Przetwarzanie danych osobowych w sposób zautomatyzowany
System monitoringu wideo w częściach wspólnych budynku mieszkalnego, zainstalowany w celu zapewnienia bezpieczeństwa i ochrony osób oraz mienia, budzi kontrowersje w kontekście przetwarzania danych osobowych. Sprawa dotyczy interpretacji przepisów dotyczących legalności takiego systemu monitoringu bez zgody osób, których dane dotyczą. Trybunał Europejski analizuje kryteria uzasadnionego interesu, konieczności przetwarzania danych oraz priorytetu praw podstawowych osób objętych ochroną danych.
Tematyka: przetwarzanie danych osobowych, system monitoringu wideo, uzasadniony interes, konieczność przetwarzania danych, ochrona danych osobowych, Trybunał Europejski, wyrok TS, RODO
System monitoringu wideo w częściach wspólnych budynku mieszkalnego, zainstalowany w celu zapewnienia bezpieczeństwa i ochrony osób oraz mienia, budzi kontrowersje w kontekście przetwarzania danych osobowych. Sprawa dotyczy interpretacji przepisów dotyczących legalności takiego systemu monitoringu bez zgody osób, których dane dotyczą. Trybunał Europejski analizuje kryteria uzasadnionego interesu, konieczności przetwarzania danych oraz priorytetu praw podstawowych osób objętych ochroną danych.
System monitoringu wideo w częściach wspólnych budynku mieszkalnego – zainstalowany w celu realizacji uzasadnionych interesów polegających na zapewnieniu bezpieczeństwa oraz ochrony osób i mienia – jest, co do zasady dopuszczalny, nawet bez zgody osób, których dane dotyczą. Stan faktyczny T.K. zajmuje mieszkanie, którego jest właścicielem, znajdujące się w budynku M5A. Na wniosek niektórych współwłaścicieli tego budynku stowarzyszenie współwłaścicieli budynku M5A, klatka schodowa A (dalej jako: stowarzyszenie współwłaścicieli), przyjęło na walnym zgromadzeniu, które odbyło się w 2016 r., decyzję zatwierdzającą instalację kamer monitorujących w tym budynku. W wykonaniu tej decyzji zainstalowano trzy kamery monitorujące w częściach wspólnych budynku M5A. Pierwsza kamera skierowana była na fasadę budynku, natomiast druga i trzecia kamera zostały zainstalowane, odpowiednio, w holu wejściowym na parterze i w windzie budynku. T.K. sprzeciwił się instalacji tego systemu monitoringu z powodu naruszenia prawa do poszanowania życia prywatnego. Pytanie prejudycjalne Czy art. 6 ust. 1 lit. c) i art. 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z 24.10.1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.Urz. L z 1995 r. Nr 281, s. 31) w zw. z art. 7 i 8 KPP należy interpretować w ten sposób, iż stoją one na przeszkodzie przepisom krajowym, które zezwalają na zainstalowanie systemu monitoringu wideo, takiego jak system będący przedmiotem postępowania głównego, w częściach wspólnych budynku mieszkalnego w celu realizacji uzasadnionych interesów polegających na zapewnieniu bezpieczeństwa oraz ochrony osób i mienia, bez zgody osób, których dane dotyczą? Stanowisko TS Trybunał przypomniał, że nadzór polegający na rejestracji obrazu osób przechowywanego na sprzęcie nagrywającym w sposób ciągły, a mianowicie na twardym dysku, stanowi na podstawie art. 3 ust. 1 dyrektywy 95/46 zautomatyzowane przetwarzanie danych osobowych (wyrok Ryneš, C-212/13, pkt 25). W związku z tym system monitoringu wideo przy użyciu kamery należy uznać za przetwarzanie danych osobowych w sposób zautomatyzowany w rozumieniu tego przepisu, jeśli ustanowiony system umożliwia rejestrowanie i przechowywanie danych osobowych, takich jak obrazy umożliwiające identyfikację osób fizycznych. Trybunał wskazał, że do sądu odsyłającego należy ustalenie, czy rozpatrywany w postępowaniu głównym system posiada takie cechy. W art. 7 dyrektywy 95/46 przewidziano zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za legalne. Państwa członkowskie nie mogą dodawać nowych kryteriów legalności przetwarzania danych osobowych ani też ustanawiać dodatkowych wymogów, które doprowadziłyby do modyfikacji zakresu jednego z sześciu kryteriów przewidzianych we wspomnianym artykule (wyrok Breyer, C-582/14, pkt 57). Trybunał wskazał, ze w niniejszej sprawie zastosowanie będzie miał art. 7 lit. f) dyrektywy 95/46. W przepisie tym określono trzy kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie, po pierwsze, realizację uzasadnionych interesów przez administratora danych lub osobę trzecią lub osoby trzecie, którym dane są ujawniane, po drugie, konieczność przetwarzania danych osobowych dla potrzeb wynikających z uzasadnionych interesów, oraz po trzecie, przesłankę, aby podstawowe prawa i wolności osoby objętej ochroną danych nie miały pierwszeństwa przed celami wynikającymi z uzasadnionych interesów (wyrok Rīgas satiksme, C- 13/16, pkt 28). W ocenie TS art. 7 lit. f) dyrektywy 95/46 nie wymaga zgody osoby, której dane dotyczą. Trybunał stwierdził, że w niniejszym przypadku cel, do którego osiągnięcia zmierza administrator danych w przypadku instalacji rozpatrywanego systemu monitoringu wideo, a mianowicie ochrona majątku, zdrowia i życia współwłaścicieli budynku mieszkalnego, może zostać uznany za „uzasadniony interes” w rozumieniu art. 7 lit. f) dyrektywy 95/46. W ocenie TS pierwsza z ustanowionych w tym przepisie przesłanek wydaje się zatem co do zasady spełniona (wyrok Ryneš, C-212/13, pkt 34). Sąd odsyłający rozważał jednak, czy pierwszą z przesłanek przewidzianych w art. 7 lit. f) należy rozumieć w ten sposób, że uzasadnione interesy administratora danych w postępowaniu głównym powinny być, po pierwsze, „wykazane”, oraz po drugie, „istniejące i rzeczywiste w chwili przetwarzania”. Trybunał podzielił stanowisko rządów rumuńskiego, czeskiego, irlandzkiego, austriackiego, portugalskiego oraz Komisji, że ze względu na to, iż zgodnie z art. 7 lit. f) dyrektywy 95/46 administrator danych osobowych lub osoba trzecia, którym dane są ujawniane, mają uzasadnione interesy w ich przetwarzaniu, interesy te powinny być istniejące i rzeczywiste w chwili przetwarzania i nie mieć hipotetycznego charakteru. Jednakże zdaniem TS nie można wymagać przy ocenie całokształtu okoliczności danego przypadku, żeby naruszone zostało bezpieczeństwo mienia i osób w przeszłości. W niniejszej sprawie przesłanka dotycząca istniejącego i rzeczywistego interesu wydaje się być spełniona, ponieważ sąd odsyłający wskazuje, że kradzieże, włamania i akty wandalizmu miały miejsce przed zainstalowaniem systemu monitoringu wideo, i to mimo zainstalowania przy wejściu do budynku systemu bezpieczeństwa składającego się z domofonu i Karty magnetycznej. W odniesieniu do drugiej przesłanki ustanowionej w art. 7 lit. f) dyrektywy 95/46, zgodnie z którą przetwarzanie danych osobowych musi być konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów, TS wskazał, że sąd odsyłający powinien sprawdzić, czy uzasadnione interesy przetwarzania danych w ramach systemu monitoringu wideo będącego przedmiotem postępowania głównego, które polegają w istocie na zapewnieniu bezpieczeństwa mienia i osób oraz zapobieganiu popełnianiu przestępstw, nie mogą zostać zrealizowane w sposób równie skuteczny za pomocą innych środków, w mniejszym stopniu naruszających wolności i praw podstawowych osób, których dane dotyczą, w szczególności prawa do poszanowania życia prywatnego i ochrony danych osobowych zagwarantowanych w art. 7 i 8 KPP. Ponadto, analizowaną przesłankę należy zbadać łącznie z zasadą tzw. minimalizacji danych, ustanowioną w art. 6 ust. 1 lit. c) dyrektywy 95/46, zgodnie z którą dane osobowe muszą być „prawidłowe, stosowne oraz nienadmierne w stosunku do celów, dla których są gromadzone lub dalej przetwarzane”. Zdaniem TS wymogi dotyczące proporcjonalności przetwarzania danych będących przedmiotem postępowania głównego zostały uwzględnione. Bezsporne jest bowiem, że alternatywne środki w postaci zainstalowanego przy wejściu do budynku systemu bezpieczeństwa składającego się z domofonu i Karty magnetycznej zostały pierwotnie podjęte, jednak okazały się niewystarczające. Ponadto, rozpatrywany system monitoringu wideo ograniczał się do wspólnych części budynku stanowiącego współwłasność oraz dróg dojazdowych do niego. Jednakże proporcjonalność przetwarzania danych poprzez zainstalowanie systemu monitoringu wideo należy, zdaniem TS, oceniać z uwzględnieniem szczególnych warunków zainstalowania i funkcjonowania tego systemu, w ramach którego wpływ na prawa i wolności osób, których dane dotyczą, powinien być ograniczony, przy jednoczesnym zapewnieniu skuteczności rozpatrywanego systemu monitoringu wideo. W związku z tym, jak twierdzi Komisja, przesłanka, aby przetwarzanie było konieczne, oznacza, że administrator danych powinien zbadać, przykładowo, czy jest wystarczające, aby system monitoringu wideo działał tylko w nocy lub poza zwykłymi godzinami pracy, oraz zablokować dostęp do tych obrazów lub utajnić je w strefach, w których monitoring nie jest konieczny. Trzecia przesłanka ustanowiona w art. 7 lit. f) dyrektywy 95/46 dotyczy praw podstawowych osoby, której dotyczy ochrona danych, które powinny mieć pierwszeństwo przed uzasadnionymi interesami administratora danych lub osób trzecich, którym dane są ujawniane. Trybunał przypomniał, że ocena tej przesłanki wymaga dokonania wyważenia przeciwstawnych sobie praw i interesów, zależących zasadniczo od konkretnych okoliczności danego przypadku, w ramach którego należy uwzględnić wynikające z art. 7 i 8 KPP znaczenie praw osoby, której dotyczą dane. W tym kontekście Trybunał uznał, że art. 7 lit. f) dyrektywy 95/46 stoi na przeszkodzie temu, aby państwo członkowskie wykluczyło w sposób kategoryczny i ogólny w odniesieniu do określonych kategorii danych osobowych możliwość ich przetwarzania, nie dopuszczając do ważenia przeciwstawnych praw i interesów występujących w indywidualnym przypadku. Państwo członkowskie nie może zatem określić w stosunku do tych kategorii w sposób ostateczny rezultatu ważenia przeciwstawnych praw i interesów, nie dopuszczając możliwości innego rezultatu ważenia, będącego wynikiem szczególnych okoliczności konkretnego przypadku (wyrok Breyer, C-582/14, pkt 62). Reasumując TS orzekł, że art. 6 ust. 1 lit. c) i art. 7 lit. f) dyrektywy 95/46 w zw. z art. 7 i 8 KPP należy interpretować w ten sposób, iż nie stoją one na przeszkodzie przepisom krajowym, które zezwalają na zainstalowanie systemu monitoringu wideo, takiego jak system będący przedmiotem postępowania głównego, w częściach wspólnych budynku mieszkalnego w celu realizacji uzasadnionych interesów polegających na zapewnieniu bezpieczeństwa oraz ochrony osób i mienia, bez zgody osób, których dane dotyczą, jeżeli przetwarzanie danych osobowych przy użyciu rozpatrywanego systemu monitoringu wideo spełnia przesłanki określone w art. 7 lit. f), co powinien zweryfikować sąd odsyłający. Ze względu na termin wystąpienia okoliczności faktycznych w niniejszej sprawie spór w postępowaniu głównym podlega przepisom dyrektywy 95/46, jednakże stanowisko Trybunału zaprezentowane w tym wyroku pozostaje aktualne również obecnie, w czasie obowiązywania w tym zakresie przepisów RODO. W niniejszym wyroku Trybunał przedstawił interesującą i szczegółową analizę kryterium legalności przetwarzania danych osobowych, o którym mowa w art. 7 lit. f) dyrektywy 95/46, a precyzyjnie trzech określonych w tym przepisie kumulatywnych przesłanek legalności przetwarzania danych osobowych. Wyrok TS z 11.12.2019 r., Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18
Trybunał Europejski w wyroku z 11.12.2019 r. wskazał, że przepisy dotyczące przetwarzania danych osobowych w systemie monitoringu wideo nie stoją na przeszkodzie zainstalowaniu takiego systemu w częściach wspólnych budynku mieszkalnego, jeśli spełnione są określone przesłanki legalności. Rozważania dotyczące uzasadnionego interesu, konieczności przetwarzania danych oraz priorytetu praw osobowych są kluczowe w kontekście oceny legalności systemów monitoringu.