Z wokandy ETS: prywatny monitoring a ochrona danych osobowych

Przedświąteczne tygodnie były bardzo pracowite dla Trybunału Sprawiedliwości UE i zaowocowały kilkoma równie ważnymi co interesującymi orzeczeniami. Oczywiście, najbardziej oczekiwanym z nich była opinia w sprawie przystąpienia UE do EKPC, o której pisaliśmy tutaj. Jednak warto też wspomnieć o kilku innych, co w najbliższych dniach będziemy czynić.

Jako pierwszy prezentujemy wyrok z 11 grudnia w sprawie C-212/13 František Ryneš przeciwko Úřad pro ochranu osobních údajů, wydany w odpowiedzi na pytanie skierowane do TS przez czeski Nejvyšší správní soud (naczelny sąd administracyjny), rozstrzygajacy w postępowaniu kasacyjnym pomiędzy p. F. Rynešem a czeskim Urzędem ds. ochrony danych osobowych.

Pan Ryneš i jego rodzina byli wielokrotnie celem napaści ze strony nieznanych sprawców, kilkakrotnie wybijano też okna w ich domu. Aby chronić siebie i rodzinę F. Ryneš zainstalował na domu  kamerę video, monitorującą wejście do jego domu, drogę publiczną i wejście do domu położonego naprzeciwko. W efekcie, kiedy miał miejsce kolejny atak (wybicie szyb) kamera uchwyciła sprawców, nagranie przekazano policji, a ta zidentyfikowała na jego podstawie dwóch podejrzanych, przeciwko którym wszczęto postępowanie karne. Jednak w trakcie tego postępowania jeden z podejrzanych zakwestionował zgodność z prawem przetwarzania danych zarejestrowanych przez kamerę monitoringu p. Ryneša i zgłosił sprawę do urzędu ds. ochrony danych osobowych. Ten uznał, że F. Ryneš naruszył przepisy dotyczące ochrony danych osobowych i nałożył na niego grzywnę. W uzasadnieniu urząd podniósł, m.in., że dane podejrzanego zostały zarejestrowane bez jego zgody, kiedy przebywał on na drodze publicznej (znajdującej się przed domem rodziny Rynešów).

F. Ryneš odwołał się od decyzji urzędu i przed sądem powoływał się na dyrektywę 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Dyrektywa pozwala na przetwarzanie danych osobowych co do zasady tylko za zgodą osoby, której dane dotyczą. Jednak w drodze wyjątku nie stosuje się jej do przetwarzania danych dokonywanego przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze - i właśnie za takie przetwarzanie danych pan Ryneš uznał funkcjonowanie swojego monitoringu.

W swoim wyroku Trybunał potwierdził, że obraz osoby zarejestrowany przez kamerę stanowi dane osobowe w rozumieniu dyrektywy, ponieważ pozwala on ustalić jej tożsamość. Także monitoring wideo, obejmujący nagrywanie i przechowywanie danych osobowych, wchodzi w zakres stosowania dyrektywy, ponieważ stanowi zautomatyzowane przetwarzanie tych danych. Stwierdził jednak, że nadzór kamer wideo, który rozciąga się na przestrzeń publiczną i w ten sposób wykracza poza sferę prywatną osoby przetwarzającej dane nie może być rozumiany jako „czynność o czysto osobistym lub domowym charakterze”. Tym samym ten wyjątek przewidziany w dyrektywie nie mógłby mieć zastosowania do sytuacji skarżącego.

Jednak Trybunał wskazał jednocześnie, że stosując dyrektywę 95/46, sąd krajowy powinien wziąć pod uwagę to, że jej przepisy (art. 7, art. 11 ust. 2 i art. 13 ust. 1) pozwalają uwzględnić uzasadnione interesy administratora danych mające na celu ochronę własności, zdrowia i życia jego oraz jego rodziny. W szczególności, przetwarzanie danych osobowych może być dokonywane bez zgody osoby, której dane dotyczą, po pierwsze w przypadku, gdy jest to konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych. Po drugie, osoba nie musi być poinformowana o przetwarzaniu jej danych, jeżeli byłoby to niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku. Po trzecie, państwa członkowskie mogą ograniczyć zakres praw i obowiązków ustanowiony w dyrektywie, kiedy ograniczenie takie jest konieczne w ramach działań prewencyjnych, prowadzonych czynności dochodzeniowo-śledczych i prokuratorskich w sprawach karnych lub dla ochrony praw i wolności innych osób. W konsekwencji, jak wnika z wyroku TS, dyrektywa pozwala na uwzględnienie uzasadnionego interesu osoby, która zainstalowała monitoring (i stała się w rozumieniu dyrektywy administratorem danych), mającego na celu na ochronę własności, zdrowia i życia jej oraz jej rodziny. Taka wykładnia dyrektywy umożliwia zatem wykorzystanie danych z prywatnych monitoringów, mimo, że takie przetwarzanie danych może nie mieć "czysto osobistego lub domowego" charakteru, bez narażania osób z takich zabezpieczeń korzystających na odpowiedzialność za naruszenie przepisów o ochronie danych osobowych wobec ewentualnych sprawców przestępstw lub wykroczeń.