РЕШЕНИЕ НА СЪДА (втори състав)

4 май 2017 година ( *1 )

„Преюдициално запитване — Директива 95/46/ЕО — Член 7, буква е) — Лични данни — Условия за законосъобразно обработване на лични данни — Понятието „необходимост за целите на законните интереси на трето лице“ — Искане, с оглед на предявяването на права по съдебен ред, да бъдат разкрити личните данни на лице, причинило пътнотранспортно произшествие — Задължение на администратора да уважи такова искане — Липса“

По дело C‑13/16

с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Augstākās tiesas, Administratīvo lietu departaments (Върховен съд, административно отделение, Латвия) с акт от 30 декември 2015 г., постъпил в Съда на 8 януари 2016 г., в рамките на производство по дело

Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde

срещу

Rīgas pašvaldības SIA „Rīgas satiksme“,

СЪДЪТ (втори състав),

състоящ се от: M. Ilešič, председател на състава, A. Prechal, A. Rosas (докладчик), C. Toader и E. Jarašiūnas, съдии,

генерален адвокат: M. Bobek,

секретар: M. Aleksejev, администратор,

предвид изложеното в писмената фаза на производството и в съдебното заседание от 24 ноември 2016 г.,

като има предвид становищата, представени:

—	за Rīgas pašvaldības SIA „Rīgas satiksme“ от L. Bemhens, в качеството на представител,

—	за латвийското правителство, от I. Kalniņš и A. Bogdanova, в качеството на представители,

—	за чешкото правителство, от J. Vláčil и M. Smolek, в качеството на представители,

—	за испанското правителство, от M. J. García-Valdecasas Dorrego, в качеството на представител,

—	за австрийското правителство, от G. Eberhard, в качеството на представител,

—	за португалското правителство, от L. Inez Fernandes, M. Figueiredo и C. Vieira Guerra, в качеството на представители,

—	за Европейската комисия, от D. Nardi, H. Kranenborg и I. Rubene, в качеството на представители,

след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 26 януари 2017 г.,

постанови настоящото

Решение

Преюдициалното запитване се отнася до тълкуването на член 7, буква е) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10).

Запитването е отправено в рамките на спор между Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (служба, компетентна в областта на административните нарушения на правилата за движение по пътищата, към охранителната полиция в регион Рига, Латвия) (наричана по-нататък „националната полиция“) и Rīgas pašvaldības SIA „Rīgas satiksme“ (наричано по-нататък „Rīgas satiksme“), тролейбусното дружество на град Рига, по повод на отправено искане за разкриване на данни, идентифициращи извършителя на произшествие.

Правна уредба

Правото на Съюза

Член 1 от Директива 95/46, озаглавен „Предмет на директивата“, предвижда:

„1. В съответствие с настоящата директива държавите членки защищават основните права и свободи на физическите лица и в частност правото им на личен живот при обработването на лични данни.

2. Държавите членки не могат нито да ограничават, нито да забраняват свободното движение на лични данни между държавите членки по съображения, свързани със защитата, предоставяна съгласно параграф 1“.

Член 2 от тази директива гласи:

„По смисъла на настоящата директива:

а)

„лични данни“ означава всяка информация, свързана с идентифицирано или подлежащо на идентификация лице („съответно физическо лице“); за подлежащо на идентифициране лице се смята това лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификационен номер или един или повече специфични признаци, отнасящи се до неговата физическа, физиологическа, психологическа, умствена, икономическа, културна или социална самоличност;

б)

„обработване на лични данни“ („обработване“) означава всяка операция или набор от операции, извършвани или не с автоматични средства, прилагани към личните данни, като събиране, запис, организиране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на предоставяне на данните, актуализиране или комбиниране, блокиране, изтриване или унищожаване;

[…]

г)

„администратор“ означава физическо или юридическо лице, държавен орган, агенция или друг орган, който сам или съвместно с други определя целите и средствата на обработка на лични данни; когато целите и средствата на обработката се определят от национални или общностни законови или подзаконови разпоредби, администраторът или специфичните критерии за неговото назначаване могат да бъдат определени в националното право или в правото на Общността;

[…]“.

5	Член 5 от Директива 95/46 гласи: „Държавите членки в границите на разпоредбите на настоящата глава определят по-точно условията, при които обработването на данни е законно“.

Член 7 от Директива 95/46, намиращ се в глава II от нея, раздел II („Критерии за законосъобразност на обработването на лични данни“), гласи:

„Държавите членки предвиждат, че обработването на лични данни може да се извършва, само ако:

а)	съответното физическо лице е дало недвусмислено своето съгласие за това; или

б)	обработването е необходимо за изпълнението на договор, по който съответното физическо лице е страна, или за да се предприемат стъпки по искане на съответното физическо лице преди сключването на договора; или

в)	обработването е необходимо за спазването на правно задължение, чийто субект е администраторът; или

г)	обработването е необходимо, за да бъдат защитени жизнено важни интереси на съответното физическо лице; или

д)	обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора или трето лице, на което се разкриват данните; или

е)

обработването е необходимо за целите на законните интереси, преследвани от администратора или от трето лице или лица, на които се разкриват данните, с изключение на случаите, когато пред тези интереси имат преимущество интереси, свързани с основните права и свободи на съответното физическо лице, които изискват защита по силата на член 1, параграф 1“.

Член 8, параграф 2, буква д) от Директива 95/46 предвижда, че забраната да се обработват някои видове лични данни, като например разкриващите расовия произход или политическите убеждения, не се прилага, когато обработването е свързано с данни, които явно са направени публично достояние от съответното физическо лице, или ако е необходимо за установяването, упражняването или защитата на права по съдебен ред.

Латвийското право

8	Член 6 от Fizisko personu datu aizsardzības likums (Закон за защита на личните данни) от 23 март 2000 г. (Latvijas Vēstnesis, 2000, бр. 123/124) гласи: „Всяко физическо лице има право на защита на личните му данни“.

Съгласно член 7 от този закон, транспониращ член 7 от Директива 95/46, обработването на лични данни е разрешено само ако в закона не се предвижда друго и ако е изпълнено поне едно от следните условия:

„1)	съответното лице е дало съгласието си;

2)	обработването на данните е в изпълнение на договорни задължения, поети от съответното лице, или предвид направеното от това лице искане е необходимо за сключването на съответния договор;

3)	обработването на данните е необходимо за изпълнението на правно задължение на администратора;

4)	обработването на данните е необходимо, за да бъдат защитени жизненоважни интереси на съответното лице, включително неговите живот и здраве;

5)	обработването на данните е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на правомощия на публична власт, които са предоставени на администратора или на трето лице, на което се разкриват данните;

6)	обработването на данните е необходимо за целите на законните интереси, преследвани от администратора или от третото лице, на което се разкриват данните, при съблюдаване на основните права и свободи на съответното лице“.

10	Член 12 от този закон предвижда, че личните данни, отнасящи се до престъпления, осъдителни присъди, осъдителни решения по административнонаказателни дела и съдебни актове или преписки, се обработват само от определените в закона лица и само в посочените в закона случаи.

Съгласно член 261 от Latvijas Administratīvo pārkāpumu kodekss (латвийският Кодекс за административните нарушения) претърпелият вреди от нарушение може в административнонаказателното производство да бъде признат от съответния компетентен орган или съответното компетентно длъжностно лице за пострадал. Тази разпоредба урежда правата на пострадалите, включително правото им да правят справки по преписките и да упражняват процесуалните си права, за да получат обезщетение.

Спорът в главното производство и преюдициалните въпроси

През декември 2012 г. в Рига настъпва пътнотранспортно произшествие. Таксиметров водач паркира таксито си край пътя. При преминаването на тролейбус на Rīgas satiksme покрай това такси намиращият се на задната му седалка пътник отваря вратата, която се удря в каросерията на тролейбуса, нанасяйки ѝ вреда. Образувано е административнонаказателно производство и е съставен акт за установяване на административно нарушение.

Тъй като първоначално се приема, че отговорен за произшествието е таксиметровият водач, Rīgas satiksme претендира обезщетение от дружеството, застраховало гражданската отговорност на собственика или законния ползвател на таксито. Застрахователното дружество обаче уведомява Rīgas satiksme, че няма да изплати никакво обезщетение, тъй като произшествието е настъпило по вина на пътника в таксито, а не на водача. То уточнява, че Rīgas satiksme може да предяви претенциите си срещу въпросния пътник по гражданскоправен ред.

Тогава Rīgas satiksme се обръща към националната полиция, като иска информация за лицето, което е било санкционирано по административен ред за произшествието, копие от изявленията на таксиметровия водач и на пътника във връзка с обстоятелствата около произшествието, както и името и фамилията на пътника, неговия личен идентификационен номер и адрес. Rīgas satiksme заявява пред националната полиция, че исканата информация ще се използва единствено за предявяването на граждански иск.

15	Националната полиция уважава частично искането на Rīgas satiksme, като разкрива само името и фамилията на пътника, но не и неговия личен идентификационен номер и адрес. Не изпраща и копие от изявленията на участвалите в произшествието лица.

Националната полиция обосновава решението си с това, че само страните в административнонаказателното производство могат да получат достъп до събраната в него информация. Rīgas satiksme обаче не е такава страна. Всъщност съгласно латвийския Кодекс за административните нарушения в административнонаказателните производства съответният компетентен орган или съответното компетентно длъжностно лице признава на заинтересования — по негово искане — качеството на пострадал. В случая Rīgas satiksme не е упражнило това право.

Rīgas satiksme обжалва пред Administratīvā rajona tiesa (Първоинстанционен административен съд, Латвия) решението на националната полиция в частта, в която тя отказва да разкрие личния идентификационен номер и адреса на участвалия в произшествието пътник. С решение от 16 май 2014 г. този съд уважава жалбата на Rīgas satiksme и разпорежда на националната полиция да разкрие личния идентификационен номер на този пътник и адреса му по местоживеене.

Националната полиция подава касационна жалба пред запитващата юрисдикция. Последната иска становище от Datu valsts inspekcija (национална агенция за защита на данните, Латвия), която в отговора си от 13 октомври 2015 г. посочва, че член 7, точка 6 от Закона за защита на личните данни не може да бъде правно основание за разкриването на лични данни в случая по главното производство, тъй като в латвийския Кодекс за административните нарушения се предвижда на кого националната полиция може да разкрива информация по преписките. Затова според националната агенция за защита на данните разкриване на лични данни, събрани в административнонаказателно производство, е допустимо единствено на основание точки 3 и 5 от посочения член в предвидените от този закон случаи. Член 7 от същия закон не задължавал, а само давал право на администратора (в случая националната полиция) да обработва данните.

Националната агенция за защита на данните посочва, че Rīgas satiksme разполага с два способа, за да получи въпросната информация. То може или да отправи мотивирано искане до регистъра на населението, или на основание членове 98—100 от Гражданския процесуален закон да поиска от съда да събере доказателства, като същият изиска от националната полиция личните данни, които са нужни на дружеството, за да предяви правата си срещу съответното лице.

Запитващата юрисдикция изпитва съмнения в ефикасността на посочените от националната агенция за защита на данните способи за получаване на лични данни. В това отношение тя уточнява, от една страна, че ако в искането до регистъра на населението се посочат само имената на пътника в таксито, може да се окаже невъзможно да се установи самоличността на този пътник без идентификационния му номер, тъй като няколко лица могат да носят едни и същи имена. От друга страна, запитващата юрисдикция счита, че предвид националните разпоредби относно доказването ищецът би трябвало да знае поне адреса по местоживеене на ответника, за да предяви граждански иск.

21	В това отношение запитващата юрисдикция счита, че не е ясно как следва да се тълкува понятието „необходимост“ по член 7, буква е) от тази директива.

При тези обстоятелства Augstākās tiesas, Administratīvo lietu departaments (Върховен съд, административно отделение, Латвия) решава да спре производството и да постави на Съда следните преюдициални въпроси:

„1)

Трябва ли изразът „е необходимо за целите на законните интереси, преследвани […] от трето лице или лица, на които се разкриват данните“ — съдържащ се в член 7, буква е) от Директива 95/46 — да се тълкува в смисъл, че националната полиция е длъжна да предостави на Rīgas satiksme исканите от него лични данни, които са необходими за предявяването на граждански иск?

2)	Има ли значение за отговора на този въпрос фактът, че — видно от материалите по делото — пътникът в таксито, за когото Rīgas satiksme иска да получи данни, не е навършил пълнолетие към момента на произшествието?“.

По преюдициалните въпроси

С тези въпроси, които следва да бъдат разгледани заедно, запитващата юрисдикция пита дали член 7, буква е) от Директива 95/46 трябва да се тълкува в смисъл, че създава задължение за разкриване на лични данни пред трето лице, за да може то да предяви пред гражданските съдилища иск за обезщетение за вредите, причинени му от лицето, ползващо се от защитата на тези данни, и дали фактът, че последното не е навършило пълнолетие, има значение за тълкуването на тази разпоредба.

В случая по главното производство е безспорно, че идентификационният номер и адресът на пътника в таксито, които Rīgas satiksme иска да получи, са данни относно идентифицирано или подлежащо на идентификация физическо лице и следователно „лични данни“ по смисъла на член 2, буква а) от Директива 95/46. Безспорно е и че националната полиция, към която е отправено искането, е администратор на тези данни и в частност отговаря за евентуалното им разкриване по смисъла на член 2, буква г) от тази директива.

Съгласно член 5 от Директива 95/46 в границите на разпоредбите ѝ държавите членки уточняват условията, при които обработването на лични данни е законосъобразно. В член 7 от тази директива, който определя критериите за законосъобразност на обработването на такива данни, се посочва в това отношение, че „[д]ържавите членки предвиждат, че [то] може да се извършва, само“ в някоя от изчерпателно изброените в тази разпоредба хипотези. Съгласно член 7, буква е) обработването на такива данни може да се извършва, ако е необходимо за целите на законните интереси, преследвани от администратора или от трето лице или лица, на които се разкриват данните, и при условие че пред тези интереси нямат преимущество интересите или основните права и свободи на съответното физическо лице, които изискват защита по силата на член 1, параграф 1 от Директива 95/46.

От логиката на Директива 95/46 и от текста на член 7 от нея следва, че сам по себе си член 7, буква е) от същата не предписва задължение, а дава възможност да се извърши обработка на данни, например разкриване на трето лице на данни, необходими за целите на преследваните от него законни интереси. Както подчертава генералният адвокат в точки 43—46 от заключението си, подобно тълкувание може да бъде изведено и от други актове на правото на Съюза, свързани с личните данни (вж. в този смисъл, що се отнася до обработването на личните данни в сектора на електронните съобщения, решение от 29 януари 2008 г., Promusicae, C‑275/06, EU:C:2008:54, т. 54 и 55).

27	Следва обаче да се отбележи, че член 7, буква е) от Директива 95/46 допуска разкриване на такива данни, в случай че то се извършва въз основа на националното право при спазване на предвидените в тази разпоредба условия.

В това отношение член 7, буква е) от Директива 95/46 предвижда три кумулативни условия, за да бъде обработването на лични данни законосъобразно, а именно, първо, администраторът или третото лице, или третите лица, на които се разкриват данните, да преследват законни интереси, второ, обработването на личните данни да е необходимо за целите на преследваните законни интереси, и трето, основните права и свободи на лицето, ползващо се от защитата на данните, да нямат преимущество.

Що се отнася до условието да се преследват законни цели, както отбелязва генералният адвокат в точки 65, 79 и 80 от заключението си, няма съмнение, че интересът на трето лице да получи за лице, повредило негово имущество, информация от лично естество, за да предяви срещу него иск за обезщетение, може да се квалифицира като законен интерес (вж. в този смисъл решение от 29 януари 2008 г., Promusicae, C‑275/06, EU:C:2008:54, т. 53). В подкрепа на този анализ е и член 8, параграф 2, буква д) от Директива 95/46, който предвижда, че забраната да се обработват някои видове лични данни, като например разкриващите расовия произход или политическите убеждения, не се прилага в частност когато обработването е необходимо за установяването, упражняването или защитата на права по съдебен ред.

Що се отнася до условието обработването на данните да е необходимо, следва да се припомни, че дерогации и ограничения на принципа за защита на личните данни се предвиждат само доколкото това е строго необходимо (решения от 9 ноември 2010 г., Volker und Markus Schecke и Eifert, C‑92/09 и C‑93/09, EU:C:2010:662, т. 86, от 7 ноември 2013 г., IPI, C‑473/12, EU:C:2013:715, т. 39, и от 11 декември 2014 г., Ryneš, C‑212/13, EU:C:2014:2428, т. 28). В това отношение следва да се приеме, че предвид дадените от запитващата юрисдикция сведения разкриването само на името и фамилията на причинителя на вредите не дава възможност същият да бъде достатъчно идентифициран, за да бъде призован на съд. За тази цел съответно се оказват нужни и неговият адрес, и/или идентификационен номер.

Накрая, що се отнася до изискваното претегляне на съответните противоположни права и интереси, то по принцип зависи от обстоятелствата на конкретния случай (вж. в този смисъл решения от 24 ноември 2011 г., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 и C‑469/10, EU:C:2011:777, т. 40, и от 19 октомври 2016 г., Breyer, C‑582/14, EU:C:2016:779, т. 62).

В това отношение Съдът е постановил, че е възможно да се вземе предвид обстоятелството, че тежестта на засягане на основните права на лицето, до което се отнасят съответните данни, може да е различна според това дали тези данни могат да бъдат получени чрез общодостъпни източници (вж. в този смисъл решение от 24 ноември 2011 г., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 и C‑469/10, EU:C:2011:777, т. 44).

Що се отнася до втората част на преюдициалния въпрос, така както е преформулиран в точка 23 от настоящото решение, следва да се отбележи, че възрастта на съответното лице може да е едно от обстоятелствата, за които да се държи сметка при това претегляне. Важно е все пак да се посочи, че както отбелязва генералният адвокат в точки 82—84 от заключението си и ако националният съд не установи друго в това отношение, не е оправдано при обстоятелства като тези по главното производство на пострадалия да не бъдат разкрити — само защото причинителят на вредите не е навършил пълнолетие — личните данни, необходими за да предяви иск за обезщетение за вреди срещу този причинител или евентуално срещу лицата, упражняващи родителските права.

С оглед на всички изложени по-горе съображения член 7, буква е) от Директива 95/46 трябва да се тълкува в смисъл, че не създава задължение за разкриване на лични данни пред трето лице, за да може то да предяви пред гражданските съдилища иск за обезщетение за вредите, причинени му от лицето, ползващо се от защитата на тези данни. Същевременно член 7, буква е) от тази директива допуска разкриване на такива данни въз основа на националното право.

По съдебните разноски

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (втори състав) реши:

Член 7, буква е) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни трябва да се тълкува в смисъл, че не създава задължение за разкриване на лични данни пред трето лице, за да може то да предяви пред гражданските съдилища иск за обезщетение за вредите, причинени му от лицето, ползващо се от защитата на тези данни. Същевременно член 7, буква е) от тази директива допуска разкриване на такива данни въз основа на националното право.

Подписи

( *1 ) Език на производството: латвийски.