Anotace rozhodnutí Evropského soudu pro lidská práva
Rozhodnutí ze dne 5. listopadu 2024 ve věci č. 52319/22 – Le Marrec proti Francii
Senát páté sekce Soudu jednomyslně rozhodl, že využití IP adresy stěžovatele při přihlášení na internetové stránky správy sociálního zabezpečení k určení jeho polohy, které v důsledku vedlo k odebrání jeho nároku na sociální dávky, nepředstavovalo nepřiměřený zásah do jeho práva na respektování soukromého života. Stížnost tak odmítl pro zjevnou neopodstatněnost.
I. Skutkové okolnosti
Stěžovateli byla přiznána základní sociální podpora. Počátkem roku 2019 se přihlásil na webové stránky správy sociálního zabezpečení („CAF“) na adrese caf.fr, které spravuje a hostuje Národní správa sociálního zabezpečení („CNAF“), aby aktualizoval svůj status příjemce dávek v sekci „Můj účet“. Při jeho přihlášení byla k určení jeho polohy prověřena IP adresa jeho počítače, která byla na serveru hostujícím tyto stránky převedena na geografický ukazatel „Jiné země“ naznačující, že se nachází v zahraničí.
To vedlo k prověření stěžovatelova nároku na pobírání dávek. Stěžovatel CAF vysvětlil, že při přihlášení použil virtuální privátní síť (VPN), aby zakryl svou IP adresu, zatímco ve skutečnosti žil ve Francii. Inspektoři CAF následně zkontrolovali bankovní účet stěžovatele a zjistili, že již není oprávněn pobírat základní sociální podporu. Ředitel CAF proto dvěma rozhodnutími vydanými v červnu 2019 ukončil nárok stěžovatele na tuto dávku.
V říjnu 2020 správní soud zamítl stěžovatelovy žaloby proti těmto rozhodnutím. V červenci 2022 byla jeho kasační stížnost odmítnuta jako nepřípustná.
II. Odůvodnění rozhodnutí Soudu
K tvrzenému porušení článku 8 Úmluvy
Stěžovatel před Soudem namítal, že získáním a použitím jeho IP adresy ze strany CAF za účelem zjištění jeho polohy došlo k porušení jeho práva na soukromý život dle článku 8 Úmluvy.
a) Přijatelnost ratione materiae
Soud již v minulosti shledal, že informace o online aktivitách spadají pod pojem soukromí dle článku 8 Úmluvy od okamžiku, kdy jsou spojeny s identifikovanou nebo identifikovatelnou osobou (Benedik proti Slovinsku, č. 62357/14, rozhodnutí ze dne 24. dubna 2018, § 107–110). V projednávaném případě použití IP adresy maskované VPN, v kombinaci s identifikačním číslem příjemce dávek, vedlo k identifikaci stěžovatele a automatickému předání informace CAF, že se stěžovatel přihlásil ze zahraniční, byť se ve skutečnosti v dané době nacházel ve Francii. Soud proto považoval článek 8 Úmluvy za použitelný na zpracování IP adresy počítače stěžovatele.
b) Odůvodněnost
Shromažďování a použití IP adresy stěžovatele ze strany CAF představovalo dle Soudu zásah do jeho práva na respektování soukromého života. Takový zásah bude v souladu s požadavky článku 8 Úmluvy, pokud je učiněn na základě zákona, sleduje legitimní cíl a je nezbytný v demokratické společnosti k dosažení daného cíle.
1. Právní základ a sledovaný legitimní cíl
Obecné zásady týkající se zákonnosti zásahu do práv chráněných článkem 8 Úmluvy Soud shrnul ve věci Benedik proti Slovinsku (cit. výše, § 122). V projednávaném případě Soud shledal, že napadené opatření bylo založeno na kombinaci ustanovení obsažených v sociálním zákoníku, nařízení EU o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů („GDPR“), zákoně o ochraně osobních údajů a pravidel upravujících provoz webových stránek caf.fr, která byla veřejně přístupná. Soud shledal, že tento právní rámec jako celek určoval rozsah a způsob shromažďování a používání IP adresy počítače ze strany CAF s dostatečnou přesností, a tím umožňoval stěžovateli regulovat své jednání, konkrétně učinit informované rozhodnutí o tom, zda se na webové stránky CAF přihlásí. Poukázal přitom na to, že uživatel teleslužby na internetových stránek caf.fr měl povinnost přečíst si a přijmout podmínky používání této služby, které informují uživatele o rozsahu zpracování jeho osobních údajů. Soud měl proto za to, že stěžovatel byl o zpracování IP adresy svého počítače informován předem. Protože neměl k dispozici žádné důkazy, které by zpochybňovaly zákonnost napadeného opatření, Soud považoval zásah za „v souladu se zákonem“.
Co se týče legitimního cíle, tím bylo ověření nároku stěžovatele na sociální dávku a zajištění bezpečnosti webových stránek caf.fr a jejich využívání příjemci dávek. Z toho vyplývá, že napadené opatření sledovalo legitimní cíl zajištění hospodářského blahobytu země a předcházení zločinnosti.
2. Přiměřenost zásahu
Soud nejprve odkázal na obecné zásady posuzování přiměřenosti zpracování osobních údajů, které shrnul v rozsudku ve věci L. F. proti Francii (č. 3866/20 a 9292/20, rozhodnutí ze dne 13. února 2024, § 26–29). Připomněl, že při posuzování přiměřenosti Soud přihlíží k zásadám ohledně zpracování osobních údajů uvedeným v Úmluvě Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních údajů („Úmluva 108“), které byly převzaty v článku 5 GDPR, jakož i v zákoně o ochraně osobních údajů. Těmito zásadami jsou: „zákonnost, korektnost a transparentnost“ shromažďování; „minimalizace údajů“ – tedy že shromážděné a zpracované údaje by měly být přiměřené, relevantní a omezené na to, co je nezbytné pro účely, pro které jsou zpracovávány; a „přesnost“.
V projednávaném případě zpracovávaný údaj – IP adresa převedená na geografický ukazatel „Jiné země“ – nebyl citlivé povahy a netýkal se ani těch nejintimnějších, ani zvláště důležitých aspektů života nebo identity jednotlivce. Kromě toho sám o sobě neposkytoval „zásadní a přesné informace“ o stěžovateli a neumožňoval sestavení podrobného profilu prostřednictvím vyčerpávajícího sledování jeho historie prohlížení. Naopak šlo o vágní, čistě geografickou informaci, která nevyžadovala zvýšenou ochranu. Na rozdíl od poskytovatelů elektronických komunikací CNAF systematicky neshromažďovala a neukládala údaje o přihlášení uživatelů internetu. Jelikož daný údaj nebyl citlivý, měl stát v tomto ohledu širší prostor pro uvážení.
Za druhé, daný údaj byl shromážděn zákonným, korektním a transparentním způsobem. Je pravda, že zpracování IP adresy mělo významné dopady na situaci stěžovatele, neboť vyvolalo prověření jeho situace, které nakonec vedlo k ukončení nároku na sociální dávky. Přesto však platí, že pokud chtěl stěžovatel čerpat dávky prostřednictvím online služby, nemohl rozumně očekávat, že při přihlášení na stránku „Můj účet“ na webu CAF zůstane jeho poloha neznámá pracovníkům tohoto veřejného poskytovatele služeb.
Za třetí, byla dodržena zásada minimalizace údajů, neboť CAF nezpracovala nic jiného než geografický ukazatel „Jiné země“, a to za účelem ověření místa pobytu stěžovatele jakožto příjemce sociálních dávek. Použití této informace bylo přísně omezeno na účel, pro který byla shromážděna: určit místo pobytu stěžovatele ve Francii za účelem sledování jeho situace a ověření jeho nároku na sociální dávky. V důsledku toho bylo toto použití přísně nezbytné pro účel poskytování veřejné služby vyplácení sociálních dávek. Nebylo prokázáno žádné nesprávné, nadměrné ani zbytečné shromažďování či použití IP adresy.
Pokud jde o přesnost údajů, navzdory tomu, že se stěžovatel přihlásil z území Francie, použití VPN způsobilo, že byla jeho poloha nesprávně určena jako zahraniční, což bylo důsledkem jeho vlastního rozhodnutí nezveřejnit svou skutečnou adresu ve Francii. Tuto nepřesnost však následně mohl napravit tím, že CAF poskytl vysvětlení.
A konečně Soud podpůrně poukázal na to, že přístup k těmto údajům mělo jen omezené množství osob, konkrétně pouze pracovníci CAF.
c) Závěr
Soud dospěl k závěru, že shromažďování a použití IP adresy mělo zákonný základ, který odpovídal požadavkům Úmluvy. S přihlédnutím k prostoru pro uvážení, který mají orgány v oblasti boje proti zneužívání sociálních dávek, k cíli sledovanému zpracováním daných osobních údajů ze strany CAF a k souvisejícím zárukám podle vnitrostátního práva Soud shledal, že opatření mělo relevantní a dostatečné důvody a nepředstavovalo zjevně nepřiměřený zásah do práva stěžovatele na respektování jeho soukromého života. Stížnost proto prohlásil za zjevně neopodstatněnou.