Motywy wyroku
Sentencja
Strony
W sprawie C‑101/01
mającej za przedmiot skierowany do Trybunału, na podstawie art. 234 WE, przez Göta hovrätt (Szwecja) wniosek o wydanie, w ramach toczącego się przed tym sądem postępowania karnego przeciwko
Bodil Lindqvist ,
orzeczenia w trybie prejudycjalnym, w szczególności w przedmiocie wykładni dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31),
TRYBUNAŁ,
w składzie: P. Jann, prezes pierwszej izby, pełniący obowiązki prezesa, C.W.A. Timmermans, C. Gulmann, J.N. Cunha Rodrigues i A. Rosas, prezesi izb, D.A.O. Edward (sprawozdawca) i J.P. Puissochet, F. Macken i S. von Bahr, sędziowie,
rzecznik generalny: A. Tizzano,
sekretarz: H. von Holstein, zastępca sekretarza,
rozważywszy uwagi na piśmie przedstawione:
po wysłuchaniu uwag ustnych B. Lindqvist, reprezentowanej przez S. Larssona, rządu szwedzkiego, reprezentowanego przez A. Krusego oraz B. Hernqvist, działającą w charakterze pełnomocnika, rządu niderlandzkiego, reprezentowanego przez J. van Bakel, działającą w charakterze pełnomocnika, rządu Zjednoczonego Królestwa, reprezentowanego przez J. Stratford, Komisji, reprezentowanej przez L. Ström oraz C. Dockseya, działającego w charakterze pełnomocnika, oraz Urzędu Nadzoru EFTA, reprezentowanego przez D. Sif Tynes, działającą w charakterze pełnomocnika, na rozprawie w dniu 30 kwietnia 2002 r.,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 19 września 2002 r.,
wydaje następujący
1Postanowieniem z dnia 23 lutego 2001 r., które wpłynęło do Trybunału w dniu 1 marca 2001 r., Göta hovrätt przedstawił, na podstawie art. 234 WE, siedem pytań prejudycjalnych dotyczących w szczególności wykładni dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31).
2Pytania te zostały sformułowane w ramach postępowania karnego toczącego się przed tym sądem przeciwko B. Lindqvist, oskarżonej o naruszenie przepisów prawa szwedzkiego dotyczących ochrony danych osobowych przez opublikowanie na swojej stronie internetowej danych osobowych dotyczących pewnej liczby osób, które podobnie jak ona świadczyły nieodpłatnie pracę na rzecz jednej z parafii kościoła protestanckiego w Szwecji.
3Zgodnie ze swym art. 1 ust. 1 dyrektywa 95/46 ma na celu ochronę podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych.
4Artykuł 3 dyrektywy 95/46 dotyczący zakresu jej stosowania stanowi:
„1. Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
5Artykuł 8 dyrektywy 95/46 zatytułowany „Przetwarzanie szczególnych kategorii danych” stanowi:
„1. Państwa członkowskie zabraniają przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzanie danych dotyczących zdrowia i życia seksualnego.
2Ustęp 1 nie ma zastosowania, w przypadku gdy:
a) osoba, której dane dotyczą, udzieliła wyraźnej zgody na ich przetwarzanie, chyba że ustawodawstwo państwa członkowskiego przewiduje, że zakaz określony w ust. 1 nie może być uchylony mimo udzielonej zgody przez osobę, której dane dotyczą; lub
b) przetwarzanie danych jest konieczne do wypełniania obowiązków i szczególnych uprawnień administratora danych w dziedzinie prawa pracy, o ile jest to dozwolone przez prawo krajowe przewidujące odpowiednie środki zabezpieczające; lub
c) przetwarzanie danych jest konieczne dla ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, w przypadku gdy osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do udzielenia zgody; lub
d) przetwarzanie danych jest dokonywane w ramach legalnej działalności wspartej odpowiednimi gwarancjami przez fundację, stowarzyszenie lub inną instytucję nienastawioną na osiąganie zysku, której cele mają charakter polityczny, filozoficzny, religijny lub związkowy, pod warunkiem że przetwarzanie danych odnosi się wyłącznie do członków tej instytucji lub osób mających z nią regularny kontakt w związku z jej celami oraz że dane nie zostaną ujawnione osobie trzeciej bez zgody osób, których dane dotyczą; lub
e) przetwarzanie dotyczy danych, które [w sposób oczywisty] są podawane do wiadomości publicznej przez osobę, której dane dotyczą, lub jest konieczne do ustalenia, wykonania lub ochrony roszczeń prawnych.
3Ustęp 1 nie ma zastosowania, w przypadku gdy przetwarzanie danych wymagane jest do celów medycyny prewencyjnej, diagnostyki medycznej, świadczenia opieki lub leczenia, lub też zarządzania opieką zdrowotną, jak również w przypadkach gdy dane są przetwarzane przez pracownika służby zdrowia [podlegającego] zgodnie z przepisami prawa krajowego lub zasadami określonymi przez właściwe krajowe instytucje […] obowiązkowi zachowania tajemnicy zawodowej lub przez inną osobę również zobowiązaną do zachowania tajemnicy.
4Pod warunkiem ustanowienia odpowiednich środków zabezpieczających państwa członkowskie mogą ze względu na istotny interes publiczny ustalić dodatkowe wyłączenia poza tymi, które zostały przewidziane w ust. 2, na mocy ustawy krajowej lub decyzji organu nadzorczego.
5Przetwarzanie danych dotyczących przestępstw, wyroków skazujących lub środków bezpieczeństwa może być dokonywane jedynie pod kontrolą władz publicznych lub też, jeżeli zgodnie z prawem krajowym ustanowiono określone środki zabezpieczające, z zachowaniem odstępstw, które państwo członkowskie może udzielić zgodnie z obowiązującymi przepisami prawa krajowego, zapewniając zachowanie odpowiednich zabezpieczeń. Jednak kompletny rejestr przestępstw kryminalnych może być prowadzony tylko pod kontrolą władzy publicznej.
Państwa członkowskie mogą ustanowić przepisy zobowiązujące oficjalny organ do sprawowania kontroli nad przetwarzaniem danych dotyczących sankcji administracyjnych lub orzeczeń w sprawach cywilnych.
6Odstępstwa od ust. 1 przewidziane w ust. 4 i 5 są notyfikowane Komisji.
7Państwa członkowskie określą warunki, w których może następować przetwarzanie krajowego numeru identyfikacyjnego lub innego identyfikatora ogólnego stosowania”.
6Artykuł 9 dyrektywy 95/46, zatytułowany „Przetwarzanie danych osobowych i wolność wypowiedzi”, stanowi:
„Państwa członkowskie wprowadzają możliwość wyłączenia lub odstąpienia od przepisów niniejszego rozdziału, rozdziałów IV i VI w przypadku przetwarzania danych osobowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego jedynie wówczas, gdy jest to konieczne dla pogodzenia prawa do zachowania prywatności z przepisami dotyczącymi wolności wypowiedzi”.
7Artykuł 13 dyrektywy 95/46, zatytułowany „Zwolnienia i ograniczenia”, przewiduje, że państwa członkowskie mogą przyjąć środki ustawodawcze w celu ograniczenia zakresu obowiązków ustanowionych przez dyrektywę i ciążących na administratorze danych odpowiedzialnym za ich przetwarzanie, w szczególności w zakresie poinformowania osób zainteresowanych w zakresie, w jakim te ograniczenia stanowią środek konieczny dla zabezpieczenia na przykład bezpieczeństwa narodowego, obronności, bezpieczeństwa publicznego, ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub Unii Europejskiej oraz prowadzonych czynności dochodzeniowo‑śledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie zasad etyki w zawodach podlegających regulacji.
8Artykuł 25 dyrektywy 95/46, który znajduje się w rozdziale IV, zatytułowanym „Przekazywanie danych osobowych do państw trzecich”, ma następujące brzmienie:
„1. Państwa członkowskie zapewniają, aby przekazywanie do państwa trzeciego danych osobowych poddawanych przetwarzaniu lub przeznaczonych do przetwarzania po ich przekazaniu mogło nastąpić tylko wówczas, gdy niezależnie od [z zastrzeżeniem] zgodności z krajowymi przepisami przyjętymi na podstawie innych przepisów niniejszej dyrektywy dane państwo trzecie zapewni odpowiedni stopień ochrony.
2Odpowiedni stopień ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazania danych lub zbioru takich operacji; szczególną uwagę zwracać się będzie na charakter danych, cel i czas trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia, przepisy prawa, zarówno ogólne, jak i branżowe, obowiązujące w [danym] państwie trzecim oraz przepisy zawodowe i środki bezpieczeństwa stosowane w tym państwie.
3Państwa członkowskie i Komisja będą informować się wzajemnie o przypadkach, kiedy uznają, że państwo trzecie nie zapewnia odpowiedniego stopnia ochrony w znaczeniu ust. 2.
4Jeżeli Komisja stwierdzi, na podstawie procedury przewidzianej w art. 31 ust. 2, że państwo trzecie nie zapewnia odpowiedniego stopnia ochrony w znaczeniu ust. 2 niniejszego artykułu, państwa członkowskie podejmą konieczne środki, aby nie dopuścić do przekazania jakichkolwiek danych tego samego rodzaju do wspomnianego państwa trzeciego.
5We właściwym czasie Komisja przystąpi do negocjacji w celu zaradzenia sytuacji stwierdzonej na podstawie ust. 4.
6Komisja może stwierdzić, zgodnie z procedurą określoną w art. 31 ust. 2, że państwo trzecie zapewnia prawidłowy stopień ochrony w znaczeniu ust. 2 niniejszego artykułu, co wynika z jego prawa krajowego lub międzynarodowych zobowiązań, jakie państwo to przyjęło, szczególnie po zakończeniu negocjacji określonych w ust. 5, w zakresie ochrony życia prywatnego i podstawowych praw i wolności osób fizycznych.
Państwa członkowskie podejmują środki niezbędne w celu wykonania decyzji Komisji”.
9W chwili przyjęcia dyrektywy 95/46 Królestwo Szwecji złożyło do protokołu Rady oświadczenie dotyczące art. 9 dyrektywy (dokument Rady nr 4649/95 z dnia 2 lutego 1995 r.), które stanowi:
„Królestwo Szwecji stoi na stanowisku, że pojęcie wypowiedzi o charakterze artystycznym lub literackim odnosi się raczej do środków wyrazu aniżeli do treści komunikatu lub jego jakości”.
10Europejska Konwencja o ochronie praw człowieka i podstawowych wolności, sporządzona w Rzymie w dniu 4 listopada 1950 r. (zwana dalej „EKPC”), ustanawia w art. 8 prawo do poszanowania życia prywatnego i rodzinnego, natomiast w art. 10 zawiera przepisy dotyczące wolności wypowiedzi.
11Dyrektywa 95/46 została transponowana do prawa szwedzkiego przez Personuppgiftslag (szwedzką ustawę o danych osobowych, SFS 1998, nr 204 zwaną dalej „PUL”).
12Oprócz tego, że B. Lindqvist była pracownikiem najemnym jako sprzątaczka, pełniła również funkcję katechetki w parafii Alseda (Szwecja). B. Lindqvist uczęszczała na kurs informatyczny, w ramach którego miała w szczególności stworzyć stronę domową w Internecie. Pod koniec 1998 r. utworzyła ona w domu, na swoim osobistym komputerze, strony internetowe mające ułatwić uzyskanie potrzebnych informacji parafianom przygotowującym się do bierzmowania. Na jej wniosek administrator strony Kościoła Szwecji utworzył linki pomiędzy utworzonymi przez nią stronami i stroną Kościoła.
13Utworzone przez nią strony zawierały informacje na temat jej osoby oraz na temat osiemnastu jej kolegów z parafii, obejmujące całe brzmienie ich nazwisk lub w niektórych przypadkach tylko ich imiona. Ponadto B. Lindqvist z pewną dozą humoru opisała funkcje pełnione przez jej kolegów oraz sposób spędzania przez nich wolnego czasu. W kilku przypadkach zamieściła informacje o ich sytuacji rodzinnej, numer telefonu i inne dane. Dodatkowo wskazała, że jedna z jej koleżanek doznała urazu stopy i w związku z tym przebywała na zwolnieniu lekarskim w niepełnym wymiarze.
14B. Lindqvist nie poinformowała tych osób o istnieniu rzeczonych stron ani nie uzyskała uprzednio ich zgody na opublikowanie danych, ani też nie zgłosiła swoich działań do Datainspektion (instytucji publicznej zajmującej się ochroną danych przekazywanych drogą informatyczną). Gdy tylko dowiedziała się, że niektóre osoby były z tego faktu niezadowolone, usunęła wspomniane strony internetowe.
15Prokurator wszczął przeciwko B. Lindqvist postępowanie o naruszenie PUL i domagał się jej skazania na tej podstawie, że:
16B. Lindqvist przyznała się do popełnienia zarzucanych jej czynów, ale nie przyznała się do popełnienia przestępstwa. Skazana przez Eksjö tingsrätt (Szwecja) na karę grzywny wniosła apelację od tego wyroku do Göta hovrätt.
17Nałożona na nią grzywna wynosiła 4000 SEK, co wynika z zastosowania do kwoty 100 SEK, przyjętej w odniesieniu do możliwości płatniczych B. Lindqvist, mnożnika 40 ustalonego w odniesieniu do wagi przestępstwa. B. Lindqvist została ponadto zobowiązana do zapłaty 300 SEK na szwedzki fundusz pomocy ofiarom przestępstw.
18Powziąwszy wątpliwości w zakresie wykładni prawa wspólnotowego mającego w tej sprawie zastosowanie, a w szczególności dyrektywy 95/46, Göta hovrätt postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy zamieszczenie danych osoby – jej nazwiska lub jej nazwiska i numeru telefonu – na stronie internetowej jest operacją wchodzącą w zakres stosowania dyrektywy [95/46]? Czy fakt wymienienia na utworzonej przez siebie stronie internetowej pewnej liczby osób oraz zamieszczenia informacji i oświadczeń dotyczących warunków pracy oraz sposobów spędzania wolnego czasu przez te osoby stanowi »przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany«?
2) W przypadku udzielenia na powyższe pytanie odpowiedzi przeczącej – czy fakt stworzenia na stronie głównej podstron dotyczących konkretnie około piętnastu osób z linkami pomiędzy stronami, które pozwalają na poszukiwanie za pomocą imion, może zostać uznany za »inne przetwarzanie danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych« w rozumieniu art. 3 ust. 1? Jeżeli odpowiedź na jedno z powyższych pytań jest twierdząca, Göta hovrätt zwraca się ponadto z następującymi pytaniami:
3) Czy fakt zamieszczenia tego typu danych dotyczących kolegów z pracy na prywatnej stronie internetowej, która jest jednak dostępna dla wszystkich, którzy znają adres tej strony, może zostać uznany za niepodlegający zakresowi stosowania dyrektywy [95/46] na mocy jednego z wyłączeń wymienionych w art. 3 ust. 2?
4) Czy zamieszczona na stronie internetowej informacja, że jedna z koleżanek z pracy, wymieniona z nazwiska, doznała urazu stopy i przebywa na zwolnieniu lekarskim w niepełnym wymiarze, stanowi dane osobowe dotyczące zdrowia, które na podstawie art. 8 ust. 1 nie mogą być przetwarzane?
5) Przekazywanie danych osobowych do państw trzecich jest w niektórych przypadkach zakazane na podstawie przepisów dyrektywy [95/46]. Czy fakt zamieszczenia na stronie internetowej przez daną osobę, za pomocą komputera w Szwecji, danych osobowych, które są przechowywane na serwerze w Szwecji, ale w taki sposób, że te dane osobowe stają się dostępne obywatelom państw trzecich, stanowi przekazywanie danych osobowych do państw trzecich w rozumieniu dyrektywy [95/46]? Czy odpowiedź będzie taka sama, jeżeli według posiadanych przez nas informacji żaden obywatel państwa trzeciego nie zapoznał się z tymi danymi lub jeżeli określony serwer fizycznie znajduje się w państwie trzecim?
6) Czy w takim przypadku jak niniejszy można uznać, że przepisy dyrektywy [95/46] wprowadzają ograniczenie niezgodne z ogólnymi zasadami swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w ramach Unii Europejskiej, które odpowiadają w szczególności art. 10 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności? Wreszcie Göta hovrätt formułuje następujące pytanie:
7) Czy w dziedzinach objętych powyższymi pytaniami państwo członkowskie może rozszerzyć ochronę danych osobowych lub zakres stosowania wynikający z dyrektywy [95/46] również wówczas, gdy nie wchodzi w grę ochrona jednego z interesów wymienionych w art. 13?”.
19W pytaniu pierwszym sąd krajowy dąży do ustalenia, czy operacja polegająca na zamieszczeniu na stronie internetowej danych różnych osób pozwalających je zidentyfikować za pomocą nazwiska albo innych środków, np. numeru telefonu lub informacji dotyczących ich warunków pracy i sposobów spędzania wolnego czasu, stanowi „przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany” w rozumieniu art. 3 ust. 1 dyrektywy 95/46.
20Według B. Lindqvist nie można uznać za zasadne twierdzenia, że zwykłe wymienienie nazwiska osoby lub danych osobowych w tekście zamieszczonym na stronie internetowej stanowi zautomatyzowane przetwarzanie danych osobowych. Natomiast zamieszczenie takich danych w słowach kluczowych ukrytych w tagach („meta tags”) strony internetowej, które pozwalają na ich indeksowanie i znalezienie tej strony przy użyciu wyszukiwarki, mogłoby stanowić takie przetwarzanie.
21Rząd szwedzki utrzymuje, że pojęcie przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany, o którym mowa w art. 3 ust. 1 dyrektywy 95/46, obejmuje wszelkie przetwarzanie w formacie informatycznym, tzn. w dwójkowym systemie liczbowym. Wobec powyższego przetwarzanie jakichkolwiek danych osobowych za pomocą komputera, na przykład przy użyciu edytora tekstu lub w celu zamieszczenia ich na stronie internetowej, jest przetwarzaniem objętym zakresem stosowania dyrektywy 95/46.
22Rząd niderlandzki podnosi, że zamieszczenia danych osobowych na stronie internetowej dokonuje się przy użyciu komputera i serwera, co stanowi istotną cechę automatyzacji, w związku z czym należałoby przyjąć, że dane te są przetwarzane w sposób zautomatyzowany.
23Komisja podnosi, że dyrektywa 95/46 ma zastosowanie do każdego przetwarzania danych osobowych określonego w jej art. 3, niezależnie od zastosowanych środków technicznych. Udostępnienie danych osobowych w Internecie stanowi w konsekwencji przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany, pod warunkiem że nie istnieją ograniczenia techniczne, które ograniczają przetwarzanie do operacji wykonywanych wyłącznie ręcznie. Strona internetowa jest tym samym już ze swej natury objęta zakresem stosowania dyrektywy 95/46.
24Termin „dane osobowe” użyty w art. 3 ust. 1 dyrektywy 95/46 obejmuje, zgodnie z definicją zawartą w art. 2 lit. a) tej dyrektywy, „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej”. Pojęcie to odnosi się bez wątpienia do nazwiska osoby w połączeniu z jej numerem telefonu lub informacjami dotyczącymi jej warunków pracy czy sposobów spędzania przez nią wolnego czasu.
25Co się tyczy terminu „przetwarzanie” takich danych użytego w art. 3 ust. 1 dyrektywy 95/46, oznacza ono, zgodnie z definicją zawartą w art. 2 lit. b) dyrektywy, „każdą operację lub zestaw operacji dokonywanych na danych osobowych przy pomocy środków zautomatyzowanych lub innych”. Ten ostatni przepis wymienia kilka przykładów takich operacji, a wśród nich ujawnianie poprzez transmisję i rozpowszechnianie lub udostępnianie w inny sposób. Z powyższego wynika, że operację polegającą na zamieszczeniu danych osobowych na stronie internetowej należy uznać za takie przetwarzanie.
26Pozostaje ustalić, czy to przetwarzanie odbywa się „w całości lub w części w sposób zautomatyzowany”. W tym zakresie należy zauważyć, że zamieszczenie tych informacji na stronie internetowej wymaga, według aktualnie stosowanych procedur technicznych i informatycznych, załadowania tej strony na serwer oraz przeprowadzenia niezbędnych operacji, które uczynią tę stronę dostępną dla osób, które mają połączenie z Internetem. Operacje te są realizowane, przynajmniej częściowo, w sposób zautomatyzowany.
27Na pytanie pierwsze należy więc odpowiedzieć, że operacja polegająca na zamieszczeniu na stronie internetowej danych różnych osób pozwalających je zidentyfikować za pomocą nazwiska albo innych środków, np. numeru telefonu lub informacji dotyczących ich warunków pracy i sposobów spędzania przez nie wolnego czasu stanowi „przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany” w rozumieniu art. 3 ust. 1 dyrektywy 95/46.
28Z uwagi na odpowiedź udzieloną na pytanie pierwsze nie ma potrzeby udzielania odpowiedzi na pytanie drugie, które zostało zadane na wypadek udzielenia odpowiedzi przeczącej na pytanie pierwsze.
29W trzecim pytaniu sąd krajowy zmierza zasadniczo do ustalenia, czy takie przetwarzanie danych osobowych jak to będące przedmiotem pierwszego pytania jest objęte jednym z wyłączeń określonych w art. 3 ust. 2 dyrektywy 95/46.
30B. Lindqvist podnosi, że osoba prywatna, która, korzystając ze swobody wypowiedzi, tworzy strony internetowe w ramach działalności niemającej celu zarobkowego lub w ramach swojego wolnego czasu, nie prowadzi działalności gospodarczej i nie podlega zakresowi stosowania prawa wspólnotowego. Gdyby Trybunał miał rozpoznawać sytuację przeciwną, w grę wchodziłaby kwestia ważności dyrektywy 95/46, ponieważ przyjmując tę dyrektywę prawodawca wspólnotowy przekroczyłby kompetencje przyznane mu przez art. 100A traktatu WE (obecnie, po zmianie, art. 95 WE). W rezultacie zbliżenie ustawodawstw, które ma na celu ustanowienie i funkcjonowanie rynku wewnętrznego, nie może służyć za podstawę prawną do przyjęcia środków wspólnotowych, które regulują prawo osób prywatnych do korzystania ze swobody wypowiedzi w Internecie.
31Rząd szwedzki podnosi, że przy transpozycji dyrektywy 95/46 do prawa krajowego ustawodawca szwedzki uznał, że przetwarzanie danych osobowych przez osobę fizyczną polegające na przekazywaniu tych danych nieograniczonej liczbie osób, na przykład za pomocą Internetu, nie może być uznane za przetwarzanie danych „w trakcie czynności o czysto osobistym lub domowym charakterze” w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46. Natomiast rząd ten nie wyklucza, że wyłączenie określone w tiret pierwsze tego ustępu dotyczy przypadków, w których osoba fizyczna publikuje dane osobowe na stronie internetowej wyłącznie w ramach korzystania ze swobody wypowiedzi i bez żadnego związku z prowadzoną działalnością zawodową lub handlową.
32Zdaniem rządu niderlandzkiego zautomatyzowane przetwarzanie danych osobowych, takie jak to rozpatrywane w postępowaniu przed sądem krajowym, nie podlega żadnemu z wyłączeń określonych w art. 3 ust. 2 dyrektywy 95/46. Co się tyczy w szczególności wyłączenia przewidzianego w art. 3 ust. 2 tiret drugie, rząd ten podnosi, że twórca strony internetowej udostępnia dane, które na niej zamieścił, grupie osób, która jest z zasady nieograniczona.
33Komisja podnosi, że strona internetowa, taka jak ta rozpatrywana w postępowaniu przed sądem krajowym, nie może być uznana za nieobjętą zakresem stosowania dyrektywy 95/46 na mocy art. 3 ust. 2 tej dyrektywy, natomiast stanowi, jeśli uwzględnić cel strony internetowej rozpatrywanej przed sądem krajowym, twórczość artystyczną i literacką w rozumieniu art. 9 tej dyrektywy.
34Komisja stoi na stanowisku, że można dokonać podwójnej wykładni art. 3 ust. 2 tiret pierwsze dyrektywy 95/46. Jedna wykładnia polegałaby na ograniczeniu zakresu tego przepisu do dziedzin wymienionych tytułem przykładu, a mianowicie działań objętych zasadniczo tym, co zwykło się nazywać drugim i trzecim filarem. Druga wykładnia polegałaby na wyłączeniu z zakresu stosowania dyrektywy 95/46 wykonywania wszelkiej działalności, która nie podlega prawu wspólnotowemu.
35Komisja twierdzi, że prawo wspólnotowe nie ogranicza się wyłącznie do działalności gospodarczej związanej z czterema podstawowymi swobodami. Odwołując się do podstawy prawnej dyrektywy 95/46, jej celu, art. 6 UE, Karty praw podstawowych Unii Europejskiej, proklamowanej w Nicei dnia 18 grudnia 2000 r. (Dz.U. C 364, s. 1), Konwencji Rady Europy z dnia 28 stycznia 1981 r. w sprawie ochrony jednostek w zakresie automatycznego przetwarzania danych, stwierdza, że celem tej dyrektywy jest uregulowanie swobodnego przepływu danych osobowych jako prowadzenia nie tylko działalności gospodarczej, ale również działalności o charakterze społecznym w ramach integracji i funkcjonowania rynku wewnętrznego.
36Dodaje, że wykluczenie w sposób ogólny z zakresu stosowania dyrektywy 95/46 stron internetowych, które nie zawierają żadnego elementu handlowego lub nie są związane ze świadczeniem usług, mogłoby pociągnąć za sobą poważne problemy związane z ich rozgraniczeniem. Duża liczba stron internetowych zawierających dane osobowe służące napiętnowaniu określonych osób w szczególnych celach zostałaby wykluczona z zakresu stosowania tej dyrektywy.
37Artykuł 3 ust. 2 dyrektywy 95/46 przewiduje dwa wyłączenia z zakresu jej stosowania.
38Pierwszy z tych przypadków dotyczy przetwarzania danych osobowych w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak na przykład dane, o których stanowią tytuły V i VI Traktatu o Unii Europejskiej, a w każdym razie w ramach działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz w ramach działalności państwa w obszarach prawa karnego.
39Zważywszy na to, że rozpatrywana przed sądem krajowym działalność B. Lindqvist nie jest działalnością gospodarczą, tylko niezarobkową i religijną, należy zbadać, czy stanowi ona przetwarzanie danych osobowych „w ramach działalności wykraczającej poza zakres prawa Wspólnoty” w rozumieniu art. 3 ust. 2 tiret pierwsze dyrektywy 95/46.
40Trybunał orzekł już w odniesieniu do dyrektywy 95/46, że odwołanie się do art. 100a traktatu jako podstawy prawnej nie zakłada istnienia faktycznego związku ze swobodnym przepływem między państwami członkowskimi w każdej z sytuacji przewidzianych przez akt oparty na takiej podstawie (zob. wyrok z dnia 20 maja 2003 r. w sprawach połączonych C‑465/00, C‑138/01 i C‑139/01 Österreichischer Rundfunk i in., dotychczas nieopublikowany w Zbiorze, pkt 41 i przytoczone tam orzecznictwo).
41Wykładnia przeciwna mogłaby bowiem spowodować, że granice zakresu stosowania tej dyrektywy staną się szczególnie niejednoznaczne i niepewne, co z kolei pozostawałoby w sprzeczności z jej podstawowym celem, jakim jest zbliżenie przepisów ustawowych, wykonawczych i administracyjnych państw członkowskich w celu wyeliminowania wynikających z rozbieżności między ustawodawstwami krajowymi przeszkód w funkcjonowaniu rynku wewnętrznego (ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 42).
42W takich okolicznościach niesłuszne byłoby przyjęcie takiej wykładni, zgodnie z którą wyrażenie „działalność wykraczająca poza zakres prawa Wspólnoty” miałoby zakres zmuszający do sprawdzenia w każdym przypadku, czy określona działalność narusza bezpośrednio swobodny przepływ między państwami członkowskimi.
43Rodzaje działalności wymienione tytułem przykładu w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 (a mianowicie rodzaje działalności, o których stanowią tytuły V i VI Traktatu o Unii Europejskiej, jak również przetwarzanie w ramach działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa oraz w ramach działalności państwa w obszarach prawa karnego) stanowią w każdym razie działania właściwe państwom i władzom państwowym, obce dziedzinom działalności jednostek.
44Należy więc stwierdzić, że rodzaje działalności wymienione tytułem przykładu w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 mają na celu określenie zakresu przewidzianego w nim wyłączenia w taki sposób, że to wyłączenie ma zastosowanie wyłącznie do takich działalności, które zostały w nim wyraźnie wymienione i które nie mogą być zaliczone do tego samego rodzaju (eiusdem generis).
45Działalność niezarobkowa lub religijna, taka jak prowadzona przez B. Lindqvist, nie może być traktowana na równi z rodzajami działalności wymienionymi w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 i nie jest zatem objęta tym wyłączeniem.
46Co się tyczy wyłączenia przewidzianego w art. 3 ust. 2 tiret drugie dyrektywy 95/46, motyw 12 tej dyrektywy, który odnosi się do tego wyłączenia, wskazuje korespondencję i przechowywanie spisów adresów jako przykłady przetwarzania danych przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze.
47Z powyższego wynika, że to drugie wyłączenie powinno być interpretowane jako obejmujące wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki, co w sposób oczywisty nie ma miejsca w przypadku przetwarzania danych osobowych polegającego na ich opublikowaniu w Internecie w taki sposób, że staną się one dostępne dla nieograniczonej liczby osób.
48Na pytanie trzecie należy zatem odpowiedzieć, że przetwarzanie danych osobowych takie jak określone w odpowiedzi na pierwsze pytanie nie jest objęte żadnym z wyłączeń określonych w art. 3 ust. 2 dyrektywy 95/46.
49W pytaniu czwartym sąd krajowy dąży do ustalenia, czy informacja, że dana osoba doznała urazu stopy i przebywa na zwolnieniu lekarskim w niepełnym wymiarze, stanowi dane osobowe dotyczące zdrowia w rozumieniu art. 8 ust. 1 dyrektywy 95/46.
50Zważywszy na przedmiot tej dyrektywy, należy dokonać wykładni rozszerzającej użytego w jej art. 8 ust. 1 wyrażenia „dane dotyczące zdrowia”, tak aby obejmowało ono informacje dotyczące wszystkich aspektów, zarówno fizycznych, jak i psychicznych, zdrowia osoby.
51Na pytanie czwarte należy zatem odpowiedzieć, że informacja, iż dana osoba doznała urazu stopy i przebywa na zwolnieniu lekarskim w niepełnym wymiarze, stanowi dane osobowe dotyczące zdrowia w rozumieniu art. 8 ust. 1 dyrektywy 95/46.
52W pytaniu piątym sąd krajowy zmierza zasadniczo do ustalenia, czy „przekazywanie da nych do państw trzecich” w rozumieniu art. 25 dyrektywy 95/46 ma miejsce, w przypadku gdy osoba, która znajduje się w danym państwie członkowskim, zamieszcza na stronie internetowej przechowywanej przez osobę fizyczną lub prawną będącą administratorem witryny internetowej, na której wspomniana strona może być odwiedzana (zwaną dalej „dostawcą usług hostingowych”) i mającą swoją siedzibę w tym samym państwie lub w innym państwie członkowskim dane osobowe, czyniąc je w ten sposób dostępnymi dla każdego, kto połączy się z Internetem, w tym również dla osób znajdujących się w państwach trzecich. Sąd krajowy pyta ponadto, czy odpowiedź będzie taka sama, jeżeli okaże się, że w rzeczywistości żaden obywatel państwa trzeciego nie zapoznał się z tymi danymi, lub jeżeli serwer, na którym przechowywana jest strona, znajduje się fizycznie w państwie trzecim.
53Komisja i rząd szwedzki stoją na stanowisku, że zamieszczenie danych osobowych na stronie internetowej za pomocą komputera w taki sposób, że stają się one dostępne dla obywateli państw trzecich, stanowi przekazywanie danych osobowych do państw trzecich w rozumieniu dyrektywy 95/46. Odpowiedź brzmiałaby identycznie również wówczas, gdyby w rzeczywistości żaden obywatel państwa trzeciego nie zapoznał się z tymi danymi lub gdyby serwer, na którym są one przechowywane, fizycznie znajdował się w państwie trzecim.
54Rząd niderlandzki przypomina, że pojęcie przekazywania nie zostało zdefiniowane w dyrektywie 95/46. Uważa on z jednej strony, że pojęcie to należy rozumieć w ten sposób, że obejmuje ono każde działanie mające na celu zamierzone przekazanie danych osobowych z terytorium jednego państwa członkowskiego do państwa trzeciego, a z drugiej strony, że nie można dokonać rozróżnienia pomiędzy różnymi formami, pod którymi dane te stają się dostępne dla osób trzecich. Wywodzi z tego, że zamieszczenie danych osobowych na stronie internetowej za pomocą komputera nie może zostać uznane za przekazywanie danych osobowych do państwa trzeciego w rozumieniu art. 25 dyrektywy 95/46.
55Rząd Zjednoczonego Królestwa podnosi, że art. 25 dyrektywy 95/46 dotyczy przekazywania danych do państw trzecich, a nie ich dostępności z państw trzecich. Pojęcie przekazywania wymaga jego zdaniem przekazania danych przez osobę znajdującą się w konkretnym miejscu osobie trzeciej znajdującej się w innym miejscu. Tylko w przypadku takiego przekazywania art. 25 dyrektywy 95/46 nakłada na państwa członkowskie obowiązek upewnienia się, że dane państwo trzecie zapewnia odpowiedni stopień ochrony danych osobowych.
56Dyrektywa 95/46 nie definiuje pojęcia przekazywania danych do państw trzecich ani w art. 25, ani w żadnym innym przepisie, a w szczególności nie w art. 2.
57W celu ustalenia, czy zamieszczenie na stronie internetowej danych osobowych stanowi przez sam fakt ich udostępnienia osobom znajdującym się w państwach trzecich „przekazywanie” tych danych do państwa trzeciego w rozumieniu art. 25 dyrektywy 95/46, konieczne jest uwzględnienie z jednej strony technicznego charakteru wykonanych operacji i z drugiej strony celu oraz systematyki rozdziału IV wspomnianej dyrektywy, w którym zawarty jest art. 25.
58Do zamieszczonych w Internecie informacji dostęp może mieć, praktycznie w każdej chwili, nieograniczona liczba osób zamieszkałych w różnych miejscach. Wszechobecność tych informacji wynika w szczególności z faktu, że wykorzystywane w ramach Internetu środki techniczne są stosunkowo proste i coraz mniej kosztowne.
59Zgodnie z różnymi możliwościami korzystania z Internetu, które w latach 90. stały się dostępne dla osób prywatnych takich jak B. Lindqvist, autor strony, która ma być opublikowana w Internecie, przekazuje dane stanowiące tę stronę swojemu dostawcy usług hostingowych. Dostawca zarządza konieczną infrastrukturą informatyczną, mającą zapewnić przechowywanie tych danych i podłączenie serwera, na którym przechowywana jest strona internetowa. Umożliwia to późniejsze przekazywanie tych danych każdemu, kto połączy się z Internetem i będzie chciał je otrzymać. Komputery, które stanowią tę infrastrukturę informatyczną, mogą znajdować się – a wręcz często znajdują się – w państwie lub w kilku państwach, które nie są miejscem prowadzenia działalności gospodarczej przez dostawcę usług hostingowych, przy czym jego klienci o tym nie wiedzą lub często nie mają możliwości się o tym dowiedzieć.
60Z akt sprawy wynika, że aby uzyskać informacje zawarte na stronach internetowych, na których B. Lindqvist zamieściła dane dotyczące jej kolegów, użytkownik Internetu musi nie tylko połączyć się z siecią, ale również wykonać osobiście określone czynności, konieczne, aby zapoznać się z tymi stronami. Innymi słowy, strony internetowe B. Lindqvist nie były wyposażone w mechanizmy techniczne umożliwiające automatyczne przesyłanie tych informacji osobom, które nie starały się świadomie do tych stron dotrzeć i je otworzyć.
61Z powyższego wynika, że w sytuacji takiej jak ta w postępowaniu przed sądem krajowym dane osobowe, które dochodzą do komputera osoby znajdującej się w państwie trzecim i pochodzą od osoby, która je zamieściła na stronie internetowej, nie zostały przekazane bezpośrednio pomiędzy tymi dwiema osobami, ale za pośrednictwem infrastruktury informatycznej dostawcy usług hostingowych, gdzie strona ta jest przechowywana.
62To właśnie w tym kontekście należy zbadać, czy prawodawca wspólnotowy miał zamiar, dla celów stosowania rozdziału IV dyrektywy 95/46, objąć pojęciem przekazywania danych do państw trzecich w rozumieniu art. 25 tej dyrektywy operacje takie jak te przeprowadzone przez B. Lindqvist. Należy podkreślić, że piąte pytanie sądu krajowego dotyczy wyłącznie tych operacji, z wyłączeniem operacji wykonywanych przez dostawców usług hostingowych.
63Rozdział IV dyrektywy 95/46, w którym zawarty jest art. 25, ustanawia szczególny system, zawierający szczególne normy, który służy zapewnieniu przez państwa członkowskie kontroli nad przekazywaniem danych osobowych do państw trzecich. Rozdział ten ustanawia system uzupełniający w stosunku do systemu ogólnego, ustanowionego w rozdziale II wspomnianej dyrektywy, dotyczącym legalności przetwarzania danych.
64Cel rozdziału IV został określony w motywach 56–60 dyrektywy 95/46, które stanowią między innymi, że ochrona osób, jaką ta dyrektywa gwarantuje we Wspólnocie, nie stanowi przeszkody dla przekazywania danych osobowych do państw trzecich, które zapewniają odpowiedni stopień ochrony, a prawidłowość stopnia ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazywania danych lub zestawu takich operacji. Należy zakazać przekazywania danych osobowych do państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony.
65Artykuł 25 dyrektywy 95/46 nakłada z kolei na państwa członkowskie i Komisję szereg obowiązków związanych z kontrolowaniem przekazywania danych osobowych do państw trzecich z uwzględnieniem stopnia ochrony tych danych zapewnionego w każdym z tych państw.
66W szczególności art. 25 ust. 4 dyrektywy 95/46 przewiduje, że jeżeli Komisja stwierdzi, iż państwo trzecie nie zapewnia odpowiedniego stopnia ochrony, państwa członkowskie podejmą konieczne środki, aby nie dopuścić do przekazania jakichkolwiek danych osobowych do wspomnianego państwa.
67Rozdział IV dyrektywy 95/46 nie zawiera żadnych przepisów dotyczących korzystania z Internetu. W szczególności nie określa kryteriów pozwalających ustalić, czy w przypadku operacji wykonywanych za pośrednictwem dostawców usług hostingowych za miejsce ich przeprowadzenia należy przyjąć miejsce wykonywania działalności gospodarczej przez dostawcę lub jego siedzibę, czy też miejsce albo miejsca, w których znajdują się komputery stanowiące infrastrukturę informatyczną dostawcy.
68Jeśli uwzględnić z jednej strony stan rozwoju Internetu w okresie trwania prac nad dyrektywą 95/46 i z drugiej strony brak określenia w jej rozdziale IV kryteriów mających zastosowanie do korzystania z Internetu, to nie można przypisać prawodawcy wspólnotowemu zamiaru objęcia w przyszłości pojęciem przekazywania danych do państw trzecich faktu zamieszczenia przez osobę znajdującą się w sytuacji B. Lindqvist danych na stronie internetowej, nawet jeżeli stały się one w ten sposób dostępne dla osób znajdujących się w państwach trzecich i posiadających środki techniczne pozwalające na dostęp do nich.
69Gdyby art. 25 dyrektywy 95/46 należało interpretować w ten sposób, że „przekazywanie danych do państw trzecich” ma miejsce w każdym przypadku, w którym dane osobowe zostały umieszczone na stronie internetowej, to przekazywanie stanowiłoby w sposób konieczny przekazywanie do wszystkich państw trzecich, w których istnieją środki techniczne niezbędne do uzyskania dostępu do Internetu. Szczególny system przewidziany przez rozdział IV wspomnianej dyrektywy stałby się nieuchronnie – w odniesieniu do operacji w Internecie – systemem ogólnym. W rezultacie, gdyby Komisja stwierdziła na podstawie art. 25 ust. 4 dyrektywy 95/46, że tylko jedno państwo trzecie nie zapewnia odpowiedniego stopnia ochrony, państwa członkowskie byłyby zobowiązane uniemożliwić jakiekolwiek zamieszczanie danych osobowych w Internecie.
70W tych okolicznościach nasuwa się wniosek, zgodnie z którym art. 25 dyrektywy 95/46 należy interpretować w ten sposób, że operacje takie jak te wykonane przez B. Lindqvist nie stanowią same w sobie „przekazywania danych do państw trzecich”. Nie ma zatem potrzeby ustalać, czy osoba z państwa trzeciego miała dostęp do danej strony internetowej lub czy serwer danego dostawcy znajduje się fizycznie w państwie trzecim.
71Na pytanie piąte należy zatem odpowiedzieć, że „przekazywanie danych do państw trzecich” w rozumieniu art. 25 dyrektywy 95/46 nie ma miejsca, w przypadku gdy osoba, która znajduje się w jednym z państw członkowskich, zamieszcza na stronie internetowej, przechowywanej przez dostawcę usług hostingowych mającego swoją siedzibę w tym samym państwie lub w innym państwie członkowskim, dane osobowe, czyniąc je w ten sposób dostępnymi dla każdego, kto połączy się z Internetem, w tym również dla osób, które znajdują się w państwie trzecim.
72W szóstym pytaniu sąd krajowy dąży do ustalenia, czy w takim przypadku jak rozpatrywany w postępowaniu przed sądem krajowym należy przyjąć, że przepisy dyrektywy 95/46 zawierają ograniczenie niezgodne z ogólną zasadą swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w Unii Europejskiej, które odpowiadają w szczególności prawu przewidzianemu w art. 10 EKPC.
73Powołując się między innymi na wyrok z dnia 6 marca 2001 r. w sprawie C‑274/99 P Connolly przeciwko Komisji, Rec. s. I‑1611, B. Lindqvist podnosi, że dyrektywa 95/46 i PUL – w zakresie, w jakim przewidują warunek uprzedniego uzyskania zgody i uprzedniego poinformowania organu nadzoru oraz zasadę zakazu przetwarzania wrażliwych danych osobowych – są sprzeczne z uznaną w prawie wspólnotowym ogólną zasadą swobody wypowiedzi. W szczególności podnosi ona, że definicja wyrażenia „przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany” nie spełnia kryteriów przewidywalności i precyzji.
74Ponadto jej zdaniem zwykłe wymienienie z nazwiska osoby fizycznej, ujawnienie jej numeru telefonu i podanie informacji na temat jej warunków pracy oraz jej stanu zdrowia i sposobów spędzania wolnego czasu – informacji, które są publiczne, powszechnie znane lub banalne, nie wyczerpuje znamion istotnego naruszenia prawa do poszanowania życia prywatnego. B. Lindqvist podnosi, że w każdym stanie rzeczy ograniczenia wprowadzone przez dyrektywę 95/46 są dysproporcjonalne względem celu, jakim jest zapewnienie ochrony dobrego imienia i życia prywatnego innych osób.
75Rząd szwedzki podnosi, że dyrektywa 95/46 pozwala wyważyć przedmiotowe interesy i w ten sposób zapewnić ochronę swobody wypowiedzi i ochronę życia prywatnego. Dodaje, że wyłącznie sąd krajowy może, uwzględniając okoliczności właściwe dla każdej sprawy, ocenić proporcjonalność ograniczenia wykonywania prawa do korzystania ze swobody wypowiedzi, jaką wprowadza zastosowanie reguł mających na celu ochronę praw innych osób.
76Rząd niderlandzki przypomina, że zarówno swoboda wypowiedzi, jak i prawo do poszanowania życia prywatnego stanowią część ogólnych zasad prawa, których przestrzeganie zapewnia Trybunał, i że EKPC nie ustala żadnej hierarchii pomiędzy poszczególnymi prawami podstawowymi. Rząd ten uważa tym samym, że sąd krajowy, uwzględniając okoliczności tej konkretnej sprawy, powinien starać się pogodzić te poszczególne prawa podstawowe.
77Rząd Zjednoczonego Królestwa zauważa, że przedstawiona przez niego w pkt 55 niniejszego wyroku propozycja odpowiedzi na pytanie piąte jest całkowicie zgodna z ochroną praw podstawowych i pozwala uniknąć nadmiernego ograniczania swobody wypowiedzi. Dodaje, że wykładnia, na skutek której opublikowanie danych osobowych w szczególnej formie, a mianowicie na stronie internetowej, podlegałoby ograniczeniom znacznie surowszym niż ograniczenia mające zastosowanie do ich opublikowania w innej formie, takiej jak forma papierowa, byłaby trudna do uzasadnienia.
78Również Komisja twierdzi, że dyrektywa 95/46 nie wprowadza ograniczenia sprzecznego z ogólną zasadą swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w ramach Unii Europejskiej, które odpowiadają w szczególności prawu przewidzianemu w art. 10 EKPC.
79Z motywu 7 dyrektywy 95/46 wynika, że ustanowienie i funkcjonowanie rynku wewnętrznego może zostać poważnie zakłócone przez różnice istniejące pomiędzy krajowymi systemami mającymi zastosowanie do przetwarzania danych osobowych. Jak wynika z motywu 3 tej dyrektywy, celem zbliżenia krajowych systemów powinno być nie tylko zapewnienie swobodnego przepływu danych osobowych z jednego państwa członkowskiego do drugiego, lecz również ochrona praw podstawowych osób fizycznych. Oczywiście cele te mogą ze sobą kolidować.
80Z jednej strony integracja gospodarcza i społeczna wynikająca z ustanowienia i funkcjonowania rynku wewnętrznego pociągnie za sobą w sposób konieczny znaczący wzrost przepływu danych osobowych pomiędzy wszystkimi podmiotami życia gospodarczego i społecznego państw członkowskich, czy to przedsiębiorstwami, czy też władzami administracyjnymi tych państw. W pewnej mierze podmioty te muszą dysponować danymi osobowymi w celu przeprowadzenia transakcji lub wypełniania swoich zadań w ramach przestrzeni bez granic, jaką stanowi rynek wewnętrzny.
81Z drugiej strony osoby, których dotyczy przetwarzanie danych osobowych, słusznie domagają się, by te dane były skutecznie chronione.
82Mechanizmy pozwalające na znalezienie odpowiedniej równowagi między tymi poszczególnymi prawami i interesami są zawarte z jednej strony w samej dyrektywie 95/46 – w zakresie, w jakim przewiduje ona zasady określające, w jakich sytuacjach i w jakich granicach przetwarzanie danych osobowych jest dozwolone oraz jakie gwarancje winny być przewidziane. Z drugiej strony mechanizmy te wynikają z ustanowienia przez państwa członkowskie przepisów krajowych zapewniających transpozycję tej dyrektywy i z ich stosowania przez władze krajowe.
83Co się tyczy samej dyrektywy 95/46, jej przepisy są niewątpliwie stosunkowo ogólne, zważywszy na fakt, że ma ona mieć zastosowanie do wielu bardzo różnych sytuacji. W przeciwieństwie do tego, co utrzymuje B. Lindqvist, dyrektywa zawiera zasady charakteryzujące się pewną elastycznością i w wielu przypadkach pozostawia państwom członkowskim określenie szczegółów lub wybór jednej z możliwości.
84Prawdą jest, że przy transpozycji dyrektywy 95/46 państwa członkowskie korzystają w wielu przypadkach z marginesu swobody. Jednakże nic nie pozwala uznać, że przewidziany przez tę dyrektywę system zakłada brak przewidywalności lub że jej przepisy, jako takie, są sprzeczne z ogólnymi zasadami prawa wspólnotowego, a w szczególności z prawami podstawowymi chronionymi przez wspólnotowy porządek prawny.
85Tak więc to raczej na etapie przyjmowania ustawodawstwa dokonującego transpozycji dyrektywy 95/46 w odniesieniu do szczególnych przypadków należy szukać właściwej równowagi między chronionymi prawami a celami, jakie mają być zrealizowane.
86W tym kontekście prawa podstawowe mają szczególne znaczenie, na co wskazuje sprawa w postępowaniu przed sądem krajowym, w przypadku której należy znaleźć odpowiednią równowagę między z jednej strony przysługującą B. Lindqvist w ramach jej pracy jako katechetki swobodą wypowiedzi i swobodą wykonywania działalności wzbogacającej życie religijne a z drugiej strony ochroną życia prywatnego osób, których dane B. Lindqvist zamieściła na stworzonej przez siebie stronie internetowej.
87W konsekwencji władze publiczne i sądy państw członkowskich są zobowiązane nie tylko dokonywać wykładni prawa krajowego w zgodzie z dyrektywą 95/46, ale również dopilnować, by nie kierować się taką wykładnią tej dyrektywy, która kolidowałaby z prawami podstawowymi chronionymi przez wspólnotowy porządek prawny lub z innymi ogólnymi zasadami prawa wspólnotowego, takimi jak zasada proporcjonalności.
88O ile prawdą jest, że ochrona życia prywatnego wymaga stosowania skutecznych sankcji w stosunku do osób przetwarzających dane osobowe w sposób niezgodny z dyrektywą 95/46, o tyle takie sankcje powinny zawsze przestrzegać zasady proporcjonalności, tym bardziej że zakres stosowania dyrektywy 95/46 jest bardzo szeroki, a na osobach przetwarzających dane osobowe ciążą liczne i poważne obowiązki.
89W oparciu o zasadę proporcjonalności sąd krajowy powinien uwzględnić wszystkie okoliczności zawisłej przed nim sprawy, a w szczególności czas trwania naruszenia przepisów wykonujących dyrektywę 95/46 oraz znaczenie, jakie ma dla zainteresowanych osób ochrona rozpowszechnionych danych osobowych.
90Na pytanie szóste należy zatem odpowiedzieć, że przepisy dyrektywy 95/46 nie zawierają same w sobie ograniczeń sprzecznych z ogólną zasadą swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w ramach Unii Europejskiej, które odpowiadają w szczególności art. 10 EKPC. Do władz publicznych i sądów państw członkowskich odpowiedzialnych za stosowanie przepisów krajowych dokonujących transpozycji dyrektywy 95/46 należy zapewnienie właściwej równowagi między wchodzącymi w grę prawami i interesami, w tym prawami podstawowymi chronionymi przez wspólnotowy porządek prawny.
91W pytaniu siódmym sąd krajowy zmierza zasadniczo do ustalenia, czy państwa członkowskie mogą rozszerzyć ochronę danych osobowych lub zakres stosowania wynikający z dyrektywy 95/46.
92Rząd szwedzki twierdzi, że dyrektywa 95/46 nie ogranicza się do ustanowienia minimalnych wymagań w zakresie ochrony danych osobowych. W ramach transpozycji tej dyrektywy państwa członkowskie są zobowiązane osiągnąć stopień ochrony określony przez dyrektywę i nie są upoważnione do rozszerzenia lub zawężenia tej ochrony. Jednakże należy mieć wzgląd na swobodne uznanie, jakim dysponują państwa członkowskie w ramach dokonywania wspomnianej transpozycji przy określaniu w prawie krajowym ogólnych zasad legalności przetwarzania danych osobowych.
93Rząd niderlandzki utrzymuje, że dyrektywa 95/46 nie sprzeciwia się rozszerzeniu ochrony przez państwa członkowskie w pewnych dziedzinach. Na przykład z art. 10, art. 11 ust. 1, art. 14 akapit pierwszy lit. a), art. 17 ust. 3, art. 18 ust. 5 i art. 19 ust. 1 tej dyrektywy wynika jego zdaniem, że państwa członkowskie mogą przewidzieć zwiększoną ochronę. Ponadto państwa członkowskie mogą również objąć zasadami dyrektywy 95/46 działania, które wykraczają poza zakres jej stosowania.
94Komisja podnosi, że dyrektywa 95/46 opiera się na art. 100A traktatu oraz że jeżeli państwo członkowskie chce utrzymać lub ustanowić przepisy, które stanowią odstępstwo od takiej dyrektywy harmonizującej, na mocy art. 95 ust. 4 lub 5 WE zobowiązane jest notyfikować ten fakt Komisji. Wobec powyższego Komisja utrzymuje, że państwo członkowskie nie może rozszerzyć ochrony danych osobowych lub zakresu stosowania wynikających ze wspomnianej dyrektywy.
95Dyrektywa 95/46 ma na celu, jak to wynika w szczególności z jej motywu 8, zrównanie stopnia ochrony praw i wolności jednostek w zakresie przetwarzania danych osobowych we wszystkich państwach członkowskich. W motywie 10 tej dyrektywy dodano, że zbliżanie ustawodawstw krajowych w tej dziedzinie nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie, musi dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie.
96Harmonizacja wspomnianych ustawodawstw krajowych nie ogranicza się do minimalnego jej zakresu, lecz prowadzi do harmonizacji, która jest co do zasady pełna. To właśnie z tego punktu widzenia dyrektywa 95/46 ma zapewniać swobodny przepływ danych osobowych, gwarantując jednocześnie wysoki stopień ochrony praw i interesów osób, których dane te dotyczą.
97Prawdą jest, że dyrektywa 95/46 pozostawia państwom członkowskim margines swobody w niektórych dziedzinach i pozwala im utrzymać lub wprowadzić szczególne systemy dla specyficznych przypadków, o czym świadczy duża liczba jej przepisów. Jednakże takie możliwości powinny być wykorzystane w sposób przewidziany w dyrektywie 95/46 i zgodnie z jej celem, jakim jest zapewnienie równowagi między swobodnym przepływem danych osobowych a ochroną życia prywatnego.
98Natomiast nic nie stoi na przeszkodzie rozszerzeniu przez państwo członkowskie zakresu ustawodawstwa krajowego dokonującego transpozycji przepisów dyrektywy 95/46 na dziedziny nieobjęte zakresem jej stosowania, pod warunkiem że nie sprzeciwia się temu żaden przepis prawa wspólnotowego.
99Zważywszy na powyższe, na pytanie siódme należy odpowiedzieć, że środki podejmowane przez państwa członkowskie w celu zapewnienia ochrony danych osobowych muszą być zgodne zarówno z przepisami dyrektywy 95/46, jak i z jej celem, jakim jest utrzymanie równowagi między swobodnym przepływem danych osobowych a ochroną życia prywatnego. Natomiast nic nie stoi na przeszkodzie rozszerzeniu przez państwo członkowskie zakresu ustawodawstwa krajowego dokonującego transpozycji przepisów dyrektywy 95/46 na dziedziny nieobjęte zakresem jej stosowania, pod warunkiem że nie sprzeciwia się temu żaden przepis prawa wspólnotowego.
100Koszty poniesione przez rządy szwedzki, niderlandzki i Zjednoczonego Królestwa oraz przez Komisję i Urząd Nadzoru EFTA w związku z przedstawieniem uwag Trybunałowi nie podlegają zwrotowi. Dla stron postępowania przed sądem krajowym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed tym sądem, do niego zatem należy rozstrzygnięcie o kosztach.
Sentencja
Z powyższych względów
TRYBUNAŁ,
stanowiąc w przedmiocie pytań przedłożonych mu przez Göta hovrätt postanowieniem z dnia 23 lutego 2001 r., orzeka, co następuje:
1) Operacja polegająca na zamieszczeniu na stronie internetowej danych różnych osób pozwalających je zidentyfikować za pomocą nazwiska albo innych środków, np. numeru telefonu lub informacji dotyczących ich warunków pracy i sposobów spędzania przez nie wolnego czasu stanowi „przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany” w rozumieniu art. 3 ust. 1 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.
2) Takie przetwarzanie danych osobowych nie jest objęte żadnym z wyłączeń określonych w art. 3 ust. 2 dyrektywy 95/46.
3) Informacja, że dana osoba doznała urazu stopy i przebywa na zwolnieniu lekarskim w niepełnym wymiarze, stanowi dane osobowe dotyczące zdrowia w rozumieniu art. 8 ust. 1 dyrektywy 95/46.
4) „Przekazywanie danych do państw trzecich” w rozumieniu art. 25 dyrektywy 95/46 nie ma miejsca, w przypadku gdy osoba, która znajduje się w jednym z państw członkowskich, zamieszcza na stronie internetowej, przechowywanej przez dostawcę usług hostingowych mającego swoją siedzibę w tym samym państwie lub w innym państwie członkowskim, dane osobowe, czyniąc je w ten sposób dostępnymi dla każdego, kto połączy się z Internetem, w tym również dla osób, które znajdują się w państwie trzecim.
5) Przepisy dyrektywy 95/46 nie zawierają same w sobie ograniczeń sprzecznych z ogólną zasadą swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w ramach Unii Europejskiej, które odpowiadają w szczególności art. 10 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, sporządzonej w Rzymie w dniu 4 listopada 1950 r. Do władz publicznych i sądów państw członkowskich odpowiedzialnych za stosowanie przepisów krajowych dokonujących transpozycji dyrektywy 95/46 należy zapewnienie właściwej równowagi między wchodzącymi w grę prawami i interesami, w tym prawami podstawowymi chronionymi przez wspólnotowy porządek prawny.
6) Środki podejmowane przez państwa członkowskie w celu zapewnienia ochrony danych osobowych muszą być zgodne zarówno z przepisami dyrektywy 95/46, jak i z jej celem, jakim jest utrzymanie równowagi między swobodnym przepływem danych osobowych a ochroną życia prywatnego. Natomiast nic nie stoi na przeszkodzie rozszerzeniu przez państwo członkowskie zakresu ustawodawstwa krajowego dokonującego transpozycji przepisów dyrektywy 95/46 na dziedziny nieobjęte zakresem jej stosowania, pod warunkiem że nie sprzeciwia się temu żaden przepis prawa wspólnotowego.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.