—

František Ryneš ved advokát M. Šalomoun

—

Úřad pro ochranu osobních údajů ved advokát I. Němec og J. Prokeš

—

den tjekkiske regering ved M. Smolek og J. Vláčil, som befuldmægtigede

—

den spanske regering ved A. Rubio González, som befuldmægtiget

—

den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato P. Gentili

—

den østrigske regering ved A. Posch og G. Kunnert, som befuldmægtigede

—

den polske regering ved B. Majczyna, J. Fałdyga og M. Kamejsza, som befuldmægtigede

—

den portugisiske regering L. Inez Fernandes og C. Vieira Guerra, som befuldmægtigede

—

Det Forenede Kongeriges regering ved L. Christie, som befuldmægtiget, bistået af barrister J. Holmes

—

Europa-Kommissionen ved B. Martenczuk, P. Němečková og Z. Malůšková, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 3, stk. 2, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem František Ryneš og Úřad pro ochranu osobních údajů (kontoret for beskyttelse af personoplysninger, herefter »Úřad«) vedrørende en afgørelse truffet af Úřad, hvori det fastslog, at František Ryneš havde begået flere overtrædelser med hensyn til beskyttelsen af personoplysninger.

3

10., 12. og 14.-16. betragtning til direktiv 95/46 har følgende ordlyd:

[...]

[...]

4

Direktivets artikel 2 har følgende ordlyd:

»I dette direktiv forstås ved:

5

Direktivets artikel 3 bestemmer:

»1.   Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

2.   Dette direktiv gælder ikke for sådan behandling af personoplysninger:

6

Samme direktivs artikel 7 har følgende ordlyd:

»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:

[...]

7

Artikel 11 i direktiv 95/46 bestemmer:

»1.   Når oplysningerne ikke er indsamlet hos den registrerede, fastsætter medlemsstaterne bestemmelser om, at den registeransvarlige […] allerede ved registreringen af oplysningerne […] skal give den registrerede mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder, hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:

2.   Bestemmelserne i stk. 1 finder ikke anvendelse, navnlig ikke når behandlingen foretages i statistisk øjemed eller til historiske eller videnskabelige forskningsformål, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssig vanskelig, eller registreringen eller videregivelsen af oplysningerne er udtrykkeligt fastsat ved lov. I sådanne tilfælde fastsætter medlemsstaterne de fornødne garantier.«

8

Direktivets artikel 13, stk. 1, bestemmer:

»Medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel […] 11, stk. 1, […] hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til:

[...]

[...]

9

Direktivets artikel 18, stk. 1, har følgende ordlyd:

»Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige […] forud for iværksættelsen af en behandling, der helt eller delvis udføres ved brug af elektronisk databehandling, eller en række sådanne behandlinger, hvis formål er identiske eller indbyrdes relaterede, skal foretage anmeldelse til [tilsynsmyndigheden].«

10

§ 3, stk. 3, i lov nr. 101/2000 Sb. om beskyttelse af personoplysninger og ændring af visse love (herefter »lov nr. 101/2000«) bestemmer:

»Loven finder ikke anvendelse på behandling af personoplysninger, som foretages af en fysisk person udelukkende til personligt brug.«

11

Lovens § 44, stk. 2, vedrører ansvaret hos den, der behandler personoplysninger, og som begår en overtrædelse, når han behandler disse oplysninger uden den registreredes samtykke, når han ikke informerer den pågældende person, og når han ikke opfylder anmeldelsespligten over for den kompetente myndighed.

12

Ifølge lovens § 5, stk. 2, litra e), er behandling af personoplysninger i princippet kun tilladt med den berørte persons samtykke. Den registeransvarlige kan behandle oplysningerne uden samtykke, hvis dette er nødvendigt med henblik på at sikre beskyttelsen af den registeransvarliges, modtagerens eller en anden berørt persons rettigheder og retligt beskyttede interesser. En sådan behandling af personoplysninger må imidlertid ikke være i strid med den registreredes ret til respekt for sit privatliv.

13

I perioden mellem den 5. oktober 2007 og den 11. april 2008 benyttede František Ryneš et kamera anbragt under tagskægget på hans familiebolig. Kameraet var anbragt i en fastlåst position, og det kunne ikke dreje. Det filmede indgangen til huset, den offentlige vej og indgangen til genboens hus. Systemet foretog udelukkende visuelle optagelser, som kontinuerligt blev opbevaret på en optagerenhed, dvs. en harddisk. Harddisken blev overspillet hver gang, der ikke var mere plads tilbage på optagerenheden. Optagerenheden var ikke udstyret med en skærm, og billedet kunne således ikke ses i realtid. Det var kun František Ryneš, som havde direkte adgang til systemet og dets oplysninger.

14

Den forelæggende ret har anført, at den eneste årsag til, at František Ryneš havde installeret dette system, var, at han ønskede at beskytte sin families ejendom, sundhed og liv. Både han og hans familie har nemlig igennem flere år været udsat for angreb fra en ukendt person, som aldrig er blevet identificeret. Vinduerne i familieboligen er endvidere blevet smadret gentagne gange i perioden mellem 2005 og 2007.

15

Natten mellem den 6. og den 7. oktober 2007 fandt der et nyt angreb sted. Et vindue i boligen blev smadret ved et skud fra en slangebøsse. Takket være kamerasystemet var det muligt at identificere to mistænkte. Optagelserne blev overdraget til politiet og efterfølgende fremlagt som bevis i den straffesag, der blev indledt.

16

I forbindelse med, at en af de mistænkte havde anmodet om en verificering af František Ryneš’ kamerasystem, fastslog Úřad med afgørelse af 4. august 2008, at František Ryneš havde tilsidesat lov nr. 101/2000 grundet følgende omstændigheder:

17

Městský soud v Praze (byretten i Prag), for hvilken František Ryneš anlagde sag, forkastede denne ved dom af 25. april 2012. František Ryneš iværksatte en kassationsappel af denne dom ved den forelæggende ret.

18

Nejvyšší správní soud (den øverste forvaltningsdomstol) har på denne baggrund besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Kan anvendelsen af et kamerasystem, som er installeret i en familiebolig med henblik på at beskytte boligens ejeres ejendom, sundhed og liv, kvalificeres som behandling af personoplysninger, »som foretages af en fysisk person med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter« som omhandlet i artikel 3, stk. 2, i direktiv 95/46[…], selv om et sådant system også overvåger et offentligt rum?«

19

Med sit spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 3, stk. 2, andet led, i direktiv 95/46 skal fortolkes således, at anvendelsen af et kamerasystem, der anvendes til at optage videoer af personer, der kontinuerligt bliver opbevaret på en optagerenhed, såsom en harddisk, hvilket system er blevet installeret af en fysisk person på den pågældendes familiebolig med henblik på at beskytte boligens ejeres ejendom, sundhed og liv, idet dette system også overvåger et offentligt rum, udgør behandling af personoplysninger, som foretages med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter som omhandlet i denne bestemmelse.

20

Det skal bemærkes, at ifølge direktivets artikel 3, stk. 1, finder det anvendelse »på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register«.

21

Begrebet »personoplysninger« i denne bestemmelse omfatter i overensstemmelse med definitionen i artikel 2, litra a), i direktiv 95/46 »enhver form for information om en identificeret eller identificerbar fysisk person«. Ved identificerbar person forstås »en person, der direkte eller indirekte kan identificeres, bl.a. ved […] et eller flere elementer, der er særlige for denne persons fysiske […] identitet«.

22

Et billede af en person, som er optaget af et kamera, udgør dermed en personoplysning som omhandlet i den bestemmelse, der nævnt i den foregående præmis, for så vidt som det gør det muligt at identificere den pågældende.

23

Hvad angår begrebet »behandling af personoplysninger« skal det bemærkes, at det i artikel 2, litra b), i direktiv 95/46 er defineret som »enhver operation eller række af operationer […] som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, […] opbevaring […]«.

24

Som det bl.a. fremgår af 15. og 16. betragtning til direktiv 95/46, er videoovervågning i princippet omfattet af anvendelsesområdet for dette direktiv, forudsat at den foregår ved hjælp af elektronisk databehandling.

25

Overvågning, der som i hovedsagen foretages gennem videooptagelse af personer, og som kontinuerligt bliver opbevaret på en optagerenhed, dvs. en harddisk, udgør i henhold til artikel 3, stk. 1, i direktiv 95/46 behandling af personoplysninger, der foretages ved hjælp af edb.

26

Den forelæggende ret ønsker oplyst, om en sådan behandling i en situation som den i hovedsagen omhandlede imidlertid ikke falder uden for anvendelsesområdet for dette direktiv, for så vidt som behandlingen foretages »med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter« som omhandlet i direktivets artikel 3, stk. 2, andet led.

27

Som det fremgår af artikel 1 i og tiende betragtning til direktiv 95/46, har dette til formål at sikre et højt beskyttelsesniveau af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger (jf. dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 66).

28

Det skal i denne forbindelse bemærkes, at det fremgår af fast retspraksis, at beskyttelsen af den grundlæggende ret til respekt for privatlivet som sikret ved artikel 7 i Den Europæiske Unions charter om grundlæggende rettigheder kræver, at undtagelserne fra og begrænsningerne af beskyttelsen af personoplysninger skal holdes inden for det strengt nødvendige (jf. domme IPI, C-473/12, EU:C:2013:715, præmis 39, og Digital Rights Ireland m.fl., C-293/12 og C-594/12, EU:C:2014:238, præmis 52).

29

Henset til, at bestemmelserne i direktiv 95/46, for så vidt som de omhandler behandling af personoplysninger, der kan krænke de grundlæggende frihedsrettigheder og navnlig privatlivets fred, nødvendigvis skal fortolkes under hensyntagen til de grundlæggende rettigheder, som er opført i nævnte charter (jf. dom Google Spain og Google, EU:C:2014:317, præmis 68), skal undtagelsen i direktivets artikel 3, stk. 2, andet led, undergives en streng fortolkning.

30

En sådan streng fortolkning kan ligeledes udledes af selve ordlyden af bestemmelsen, hvorefter det ikke blot er behandlingen af oplysninger med henblik på udøvelse af personlige eller familiemæssige aktiviteter, der ikke er omfattet af anvendelsesområdet for direktiv 95/46, men derimod behandlingen af oplysninger med henblik på udøvelse af »rent« personlige eller familiemæssige aktiviteter.

31

På baggrund af det ovenstående skal det som anført af generaladvokaten i punkt 53 i forslaget til afgørelse fastslås, at behandlingen af personoplysninger alene er omfattet af undtagelsen i artikel 3, stk. 2, andet led, i direktiv 95/46, når den foretages i forbindelse med den registeransvarliges rent personlige eller familiemæssige aktiviteter.

32

Hvad angår fysiske personer udgør korrespondance og føring af en adressefortegnelse ifølge 12. betragtning til direktiv 95/46 »personlige eller familiemæssige aktiviteter«, selv om de perifert vedrører eller kan komme til at vedrøre andre personers privatliv.

33

Hvis en videoovervågning som den i hovedsagen omhandlede dækker et offentligt område – om end kun delvist – og derfor optager uden for det private rum, som den, der gennem overvågningen foretager behandlingen af disse oplysninger, befinder sig i, kan den ikke anses for en rent »personlig eller familiemæssig« aktivitet som omhandlet i artikel 3, stk. 2, andet led, i direktiv 95/46.

34

Samtidig er det ved anvendelsen af bestemmelserne i dette direktiv, navnlig i henhold til direktivets artikel 7, litra f), artikel 11, stk. 2, og artikel 13, stk. 1, litra d) og g), i givet fald muligt at tage hensyn til den registeransvarliges legitime interesser, der bl.a. som i hovedsagen kan bestå i at beskytte den registeransvarliges og dennes families ejendom, sundhed og liv.

35

Det forelagte spørgsmål skal følgelig besvares med, at artikel 3, stk. 2, andet led, i direktiv 95/46 skal fortolkes således, at anvendelsen af et kamerasystem, der anvendes til at optage videoer af personer, der kontinuerligt bliver opbevaret på en optagerenhed, såsom en harddisk, hvilket system er blevet installeret af en fysisk person på den pågældendes familiebolig med henblik på at beskytte boligens ejeres ejendom, sundhed og liv, idet dette system også overvåger et offentligt rum, ikke udgør behandling af personoplysninger, som foretages med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter som omhandlet i denne bestemmelse.

36

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den nationale ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Fjerde Afdeling) for ret:

Artikel 3, stk. 2, andet led, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at anvendelsen af et kamerasystem, der anvendes til at optage videoer af personer, der kontinuerligt bliver opbevaret på en optagerenhed, såsom en harddisk, hvilket system er blevet installeret af en fysisk person på den pågældendes familiebolig med henblik på at beskytte boligens ejeres ejendom, sundhed og liv, idet dette system også overvåger et offentligt rum, ikke udgør behandling af personoplysninger, som foretages med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter som omhandlet i denne bestemmelse.