–

w imieniu rządu rumuńskiego – C.R. Canţăr, O.C. Ichim oraz A. Wellman, w charakterze pełnomocników,

–

w imieniu rządu czeskiego – M. Smolek, J. Vláčil oraz O. Serdula, w charakterze pełnomocników,

–

w imieniu rządu duńskiego – J. Nymann-Lindegren, M. Wolff oraz P.Z.L. Ngo, w charakterze pełnomocników,

–

[Sprostowane postanowieniem z dnia 13 lutego 2020 r.] w imieniu Irlandii – M. Browne, G. Hodge oraz A. Joyce, w charakterze pełnomocników, których wspierał D. Fennelly, BL,

–

w imieniu rządu austriackiego – początkowo G. Hesse oraz J. Schmoll, a następnie J. Schmoll, w charakterze pełnomocników,

–

w imieniu rządu portugalskiego – L. Inez Fernandes, P. Barros da Costa, L. Medeiros, I. Oliveira oraz M Cancela Carvalho, w charakterze pełnomocników,

–

w imieniu Komisji Europejskiej – H. Kranenborg, D. Nardi oraz L. Nicolae, w charakterze pełnomocników,

1

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 6 ust. 1 lit. e) oraz art. 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31), a także art. 8 i 52 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”).

2

Wniosek ten został złożony w ramach sporu pomiędzy TK i Asociaţia de Proprietari bloc M5A‑ScaraA (stowarzyszeniem współwłaścicieli budynku M5A, klatka schodowa A, Rumunia, zwanym dalej „stowarzyszeniem współwłaścicieli”), dotyczącego wniesionego przez TK powództwa o nakazanie temu stowarzyszeniu dezaktywacji systemu monitoringu wideo w tym budynku i usunięcia kamer zainstalowanych w jego częściach wspólnych.

3

Dyrektywa 95/46 została uchylona i zastąpiona ze skutkiem od dnia 25 maja 2018 r. rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Dz.U. 2016, L 119, s. 1). Jednakże z uwagi na datę wystąpienia rozpatrywanych okoliczności faktycznych spór w postępowaniu głównym podlega przepisom tej dyrektywy.

4

Dyrektywa 95/46 miała na celu – zgodnie z jej art. 1 – ochronę podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych, jak również zniesienie przeszkód w swobodnym przepływie tych danych.

5

Artykuł 3 tej dyrektywy przewidywał w ust. 1:

„Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych”.

6

Rozdział II tej dyrektywy zawierał sekcję I, zatytułowaną „Zasady dotyczące jakości danych”, w której znajdował się art. 6 tej dyrektywy, który stanowił:

„1.   Państwa członkowskie zapewniają, aby dane osobowe były:

2.   Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1”.

7

Zawarty w sekcji II rozdziału II, zatytułowanej „Kryteria legalności przetwarzania danych”, art. 7 dyrektywy 95/46 brzmiał następująco:

„Państwa członkowskie zapewniają, [aby dane osobowe mogły] być przetwarzane tylko wówczas, gdy:

8

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (ustawa nr 677/2001 w sprawie ochrony osób w związku z przetwarzaniem danych osobowych i swobodnego przepływu tych danych) (Monitorul Oficial, część I, nr 790 z 12 grudnia 2001 r.), zmieniona ustawą nr 102/2005 i nadzwyczajnym rządowym dekretem z mocą ustawy nr 36/2007, mająca zastosowanie ratione temporis do sporu w postępowaniu głównym, została przyjęta w celu dokonania transpozycji dyrektywy 95/46 do prawa rumuńskiego.

9

Artykuł 5 tej ustawy stanowił:

„1.   Dane osobowe – z wyjątkiem danych należących do kategorii, o których mowa w art. 7 ust. 1, art. 8 i art. 10 – mogą być przetwarzane wyłącznie wówczas, gdy osoba, której dane dotyczą, wyraziła na to jednoznaczną i wyraźną zgodę.

2.   Zgoda osoby, której dane dotyczą, nie jest konieczna w następujących przypadkach:

3.   Przepisy ust. 2 pozostają bez uszczerbku dla przepisów prawnych regulujących obowiązek poszanowania i ochrony życia intymnego, rodzinnego i prywatnego przez władze publiczne”.

10

Decyzja nr 52/2012 Autoritate Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (rumuńskiego organu nadzoru nad przetwarzaniem danych osobowych, zwanego dalej „ANSPDCP”) dotycząca przetwarzania danych osobowych przy użyciu systemów monitoringu wideo, w brzmieniu mającym zastosowanie do niniejszej sprawy, przewidywała w art. 1:

„Gromadzenie, rejestracja, przechowywanie, wykorzystywanie, transmisja, ujawnianie lub jakakolwiek inna operacja przetwarzania obrazów przy użyciu systemów monitoringu wideo, która bezpośrednio lub pośrednio umożliwia identyfikację osób fizycznych, stanowią operacje przetwarzania danych osobowych, które wchodzą w zakres stosowania [ustawy nr 677/2001]”.

11

Artykuł 4 tej decyzji stanowił:

„Monitoring wideo można przeprowadzać głównie w następujących celach:

12

Zgodnie z art. 5 ust. 1–3 wspomnianej decyzji:

„1.   Monitoring wideo można przeprowadzać w miejscach i przestrzeniach otwartych lub przeznaczonych do użytku publicznego, w tym na drogach publicznych znajdujących się na gruncie publicznym lub prywatnym, na warunkach określonych w ustawie.

2.   Kamery monitorujące powinny być zainstalowane w sposób widoczny.

3.   Korzystanie z ukrytych systemów monitoringu wideo jest zabronione, z wyjątkiem przypadków określonych w ustawie”.

13

Artykuł 6 tej decyzji przewidywał:

„Przetwarzania danych osobowych przy użyciu systemów monitoringu wideo dokonuje się za wyraźną zgodą osoby, której dane dotyczą, lub w przypadkach, o których mowa w art. 5 ust. 2 ustawy nr 677/2001 […]”.

14

TK zajmuje mieszkanie, którego jest właścicielem, znajdujące się w budynku M5A. Na wniosek niektórych współwłaścicieli tego budynku stowarzyszenie współwłaścicieli przyjęło na walnym zgromadzeniu, które odbyło się w dniu 7 kwietnia 2016 r., decyzję zatwierdzającą instalację kamer monitorujących w tym budynku.

15

W wykonaniu tej decyzji zainstalowano trzy kamery monitorujące w częściach wspólnych budynku M5A. Pierwsza kamera skierowana była na fasadę budynku, natomiast druga i trzecia kamera zostały zainstalowane, odpowiednio, w holu wejściowym na parterze i w windzie budynku.

16

TK sprzeciwił się instalacji tego systemu monitoringu z powodu naruszenia prawa do poszanowania życia prywatnego.

17

Stwierdziwszy, że pomimo licznych wniosków i pisemnego uznania przez stowarzyszenie współwłaścicieli niezgodności z prawem zainstalowanego systemu monitoringu wideo system ten nadal funkcjonuje, TK wniósł do sądu odsyłającego powództwo o nakazanie temu stowarzyszeniu usunięcia trzech kamer monitorujących oraz ich dezaktywacji, pod rygorem nałożenia grzywny.

18

TK podniósł przed tym sądem, że sporny system monitoringu wideo narusza pierwotne i wtórne prawo Unii, a w szczególności prawo do poszanowania życia prywatnego, a także prawo krajowe dotyczące prawa do poszanowania życia prywatnego. Wskazał on ponadto, że stowarzyszenie współwłaścicieli przejęło funkcję administratora danych osobowych bez zastosowania procedury rejestracji przewidzianej w tym celu w ustawie.

19

Stowarzyszenie współwłaścicieli wskazało, że decyzja o zainstalowaniu systemu monitoringu wideo została podjęta w celu zapewnienia jak najskuteczniejszej kontroli osób wchodzących do budynku i wychodzących z niego, ze względu na okoliczność, iż winda była przedmiotem licznych aktów wandalizmu, a wiele mieszkań i części wspólnych – przedmiotem kradzieży i włamań.

20

Stwierdziło ono również, że inne środki, które podjęło wcześniej, a mianowicie zainstalowanie systemu dostępu do budynku składającego się z domofonu i karty magnetycznej, nie zapobiegły ponownemu popełnianiu przestępstw tego samego rodzaju.

21

Stowarzyszenie współwłaścicieli przekazało ponadto TK protokół sporządzony wraz ze spółką, która zainstalowała kamery w ramach systemu monitoringu wideo, wskazując, że dysk twardy systemu został skasowany i odłączony w dniu 21 października 2016 r., że został on zdezaktywowany oraz że zarejestrowane obrazy zostały usunięte.

22

Stowarzyszenie współwłaścicieli przekazało również TK inny protokół, z dnia 18 maja 2017 r., z którego wynika, że trzy kamery monitorujące zostały zdeinstalowane. W protokole tym stwierdzono, że stowarzyszenie współwłaścicieli zakończyło w międzyczasie procedurę pozwalającą na zarejestrowanie go jako administratora danych osobowych.

23

TK wskazał zwrócił jednak uwagę sądu odsyłającego na okoliczność, że trzy kamery monitorujące są nadal zainstalowane.

24

Sąd odsyłający zauważa, że art. 5 ustawy nr 677/2001 przewiduje co do zasady, że przetwarzanie danych osobowych, takie jak rejestracja obrazu przy użyciu systemu monitoringu wideo, może mieć miejsce wyłącznie w przypadku, gdy osoba, której dane dotyczą, wyraziła jednoznaczną i wyraźną na to zgodę. Ustęp 2 tego artykułu przewiduje jednak szereg wyjątków od tej zasady, w tym wymóg, aby przetwarzanie danych osobowych było konieczne do ochrony życia, integralności fizycznej lub zdrowia osoby, której dane dotyczą, lub innej osoby zagrożonej. Decyzja nr 52/2012 ANSPDCP przewiduje tego rodzaju wyjątek.

25

Sąd odsyłający powołuje się następnie w szczególności na art. 52 ust. 1 karty, który ustanawia zasadę, zgodnie z którą między celem, do którego zmierza ingerencja w prawa i wolności obywateli, a wykorzystywanymi środkami musi istnieć stosunek proporcjonalności.

26

Tymczasem zdaniem tego sądu nie wydaje się, aby rozpatrywany przez niego system monitoringu wideo był stosowany w sposób lub w celu wykraczającym poza cel zadeklarowany przez stowarzyszenie współwłaścicieli, jakim jest ochrona życia, nienaruszalności cielesnej i zdrowia osób, których dane dotyczą, czyli współwłaścicieli budynku, w którym zainstalowano system monitoringu wideo.

27

W tych okolicznościach Tribunalul Bucureşti (sąd wyższej instancji w Bukareszcie, Rumunia) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

28

W pierwszej kolejności należy zauważyć, że choć sąd odsyłający odnosi się w czwartym pytaniu do art. 6 ust. 1 lit. e) dyrektywy 95/46, to nie dostarcza on żadnych wyjaśnień co do znaczenia tego przepisu dla rozstrzygnięcia sporu w postępowaniu głównym.

29

Przepis ten dotyczy bowiem wyłącznie wymogów, które muszą być spełnione w zakresie przechowywania danych osobowych. Tymczasem będące w posiadaniu Trybunału akta sprawy nie zawierają żadnej informacji, która pozwalałaby na uznanie, że spór w postępowaniu głównym dotyczy tej kwestii.

30

Natomiast w zakresie, w jakim poprzez to pytanie sąd odsyłający zmierza w istocie do ustalenia, czy zainstalowanie systemu monitoringu wideo takiego jak będący przedmiotem sporu przed tym sądem jest proporcjonalne do zamierzonych celów, należy zauważyć, że kwestia tego, czy zgromadzone w ramach tego systemu dane osobowe odpowiadają wymogowi proporcjonalności, dotyczy wykładni art. 6 ust. 1 lit. c) dyrektywy 95/46.

31

Otóż ten ostatni przepis należy wziąć pod uwagę przy badaniu drugiej przesłanki stosowania ustanowionej w art. 7 lit. f) dyrektywy 95/46, zgodnie z którą przetwarzanie danych musi być „konieczne” dla realizacji potrzeb wynikających z uzasadnionych interesów.

32

W drugiej kolejności, poprzez pytania pierwsze i drugie, sąd odsyłający odwołuje się do art. 8 i 52 karty, interpretowanych w sposób oddzielny lub w związku z art. 7 lit. f) dyrektywy 95/46. Otóż Trybunał wyjaśnił już, że ocena przesłanki wyrażonej w tym przepisie w odniesieniu do praw podstawowych osoby, której dotyczy ochrona danych, które powinny mieć pierwszeństwo w stosunku do uzasadnionych interesów administratora danych lub osób trzecich, którym dane są ujawniane, wymaga dokonania wyważenia przeciwstawnych sobie praw i interesów, w ramach którego należy uwzględnić wynikające z art. 7 i 8 karty znaczenie praw osoby, której dotyczą dane (wyrok z dnia 24 listopada 2011 r., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10, EU:C:2011:777, pkt 40). Wynika z tego, że art. 8 i 52 nie mogą być w niniejszej sprawie stosowane same.

33

W świetle powyższych rozważań należy stwierdzić, że poprzez swoje pytania, które należy rozpatrzyć łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 6 ust. 1 lit. c) i art. 7 lit. f) dyrektywy 95/46 w związku z art. 7 i 8 karty należy interpretować w ten sposób, iż stoją one na przeszkodzie przepisom krajowym, które zezwalają na zainstalowanie systemu monitoringu wideo, takiego jak system będący przedmiotem postępowania głównego, w częściach wspólnych budynku mieszkalnego w celu realizacji uzasadnionych interesów polegających na zapewnieniu bezpieczeństwa oraz ochrony osób i mienia, bez zgody osób, których dane dotyczą.

34

Należy przypomnieć, że nadzór polegający na rejestracji obrazu osób przechowywanego na sprzęcie nagrywającym w sposób ciągły, a mianowicie na twardym dysku, stanowi na podstawie art. 3 ust. 1 dyrektywy 95/46 zautomatyzowane przetwarzanie danych osobowych (wyrok z dnia 11 grudnia 2014 r., Ryneš, C‑212/13, EU:C:2014:2428, pkt 25).

35

W związku z tym system monitoringu wideo przy użyciu kamery należy uznać za przetwarzanie danych osobowych w sposób zautomatyzowany w rozumieniu tego przepisu, jeśli ustanowiony system umożliwia rejestrowanie i przechowywanie danych osobowych, takich jak obrazy umożliwiające identyfikację osób fizycznych. Do sądu odsyłającego należy ustalenie, czy rozpatrywany w postępowaniu głównym system posiada takie cechy.

36

Ponadto każda operacja przetwarzania danych osobowych musi być zgodna z jednej strony z wyrażonymi w art. 6 dyrektywy 95/46 zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z kryteriów legalności przetwarzania danych, wymienionych w art. 7 tej dyrektywy (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 71 i przytoczone tam orzecznictwo).

37

Artykuł 7 dyrektywy 95/46 przewiduje zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za legalne. Państwa członkowskie nie mogą dodawać nowych kryteriów legalności przetwarzania danych osobowych ani też ustanawiać dodatkowych wymogów, które doprowadziłyby do modyfikacji zakresu jednego z sześciu kryteriów przewidzianych we wspomnianym artykule (wyrok z dnia 19 października 2016 r., Breyer, C‑582/14, EU:C:2016:779, pkt 57).

38

Z powyższego wynika, że aby przetwarzanie danych osobowych mogło zostać uznane za zgodne z prawem, musi ono wchodzić w zakres jednego z sześciu przypadków przewidzianych w art. 7 dyrektywy 95/46.

39

Pytania przedstawione przez sąd odsyłający dotyczą w szczególności kryterium legalności przetwarzania danych osobowych, o którym mowa w art. 7 lit. f) dyrektywy 95/46, przepisie, który został transponowany do rumuńskiego porządku prawnego na mocy art. 5 ust. 2 lit. e) ustawy nr 677/2001, do którego odsyła również art. 6 decyzji nr 52/2012 ANSPDCP, w odniesieniu w szczególności do przetwarzania danych osobowych przy użyciu systemu monitoringu wideo.

40

W tym względzie w art. 7 lit. f) dyrektywy 95/46 określono trzy kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie, po pierwsze, realizację uzasadnionych interesów przez administratora danych lub osobę trzecią lub osoby trzecie, którym dane są ujawniane, po drugie, konieczność przetwarzania danych osobowych dla potrzeb wynikających z uzasadnionych interesów, oraz po trzecie, przesłankę, aby podstawowe prawa i wolności osoby objętej ochroną danych nie miały pierwszeństwa przed celami wynikającymi z uzasadnionych interesów (wyrok z dnia 4 maja 2017 r., Rīgas satiksme, C‑13/16, EU:C:2017:336, pkt 28).

41

Należy podkreślić, że art. 7 lit. f) dyrektywy 95/46 nie wymaga zgody osoby, której dane dotyczą. Wzmianka o takiej zgodzie znajduje się jednak, jako przesłanka, której spełnieniu podporządkowane jest przetwarzanie danych osobowych, wyłącznie w art. 7 lit. a) tej dyrektywy.

42

W niniejszym przypadku cel, do którego osiągnięcia zmierza w istocie administrator danych w przypadku instalacji systemu monitoringu wideo takiego jak ten rozpatrywany w postępowaniu głównym, a mianowicie ochrona majątku, zdrowia i życia współwłaścicieli budynku mieszkalnego, może zostać uznany za „uzasadniony interes” w rozumieniu art. 7 lit. f) dyrektywy 95/46. Pierwsza z ustanowionych w tym przepisie przesłanek wydaje się zatem co do zasady spełniona (zob. analogicznie wyrok z dnia 11 grudnia 2014 r., Ryneš, C‑212/13, EU:C:2014:2428, pkt 34).

43

Sąd odsyłający zastanawia się jednak, czy pierwszą z przesłanek przewidzianych w art. 7 lit. f) należy rozumieć w ten sposób, że uzasadnione interesy administratora danych w postępowaniu głównym powinny być, po pierwsze, „wykazane”, oraz po drugie, „istniejące i rzeczywiste w chwili przetwarzania”.

44

W tym względzie należy zauważyć, jak podnoszą również rządy rumuński i czeski, Irlandia, rząd austriacki, rząd portugalski oraz Komisja, że ze względu na to, iż zgodnie z art. 7 lit. f) dyrektywy 95/46 administrator danych osobowych lub osoba trzecia, którym dane są ujawniane, mają uzasadnione interesy w ich przetwarzaniu, interesy te powinny być istniejące i rzeczywiste w chwili przetwarzania i nie mieć hipotetycznego charakteru. Nie można jednak koniecznie wymagać przy ocenie całokształtu okoliczności danego przypadku, żeby naruszone zostało bezpieczeństwo mienia i osób w przeszłości.

45

W niniejszej sprawie, w sytuacji takiej jak ta rozpatrywana w postępowaniu głównym, przesłanka dotycząca istniejącego i rzeczywistego interesu wydaje się być zresztą spełniona, ponieważ sąd odsyłający wskazuje, że kradzieże, włamania i akty wandalizmu miały miejsce przed zainstalowaniem systemu monitoringu wideo, i to mimo zainstalowania przy wejściu do budynku systemu bezpieczeństwa składającego się z domofonu i karty magnetycznej.

46

W odniesieniu do drugiej przesłanki ustanowionej w art. 7 lit. f) dyrektywy 95/46, zgodnie z którą przetwarzanie danych osobowych musi być konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów, Trybunał przypomniał, że odstępstwa od ochrony danych osobowych i jej ograniczenia powinny być stosowane jedynie wtedy, gdy jest to absolutnie konieczne (wyrok z dnia 4 maja 2017 r., Rīgas satiksme, C‑13/16, EU:C:2017:336, pkt 30 i przytoczone tam orzecznictwo).

47

Przesłanka ta wymaga, aby sąd odsyłający sprawdził, czy uzasadnione interesy przetwarzania danych w ramach systemu monitoringu wideo będącego przedmiotem postępowania głównego, które polegają w istocie na zapewnieniu bezpieczeństwa mienia i osób oraz zapobieganiu popełnianiu przestępstw, nie mogą zostać zrealizowane w sposób równie skuteczny za pomocą innych środków, w mniejszym stopniu naruszających wolności i praw podstawowych osób, których dane dotyczą, w szczególności prawa do poszanowania życia prywatnego i ochrony danych osobowych zagwarantowanych w art. 7 i 8 karty.

48

Ponadto, jak podniosła Komisja, przesłankę, aby przetwarzanie było konieczne, należy zbadać łącznie z zasadą tzw. minimalizacji danych, ustanowioną w art. 6 ust. 1 lit. c) dyrektywy 95/46, zgodnie z którą dane osobowe muszą być „prawidłowe, stosowne oraz nienadmierne w stosunku do celów, dla których są gromadzone lub dalej przetwarzane”.

49

Z akt sprawy, którymi dysponuje Trybunał, wynika, że wymogi dotyczące proporcjonalności przetwarzania danych będących przedmiotem postępowania głównego zostały uwzględnione. Bezsporne jest bowiem, że alternatywne środki w postaci zainstalowanego przy wejściu do budynku systemu bezpieczeństwa składającego się z domofonu i karty magnetycznej zostały pierwotnie podjęte, jednak okazały się niewystarczające. Ponadto rozpatrywany system monitoringu wideo ograniczał się do wspólnych części budynku stanowiącego współwłasność oraz dróg dojazdowych do niego.

50

Jednakże proporcjonalność przetwarzania danych poprzez zainstalowanie systemu monitoringu wideo należy oceniać z uwzględnieniem szczególnych warunków zainstalowania i funkcjonowania tego systemu, w ramach którego wpływ na prawa i wolności osób, których dane dotyczą, powinien być ograniczony, przy jednoczesnym zapewnieniu skuteczności rozpatrywanego systemu monitoringu wideo.

51

W związku z tym, jak twierdzi Komisja, przesłanka, aby przetwarzanie było konieczne, oznacza, że administrator danych powinien zbadać, na przykład, czy jest wystarczające, aby system monitoringu wideo działał tylko w nocy lub poza zwykłymi godzinami pracy, oraz zablokować dostęp do tych obrazów lub utajnić je w strefach, w których monitoring nie jest konieczny.

52

Wreszcie, w odniesieniu do trzeciej przesłanki ustanowionej w art. 7 lit. f) dyrektywy 95/46, dotyczącej praw podstawowych osoby, której dotyczy ochrona danych, które powinny mieć pierwszeństwo przed uzasadnionymi interesami administratora danych lub osób trzecich, którym dane są ujawniane, należy przypomnieć – jak wskazano już w pkt 32 niniejszego wyroku – że ocena tej przesłanki wymaga dokonania wyważenia przeciwstawnych sobie praw i interesów, zależących zasadniczo od konkretnych okoliczności danego przypadku, w ramach którego należy uwzględnić wynikające z art. 7 i 8 karty znaczenie praw osoby, której dotyczą dane.

53

W tym kontekście Trybunał orzekł, że art. 7 lit. f) dyrektywy 95/46 stoi na przeszkodzie temu, by państwo członkowskie wykluczyło w sposób kategoryczny i ogólny w odniesieniu do określonych kategorii danych osobowych możliwość ich przetwarzania, nie dopuszczając do ważenia przeciwstawnych praw i interesów występujących w indywidualnym przypadku. Państwo członkowskie nie może zatem określić w stosunku do tych kategorii w sposób ostateczny rezultatu ważenia przeciwstawnych praw i interesów, nie dopuszczając możliwości innego rezultatu ważenia, będącego wynikiem szczególnych okoliczności konkretnego przypadku (wyrok z dnia 19 października 2016 r., Breyer, C‑582/14, EU:C:2016:779, pkt 62).

54

Z orzecznictwa Trybunału wynika również, że do celów owego ważenia przeciwstawnych praw i interesów możliwe jest uwzględnienie faktu, że powaga naruszenia praw podstawowych osoby, której przetwarzanie dotyczy, może zależeć od tego, czy sporne dane znajdują się w powszechnie dostępnych źródłach (zob. podobnie wyrok z dnia 4 maja 2017 r., Rīgas satiksme, C‑13/16, EU:C:2017:336, pkt 32).

55

W odróżnieniu od przetwarzania danych pochodzących z powszechnie dostępnych źródeł przetwarzanie danych pochodzących ze źródeł nie dostępnych powszechnie oznacza, że informacje o życiu prywatnym osoby, której dane dotyczą, będą od tej pory znane administratorowi danych oraz, w stosownym przypadku, osobie lub osobom trzecim, którym dane są ujawniane. Temu naruszeniu o większej wadze praw osoby, której dane dotyczą, zawartych w art. 7 i 8 karty, należy nadać odpowiednie znaczenie, kładąc je na szali z potrzebą wynikającą z uzasadnionego interesu realizowaną przez administratora danych lub osobę trzecią lub osoby trzecie, którym dane są ujawniane (zob. podobnie wyrok z dnia 24 listopada 2011 r., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10, EU:C:2011:777, pkt 45).

56

Kryterium odnoszące się do powagi naruszenia praw i wolności osoby, której dane dotyczą, stanowi zasadniczy element wyważenia interesów w konkretnym przypadku, wymaganego na mocy art. 7 lit. f) dyrektywy 95/46.

57

W tym względzie należy uwzględnić między innymi charakter odnośnych danych osobowych, a w szczególności potencjalnie wrażliwy charakter tych danych, jak również charakter i szczególne warunki ich przetwarzania, w szczególności liczbę osób mających do nich dostęp oraz zasady tego dostępu.

58

Dla potrzeb wyważenia znaczenie mają również uzasadnione oczekiwania osoby, której dane dotyczą, że jej dane osobowe nie będą przetwarzane, w sytuacji gdy w okolicznościach danej sprawy osoba ta nie może racjonalnie spodziewać się, że jej dane będą dalej przetwarzane.

59

Wreszcie elementy te należy wyważyć na tle znaczenia realizowanego w niniejszym przypadku przez system monitoringu wideo uzasadnionego interesu wszystkich współwłaścicieli odnośnego budynku, w zakresie, w jakim interes ten zasadza się zasadniczo na zapewnieniu ochrony mienia, zdrowia i życia wspomnianych współwłaścicieli.

60

W świetle powyższych rozważań na przedstawione pytania należy odpowiedzieć, że art. 6 ust. 1 lit. c) i art. 7 lit. f) dyrektywy 95/46 w związku z art. 7 i 8 karty należy interpretować w ten sposób, iż nie stoją one na przeszkodzie przepisom krajowym, które zezwalają na zainstalowanie systemu monitoringu wideo, takiego jak system będący przedmiotem postępowania głównego, w częściach wspólnych budynku mieszkalnego w celu realizacji uzasadnionych interesów polegających na zapewnieniu bezpieczeństwa oraz ochrony osób i mienia, bez zgody osób, których dane dotyczą, jeżeli przetwarzanie danych osobowych przy użyciu rozpatrywanego systemu monitoringu wideo spełnia przesłanki określone w rzeczonym art. 7 lit. f), co powinien zweryfikować sąd odsyłający.

61

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:

Artykuł 6 ust. 1 lit. c) i art. 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych w związku z art. 7 i 8 Karty praw podstawowych Unii Europejskiej należy interpretować w ten sposób, że nie stoją one na przeszkodzie przepisom krajowym, które zezwalają na zainstalowanie systemu monitoringu wideo, takiego jak system będący przedmiotem postępowania głównego, w częściach wspólnych budynku mieszkalnego w celu realizacji uzasadnionych interesów polegających na zapewnieniu bezpieczeństwa oraz ochrony osób i mienia, bez zgody osób, których dane dotyczą, jeżeli przetwarzanie danych osobowych przy użyciu rozpatrywanego systemu monitoringu wideo spełnia przesłanki określone w rzeczonym art. 7 lit. f), co powinien zweryfikować sąd odsyłający.