Wyrok Trybunału (wielka izba) z dnia 9 listopada 2010 r.

Strony

Motywy wyroku

Sentencja

Strony

W sprawach połączonych C‑92/09 i C‑93/09

mających za przedmiot wnioski o wydanie, na podstawie art. 234 WE, orzeczenia w trybie prejudycjalnym, złożone przez Verwaltungsgericht Wiesbaden (Niemcy) postanowieniami z dnia 27 lutego 2009 r., które wpłynęły do Trybunału w dniu 6 marca 2009 r., w postępowaniach:

Volker und Markus Schecke GbR (C‑92/09),

Hartmut Eifert (C‑93/09)

przeciwko

Land Hessen,

przy udziale:

Bundesanstalt für Landwirtschaft und Ernährung,

TRYBUNAŁ (wielka izba),

w składzie: V. Skouris, prezes, A. Tizzano, J.N. Cunha Rodrigues, K. Lenaerts (sprawozdawca), J.C. Bonichot, K. Schiemann, A. Arabadjiev, J.J. Kasel, prezesi izb, E. Juhász, C. Toader i M. Safjan, sędziowie,

rzecznik generalny: E. Sharpston,

sekretarz: B. Fülöp, administrator,

uwzględniając procedurę pisemną i po przeprowadzeniu rozprawy w dniu 2 lutego 2010 r.,

rozważywszy uwagi przedstawione:

• w imieniu Volker und Markus Schecke GbR przez R. Seimetza i P. Breyera, Rechtsanwälte, oraz przez V. Scheckego,
• w imieniu H. Eiferta przez R. Seimetza i P. Breyera, Rechtsanwälte,
• w imieniu Land Hessen przez H.G. Kamanna, Rechtsanwalt,
• w imieniu rządu greckiego przez V. Kontolaimosa i I. Chalkiasa oraz przez K. Marinou i V. Karrę, działających w charakterze pełnomocników,
• w imieniu rządu niderlandzkiego przez C. Wissels i Y. de Vriesa, działających w charakterze pełnomocników,
• w imieniu rządu szwedzkiego przez A. Falk i C. Meyer‑Seitz, działające w charakterze pełnomocników,
• w imieniu Rady Unii Europejskiej przez E. Sitbon i Z. Kupčovą, działających w charakterze pełnomocników,
• w imieniu Komisji Europejskiej przez B. Smuldersa i F. Erlbachera oraz przez P. Costę de Oliveirę, działających w charakterze pełnomocników, po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 17 czerwca 2010 r., wydaje następujący

Wyrok

Motywy wyroku

1Wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą wykładni z jednej strony art. 42 pkt 8b oraz art. 44a rozporządzenia Rady (WE) nr 1290/2005 z dnia 21 czerwca 2005 r. w sprawie finansowania wspólnej polityki rolnej (Dz.U. L 209, s. 1), zmienionego rozporządzeniem Rady (WE) nr 1437/2007 z dnia 26 listopada 2007 r. (Dz.U. L 322, s. 1) (zwanego dalej „rozporządzeniem nr 1290/2005”), oraz z drugiej strony rozporządzenia Komisji (WE) nr 259/2008 z dnia 18 marca 2008 r. ustanawiającego szczegółowe zasady stosowania rozporządzenia Rady (WE) nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów środków pochodzących z Europejskiego Funduszu Rolniczego Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich (EFRROW) (Dz.U. L 76, s. 28) i dyrektywy 2006/24/WE Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności oraz zmieniającej dyrektywę 2002/58/WE (Dz.U. L 105, s. 54). Na wypadek gdyby Trybunał nie stwierdził nieważności powyższych uregulowań unijnych, wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą również wykładni art. 7, art. 18 ust. 2 tiret drugie i art. 20 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31).

2Wnioski te zostały złożone w ramach sporów między Volker und Markus Schecke GbR oraz H. Eifertem (zwanymi dalej „skarżącymi w postępowaniu przed sądem krajowym”) a krajem związkowym Hesja w przedmiocie publikacji na stronie internetowej Bundesanstalt für Landwirtschaft und Ernährung (federalnego instytutu rolnictwa i wyżywienia, zwanego dalej „Bundesanstalt”) danych osobowych dotyczących ich jako beneficjentów środków pochodzących z EFRG lub EFRROW.

I – Ramy prawne

A – Europejska Konwencja o ochronie praw człowieka i podstawowych wolności

3Artykuł 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności podpisanej w Rzymie w dniu 4 listopada 1950 r. (zwanej dalej „EKPC”), zatytułowany „Prawo do poszanowania życia prywatnego i rodzinnego”, stanowi:

„1. Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji.

2Niedopuszczalna jest ingerencja władzy publicznej w korzystanie z tego prawa, z wyjątkiem przypadków przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności innych osób”.

B – Prawo Unii

1Dyrektywa 95/46

4Z art. 1 ust. 1 dyrektywy 95/46 wynika, że ma ona na celu zapewnienie ochrony podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności, w odniesieniu do przetwarzania danych osobowych. Zgodnie z art. 2 lit. a) tej dyrektywy dane osobowe oznaczają „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej”.

5Zgodnie z art. 7 wspomnianej dyrektywy „[p]aństwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy:

a) osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lub

[…]

c) przetwarzanie danych jest konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega; lub

[…]

e) przetwarzanie danych jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane; […]”.

6Zgodnie z art. 18 ust. 1 dyrektywy 95/46 „[p]aństwa członkowskie zobowiązują administratora danych lub jego ewentualnego przedstawiciela do zawiadomienia organu nadzorczego [kontrolnego], wymienionego w art. 28, przed przeprowadzeniem całościowej lub częściowej operacji automatycznego przetwarzania”.

7Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46 stanowi, że państwa członkowskie mogą wprowadzić uproszczenie procedury lub zwolnienie z obowiązku zawiadomienia tylko w następujących sytuacjach oraz na następujących warunkach:

„jeżeli administrator danych, zgodnie z dotyczącymi go przepisami krajowymi, powoła urzędnika do spraw ochrony danych osobowych, odpowiedzialnego w szczególności:

• za zapewnienie w niezależny sposób wewnętrznego stosowania przepisów prawa krajowego przyjętych na mocy niniejszej dyrektywy,
• za prowadzenie rejestru operacji przetwarzania danych wykonywanych przez administratora danych i zawierających informacje określone w art. 21 ust. 2, zapewniając przy tym, że nie zostaną naruszone prawa i wolności osób, których dane dotyczą”.

8Artykuł 19 ust. 1 dyrektywy 95/46 stanowi:

„Państwa członkowskie ustalają, jakie informacje zostaną podane w zawiadomieniu. Obejmują one co najmniej:

a) nazwę (nazwisko) i adres administratora danych i ewentualnie jego przedstawiciela;

b) cel lub cele przetwarzania danych;

c) opis kategorii osób, których dane dotyczą, oraz danych lub kategorii danych, które się do nich odnoszą;

d) odbiorcę lub kategorie odbiorców, którym dane mogą być ujawnione;

e) propozycje przekazania danych do państw trzecich; […]”.

9Artykuł 20 dyrektywy 95/46, zatytułowany „Kontrola wstępna”, przewiduje w ust. 1 i 2:

„1. Państwa członkowskie definiują operacje przetwarzania danych mogące stwarzać określone [szczególne] zagrożenia dla praw i wolności osób, których dane dotyczą, oraz kontrolują, czy dane te są badane przed ich rozpoczęciem.

2Kontrole wstępne są przeprowadzane przez organ nadzorczy [kontrolny] po przyjęciu od administratora danych lub urzędnika odpowiedzialnego za ochronę danych zawiadomienia, którzy w razie wątpliwości powinni zasięgać opinii organu [kontrolnego]”.

10Zgodnie z art. 21 ust. 2 akapity pierwszy i drugi dyrektywy 95/46 „[p]aństwa członkowskie zapewniają, aby organ [kontrolny] prowadził rejestr operacji przetwarzania danych zgłoszonych zgodnie z art. 18 […] [, który] zawiera co najmniej informacje wymienione w art. 19 ust. 1 lit. a)–e)”.

11Zgodnie z art. 28 dyrektywy 95/46 każde państwo członkowskie zobowiązane jest wyznaczyć co najmniej jeden organ władzy publicznej (zwany dalej „organem kontrolnym”) odpowiedzialny za kontrolę, w sposób całkowicie niezależny, stosowania na jego terytorium przepisów krajowych przyjętych w wykonaniu tej dyrektywy.

2Rozporządzenie nr 45/2001

12Rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. 2001, L 8, s. 1) stanowi w art. 27 ust. 1 i 2:

„1. Operacje przetwarzania, mogące ze swej natury przez swój zakres lub swoje cele stworzyć konkretne [szczególne] zagrożenia dla praw i wolności podmiotów danych, podlegają uprzedniemu sprawdzeniu przez Europejskiego Inspektora Ochrony Danych.

2Następujące operacje przetwarzania mogą stworzyć takie zagrożenia:

a) przetwarzanie danych odnoszących się do zdrowia i dotyczących podejrzeń o popełnienie przestępstwa, przestępstw, wyroków karnych lub środków bezpieczeństwa;

b) operacje przetwarzania zmierzające do oceny aspektów osobistych odnoszących się do podmiotu danych, włącznie z jego możliwościami, wydajnością lub postępowaniem;

c) operacje przetwarzania zezwalające na stworzenie powiązań między danymi przetwarzanymi dla różnych celów, nieuwzględnionymi w odpowiednim ustawodawstwie krajowym lub legislacji wspólnotowej;

d) operacje przetwarzania w celu pozbawienia jednostki prawa, świadczenia lub wyłączenia jej z umowy”.

3Dyrektywa 2006/24

13Dyrektywa 2006/24 zobowiązuje państwa członkowskie do zatrzymywania danych generowanych lub przetwarzanych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności.

4Rozporządzenie nr 1290/2005

14Rozporządzenie nr 1290/2005 określa warunki i zasady mające zastosowanie do finansowania wydatków ponoszonych w ramach wspólnej polityki rolnej (zwanej dalej „WPR”).

15Artykuł 42 rozporządzenia nr 1290/2005 stanowi, że zasady stosowania niniejszego rozporządzenia ustanawia Komisja Europejska. Zgodnie z art. 42 pkt 8b tego rozporządzenia Komisja ustala między innymi:

„szczegółowe zasady dotyczące publikowania informacji o beneficjentach, o których mowa w art. 44a, w tym aspekty praktyczne związane z ochroną osób w związku z przetwarzaniem ich danych osobowych zgodnie z zasadami określonymi w przepisach wspólnotowych dotyczących ochrony danych. Przepisy te powinny zapewnić w szczególności informowanie beneficjentów funduszy o możliwości podania tych danych do wiadomości publicznej oraz przetwarzania ich przez organy kontrolne i śledcze w celu ochrony interesów finansowych Wspólnot, a także powinny określać, kiedy informacja ta jest przekazywan a beneficjentom”.

16Artykuł 44a rozporządzenia nr 1290/2005, zatytułowany „Publikacja wykazu beneficjentów”, stanowi:

„[…] państwa członkowskie zapewniają coroczną publikację ex post wykazu beneficjentów funduszy EFRG i EFRROW oraz kwot otrzymanych przez każdego beneficjenta w ramach każdego z tych funduszy.

Publikacja takiego wykazu obejmuje przynajmniej:

a) w odniesieniu do EFRG kwotę podzieloną na płatności bezpośrednie w rozumieniu art. 2 lit. d) rozporządzenia (WE) nr 1782/2003 i inne wydatki;

b) w odniesieniu do EFRROW łączną kwotę finansowania ze środków publicznych na beneficjenta”.

17W tym kontekście motywy 13 i 14 rozporządzenia nr 1437/2007, zmieniającego rozporządzenie nr 1290/2005, mają brzmienie następujące:

„(13) W celu wprowadzenia w życie europejskiej inicjatywy na rzecz przejrzystości, w ramach przeglądu rozporządzenia Rady (WE, Euratom) nr 1605/2002 z dnia 25 czerwca 2002 r. w sprawie rozporządzenia finansowego mającego zastosowanie do budżetu ogólnego Wspólnot Europejskich [Dz.U. L 248, s. 1], do rozporządzenia tego dodano przepisy dotyczące corocznej publikacji ex post wykazu beneficjentów środków finansowych pochodzących z budżetu. Sposób publikacji takich informacji ma zostać określony w rozporządzeniach dotyczących poszczególnych sektorów. Zarówno EFRG, jak i EFRROW stanowią część budżetu ogólnego Wspólnot Europejskich i finansują wydatki na zasadzie podziału zarządzania między państwami członkowskimi i Wspólnotą. Należy zatem określić zasady publikowania informacji na temat beneficjentów tych funduszy. W związku z tym państwa członkowskie powinny zapewnić coroczną publikację ex post wykazu beneficjentów oraz kwot otrzymanych przez każdego beneficjenta w ramach każdego z tych funduszy.

(14) Udostępnienie tych informacji do publicznej wiadomości zwiększa przejrzystość wykorzystania środków wspólnotowych w ramach [WPR] oraz jakość finansowego zarządzania wspomnianymi funduszami, w szczególności przez wzmocnienie publicznej kontroli wykorzystanych środków finansowych. Przez wzgląd na nadrzędną wagę wyznaczonych celów uzasadnione jest, przy poszanowaniu zasady proporcjonalności i wymogu ochrony danych osobowych, przyjęcie przepisu przewidującego podanie do wiadomości ogólnej stosownych informacji, ponieważ nie wykracza on poza to, co jest konieczne w społeczeństwie demokratycznym w celu zapobiegania nieprawidłowościom. Uwzględniając opinię Europejskiego Inspektora Ochrony Danych z dnia 10 kwietnia 2007 r. [Dz.U. C 134, s. 1], należy przewidzieć sposób informowania beneficjentów funduszy o tym, że takie dane mogą być upubliczniane i że mogą być przetwarzane przez organy kontrolne i śledcze”.

5Rozporządzenie nr 259/2008

18Na podstawie art. 42 pkt 8b rozporządzenia nr 1290/2005 Komisja przyjęła rozporządzenie nr 259/2008.

19Motyw 6 tego rozporządzenia ma brzmienie następujące:

„Udostępnienie […] informacji [dotyczących beneficjentów środków pochodzących z EFRG i EFRROW] do publicznej wiadomości zwiększa przejrzystość wykorzystania środków wspólnotowych w ramach [WPR] oraz jakość finansowego zarządzania wspomnianymi funduszami, w szczególności przez wzmocnienie publicznej kontroli wykorzystanych środków finansowych. Przez wzgląd na nadrzędną wagę wyznaczonych celów uzasadnione jest, przy poszanowaniu zasady proporcjonalności i wymogu ochrony danych osobowych, przyjęcie przepisu przewidującego podanie do wiadomości ogólnej stosownych informacji, ponieważ nie wykracza on poza to, co jest konieczne w społeczeństwie demokratycznym do zapobiegania nieprawidłowościom”.

20W motywie 7 tego rozporządzenia zaznaczono, że „[w] celu spełnienia wymagań dotyczących ochrony danych osobowych beneficjenci funduszy powinni być uprzednio poinformowani o możliwości publikacji ich danych”.

21Artykuł 1 ust. 1 rozporządzenia nr 259/2008 określa treść publikacji, o której mowa w art. 44a rozporządzenia nr 1290/2005, i stanowi, że zawarte są w niej następujące informacje:

„a) imię i nazwisko, jeśli beneficjentem jest osoba fizyczna;

b) pełna nazwa oficjalna w formie, w jakiej została zarejestrowana, w przypadku gdy beneficjentem jest osoba prawna;

c) pełna nazwa stowarzyszenia w formie, w jakiej została zarejestrowana lub w inny sposób urzędowo uznana, w przypadku gdy beneficjentem jest stowarzyszenie osób fizycznych lub prawnych niebędące odrębną osobą prawną;

d) gmina, na której terenie beneficjent ma miejsce zamieszkania lub siedzibę, oraz, o ile to możliwe, kod pocztowy lub jego część pozwalająca na identyfikację gminy;

e) w odniesieniu do [EFRG] kwota płatności bezpośrednich w rozumieniu art. 2 lit. d) rozporządzenia (WE) nr 1782/2003, jaką każdy beneficjent otrzymał w danym roku budżetowym;

f) w odniesieniu do EFRG kwota płatności innych niż te, o których mowa w lit. e), które beneficjent otrzymał w danym roku budżetowym;

g) w odniesieniu do [EFRROW] całkowita kwota finansowania publicznego, jaką każdy beneficjent otrzymał w danym roku budżetowym, obejmująca wkład wspólnotowy i krajowy;

h) suma kwot określonych w lit. e), f) i g) otrzymana przez każdego beneficjenta w danym roku budżetowym;

i) waluta tych kwot”.

22Zgodnie z art. 2 rozporządzenia nr 259/2008 „[i]nformacje określone w art. 1 są udostępniane na stronie internetowej, po jednej na każde państwo członkowskie, pod postacią wyszukiwarki umożliwiającej użytkownikom przeszukiwanie danych w oparciu o kryteria takie jak nazwa beneficjenta, gmina, otrzymane kwoty określone w lit. e), f), g) i h) art. 1 lub ich kombinację, oraz wyodrębnienie odpowiednich informacji w formie pojedynczego zestawu danych”.

23Artykuł 3 ust. 3 tego rozporządzenia uściśla, że „[i]nformacje są dostępne na stronie internetowej przez dwa lata od daty ich początkowej publikacji”.

24Artykuł 4 rozporządzenia nr 259/2008 stanowi:

„1. Państwa członkowskie informują beneficjentów o tym, że ich dane będą publikowane zgodnie z rozporządzeniem (WE) nr 1290/2005 oraz niniejszym rozporządzeniem, oraz informują ich o możliwości przetwarzania danych przez organy audytowe i dochodzeniowe Wspólnot i państw członkowskich dla zabezpieczenia interesów finansowych Wspólnot.

2W przypadku danych osobowych informacje określone w ust. 1 są dostarczane zgodnie z wymaganiami dyrektywy 95/46/WE, a beneficjenci są informowani o swoich prawach jako podmiot danych na mocy tej dyrektywy oraz o procedurach umożliwiających skorzystanie z tych praw.

3Informacje określone w ust. 1 i 2 są przekazywane beneficjentom za pośrednictwem formularzy wniosków o dofinansowanie z funduszy EFRG i EFRROW lub w momencie zbierania danych.

[…]”.

II – Postępowania przed sądem krajowym i pytania prejudycjalne

25Skarżący w postępowaniu przed sądem krajowym, mający siedzibę lub miejsce zamieszkania w kraju związkowym Hesja, to odpowiednio przedsiębiorstwo rolne mające formę prawną spółki prawa cywilnego (sprawa C‑92/09) i rolnik indywidualny (sprawa C‑93/09). Z tytułu roku budżetowego 2008 złożyli we właściwym organie lokalnym wnioski o środki pochodzące z EFRG lub EFRROW, które zostały uwzględnione decyzjami z dnia 5 grudnia 2008 r. (sprawa C‑93/09) i z dnia 31 grudnia 2008 r. (sprawa C‑92/09).

26W obu przypadkach formularz wniosku zawierał następującą wzmiankę:

„Przyjmuję do wiadomości, że na podstawie art. 44a rozporządzenia (WE) nr 1290/2005 informacje o beneficjentach środków z EFRG i EFRROW i o kwotach przez nich otrzymanych podlegają publikacji. Publikacja obejmuje wszystkie środki będące przedmiotem pojedynczego wniosku w rozumieniu art. 11 rozporządzenia (WE) nr 796/2004 i następuje corocznie, najpóźniej w dniu 31 marca kolejnego roku”.

27Sąd krajowy wyjaśnia, że na stronie internetowej Bundesanstalt udostępnia się nazwy lub nazwiska beneficjentów pomocy z EFRG lub EFRROW, miejscowości, w której mają siedzibę lub zamieszkują, wraz z jej kodem pocztowym oraz wysokości płatności otrzymanych w danym roku. Strona ta wyposażona jest w wyszukiwarkę.

28W dniach 26 września 2008 r. (sprawa C‑92/09) i 18 grudnia 2008 r. (sprawa C‑93/09) skarżący w postępowaniu przed sądem krajowym wnieśli skargi mające na celu uniemożliwienie publikacji dotyczących ich danych. Ich zdaniem publikacja kwot otrzymanych z EFRG lub EFRROW nie jest uzasadniona nadrzędnymi interesami publicznymi. Ponadto przepisy odnoszące się do Europejskiego Funduszu Socjalnego nie przewidują imiennego wskazywania beneficjentów. W swoich skargach wnoszą o zobowiązanie kraju związkowego Hesji do tego, aby zaniechał lub odmówił przekazania lub upublicznienia tych danych do celów ogólnej publikacji informacji dotyczących środków finansowych pochodzących z EFRG i EFRROW, które zostały im przyznane.

29Kraj związkowy Hesja, chociaż uważa, że obowiązek publikacji danych dotyczących skarżących w postępowaniu przed sądem krajowym wynika z rozporządzeń nr 1290/2005 i 259/2008, zobowiązał się jednak do nieupubliczniania kwot otrzymanych przez tych skarżących jako beneficjentów pomocy z EFRG lub EFRROW do chwili wydania ostatecznego orzeczenia w postępowaniach przed sądem krajowym.

30Sąd krajowy uznaje, że obowiązek publikacji wynikający z art. 44a rozporządzenia nr 1290/2005 stanowi nieuzasadnione naruszenie podstawowego prawa do ochrony danych osobowych. Uważa, że przepis ten, który realizuje cel zwiększenia przejrzystości wykorzystania funduszy europejskich, nie wzmacnia zapobiegania nieprawidłowościom, gdyż istnieją służące temu szczegółowe mechanizmy kontroli. Opierając się na wyroku z dnia 20 maja 2003 r. w sprawach połączonych C‑465/00, C‑138/01 i C‑139/01 Österreichischer Rundfunk i in., Rec. s. I‑4989, sąd krajowy jest zdania, że w każdym razie wspomniany obowiązek publikacji nie jest proporcjonalny do zamierzonego celu. Ponadto jego zdaniem art. 42 pkt 8b rozporządzenia nr 1290/2005 przyznaje Komisji zbyt szeroki zakres uznania, jeżeli chodzi zarówno o określenie danych podlegających upublicznieniu, jak i sposobu publikacji, i jest tym samym niezgodny z art. 202 tiret trzecie WE i art. 211 tiret czwarte WE.

31Niezależnie od kwestii ważności art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 sąd krajowy uważa, że rozporządzenie nr 259/2008, które przewiduje publikację informacji dotyczących beneficjentów pomocy z EFRG i EFRROW wyłącznie w Internecie, narusza podstawowe prawo do ochrony danych osobowych. Podkreśla fakt, że to ostatnie rozporządzenie nie ogranicza dostępu do danej strony internetowej na rzecz adresów „Internet Protocol” (zwanych dalej „adresami IP”) zlokalizowanych na terytorium Unii Europejskiej. Poza tym nie ma możliwości wycofania danych z Internetu po upływie okresu dwóch lat przewidzianego w art. 3 ust. 3 rozporządzenia nr 259/2008. Zdaniem tego sądu fakt publikacji danych wyłącznie w Internecie ma ponadto efekt odstraszający. Z jednej strony obywatele chcący zaczerpnąć informacji muszą mieć dostęp do Internetu. Z drugiej strony obywatele ci wystawiają się na ryzyko przechowywania ich danych w rozumieniu dyrektywy 2006/24. Paradoksem jest zmierzanie do większej kontroli nad telekomunikacją przy jednoczesnym udostępnianiu jedynie w formie elektronicznej informacji służących udziałowi społeczeństwa w sprawach publicznych.

32Na wypadek gdyby Trybunał nie stwierdził nieważności przepisów przywołanych w pkt 30 i 31 niniejszego wyroku, sąd krajowy pragnie jeszcze uzyskać wykładnię różnych przepisów dyrektywy 95/46. Uważa, że publikacja danych osobowych może mieć miejsce jedynie wtedy, gdy zostały podjęte środki przewidziane w art. 18 ust. 2 tiret drugie tej dyrektywy. Zgodnie z informacjami przekazanymi przez sąd krajowy ustawodawca niemiecki, w szczególności ustawodawca heski, skorzystał z możliwości oferowanej przez ten przepis. Niemniej zdaniem tego samego sądu zawiadomienie heskiego ministra środowiska, obszarów wiejskich i ochrony konsumentów skierowane do urzędnika do spraw ochrony danych osobowych zostało dokonane w sposób niepełny. Urzędnikowi temu nie zostały bowiem przekazane informacje takie jak fakt, że przetwarzania danych dokonuje Bundesanstalt na rachunek wspomnianego kraju związkowego, ewentualnie z pomocą prywatnego podmiotu trzeciego, konkretne informacje dotyczące terminów usuwania danych oraz dostawców dostępu do sieci i zatrzymywania adresów IP.

33Ponadto publikację informacji dotyczących beneficjentów dopłat rolnych powinna poprzedzić kontrola wstępna przewidziana w art. 20 dyrektywy 95/46. Tymczasem zdaniem sądu krajowego w niniejszym przypadku kontrola wstępna nie została przeprowadzona przez centralny organ kontroli, lecz przez inspektora ochrony danych odpowiedzialnego przedsiębiorstwa lub administracji i to na podstawie niepełnych zawiadomień.

34W końcu sąd krajowy ma wątpliwości co do legalności w świetle art. 7 lit. e) dyrektywy 95/46 zatrzymywania adresów IP użytkowników, którzy sprawdzają informacje dotyczące beneficjentów pomocy z EFRG i EFRROW na stronie internetowej Bundesanstalt.

35W tych warunkach Verwaltungsgericht Wiesbaden postanowił zawiesić postępowanie i skierować do Trybunału następujące pytania prejudycjalne, zredagowane identycznie w sprawie C‑92/09 i C‑93/09:

„1) Czy art. [42] pkt 8b i art. 44a rozporządzenia […] nr 1290/2005, wprowadzone doń w drodze rozporządzenia […] nr 1437/2007, są nieważne?

2) Czy rozporządzenie […] nr 259/2008 […]:

a) jest nieważne,

b) ważne, ale tylko dlatego, że dyrektywa 2006/24 […] jest nieważna? Jeśli wspomniane w pierwszym i drugim pytaniu przepisy są ważne, to:

3) Czy wykładni art. 18 ust. 2 tiret drugie dyrektywy 95/46 […] należy dokonywać w ten sposób, że publikacja na podstawie rozporządzenia […] nr 259/2008 może nastąpić dopiero wtedy, gdy przeprowadzone zostanie przewidziane w tym artykule postępowanie, które zastępuje zawiadomienie organu kontrolnego?

4) Czy wykładni art. 20 dyrektywy 95/46 […] należy dokonywać w ten sposób, że publikacja na podstawie rozporządzenia […] nr 259/2008 może nastąpić dopiero wtedy, gdy została przeprowadzona przewidziana dla takich przypadków w prawie krajowym kontrola wstępna?

5) W razie udzielenia odpowiedzi twierdzącej na pytanie czwarte: czy wykładni art. 20 dyrektywy 95/46 […] należy dokonywać w ten sposób, że kontrola przeprowadzona w oparciu o rejestr, o którym mowa w art. 18 ust. 2 tiret drugie tej dyrektywy, który jednak nie zawiera określonej tam informacji, nie może być uznana za kontrolę skuteczną?

6) Czy wykładni art. 7 – a w niniejszym przypadku w szczególności lit. e) – dyrektywy 95/46 […] należy dokonywać w ten sposób, że stoi on na przeszkodzie praktyce polegającej na zatrzymywaniu adresów IP użytkowników strony internetowej bez ich wyraźnej zgody?”.

36Postanowieniem prezesa Trybunału z dnia 4 maja 2009 r. sprawy C‑92/09 i C‑93/09 zostały połączone do celów procedury pisemnej i ustnej, jak również do celów wydania wyroku.

III – W przedmiocie pytań prejudycjalnych

37Postanowienia odsyłające zawierają z jednej strony pytania dotyczące ważności rozporządzeń nr 1290/2005 i 259/2008, to jest pytania pierwsze i drugie, a z drugiej strony pytania dotyczące wykładni dyrektywy 95/46, to jest pytania od trzeciego do szóstego. Przed rozpatrzeniem istoty sprawy należy zbadać dopuszczalność zarówno drugiej części pytania drugiego, jak i pytania szóstego.

A – W przedmiocie dopuszczalności

38W drugiej części pytania drugiego i pytaniu szóstym sąd krajowy zwraca się do Trybunału odpowiednio z kwestią ważności dyrektywy 2006/24 i wykładni art. 7 lit. e) dyrektywy 95/46, aby móc ustalić, czy zatrzymywanie określonych danych dotyczących użytkowników stron internetowych przewidziane w prawie Unii i ustawodawstwie niemieckim jest zgodne z prawem.

39W tym kontekście należy przypomnieć najpierw, że o ile z uwagi na podział kompetencji w ramach postępowania w przedmiocie wniosku o wydanie orzeczenia w trybie prejudycjalnym wyłącznie do sądu krajowego należy określenie przedmiotu pytań, które zamierza on zadać Trybunałowi, Trybunał orzekł, że w szczególnych okolicznościach to do niego należy ocena warunków, w jakich sąd krajowy kieruje do niego wniosek, w celu zweryfikowania własnej kompetencji (wyrok z dnia 1 października 2009 r. w sprawie C‑567/07 Woningstichting Sint Servatius, Zb.Orz. s. I‑9021, pkt 42).

40Tak jest w szczególności, w przypadku gdy problem przedłożony Trybunałowi jest natury hipotetycznej albo gdy wykładnia normy unijnej lub ocena jej ważności, o którą wnioskuje sąd krajowy, nie ma żadnego związku z rzeczywistością lub przedmiotem sporu w postępowaniu przed sądem krajowym (zob. podobnie wyroki: z dnia 15 grudnia 1995 r. w sprawie C‑415/93 Bosman, Rec. s. I‑4921, pkt 61; z dnia 15 czerwca 2006 r. w sprawie C‑466/04 Acereda Herrera, Zb.Orz. s. I‑5341, pkt 48; z dnia 31 stycznia 2008 r. w sprawie C‑380/05 Centro Europa 7, Zb.Orz. s. I‑349, pkt 53; ww. wyrok w sprawie Woningstichting Sint Servatius, pkt 43).

41Z postanowień odsyłających wynika, że każdy ze skarżących w postępowaniu przed sądem krajowym wniósł do sądu krajowego skargę na publikację na podstawie rozporządzeń nr 1290/2005 i 259/2008 dotyczących ich danych. Ich skargi zmierzają do tego, aby kraj związkowy Hesja zaniechał lub odmówił przekazania lub publikacji informacji dotyczących dotacji, które otrzymali z EFRG i EFRROW.

42Druga część pytania drugiego i pytanie szóste nie mają związku z przedmiotem sporów przed sądem krajowym. Nie dotyczą one bowiem publikacji danych dotyczących beneficjentów dotacji ze wspomnianych funduszy, takich jak skarżący w postępowaniu przed sądem krajowym, ale zatrzymywania danych dotyczących osób przeglądających strony internetowe. Ponieważ badanie drugiej części pytania drugiego i pytania szóstego nie ma żadnej użyteczności dla rozstrzygnięcia sporu przed sądem krajo wym, nie ma potrzeby odpowiadania na nie.

B – Co do istoty

1W przedmiocie pytania pierwszego i pierwszej części pytania drugiego

a) Uwagi wstępne

43Poprzez pytanie pierwsze i pierwszą część pytania drugiego sąd krajowy zwraca się do Trybunału o zbadanie ważności z jednej strony art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008 zawierającego szczegółowe zasady stosowania obowiązku publikacji ustanowionego w tym art. 44a, a z drugiej strony art. 42 pkt 8b rozporządzenia nr 1290/2005 – przepisu stanowiącego podstawę prawną rozporządzenia nr 259/2008.

44Sąd krajowy stoi na stanowisku, że obowiązek publikacji danych dotyczących beneficjentów pomocy z EFRG i EFRROW, który wynika z przepisów przytoczonych w poprzednim punkcie, stanowi nieuzasadnione naruszenie podstawowego prawa do ochrony danych osobowych. Odwołuje się w tym względzie zasadniczo do art. 8 EKPC.

45Należy przypomnieć, że zgodnie z art. 6 ust. 1 TUE Unia uznaje prawa, wolności i zasady określone w Karcie praw podstawowych Unii Europejskiej (zwanej dalej „kartą”), która ma taką samą moc prawną jak traktaty.

46W tych warunkach ważność art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008 należy oceniać w świetle postanowień karty.

47W tym kontekście art. 8 ust. 1 karty stanowi, że „[k]ażda osoba ma prawo do ochrony danych osobowych jej dotyczących”. To prawo podstawowe jest ściśle związane z prawem do poszanowania życia prywatnego ustanowionym w art. 7 karty.

48Prawo do ochrony danych osobowych nie stanowi jednak prerogatywy o charakterze absolutnym i powinno być oceniane w świetle jego funkcji społecznej (zob. podobnie wyrok z dnia 12 czerwca 2003 r. w sprawie C‑112/00 Schmidberger, Rec. s. I‑5659, pkt 80 i przytoczone tam orzecznictwo).

49Artykuł 8 ust. 2 karty zezwala tym sposobem na przetwarzanie danych osobowych, jeżeli spełnione są określone warunki. W tym względzie postanowienie to przewiduje, że dane osobowe „muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą”.

50Ponadto art. 52 ust. 1 karty dopuszcza wprowadzenie ograniczeń w wykonywaniu praw takich jak prawa ustanowione w art. 7 i 8 karty, o ile przewidziane są one ustawą, szanują istotę tych praw i wolności i z zastrzeżeniem zasady proporcjonalności są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznanym przez Unię lub potrzebom ochrony praw i wolności innych osób.

51W końcu z art. 52 ust. 3 karty wynika, że w zakresie, w jakim zawiera ona prawa, które odpowiadają prawom zagwarantowanym w EKPC, ich znaczenie i zakres są takie same jak praw przyznanych przez tę konwencję. Artykuł 53 karty dodaje w tym kontekście, że żadne z jej postanowień nie może być interpretowane jako ograniczające lub naruszające prawa uznane w szczególności w EKPC.

52W tych warunkach należy uznać z jednej strony, że poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych, uznane w art. 7 i 8 karty, odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (zob. m.in. wyroki Europejskiego Trybunału Praw Człowieka, zwanego dalej „ETPC”: z dnia 16 lutego 2000 r. w sprawie Amann przeciwko Szwajcarii, Recueil des arrêts et décisions , 2000‑II, § 65; z dnia 4 maja 2000 r. w sprawie Rotaru przeciwko Rumunii, Recueil des arrêts et décisions , 2000‑V, § 43), a z drugiej strony, że ograniczenia prawa do ochrony danych osobowych mogą być uzasadnione, jeżeli odpowiadają tym, które są tolerowane w ramach art. 8 EKPC.

b) W przedmiocie ważności art. 44a rozporządzenia nr 1290/2005 i rozporządzenia nr 259/2008

53W pierwszej kolejności należy przypomnieć, że publikacja wymagana w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu nr 259/2008 wykonującym ten artykuł wskazuje imiennie wszystkich beneficjentów pomocy z EFRG i EFRROW, wśród których figurują jednocześnie osoby fizyczne i prawne. Tymczasem, mając na uwadze to, co zostało stwierdzone w pkt 52 niniejszego wyroku, osoby prawne mogą się powoływać na ochronę art. 7 i 8 karty w odniesieniu do takiej identyfikacji tylko wtedy, gdy nazwa oficjalna osoby prawnej identyfikuje jedną lub więcej osób fizycznych.

54Ma to miejsce właśnie w przypadku skarżącej w postępowaniu przed sądem krajowym w sprawie C‑92/09. Nazwa oficjalna tej spółki identyfikuje bezpośrednio osoby fizyczne, które są jej wspólnikami.

55W drugiej kolejności należy sprawdzić, czy art. 44a rozporządzenia nr 1290/2005 i rozporządzenie nr 259/2008 powodują w odniesieniu do beneficjentów pomocy z EFRG i EFRROW będących zidentyfikowanymi lub możliwymi do zidentyfikowania osobami fizycznymi (zwanych dalej „zainteresowanymi beneficjentami”) naruszenie praw przyznanych im w art. 7 i 8 karty i czy w danym przypadku takie naruszenie jest uzasadnione w świetle art. 52 karty.

i) W przedmiocie naruszenia praw przyznanych w art. 7 i 8 karty

56Artykuł 44a rozporządzenia nr 1290/2005 zobowiązuje państwa członkowskie do zapewnienia corocznej publikacji ex post wykazu beneficjentów pomocy z EFRG i EFRROW oraz kwot otrzymanych przez każdego beneficjenta w ramach każdego z tych funduszy. Z motywu 14 rozporządzenia nr 1437/2007, zmieniającego rozporządzenie nr 1290/2005, wynika, że informacje te powinny być podane do „wiadomości ogólnej”.

57Rozporządzenie nr 259/2008 określa w art. 1 ust. 1 lit. d) treść publikacji i przewiduje, że oprócz elementów przytoczonych w poprzednim punkcie i innych informacji dotyczących otrzymanej pomocy publikowane są „gmina, na której terenie beneficjent ma miejsce zamieszkania lub siedzibę, oraz, o ile to możliwe, kod pocztowy lub jego część pozwalająca na identyfikację gminy”. Artykuł 2 wspomnianego rozporządzenia przewiduje, że informacje są publikowane na stronie internetowej, po jednej na każde państwo członkowskie, i mogą być przeglądane z pomocą wyszukiwarki.

58Nie jest kwestionowane, że kwoty, które zainteresowani beneficjenci otrzymują z EFRG i EFRROW, stanowią – często znaczną – część ich przychodów. Publikacja na stronie internetowej imiennych danych dotyczących zainteresowanych beneficjentów i dokładnych kwot przez nich otrzymanych stanowi z tego względu, że dane te stają się dostępne osobom trzecim, ingerencję w ich życie prywatne w rozumieniu art. 7 karty (zob. podobnie ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 73, 74).

59W tym względzie nie ma znaczenia, że publikowane dane są związane z działalnością zawodową (zob. ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 73, 74). Europejski Trybunał Praw Człowieka orzekł w tym względzie w odniesieniu do wykładni art. 8 EKPC, że termin „życie prywatne” nie może być interpretowany w sposób zawężający oraz że „nic nie uzasadnia wyłączenia działalności zawodowej […] z zakresu »życia prywatnego«” (zob. w szczególności ww. wyroki ETPC: w sprawie Amann przeciwko Szwajcarii, § 65; w sprawie Rotaru przeciwko Rumunii, § 43).

60Ponadto publikacja wymagana w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu nr 259/2008 stanowi przetwarzanie danych osobowych objęte art. 8 ust. 2 karty.

61Kraj związkowy Hesja kwestionuje jednak, by w ogóle miała miejsce ingerencja w życie prywatne skarżących w postępowaniu przed sądem krajowym, gdyż zostali oni poinformowani w formularzu wniosku o obowiązkowej publikacji dotyczących ich danych i zgodnie z art. 8 ust. 2 karty dali swoją zgodę na tę publikację poprzez złożenie wniosku.

62W tym względzie należy stwierdzić, że art. 42 pkt 8b rozporządzenia nr 1290/2005 przewiduje jedynie „informowanie beneficjentów funduszy o możliwości podania tych danych [tj. ich nazwiska i kwot otrzymanych z każdego z danych funduszy] do wiadomości publicznej”. Artykuł 4 ust. 1 rozporządzenia nr 259/2008 zawiera przepis podobny, przewidując, że „[p]aństwa członkowskie informują beneficjentów o tym, że ich dane będą publikowane”.

63Odnośna regulacja unijna, która ogranicza się do ustanowienia, że beneficjenci pomocy będą wcześniej informowani o publikacji dotyczących ich danych, nie zmierza więc do oparcia wprowadzonego przez nią przetwarzania danych osobowych na zgodzie zainteresowanych beneficjentów. Poza tym należy stwierdzić, że w sprawach przed sądem krajowym skarżący w formularzach wniosku o dopłaty jedynie „przyję[li] do wiadomości, że na podstawie art. 44a rozporządzenia nr 1290/2005 informacje o beneficjentach środków z EFRG i EFRROW […] podlegają publikacji”.

64Ze względu na to, że z jednej strony publikacja danych imiennych dotyczących zainteresowanych beneficjentów i dokładnych kwot pochodzących z EFRG i EFRROW przez nich otrzymanych stanowi względem tych beneficjentów naruszenie praw przyznanych w art. 7 i 8 karty i że z drugiej strony takie przetwarzanie danych osobowych nie opiera się na zgodzie zainteresowanych beneficjentów, należy zbadać, czy naruszenie to jest uzasadnione w świetle art. 52 ust. 1 karty.

ii) W przedmiocie uzasadnienia naruszenia praw przyznanych w art. 7 i 8 karty

65Należy przypomnieć, że art. 52 ust. 1 karty dopuszcza wprowadzenie ograniczeń w wykonywaniu praw takich jak ustanowione w art. 7 i 8 karty, o ile przewidziane są one ustawą, szanują istotę tych praw i wolności oraz z zastrzeżeniem zasady proporcjonalności są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznanym przez Unię lub potrzebom ochrony praw i wolności innych osób.

66Po pierwsze, jest bezsporne, że ingerencję wynikającą z publikacji na stronie internetowej imiennych danych dotyczących zainteresowanych beneficjentów należy postrzegać jako „przewidzianą ustawą” w rozumieniu art. 52 ust. 1 karty. Artykuł 1 ust. 1 i art. 2 rozporządzenia nr 259/2008 przewidują bowiem wyraźnie taką publikację.

67W drugiej kolejności, jeżeli chodzi o kwestię, czy ingerencja ta odpowiada celowi interesu ogólnego uznawanego przez Unię w rozumieniu art. 52 ust. 1 karty, z motywu 14 rozporządzenia nr 1437/2007, zmieniającego rozporządzenie nr 1290/2005, i motywu 6 rozporządzenia nr 259/2008 wynika, że publikacja nazwisk beneficjentów pomocy z EFRG i EFRROW i kwot otrzymywanych przez nich z tych funduszy ma „zwiększ[yć] przejrzystość wykorzystania środków wspólnotowych w ramach [WPR] oraz jakość finansowego zarządzania wspomnianymi funduszami, w szczególności przez wzmocnienie publicznej kontroli wykorzystanych środków finansowych”.

68Należy przypomnieć, że zasada przejrzystości jest ujęta w art. 1 TUE i 10 TUE oraz art. 15 TFUE. Pozwala ona obywatelom na bliższe uczestnictwo w procesie podejmowania decyzji i gwarantuje, że administracja cieszy się większą prawowitością, jest bardziej skuteczna i odpowiedzialna względem obywateli w systemie demokratycznym (zob. wyroki: z dnia 6 marca 2003 r. w sprawie C‑41/00 P Interporc przeciwko Komisji, Rec. s. I‑2125, pkt 39; z dnia 29 czerwca 2010 r. w sprawie C‑28/08 P Komisja przeciwko Bavarian Lager, Zb.Orz. s. I‑6055, pkt 54).

69Wzmacniając publiczną kontrolę wykorzystania kwot wypłaconych z EFRG i EFRROW, publikacja wymagana w przepisach, których ważność jest kwestionowana, przyczynia się do właściwego wykorzystania funduszy publicznych przez administrację publiczną (zob. podobnie ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 81).

70Ponadto wspomniana publikacja dotycząca wykorzystania kwot wypłaconych z danych funduszy rolnych pozwala obywatelowi na lepsze uczestnictwo w debacie publicznej wokół podejmowania decyzji dotyczących ukierunkowania WPR.

71Zmierzając do zwiększenia przejrzystości wykorzystania funduszy w ramach WPR, art. 44a rozporządzenia nr 1290/2005 i rozporządzenie nr 259/2008 realizują zatem cel interesu ogólnego uznawanego przez Unię.

72Po trzecie, należy również sprawdzić, czy ograniczenie wprowadzone do praw ustanowionych w art. 7 i 8 karty jest proporcjonalne do zamierzonego zasadnego celu (zob. m.in. wyrok ETPC z dnia 24 listopada 1986 r. w sprawie Gillow przeciwko Zjednoczonemu Królestwu, seria A, nr 109, § 55; ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 83).

73W tym kontekście skarżący w postępowaniu przed sądem krajowym wskazują na to, że dane, których publikację przewidziano w art. 44a rozporządzenia nr 1290/2005 i w rozporządzeniu nr 259/2008, pozwalają osobom trzecim na wyciągnięcie wniosków co do ich przychodów. Wyjaśniają, że dopłaty te stanowią między 30% a 70% dochodów ogółem zainteresowanych beneficjentów. Zasadnemu interesowi społeczeństwa zadośćuczyniłaby publikacja anonimowych danych statystycznych.

74Z utrwalonego orzecznictwa wynika, że zasada proporcjonalności, która zalicza się do podstawowych zasad prawa wspólnotowego, wymaga, by środki wprowadzone aktem Unii były odpowiednie do realizacji zamierzonego celu i nie wykraczały poza to, co jest konieczne do jego osiągnięcia (wyrok z dnia 8 czerwca 2010 r. w sprawie C‑58/08 Vodafone i in., Zb.Orz. s. I‑4999, pkt 51 i przytoczone tam orzecznictwo).

75Nie kwestionuje się, że publikacja poprzez Internet danych imiennych dotyczących zainteresowanych beneficjentów i dokładnych kwot pochodzących z EFRG i EFRROW otrzymanych przez nich może powodować zwiększenie przejrzystości w odniesieniu do wykorzystania danych dopłat rolnych. Udostępnienie takich informacji obywatelom wzmacnia publiczną kontrolę wykorzystania danych kwot i przyczynia się do optymalnego wykorzystania funduszy publicznych.

76Jeżeli chodzi o konieczność środka, należy przypomnieć, że celu wspomnianej publikacji nie można realizować bez uwzględnienia faktu, iż należy pogodzić go z prawami podstawowymi ustanowionymi w art. 7 i 8 karty (zob. podobnie wyrok z dnia 16 grudnia 2008 r. w sprawie C‑73/07 Satakunnan Markkinapörssi i Satamedia, Zb.Orz. s. I‑9831, pkt 53).

77Należy zatem sprawdzić, czy Rada i Komisja dokonały odpowiedniego wyważenia interesu Unii polegającego na zapewnieniu przejrzystości jej działań i optymalnego wykorzystania funduszy publicznych, z jednej strony, i naruszanego prawa zainteresowanych beneficjentów do poszanowania ich życia prywatnego w ogólności i ochrony ich danych osobowych w szczególności, z drugiej strony. W tym względzie Trybunał orzekł już, że odstępstwa i ograniczenia ochrony danych powinny ograniczać się do tego, co absolutnie konieczne (ww. wyrok w sprawie Satakunnan Markkinapörssi i Satamedia, pkt 56).

78Rządy, które złożyły uwagi na piśmie przed Trybunałem, Rada i Komisja argumentują, że cel realizowany poprzez publikację wymaganą w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu nr 259/2008 nie mógł zostać osiągnięty poprzez środki słabiej ingerujące w prawo zainteresowanych beneficjentów do poszanowania ich życia prywatnego w ogólności i ochrony ich danych osobowych w szczególności. Informacje ograniczone do zainteresowanych beneficjentów, których dopłaty przekraczają określony próg, nie oferowałyby podatnikowi wiernego obrazu WPR. Podatnik miałby bowiem wrażenie, że są tylko „wielcy” beneficjenci pomocy z wspomnianych funduszy rolnych, a przecież jest bardzo wielu „małych” beneficjentów. Ograniczenie publikacji do osób prawnych również nie byłoby satysfakcjonujące. Komisja podnosi w tym kontekście, że pośród największych beneficjentów dotacji rolnych figurują osoby fizyczne.

79Wprawdzie w demokratycznym społeczeństwie podatnicy mają prawo do informacji o wykorzystaniu wydatków publicznych (ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 85), niemniej odpowiednie wyważenie różnych podlegających uwzględnieniu interesów wymagało przed przyjęciem przepisów, których ważność jest kwestionowana, zweryfikowania przez odpowiednie instytucje, czy publikacja poprzez stronę internetową, jedną na każde państwo członkowskie i swobodnie dostępną, imiennych danych dotyczących wszystkich zainteresowanych beneficjentów i dokładnych kwot pochodzących z EFRG i EFRROW otrzymanych przez każdego z nich – bez rozróżnienia w zależności od okresu, częstości lub rodzaju i wysokości otrzymanej pomocy – nie wykraczała poza to, co było konieczne dla realizacji zasadnie zamierzonych celów, mając na względzie w szczególności powodowane przez taką publikację naruszenie praw przyznanych w art. 7 i 8 karty.

80Jeżeli chodzi o osoby fizyczne będące beneficjentami pomocy z EFRG i EFRROW, nie okazuje się, by Rada i Komisja starały się dokonać takiego odpowiedniego wyważenia interesu Unii polegającego na zapewnieniu przejrzystości jej działań i optymalnego wykorzystania funduszy publicznych, z jednej strony, i praw podstawowych ustanowionych w art. 7 i 8 karty, z drugiej strony.

81Nic nie wskazuje bowiem na to, by Rada i Komisja, przyjmując art. 44a rozporządzenia nr 1290/2005 i rozporządzenie nr 259/2008, rozpatrzyły szczegółowe zasady publikacji informacji dotyczących zainteresowanych beneficjentów, które byłyby zgodne z celem takiej publikacji, a jednocześnie słabiej ingerowały w prawo tych beneficjentów do poszanowania ich życia prywatnego w ogólności i ochrony ich danych osobowych w szczególności, takie jak ograniczenie publikacji imienn ych danych dotyczących tych beneficjentów w zależności od okresu, w którym otrzymywali pomoc, jej częstości czy też rodzaju i wysokości.

82Ograniczonej w ten sposób publikacji imiennej mogłyby ewentualnie towarzyszyć odpowiednie wyjaśnienia dotyczące innych osób fizycznych będących beneficjentami pomocy ze wspomnianych funduszy i otrzymanych przez nich kwot.

83Instytucje powinny były zatem zbadać w ramach odpowiedniego wyważenia różnych interesów podlegających uwzględnieniu, czy ograniczona publikacja imienna, taka jak wskazano w pkt 81 niniejszego wyroku, nie byłaby wystarczająca dla osiągnięcia celów rozpatrywanej regulacji unijnej. W szczególności nie okazuje się, by takie ograniczenie, które chroniłoby niektórych z zainteresowanych beneficjentów przed ingerencją w ich życie prywatne, nie dawało obywatelowi wystarczająco wiernego obrazu pomocy wypłacanej z EFRG i EFRROW, umożliwiając jednocześnie osiągnięcie celów wspomnianej regulacji.

84Państwa członkowskie, które złożyły uwagi na piśmie, oraz Rada i Komisja wskazują ponadto na istotny udział WPR w budżecie Unii w celu uzasadnienia konieczności publikacji wymaganej w art. 44a rozporządzenia nr 1290/2005 i w rozporządzeniu nr 259/2008.

85Argument ten należy oddalić. Należy przypomnieć, że przed udostępnieniem informacji dotyczących osoby fizycznej instytucje są zobowiązane wyważyć interes Unii w zapewnieniu przejrzystości jej działań i naruszane prawa przyznane art. 7 i 8 karty. Celowi przejrzystości nie można jednak przyznać automatycznego pierwszeństwa przed prawem do ochrony danych osobowych (zob. podobnie ww. wyrok w sprawie Komisja przeciwko Bavarian Lager, pkt 75–79), nawet jeżeli w grę wchodzą istotne interesy ekonomiczne.

86Z powyższego nie wynika, by instytucje dokonały odpowiedniego wyważenia celów art. 44a rozporządzenia nr 1290/2005 i rozporządzenia nr 259/2008 i praw przyznanych osobom fizycznym w art. 7 i 8 karty. Z uwagi na to, że ograniczenia ochrony danych osobowych powinny ograniczać się do tego, co absolutnie konieczne (ww. wyrok w sprawie Satakunnan Markkinapörssi i Satamedia, pkt 56) i że możliwe są środki, które słabiej ingerują w to prawo podstawowe osób fizycznych, a jednocześnie w skuteczny sposób przyczyniają się do realizacji celów rozpatrywanego uregulowania, należy stwierdzić, że nakazując publikację nazwisk wszystkich osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW oraz dokładnych kwot otrzymywanych przez nie, Rada i Komisja przekroczyły granice, które wyznacza poszanowanie zasady proporcjonalności.

87W końcu, jeżeli chodzi o osoby prawne będące beneficjentami pomocy z EFRG i EFRROW, w zakresie, w jakim mogą one powoływać się na prawa przyznane w art. 7 i 8 karty (zob. pkt 53 niniejszego wyroku), należy uznać, że obowiązek publikacji wynikający z przepisów, których ważność jest kwestionowana, nie przekracza granic, które wyznacza poszanowanie zasady proporcjonalności. Waga naruszenia prawa do ochrony danych osobowych jest bowiem inna w przypadku osób prawnych i w przypadku osób fizycznych. Należy zaznaczyć, że osoby prawne podlegają już szerszemu obowiązkowi publikacji danych ich dotyczących. Poza tym obowiązek zbadania przez organy krajowe przed publikacją omawianych danych w odniesieniu do każdej osoby prawnej będącej beneficjentem pomocy z EFRG lub EFRROW, czy jej nazwa wskazuje osoby fizyczne, nakładałby na właściwe organy krajowe nadmierne obciążenie administracyjne (zob. podobnie wyrok ETPC w sprawie K.U. przeciwko Finlandii z dnia 2 marca 2009 r., skarga nr 2872/02, dotychczas nieopublikowany, § 48).

88W tych warunkach należy uznać, że przepisy, których ważność jest kwestionowana przez sąd krajowy, w zakresie, w jakim odnoszą się do publikacji danych dotyczących osób prawnych, zachowują właściwą równowagę przy uwzględnieniu występujących w danym przypadku interesów.

89Na podstawie całości powyższych rozważań należy stwierdzić nieważność art. 44a rozporządzenia nr 1290/2005 i rozporządzenia nr 259/2008 w zakresie, w jakim w odniesieniu do osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW przepisy te wymagają publikacji danych osobowych dotyczących każdego beneficjenta, bez wprowadzenia rozróżnienia według odpowiednich kryteriów, takich jak okresy, w których otrzymali tę pomoc, jej częstość czy też rodzaj i wysokość.

c) W przedmiocie ważności art. 42 pkt 8b rozporządzenia nr 1290/2005

90Należy przypomnieć, że art. 42 pkt 8b rozporządzenia nr 1290/2005 uprawnia Komisję do przepisów wykonawczych tylko do art. 44a tego rozporządzenia.

91Ponieważ jednak z podanych wyżej powodów należy stwierdzić nieważność art. 44a rozporządzenia nr 1290/2005, w ten sam sposób należy stwierdzić nieważność art. 42 pkt 8b tego rozporządzenia.

92Na pytanie pierwsze i pierwszą część pytania drugiego należy zatem odpowiedzieć, że art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenie nr 259/2008 są nieważne w zakresie, w jakim w odniesieniu do osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW przepisy te wymagają publikacji danych osobowych dotyczących każdego beneficjenta, bez wprowadzenia rozróżnienia według odpowiednich kryteriów, takich jak okresy, w których otrzymali tę pomoc, jej częstość czy też rodzaj i wysokość.

d) W przedmiocie skutków w czasie stwierdzonej nieważności

93Należy przypomnieć, że jeśli jest to uzasadnione nadrzędnymi względami pewności prawa, Trybunał dysponuje na podstawie art. 264 akapit drugi TFUE, który przez analogię ma zastosowanie również w ramach odesłania prejudycjalnego dotyczącego oceny ważności aktów Unii na podstawie art. 267 TFUE, uprawnieniem do wskazania w każdym konkretnym przypadku skutków danego aktu, które powinny być uważane za ostateczne (zob. podobnie wyrok z dnia 22 grudnia 2008 r. w sprawie C‑333/07 Regie Networks, Zb.Orz. s. I‑10807, pkt 121 i przytoczone tam orzecznictwo).

94Biorąc pod uwagę wysoką liczbę publikacji, których dokonano w państwach członkowskich na podstawie uregulowania, które było uznawane za obowiązujące, należy uznać, że stwierdzona nieważność wyżej wymienionych przepisów wykonawczych nie pozwala na kwestionowanie skutków publikacji wykazów beneficjentów pomocy z EFRG i EFRROW dokonanej przez organy krajowe na podstawie tych przepisów w okresie przed dniem wydania niniejszego wyroku.

2W przedmiocie pytania trzeciego

95Poprzez to pytanie sąd krajowy zmierza zasadniczo do ustalenia, czy art. 18 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować w ten sposób, że publikacja informacji wynikająca z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008 może mieć miejsce tylko wtedy, gdy urzędnik do spraw ochrony danych osobowych przed tą publikacją prowadził pełen rejestr w rozumieniu tego art. 18 ust. 2 tiret drugie.

96Należy przypomnieć w tym względzie, że art. 18 ust. 1 dyrektywy 95/46 ustanawia zasadę zawiadamiania organu kontrolnego przed przeprowadzeniem całościowej lub częściowej operacji automatycznego przetwarzania danych osobowych lub zestawu takich operacji mających służyć jednemu celowi lub wielu powiązanym ze sobą celom. Jak wyjaśnia motyw 48 dyrektywy 95/46, „[p]rocedury dotyczące zawiadamiania organu [kontrolnego] są skonstruowane w taki sposób, aby zapewnić ujawnienie celów i głównych cech operacji przetwarzania danych dla ustalenia, czy operacja taka jest zgodna z krajowymi przepisami przyjętymi na podstawie [tej] dyrektywy”.

97Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46 stanowi jednak, że państwa członkowskie mogą wprowadzić uproszczenie procedury zawiadomienia lub zwolnienie z tego obowiązku między innymi, jeżeli administrator danych powoła urzędnika do spraw ochrony danych osobowych. Z postanowienia odsyłającego wynika, że w kraju związkowym Hesja dokonano tego w odniesieniu do publikacji danych wynikającej z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 i rozporządzenia nr 259/2008.

98Zgodnie z art. 18 ust. 2 tiret drugie dyrektywy 95/46 na urzędniku do spraw ochrony danych osobowych spoczywają różne zadania, które mogą zapewnić, iż operacje przetwarzania nie będą naruszały praw i wolności osób, których dane dotyczą. Urzędnik jest przykładowo odpowiedzialny za prowadzenie „rejestru operacji przetwarzania danych wykonywanych przez administratora danych i zawierających informacje określone w art. 21 ust. 2 [dyrektywy 95/46]”. Ten ostatni przepis odsyła do art. 19 ust. 1 lit. a)–e) tej samej dyrektywy.

99Niemniej, wbrew temu, co utrzymuje sąd krajowy, art. 18 ust. 2 tiret drugie dyrektywy 95/46 nie nakłada obowiązku prowadzenia przez urzędnika do spraw ochrony danych osobowych rejestru zawierającego informacje określone w art. 21 ust. 2 w związku z art. 19 ust. 1 lit. a)–e) dyrektywy 95/46 już przed rozpoczęciem danej operacji przetwarzania danych. Rejestr, o którym mowa w art. 18 ust. 2 tiret drugie dyrektywy 95/46, musi bowiem zawierać jedynie „wykonywane operacje przetwarzania danych”.

100W tych warunkach stwierdzony przez sąd krajowy brak pełnego rejestru przed rozpoczęciem operacji przetwarzania danych nie może naruszać legalności publikacji takiej jak wynikająca z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008.

101Na pytanie trzecie należy zatem odpowiedzieć, że art. 18 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować w ten sposób, że nie nakłada on na urzędnika do spraw ochrony danych osobowych obowiązku prowadzenia rejestru przewidzianego w tym przepisie przed rozpoczęciem przetwarzania danych osobowych w rozumieniu art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008.

3W przedmiocie pytania czwartego

102Tym pytaniem sąd krajowy zmierza zasadniczo do ustalenia, czy art. 20 dyrektywy 95/46 należy interpretować w ten sposób, że poddaje on publikację informacji wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008 kontroli wstępnej przewidzianej w tym art. 20.

103Należy zaznaczyć na wstępie, że art. 20 ust. 1 dyrektywy 95/46 stanowi, iż „[p]aństwa członkowskie definiują operacje przetwarzania danych mogące stwarzać określone zagrożenia dla praw i wolności osób, których dane dotyczą, oraz kontrolują, czy dane te są badane przed ich rozpoczęciem”.

104Wynika z tego, że dyrektywa 95/46 nie poddaje operacji przetwarzania danych osobowych ogólnej kontroli wstępnej. Jak wynika bowiem z motywu 52 dyrektywy 95/46, prawodawca unijny uznał, że „kontrola ex post przeprowadzana przez właściwe organy musi z reguły być uznawana za wystarczający środek”.

105Jeżeli chodzi o operacje przetwarzania poddane kontroli wstępnej, czyli te, które mogą stwarzać szczególne zagrożenia dla praw i wolności osób, których dane dotyczą, motyw 53 dyrektywy 95/46 wyjaśnia, że operacje przetwarzania mogą stwarzać takie zagrożenia „ze względu na ich charakter, ich zakres lub przeznaczenie”. Nawet jeżeli dozwolone jest, by państwa członkowskie bardziej szczegółowo określiły w swoim ustawodawstwie operacje przetwarzania, które mogą stwarzać szczególne zagrożenia dla praw i wolności osób, których dane dotyczą, dyrektywa przewiduje, jak wynika z jej motywu 54, że ich liczba powinna być „bardzo ograniczona”.

106Należy zaznaczyć jeszcze, że zgodnie z art. 27 ust. 1 rozporządzenia nr 45/2001 operacje przetwarzania danych mogące stwarzać określone zagrożenia dla praw i wolności osób, których dane dotyczą, poddane są również kontroli wstępnej, jeżeli są wykonywane przez instytucje i organy Unii. Artykuł 27 ust. 2 tego rozporządzenia określa operacje przetwarzania, które mogą nieść takie zagrożenia. Mając na uwadze paralelizm przepisów dyrektywy 95/46 i rozporządzenia nr 45/2001 dotyczących kontroli wstępnej, zawarty w art. 27 ust. 2 rozporządzenia nr 45/2001 wykaz operacji przetwarzania mogących stwarzać szczególne zagrożenia dla praw i wolności osób, których dane dotyczą, należy uznać za właściwy dla interpretacji art. 20 dyrektywy 95/46.

107Tymczasem nie można stwierdzić, by publikacja wymagana w art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu nr 259/2008 była objęta jedną z kategorii operacji przetwarzania określonych w art. 27 ust. 2 rozporządzenia nr 45/2001.

108W tych warunkach na pytanie czwarte należy odpowiedzieć, że art. 20 dyrektywy 95/46 należy interpretować w ten sposób, iż nie zobowiązuje on państw członkowskich do tego, by przewidzianej w tym przepisie kontroli wstępnej poddawały publikację informacji wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008.

109Mając na uwadze odpowiedź udzieloną na pytanie czwarte, nie ma potrzeby odpowiadania na pytanie piąte.

IV – W przedmiocie kosztów

110Dla stron postępowania przed sądem krajowym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed tym sądem, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż poniesione przez strony postępowania przed sądem krajowym, nie podlegają zwrotowi.

Sentencja

Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:

1) Stwierdza się nieważność art. 42 pkt 8b i art. 44a rozporządzenia Rady (WE) nr 1290/2005 z dnia 21 czerwca 2005 r. w sprawie finansowania wspólnej polityki rolnej, zmienionego rozporządzeniem Rady (WE) nr 1437/2007 z dnia 26 listopada 2007 r., oraz rozporządzenia Komisji (WE) nr 259/2008 z dnia 18 marca 2008 r. ustanawiającego szczegółowe zasady stosowania rozporządzenia Rady (WE) nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów środków pochodzących z Europejskiego Funduszu Rolniczego Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich (EFRROW) w zakresie, w jakim w odniesieniu do osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW przepisy te wymagają publikacji danych osobowych dotyczących każdego beneficjenta, bez wprowadzenia rozróżnienia według odpowiednich kryteriów, takich jak okresy, w których otrzymali tę pomoc, jej częstość czy też rodzaj i wysokość.

2) Nieważność przepisów prawa Unii wspomnianych w pkt 1 sentencji nie pozwala na kwestionowanie skutków publikacji wykazów beneficjentów pomocy z EFRG i EFRROW dokonanej przez organy krajowe na podstawie tych przepisów w okresie przed dniem wydania niniejszego wyroku.

3) Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że nie nakłada on na urzędnika do spraw ochrony danych osobowych obowiązku prowadzenia rejestru przewidzianego w tym przepisie przed rozpoczęciem przetwarzania danych osobowych w rozumieniu art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005, zmienionego rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008.

4) Artykuł 20 dyrektywy 95/46 należy interpretować w ten sposób, iż nie zobowiązuje on państw członkowskich do tego, by poddawały przewidzianej w tym przepisie kontroli wstępnej publikację informacji wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005, zmienionego rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008.