Združeni zadevi C-468/10 in C-469/10

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)

in

Federación de Comercio Electrónico y Marketing Directo (FECEMD)

proti

Administración del Estado

(Predloga za sprejetje predhodne odločbe, ki ju je vložilo Tribunal Supremo)

„Obdelava osebnih podatkov – Direktiva 95/46/ES – Člen 7(f) – Neposredni učinek“

Povzetek sodbe

1.        Približevanje zakonodaj – Varstvo fizičnih oseb pri obdelavi osebnih podatkov – Direktiva 95/46 – Popolna uskladitev – Omejen seznam primerov zakonite obdelave osebnih podatkov

(Direktiva Evropskega parlamenta in Sveta 95/46, člen 7)

2.        Približevanje zakonodaj – Varstvo fizičnih oseb pri obdelavi osebnih podatkov – Direktiva 95/46 – Pogoji za zakonitost obdelave osebnih podatkov

(Listina Evropske unije o temeljnih pravicah, člena 7 in 8; Direktiva Evropskega parlamenta in Sveta 95/46, člena 5 in 7(f))

3.        Približevanje zakonodaj – Varstvo fizičnih oseb pri obdelavi osebnih podatkov – Direktiva 95/46 – Diskrecijska pravica držav članic – Obseg

(Direktiva Evropskega parlamenta in Sveta 95/46, člen 5)

4.        Približevanje zakonodaj – Varstvo fizičnih oseb pri obdelavi osebnih podatkov – Direktiva 95/46 – Pogoji za zakonitost obdelave osebnih podatkov

(Listina Evropske unije o temeljnih pravicah, člena 7 in 8; Direktiva Evropskega parlamenta in Sveta 95/46, člen 7(f))

5.        Temeljne pravice – Spoštovanje zasebnosti – Varstvo osebnih podatkov – Omejitve, ki so dovoljene na podlagi Listine Evropske unije o temeljnih pravicah

(Listina Evropske unije o temeljnih pravicah, členi 7, 8 in 52(1))

6.        Akti institucij – Direktive – Neposredni učinek – Pogoji

(člen 249, tretji odstavek, ES; Direktiva Evropskega parlamenta in Sveta 95/46, člen 7(f))

1.        Usklajevanje navedenih nacionalnih zakonodaj iz Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ni omejeno le na minimalno uskladitev, ampak se mora načeloma končati s celovito uskladitvijo. S tega vidika je namen navedene direktive zagotoviti prosti pretok osebnih podatkov in hkrati jamčiti visoko raven varstva pravic in interesov posameznikov, na katere se ti podatki nanašajo. Zato iz cilja zagotoviti enako raven varstva v vseh državah članicah izhaja, da je v členu 7 navedene direktive določen izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov dopustna. Iz tega sledi, da države članice ne smejo niti dodati novih načel glede zakonitosti obdelave osebnih podatkov iz člena 7 te direktive niti določiti dodatnih zahtev, ki bi spreminjale obseg enega od šestih načel, določenih v tem členu.

Te razlage ne more izpodbiti možnost držav članic na podlagi člena 5 Direktive 95/46, da natančneje določijo pogoje, pod katerimi je obdelava osebnih podatkov zakonita. Države članice namreč na podlagi diskrecijske pravice, ki jo imajo na podlagi člena 5 Direktive, ne smejo dodati drugih načel glede zakonitosti obdelave osebnih podatkov, kot so tista iz člena 7 te direktive, niti z dodatnimi zahtevami spremeniti obsega načel, določenih v navedenem členu 7.

(Glej točke 29, 30, 32, 33, 35 in 36.)

2.        Člen 7(f) Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da nasprotuje nacionalni ureditvi, ki – kadar ni privolitve zadevne osebe – za dovolitev obdelave njenih osebnih podatkov, ki je potrebna zaradi uresničitve zakonitega interesa upravljavca podatkov ali tretje osebe oziroma tretjih oseb, ki so jim ti podatki posredovani, poleg spoštovanja pravic in temeljnih svoboščin zadevne osebe zahteva, da so navedeni podatki iz javno dostopnih virov, pri čemer kategorično in na splošno izključuje vsako obdelavo podatkov, ki niso v takih virih.

Po eni strani iz cilja te direktive, ki je zagotovitev prostega pretoka osebnih podatkov in hkrati jamčenje visoke ravni varstva pravic in interesov posameznikov, na katere se ti podatki nanašajo, izhaja, da je v njenem členu 7 določen izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov dopustna. Države članice zato ne smejo niti dodati novih načel glede zakonitosti obdelave osebnih podatkov niti določiti dodatnih zahtev, ki bi spreminjale obseg enega od načel, določenih v tem členu 7. Poleg tega države članice na podlagi člena 5 navedene direktive ne smejo dodati drugih načel glede zakonitosti obdelave osebnih podatkov, kot so tista iz člena 7, niti z dodatnimi zahtevami spremeniti obsega načel, določenih v navedenem členu 7.

Po drugi strani države članice za izvedbo potrebnega tehtanja zadevnih nasprotujočih si pravic in interesov, določenega v členu 7(f) iste direktive, lahko določijo vodilna načela. Upoštevajo lahko tudi to, da je teža posega v temeljne pravice osebe, na katero se navedena obdelava nanaša, lahko različna glede na to, ali so ti podatki že v javno dostopnih virih ali ne. V zadnjem primeru je poseg večji.

Vendar ne gre za natančnejšo določitev, ampak za dodatno zahtevo, ki je s členom 7(f) te direktive prepovedana, kadar nacionalna zakonodaja obdelave nekaterih vrst osebnih podatkov ne dovoljuje, tako da za te vrste dokončno določa izid tehtanja nasprotujočih si pravic in interesov, ne da bi omogočala drugačen izid zaradi posebnih okoliščin konkretnega primera.

(Glej točke 29, 30, 32, 36 in od 44 do 49 ter točko 1 izreka)

3.        Direktiva 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov vsebuje nekoliko prožna pravila in državam članicam velikokrat prepušča določitev podrobnosti ali izbiro med več možnostmi. Tako je treba razlikovati med nacionalnimi določbami, ki vsebujejo dodatne zahteve, ki spreminjajo obseg enega od načel iz člena 7 te direktive, po eni strani in nacionalnimi določbami, ki vsebujejo zgolj natančnejšo določitev enega od teh načel, po drugi strani. Prva vrsta nacionalnih določb ni dovoljena. Države članice imajo na podlagi člena 5 navedene direktive diskrecijsko pravico zgolj glede druge vrste nacionalnih določb.

(Glej točko 35.)

4.        Člen 7(f) Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov določa dva kumulativna pogoja za to, da bi bila obdelava osebnih podatkov zakonita, in sicer, prvič, da je obdelava potrebna zaradi uresničitve zakonitih interesov, za katere si prizadeva upravljavec ali tretje stranke, ki so jim osebni podatki posredovani, in drugič, da ne prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo. Drugi od teh pogojev zahteva tehtanje med zadevnimi nasprotujočimi si pravicami in interesi, ki je načeloma odvisno od konkretnih okoliščin posameznega primera in v okviru katerega mora oseba ali institucija, ki tehta, upoštevati pomembnost pravic zadevne osebe iz členov 7 in 8 Listine Evropske unije o temeljnih pravicah.

(Glej točki 38 in 40.)

5.        Spoštovanje pravice do zasebnosti v zvezi z obravnavo osebnih podatkov, ki jo določata člena 7 in 8 Listine Evropske unije o temeljnih pravicah, se nanaša na vsako informacijo o določeni ali določljivi fizični osebi. Vendar je iz členov 8(2) in 52(1) Listine razvidno, da je pod določenimi pogoji navedeno pravico mogoče omejiti.

(Glej točko 42.)

6.        Posamezniki so vedno, kadar so določbe direktive vsebinsko brezpogojne in dovolj natančne, upravičeni, da se pred nacionalnimi sodišči sklicujejo nanje zoper državo, če ta v roku ni prenesla direktive v nacionalno pravo ali če jo je prenesla nepravilno. Tako je pri členu 7(f) Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov. Čeprav ta direktiva državam članicam za izvajanje nekaterih njenih določb nedvomno omogoča bolj ali manj široko diskrecijsko pravico, pa navedeni člen 7(f) določa brezpogojno obveznost.

(Glej točke 51, 52 in 55 ter točko 2 izreka.)

SODBA SODIŠČA (tretji senat)

z dne 24. novembra 2011(*)

„Obdelava osebnih podatkov – Direktiva 95/46/ES – Člen 7(f) – Neposredni učinek“

V združenih zadevah C‑468/10 in C‑469/10,

katerih predmet sta predloga za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ju je vložilo Tribunal Supremo (Španija), z odločbama z dne 15. julija 2010, ki sta prispeli na Sodišče 28. septembra 2010, v postopkih

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),

Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)

proti

Administración del Estado,

ob udeležbi

Unión General de Trabajadores (UGT) (C‑468/10 in C‑469/10),

Telefónica de España SAU (C‑468/10),

France Telecom España SA (C‑468/10 in C‑469/10),

Telefónica Móviles de España SAU (C‑469/10),

Vodafone España SA (C‑469/10),

Asociación de Usuarios de la Comunicación (C‑469/10),

SODIŠČE (tretji senat),

v sestavi K. Lenaerts (poročevalec), predsednik senata, R. Silva de Lapuerta, sodnica, E. Juhász, T. von Danwitz in D. Šváby, sodniki,

generalni pravobranilec: P. Mengozzi,

sodna tajnica: M. Ferreira, glavna administratorka,

na podlagi pisnega postopka in obravnave z dne 15. septembra 2011,

ob upoštevanju stališč, ki so jih predložili:

–        za Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) C. Alonso Martínez in A. Creus Carreras, odvetnika,

–        za Federación de Comercio Electrónico y Marketing Directo (FECEMD) R. García del Poyo Vizcaya in M. Á. Serrano Pérez, odvetnika,

–        za špansko vlado M. Muñoz Pérez, zastopnik,

–        za Evropsko komisijo I. Martínez del Peral in B. Martenczuk, zastopnika,

na podlagi sklepa, sprejetega po opredelitvi generalnega pravobranilca, da bo v zadevi razsojeno brez sklepnih predlogov,

izreka naslednjo

Sodbo

1        Predloga za sprejetje predhodne odločbe se nanašata na razlago člena 7(f) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).

2        Ta predloga sta bila vložena v okviru sporov med Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) in Federación de Comercio Electrónico y Marketing Directo (FECEMD) ter Administración del Estado.

 Pravni okvir

 Pravo Unije

 Direktiva 95/46

3        V uvodnih izjavah 7, 8 in 10 Direktive 95/46 je navedeno:

„(7)      ker lahko razlika v ravneh varstva pravic in svoboščin posameznikov, predvsem pravice do zasebnosti glede obdelave osebnih podatkov, ki je zagotovljena v državah članicah, prepreči prenos takih podatkov z ozemlja ene države članice na ozemlje druge države članice; ker zato ta razlika lahko predstavlja oviro pri izvajanju številnih gospodarskih dejavnosti na ravni Skupnosti, izkrivlja konkurenco in ovira organe pri opravljanju njihovih obveznosti na podlagi zakonodaje Skupnosti; ker je ta razlika na ravni varstva posledica obstoja velike raznolikosti nacionalnih zakonov in drugih predpisov;

(8)      ker mora biti zato, da bi odstranili ovire za prenos osebnih podatkov, raven varstva pravic in svoboščin posameznikov glede obdelave takih podatkov enakovredna v vseh državah članicah; ker je ta cilj bistven za notranji trg, vendar ga države članice same ne morejo doseči, predvsem zaradi obsega razlik, ki trenutno obstajajo med zadevno zakonodajo v državah članicah in potrebo po usklajevanju zakonodaj držav članic za zagotovitev, da se čezmejni prenos osebnih podatkov ureja na dosleden način, ki sledi cilju notranjega trga […]; ker je za približanje teh zakonodaj potrebno ukrepanje Skupnosti;

[…]

(10)      ker je namen nacionalne zakonodaje o obdelavi osebnih podatkov varovati temeljne pravice in svoboščine, predvsem pravico do zasebnosti, ki jo priznava člen 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin [podpisane v Rimu 4. novembra 1950 (v nadaljevanju: EKČP)], pa tudi splošna načela zakonodaje Skupnosti; ker zato približevanje teh zakonodaj ne sme povzročiti zmanjšanja varstva, ki ga zagotavljajo, ampak mora imeti za cilj zagotovitev visoke ravni varstva v Skupnosti“.

4        Člen 1 te direktive, naslovljen „Namen direktive“, določa:

„1.      V skladu s to direktivo države članice varujejo temeljne pravice in svoboščine fizičnih oseb in predvsem njihovo pravico do zasebnosti pri obdelavi osebnih podatkov.

2.      Države članice ne omejujejo niti ne prepovedujejo prostega prenosa osebnih podatkov med državami članicami zaradi razlogov, povezanih z varstvom, ki je zagotovljeno na podlagi odstavka 1.“

5        Člen 5 te direktive določa:

„Države članice v mejah določb tega poglavja natančneje določijo pogoje, pod katerimi je obdelava osebnih podatkov zakonita.“

6        Člen 7 Direktive 95/46 določa:

„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:

(a)      je posameznik, na katerega se osebni podatki nanašajo, nedvoumno dal svojo privolitev; ali

[…]

(f)      je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo, ki se varujejo na podlagi člena 1(1).“

7        Člen 13(1) te direktive določa:

„Države članice lahko sprejmejo predpise za omejitev obsega obveznosti in pravic, opredeljenih v členih 6(1), 10, 11(1), 12 in 21, kadar taka omejitev predstavlja potrebni ukrep za zaščito:

(a)      državne varnosti;

(b)      obrambe;

(c)      javne varnosti;

(d)      preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj ali kršitve etike za zakonsko urejene poklice;

(e)      pomembnega gospodarskega ali finančnega interesa države članice ali Evropske unije, vključno z denarnimi, proračunskimi in davčnimi zadevami;

(f)      spremljanja, pregledovanja ali urejanja, povezanega, četudi občasno, z izvajanjem javne oblasti v primerih iz (c), (d) in (e);

(g)      posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih.“

 Nacionalno pravo

 Sistemski zakon 15/1999

8        Direktiva 95/46 je bila v špansko pravo prenesena s sistemskim zakonom 15/1999 o varstvu osebnih podatkov (BOE št. 298 z dne 14. decembra 1999, str. 43088).

9        V členu 3(j) sistemskega zakona 15/1999 so izčrpno in taksativno našteti „javno dostopni viri“, ki so opredeljeni kot:

„[…] zbirke podatkov, ki jih lahko pregleduje vsakdo brez omejitev in brez zahteve, ki glede na okoliščine presega plačilo protidajatve. Javno dostopni viri so izključno volilni imeniki, telefonski imeniki pod pogoji, ki jih določajo področni predpisi, in seznami oseb, ki so včlanjene v poklicna združenja, ki zajemajo le ime, naziv, poklic, dejavnost, akademski naziv, naslov in navedbo članstva v združenju. Poleg tega so javno dostopni viri tudi časopisi, uradni listi in mediji.“

10      Člen 6(1) sistemskega zakona 15/1999 za obdelavo podatkov zahteva nedvomno privolitev zadevne osebe, razen če zakon ne določa drugače. Tako člen 6(2) tega zakona določa, da pristanek ni potreben, „kadar gre za podatke iz javno dostopnih virov in je njihova obdelava potrebna zaradi uresničitve zakonitih interesov upravljavca zbirke podatkov ali tretje osebe, ki so ji osebni podatki posredovani, razen kadar se s tem ne kršijo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo“.

11      Člen 11(1) sistemskega zakona 15/1999 poudarja potrebo po privolitvi zadevne osebe za to, da se lahko tretji osebi posredujejo osebni podatki, ta zahteva pa v skladu z odstavkom 2 tega člena ne velja med drugim, kadar gre za podatke iz javno dostopnih virov.

 Kraljeva uredba 1720/2007

12      Španska vlada je ustavni zakon 15/1999 izvedla s kraljevo uredbo 1720/2007 (BOE št. 17 z dne 19. januarja 2008, str. 4103).

13      Člen 10(1) kraljeve uredbe 1720/2007 dovoljuje obdelavo in posredovanje osebnih podatkov, če zadevna oseba v to predhodno privoli.

14      Vendar člen 10(2) kraljeve uredbe 1720/2007 določa:

„[…] obdelava ali posredovanje osebnih podatkov brez privolitve zadevne osebe sta dopustna, če:

(a)      to dovoljuje določba z zakonsko močjo ali določba prava Skupnosti in zlasti v naslednjih primerih:

–      obdelava ali posredovanje ima za cilj uresničitev zakonitega interesa osebe, odgovorne za obdelavo, ali osebe, ki so ji podatki posredovani in jo te določbe zadevajo, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine zadevnih oseb iz člena 1 sistemskega zakona 15/1999 z dne 13. decembra;

–      obdelava ali posredovanje podatkov sta potrebna za to, da odgovorna oseba za obdelavo izpolni nalogo, ki mu jo predpisuje prej navedena določba;

(b)      podatki, ki so predmet obdelave ali posredovanja, so podatki iz javno dostopnih virov in imata upravljavec zbirke podatkov ali tretja oseba, ki so ji podatki posredovani, zakoniti interes za njihovo obdelavo ali za seznanitev z njimi, razen kadar se s tem kršijo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo.

Vendar lahko javni organi na podlagi tega odstavka podatke iz javno dostopnih virov odgovornim za zasebne zbirke podatkov posredujejo le, kadar jim to dovoljuje določba z zakonsko močjo.“

 Spora o glavni stvari in vprašanji za predhodno odločanje

15      ASNEF in FECEMD sta vložili tožbi v upravnem sporu zoper več členov kraljeve uredbe 1720/2007.

16      Med izpodbijanimi določbami je tudi člen 10(2)(a), prva alinea, in (b), prvi pododstavek, navedene uredbe, za katerega ASNEF in FECEMD zatrjujeta, da je v nasprotju s členom 7(f) Direktive 95/46.

17      ASNEF in FECEMD menita zlasti, da špansko pravo zakonitemu interesu kot razlogu za obdelavo podatkov brez privolitve zadevne osebe dodaja zahtevo, ki je v Direktivi 95/46 ni, in sicer, da so podatki iz javno dostopnih virov.

18      Tribunal Supremo meni, da je utemeljenost tožb, ki sta jih vložili ASNEF in FECEMD, v veliki meri odvisna od razlage člena 7(f) Direktive 95/46 s strani Sodišča. Pojasnjuje, da če bi Sodišče ugotovilo, da države članice pogojem iz te določbe ne smejo dodajati dodatnih pogojev in da navedena določba učinkuje neposredno, bi bilo treba uporabo člena 10(2)(b) kraljeve uredbe 1720/2007 zavrniti.

19      Tribunal Supremo pojasnjuje, da špansko pravo, kadar ni privolitve zadevne osebe za dovolitev obdelave njenih osebnih podatkov, ki je potrebna zaradi uresničitve zakonitega interesa upravljavca podatkov ali tretje osebe oziroma tretjih oseb, ki jim bodo osebni podatki posredovani, poleg spoštovanja pravic in temeljnih svoboščin zadevne osebe zahteva, da so navedeni podatki iz zbirk podatkov, naštetih v členu 3(j) sistemskega zakona 15/1999. V zvezi s tem meni, da ta zakon in kraljeva uredba omejujeta obseg člena 7(f) Direktive 95/46.

20      Po mnenju Tribunal Supremo je ta omejitev ovira za prosti pretok osebnih podatkov, ki je v skladu z Direktivo 95/46 zgolj v primeru, če to zahtevajo pravice ali temeljne svoboščine osebe, na katero se podatki nanašajo. Iz tega sklepa, da je edina možnost za izogibanje neskladnosti med to direktivo in španskim pravom stališče, da pretok osebnih podatkov iz zbirk podatkov, ki niso tiste, ki so naštete v členu 3(j) sistemskega zakona 15/1999, posega v interese ali v pravice in temeljne svoboščine osebe, na katero se podatki nanašajo.

21      Vendar se Tribunal Supremo sprašuje, ali je taka razlaga v skladu z voljo zakonodajalca Unije.

22      Ker je Tribunal Supremo v teh okoliščinah menilo, da je odločitev v obeh zadevah, ki sta mu predloženi, odvisna od razlage določb prava Unije, je prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji, katerih besedilo je enako v obeh navedenih zadevah:

„1.      Ali je treba člen 7(f) Direktive 95/46 […] razlagati tako, da nasprotuje nacionalni ureditvi, ki, kadar ni privolitve zadevne osebe, za dovolitev obdelave njenih osebnih podatkov, ki je potrebna zaradi uresničitve zakonitega interesa upravljavca podatkov ali tretjih oseb, ki jim bodo osebni podatki posredovani, poleg spoštovanja pravic in temeljnih svoboščin zadevne osebe zahteva, da so ti podatki iz javno dostopnih virov?

2.      Ali so v navedenem členu 7(f) pogoji za neposredni učinek, ki jih določa sodna praksa Sodišča Evropske unije, izpolnjeni?“

23      Zadevi C‑468/10 in C‑469/10 sta bili s sklepom predsednika Sodišča z dne 26. oktobra 2010 združeni za namen pisnega in ustnega postopka ter izdaje sodbe.

 Prvo vprašanje

24      Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 7(f) Direktive 95/46 razlagati tako, da nasprotuje nacionalni ureditvi, ki, kadar ni privolitve zadevne osebe, za dovolitev obdelave njenih osebnih podatkov, ki je potrebna zaradi uresničitve zakonitega interesa upravljavca podatkov ali tretje osebe oziroma tretjih oseb, ki so jim osebni podatki posredovani, poleg spoštovanja pravic in temeljnih svoboščin zadevne osebe zahteva, da so navedeni podatki iz javno dostopnih virov.

25      Člen 1 Direktive 95/46 zahteva od držav članic, da varujejo temeljne pravice in svoboščine fizičnih oseb in predvsem njihovo pravico do zasebnosti pri obdelavi osebnih podatkov (glej v tem smislu sodbo z dne 16. decembra 2008 v zadevi Huber, C‑524/06, ZOdl., str. I‑9705, točka 47).

26      V skladu z določbami poglavja II Direktive 95/46, naslovljenega „Splošna pravila o zakonitosti obdelave osebnih podatkov“, in ne glede na odstopanja, ki so dopustna na podlagi člena 13 te direktive, mora vsaka obdelava osebnih podatkov, prvič, biti v skladu z načeli v zvezi s kakovostjo podatkov iz člena 6 navedene direktive in, drugič, ustrezati enemu od šestih načel za zakonitost obdelave podatkov, ki so navedeni v členu 7 te direktive (glej v tem smislu sodbo z dne 20. maja 2003 v združenih zadevah Österreichischer Rundfunk in drugi, C‑465/00, C‑138/01 in C‑139/01, Recueil, str. I‑4989, točka 65, in zgoraj navedeno sodbo Huber, točka 48).

27      Iz uvodne izjave 7 Direktive 95/46 je razvidno, da bi lahko razlike med nacionalnimi ureditvami, ki se uporabljajo za obdelavo osebnih podatkov, močno vplivale na vzpostavitev in delovanje notranjega trga (glej sodbo z dne 6. novembra 2003 v zadevi Lindqvist, C‑101/01, Recueil, str. I‑12971, točka 79).

28      V tem okviru je treba poudariti, da je namen Direktive 95/46, kot to izhaja iz njene uvodne izjave 8, da v vseh državah članicah zagotovi enakovredno raven varstva pravic in svoboščin posameznikov glede obdelave osebnih podatkov. V njeni uvodni izjavi 10 je dodano, da približevanje nacionalnih zakonodaj, ki se uporabljajo na tem področju, ne sme povzročiti zmanjšanja varstva, ki ga zagotavljajo, ampak mora imeti za cilj zagotovitev visoke ravni varstva v Uniji (glej v tem smislu zgoraj navedeni sodbi Lindqvist, točka 95, in Huber, točka 50).

29      Tako je bilo razsojeno, da usklajevanje navedenih nacionalnih zakonodaj ni omejeno le na minimalno uskladitev, ampak se mora načeloma končati s celovito uskladitvijo. S tega vidika je namen Direktive 95/46 zagotoviti prosti pretok osebnih podatkov in hkrati jamčiti visoko raven varstva pravic in interesov posameznikov, na katere se ti podatki nanašajo (glej zgoraj navedeno sodbo Lindqvist, točka 96).

30      Zato iz cilja zagotoviti enako raven varstva v vseh državah članicah izhaja, da je v členu 7 Direktive 95/46 določen izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov dopustna.

31      To razlago potrjujeta izraz „se lahko osebni podatki obdelujejo samo, če“ in veznik „ali“ iz člena 7 Direktive 95/46, ki kažeta na izčrpnost in taksativnost seznama iz tega člena.

32      Iz tega sledi, da države članice ne smejo niti dodati novih načel glede zakonitosti obdelave osebnih podatkov iz člena 7 Direktive 95/46 niti določiti dodatnih zahtev, ki bi spreminjale obseg enega od šestih načel, določenih v tem členu.

33      Zgoraj navedene razlage ne more izpodbiti člen 5 Direktive 95/46. Ta člen namreč državam članicam dopušča samo, da v mejah poglavja II navedene direktive in torej člena 7 natančneje določijo pogoje, pod katerimi je obdelava osebnih podatkov zakonita.

34      Diskrecijsko pravico, ki jo imajo države članice na podlagi navedenega člena 5, je torej mogoče uporabiti zgolj v skladu s ciljem, ki mu sledi Direktiva 95/46, to pa je ohranjanje ravnotežja med prostim pretokom osebnih podatkov in varstvom zasebnosti (glej zgoraj navedeno sodbo Lindqvist, točka 97).

35      Direktiva 95/46 vsebuje nekoliko prožna pravila in državam članicam velikokrat prepušča določitev podrobnosti ali izbiro med več možnostmi (glej zgoraj navedeno sodbo Lindqvist, točka 83). Tako je treba razlikovati med nacionalnimi določbami, ki vsebujejo dodatne zahteve, ki spreminjajo obseg enega od načel iz člena 7 Direktive 95/46, po eni strani in nacionalnimi določbami, ki vsebujejo zgolj natančnejšo določitev enega od teh načel, po drugi strani. Prva vrsta nacionalnih določb ni dovoljena. Države članice imajo na podlagi člena 5 Direktive 95/46 diskrecijsko pravico zgolj glede druge vrste nacionalnih določb.

36      Iz tega sledi, da na podlagi člena 5 Direktive 95/46 države članice ne smejo dodati drugih načel glede zakonitosti obdelave osebnih podatkov, kot so tista iz člena 7 te direktive, niti z dodatnimi zahtevami spremeniti obsega šestih načel, določenih v navedenem členu 7.

37      V obravnavani zadevi člen 7(f) Direktive 95/46 določa, da je obdelava osebnih podatkov zakonita, kadar „je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo, ki se varujejo na podlagi člena 1(1)“.

38      Navedeni člen 7(f) določa dva kumulativna pogoja za to, da bi bila obdelava osebnih podatkov zakonita, in sicer, prvič, da je obdelava potrebna zaradi uresničitve zakonitih interesov, za katere si prizadeva upravljavec ali tretje stranke, ki so jim osebni podatki posredovani, in drugič, da ne prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo.

39      Zato člen 7(f) Direktive 95/46 v zvezi z obdelavo osebnih podatkov nasprotuje vsaki nacionalni ureditvi, ki, kadar ni privolitve zadevne osebe, poleg dveh kumulativnih pogojev, navedenih v prejšnji točki, določa dodatne zahteve.

40      Vendar je treba upoštevati, da drugi od teh pogojev zahteva tehtanje med zadevnimi nasprotujočimi si pravicami in interesi, ki je načeloma odvisno od konkretnih okoliščin posameznega primera in v okviru katerega mora oseba ali institucija, ki tehta, upoštevati pomembnost pravic zadevne osebe iz členov 7 in 8 Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina).

41      V zvezi s tem je treba opozoriti, da člen 8(1) Listine določa, da „[ima] [v]sakdo […] pravico do varstva osebnih podatkov, ki se nanašajo nanj“. Ta temeljna pravica je tesno povezana s pravico do zasebnosti iz člena 7 Listine (sodba z dne 9. novembra 2010 v združenih zadevah Volker und Markus Schecke in Eifert, C‑92/09 in C-93/09, ZOdl., str. I-11063, točka 47).

42      V skladu s sodno prakso Sodišča se spoštovanje pravice do zasebnosti v zvezi z obravnavo osebnih podatkov, ki jo določata člena 7 in 8 Listine, nanaša na vsako informacijo o določeni ali določljivi fizični osebi (glej zgoraj navedeno sodbo Volker und Markus Schecke in Eifert, točka 52). Vendar je iz členov 8(2) in 52(1) Listine razvidno, da je pod določenimi pogoji navedeno pravico mogoče omejiti.

43      Poleg tega morajo države članice ob prenosu Direktive 95/46 paziti, da se oprejo na razlago te direktive, ki jim omogoča zagotovitev pravilnega ravnovesja med različnimi temeljnimi pravicami in svoboščinami, varovanimi s pravnim redom Unije (glej po analogiji sodbo z dne 29. januarja 2008 v zadevi Promusicae, C‑275/06, ZOdl., str. I‑271, točka 68).

44      Kar zadeva tehtanje, ki je potrebno na podlagi člena 7(f) Direktive 95/46, je mogoče upoštevati to, da je teža posega v temeljne pravice osebe, na katero se navedena obdelava nanaša, lahko različna glede na to, ali so ti podatki že v javno dostopnih virih ali ne.

45      Drugače od obdelave podatkov, ki so v javno dostopnih virih, obdelava podatkov iz virov, ki niso javno dostopni, namreč nujno pomeni, da bodo odslej podatki o zasebnosti zadevne osebe poznani upravljavcu podatkov in, odvisno od primera, tretji osebi oziroma tretjim osebam, ki se jim osebni podatki posredujejo. Resnost tega posega v pravice zadevne osebe, določene v členih 7 in 8 Listine, je treba pravilno upoštevati pri tehtanju zakonitega interesa upravljavca podatkov ali tretje osebe oziroma tretjih oseb, ki se jim osebni podatki posredujejo.

46      V zvezi s tem je treba poudariti, da nič ne nasprotuje temu, da države članice pri izvrševanju svoje diskrecijske pravice iz člena 5 Direktive 95/46 določijo vodilna načela navedenega tehtanja.

47      Ne gre pa za natančnejšo določitev v smislu navedenega člena 5, kadar nacionalna zakonodaja obdelave nekaterih vrst osebnih podatkov ne dovoljuje, tako da za te vrste dokončno določa izid tehtanja nasprotujočih si pravic in interesov, ne da bi omogočala drugačen izid zaradi posebnih okoliščin konkretnega primera.

48      Zato – brez vpliva na člen 8 Direktive 95/46, ki se nanaša na obdelavo posebnih vrst podatkov in ki ni predmet spora o glavni stvari – člen 7(f) te direktive nasprotuje temu, da država članica kategorično in na splošno izključi obdelavo nekaterih vrst osebnih podatkov, ne da bi dovolila tehtanje zadevnih nasprotujočih si pravic in interesov v posameznem primeru.

49      Glede na zgornje navedbe je treba na prvo vprašanje odgovoriti, da je treba člen 7(f) Direktive 95/46 razlagati tako, da nasprotuje nacionalni ureditvi, ki – kadar ni privolitve zadevne osebe – za dovolitev obdelave njenih osebnih podatkov, ki je potrebna zaradi uresničitve zakonitega interesa upravljavca podatkov ali tretje osebe oziroma tretjih oseb, ki so jim ti podatki posredovani, poleg spoštovanja pravic in temeljnih svoboščin zadevne osebe zahteva, da so navedeni podatki iz javno dostopnih virov, pri čemer kategorično in na splošno izključuje vsako obdelavo podatkov, ki niso v takih virih.

 Drugo vprašanje

50      Predložitveno sodišče z drugim vprašanjem v bistvu sprašuje, ali ima člen 7(f) Direktive 95/46 neposredni učinek.

51      V zvezi s tem je treba spomniti, da so v skladu z ustaljeno sodno prakso Sodišča posamezniki vedno, kadar so določbe direktive vsebinsko brezpogojne in dovolj natančne, upravičeni, da se pred nacionalnimi sodišči sklicujejo nanje zoper državo članico, če ta v roku ni prenesla direktive v nacionalno pravo ali če jo je prenesla nepravilno (glej sodbo z dne 3. marca 2011 v zadevi Auto Nikolovi, C‑203/10, še neobjavljena v ZOdl., točka 61 in navedena sodna praksa).

52      Ugotoviti je treba, da je člen 7(f) Direktive 95/46 dovolj natančna določba, da se posameznik lahko sklicuje nanjo in da jo nacionalna sodišča lahko uporabljajo. Poleg tega, čeprav Direktiva 95/46 državam članicam za izvajanje nekaterih njenih določb nedvomno omogoča bolj ali manj široko diskrecijsko pravico, pa navedeni člen 7(f) določa brezpogojno obveznost (glej po analogiji zgoraj navedeno sodbo Österreichischer Rundfunk in drugi, točka 100).

53      Uporaba izraza „razen kadar“ v samem besedilu člena 7(f) Direktive 95/46 ni taka, da bi lahko sama po sebi izpodbila brezpogojnost te določbe v smislu navedene sodne prakse.

54      Namen tega izraza je namreč določiti enega od dveh kumulativnih elementov, določenih v členu 7(f) Direktive 95/46, ki jih je treba upoštevati, da se osebni podatki lahko obdelujejo brez privolitve zadevne osebe. Ker je ta element opredeljen, je člen 7(f) natančen in brezpogojen.

55      Torej je treba na drugo vprašanje odgovoriti, da ima člen 7(f) Direktive 95/46 neposredni učinek.

 Stroški

56      Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški, priglašeni za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (tretji senat) razsodilo:

1.      Člen 7(f) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da nasprotuje nacionalni ureditvi, ki – kadar ni privolitve zadevne osebe – za dovolitev obdelave njenih osebnih podatkov, ki je potrebna zaradi uresničitve zakonitega interesa upravljavca podatkov ali tretje osebe oziroma tretjih oseb, ki so jim ti podatki posredovani, poleg spoštovanja pravic in temeljnih svoboščin zadevne osebe zahteva, da so navedeni podatki iz javno dostopnih virov, pri čemer kategorično in na splošno izključuje vsako obdelavo podatkov, ki niso v takih virih.

2.      Člen 7(f) Direktive 95/46 ima neposredni učinek.

Podpisi

---

* Jezik postopka: španščina.