Repertoriul jurisprudenței HOTĂRÂREA CURȚII (Camera a doua) 4 mai 2017 * Trimitere preliminară Directiva 95/46/CE Articolul 7 litera (f) Date cu caracter personal Condiții de legalitate a unei prelucrări de date cu caracter personal Noțiunea «necesitate pentru realizarea interesului legitim al unui terț» Cerere de comunicare a datelor personale ale unei persoane răspunzătoare de un accident de circulație în scopul exercitării unui drept în justiție Obligația operatorului de a admite o astfel de cerere Inexistență În cauza C-13/16, având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Augstākās tiesas Administratīvo lietu departaments (Curtea Supremă, Secția de contencios administrativ, Letonia), prin decizia din 30 decembrie 2015, primită de Curte la 8 ianuarie 2016, în procedura Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde împotriva Rīgas pašvaldības SIA Rīgas satiksme, CURTEA (Camera a doua), compusă din domnul M. Ilešič, președinte de cameră, doamna A. Prechal, domnul A. Rosas (raportor), doamna C. Toader și domnul E. Jarašiūnas, judecători, avocat general: domnul M. Bobek, grefier: domnul M. Aleksejev, administrator, având în vedere procedura scrisă și în urma ședinței din 24 noiembrie 2016, luând în considerare observațiile prezentate: pentru Rīgas pašvaldības SIA Rīgas satiksme, de L. Bemhens, în calitate de agent; pentru guvernul leton, de I. Kalniņš și de A. Bogdanova, în calitate de agenți; pentru guvernul ceh, de J. Vláčil și de M. Smolek, în calitate de agenți; pentru guvernul spaniol, de M. J. García-Valdecasas Dorrego, în calitate de agent; pentru guvernul austriac, de G. Eberhard, în calitate de agent; RO * Limba de procedură: letona. ECLI:EU:C:2017:336 1
pentru guvernul portughez, de L. Inez Fernandes, de M. Figueiredo și de C. Vieira Guerra, în calitate de agenți; pentru Comisia Europeană, de D. Nardi, de H. Kranenborg și de I. Rubene, în calitate de agenți, după ascultarea concluziilor avocatului general în ședința din 26 ianuarie 2017, pronunță prezenta Hotărâre 1 Cererea de decizie preliminară privește interpretarea articolului 7 litera (f) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10). 2 Această cerere a fost formulată în cadrul unui litigiu între Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (Biroul pentru contravenții rutiere din cadrul Direcției de ordine publică a Poliției Naționale din Regiunea Riga, Letonia) (denumit în continuare poliția națională ), pe de o parte, și Rīgas pašvaldības SIA Rīgas satiksme (denumită în continuare Rīgas satiksme ), societate de troleibuze a orașului Riga, pe de altă parte, în legătură cu o cerere de comunicare a datelor de identificare a autorului unui accident. Cadrul juridic Dreptul Uniunii 3 Articolul 1 din Directiva 95/46, intitulat Obiectul directivei, prevede: (1) Statele membre asigură, în conformitate cu prezenta directivă, protejarea drepturilor și libertăților fundamentale ale persoanei și în special a dreptului la viața privată în ceea ce privește prelucrarea datelor cu caracter personal. (2) Statele membre nu pot limita interzice libera circulație a datelor cu caracter personal între statele membre din motive legate de protecția asigurată în conformitate cu alineatul (1). 4 Articolul 2 din această directivă prevede: În sensul prezentei directive: (a) «date cu caracter personal» înseamnă orice informație referitoare la o persoană fizică identificată identificabilă (persoana vizată); o persoană identificabilă este o persoană care poate fi identificată, direct indirect, în special prin referire la un număr de identificare la unul mai multe elemente specifice, proprii identității sale fizice, fiziologice, psihice, economice, culturale sociale; (b) «prelucrarea datelor cu caracter personal» (prelucrare) înseamnă orice operațiune serie de operațiuni care se efectuează asupra datelor cu caracter personal, prin mijloace automate neautomate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminare în orice alt mod, alăturarea ori combinarea, blocarea, ștergerea distrugerea; 2 ECLI:EU:C:2017:336
[ ] (d) «operator» înseamnă persoana fizică juridică, autoritatea publică, agenția orice alt organism care, singur împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin acte cu putere de lege norme administrative interne comunitare, operatorul criteriile specifice pentru desemnarea acestuia pot fi stabilite prin dreptul intern comunitar; [ ] 5 Articolul 5 din Directiva 95/46 prevede: Statele membre precizează, în limitele dispozițiilor prezentului capitol, condițiile în care operațiunile de prelucrare a datelor cu caracter personal sunt legale. 6 Inclus în secțiunea II, intitulată Criterii privind legitimitatea prelucrării datelor, din capitolul II din Directiva 95/46, articolul 7 din această directivă prevede: Statele membre prevăd ca datele cu caracter personal să fie prelucrate numai dacă: (a) persoana vizată și-a dat consimțământul neechivoc (b) prelucrarea este necesară pentru executarea unui contract la care subiectul datelor este parte în vederea luării unor măsuri, la cererea acesteia, înainte de încheierea contractului (c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului (d) prelucrarea este necesară în scopul protejării interesului vital al persoanei vizate (e) prelucrarea este necesară pentru aducerea la îndeplinire a unei sarcini de interes public care rezultă din exercitarea autorității publice cu care este învestit operatorul terțul căruia îi sunt comunicate datele (f) prelucrarea este necesară pentru realizarea interesului legitim urmărit de operator de către unul mai mulți terți [cărora le sunt comunicate datele], cu condiția ca acest interes să nu prejudicieze interesul drepturile și libertățile fundamentale ale persoanei vizate, care necesită protecție în temeiul articolului 1 alineatul (1). 7 Articolul 8 alineatul (2) litera (e) din Directiva 95/46 prevede că interdicția privind prelucrarea anumitor tipuri de date cu caracter personal, precum cele care dezvăluie originea rasială opiniile politice, nu se aplică în cazul în care prelucrarea se referă la date care sunt făcute publice de către persoanele vizate în mod manifest sunt necesare pentru constatarea, exercitarea apărarea unui drept în justiție. ECLI:EU:C:2017:336 3
Dreptul leton 8 Articolul 6 din Fizisko personu datu aizsardzības likums (Legea privind protecția datelor persoanelor fizice) din 23 martie 2000 (Latvijas Vēstnesis, 2000, nr. 123/124) prevede: Orice persoană fizică are dreptul la protecția datelor cu caracter personal care o privesc. 9 Articolul 7 din această lege, care urmărește să transpună articolul 7 din Directiva 95/46, prevede că prelucrarea datelor cu caracter personal este permisă numai dacă legea menționată nu prevede altfel și dacă este îndeplinită cel puțin una dintre următoarele condiții: 1) persoana vizată și-a dat consimțământul; 2) prelucrarea datelor rezultă din obligații contractuale asumate de persoana vizată, la cererea acesteia, prelucrarea menționată este necesară pentru încheierea contractului respectiv; 3) este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului; 4) prelucrarea datelor este necesară în scopul protejării intereselor vitale ale persoanei vizate, inclusiv a vieții și a sănătății acesteia; 5) prelucrarea este necesară pentru aducerea la îndeplinire a unei sarcini de interes public care rezultă din exercitarea autorității publice cu care este învestit operatorul terțul căruia îi sunt comunicate datele; 6) prelucrarea datelor este necesară, fără a prejudicia drepturile și libertățile fundamentale ale persoanei vizate, pentru realizarea interesului legitim urmărit de operator de terțul căruia i se comunică datele. 10 Articolul 12 din această lege prevede că datele cu caracter personal care privesc infracțiunile, condamnările penale, sancțiunile administrative, precum și deciziile judiciare dosarele judiciare nu pot fi prelucrate decât de persoanele prevăzute de lege și în cazurile prevăzute de aceasta. 11 Potrivit articolului 261 din Latvijas Administratīvo pārkāpumu kodekss (Codul leton privind contravențiile), calitatea de parte vătămată a unei persoane care a suferit un prejudiciu în urma unei contravenții poate fi recunoscută, în cadrul procedurii contravenționale, de instituția de funcționarul care este abilitat să examineze cauza. Această dispoziție prevede drepturile părții vătămate, inclusiv dreptul de a consulta dosarul și de a-și exercita drepturile procedurale pentru obținerea unei despăgubiri. Litigiul principal și întrebările preliminare 12 În luna decembrie 2012 a avut loc un accident de circulație în Riga. Un șofer de taxi a oprit vehiculul pe marginea carosabilului. La momentul la care un troleibuz al Rīgas satiksme trecea prin dreptul acestui taxi, pasagerul care se afla pe scaunul din spate al taxiului menționat a deschis portiera, care a lovit și a deteriorat troleibuzul. A fost inițiată o procedură contravențională și a fost întocmit un proces-verbal de constatare a unei contravenții. 13 Întrucât inițial șoferul de taxi a fost considerat responsabil de producerea accidentului, Rīgas satiksme a solicitat o despăgubire societății de asigurări care acoperea răspunderea civilă a proprietarului taxiului în cauză a utilizatorului său legal. Cu toate acestea, societatea de asigurări menționată a informat 4 ECLI:EU:C:2017:336
Rīgas satiksme că nu îi va plăti nicio despăgubire, pentru motivul că accidentul a survenit ca urmare a comportamentului pasagerului acestui taxi, iar nu al șoferului. Ea a precizat că Rīgas satiksme putea să își valorifice pretențiile împotriva respectivului pasager în cadrul unei proceduri de drept civil. 14 Rīgas satiksme s-a adresat atunci poliției naționale pentru a solicita comunicarea informațiilor referitoare la persoana care a fost sancționată contravențional în urma accidentului respectiv, trimiterea unei copii a declarațiilor șoferului de taxi și pasagerului cu privire la împrejurările în care a avut loc accidentul, precum și comunicarea numelui și a prenumelui pasagerului din taxi, a numărului său de identificare și a adresei acestuia. Rīgas satiksme a precizat poliției naționale că informațiile solicitate vor fi folosite exclusiv pentru formularea unei acțiuni civile. 15 Poliția națională a răspuns prin aprobarea parțială a cererii formulate de Rīgas satiksme, și anume prin comunicarea numelui și a prenumelui pasagerului, însă a refuzat să comunice numărul de identificare și adresa pasagerului respectiv. Ea nu a trimis nici copia declarațiilor persoanelor implicate în accident. 16 Decizia poliției naționale s-a întemeiat pe faptul că doar părțile dintr-o cauză contravențională pot obține informațiile referitoare la aceasta. Or, Rīgas satiksme nu este parte în cauza în discuție. Astfel, potrivit Codului leton privind contravențiile, calitatea de victimă a unei persoane poate fi recunoscută, la cererea acesteia, de instituția de funcționarul care este abilitat să examineze cauza. În speță, Rīgas satiksme nu și-a exercitat acest drept. 17 Rīgas satiksme a formulat o acțiune la administratīvā rajona tiesa (Tribunalul Administrativ Districtual, Letonia) împotriva deciziei poliției naționale, în măsura în care aceasta a refuzat să comunice numărul de identificare și adresa pasagerului implicat în accident. Prin decizia din 16 mai 2014, acest tribunal a admis acțiunea formulată de Rīgas satiksme și a obligat poliția națională să comunice informațiile referitoare la numărul de identificare și la adresa pasagerului respectiv. 18 Poliția națională a declarat recurs în fața instanței de trimitere. Aceasta a solicitat avizul Datu valsts inspekcija (autoritatea națională pentru protecția datelor, Letonia), care a arătat, în răspunsul din 13 octombrie 2015, că articolul 7 punctul 6 din Legea privind protecția datelor persoanelor fizice nu poate servi drept temei juridic al comunicării datelor cu caracter personal din litigiul principal, deoarece Codul leton privind contravențiile enumeră persoanele cărora poliția națională le poate comunica informațiile referitoare la o cauză. În consecință, potrivit autorității naționale pentru protecția datelor, comunicarea datelor cu caracter personal care rezultă dintr-o cauză contravențională pot fi furnizate doar în conformitate cu punctele 3 și 5 ale articolului respectiv în cazurile prevăzute de această lege. Articolul 7 din legea menționată nu ar impune o obligație, ci ar acorda un drept operatorului, în speță poliția națională, să prelucreze datele. 19 Autoritatea națională pentru protecția datelor a arătat că Rīgas satiksme avea la dispoziție două căi pentru a obține informațiile respective. Ea putea fie să adreseze o cerere motivată la registrul de stare civilă, fie să formuleze o acțiune în justiție, în temeiul articolelor 98-100 din Codul de procedură civilă în vederea obținerii elementelor de probă, solicitând instanței obligarea poliției naționale să furnizeze datele cu caracter personal necesare pentru ca Rīgas satiksme să poată acționa în justiție persoana în cauză. 20 Instanța de trimitere are îndoieli cu privire la eficacitatea căilor pentru obținerea datelor cu caracter personal pe care le-a indicat autoritatea națională pentru protecția datelor. Ea precizează în această privință, pe de o parte, că, în cazul în care într-o cerere formulată la registrul stării civile se menționează numai numele pasagerului din taxi, este posibil ca acest pasager să nu poată fi individualizat fără numărul său de identificare, întrucât mai multe persoane pot avea același nume și prenume. Pe de altă parte, instanța de trimitere consideră că, în ceea ce privește dispozițiile naționale referitoare la furnizarea de probe, în vederea formulării unei acțiuni civile, reclamantul ar trebui să cunoască cel puțin adresa locului de reședință al pârâtului. ECLI:EU:C:2017:336 5
21 În această privință, instanța de trimitere apreciază că există îndoieli cu privire la interpretarea noțiunii necesitate, prevăzută la articolul 7 litera (f) din directiva amintită. 22 În aceste condiții, Augstākās tiesas Administratīvo lietu departaments (Curtea Supremă, Secția de contencios administrativ, Letonia) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare: 1) Sintagma «este necesară pentru realizarea interesului legitim urmărit de către [ ] unul mai mulți terți [cărora le sunt comunicate datele]», menționată la articolul 7 litera (f) din Directiva 95/46 trebuie interpretată în sensul că poliția națională trebuie să comunice Rīgas satiksme datele cu caracter personal solicitate [de aceasta], care sunt necesare pentru formularea unei acțiuni civile? 2) Prezintă relevanță în ceea ce privește răspunsul la această întrebare faptul că, astfel cum reiese din înscrisurile existente la dosarul cauzei, pasagerul din taxi ale cărui date încearcă să le obțină Rīgas satiksme era minor la momentul accidentului? Cu privire la întrebările preliminare 23 Prin intermediul întrebărilor formulate, care trebuie analizate împreună, instanța de trimitere solicită să se stabilească dacă articolul 7 litera (f) din Directiva nr. 95/46 trebuie interpretat în sensul că impune obligația comunicării datelor cu caracter personal unui terț în scopul de a-i permite să formuleze o acțiune în despăgubire în fața unei instanțe civile pentru un prejudiciu cauzat de persoana vizată de protecția respectivelor date, și aceasta, dacă este cazul, chiar dacă persoana menționată este minoră. 24 În cauza principală, este cert că numărul de identificare și adresa pasagerului din taxi, a căror comunicare o solicită Rīgas satiksme, constituie informații referitoare la o persoană fizică identificată identificabilă și, prin urmare, date cu caracter personal în sensul articolului 2 litera (a) din Directiva 95/46. Este de asemenea cert că poliția națională, căreia i-a fost adresată această cerere, este operatorul datelor respective și în special este responsabilă de comunicarea lor eventuală, în sensul articolului 2 litera (d) din directiva menționată. 25 În conformitate cu articolul 5 din Directiva 95/46, statele membre precizează, în limitele dispozițiilor acestei directive, condițiile în care operațiunile de prelucrare a datelor cu caracter personal sunt legale. Articolul 7 din directiva amintită, care enunță criteriile privind legitimitatea unei astfel de prelucrări, prevede în această privință că [s]tatele membre prevăd ca datele cu caracter personal să fie prelucrate numai dacă este prezentă una dintre ipotezele enumerate în mod exhaustiv la această dispoziție. În temeiul articolului 7 litera (f), o asemenea prelucrare poate fi efectuată dacă este necesară pentru realizarea interesului legitim urmărit de operator de către unul mai mulți terți cărora le sunt comunicate datele, cu condiția ca acest interes să nu prejudicieze interesul drepturile și libertățile fundamentale ale persoanei vizate, care necesită protecție în temeiul articolului 1 alineatul (1) din Directiva 95/46. 26 Rezultă astfel din economia Directivei 95/46 și din modul de redactare a articolului 7 din aceasta că articolul 7 litera (f) din Directiva 95/46 nu prevede, în sine, o obligație, ci exprimă posibilitatea de a efectua o prelucrare de date precum comunicarea către un terț a datelor necesare pentru realizarea unui interes legitim urmărit de acesta. După cum a subliniat avocatul general la punctele 43-46 din concluzii, o astfel de interpretare poate fi dedusă și din alte instrumente ale dreptului Uniunii care se referă la datele cu caracter personal (a se vedea în acest sens, în ceea ce privește prelucrarea datelor cu caracter personal în sectorul comunicațiilor electronice, Hotărârea din 29 ianuarie 2008, Promusicae, C-275/06, EU:C:2008:54, punctele 54 și 55). 6 ECLI:EU:C:2017:336
27 Trebuie observat totuși că articolul 7 litera (f) din Directiva 95/46 nu s-ar opune unei astfel de comunicări în ipoteza în care aceasta ar fi efectuată în temeiul dreptului național, cu respectarea condițiilor prevăzute la această dispoziție. 28 În această privință, articolul 7 litera (f) din Directiva 95/46 prevede trei condiții cumulative pentru ca o prelucrare a unor date cu caracter personal să fie licită, și anume, în primul rând, urmărirea unui interes legitim de către operator de către terțul terții terți cărora le sunt comunicate datele, în al doilea rând, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, în al treilea rând, condiția ca acest interes să nu prejudicieze drepturile și libertățile fundamentale ale persoanei vizate de protecția datelor. 29 În ceea ce privește condiția privind urmărirea unui interes legitim, astfel cum a arătat avocatul general la punctele 65, 79 și 80 din concluzii, este cert că interesul unui terț în obținerea informațiilor cu caracter personal ale unei persoane care a produs daune unui bun aflat în proprietatea sa pentru a o acționa în justiție în vederea obținerii de despăgubiri poate fi calificat ca fiind un interes legitim (a se vedea în acest sens Hotărârea din 29 ianuarie 2008, Promusicae, C-275/06, EU:C:2008:54, punctul 53). Această analiză este susținută de articolul 8 alineatul (2) litera (e) din Directiva 95/46, care prevede că interdicția privind prelucrarea anumitor tipuri de date cu caracter personal, precum cele care dezvăluie originea rasială opiniile politice, nu se aplică printre altele în cazul în care prelucrarea este necesară pentru constatarea, exercitarea apărarea unui drept în justiție. 30 În ceea ce privește condiția privind necesitatea prelucrării datelor, trebuie amintit că derogările de la principiul protecției datelor cu caracter personal și restrângerile impuse acestuia trebuie să fie efectuate în limitele strictului necesar (Hotărârea din 9 noiembrie 2010, Volker und Markus Schecke și Eifert, C-92/09 și C-93/09, EU:C:2010:662, punctul 86, Hotărârea din 7 noiembrie 2013, IPI, C-473/12, EU:C:2013:715, punctul 39, precum și Hotărârea din 11 decembrie 2014, Ryneš, C-212/13, EU:C:2014:2428, punctul 28). În această privință, trebuie constatat că, potrivit indicațiilor furnizate de instanța de trimitere, comunicarea numai a numelui și a prenumelui persoanei care este autoarea prejudiciului nu permite identificarea acesteia cu suficientă precizie pentru a putea fi chemată în judecată. Prin urmare, pare necesară obținerea în acest scop și a adresei și/ a numărului de identificare ale acestei persoane. 31 În sfârșit, în ceea ce privește condiția unei evaluări comparative a drepturilor și a intereselor opuse în cauză, ea depinde, în principiu, de împrejurările concrete ale unui anumit caz (a se vedea în acest sens Hotărârea din 24 noiembrie 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 și C-469/10, EU:C:2011:777, punctul 40, și Hotărârea din 19 octombrie 2016, Breyer, C-582/14, EU:C:2016:779, punctul 62). 32 În această privință, Curtea a statuat că este posibil să se ia în considerare faptul că gravitatea atingerii aduse drepturilor fundamentale ale persoanei vizate de prelucrarea în cauză poate varia în funcție de posibilitatea de a avea acces la datele în cauză din surse aflate la dispoziția publicului (a se vedea în acest sens Hotărârea din 24 noiembrie 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 și C-469/10, EU:C:2011:777, punctul 44). 33 În ceea ce privește a doua parte a întrebării preliminare, astfel cum a fost reformulată la punctul 23 din prezenta hotărâre, trebuie arătat că vârsta persoanei vizate poate constitui unul dintre elementele de care trebuie să se țină seama în cadrul acestei evaluări comparative. Este însă necesar să se constate că, după cum a arătat avocatul general la punctele 82-84 din concluzii și sub rezerva verificărilor care trebuie efectuate în această privință de instanța națională, nu este justificat, în condiții precum cele din cauza principală, să se refuze unei părți vătămate comunicarea datelor cu caracter personal necesare pentru formularea unei acțiuni în despăgubire împotriva autorului prejudiciului, dacă este cazul, împotriva persoanelor care exercită autoritatea parentală, pentru motivul că acest autor ar fi minor. ECLI:EU:C:2017:336 7
34 Rezultă din ansamblul considerațiilor care precedă că articolul 7 litera (f) din Directiva 95/46 trebuie interpretat în sensul că nu impune obligația comunicării datelor cu caracter personal unui terț în scopul de a-i permite să formuleze o acțiune în despăgubire în fața unei instanțe civile pentru un prejudiciu cauzat de persoana vizată de protecția acestor date. Cu toate acestea, articolul 7 litera (f) din directiva menționată nu se opune unei astfel de comunicări în temeiul dreptului național. Cu privire la cheltuielile de judecată 35 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări. Pentru aceste motive, Curtea (Camera a doua) declară: Articolul 7 litera (f) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretat în sensul că nu impune obligația comunicării datelor cu caracter personal unui terț în scopul de a-i permite să formuleze o acțiune în despăgubire în fața unei instanțe civile pentru un prejudiciu cauzat de persoana vizată de protecția acestor date. Cu toate acestea, articolul 7 litera (f) din directiva menționată nu se opune unei astfel de comunicări în temeiul dreptului național. Semnături 8 ECLI:EU:C:2017:336