ROZSUDEK SOUDNÍHO DVORA (čtvrtého senátu)
11. prosince 2014 ( *1 )
„Řízení o předběžné otázce — Směrnice 95/46/ES — Ochrana fyzických osob — Zpracování osobních údajů — Pojem ‚výkon výlučně osobních či domácích činností‘“
Ve věci C‑212/13,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podaná rozhodnutím Nejvyššího správního soudu (Česká republika) ze dne 20. března 2013, došlým Soudnímu dvoru dne 19. dubna 2013, v řízení
František Ryneš
proti
Úřadu pro ochranu osobních údajů,
SOUDNÍ DVŮR (čtvrtý senát),
ve složení L. Bay Larsen, předseda senátu, K. Jürimäe, J. Malenovský, M. Safjan (zpravodaj) a A. Prechal, soudci,
generální advokát: N. Jääskinen,
vedoucí soudní kanceláře: I. Illéssy, rada,
s přihlédnutím k písemné části řízení a po jednání konaném dne 20. března 2014,
s ohledem na vyjádření předložená:
—
za F. Ryneše M. Šalomounem, advokátem,
—
za Úřad pro ochranu osobních údajů I. Němcem, advokátem, a J. Prokešem,
—
za českou vládu M. Smolkem a J. Vláčilem, jako zmocněnci,
—
za španělskou vládu A. Rubio Gonzálezem, jako zmocněncem,
—
za italskou vládu G. Palmieri, jako zmocněnkyní, ve spolupráci s P. Gentilim, avvocato dello Stato,
—
za rakouskou vládu A. Poschem a G. Kunnertem, jako zmocněnci,
—
za polskou vládu B. Majczynou, J. Fałdyga a M. Kamejsza, jako zmocněnci,
—
za portugalskou vládu L. Inez Fernandesem a C. Vieira Guerra, jako zmocněnci,
—
za vládu Spojeného království L. Christiem, jako zmocněncem, ve spolupráci s J. Holmesem, barrister,
—
za Evropskou komisi B. Martenczukem, P. Němečkovou a Z. Malůškovou, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 10. července 2014,
vydává tento
Rozsudek
1
Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 3 odst. 2 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. L 281, s. 31; Zvl. vyd. 13/15, s. 355).
2
Tato žádost byla podána v rámci sporu mezi F. Rynešem a Úřadem pro ochranu osobních údajů (dále jen „Úřad“) týkajícího se rozhodnutí, v němž Úřad shledal, že F. Ryneš spáchal několik přestupků na úseku ochrany osobních údajů.
Právní rámec
Unijní právo
3
V bodech 10, 12 a 14 až 16 odůvodnění směrnice 95/46 se uvádí:
„(10)
[…] předmětem vnitrostátních právních předpisů o zpracování osobních údajů je chránit základní práva a svobody, zejména právo na soukromí uznaného [uznané] v článku 8 Evropské úmluvy o ochraně lidských práv a základních svobod i v obecných zásadách práva Společenství; […] z tohoto důvodu sblížení těchto právních předpisů nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany ve Společenství;
[…]
(12)
[…] je třeba vyloučit zpracování údajů fyzickou osobou při výkonu činností, které mají výlučně osobní [či domácí] povahu, jako je korespondence nebo vedení adresáře;
[…]
(14)
[…] s ohledem na význam současného rozvoje technologií pro příjem, přenos, úpravu, zaznamenání, uchování či sdělování zvukových a obrazových údajů týkajících se fyzických osob v rámci informační společnosti se tato směrnice použije i na zpracování těchto údajů;
(15)
[…] tato směrnice se vztahuje na zpracování těchto údajů, pouze pokud jsou automatizována nebo pokud jsou zpracovávané údaje obsaženy nebo mají být obsaženy v rejstříku uspořádaném podle zvláštních hledisek týkajících se osob, aby byl umožněn snadný přístup k dotčeným osobním údajům;
(16)
[…] tato směrnice se nevztahuje na zpracování údajů tvořených zvuky či obrazy, jako například údajů zjištěných při dohledu pomocí videokamer, pokud byly zavedeny pro zajištění veřejné bezpečnosti, obrany a bezpečnosti státu, nebo pro výkon činností státu v oblasti trestní nebo pro výkon jiných činností, které nespadají do oblasti působnosti práva Společenství.“
4
Článek 2 této směrnice stanoví:
„Pro účely této směrnice se rozumí:
a)
‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné [fyzické] osobě (subjekt údajů); identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem […] na jeden či více zvláštních prvků její fyzické […] identity;
b)
‚zpracováním osobních údajů‘ (‚zpracování‘) jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace;
c)
‚rejstříkem osobních údajů‘ (‚rejstřík‘) jakýkoli uspořádaný soubor osobních údajů přístupných podle určených kritérií, ať již je tento soubor centralizován, decentralizován nebo rozdělen podle funkčního či zeměpisného hlediska;
d)
‚správcem‘ fyzická […] osoba […], kter[á] s[ama] nebo společně s jinými určuje účel a prostředky zpracování osobních údajů […]“
5
Článek 3 uvedené směrnice stanoví:
„1. Tato směrnice se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů, jakož i na neautomatizované zpracování osobních údajů, které jsou obsaženy v rejstříku nebo do něj mají být zařazeny.
2. Tato směrnice se nevztahuje na zpracování osobních údajů:
—
prováděné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny [které nespadají do oblasti působnosti práva Společenství, jako jsou činnosti uvedené] v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva,
—
prováděné fyzickou osobou pro výkon výlučně osobních či domácích činností.“
6
Článek 7 téže směrnice zní následovně:
„Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:
a)
subjekt údajů nezpochybnitelně udělil souhlas; nebo
[…]
f)
je nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů, které vyžadují ochranu podle čl. 1 odst. 1.“
7
Článek 11 směrnice 95/46 stanoví:
„1. Pokud údaje neposkytuje subjekt údajů, stanoví členské státy, že správce […] musí po zaznamenání údajů […] poskytnout subjektu údajů alespoň dále uvedené informace, ledaže s nimi subjekt údajů již byl seznámen:
—
[a)] totožnost správce […]
—
[b)] účely zpracování;
—
[c)] veškeré doplňující informace jako:
—
kategorie dotčených údajů;
—
příjemci nebo kategorie příjemců údajů;
—
existence práva na přístup k údajům, které se subjektu údajů týkají, a právo na jejich opravu,
v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů vůči subjektu údajů, s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány.
2. Odstavec 1 se nepoužije, ukáže-li se, zejména u zpracování pro účely statistiky nebo historických či vědeckých výzkumů, že informování subjektu údajů není možné nebo by vyžadovalo neúměrné úsilí, nebo pokud právní předpisy výslovně upravují zaznamenávání nebo sdělování údajů. V těchto případech členské státy stanoví vhodná ochranná opatření.“
8
Článek 13 odst. 1 této směrnice stanoví:
„Členské státy mohou přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených […] v čl. 11 odst. 1 […], pokud toto omezení představuje opatření nezbytné pro zajištění:
[…]
d)
předcházení trestným činům a jejich vyšetřování, odhalování a stíhání nebo nedodržování deontologických pravidel pro regulovaná povolání;
[…]
g)
ochrany […] práv a svobod druhých.“
9
Článek 18 odst. 1 uvedené směrnice stanoví:
„Členské státy stanoví, že správce […] musí zaslat oznámení orgánu dozoru […], a to před zahájením zcela nebo částečně automatizovaného zpracování nebo souboru těchto zpracování se stejným účelem nebo se souvisejícími účely.“
České právo
10
Ustanovení § 3 odst. 3 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů (dále jen „zákon č. 101/2000 Sb.“), zní:
„Tento zákon se nevztahuje na zpracování osobních údajů, které provádí fyzická osoba výlučně pro osobní potřebu.“
11
V ustanovení § 44 odst. 2 tohoto zákona je upravena odpovědnost zpracovatele osobních údajů, a to tak, že se dopustí přestupku, jestliže zpracovává osobní údaje bez souhlasu subjektu údajů, neposkytne subjektu údajů příslušné informace a nesplní oznamovací povinnost vůči příslušnému orgánu.
12
V souladu s § 5 odst. 2 uvedeného zákona je zpracování osobních údajů v zásadě možné pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je lze zpracovávat, pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby. Takové zpracování však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života.
Spor v původním řízení a předběžná otázka
13
V době od 5. října 2007 do 11. dubna 2008 F. Ryneš nainstaloval a provozoval kamerový systém umístěný pod římsou střechy domu jeho rodiny. Kamera byla napevno zabudovaná, bez možnosti otáčení, a snímala vstup do tohoto domu, veřejnou ulici a vstup do protějšího domu. Systém umožňoval jen obrazový záznam, který byl ukládán do nahrávacího zařízení, a sice na pevný disk, formou nekonečné smyčky. Při naplnění kapacity pevného disku se záznam opětovně přemazával novým záznamem. U nahrávacího zařízení nebyl instalován monitor, takže si obraz nebylo možné bezprostředně prohlížet. K systému a jeho datům měl přímý přístup jen F. Ryneš.
14
Předkládající soud poukazuje na to, že jediným důvodem, proč F. Ryneš tuto kameru provozoval, byla ochrana majetku, zdraví a života jeho samotného a jeho rodiny. Na něj osobně i na jeho rodinu totiž po několik let útočila neznámá osoba, kterou se nepodařilo vypátrat. Mezi lety 2005 a 2007 navíc docházelo k opakovanému rozbíjení oken domu jeho rodiny.
15
V noci z 6. na 7. října 2007 došlo k dalšímu útoku. Bylo rozbito okno dotčeného rodinného domu výstřelem z praku. Díky předmětnému kamerovému systému se podařilo identifikovat dvě podezřelé osoby. Záznam byl předán policejním orgánům a následně využit v zahájeném trestním řízení.
16
Jeden z podezřelých podal podnět k prověření zákonnosti provozu kamerového systému F. Ryneše a Úřad v rozhodnutí ze dne 4. srpna 2008 shledal, že F. Ryneš spáchal přestupky podle zákona č. 101/2000 Sb., a to tím, že:
—
jako správce osobních údajů shromažďoval prostřednictvím kamerového systému osobní údaje osob pohybujících se po ulici před domem a vstupujících do domu na druhé straně ulice, a to bez jejich souhlasu;
—
subjekty údajů nijak neinformoval o tomto zpracování osobních údajů, o rozsahu a účelu tohoto zpracování, o tom, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být předmětné údaje zpřístupněny, a
—
jako správce osobních údajů nesplnil F. Ryneš oznamovací povinnost o tomto zpracování vůči Úřadu.
17
Žaloba F. Ryneše proti tomuto rozhodnutí byla rozsudkem Městského soudu v Praze ze dne 25. dubna 2012 zamítnuta. F. Ryneš podal proti tomuto rozsudku kasační stížnost k předkládajícímu soudu.
18
Za těchto podmínek se Nejvyšší správní soud rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:
„Lze provozování kamerového systému umístěného na rodinném domě za účelem ochrany majetku, zdraví a života majitelů domu podřadit pod zpracování osobních údajů ‚prováděné fyzickou osobou pro výkon výlučně osobních či domácích činností‘ ve smyslu čl. 3 odst. 2 směrnice 95/46[…], třebaže takovýto systém zabírá též veřejné prostranství?“
K předběžné otázce
19
Podstatou otázky předkládajícího soudu je, zda musí být čl. 3 odst. 2 druhá odrážka směrnice 95/46 vykládán v tom smyslu, že provozování kamerového systému – při kterém je obrazový záznam zachycující osoby ukládán formou nekonečné smyčky do takového nahrávacího zařízení, jako je pevný disk – umístěného fyzickou osobou na jejím rodinném domě za účelem ochrany majetku, zdraví a života majitelů domu, přičemž takovýto systém zabírá též veřejné prostranství, představuje zpracování údajů prováděné pro výkon výlučně osobních či domácích činností ve smyslu uvedeného ustanovení.
20
Je třeba připomenout, že uvedená směrnice se podle jejího čl. 3 odst. 1 vztahuje „na zcela nebo částečně automatizované zpracování osobních údajů, jakož i na neautomatizované zpracování osobních údajů, které jsou obsaženy v rejstříku nebo do něj mají být zařazeny“.
21
Pojem „osobní údaje“ použitý v tomto ustanovení zahrnuje v souladu s definicí obsaženou v čl. 2 písm. a) směrnice 95/46 „veškeré informace o identifikované nebo identifikovatelné [fyzické] osobě“. Identifikovatelnou osobou se rozumí „osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem […] na jeden či více zvláštních prvků její fyzické […] identity“.
22
Obraz osoby zaznamenaný prostřednictvím kamery tudíž představuje osobní údaj ve smyslu ustanovení citovaného v předchozím bodě, neboť umožňuje identifikovat subjekt údajů.
23
V souvislosti s pojmem „zpracování osobních údajů“ je třeba poukázat na to, že je definován v čl. 2 písm. b) směrnice 95/46 jako „jakýkoli úkon nebo soubor úkonů s osobními údaji […] jako je shromažďování, zaznamenávání, […] uchovávání“.
24
Jak plyne zejména z bodů 15 a 16 odůvodnění směrnice 95/46, tato směrnice se na dohled pomocí videokamer v zásadě vztahuje tehdy, pokud představuje automatizované zpracování.
25
Monitorování prostřednictvím obrazového záznamu zachycujícího osoby, k jakému docházelo ve věci v původním řízení, ukládaného formou nekonečné smyčky do nahrávacího zařízení, a sice na pevný disk, přitom představuje v souladu s čl. 3 odst. 1 směrnice 95/46 automatizované zpracování osobních údajů.
26
Předkládající soud si klade otázku, zda takové zpracování nicméně není v takové situaci, jako je situace dotčená ve věci v původním řízení, vyloučeno z působnosti této směrnice, jelikož by mohlo jít o zpracování prováděné „pro výkon výlučně osobních či domácích činností“ ve smyslu čl. 3 odst. 2 druhé odrážky uvedené směrnice.
27
Předmětem směrnice 95/46 – jak vyplývá z článku 1 a z bodu 10 jejího odůvodnění – je zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů (viz rozsudek Google Spain a Google, C‑131/12, EU:C:2014:317, bod 66).
28
V této souvislosti je třeba poukázat na to, že podle ustálené judikatury platí, že ochrana základního práva na soukromí, zaručeného článkem 7 Listiny základních práv Evropské unie, vyžaduje, aby výjimky z ochrany osobních údajů a její omezení byly činěny v mezích toho, co je naprosto nezbytné (viz rozsudky IPI, C‑473/12, EU:C:2013:715, bod 39, jakož i Digital Rights Ireland a další, C‑293/12 a C‑594/12, EU:C:2014:238, bod 52).
29
Vzhledem k tomu, že ustanovení směrnice 95/46 musí být v rozsahu, v němž upravují zpracování osobních údajů, které může představovat zásah do základních svobod, a zejména práva na soukromí, nutně vykládána ve světle základních práv, která jsou zakotvená v citované Listině (viz rozsudek Google Spain a Google, EU:C:2014:317, bod 68), musí být výjimka stanovená v čl. 3 odst. 2 druhé odrážce této směrnice vykládána striktně.
30
Tento striktní výklad má oporu i v samotném znění tohoto ustanovení, podle kterého se směrnice 95/46 nevztahuje na zpracování údajů prováděné pro výkon nikoli prostě osobních či domácích činností, nýbrž „výlučně“ osobních či domácích činností.
31
S ohledem na výše uvedené úvahy je třeba konstatovat, jak podotkl generální advokát v bodě 53 svého stanoviska, že na zpracování osobních údajů se výjimka uvedená v čl. 3 odst. 2 druhé odrážce směrnice 95/46 vztahuje jen tehdy, je-li prováděno ve výlučně osobní či domácí sféře osoby, která toto zpracování provádí.
32
Co se týče fyzických osob, představuje „výlučně osobní či domácí činnosti“ – s ohledem na bod 12 odůvodnění směrnice 95/46 – korespondence nebo vedení adresáře, i když se tyto činnosti mimochodem týkají nebo mohou týkat soukromí jiných osob.
33
Jestliže takový kamerový systém, jako je systém dotčený ve věci v původním řízení, zabírá – třebaže částečně – veřejné prostranství, a je tudíž zaměřen mimo soukromou sféru osoby, která jeho prostřednictvím zpracovává údaje, nelze jeho provozování považovat za výlučně „osobní či domácí“ činnost ve smyslu čl. 3 odst. 2 druhé odrážky směrnice 95/46.
34
Zároveň lze při uplatňování ustanovení této směrnice případně zohlednit, zejména v souladu s čl. 7 písm. f), čl. 11 odst. 2 a čl. 13 odst. 1 písm. d) a g) uvedené směrnice, oprávněné zájmy správce spočívající mimo jiné, stejně jako ve věci v původním řízení, v ochraně majetku, zdraví a života tohoto správce a jeho rodiny.
35
Na položenou otázku je proto třeba odpovědět, že čl. 3 odst. 2 druhá odrážka směrnice 95/46 musí být vykládán v tom smyslu, že provozování kamerového systému – při kterém je obrazový záznam zachycující osoby ukládán formou nekonečné smyčky do takového nahrávacího zařízení, jako je pevný disk – umístěného fyzickou osobou na jejím rodinném domě za účelem ochrany majetku, zdraví a života majitelů domu, přičemž takový systém zabírá též veřejné prostranství, nepředstavuje zpracování údajů pro výkon výlučně osobních či domácích činností ve smyslu uvedeného ustanovení.
K nákladům řízení
36
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (čtvrtý senát) rozhodl takto:
Článek 3 odst. 2 druhá odrážka směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že provozování kamerového systému – při kterém je obrazový záznam zachycující osoby ukládán formou nekonečné smyčky do takového nahrávacího zařízení, jako je pevný disk – umístěného fyzickou osobou na jejím rodinném domě za účelem ochrany majetku, zdraví a života majitelů domu, přičemž takový systém zabírá též veřejné prostranství, nepředstavuje zpracování údajů pro výkon výlučně osobních či domácích činností ve smyslu uvedeného ustanovení.
Podpisy.
( *1 ) – Jednací jazyk: čeština.
Full & Egal Universal Law Academy