Trybunał Sprawiedliwości Unii Europejskiej orzekł w sprawie ochrony danych osobowych

11 grudnia 2014 roku Trybunał Sprawiedliwości UE wydał wyrok w trybie prejudycjalnym w sprawie František Ryneš przeciwko Úřad pro ochranu osobních údajů (czeski urząd ds. ochrony danych osobowych). Trybunał stwierdził, że dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z 24 października 1995r.  w sprawie ochrony danych osobowych znajduje zastosowanie do nagrań wideo rejestrowanych za pomocą kamery monitoringu zainstalowanej przez daną osobę na jej domu rodzinnym i skierowanej na drogę publiczną.

František Ryneš i jego rodzina byli wielokrotnie celem ataków ze strony nieznanych sprawców, a dodatkowo kilkakrotnie wybito okna ich domu. W odpowiedzi na te ataki F. Ryneš zainstalował na domu jego rodziny kamerę monitoringu, która nagrywała wejście do tego domu, drogę publiczną, a także wejście do domu położonego naprzeciwko. Kamera nagrała jeden z ataków dzięki czeku policja mogła ustalić podejrzanych. Jeden z podejrzanych zakwestionował jednak przed czeskim urzędem ds. ochrony danych osobowych zgodność z prawem przetwarzania danych zarejestrowanych na kamerze monitoringu  F. Ryneša. Podejrzany podniósł, że dane podejrzanego zostały zarejestrowane bez jego zgody gdy przebywał na drodze publicznej. Urząd uznał, że F. Ryneš rzeczywiście naruszył przepisy w zakresie ochrony danych osobowych i nałożył na niego grzywnę.

Nejvyšší správní soud (naczelny sąd administracyjny, Republika Czeska), przed którym toczy się postępowanie kasacyjne w sprawie pomiędzy F. Rynešem a urzędem, zwrócił się do Trybunału Sprawiedliwości z pytaniem, czy nagranie zarejestrowane przez F. Ryneša w celu ochrony jego życia, zdrowia i własności (tj. nagranie zawierające dane osobowe osób atakujących jego dom z drogi publicznej) stanowi przetwarzanie danych nieobjęte dyrektywą, ze względu na to, że  nagranie to zostało wykonane przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze.

Trybunał Sprawiedliwości Unii Europejskiej orzekł, że  nadzór kamer wideo, który rozciąga się na przestrzeń publiczną i który w ten sposób jest skierowany poza sferę prywatną osoby przetwarzającej dane nie może być rozumiany jako „czynność o czysto osobistym lub domowym charakterze”. Stosując tę dyrektywę, sąd krajowy powinien jednocześnie wziąć pod uwagę to, że jej przepisy pozwalają uwzględnić uzasadnione interesy administratora danych mające na celu ochronę własności, zdrowia i życia jego oraz jego rodziny.

Warto podkreślić, że Trybunał Sprawiedliwości stwierdził, że przetwarzanie danych osobowych, może być dokonane bez zgody osoby, której dane dotyczą w przypadku:

• uzasadnionego interesu adresata danych;
• decyzją państwa członkowskiego zakres praw i obowiązków ustanowiony w dyrektywie może być ograniczony gdy jest to konieczne dla zabezpieczenia działań prewencyjnych, prowadzonych czynności dochodzeniowo-śledczych i prokuratorskich w sprawach karnych lub ochrony praw i wolności innych osób;
• poinformowanie o przetwarzaniu danych jest niemożliwe lub wymaga niewspółmiernie dużego wysiłku.

Pojęcie „danych osobowych” w rozumieniu powyższej dyrektywy obejmuje wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osoba możliwa do zidentyfikowania to każda osoba, której tożsamość można ustalić bezpośrednio lub pośrednio przez powołanie się na jeden bądź kilka szczegółowych czynników określających jej fizyczną tożsamość.

Komisja Petycji Parlamentu Europejskiego obecnie rozpatruje skargę Europejskiej Fundacji Praw Człowieka (EFHR) w sprawie nieprzestrzegania przez władze litewskie Dyrektywy 95/46/EC Parlamentu Europejskiego i Rady dotyczącej ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Komisja Unii Europejskiej zapowiedziała, że dokona głębszej analizy sprawy oraz sytuację przetwarzania wrażliwych danych osobowych na Litwie. Więcej o tym pisaliśmy tutaj.

EFHR