DOMSTOLENS DOM (Fjerde Afdeling)

11. december 2014 ( *1 )

»Præjudiciel forelæggelse — direktiv 95/46/EF — beskyttelse af fysiske personer — behandling af personoplysninger — begrebet »udøvelse af rent personlige eller familiemæssige aktiviteter««

I sag C-212/13,

angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Nejvyšší správní soud (Den Tjekkiske Republik) ved afgørelse af 20. marts 2013, indgået til Domstolen den 19. april 2013, i sag

František Ryneš

mod

Úřad pro ochranu osobních údajů,

har

DOMSTOLEN (Fjerde Afdeling)

sammensat af afdelingsformanden, L. Bay Larsen, og dommerne K. Jürimäe, J. Malenovský, M. Safjan (refererende dommer) og A. Prechal,

generaladvokat: N. Jääskinen

justitssekretær: fuldmægtig I. Illéssy,

på grundlag af den skriftlige forhandling og efter retsmødet den 20. marts 2014,

efter at der er afgivet indlæg af:

—	František Ryneš ved advokát M. Šalomoun

—	Úřad pro ochranu osobních údajů ved advokát I. Němec og J. Prokeš

—	den tjekkiske regering ved M. Smolek og J. Vláčil, som befuldmægtigede

—	den spanske regering ved A. Rubio González, som befuldmægtiget

—	den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato P. Gentili

—	den østrigske regering ved A. Posch og G. Kunnert, som befuldmægtigede

—	den polske regering ved B. Majczyna, J. Fałdyga og M. Kamejsza, som befuldmægtigede

—	den portugisiske regering L. Inez Fernandes og C. Vieira Guerra, som befuldmægtigede

—	Det Forenede Kongeriges regering ved L. Christie, som befuldmægtiget, bistået af barrister J. Holmes

—	Europa-Kommissionen ved B. Martenczuk, P. Němečková og Z. Malůšková, som befuldmægtigede,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 10. juli 2014,

afsagt følgende

Dom

1	Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 3, stk. 2, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31).

Anmodningen er blevet indgivet i forbindelse med en tvist mellem František Ryneš og Úřad pro ochranu osobních údajů (kontoret for beskyttelse af personoplysninger, herefter »Úřad«) vedrørende en afgørelse truffet af Úřad, hvori det fastslog, at František Ryneš havde begået flere overtrædelser med hensyn til beskyttelsen af personoplysninger.

Retsforskrifter

EU-retten

10., 12. og 14.-16. betragtning til direktiv 95/46 har følgende ordlyd:

»(10)

[M]edlemsstaternes lovgivning om behandling af personoplysninger skal sikre overholdelsen af de grundlæggende rettigheder og frihedsrettigheder, navnlig den ret til privatlivets fred, der er fastslået i artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder og i fællesskabsrettens generelle principper; af denne grund må en indbyrdes tilnærmelse af lovgivningerne ikke medføre en forringelse af den beskyttelse, disse yder, men skal tværtimod have til formål at sikre et højt beskyttelsesniveau overalt i Fællesskabet.

[...]

(12)	[…] en fysisk persons behandling af oplysninger som led i rent personlige eller familiemæssige aktiviteter som f.eks. korrespondance og føring af en adressefortegnelse, bør dog ikke være omfattet.

[...]

(14)

[D]er gøres for tiden betydelige fremskridt inden for informationssamfundet med hensyn til udvikling af metoder til at registrere, udsende, bearbejde, lagre, opbevare og videresende oplysninger om fysiske personer via lyd og billede, og det er derfor nødvendigt, at dette direktiv finder anvendelse på behandling af sådanne oplysninger.

(15)

[B]ehandling af sådanne oplysninger er kun omfattet af dette direktiv, hvis den foregår ved hjælp af elektronisk databehandling, eller hvis de pågældende oplysninger er indeholdt i eller skal indgå i et register, der er struktureret efter bestemte kriterier vedrørende personerne for at lette adgangen til de pågældende personoplysninger.

(16)

[B]ehandling af lyd- og billeddata, som f.eks. i forbindelse med video-overvågning, er ikke omfattet af dette direktiv, hvis den iværksættes med henblik på den offentlige sikkerhed, forsvar, statens sikkerhed eller statens aktiviteter på det strafferetlige område eller andre aktiviteter, der ikke falder ind under fællesskabsretten.«

Direktivets artikel 2 har følgende ordlyd:

»I dette direktiv forstås ved:

»personoplysninger« enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved […] et eller flere elementer, der er særlige for denne persons fysiske […] identitet [...]

»behandling af personoplysninger« (»behandling«) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse

c)	»register med personoplysninger« (»register«) enhver struktureret samling af personoplysninger, der er tilgængelige efter bestemte kriterier, hvad enten denne samling er placeret centralt, decentralt eller er fordelt på et funktionsbestemt eller geografisk grundlag

d)	»den registeransvarlige« den fysiske […], der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger […]«

Direktivets artikel 3 bestemmer:

»1. Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

2. Dette direktiv gælder ikke for sådan behandling af personoplysninger:

—

som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og under ingen omstændigheder for behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område

—	som foretages af en fysisk person med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter.«

Samme direktivs artikel 7 har følgende ordlyd:

»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:

a)	der ikke hersker tvivl om, at den registrerede har givet sit samtykke, eller

[...]

behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«

Artikel 11 i direktiv 95/46 bestemmer:

»1. Når oplysningerne ikke er indsamlet hos den registrerede, fastsætter medlemsstaterne bestemmelser om, at den registeransvarlige […] allerede ved registreringen af oplysningerne […] skal give den registrerede mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder, hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:

a)	den registeransvarliges […] identitet

b)	formålene med behandlingen

alle yderligere informationer f.eks.:

—	hvilken type oplysninger det drejer sig om

—	modtagerne eller kategorierne af modtagere

—	– hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede.

2. Bestemmelserne i stk. 1 finder ikke anvendelse, navnlig ikke når behandlingen foretages i statistisk øjemed eller til historiske eller videnskabelige forskningsformål, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssig vanskelig, eller registreringen eller videregivelsen af oplysningerne er udtrykkeligt fastsat ved lov. I sådanne tilfælde fastsætter medlemsstaterne de fornødne garantier.«

Direktivets artikel 13, stk. 1, bestemmer:

»Medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel […] 11, stk. 1, […] hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til:

[...]

d)	forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv

[...]

g)	beskyttelsen af […] andres rettigheder og frihedsrettigheder.«

Direktivets artikel 18, stk. 1, har følgende ordlyd:

»Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige […] forud for iværksættelsen af en behandling, der helt eller delvis udføres ved brug af elektronisk databehandling, eller en række sådanne behandlinger, hvis formål er identiske eller indbyrdes relaterede, skal foretage anmeldelse til [tilsynsmyndigheden].«

Tjekkisk ret

10	§ 3, stk. 3, i lov nr. 101/2000 Sb. om beskyttelse af personoplysninger og ændring af visse love (herefter »lov nr. 101/2000«) bestemmer: »Loven finder ikke anvendelse på behandling af personoplysninger, som foretages af en fysisk person udelukkende til personligt brug.«

Lovens § 44, stk. 2, vedrører ansvaret hos den, der behandler personoplysninger, og som begår en overtrædelse, når han behandler disse oplysninger uden den registreredes samtykke, når han ikke informerer den pågældende person, og når han ikke opfylder anmeldelsespligten over for den kompetente myndighed.

Ifølge lovens § 5, stk. 2, litra e), er behandling af personoplysninger i princippet kun tilladt med den berørte persons samtykke. Den registeransvarlige kan behandle oplysningerne uden samtykke, hvis dette er nødvendigt med henblik på at sikre beskyttelsen af den registeransvarliges, modtagerens eller en anden berørt persons rettigheder og retligt beskyttede interesser. En sådan behandling af personoplysninger må imidlertid ikke være i strid med den registreredes ret til respekt for sit privatliv.

Tvisten i hovedsagen og det præjudicielle spørgsmål

I perioden mellem den 5. oktober 2007 og den 11. april 2008 benyttede František Ryneš et kamera anbragt under tagskægget på hans familiebolig. Kameraet var anbragt i en fastlåst position, og det kunne ikke dreje. Det filmede indgangen til huset, den offentlige vej og indgangen til genboens hus. Systemet foretog udelukkende visuelle optagelser, som kontinuerligt blev opbevaret på en optagerenhed, dvs. en harddisk. Harddisken blev overspillet hver gang, der ikke var mere plads tilbage på optagerenheden. Optagerenheden var ikke udstyret med en skærm, og billedet kunne således ikke ses i realtid. Det var kun František Ryneš, som havde direkte adgang til systemet og dets oplysninger.

Den forelæggende ret har anført, at den eneste årsag til, at František Ryneš havde installeret dette system, var, at han ønskede at beskytte sin families ejendom, sundhed og liv. Både han og hans familie har nemlig igennem flere år været udsat for angreb fra en ukendt person, som aldrig er blevet identificeret. Vinduerne i familieboligen er endvidere blevet smadret gentagne gange i perioden mellem 2005 og 2007.

Natten mellem den 6. og den 7. oktober 2007 fandt der et nyt angreb sted. Et vindue i boligen blev smadret ved et skud fra en slangebøsse. Takket være kamerasystemet var det muligt at identificere to mistænkte. Optagelserne blev overdraget til politiet og efterfølgende fremlagt som bevis i den straffesag, der blev indledt.

I forbindelse med, at en af de mistænkte havde anmodet om en verificering af František Ryneš’ kamerasystem, fastslog Úřad med afgørelse af 4. august 2008, at František Ryneš havde tilsidesat lov nr. 101/2000 grundet følgende omstændigheder:

—	Som registeransvarlig for de oplysninger, som blev indhentet med et kamerasystem, havde han indsamlet personoplysninger om personer, som bevægede sig på gaden foran huset, og som gik ind i huset på den anden side af gaden, uden deres samtykke.

—	De berørte personer var ikke blevet informeret om denne behandling af personoplysninger eller om, i hvilken udstrækning og med hvilket formål personoplysningerne ville blive behandlet, af hvem og hvordan disse personoplysninger blev behandlet, og hvem der ville have adgang til personoplysningerne.

—	Som registeransvarlig havde František Ryneš ikke opfyldt kravet om indberetning af oplysningerne til Úřad.

17	Městský soud v Praze (byretten i Prag), for hvilken František Ryneš anlagde sag, forkastede denne ved dom af 25. april 2012. František Ryneš iværksatte en kassationsappel af denne dom ved den forelæggende ret.

Nejvyšší správní soud (den øverste forvaltningsdomstol) har på denne baggrund besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Kan anvendelsen af et kamerasystem, som er installeret i en familiebolig med henblik på at beskytte boligens ejeres ejendom, sundhed og liv, kvalificeres som behandling af personoplysninger, »som foretages af en fysisk person med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter« som omhandlet i artikel 3, stk. 2, i direktiv 95/46[…], selv om et sådant system også overvåger et offentligt rum?«

Om det præjudicielle spørgsmål

Med sit spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 3, stk. 2, andet led, i direktiv 95/46 skal fortolkes således, at anvendelsen af et kamerasystem, der anvendes til at optage videoer af personer, der kontinuerligt bliver opbevaret på en optagerenhed, såsom en harddisk, hvilket system er blevet installeret af en fysisk person på den pågældendes familiebolig med henblik på at beskytte boligens ejeres ejendom, sundhed og liv, idet dette system også overvåger et offentligt rum, udgør behandling af personoplysninger, som foretages med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter som omhandlet i denne bestemmelse.

20	Det skal bemærkes, at ifølge direktivets artikel 3, stk. 1, finder det anvendelse »på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register«.

Begrebet »personoplysninger« i denne bestemmelse omfatter i overensstemmelse med definitionen i artikel 2, litra a), i direktiv 95/46 »enhver form for information om en identificeret eller identificerbar fysisk person«. Ved identificerbar person forstås »en person, der direkte eller indirekte kan identificeres, bl.a. ved […] et eller flere elementer, der er særlige for denne persons fysiske […] identitet«.

22	Et billede af en person, som er optaget af et kamera, udgør dermed en personoplysning som omhandlet i den bestemmelse, der nævnt i den foregående præmis, for så vidt som det gør det muligt at identificere den pågældende.

23	Hvad angår begrebet »behandling af personoplysninger« skal det bemærkes, at det i artikel 2, litra b), i direktiv 95/46 er defineret som »enhver operation eller række af operationer […] som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, […] opbevaring […]«.

24	Som det bl.a. fremgår af 15. og 16. betragtning til direktiv 95/46, er videoovervågning i princippet omfattet af anvendelsesområdet for dette direktiv, forudsat at den foregår ved hjælp af elektronisk databehandling.

25	Overvågning, der som i hovedsagen foretages gennem videooptagelse af personer, og som kontinuerligt bliver opbevaret på en optagerenhed, dvs. en harddisk, udgør i henhold til artikel 3, stk. 1, i direktiv 95/46 behandling af personoplysninger, der foretages ved hjælp af edb.

Den forelæggende ret ønsker oplyst, om en sådan behandling i en situation som den i hovedsagen omhandlede imidlertid ikke falder uden for anvendelsesområdet for dette direktiv, for så vidt som behandlingen foretages »med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter« som omhandlet i direktivets artikel 3, stk. 2, andet led.

Som det fremgår af artikel 1 i og tiende betragtning til direktiv 95/46, har dette til formål at sikre et højt beskyttelsesniveau af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger (jf. dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 66).

Det skal i denne forbindelse bemærkes, at det fremgår af fast retspraksis, at beskyttelsen af den grundlæggende ret til respekt for privatlivet som sikret ved artikel 7 i Den Europæiske Unions charter om grundlæggende rettigheder kræver, at undtagelserne fra og begrænsningerne af beskyttelsen af personoplysninger skal holdes inden for det strengt nødvendige (jf. domme IPI, C-473/12, EU:C:2013:715, præmis 39, og Digital Rights Ireland m.fl., C-293/12 og C-594/12, EU:C:2014:238, præmis 52).

Henset til, at bestemmelserne i direktiv 95/46, for så vidt som de omhandler behandling af personoplysninger, der kan krænke de grundlæggende frihedsrettigheder og navnlig privatlivets fred, nødvendigvis skal fortolkes under hensyntagen til de grundlæggende rettigheder, som er opført i nævnte charter (jf. dom Google Spain og Google, EU:C:2014:317, præmis 68), skal undtagelsen i direktivets artikel 3, stk. 2, andet led, undergives en streng fortolkning.

En sådan streng fortolkning kan ligeledes udledes af selve ordlyden af bestemmelsen, hvorefter det ikke blot er behandlingen af oplysninger med henblik på udøvelse af personlige eller familiemæssige aktiviteter, der ikke er omfattet af anvendelsesområdet for direktiv 95/46, men derimod behandlingen af oplysninger med henblik på udøvelse af »rent« personlige eller familiemæssige aktiviteter.

På baggrund af det ovenstående skal det som anført af generaladvokaten i punkt 53 i forslaget til afgørelse fastslås, at behandlingen af personoplysninger alene er omfattet af undtagelsen i artikel 3, stk. 2, andet led, i direktiv 95/46, når den foretages i forbindelse med den registeransvarliges rent personlige eller familiemæssige aktiviteter.

32	Hvad angår fysiske personer udgør korrespondance og føring af en adressefortegnelse ifølge 12. betragtning til direktiv 95/46 »personlige eller familiemæssige aktiviteter«, selv om de perifert vedrører eller kan komme til at vedrøre andre personers privatliv.

Hvis en videoovervågning som den i hovedsagen omhandlede dækker et offentligt område – om end kun delvist – og derfor optager uden for det private rum, som den, der gennem overvågningen foretager behandlingen af disse oplysninger, befinder sig i, kan den ikke anses for en rent »personlig eller familiemæssig« aktivitet som omhandlet i artikel 3, stk. 2, andet led, i direktiv 95/46.

Samtidig er det ved anvendelsen af bestemmelserne i dette direktiv, navnlig i henhold til direktivets artikel 7, litra f), artikel 11, stk. 2, og artikel 13, stk. 1, litra d) og g), i givet fald muligt at tage hensyn til den registeransvarliges legitime interesser, der bl.a. som i hovedsagen kan bestå i at beskytte den registeransvarliges og dennes families ejendom, sundhed og liv.

Det forelagte spørgsmål skal følgelig besvares med, at artikel 3, stk. 2, andet led, i direktiv 95/46 skal fortolkes således, at anvendelsen af et kamerasystem, der anvendes til at optage videoer af personer, der kontinuerligt bliver opbevaret på en optagerenhed, såsom en harddisk, hvilket system er blevet installeret af en fysisk person på den pågældendes familiebolig med henblik på at beskytte boligens ejeres ejendom, sundhed og liv, idet dette system også overvåger et offentligt rum, ikke udgør behandling af personoplysninger, som foretages med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter som omhandlet i denne bestemmelse.

Sagens omkostninger

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den nationale ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Fjerde Afdeling) for ret:

Artikel 3, stk. 2, andet led, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at anvendelsen af et kamerasystem, der anvendes til at optage videoer af personer, der kontinuerligt bliver opbevaret på en optagerenhed, såsom en harddisk, hvilket system er blevet installeret af en fysisk person på den pågældendes familiebolig med henblik på at beskytte boligens ejeres ejendom, sundhed og liv, idet dette system også overvåger et offentligt rum, ikke udgør behandling af personoplysninger, som foretages med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter som omhandlet i denne bestemmelse.

Underskrifter

( *1 ) – Processprog: tjekkisk.