—

en nombre del Sr. Ryneš, por el Sr. M. Šalomoun, advokát;

—

en nombre de la Úřad pro ochranu osobních údajů, por el Sr. I. Němec, advokát, y el Sr. J. Prokeš;

—

en nombre del Gobierno checo, por los Sres. M. Smolek y J. Vláčil, en calidad de agentes;

—

en nombre del Gobierno español, por el Sr. A. Rubio González, en calidad de agente;

—

en nombre del Gobierno italiano, por la Sra. G. Palmieri, en calidad de agente, asistida por el Sr. P. Gentili, avvocato dello Stato;

—

en nombre del Gobierno austriaco, por los Sres. A. Posch y G. Kunnert, en calidad de agentes;

—

en nombre del Gobierno polaco, por el Sr. B. Majczyna y las Sras. J. Fałdyga y M. Kamejsza, en calidad de agentes;

—

en nombre del Gobierno portugués, por el Sr. L. Inez Fernandes y la Sra. C. Vieira Guerra, en calidad de agentes;

—

en nombre del Gobierno del Reino Unido, por el Sr. L. Christie, en calidad de agente, asistido por el Sr. J. Holmes, Barrister;

—

en nombre de la Comisión Europea, por el Sr. B. Martenczuk y las Sras. P. Němečková y Z. Malůšková, en calidad de agentes;

1

La petición de decisión prejudicial tiene por objeto la interpretación del artículo 3, apartado 2, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31).

2

Dicha petición se presentó en el marco de un litigio entre el Sr. Ryneš y la Úřad pro ochranu osobních údajů (Agencia checa de protección de datos de carácter personal; en lo sucesivo, «Agencia de protección de datos»), relativo a la resolución mediante la que esta última declaró que el Sr. Ryneš había cometido varias infracciones en lo que atañe a la protección de datos de carácter personal.

3

Los considerandos 10, 12 y 14 a 16 de la Directiva 95/46 exponen lo siguiente:

[...]

[...]

4

A tenor del artículo 2 de la citada Directiva:

«A los efectos de la presente Directiva, se entenderá por:

5

El artículo 3 de la misma Directiva establece:

«1.   Las disposiciones de la presente Directiva se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.

2.   Las disposiciones de la presente Directiva no se aplicarán al tratamiento de datos personales:

6

El artículo 7 de la misma Directiva tiene la siguiente redacción:

«Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:

[...]

7

El artículo 11 de la Directiva 95/46 dispone lo siguiente:

«1.   Cuando los datos no hayan sido recabados del interesado, los Estados miembros dispondrán que el responsable del tratamiento [...] deberá[...], desde el momento del registro de los datos [...], comunicar al interesado por lo menos la información que se enumera a continuación, salvo si el interesado ya hubiera sido informado de ello:

2.   Las disposiciones del apartado 1 no se aplicarán, en particular para el tratamiento con fines estadísticos o de investigación histórica o científica, cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados o el registro o la comunicación a un tercero estén expresamente prescritos por ley. En tales casos, los Estados miembros establecerán las garantías apropiadas.»

8

El artículo 13, apartado 1, de la citada Directiva establece:

«Los Estados miembros podrán adoptar medidas legales para limitar el alcance de las obligaciones y los derechos previstos [...] en el apartado 1 del artículo 11 [...] cuando tal limitación constituya una medida necesaria para la salvaguardia de:

[...]

[...]

9

A tenor del artículo 18, apartado 1, de la misma Directiva:

«Los Estados miembros dispondrán que el responsable del tratamiento [...] efectúe una notificación a la autoridad de control [...] con anterioridad a la realización de un tratamiento o de un conjunto de tratamientos, total o parcialmente automatizados, destinados a la consecución de un fin o de varios fines conexos.»

10

El artículo 3, apartado 3, de la Ley no 101/2000 Sb., relativa a la protección de datos personales y a la modificación de determinadas leyes (en lo sucesivo, «Ley no 101/2000»), dispone lo siguiente:

«La presente Ley no se aplicará al tratamiento de datos personales efectuado por una persona física para su uso exclusivamente personal».

11

El artículo 44, apartado 2, de la citada Ley regula la responsabilidad de las personas que se ocupan del tratamiento de datos personales, las cuales cometerán una infracción cuando traten los datos personales sin el consentimiento del interesado, cuando no faciliten a este último la información pertinente y cuando no cumplan con la obligación de informar a la autoridad competente.

12

Con arreglo al artículo 5, apartado 2, de la misma Ley, el tratamiento de datos personales sólo es posible, en principio, con el consentimiento del interesado. A falta de tal consentimiento, el tratamiento de datos personales podrá efectuarse cuando sea necesario para la protección de los derechos e intereses legítimos del responsable del tratamiento, del beneficiario o de otras personas afectadas. No obstante, el tratamiento de datos personales en ningún caso podrá vulnerar el derecho del interesado a la protección de su vida privada o intimidad.

13

Durante el período comprendido entre el 5 de octubre de 2007 y el 11 de abril de 2008, el Sr. Ryneš instaló y utilizó un sistema de videocámara situado bajo los aleros del tejado de la vivienda familiar. La cámara estaba instalada en una posición fija, en la que no podía girar, y filmaba imágenes de la entrada de la propia vivienda, de la vía pública y de la entrada a la vivienda situada enfrente. El sistema permitía únicamente captar imágenes en vídeo, las cuales se almacenaban en un dispositivo de grabación continuada, a saber, el disco duro. Una vez que se agotaba la capacidad del disco, grababa imágenes sobre la antigua grabación. El dispositivo de grabación no disponía de monitor, de manera que no era posible ver las imágenes en tiempo real. Tan sólo el Sr. Ryneš tenía acceso directo al sistema y a los datos almacenados.

14

El órgano jurisdiccional remitente observa que la única razón por la que el Sr. Ryneš había instalado la mencionada cámara era para proteger los bienes, la salud y la vida de él mismo y de su familia. En efecto, tanto el demandante como su familia habían sufrido reiteradas agresiones durante varios años por parte de un desconocido que nunca había sido identificado. Además, las ventanas de la vivienda familiar habían sido destrozadas varias veces entre 2005 y 2007.

15

En la noche del 6 al 7 de octubre de 2007, se produjo otra agresión. Un proyectil lanzado con un tirachinas rompió una ventana de la vivienda. Gracias al sistema de videovigilancia de que se trata resultó posible identificar a dos sospechosos. Las grabaciones fueron entregadas a la policía y, posteriormente, se invocaron como medio de prueba en el marco del procedimiento penal incoado.

16

Uno de los sospechosos reclamó que se examinase la legalidad del sistema de videovigilancia del Sr. Ryneš, por lo que la Agencia de protección de datos declaró, mediante resolución de 4 de agosto de 2008, que aquél había cometido varias infracciones de las tipificadas en la Ley no 101/2000, basándose en los siguientes hechos:

17

El Městský soud v Praze (Tribunal municipal de Praga), que conoció del recurso interpuesto por el Sr. Ryneš contra la citada resolución, desestimó ese recurso mediante sentencia de 25 de abril de 2012. El Sr. Ryneš recurrió en casación dicha sentencia ante el órgano jurisdiccional remitente.

18

En tales circunstancias, el Nejvyšší správní soud (Tribunal Supremo Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia la siguientes cuestión prejudicial:

«La utilización de un sistema de cámara de vídeo instalado en una vivienda familiar con el fin de proteger los bienes, la salud y la vida de los propietarios de la vivienda, ¿puede calificarse de tratamiento de datos personales “efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas” a efectos del artículo 3, apartado 2, de la Directiva 95/46 […], aunque tal sistema de videovigilancia cubra también el espacio público?»

19

Mediante la cuestión prejudicial, el órgano jurisdiccional remitente pide sustancialmente que se dilucide si el artículo 3, apartado 2, segundo guion, de la Directiva 95/46 debe interpretarse en el sentido de que la utilización de un sistema de cámara de vídeo, que da lugar a la obtención de imágenes de personas que luego se almacenan en un dispositivo de grabación continuada, como un disco duro, sistema de videovigilancia instalado por una persona física en su vivienda familiar con el fin de proteger los bienes, la salud y la vida de los propietarios de la vivienda y cuya vigilancia cubre asimismo el espacio público, constituye un tratamiento de datos efectuado en el ejercicio de actividades exclusivamente personales o domésticas a efectos de la citada disposición.

20

Cabe recordar que, a tenor del artículo 3, apartado 1, de la Directiva 95/46, las disposiciones de ésta se aplicarán «al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero».

21

El concepto de «datos personales» que figura en el citado precepto engloba, en virtud de la definición recogida en el artículo 2, letra a), de la misma Directiva, «toda información sobre una persona física identificada o identificable». Se considerará identificable «toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante [...] uno o varios elementos específicos, característicos de su identidad física».

22

Por consiguiente, la imagen de una persona grabada por una cámara constituye un dato personal en el sentido de la disposición contemplada en el apartado anterior, en la medida en que permite identificar a la persona afectada.

23

En cuanto al concepto de «tratamiento de datos personales», procede señalar que en el artículo 2, letra b), de la Directiva 95/46 este concepto es definido como «cualquier operación o conjunto de operaciones [...] aplicadas a datos personales, como la recogida, registro, [...] conservación».

24

Según resulta en particular de los considerandos 15 y 16 de la Directiva 95/46, la vigilancia por videocámara está comprendida, en principio, en el ámbito de aplicación de dicha Directiva, en la medida en que constituye un tratamiento automatizado.

25

Pues bien, una vigilancia efectuada mediante la grabación en vídeo de imágenes de personas que, como sucede en el litigio principal, se almacenan en un dispositivo de grabación continuada, a saber, el disco duro, constituye, conforme al artículo 3, apartado 1, de la Directiva 95/46, un tratamiento automatizado de datos personales.

26

El órgano jurisdiccional remitente pide que se dilucide el extremo de si, en una situación como la controvertida en el litigio principal, tal tratamiento de datos queda no obstante fuera de la aplicación de la Directiva 95/46 en la medida en que se efectúa «en el ejercicio de actividades exclusivamente personales o domésticas», en el sentido del artículo 3, apartado 2, segundo guion, de dicha Directiva.

27

Tal y como se desprende del artículo 1 y del considerando 10 de la Directiva 95/46, ésta tiene por objeto garantizar un nivel elevado de protección de las libertades y los derechos fundamentales de las personas físicas y, en particular, de la vida privada o intimidad, en relación con el tratamiento de los datos personales (véase la sentencia Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 66).

28

A este respecto, procede hacer constar que, con arreglo a reiterada jurisprudencia, la protección del derecho fundamental a la vida privada, que garantiza el artículo 7 de la Carta de los Derechos Fundamentales de la Unión Europea, exige que las excepciones a la protección de los datos personales y las restricciones a dicha protección se establezcan sin sobrepasar los límites de lo estrictamente necesario (véanse las sentencias IPI, C‑473/12, EU:C:2013:715, apartado 39, así como Digital Rights Ireland y otros, C‑293/12 y C‑594/12, EU:C:2014:238, apartado 52).

29

Teniendo en cuenta que las disposiciones de la Directiva 95/46, en la medida en que regulan el tratamiento de datos personales que puede vulnerar las libertades fundamentales y, en particular, el derecho a la intimidad o la protección de la vida privada, deben ser interpretadas a la luz de los derechos fundamentales recogidos en la citada Carta (véase la sentencia Google Spain y Google, EU:C:2014:317, apartado 68), la excepción prevista en el artículo 3, apartado 2, segundo guion, de dicha Directiva debe ser interpretada en sentido estricto.

30

Tal interpretación estricta se fundamenta también en el propio texto de la disposición que acaba de citarse, según el cual la Directiva 95/46 no se limita a prever que sus disposiciones no se aplicarán al tratamiento de datos personales en el ejercicio de actividades personales o domésticas, sino que exige que se trate del ejercicio de actividades «exclusivamente» personales o domésticas.

31

A la luz de las consideraciones precedentes, procede constatar que, tal como observa el Abogado General en el punto 53 de sus conclusiones, la excepción contemplada en el artículo 3, apartado 2, segundo guion, de la Directiva 95/46 únicamente se aplica al tratamiento de datos personales cuando éste se efectúa en la esfera exclusivamente personal o doméstica de quien procede al tratamiento de datos.

32

De este modo, en lo que atañe a las personas físicas, la correspondencia y la llevanza de un repertorio de direcciones constituyen, a la luz del considerando 12 de la Directiva 95/46, «actividades exclusivamente personales o domésticas», por más que incidentalmente afecten o puedan afectar a la vida privada o intimidad de otras personas.

33

En la medida en que una vigilancia por videocámara como la controvertida en el litigio principal se extiende, aunque sea en parte, al espacio público, abarcando por ello una zona ajena a la esfera privada de la persona que procede al tratamiento de datos valiéndose de ese medio, tal vigilancia por videocámara no puede considerarse una actividad exclusivamente «personal o doméstica» a efectos del artículo 3, apartado 2, segundo guion, de la Directiva 95/46.

34

Al mismo tiempo, la aplicación de las disposiciones de dicha Directiva permite, en su caso, tener en cuenta, con arreglo en particular a los artículos 7, letra f), 11, apartado 2, y 13, apartado 1, letras d) y g), los intereses legítimos del responsable del tratamiento de los datos, intereses que consisten concretamente, como en el litigio principal, en proteger los bienes, la salud y la vida de dicho responsable y los de su familia.

35

Por consiguiente, procede responder a la cuestión planteada que el artículo 3, apartado 2, segundo guion, de la Directiva 95/46 debe interpretarse en el sentido de que la utilización de un sistema de cámara de vídeo, que da lugar a la obtención de imágenes de personas que luego se almacenan en un dispositivo de grabación continuada, como un disco duro, sistema de videovigilancia instalado por una persona física en su vivienda familiar con el fin de proteger los bienes, la salud y la vida de los propietarios de la vivienda y cuya vigilancia cubre también el espacio público, no constituye un tratamiento de datos efectuado en el ejercicio de actividades exclusivamente personales o domésticas a efectos de la citada disposición de la Directiva.

36

Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a éste resolver sobre las costas. Los gastos efectuados al presentar observaciones ante el Tribunal de Justicia, distintos de aquellos en que hayan incurrido dichas partes, no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Cuarta) declara:

El artículo 3, apartado 2, segundo guion, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que la utilización de un sistema de cámara de vídeo, que da lugar a la obtención de imágenes de personas que luego se almacenan en un dispositivo de grabación continuada, como un disco duro, sistema de videovigilancia instalado por una persona física en su vivienda familiar con el fin de proteger los bienes, la salud y la vida de los propietarios de la vivienda y cuya vigilancia cubre también el espacio público, no constituye un tratamiento de datos efectuado en el ejercicio de actividades exclusivamente personales o domésticas a efectos de la citada disposición de la Directiva.