EUROOPA KOHTU OTSUS (neljas koda)

11. detsember 2014 ( *1 )

„Eelotsusetaotlus — Direktiiv 95/46/EÜ — Füüsiliste isikute kaitse — Isikuandmete töötlemine — Mõiste „tegevus, millega tegeldakse üksnes isiklikel või kodustel eesmärkidel”

Kohtuasjas C‑212/13,

mille ese on ELTL artikli 267 alusel Nejvyšší správní soud’i (Tšehhi Vabariik) 20. märtsi 2013. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 19. aprillil 2013, menetluses

František Ryneš

versus

Úřad pro ochranu osobních údajů,

EUROOPA KOHUS (neljas koda),

koosseisus: koja president L. Bay Larsen, kohtunikud K. Jürimäe, J. Malenovský, M. Safjan (ettekandja) ja A. Prechal,

kohtujurist: N. Jääskinen,

kohtusekretär: ametnik I. Illéssy,

arvestades kirjalikus menetluses ja 20. märtsi 2014. aasta kohtuistungil esitatut,

arvestades seisukohti, mille esitasid:

—	F. Ryneš, esindaja: advokát M. Šalomoun,

—	Úřad pro ochranu osobních údajů, esindajad: advokát I. Němec ja J. Prokeš,

—	Tšehhi valitsus, esindajad: M. Smolek ja J. Vláčil,

—	Hispaania valitsus, esindaja: A. Rubio González,

—	Itaalia valitsus, esindaja: G. Palmieri, keda abistas avvocato dello Stato P. Gentili,

—	Austria valitsus, esindajad: A. Posch ja G. Kunnert,

—	Poola valitsus, esindajad: B. Majczyna, J. Fałdyga ja M. Kamejsza,

—	Portugali valitsus, esindajad: L. Inez Fernandes ja C. Vieira Guerra,

—	Ühendkuningriigi valitsus, esindaja: L. Christie, keda abistas barrister J. Holmes,

—	Euroopa Komisjon, esindajad: B. Martenczuk, P. Němečková ja Z. Malůšková,

olles 10. juuli 2014. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,

on teinud järgmise

otsuse

1	Eelotsusetaotlus puudutab küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT L 281, lk 31; ELT eriväljaanne 13/15, lk 355) artikli 3 lõiget 2.

2	Eelotsusetaotlus on esitatud vaidluse raames, mille pooled on František Ryneš ja Úřad pro ochranu osobních údajů (isikuandmete kaitse amet, edaspidi „Úřad”) ning mille esemeks on otsus, millega viimane tuvastas, et F. Ryneš on pannud toime mitu rikkumist isikuandmete kaitse valdkonnas.

Õiguslik raamistik

Liidu õigus

Direktiivi 95/46 põhjendused 10, 12 ja 14–16 on sõnastatud järgmiselt:

„(10)

isikuandmete töötlemist käsitlevate õigusaktide eesmärk on kaitsta Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artiklis 8 ja ühenduse õiguse üldistes põhimõtetes tunnustatud põhiõigusi ja -vabadusi, eelkõige õigust eraelu puutumatusele; nimetatud põhjusel ei tohi kõnealuste õigusaktide ühtlustamise tagajärjel nendega pakutav kaitse väheneda, vaid vastupidi – ühenduses tagatava kaitstuse tase peab olema kõrgem;

[…]

(12)	[…] erand tuleks teha, kui andmete töötlemisega tegelevad füüsilised isikud üksnes isiklikel või kodustel eesmärkidel, näiteks kirjavahetus ja aadresside loetelu;

[…]

(14)

võttes arvesse infoühiskonnas praegu toimuvat füüsiliste isikutega seotud heli- ja pildiandmete kogumise, edastamise, töötlemise, salvestamise, talletamise ja vahendamise tehnoloogia arengut ja sellise arengu olulisust, peaks käesolev direktiiv olema kohaldatav ka selliste andmete töötlemise suhtes;

(15)

selliste andmete töötlemine kuulub käesoleva direktiivi reguleerimisalasse ainult siis, kui tegemist on automatiseeritud töötlemisega või kui töödeldavad andmed sisalduvad üksikisikutega seotud teatavate kriteeriumide põhjal korrastatud kataloogis või kui nad hiljem kantakse sellisesse kataloogi, et võimaldada lihtsat juurdepääsu kõnealustele isikuandmetele;

(16)

heli- ja pildimaterjali sisaldavate andmete töötlemine, näiteks videovalve puhul, ei kuulu käesoleva direktiivi reguleerimisalasse, kui see on seotud avaliku korra, riigikaitse, riigi julgeoleku või riigi toimingutega kriminaalõiguse valdkonnas või muu tegevusega, mis ei kuulu ühenduse õiguse reguleerimisalasse”.

Selle direktiivi artikkel 2 näeb ette:

„Käesolevas direktiivis kasutatakse järgmisi mõisteid:

a)	isikuandmed – igasugune teave tuvastatud või tuvastatava füüsilise isiku (edaspidi „andmesubjekt”) kohta. Tuvastatav isik on isik, keda saab otseselt või kaudselt tuvastada […] ühe või mitme tema füüsilisele […] identsusele omase joone põhjal;

isikuandmete töötlemine (edaspidi „töötlemine”) – iga isikuandmetega tehtav toiming või toimingute kogum, olenemata sellest, kas see on automatiseeritud või mitte, näiteks kogumine, salvestamine, korrastamine, säilitamine, kohandamine või muutmine, väljavõtete tegemine, päringu teostamine, kasutamine, üleandmine, levitamine või muul moel avaldamine, ühitamine või ühendamine, sulgemine, kustutamine või hävitamine;

c)	isikuandmete kataloog (edaspidi „kataloog”) – kõik isikuandmete korrastatud kogumid, millest võib andmeid saada teatavate kriteeriumide põhjal, olenemata sellest, kas kõnealune andmete kogum on tsentraliseeritud, detsentraliseeritud või funktsionaalsetel või geograafilistel põhimõtetel hajutatud;

d)	vastutav töötleja – füüsiline […] isik, […] kes määrab üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid […]”.

Nimetatud direktiivi artiklis 3 on sätestatud:

„1. Käesolevat direktiivi kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad kataloogi või kui nad kavatsetakse hiljem sellesse kanda.

2. Käesolevat direktiivi ei kohaldata isikuandmete töötlemise suhtes:

—

kui see toimub sellise tegevuse käigus, mis jääb väljapoole ühenduse õigust, nagu näiteks Euroopa Liidu lepingu V ja VI jaotises osutatud tegevused, ja igal juhul sellise töötlemise suhtes, mis on seotud avaliku korra, riigikaitse, riigi julgeoleku (sealhulgas riigi majanduslik heaolu, kui töötlemine on seotud riigi julgeoleku küsimustega) ja riigi toimingutega kriminaalõiguse valdkonnas,

—	kui seda teeb füüsiline isik [üksnes] isiklikel või kodustel eesmärkidel.”

Direktiivi artikkel 7 on sõnastatud järgmiselt:

„Liikmesriigid sätestavad, et isikuandmeid võib töödelda ainult juhul, kui:

a)	andmesubjekt on selleks andnud oma ühemõttelise nõusoleku

või

[…]

f)	töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, kui selliseid huve ei kaalu üles artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja -vabadustega seotud huvid.”

Direktiivi 95/46 artikkel 11 sätestab:

„1. Kui andmeid ei ole saadud andmesubjektilt, näeb liikmesriik ette, et hiljemalt isikuandmete salvestamise ajal […] esitab vastutav töötleja […] andmesubjektile vähemalt järgmise teabe, kui ta seda juba ei tea:

a)	vastutava töötleja […] andmed;

b)	töötlemise eesmärk,

täiendav teave, näiteks:

—	asjaomaste andmete liik,

—	vastuvõtjad või vastuvõtjate kategooriad,

—	isiku enda kohta käivate andmetega tutvumise ja nende parandamise õiguse olemasolu,

kuivõrd selline täiendav teave on vajalik, et tagada andmesubjekti suhtes õiglane andmete töötlemine, võttes arvesse andmete kogumise konkreetseid asjaolusid.

2. Lõiget 1 ei kohaldata, kui eelkõige statistikaga seotud eesmärkidel või ajaloo- või teadusuuringutega seotud eesmärkidel toimuva töötlemise puhul osutub sellise teabe andmine võimatuks või kui see eeldab ülemääraseid jõupingutusi või kui selliste andmete salvestamine või avalikustamine on õigusaktides selgelt sätestatud. Nimetatud juhtudel näevad liikmesriigid ette vajalikud tagatised.”

Direktiivi artikli 13 lõige 1 sätestab:

„Liikmesriigid võivad […] artikli 11 lõikes 1 […] sätestatud kohustuste ja õiguste ulatuse piiramiseks võtta vastu õigusakte, kui sellised piirangud on vajalikud, et kindlustada:

[…]

d)	kuritegude või reguleeritud kutsealade ametieetika rikkumiste ennetamine, uurimine, avastamine ja nende eest vastutuselevõtmine;

[…]

g)	[…] teiste isikute õiguste ja vabaduste kaitse.”

Direktiivi artikli 18 lõige 1 näeb ette:

„Liikmesriigid näevad ette, et vastutav töötleja või tema võimalik esindaja peab teavitama […] osutatud järelevalveasutust enne igasuguse osaliselt või täielikult automatiseeritud töötlemise või selliste töötlemiste kogumi alustamist, millel on üks eesmärk või mitu omavahel seotud eesmärki.”

Tšehhi õigus

10	Seaduse nr 101/2000 Sb., mis käsitleb isikuandmete kaitset ja millega muudetakse mitut seadust (edaspidi „seadus nr 101/2000”), artikli 3 lõikes 3 on sätestatud: „Käesolevat seadust ei kohaldata isikuandmete töötlemise suhtes, kui seda teeb füüsiline isik üksnes isiklikuks kasutamiseks.”

11	Seaduse artikli 44 lõige 2 reguleerib niisuguse isikuandmete töötleja vastutust, kes paneb toime rikkumise, töödeldes isikuandmeid ilma andmesubjekti nõusolekuta, mitte andes asjaomasele isikule asjakohast teavet ja jättes täitmata kohustuse informeerida pädevast ametiasutust.

Vastavalt seaduse artikli 5 lõikele 2 võib isikuandmeid üldiselt töödelda ainult andmesubjekti nõusolekul. Niisuguse nõusolekuta võib andmeid töödelda juhul, kui see on vajalik vastutava töötleja, andmete vastuvõtja või muude isikute seadusega kaitstud õiguste ja huvide kaitseks. Selline töötlemine ei tohi siiski minna vastuollu andmesubjekti õigusega eraelu puutumatuse kaitsele.

Põhikohtuasi ja eelotsuse küsimus

F. Ryneš kasutas ajavahemikul 5. oktoobrist 2007 kuni 11. aprillini 2008 kaamerat, mille ta oli paigaldanud oma perekonna maja katuseräästa alla. Kaamera oli paigaldatud statsionaarsena ja seda ei saanud pöörata ning see jälgis tema maja sissekäiku, üldkasutatavat tänavat ja vastasmaja sissekäiku. Süsteem võimaldas teha üksnes videosalvestust, mida hoiti pidevsalvestusseadmes, st kõvakettal. Kõvaketta täitumisel toimus ülesalvestamine. Salvestusseadmel puudus monitor ja pilti ei olnud seega võimalik vaadata reaalajas. Otsene juurdepääs süsteemile ja salvestatud andmetele oli üksnes F. Rynešil.

Eelotsusetaotluse esitanud kohus märgib, et F. Ryneš kasutas seda kaamerat ainsa eesmärgiga kaitsta enda ja oma perekonna vara, tervist ja elu. Nii teda kui ka tema perekonda on mitme aasta vältel rünnanud tundmatu isik, kes on jäänud tuvastamata. Lisaks purustati ajavahemikul 2005‐2007 mitmel korral tema perekonnale kuuluva maja aknad.

15	Ööl vastu 7. oktoobrit 2007 toimus järjekordne rünne. Maja aken purustati ragulkast tehtud lasuga. Tänu kõnesolevale videovalvesüsteemile õnnestus tuvastada kaks kahtlusalust. Salvestised anti üle politseile ja hiljem kasutati neid kriminaalmenetluses tõendusmaterjalina.

Üks kahtlusalune palus F. Ryneši valvesüsteemi seaduslikkust kontrollida ja Úřad tuvastas 4. augusti 2008. aasta otsusega, et F. Ryneš on rikkunud seadust nr 101/2000 sellega, et:

—	ta kogus vastutava töötlejana kaamerasüsteemi abil maja ees tänaval liikuvate ja teisel pool tänavat asuvasse majja sisenevate inimeste isikuandmeid nende nõusolekuta;

—	andmesubjekte ei teavitatud nende isikuandmete töötlemisest ega sellest, millises ulatuses ja mis eesmärgil isikuandmeid töödeldakse, kes seda teeb, kuidas isikuandmeid töödeldakse ning kellel on isikuandmetele juurdepääs, ning

—	F. Ryneš ei täitnud vastutava töötlejana kohustust teatada Úřadile isikuandmete töötlemisest.

17	Městský soud v Praze (Praha linnakohus) jättis selle otsuse peale esitatud F. Ryneši kaebuse 25. aprilli 2012. aasta otsusega rahuldamata. F. Ryneš esitas selle kohtuotsuse peale kassatsioonkaebuse eelotsusetaotluse esitanud kohtule.

Neil asjaoludel otsustas Nejvyšší správní soud (kõrgeim halduskohus) menetluse peatada ja esitada Euroopa Kohtule järgmise eelotsuse küsimuse:

„Kas perekonna eluasemeks oleva maja külge omanike vara, tervise ja elu kaitseks paigaldatud kaamerasüsteemi kasutamise saab liigitada isikuandmete töötlemiseks, mida „teeb füüsiline isik [üksnes] isiklikel või kodustel eesmärkidel” [direktiivi 95/46] artikli 3 lõike 2 tähenduses, kuigi selline süsteem jälgib ka avalikku ruumi?”

Eelotsuse küsimuse analüüs

Eelotsusetaotluse esitanud kohus palub oma küsimusega sisuliselt selgitada, kas direktiivi 95/46 artikli 3 lõike 2 teist taanet tuleb tõlgendada nii, et füüsilise isiku poolt tema perekonna eluasemeks oleva maja külge omanike vara, tervise ja elu kaitseks paigaldatud ja isikutest pidevsalvestusseadmesse ehk kõvakettale videosalvestust tegeva kaamerasüsteemi kasutamine, kui selline süsteem jälgib ka avalikku ruumi, on isikuandmete töötlemine üksnes isiklikel või kodustel eesmärkidel selle sätte tähenduses.

Olgu märgitud, et vastavalt direktiivi artikli 3 lõikele 1 kohaldatakse direktiivi „isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad kataloogi või kui nad kavatsetakse hiljem sellesse kanda”.

Selles sättes kasutatud mõistega „isikuandmed” on direktiivi 95/46 artikli 2 punktis a toodud määratluse kohaselt hõlmatud „igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta”. Tuvastatav isik on „isik, keda saab otseselt või kaudselt tuvastada, eelkõige […] ühe või mitme tema füüsilisele […] identsusele omase joone põhjal”.

22	Järelikult tuleb kaameraga salvestatud isiku kujutist pidada eelmises punktis viidatud sätte tähenduses isikuandmeteks, kui see võimaldab isiku tuvastada.

23	Mõiste „isikuandmete töötlemine” on direktiivi 95/46 artikli 2 punktis b määratletud kui „iga isikuandmetega tehtav toiming või toimingute kogum, […] näiteks kogumine, salvestamine, […] säilitamine”.

24	Eeskätt direktiivi 95/46 põhjendustest 15 ja 16 nähtub, et üldiselt kuulub videovalve direktiivi kohaldamisalasse, kui tegemist on automatiseeritud töötlemisega.

25	Videovalve, mis seisneb isikutest pidevsalvestusseadmesse ehk kõvakettale videosalvestuse tegemises nagu põhikohtuasjas, on vastavalt direktiivi 95/46 artikli 3 lõikele 1 isikuandmete automatiseeritud töötlemine.

26	Eelotsusetaotluse esitanud kohus soovib teada, kas niisugune töötlemine ei ole sellises olukorras nagu põhikohtuasjas siiski direktiivi kohaldamisalast välja arvatud, kuna seda tehakse „üksnes isiklikel või kodustel eesmärkidel” direktiivi artikli 3 lõike 2 teise taande tähenduses.

27	Direktiivi 95/46 artiklist 1 ja põhjendusest 10 nähtuvalt on direktiivi eesmärk tagada isikuandmete töötlemisel füüsiliste isikute põhiõiguste ja -vabaduste, eelkõige eraelu puutumatuse kõrgetasemeline kaitse (vt kohtuotsus Google Spain ja Google, C‑131/12, EU:C:2014:317, punkt 66).

Seoses sellega olgu märgitud, et väljakujunenud kohtupraktika kohaselt nõuab Euroopa Liidu põhiõiguste harta artikliga 7 tagatud eraelu puutumatuse põhiõiguse kaitse, et isikuandmete kaitse erandite ja piirangute puhul tuleb piirduda rangelt vajalikuga (vt kohtuotsused IPI, C‑473/12, EU:C:2013:715, punkt 39, ning Digital Rights Ireland jt, C‑293/12 ja C‑594/12, EU:C:2014:238, punkt 52).

Kuivõrd direktiivi 95/46 sätted reguleerivad isikuandmete töötlemist, mis võib riivata põhivabadusi ja eriti õigust eraelu puutumatusele, tuleb nende tõlgendamisel lähtuda hartas sätestatud põhiõigustest (vt kohtuotsus Google Spain ja Google, EU:C:2014:317, punkt 68) ning seetõttu tuleb direktiivi artikli 3 lõike 2 teises taandes ette nähtud erandit tõlgendada kitsalt.

30	Kitsast tõlgendust toetab ka sätte sõnastus, mis arvab direktiivi 95/46 kohaldamisalast välja mitte lihtsalt isiklikel või kodustel eesmärkidel, vaid „üksnes” isiklikel või kodustel eesmärkidel toimuva andmete töötlemise.

31	Eeltoodud kaalutlustel tuleb tõdeda, nagu märkis ka kohtujurist oma ettepaneku punktis 53, et isikuandmete töötlemine kuulub direktiivi 95/46 artikli 3 lõike 2 teises taandes ette nähtud erandi alla vaid siis, kui see toimub üksnes andmetöötleja isiklikus või koduses sfääris.

32	Füüsiliste isikute puhul on direktiivi 95/46 põhjendusest 12 nähtuvalt „üksnes isiklikel või kodustel eesmärkidel” toimuv tegevus kirjavahetuse ja aadresside loetelu pidamine, isegi kui see aeg-ajalt puudutab või võib puudutada teiste isikute eraelu.

Kui niisugune videovalve, nagu on kõne all põhikohtuasjas, kasvõi osaliselt ulatub avalikku ruumi ja on seetõttu suunatud selle vahendi abil andmete töötleja isiklikust sfäärist väljapoole, ei saa seda pidada tegevuseks, millega tegeldakse üksnes „isiklikel või kodustel” eesmärkidel direktiivi 95/46 artikli 3 lõike 2 teise taande tähenduses.

Samas võimaldab direktiivi sätete kohaldamine võtta eelkõige vastavalt direktiivi artikli 7 punktile f, artikli 11 lõikele 2 ja artikli 13 lõike 1 punktidele d ja g vajadusel arvesse vastutava töötleja õiguspäraseid huve, sealhulgas – nagu põhikohtuasjas – huvi kaitsta vastutava töötleja ja tema perekonnaliikmete vara, tervist ja elu.

Järelikult peab esitatud küsimusele vastama, et direktiivi 95/46 artikli 3 lõike 2 teist taanet tuleb tõlgendada nii, et füüsilise isiku poolt tema perekonna eluasemeks oleva maja külge omanike vara, tervise ja elu kaitseks paigaldatud ja isikutest pidevsalvestusseadmesse ehk kõvakettale videosalvestust tegeva kaamerasüsteemi kasutamine, kui selline süsteem jälgib ka avalikku ruumi, ei ole isikuandmete töötlemine üksnes isiklikel või kodustel eesmärkidel selle sätte tähenduses.

Kohtukulud

36	Et põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse siseriiklik kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.

Esitatud põhjendustest lähtudes Euroopa Kohus (neljas koda) otsustab:

Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikli 3 lõike 2 teist taanet tuleb tõlgendada nii, et füüsilise isiku poolt tema perekonna eluasemeks oleva maja külge omanike vara, tervise ja elu kaitseks paigaldatud ja isikutest pidevsalvestusseadmesse ehk kõvakettale videosalvestust tegeva kaamerasüsteemi kasutamine, kui selline süsteem jälgib ka avalikku ruumi, ei ole isikuandmete töötlemine üksnes isiklikel või kodustel eesmärkidel selle sätte tähenduses.

Allkirjad

( *1 ) Kohtumenetluse keel: tšehhi.