“ в миналото снабдявала членовете си с формуляри за целите на събирането на тези данни по време на проповедническата им дейност. Използването на тези формуляри обаче било преустановено по препоръка на длъжностното лице по защита на данните.
17 Запитващата юрисдикция отбелязва, че според сведенията на самата религиозна общност „Свидетели на Йехова“ същата не изисква от проповядващите нейни членове да събират данни и че в случаите, когато те все пак са правели това, тя не е знаела нито точно какви са били записките, които впрочем са неформални лични записки, нито кои конкретно от тези членове са събирали данни.
18 Що се отнася до необходимостта от отправеното преюдициално запитване, Korkein hallinto-oikeus (Върховен административен съд) смята, че разглеждането на случая по главното производство изисква да се вземат предвид, от една страна, правото на защита на личния живот и правото на защита на личните данни, и от друга страна, религиозната свобода и свободата на сдружаване, гарантирани както с Хартата и Европейската конвенция за защита на правата на човека и основните свободи, така и с финландската конституция.
19 Запитващата юрисдикция е склонна да смята, че извършваната от членовете на религиозна общност като „Свидетели на Йехова“ проповедническа дейност „от врата на врата“ не е сред дейностите, изключени от приложното поле на Директива 95/46 по силата на член 3, параграф 2, първо тире от нея. За сметка на това се поставя въпросът дали тази дейност е изцяло лично или домашно занимание по смисъла на член 3, параграф 2, второ тире от посочената директива. В това отношение следвало да се държи сметка за обстоятелството, че в случая събираните данни са повече от обикновени записки в адресен указател, тъй като се отнасят до непознати и съдържат чувствителни данни за религиозните им убеждения. Трябвало да се вземе предвид и фактът, че проповедническата дейност „от врата на врата“ е основна дейност на религиозната общност „Свидетели на Йехова“, организирана и съгласувана от последната и нейните сборове.
20 Освен това, доколкото данните, събирани в случая по главното производство, са обработвани с неавтоматични средства, следвало, с оглед на член 3, параграф 1 във връзка с член 2, буква в) от Директива 95/46, да се определи дали съвкупността от тези данни представлява файл по смисъла на тези разпоредби. Според сведенията, дадени от религиозната общност „Свидетели на Йехова“, въпросните данни не са ѝ съобщавани, така че не е възможно да се знае със сигурност какви и колко са събираните данни. Същевременно било възможно да се приеме, че в случая по главното производство данните са били събирани и след това обработвани с цел лесно откриване и по-нататъшно ползване на информация за дадено лице или адрес. Събираните данни все пак не били структурирани под формата на регистър.
21 Ако обработването на данните в случая по главното производство попада в приложното поле на Директива 95/46, запитващата юрисдикция подчертава, че тогава се поставя въпросът дали религиозната общност „Свидетели на Йехова“ трябва да се счита за администратор по смисъла на член 2, буква г) от тази директива. Практиката на Съда, изведена от решение от 13 май 2014 г., Google Spain и Google (C‑131/12, EU:C:2014:317), определяла широко понятието „администратор“. Освен това, видно от Становище 1/2010 от 16 февруари 2010 г. относно понятията „администратор на лични данни“ и „лице, което обработва данните“, изготвено от създадена в съответствие с член 29 от Директива 95/46 работна група, следва да се вземат предвид по-конкретно правомощието за ефективен контрол и представата, която си създава за администратора лицето, чиито данни се обработват.
22 В случая обаче следвало да се има предвид това, че религиозната общност „Свидетели на Йехова“ организира, съгласува и насърчава проповедническата дейност „от врата на врата“ и че в изданията си е давала указания за събирането на данни в рамките на тази дейност. Освен това длъжностното лице по защита на данните констатирало, че тази общност действително разполага с правомощието да определя методите за обработването на данните и да забранява или ограничава обработването им и че предварително е определила целта и средствата за това, давайки указания относно събирането. Впрочем използваните по-рано формуляри свидетелствали и за дейното участие на тази общност в обработката на данни.
23 Било необходимо обаче да се вземе под внимание и фактът, че членовете на религиозната общност „Свидетели на Йехова“ могат сами да решат да събират данни и да определят средствата за това. Освен това самата религиозна общност не събирала данни и нямала достъп до събираните от страна на членовете ѝ данни, с изключение на тези, включени в т.нар. „забранителен списък“. Същевременно горното не означавало, че не е възможно да съществуват няколко администратори, всеки от които с различни задачи и отговорности.
24 При тези обстоятелства Korkein hallinto-oikeus (Върховен административен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1) Трябва ли изключенията от приложното поле на Директива [95/46], посочени в член 3, параграф 2, първо и второ тире, да се тълкуват в смисъл, че събирането и другите видове обработка на лични данни, които членовете на дадена религиозна общност извършват във връзка с осъществяваната проповедническа дейност „от врата на врата“, не попадат в приложното поле на Директивата? Какво значение при преценката на приложимостта на Директива [95/46] имат, от една страна, обстоятелството, че проповедническата дейност, във връзка с която се събират данните, се организира от религиозната общност и от нейните сборове, и от друга страна, обстоятелството, че едновременно с това става дума и за изповядване на религия лично от членовете на религиозната общност?
2) Като се отчитат съображения 26 и 27 от Директива [95/46], трябва ли определението на понятието „файл“ в член 2, буква в) от Директивата да се тълкува в смисъл, че съвкупността от лични данни, които се събират с неавтоматични средства във връзка с описаната по-горе проповедническа дейност „от врата на врата“ (име и адрес, както и други възможни данни и характеристики, отнасящи се до лицето),
a) не представлява такъв файл, тъй като не става въпрос за специфични картотеки или списъци или други подобни класификационни системи по смисъла на определението в [Закон № 523/1999];
б) представлява такъв файл, тъй като от данните предвид тяхното предназначение на практика е възможно лесно и без неоправдани разходи да бъде извлечена необходимата за по-нататъшно ползване информация, както е предвидено в [Закон № 523/1999]?
3) Трябва ли изразът в член 2, буква г) от Директива [95/46] „който сам или съвместно с други определя целите и средствата на обработка на лични данни“ да се тълкува в смисъл, че религиозна общност, организираща дейност, при която се събират лични данни (в това число чрез определянето на радиуса на действие на проповедниците, чрез проследяването на проповедническата дейност и поддържането на регистри на лицата, които не желаят да бъдат посещавани от проповедници), може да бъде разглеждана като администратор на лични данни по отношение на тази дейност на нейните членове, въпреки твърдението на религиозната общност, че само отделните проповедници имат достъп до записаната информация?
4) Трябва ли член 2, буква г) от Директива [95/46] да се тълкува в смисъл, че религиозната общност може да се класифицира като администратор само когато предприема други специфични мерки, като нареждания или писмени указания, с които управлява събирането на данни, или е достатъчно религиозната общност фактически да играе роля при управлението на дейността на членовете си?
Отговор на третия и четвъртия въпрос е необходим само ако от отговорите на първия и втория въпрос следва, че Директива [95/46] е приложима. Отговор на четвъртия въпрос е необходим само ако с оглед на третия въпрос не може да се изключи приложимостта на член 2, буква г) от Директива [95/46] по отношение на религиозната общност“.
По исканията за възобновяване на устната фаза на производството
25 С две молби, подадени в секретариата на Съда съответно на 12 декември 2017 г. и 15 февруари 2018 г., религиозната общност „Свидетели на Йехова“ иска да бъде възобновена устната фаза на производството на основание член 83 от Процедурния правилник на Съда. В подкрепа на първото от тези искания религиозната общност „Свидетели на Йехова“ твърди по-конкретно че не е получила възможност да отговори в съдебното заседание на представените от другите страни становища, някои от които не били в съответствие с фактите по главното производство. Що се отнася до второто от тези искания, тази религиозна общност изтъква по същество, че заключението на генералния адвокат се основава на неточни или евентуално подвеждащи фактически данни, някои от които не фигурирали в акта за преюдициално запитване.
26 Съгласно член 83 от неговия процедурен правилник във всеки един момент, след изслушване на генералния адвокат Съдът може да постанови възобновяване на устната фаза на производството, по-специално когато счита, че делото не е напълно изяснено, когато след закриване на тази фаза някоя от страните посочи нов факт от решаващо значение за решението на Съда или когато делото трябва да се реши въз основа на довод, който не е бил обсъден от страните или заинтересованите субекти по член 23 от Статута на Съда на Европейския съюз.
27 Настоящият случай обаче не е такъв. По-конкретно, исканията на религиозната общност „Свидетели на Йехова“ за възобновяване на устната фаза на производството не съдържат никакъв нов довод, въз основа на който да трябва да се реши настоящото дело. Освен това тази страна, както и другите заинтересовани субекти, посочени в член 23 от Статута на Съда на Европейския съюз, представят както в писмената, така и в устната фаза на производството становища относно тълкуването на член 2, букви в) и г) и член 3 от Директива 95/46 във връзка с член 10 от Хартата, което е предмет на преюдициалните въпроси.
28 Що се отнася до фактите по главното производство, следва да се припомни, че в рамките на производството по член 267 ДФЕС само запитващата юрисдикция е компетентна да определи фактическия контекст, в който се вписват въпросите, които поставя на Съда. От това следва, че страна в главното производство не може да твърди, че някои от фактическите констатации, на които се основават доводите на другите заинтересовани субекти, посочени в член 23 от Статута на Съда на Европейския съюз, или пък анализът на генералния адвокат, са неточни и съответно дават основание за възобновяване на устната фаза на производството по силата на член 83 от Процедурния правилник (вж. в този смисъл решение от 26 юни 2008 г., Burda, C‑284/06, EU:C:2008:365, т. 44, 45 и 47).
29 При това положение след изслушване на генералния адвокат Съдът приема, че разполага с всички необходими данни, за да отговори на поставените от запитващата юрисдикция въпроси, и че няма да се наложи да се произнася въз основа на доводи, които не са били обсъдени между страните. Поради това исканията за възобновяване на устната фаза на производството трябва да бъдат отхвърлени.
По допустимостта на преюдициалното запитване
30 Религиозната общност „Свидетели на Йехова“ твърди, че преюдициалното запитване е недопустимо. Като оспорва основните факти, на които това запитване се основава, тя изтъква, че същото се отнася до поведението на някои от нейните членове, които не са страни в главното производство. В този смисъл въпросното запитване се отнасяло до проблем от хипотетично естество.
31 В това отношение следва да се отбележи, че само националният съд, който е сезиран със спора и трябва да поеме отговорността за последващото му съдебно решаване, може да прецени — предвид особеностите на делото — както необходимостта от преюдициално решение, за да може да се произнесе, така и релевантността на въпросите, които поставя на Съда. Следователно, щом като поставените въпроси се отнасят до тълкуването на правото на Съюза, Съдът по принцип е длъжен да се произнесе. Съдът може да откаже да се произнесе по отправеното от национална юрисдикция преюдициално запитване само когато е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (вж. в този смисъл решение от 27 юни 2017 г., Congregación de Escuelas Pías Provincia Betania, C‑74/16, EU:C:2017:496, т. 24 и 25 и цитираната съдебна практика).
32 В конкретния случай актът за преюдициално запитване съдържа достатъчно данни от фактическа и правна страна, за да бъдат разбрани както самите преюдициални въпроси, така и техният обхват. Освен това и преди всичко, преписката не съдържа данни, които да сочат, че поисканото тълкуване на правото на Съюза няма връзка с действителността или с предмета на спора в главното производство или е от хипотетично естество в частност защото членовете на религиозната общност „Свидетели на Йехова“, чиято дейност по събиране на лични данни е в основата на преюдициалните въпроси, не са страни в главното производство. Всъщност от акта за преюдициално запитване е видно, че с преюдициалните въпроси запитващата юрисдикция иска да се установи дали в случая самата религиозна общност може да се разглежда като администратор по смисъла на Директива 95/46 във връзка с личните данни, които нейните членове събират при проповедническата си дейност „от врата на врата“.
33 При това положение преюдициалното запитване е допустимо.
По преюдициалните въпроси
По първия въпрос
34 С първия си въпрос запитващата юрисдикция пита по същество дали член 3, параграф 2 от Директива 95/46, разглеждан във връзка с член 10, параграф 1 от Хартата, трябва да се тълкува в смисъл, че събирането на лични данни, извършвано от членове на религиозна общност при проповедническата им дейност „от врата на врата“, и по-нататъшното обработване на тези данни представляват обработване на лични данни при извършване на дейности, посочени в член 3, параграф 2, първо тире от тази директива, или обработване на лични данни, извършвано от физически лица в хода на изцяло лични или домашни занимания по смисъла на член 3, параграф 2, второ тире от същата директива.
35 За да се отговори на този въпрос, следва като начало да се напомни, че както следва от член 1, параграф 1 и от съображение 10 от Директива 95/46, нейната цел е да се гарантира висока степен на защита на основните права и свободи на физическите лица, и в частност на правото им на личен живот при обработването на лични данни (решение от 13 май 2014 г., Google Spain и Google, C‑131/12, EU:C:2014:317, т. 66 и от 5 юни 2018 г., Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, т. 26).
36 Член 3 от Директива 95/46, който определя нейното приложно поле, гласи в параграф 1, че тя се прилага към пълната или частична обработка на лични данни с автоматизирани средства, както и към обработката със средства, които не са автоматизирани, на лични данни, съставляващи част от файлова система или които са предназначени да съставляват част от файлова система.
37 Този член 3 обаче предвижда в параграф 2 две изключения от приложното поле на посочената директива, които трябва да се тълкуват стриктно (вж. в този смисъл решения от 11 декември 2014 г., Ryneš, C‑212/13, EU:C:2014:2428, т. 29 и от 27 септември 2017 г., Puškár, C‑73/16, EU:C:2017:725, т. 38). Освен това в Директива 95/46 не се предвижда никакво друго ограничение на приложното ѝ поле (решение от 16 декември 2008 г., Satakunnan Markkinapörssi и Satamedia, C‑73/07, EU:C:2008:727, т. 46).
38 Що се отнася, на първо място, до предвиденото в член 3, параграф 2, първо тире от Директива 95/46 изключение, постановено е, че дейностите, посочени като пример там, във всички случаи са присъщи на държавите или на държавните органи дейности, които са извън областите на дейност на частноправните субекти. Предназначението на тези дейности е да се определи обхватът на предвиденото в тази разпоредба изключение, така че то да се прилага само към дейности, които или са изрично споменати в разпоредбата, или могат да бъдат причислени към същата категория (решения от 6 ноември 2003 г., Lindqvist, C‑101/01, EU:C:2003:596, т. 43 и 44, от 16 декември 2008 г., Satakunnan Markkinapörssi и Satamedia, C‑73/07, EU:C:2008:727, т. 41 и от 27 септември 2017 г., Puškár, C‑73/16, EU:C:2017:725, т. 36 и 37).
39 В конкретния случай обаче събирането на лични данни от страна на членове на религиозната общност „Свидетели на Йехова“ при проповедническата им дейност „от врата на врата“ е изцяло религиозно начинание на частноправни субекти. Ето защо подобна дейност не представлява присъща на държавните органи дейност и следователно не може да бъде приравнена на посочените в член 3, параграф 2, първо тире от Директива 95/46.
40 Що се отнася, на второ място, до предвиденото в член 3, параграф 2, второ тире от Директива 95/46 изключение, тази разпоредба изключва от приложното поле на посочената директива обработването на лични данни, извършвано не просто в хода на лични или домашни занимания, а в хода на „изцяло“ лични или домашни занимания (вж. в този смисъл решение от 11 декември 2014 г., Ryneš, C‑212/13, EU:C:2014:2428, т. 30).
41 Изразът „лични или домашни“ по смисъла на посочената разпоредба се отнася до дейността на лицето, което обработва лични данни, а не до лицето, чиито данни се обработват (вж. в този смисъл решение от 11 декември 2014 г., Ryneš, C‑212/13, EU:C:2014:2428, т. 31 и 33).
42 Както е постановил Съдът, член 3, параграф 2, второ тире от Директива 95/46 трябва да се тълкува като отнасящ се единствено до дейностите, които са част от личния или семейния живот на физическите лица. В това отношение дадена дейност не може да се смята за изцяло лично или домашно занимание по смисъла на тази разпоредба, когато целта ѝ е да даде възможност на неопределен брой лица да се запознаят с лични данни или пък когато се извършва, макар и отчасти, на обществени места и поради това е насочена извън личната сфера на лицето, което извършва обработването на данните (вж. в този смисъл решения от 6 ноември 2003 г., Lindqvist, C‑101/01, EU:C:2003:596, т. 47, от 16 декември 2008 г., Satakunnan Markkinapörssi и Satamedia, C‑73/07, EU:C:2008:727, т. 44 и от 11 декември 2014 г., Ryneš, C‑212/13, EU:C:2014:2428, т. 31 и 33).
43 Доколкото се установява, че обработването на лични данни в случая по главното производство е в рамките на проповедническата дейност „от врата на врата“, извършвана от членове на религиозната общност „Свидетели на Йехова“, следва да се прецени дали такава дейност е изцяло лично или домашно занимание по смисъла на член 3, параграф 2, второ тире от Директива 95/46.
44 В това отношение от акта за преюдициално запитване следва, че проповедническата дейност „от врата на врата“, в рамките на която членове на религиозната общност „Свидетели на Йехова“ събират лични данни, има поради самото си естество за цел разпространяване на вярата на религиозната общност „Свидетели на Йехова“ сред лица, които, както отбелязва по същество генералният адвокат в точка 40 от заключението си, не принадлежат към кръга на проповядващите членове на тази общност. Следователно тази дейност е насочена извън личната сфера на тези проповедници.
45 Освен това от акта за преюдициално запитване е видно и че същите предават някои от данните, които събират, на сборовете на тази общност, които въз основа на тези данни от своя страна поддържат списъци с лица, пожелали да не бъдат повече посещавани от въпросните проповедници. Така в рамките на проповедническата си дейност последните правят поне някои от събираните данни достъпни за потенциално неограничен брой лица.
46 Що се отнася до въпроса дали фактът, че обработването на лични данни се извършва в рамките на дейност, свързана с изповядване на вяра, може да придаде изцяло личен и домашен характер на проповедническата дейност „от врата на врата“, следва да се припомни, че правото на свобода на съвестта и религията, закрепено в член 10, параграф 1 от Хартата, включва свободата на всяко лице да изповядва своята религия или убеждения индивидуално или колективно, публично или частно, чрез богослужение, обучение, религиозни обреди и ритуали.
47 Хартата възприема използваното в тази разпоредба понятие „религия“ в широк смисъл, като то може да обхваща както forum internum, а именно самите убеждения, така и forum externum, а именно публичното изповядване на религиозната вяра (решение от 29 май 2018 г., Liga van Moskeeën en Islamitische Organisaties Provincie Antwerpen и др., C‑426/16, EU:C:2018:335, т. 44 и цитираната съдебна практика).
48 Освен това свободата да се изповядва религия индивидуално или колективно, публично или частно, доколкото има различни проявления, като например обучение, религиозни обреди и ритуали, включва и правото да се правят опити за убеждаване на други хора например чрез проповядване (ЕСПЧ, решения от 25 май 1993 г., Kokkinakis с/у Гърция, CE:ECHR:1993:0525JUD001430788, § 31 и от 8 ноември 2007 г., Perry с/у Латвия, CE:ECHR:2007:1108JUD003027303, § 52).
49 Същевременно, макар извършваната от членове на религиозна общност проповедническа дейност „от врата на врата“ да е по този начин защитена с член 10, параграф 1 от Хартата като израз на вярата на проповедника или проповедниците, това обстоятелство не придава на тази дейност характер на изцяло лично или домашно занимание по смисъла на член 3, параграф 2, второ тире от Директива 95/46.
50 Всъщност, предвид изложеното в точки 44 и 45 от настоящото решение, проповедническата дейност излиза извън личната сфера на проповядващите членове на дадена религиозна общност.
51 С оглед на гореизложените съображения на първия въпрос следва да се отговори, че член 3, параграф 2 от Директива 95/46, разглеждан във връзка с член 10, параграф 1 от Хартата, трябва да се тълкува в смисъл, че събирането на лични данни, извършвано от членове на религиозна общност при проповедническата им дейност „от врата на врата“, и по-нататъшното обработване на тези данни не представляват нито обработване на лични данни при извършване на дейности, посочени в член 3, параграф 2, първо тире от тази директива, нито обработване на лични данни, извършвано от физически лица в хода на изцяло лични или домашни занимания по смисъла на член 3, параграф 2, второ тире от същата директива.
По втория въпрос
52 С втория си въпрос запитващата юрисдикция пита по същество дали член 2, буква в) от Директива 95/46 трябва да се тълкува в смисъл, че понятието „файл“ в тази разпоредба обхваща съвкупността от лични данни, събирани в рамките на проповедническа дейност „от врата на врата“ и състоящи се от имена и адреси и други сведения за посетените лица, при положение че тези данни могат на практика лесно да бъдат открити с цел последващото им използване, или пък тази съвкупност трябва, за да бъде обхваната от това понятие, да включва картотеки, специфични списъци или други подобни класификационни системи.
53 Както е видно от член 3, параграф 1 и от съображения 15 и 27 от Директива 95/46, същата се отнася в еднаква степен до автоматизираната обработка на данни и до ръчната им обработка, за да не зависи предоставяната от нея защита на лицата, чиито данни се обработват, от използваните техники и за да се избегне рискът от заобикаляне на тази защита. От това следва обаче и че посочената директива се прилага за ръчното обработване на лични данни само ако обработваните данни съставляват или са предназначени да съставляват част от файл.
54 Щом като обработването на лични данни в случая по главното производство е с неавтоматични средства, се поставя въпросът дали така обработваните данни съставляват или са предназначени да съставляват част от файл по смисъла на член 2, буква в) и на член 3, параграф 1 от Директива 95/46.
55 В това отношение от член 2, буква в) от Директива 95/46 следва, че понятието „файл“ обхваща „всеки структуриран набор от лични данни, достъпен по определени критерии, централизиран, децентрализиран или разпределен по функционален или географски принцип“.
56 В съответствие с целта, припомнена в точка 53 от настоящото решение, тази разпоредба определя широко понятието „файл“, по-специално визирайки „всеки“ структуриран набор от лични данни.
57 Както следва от съображения 15 и 27 от Директива 95/46, съдържанието на файла трябва да бъде структурирано, за да позволява лесен достъп до личните данни. Освен това, макар в член 2, буква в) от тази директива да не се уточняват критериите, съобразно които файлът трябва да бъде структуриран, от същите съображения е видно, че тези критерии трябва да са „отнасящи се до лица“. Следователно с изискването наборът от лични данни да е „структуриран според конкретни критерии“ се цели единствено данните, отнасящи се до дадено лице, да бъдат лесно откриваеми.
58 Извън това изискване, член 2, буква в) от Директива 95/46 не установява нито начините за структуриране на даден файл, нито формата, която той трябва да има. По-специално, нито от посочената, нито от която и да е друга разпоредба от тази директива следва, че въпросните лични данни трябва да са част от картотеки или специфични списъци или пък други подобни класификационни системи, за да може да се заключи, че е налице файл по смисъла на Директивата.
59 В случая от констатациите на запитващата юрисдикция е видно, че данните, събирани в рамките на разглежданата в главното производство проповедническа дейност „от врата на врата“, са служели за справка, въз основа на определено географско разпределение, която да улесни организирането на последващи срещи с лица, които вече са били посетени. Тези данни включват не само сведения за съдържанието на разговорите относно убежденията на посетеното лице, но и неговото име и адрес. Освен това тези сведения, или поне някои от тях, са използвани за съставяне на водените от сборовете на религиозната общност „Свидетели на Йехова“ списъци на лицата, пожелали да не бъдат повече посещавани от проповядващи членове на тази общност.
60 Така се налага изводът, че личните данни, събирани в рамките на разглежданата в главното производство проповедническа дейност „от врата на врата“, са структурирани според критерии, възприети с оглед на целта, за която се събират тези данни, а именно подготовката на следващи посещения и воденето на списъци с лица, пожелали да не бъдат повече посещавани. Както е видно от акта за преюдициално запитване, тези критерии, сред които са в частност името и адресът на посетените лица, техните убеждения или пък желанието им повече да не бъдат посещавани, са избрани така, че да позволяват лесно откриване на данните за конкретни лица.
61 В това отношение въпросът точно по какъв критерий и под каква форма на практика е структурирана съвкупността от лични данни, събирани от всеки от проповедниците, е без значение, стига тази съвкупност да позволява лесно да се откриват данните на съответното посетено лице — нещо, което обаче запитващата юрисдикция следва да провери с оглед на всички обстоятелства в случая в главното производство.
62 Следователно на втория въпрос трябва да се отговори, че член 2, буква в) от Директива 95/46 трябва да се тълкува в смисъл, че понятието „файл“ в тази разпоредба обхваща съвкупността от лични данни, събирани в рамките на проповедническа дейност „от врата на врата“ и състоящи се от имена и адреси и други сведения за посетените лица, при положение че тези данни са структурирани според определени критерии, позволяващи на практика лесното им откриване с цел последващо използване. За да бъде такава съвкупност обхваната от това понятие, не е необходимо тя да включва картотеки, специфични списъци или други подобни класификационни системи.
По третия и четвъртия въпрос
63 С третия и четвъртия си въпрос, които следва да се разгледат заедно, запитващата юрисдикция по същество пита дали член 2, буква г) от Директива 95/46, разглеждан във връзка с член 10, параграф 1 от Хартата, трябва да се тълкува в смисъл, че религиозна общност, съвместно с проповядващите нейни членове, може да бъде квалифицирана като администратор на личните данни, обработвани от последните в рамките на проповедническа дейност „от врата на врата“, организирана, съгласувана и насърчавана от тази общност, и дали за тази цел е необходимо въпросната общност да има достъп до тези данни или да е установено, че тя е дала на членовете си писмени указания или нареждания във връзка с обработването.
64 В случая в спорното в главното производство решение Комисията за защита на данните квалифицира религиозната общност „Свидетели на Йехова“, съвместно с проповядващите нейни членове, като администратор на личните данни, обработвани от последните в рамките на проповедническата им дейност „от врата на врата“. Тъй като се оспорва само отговорността на въпросната общност, тази на проповядващите нейни членове не се поставя под въпрос.
65 Както изрично предвижда член 2, буква г) от Директива 95/46, понятието „администратор“ се отнася до физическо или юридическо лице, което „сам[о] или съвместно с други“ определя целите и средствата на обработка на лични данни. Следователно това понятие не препраща непременно към само едно-единствено физическо или юридическо лице, а може да се отнася до няколко субекта, участващи в обработването, за всеки от които при това положение съществува задължение да спазва приложимите разпоредби относно защитата на данните (вж. в този смисъл решение от 5 юни 2018 г., Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, т. 29).
66 Тъй като целта на тази разпоредба е да осигури, дефинирайки широко понятието „администратор“, ефикасна и пълна защита на засегнатите лица, наличието на съвместна отговорност не се изразява непременно в равна отговорност на различните субекти за едно и също обработване на лични данни. Тъкмо обратното, тези субекти могат да участват на различни етапи от обработването и в различна степен, поради което конкретната отговорност на всеки от тях трябва да се преценява с оглед на всички релевантни обстоятелства по случая (вж. в този смисъл решение от 5 юни 2018 г., Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, т. 28, 43 и 44).
67 В това отношение нито текстът на член 2, буква г) от Директива 95/46, нито някоя друга разпоредба от тази директива позволяват да се приеме, че целите и средствата на обработката трябва да се определят чрез писмени указания или нареждания от страна на администратора.
68 За сметка на това физическо или юридическо лице, което за собствени цели влияе върху обработването на лични данни и по този начин участва в определянето на целите и средствата за обработка на тези данни, може да се разглежда като администратор по смисъла на член 2, буква г) от Директива 95/46.
69 Освен това съвместната отговорност на няколко субекта за една и съща обработка, съгласно тази разпоредба, не изисква всеки от тях да има достъп до съответните лични данни (вж. в този смисъл решение от 5 юни 2018 г., Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, т. 38).
70 В случая, както следва от акта за преюдициално запитване, проповядващите членове на религиозната общност „Свидетели на Йехова“ са наистина тези, които преценяват при какви конкретни обстоятелства и какви точно лични данни да събират за посещаваните лица и как по-нататък да обработват тези данни. Както обаче бе припомнено в точки 43 и 44 от настоящото съдебно решение, събирането на лични данни се извършва в рамките на проповедническата дейност „от врата на врата“, с която проповядващите членове на религиозната общност „Свидетели на Йехова“ разпространяват вярата на своята общност. Тази проповедническа дейност, както се вижда от акта за преюдициално запитване, е основна дейност на въпросната общност — организирана, съгласувана и насърчавана от същата. В този контекст данните се събират, за да служат за справка с цел последващо използване и евентуално ново последващо посещение. Накрая, сборовете на религиозната общност „Свидетели на Йехова“ поддържат, въз основа на данните, които са им предадени от проповядващите членове, списъци с лица, пожелали да не бъдат повече посещавани от такива членове.
71 Следователно събирането на лични данни на посетените лица и тяхното по-нататъшно обработване служат за постигането на целта на религиозната общност „Свидетели на Йехова“ да разпространява вярата си и следователно са извършени от проповядващи нейни членове в интерес на тази общност. Освен това религиозната общност „Свидетели на Йехова“ не само е по принцип наясно, че обработването на такива данни се извършва с цел разпространяване на вярата ѝ, но и организира и съгласува проповедническата дейност на членовете си, включително като определя радиуса на действие на отделните проповедници.
72 Тези обстоятелства обосновават извода, че религиозната общност „Свидетели на Йехова“ насърчава проповядващите свои членове да извършват в рамките на проповедническата си дейност обработване на лични данни.
73 Така от представената на Съда преписка се установява, че религиозната общност „Свидетели на Йехова“, като организира, съгласува и насърчава с цел разпространяване на вярата си проповедническата дейност на своите членове, участва, съвместно с тях, в определянето на целите и средствата на обработката на лични данни на посетените лица, но все пак запитващата юрисдикция следва да провери това, вземайки предвид всички обстоятелства по случая.
74 Принципът на организационна самостоятелност на религиозните общности, който произтича от член 17 ДФЕС, не може да постави под въпрос тази констатация. Всъщност задължението на всяко лице да спазва нормите на правото на Съюза относно защитата на личните данни не може да се счита за намеса в организационната самостоятелност на посочените общности (вж. по аналогия решение от 17 април 2018 г., Egenberger, C‑414/16, EU:C:2018:257, т. 58).
75 С оглед на гореизложените съображения на третия и четвъртия въпрос следва да се отговори, че член 2, буква г) от Директива 95/46, разглеждан във връзка с член 10, параграф 1 от Хартата, трябва да се тълкува в смисъл, че религиозна общност, съвместно с проповядващите нейни членове, може да бъде квалифицирана като администратор на личните данни, обработвани от последните в рамките на проповедническа дейност „от врата на врата“, организирана, съгласувана и насърчавана от тази общност, без да е необходимо въпросната общност да има достъп до данните или да е установено, че тя е дала на членовете си писмени указания или нареждания във връзка с обработването.
По съдебните разноски
76 С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (голям състав) реши:
1) Член 3, параграф 2 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни, разглеждан във връзка с член 10, параграф 1 от Хартата на основните права на Европейския съюз, трябва да се тълкува в смисъл, че събирането на лични данни, извършвано от членове на религиозна общност при проповедническата им дейност „от врата на врата“, и по-нататъшното обработване на тези данни не представляват нито обработване на лични данни при извършване на дейности, посочени в член 3, параграф 2, първо тире от тази директива, нито обработване на лични данни, извършвано от физически лица в хода на изцяло лични или домашни занимания по смисъла на член 3, параграф 2, второ тире от същата директива.
2) Член 2, буква в) от Директива 95/46 трябва да се тълкува в смисъл, че понятието „файл“ в тази разпоредба обхваща съвкупността от лични данни, събирани в рамките на проповедническа дейност „от врата на врата“ и състоящи се от имена и адреси и други сведения за посетените лица, при положение че тези данни са структурирани според определени критерии, позволяващи на практика лесното им откриване с цел последващо използване. За да бъде такава съвкупност обхваната от това понятие, не е необходимо тя да включва картотеки, специфични списъци или други подобни класификационни системи.
3) Член 2, буква г) от Директива 95/46, разглеждан във връзка с член 10, параграф 1 от Хартата на основните права, трябва да се тълкува в смисъл, че религиозна общност, съвместно с проповядващите нейни членове, може да бъде квалифицирана като администратор на личните данни, обработвани от последните в рамките на проповедническа дейност „от врата на врата“, организирана, съгласувана и насърчавана от тази общност, без да е необходимо въпросната общност да има достъп до данните или да е установено, че тя е дала на членовете си писмени указания или нареждания във връзка с обработването.
Подписи