Jurisprudentie
ARREST VAN HET HOF (Vierde kamer)
11 december 2014 *
„Prejudiciële verwijzing — Richtlijn 95/46/EG — Bescherming van natuurlijke personen — Verwerking van persoonsgegevens — Begrip van ‚activiteiten die met uitsluitend persoonlijke of huishoudelijke doeleinden worden verricht’”
In zaak C-212/13,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Nejvyšší správní soud (Tsjechische Republiek) bij beslissing van 20 maart 2013, ingekomen bij het Hof op 19 april 2013,
in de procedure František Ryneš tegen Úřad pro ochranu osobních údajů,
wijst HET HOF (Vierde kamer),
samengesteld als volgt:
L. Bay Larsen, kamerpresident, K. Jürimäe, J. Malenovský, M. Safjan (rapporteur) en
A. Prechal, rechters, advocaat-generaal: N. Jääskinen, griffier: I. Illéssy, administrateur, gezien de stukken en na de terechtzitting op 20 maart 2014, gelet op de opmerkingen van:
— Ryneš, vertegenwoordigd door M. Šalomoun, advokát,
— Úřad pro ochranu osobních údajů, vertegenwoordigd door I. Němec, advokát, en J. Prokeš,
— de Tsjechische regering, door M. Smolek en J. Vláčil als gemachtigden,
— de Spaanse regering, door A. Rubio González als gemachtigde,
— de Italiaanse regering, door G. Palmieri als gemachtigde, bijgestaan door P. Gentili, avvocato dello Stato,
ECLI:EU:C:2014:2428
— de Oostenrijkse regering, door A. Posch en G. Kunnert als gemachtigden,
— de Poolse regering, vertegenwoordigd door B. Majczyna, J. Fałdyga en M. Kamejsza als gemachtigden,
— de Portugese regering, door L. Inez Fernandes en C. Vieira Guerra als gemachtigden,
— de regering van het Verenigd Koninkrijk, door L. Christie als gemachtigde, bijgestaan door J. Holmes, barrister,
— de Europese Commissie, vertegenwoordigd door B. Martenczuk, P. Němečková en Z. Malůšková als gemachtigden, gehoord de conclusie van de advocaat-generaal ter terechtzitting van 10 juli 2014,
het navolgende
Arrest
Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 3, lid 2, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31).
Dit verzoek is ingediend in het kader van een geding tussen Ryneš en Úřad pro ochranu osobních údajů (Instituut voor de bescherming van persoonsgegevens; hierna: „Úřad”) naar aanleiding van de beslissing waarbij dit laatste had vastgesteld dat Ryneš meerdere strafbare feiten met betrekking tot de bescherming van persoonsgegevens had gepleegd.
Toepasselijke bepalingen
Unierecht
3
De punten 10, 12, 14, 15 en 16 van de considerans van richtlijn 95/46 luiden:
„(10) [...] dat met de nationale wetgevingen betreffende de verwerking van persoonsgegevens de eerbiediging moet worden gewaarborgd van de fundamentele rechten en vrijheden, en met name van het recht op bescherming van de persoonlijke levenssfeer, dat tevens in artikel 8 van het Europese Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en in de algemene beginselen van het Gemeenschapsrecht is erkend; [...] de onderlinge aanpassing van deze wetgevingen derhalve niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist erop gericht moet zijn een hoog beschermingsniveau in de Gemeenschap te waarborgen;
[...]
(12) [...] dat dit niet geldt voor de verwerking van gegevens door een natuurlijke persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden, bij voorbeeld correspondentie en het bijhouden van adressenbestanden;
[...]
[...] dat, gezien het belang van de in het kader van de informatiemaatschappij aan de gang zijnde ontwikkelingen inzake de technieken voor het opvangen, doorsturen, manipuleren, registreren, bewaren of mededelen van geluid- en beeldgegevens betreffende natuurlijke personen, deze richtlijn ook van toepassing zal moeten zijn op verwerkingen die op deze gegevens betrekking hebben;
[...] dat verwerkingen die op dergelijke gegevens betrekking hebben, slechts onder deze richtlijn vallen als zij geautomatiseerd zijn of als de betrokken gegevens zijn opgeslagen of zullen worden opgeslagen in een bestand dat gestructureerd is volgens specifieke persoonscriteria teneinde een gemakkelijke toegang tot de betrokken persoonsgegevens mogelijk te maken;
[...] dat verwerkingen van geluid- en beeldgegevens, zoals gegevens van videobewaking, niet binnen de werkingssfeer van deze richtlijn vallen als deze verwerkingen plaatsvinden met het oog op de openbare veiligheid, de defensie, de veiligheid van de Staat en de activiteiten van de Staat op strafrechtelijk gebied of met het oog op de uitoefening van andere activiteiten die niet onder het gemeenschapsrecht vallen.” 4 Artikel 2 van die richtlijn bepaalt het volgende:
„In deze richtlijn wordt verstaan onder:
‚persoonsgegevens’: iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna ‚betrokkene’ te noemen; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van [...] een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke [...] identiteit;
‚verwerking van persoonsgegevens’, hierna ‚verwerking’ te noemen: elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
‚bestand van persoonsgegevens’, hierna ‚bestand’ te noemen: elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd dan wel gedecentraliseerd is of verspreid op een functioneel of geografisch bepaalde wijze;
‚voor de verwerking verantwoordelijke’: de natuurlijke [...] persoon [...] die, [...] alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt
[...]
Artikel 3 van de richtlijn bepaalt het volgende:
„1. De bepalingen van deze richtlijn zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens:
— die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschiedt, zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de Staat (waaronder de economie van de Staat, wanneer deze verwerkingen in verband staan met vraagstukken van Staatsveiligheid), en de activiteiten van de Staat op strafrechtelijk gebied;
— die door een natuurlijk persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.”
Artikel 7 van dezelfde richtlijn luidt:
„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:
a) de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend of
[...]
f) de verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, mits het belang of de fundamentele rechten en vrijheden van de betrokkene die aanspraak maakt op bescherming uit hoofde van artikel 1, lid 1, van deze richtlijn, niet prevaleren.”
Artikel 11 van richtlijn 95/46 bepaalt het volgende:
„1. De lidstaten bepalen dat wanneer de gegevens niet bij de betrokkene zijn verkregen, de voor de verwerking verantwoordelijke [...] op het moment van registratie van de gegevens [...] aan de betrokkene uiterlijk op het moment van de eerste verstrekking van de gegevens ten minste de volgende informatie moet verstrekken, tenzij de betrokkene daarvan reeds op de hoogte is:
de identiteit van de voor de verwerking verantwoordelijke [...];
de doeleinden van de verwerking;
verdere informatie zoals:
— de betrokken gegevenscategorieën;
— de ontvangers of de categorieën ontvangers;
— het bestaan van een recht op toegang tot zijn eigen persoonsgegevens en op rectificatie van deze gegevens,
voor zover die verdere informatie, met inachtneming van de bijzondere omstandigheden waaronder de gegevens worden verzameld, nodig is om tegenover de betrokkene eerlijke verwerking te waarborgen.
Het bepaalde in lid 1 is niet van toepassing indien, met name voor statistische doeleinden of voor historisch of wetenschappelijk onderzoek, verstrekking van informatie aan de betrokkene onmogelijk blijkt of onevenredig veel moeite kost of indien de registratie of verstrekking bij wet is voorgeschreven. In deze gevallen zorgen de lidstaten voor passende waarborgen.”
Artikel 13, lid 1, van de richtlijn bepaalt het volgende:
„De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in [...] artikel 11, lid 1 [...] bedoelde rechten en plichten indien dit noodzakelijk is ter vrijwaring van:
[...]
d) het voorkomen, het onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van de beroepscodes voor gereglementeerde beroepen;
[...]
g) de bescherming [...] van de rechten en vrijheden van anderen.”
Artikel 18, lid 1, van deze richtlijn bepaalt het volgende:
„De lidstaten bepalen dat de voor de verwerking verantwoordelijke [...] bij de [...] toezichthoudende autoriteit aanmelding dient te doen, voordat wordt overgegaan tot een of meer volledig of gedeeltelijk geautomatiseerde verwerkingen van gegevens die voor de verwezenlijking van een doeleinde of van verscheidene samenhangende doeleinden bestemd zijn.”
Het Tsjechische recht
3, lid 3, van wet nr. 101/2000 Sb. inzake de bescherming van persoonsgegevens en tot wijziging van bepaalde wetten (hierna: „wet nr. 101/2000”) bepaalt het volgende:
„Deze wet is niet van toepassing op de verwerking van persoonsgegevens die door een natuurlijk persoon uitsluitend voor eigen gebruik wordt verricht”.
44, lid 2, van die wet regelt de verantwoordelijkheid van de voor de verwerking van persoonsgegevens verantwoordelijke, die een strafbaar feit pleegt wanneer hij of zij deze gegevens verwerkt zonder toestemming van de betrokkene, wanneer hij of zij aan deze geen belangrijke informatie verstrekt en wanneer hij of zij de verplichte kennisgeving aan de bevoegde autoriteit achterwege heeft gelaten.
Overeenkomstig § 5, lid 2, sub e, van deze wet is de verwerking van persoonsgegevens in beginsel slechts mogelijk met instemming van de betrokkene. De gegevens mogen zonder deze toestemming slechts worden verwerkt, indien dit nodig is voor de bescherming van de rechten en wettelijk beschermde belangen van de voor de verwerking verantwoordelijke, de ontvanger of andere betrokkenen; deze verwerking van persoonsgegevens mag echter niet in strijd zijn met het recht van de betrokkene op eerbiediging van zijn privé-, familie- en gezinsleven.
Hoofdgeding en prejudiciële vraag
Ryneš heeft in de periode van 5 oktober 2007 tot 11 april 2008 een camerasysteem geïnstalleerd en hiervan gebruikgemaakt. Het camerasysteem was bevestigd onder de dakrand van zijn huis. Deze camera werd geïnstalleerd in een vaste en onbeweeglijke positie en was gericht op de ingang van zijn huis, de openbare weg en de ingang van het huis aan de overkant. Het systeem was uitsluitend geschikt voor video-opnames die met behulp van opnameapparatuur doorlopend werden vastgelegd op de harde schijf. Zodra de opslagcapaciteit van de harde schijf was bereikt, werden bestaande opnames overschreven door nieuwe. De opnameapparatuur was niet van een beeldscherm voorzien, zodat het niet mogelijk was om het beeld onmiddellijk te bekijken. Alleen Ryneš had rechtstreeks toegang tot het systeem en de daarin opgeslagen gegevens.
De verwijzende rechter merkt op dat de enige reden waarom Ryneš deze camera gebruikte de bescherming was van de eigendom, de gezondheid en het leven van hemzelf en zijn gezin. Zowel hijzelf als zijn gezin waren gedurende meerdere jaren lastig gevallen door een onbekende die men niet heeft kunnen ontmaskeren. Bovendien waren de ramen van het aan zijn echtgenote toebehorende huis tussen het jaar 2005 en het jaar 2007 verscheidene malen ingegooid.
In de nacht van 6 op 7 oktober 2007 vond wederom een incident plaats, toen een raam van het huis van Ryneš werd ingegooid door een met een katapult afgeschoten projectiel. Dankzij het litigieuze videobewakingssysteem konden twee verdachten worden geïdentificeerd. De opnames zijn aan de politie overhandigd en later in de daarop geopende strafzaak als bewijs aangevoerd.
Eén van de verdachten heeft verzocht de rechtmatigheid van het bewakingssysteem van Ryneš te onderzoeken en Úřad heeft bij beslissing van 4 augustus 2008 vastgesteld dat Ryneš wet nr. 101/2000 heeft overtreden doordat:
— hij, als verantwoordelijke voor de verwerking, door middel van een camerasysteem persoonsgegevens heeft verzameld zonder de toestemming van de personen die over straat liepen of het huis aan de overkant van de straat binnengingen;
— betrokkenen niet waren geïnformeerd over de verwerking van deze persoonsgegevens, de omvang en het doel van deze verwerking, de persoon die de verwerking verrichtte en de wijze waarop deze verwerking werd uitgevoerd, noch over de personen die toegang konden hebben tot de litigieuze gegevens, en
— Ryneš als verantwoordelijke voor de verwerking niet heeft voldaan aan de verplichting tot aanmelding van de litigieuze verwerking bij Úřad.
Het beroep dat Ryneš tegen deze beslissing had ingesteld, werd door de Městský soud v Praze (de rechtbank van de stad Praag) bij vonnis van 25 april 2012 verworpen. Ryneš heeft bij de verwijzende rechter tegen dit vonnis cassatieberoep ingesteld.
De Nejvyšší správní soud (het hooggerechtshof in bestuurszaken) heeft dan ook besloten de behandeling van de zaak te schorsen en het Hof de volgende prejudiciële vraag te stellen:
„Kan het gebruik van een camerasysteem dat aan een gezinswoning is bevestigd en als doel heeft de eigendom, de gezondheid en het leven van de eigenaars van het huis te beschermen, worden aangemerkt als de verwerking van persoonsgegevens ‚die door een natuurlijk persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht’ in de zin van artikel 3, lid 2, van richtlijn 95/46 [...], ofschoon dit systeem ook de openbare ruimte in beeld brengt?”
Beantwoording van de prejudiciële vraag
Met haar vraag wenst de verwijzende rechterlijke instantie in wezen te vernemen of artikel 3, lid 2, tweede streepje, van richtlijn 95/46 aldus moet worden uitgelegd, dat het gebruik van een camerasysteem dat door een natuurlijke persoon aan zijn gezinswoning werd bevestigd met als doel de eigendom, de veiligheid en het leven van de eigenaren van het huis te beschermen, maar ook de openbare ruimte in beeld brengt, en waarbij video-opnames van personen met behulp van opnameapparatuur doorlopend worden vastgelegd op bijvoorbeeld een harde schijf,
in de zin van die bepaling wordt aangemerkt als de verwerking van persoonsgegevens die in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.
Er zij aan herinnerd dat artikel 3, lid 1, van deze richtlijn van toepassing is op „de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen”.
Het in deze bepaling gebezigde begrip „persoonsgegevens” omvat overeenkomstig de definitie in artikel 2, sub a, „iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon”. Als identificeerbaar wordt beschouwd „een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van [...] een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke identiteit”.
Een door een camera vastgelegde afbeelding van een persoon valt derhalve onder het begrip persoonsgegevens in de zin van de in het vorige punt bedoelde bepaling, aangezien de betrokken persoon hierdoor kan worden geïdentificeerd.
Het begrip „verwerking van persoonsgegevens” wordt omschreven in artikel 2, sub b, van richtlijn 95/46 als „elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, [...] zoals het verzamelen, vastleggen, [...] bewaren”.
Zo blijkt vooral uit punt 15 en 16 van de considerans van richtlijn 95/46, dat deze richtlijn in beginsel van toepassing is op het videobewakingssysteem, voor zover het een vorm van automatische gegevensverwerking is.
Welnu, bewaking met behulp van video-opnames van mensen die, zoals in het hoofdgeding, doorlopend worden vastgelegd, en wel op de harde schijf, is een geautomatiseerde verwerking van persoonsgegevens, overeenkomstig artikel 3, lid 1, van richtlijn 95/46.
De verwijzende rechterlijke instantie wenst te weten of een dergelijke verwerking, in een situatie zoals in het hoofdgeding, toch niet buiten het toepassingsgebied van deze richtlijn valt, voor zover het gaat om een verwerking die met „uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht” in de zin van artikel 3, lid 2, tweede streepje, van voornoemde richtlijn.
Zo volgt uit artikel 1 van richtlijn 95/46 en uit punt 10 van de considerans ervan, dat deze richtlijn met betrekking tot de verwerking van persoonsgegevens een hoog niveau van bescherming van de grondrechten en vrijheden van natuurlijke personen, en vooral van hun privéleven, beoogt te waarborgen (zie het arrest Google Spain en Google, C-131/12, EU:C:2014:317, punt 66).
In dit opzicht moet worden opgemerkt dat volgens vaste rechtspraak de bescherming van het grondrecht op eerbiediging van het privéleven, zoals gewaarborgd in artikel 7 van het Handvest van de grondrechten van de Europese Unie vereist dat de uitzonderingen op de bescherming van persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven (arrest IPI, C-473/12, EU:C:2013:715, punt 39, en arrest Digital Rights Ireland e.a., C-293/12 en C-594/12, EU:C:2014:238, punt 52).
Aangezien de bepalingen van richtlijn 95/46, die voor de verwerking van persoonsgegevens een regeling vaststelt die afbreuk kan doen aan de fundamentele vrijheden, en in het bijzonder aan het recht op een privéleven, noodzakelijkerwijs moeten worden uitgelegd in het licht van de grondrechten die in het Handvest zijn opgenomen (zie arrest Google Spain en Google, EU:C:2014:317, punt 68), dient de uitzondering die is voorzien in artikel 3, lid 2, tweede streepje, van die richtlijn, strikt te worden uitgelegd.
Deze strikte uitlegging is eveneens gebaseerd op de bewoordingen van die bepaling, die niet de gegevensverwerking die eenvoudigweg met persoonlijke of huishoudelijke doeleinden wordt verricht, onttrekt aan de toepassingssfeer van richtlijn 95/46, maar wel die die met „uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht”.
Zoals de advocaat-generaal heeft opgemerkt in punt 53 van zijn conclusie, moet met betrekking tot voorgaande overwegingen worden vastgesteld, dat de in artikel 3, lid 2, tweede streepje, van richtlijn 95/46 bedoelde uitzondering slechts van toepassing is op de verwerking van persoonsgegevens, indien deze wordt verricht voor uitsluitend de persoonlijke of huishoudelijke doeleinden van degene die de gegevens verwerkt.
Wat betreft natuurlijke personen, vormen, uit het oogpunt van punt 12 van de considerans van richtlijn 95/46, ook correspondentie en het bijhouden van adressenbestanden „activiteiten die met uitsluitend persoonlijke of huishoudelijke doeleinden worden verricht”, zelfs als zij incidenteel raken of kunnen raken aan het privéleven van anderen.
Voor zover het gebruik van een videobewakingssysteem, zoals dat in het hoofdgeding, de openbare ruimte bestrijkt – zelfs gedeeltelijk – en hierdoor buiten de privésfeer geraakt van degene die door middel van dit systeem gegevens verwerkt, kan het niet worden beschouwd als een activiteit die met uitsluitend „persoonlijke of huishoudelijke doeleinden” wordt verricht in de zin van artikel 3, lid 2, tweede streepje, van richtlijn 95/46.
Tegelijkertijd is het bij de toepassing van de bepalingen van deze richtlijn, overeenkomstig in het bijzonder de artikelen 7, sub f, 11, lid 2 en 13, lid 1, sub d en g, in voorkomend geval mogelijk rekening te houden met de gerechtvaardigde belangen van de verantwoordelijke voor de verwerking, die, zoals in het hoofdgeding, met name de bescherming van de eigendom, de gezondheid en het leven van de verantwoordelijke en zijn familie betreffen.
Op de gestelde vraag dient derhalve te worden geantwoord, dat artikel 3, lid 2, derde streepje, van richtlijn 95/46 aldus moet worden uitgelegd dat het gebruik van een camerasysteem, dat door een natuurlijke persoon aan zijn gezinswoning werd bevestigd met als doel de eigendom, de veiligheid en het leven van de eigenaren van het huis te beschermen, maar ook de openbare ruimte in beeld brengt, en waarbij video-opnames van personen met behulp van opnameapparatuur doorlopend worden vastgelegd op bijvoorbeeld een harde schijf, in de zin van die bepaling niet wordt aangemerkt als de verwerking van persoonsgegevens die in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.
Kosten
Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale rechterlijke instantie over de kosten heeft te beslissen.
De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Vierde kamer) verklaart voor recht:
Artikel 3, lid 2, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995
betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens
moet aldus worden uitgelegd dat het gebruik van een camerasysteem,
dat door een natuurlijke persoon aan zijn gezinswoning werd bevestigd met als doel de eigendom, de veiligheid en het leven van de eigenaren van het huis te beschermen,
maar ook de openbare ruimte in beeld brengt,
en waarbij video-opnames van personen met behulp van opnameapparatuur doorlopend worden vastgelegd op bijvoorbeeld een harde schijf,
in de zin van die bepaling niet wordt aangemerkt als de verwerking van persoonsgegevens die in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.
ondertekeningen