(C‑101/01)

Uzasadnienie

Wyrok

Europejskiego Trybunału Sprawiedliwości

z dnia 6 listopada 2003 r.

C-101/01

Wyrok Trybunału z dnia 6 listopada 2003 r. w sprawie C101/01 mającej za przedmiot skierowany do Trybunału, na podstawie art. 234 WE, przez Göta hovrätt (Szwecja) wniosek o wydanie, w ramach toczącego się przed tym sądem postępowania karnego przeciwko Bodil Lindqvist, orzeczenia w trybie prejudycjalnym, w szczególności w przedmiocie wykładni dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31),

 

Trybunał, w składzie:

P. Jann, prezes pierwszej izby, pełniący obowiązki prezesa, C.W.A. Timmermans, C. Gulmann, J.N. Cunha Rodrigues i A. Rosas, prezesi izb, D.A.O. Edward (sprawozdawca) i J.P. Puissochet, F. Macken i S. von Bahr, sędziowie,

rzecznik generalny: A. Tizzano,

sekretarz: H. von Holstein, zastępca sekretarza,

 

rozważywszy uwagi na piśmie przedstawione :

w imieniu B. Lindqvist przez S. Larssona, advokat,

w imieniu rządu szwedzkiego przez A. Krusego, działającego w charakterze pełnomocnika,

w imieniu rządu niderlandzkiego przez H.G. Sevenster, działającą w charakterze pełnomocnika,

w imieniu rządu Zjednoczonego Królestwa przez G. Amodeo, działającą w charakterze pełnomocnika, wspieraną przez J. Stratford, barrister,

w imieniu Komisji Wspólnot Europejskich przez L. Ström oraz X. Lewisa, działających w charakterze pełnomocników,

 

uwzględniając sprawozdanie na rozprawę, po wysłuchaniu uwag ustnych B. Lindqvist, reprezentowanej przez S. Larssona, rządu szwedzkiego, reprezentowanego przez A. Krusego oraz B. Hernqvist, działającą w charakterze pełnomocnika, rządu niderlandzkiego, reprezentowanego przez J. van Bakel, działającą w charakterze pełnomocnika, rządu Zjednoczonego Królestwa, reprezentowanego przez J. Stratford, Komisji, reprezentowanej przez L. Ström oraz C. Dockseya, działającego w charakterze pełnomocnika, oraz Urzędu Nadzoru EFTA, reprezentowanego przez D. Sif Tynes, działającą w charakterze pełnomocnika, na rozprawie w dniu 30 kwietnia 2002 r., po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 19 września 2002 r., wydaje następujący wyrok

Uzasadnienie

1. Postanowieniem z dnia 23 lutego 2001 r., które wpłynęło do Trybunału w dniu 1 marca 2001 r., Göta hovrätt przedstawił, na podstawie art. 234 WE, siedem pytań prejudycjalnych dotyczących w szczególności wykładni dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31).

2. Pytania te zostały sformułowane w ramach postępowania karnego toczącego się przed tym sądem przeciwko B. Lindqvist, oskarżonej o naruszenie przepisów prawa szwedzkiego dotyczących ochrony danych osobowych przez opublikowanie na swojej stronie internetowej danych osobowych dotyczących pewnej liczby osób, które podobnie jak ona świadczyły nieodpłatnie pracę na rzecz jednej z parafii kościoła protestanckiego w Szwecji.

Ramy prawne
Prawodawstwo wspólnotowe

3. Zgodnie ze swym art. 1 ust. 1 dyrektywa 95/46 ma na celu ochronę podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych.

4. Artykuł 3 dyrektywy 95/46 dotyczący zakresu jej stosowania stanowi:
1. Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2. Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI Traktatu o Unii Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności państwa w obszarach prawa karnego,przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze.

5 Artykuł 8 dyrektywy 95/46 zatytułowany Przetwarzanie szczególnych kategorii danych stanowi:
1. Państwa członkowskie zabraniają przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzanie danych dotyczących zdrowia i życia seksualnego.
2. Ustęp 1 nie ma zastosowania, w przypadku gdy:
a) osoba, której dane dotyczą, udzieliła wyraźnej zgody na ich przetwarzanie, chyba że ustawodawstwo państwa członkowskiego przewiduje, że zakaz określony w ust. 1 nie może być uchylony mimo udzielonej zgody przez osobę, której dane dotyczą; lub
b) przetwarzanie danych jest konieczne do wypełniania obowiązków i szczególnych uprawnień administratora danych w dziedzinie prawa pracy, o ile jest to dozwolone przez prawo krajowe przewidujące odpowiednie środki zabezpieczające; lub
c) przetwarzanie danych jest konieczne dla ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, w przypadku gdy osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do udzielenia zgody; lub
d) przetwarzanie danych jest dokonywane w ramach legalnej działalności wspartej odpowiednimi gwarancjami przez fundację, stowarzyszenie lub inną instytucję nienastawioną na osiąganie zysku, której cele mają charakter polityczny, filozoficzny, religijny lub związkowy, pod warunkiem że przetwarzanie danych odnosi się wyłącznie do członków tej instytucji lub osób mających z nią regularny kontakt w związku z jej celami oraz że dane nie zostaną ujawnione osobie trzeciej bez zgody osób, których dane dotyczą; lub
e) przetwarzanie dotyczy danych, które [w sposób oczywisty] są podawane do wiadomości publicznej przez osobę, której dane dotyczą, lub jest konieczne do ustalenia, wykonania lub ochrony roszczeń prawnych.
3. Ustęp 1 nie ma zastosowania, w przypadku gdy przetwarzanie danych wymagane jest do celów medycyny prewencyjnej, diagnostyki medycznej, świadczenia opieki lub leczenia, lub też zarządzania opieką zdrowotną, jak również w przypadkach gdy dane są przetwarzane przez pracownika służby zdrowia [podlegającego] zgodnie z przepisami prawa krajowego lub zasadami określonymi przez właściwe krajowe instytucje [] obowiązkowi zachowania tajemnicy zawodowej lub przez inną osobę również zobowiązaną do zachowania tajemnicy.
4. Pod warunkiem ustanowienia odpowiednich środków zabezpieczających państwa członkowskie mogą ze względu na istotny interes publiczny ustalić dodatkowe wyłączenia poza tymi, które zostały przewidziane w ust. 2, na mocy ustawy krajowej lub decyzji organu nadzorczego.
5. Przetwarzanie danych dotyczących przestępstw, wyroków skazujących lub środków bezpieczeństwa może być dokonywane jedynie pod kontrolą władz publicznych lub też, jeżeli zgodnie z prawem krajowym ustanowiono określone środki zabezpieczające, z zachowaniem odstępstw, które państwo członkowskie może udzielić zgodnie z obowiązującymi przepisami prawa krajowego, zapewniając zachowanie odpowiednich zabezpieczeń. Jednak kompletny rejestr przestępstw kryminalnych może być prowadzony tylko pod kontrolą władzy publicznej.
Państwa członkowskie mogą ustanowić przepisy zobowiązujące oficjalny organ do sprawowania kontroli nad przetwarzaniem danych dotyczących sankcji administracyjnych lub orzeczeń w sprawach cywilnych.
6. Odstępstwa od ust. 1 przewidziane w ust. 4 i 5 są notyfikowane Komisji.
7. Państwa członkowskie określą warunki, w których może następować przetwarzanie krajowego numeru identyfikacyjnego lub innego identyfikatora ogólnego stosowania.

6 Artykuł 9 dyrektywy 95/46, zatytułowany Przetwarzanie danych osobowych i wolność wypowiedzi, stanowi:
Państwa członkowskie wprowadzają możliwość wyłączenia lub odstąpienia od przepisów niniejszego rozdziału, rozdziałów IV i VI w przypadku przetwarzania danych osobowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego jedynie wówczas, gdy jest to konieczne dla pogodzenia prawa do zachowania prywatności z przepisami dotyczącymi wolności wypowiedzi.

7 Artykuł 13 dyrektywy 95/46, zatytułowany Zwolnienia i ograniczenia, przewiduje, że państwa członkowskie mogą przyjąć środki ustawodawcze w celu ograniczenia zakresu obowiązków ustanowionych przez dyrektywę i ciążących na administratorze danych odpowiedzialnym za ich przetwarzanie, w szczególności w zakresie poinformowania osób zainteresowanych w zakresie, w jakim te ograniczenia stanowią środek konieczny dla zabezpieczenia na przykład bezpieczeństwa narodowego, obronności, bezpieczeństwa publicznego, ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub Unii Europejskiej oraz prowadzonych czynności dochodzeniowośledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie zasad etyki w zawodach podlegających regulacji.

8 Artykuł 25 dyrektywy 95/46, który znajduje się w rozdziale IV, zatytułowanym Przekazywanie danych osobowych do państw trzecich, ma następujące brzmienie:
1. Państwa członkowskie zapewniają, aby przekazywanie do państwa trzeciego danych osobowych poddawanych przetwarzaniu lub przeznaczonych do przetwarzania po ich przekazaniu mogło nastąpić tylko wówczas, gdy niezależnie od [z zastrzeżeniem] zgodności z krajowymi przepisami przyjętymi na podstawie innych przepisów niniejszej dyrektywy dane państwo trzecie zapewni odpowiedni stopień ochrony.
2. Odpowiedni stopień ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazania danych lub zbioru takich operacji; szczególną uwagę zwracać się będzie na charakter danych, cel i czas trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia, przepisy prawa, zarówno ogólne, jak i branżowe, obowiązujące w [danym] państwie trzecim oraz przepisy zawodowe i środki bezpieczeństwa stosowane w tym państwie.
3. Państwa członkowskie i Komisja będą informować się wzajemnie o przypadkach, kiedy uznają, że państwo trzecie nie zapewnia odpowiedniego stopnia ochrony w znaczeniu ust. 2.
4. Jeżeli Komisja stwierdzi, na podstawie procedury przewidzianej w art. 31 ust. 2, że państwo trzecie nie zapewnia odpowiedniego stopnia ochrony w znaczeniu ust. 2 niniejszego artykułu, państwa członkowskie podejmą konieczne środki, aby nie dopuścić do przekazania jakichkolwiek danych tego samego rodzaju do wspomnianego państwa trzeciego.
5. We właściwym czasie Komisja przystąpi do negocjacji w celu zaradzenia sytuacji stwierdzonej na podstawie ust. 4.
6. Komisja może stwierdzić, zgodnie z procedurą określoną w art. 31 ust. 2, że państwo trzecie zapewnia prawidłowy stopień ochrony w znaczeniu ust. 2 niniejszego artykułu, co wynika z jego prawa krajowego lub międzynarodowych zobowiązań, jakie państwo to przyjęło, szczególnie po zakończeniu negocjacji określonych w ust. 5, w zakresie ochrony życia prywatnego i podstawowych praw i wolności osób fizycznych.
Państwa członkowskie podejmują środki niezbędne w celu wykonania decyzji Komisji.

9 W chwili przyjęcia dyrektywy 95/46 Królestwo Szwecji złożyło do protokołu Rady oświadczenie dotyczące art. 9 dyrektywy (dokument Rady nr 4649/95 z dnia 2 lutego 1995 r.), które stanowi:
Królestwo Szwecji stoi na stanowisku, że pojęcie wypowiedzi o charakterze artystycznym lub literackim odnosi się raczej do środków wyrazu aniżeli do treści komunikatu lub jego jakości.

10 Europejska Konwencja o ochronie praw człowieka i podstawowych wolności, sporządzona w Rzymie w dniu 4 listopada 1950 r. (zwana dalej EKPC), ustanawia w art. 8 prawo do poszanowania życia prywatnego i rodzinnego, natomiast w art. 10 zawiera przepisy dotyczące wolności wypowiedzi.

Ustawodawstwo krajowe

11 Dyrektywa 95/46 została transponowana do prawa szwedzkiego przez Personuppgiftslag (szwedzką ustawę o danych osobowych, SFS 1998, nr 204 zwaną dalej PUL).
Sprawa przed sądem krajowym i pytania prejudycjalne

12 Oprócz tego, że B. Lindqvist była pracownikiem najemnym jako sprzątaczka, pełniła również funkcję katechetki w parafii Alseda (Szwecja). B. Lindqvist uczęszczała na kurs informatyczny, w ramach którego miała w szczególności stworzyć stronę domową w Internecie. Pod koniec 1998 r. utworzyła ona w domu, na swoim osobistym komputerze, strony internetowe mające ułatwić uzyskanie potrzebnych informacji parafianom przygotowującym się do bierzmowania. Na jej wniosek administrator strony Kościoła Szwecji utworzył linki pomiędzy utworzonymi przez nią stronami i stroną Kościoła.

13 Utworzone przez nią strony zawierały informacje na temat jej osoby oraz na temat osiemnastu jej kolegów z parafii, obejmujące całe brzmienie ich nazwisk lub w niektórych przypadkach tylko ich imiona. Ponadto B. Lindqvist z pewną dozą humoru opisała funkcje pełnione przez jej kolegów oraz sposób spędzania przez nich wolnego czasu. W kilku przypadkach zamieściła informacje o ich sytuacji rodzinnej, numer telefonu i inne dane. Dodatkowo wskazała, że jedna z jej koleżanek doznała urazu stopy i w związku z tym przebywała na zwolnieniu lekarskim w niepełnym wymiarze.

14 B. Lindqvist nie poinformowała tych osób o istnieniu rzeczonych stron ani nie uzyskała uprzednio ich zgody na opublikowanie danych, ani też nie zgłosiła swoich działań do Datainspektion (instytucji publicznej zajmującej się ochroną danych przekazywanych drogą informatyczną). Gdy tylko dowiedziała się, że niektóre osoby były z tego faktu niezadowolone, usunęła wspomniane strony internetowe.

15 Prokurator wszczął przeciwko B. Lindqvist postępowanie o naruszenie PUL i domagał się jej skazania na tej podstawie, że:
- przetwarzała dane osobowe w sposób zautomatyzowany bez uprzedniego pisemnego zgłoszenia tego faktu do Datainspektion (art. 36 PUL);
- przetwarzała bez pozwolenia wrażliwe dane osobowe, tj. dane dotyczące urazu stopy i przebywania na zwolnieniu lekarskim w niepełnym wymiarze (art. 13 PUL);
- przekazała do państw trzecich dane osobowe przetwarzane bez pozwolenia (art. 33 PUL).

16 B. Lindqvist przyznała się do popełnienia zarzucanych jej czynów, ale nie przyznała się do popełnienia przestępstwa. Skazana przez Eksjö tingsrätt (Szwecja) na karę grzywny wniosła apelację od tego wyroku do Göta hovrätt.

17 Nałożona na nią grzywna wynosiła 4000 SEK, co wynika z zastosowania do kwoty 100 SEK, przyjętej w odniesieniu do możliwości płatniczych B. Lindqvist, mnożnika 40 ustalonego w odniesieniu do wagi przestępstwa. B. Lindqvist została ponadto zobowiązana do zapłaty 300 SEK na szwedzki fundusz pomocy ofiarom przestępstw.

 

18 Powziąwszy wątpliwości w zakresie wykładni prawa wspólnotowego mającego w tej sprawie zastosowanie, a w szczególności dyrektywy 95/46, Göta hovrätt postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
1) Czy zamieszczenie danych osoby jej nazwiska lub jej nazwiska i numeru telefonu na stronie internetowej jest operacją wchodzącą w zakres stosowania dyrektywy [95/46]? Czy fakt wymienienia na utworzonej przez siebie stronie internetowej pewnej liczby osób oraz zamieszczenia informacji i oświadczeń dotyczących warunków pracy oraz sposobów spędzania wolnego czasu przez te osoby stanowi przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany?
2) W przypadku udzielenia na powyższe pytanie odpowiedzi przeczącej czy fakt stworzenia na stronie głównej podstron dotyczących konkretnie około piętnastu osób z linkami pomiędzy stronami, które pozwalają na poszukiwanie za pomocą imion, może zostać uznany za inne przetwarzanie danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych w rozumieniu art. 3 ust. 1?
Jeżeli odpowiedź na jedno z powyższych pytań jest twierdząca, Göta hovrätt zwraca się ponadto z następującymi pytaniami:
3) Czy fakt zamieszczenia tego typu danych dotyczących kolegów z pracy na prywatnej stronie internetowej, która jest jednak dostępna dla wszystkich, którzy znają adres tej strony, może zostać uznany za niepodlegający zakresowi stosowania dyrektywy [95/46] na mocy jednego z wyłączeń wymienionych w art. 3 ust. 2?
4) Czy zamieszczona na stronie internetowej informacja, że jedna z koleżanek z pracy, wymieniona z nazwiska, doznała urazu stopy i przebywa na zwolnieniu lekarskim w niepełnym wymiarze, stanowi dane osobowe dotyczące zdrowia, które na podstawie art. 8 ust. 1 nie mogą być przetwarzane?
5) Przekazywanie danych osobowych do państw trzecich jest w niektórych przypadkach zakazane na podstawie przepisów dyrektywy [95/46]. Czy fakt zamieszczenia na stronie internetowej przez daną osobę, za pomocą komputera w Szwecji, danych osobowych, które są przechowywane na serwerze w Szwecji, ale w taki sposób, że te dane osobowe stają się dostępne obywatelom państw trzecich, stanowi przekazywanie danych osobowych do państw trzecich w rozumieniu dyrektywy [95/46]? Czy odpowiedź będzie taka sama, jeżeli według posiadanych przez nas informacji żaden obywatel państwa trzeciego nie zapoznał się z tymi danymi lub jeżeli określony serwer fizycznie znajduje się w państwie trzecim?
6) Czy w takim przypadku jak niniejszy można uznać, że przepisy dyrektywy [95/46] wprowadzają ograniczenie niezgodne z ogólnymi zasadami swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w ramach Unii Europejskiej, które odpowiadają w szczególności art. 10 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności?
Wreszcie Göta hovrätt formułuje następujące pytanie:
7) Czy w dziedzinach objętych powyższymi pytaniami państwo członkowskie może rozszerzyć ochronę danych osobowych lub zakres stosowania wynikający z dyrektywy [95/46] również wówczas, gdy nie wchodzi w grę ochrona jednego z interesów wymienionych w art. 13?.

W przedmiocie pytania pierwszego

 

19 W pytaniu pierwszym sąd krajowy dąży do ustalenia, czy operacja polegająca na zamieszczeniu na stronie internetowej danych różnych osób pozwalających je zidentyfikować za pomocą nazwiska albo innych środków, np. numeru telefonu lub informacji dotyczących ich warunków pracy i sposobów spędzania wolnego czasu, stanowi przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany w rozumieniu art. 3 ust. 1 dyrektywy 95/46.

Uwagi przedłożone Trybunałowi

20 Według B. Lindqvist nie można uznać za zasadne twierdzenia, że zwykłe wymienienie nazwiska osoby lub danych osobowych w tekście zamieszczonym na stronie internetowej stanowi zautomatyzowane przetwarzanie danych osobowych. Natomiast zamieszczenie takich danych w słowach kluczowych ukrytych w tagach (meta tags) strony internetowej, które pozwalają na ich indeksowanie i znalezienie tej strony przy użyciu wyszukiwarki, mogłoby stanowić takie przetwarzanie.

21 Rząd szwedzki utrzymuje, że pojęcie przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany, o którym mowa w art. 3 ust. 1 dyrektywy 95/46, obejmuje wszelkie przetwarzanie w formacie informatycznym, tzn. w dwójkowym systemie liczbowym. Wobec powyższego przetwarzanie jakichkolwiek danych osobowych za pomocą komputera, na przykład przy użyciu edytora tekstu lub w celu zamieszczenia ich na stronie internetowej, jest przetwarzaniem objętym zakresem stosowania dyrektywy 95/46.

22 Rząd niderlandzki podnosi, że zamieszczenia danych osobowych na stronie internetowej dokonuje się przy użyciu komputera i serwera, co stanowi istotną cechę automatyzacji, w związku z czym należałoby przyjąć, że dane te są przetwarzane w sposób zautomatyzowany.

23 Komisja podnosi, że dyrektywa 95/46 ma zastosowanie do każdego przetwarzania danych osobowych określonego w jej art. 3, niezależnie od zastosowanych środków technicznych. Udostępnienie danych osobowych w Internecie stanowi w konsekwencji przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany, pod warunkiem że nie istnieją ograniczenia techniczne, które ograniczają przetwarzanie do operacji wykonywanych wyłącznie ręcznie. Strona internetowa jest tym samym już ze swej natury objęta zakresem stosowania dyrektywy 95/46.

Odpowiedź Trybunału

24 Termin dane osobowe użyty w art. 3 ust. 1 dyrektywy 95/46 obejmuje, zgodnie z definicją zawartą w art. 2 lit. a) tej dyrektywy, wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Pojęcie to odnosi się bez wątpienia do nazwiska osoby w połączeniu z jej numerem telefonu lub informacjami dotyczącymi jej warunków pracy czy sposobów spędzania przez nią wolnego czasu.

25 Co się tyczy terminu przetwarzanie takich danych użytego w art. 3 ust. 1 dyrektywy 95/46, oznacza ono, zgodnie z definicją zawartą w art. 2 lit. b) dyrektywy, każdą operację lub zestaw operacji dokonywanych na danych osobowych przy pomocy środków zautomatyzowanych lub innych. Ten ostatni przepis wymienia kilka przykładów takich operacji, a wśród nich ujawnianie poprzez transmisję i rozpowszechnianie lub udostępnianie w inny sposób. Z powyższego wynika, że operację polegającą na zamieszczeniu danych osobowych na stronie internetowej należy uznać za takie przetwarzanie.

26 Pozostaje ustalić, czy to przetwarzanie odbywa się w całości lub w części w sposób zautomatyzowany. W tym zakresie należy zauważyć, że zamieszczenie tych informacji na stronie internetowej wymaga, według aktualnie stosowanych procedur technicznych i informatycznych, załadowania tej strony na serwer oraz przeprowadzenia niezbędnych operacji, które uczynią tę stronę dostępną dla osób, które mają połączenie z Internetem. Operacje te są realizowane, przynajmniej częściowo, w sposób zautomatyzowany.

27 Na pytanie pierwsze należy więc odpowiedzieć, że operacja polegająca na zamieszczeniu na stronie internetowej danych różnych osób pozwalających je zidentyfikować za pomocą nazwiska albo innych środków, np. numeru telefonu lub informacji dotyczących ich warunków pracy i sposobów spędzania przez nie wolnego czasu stanowi przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany w rozumieniu art. 3 ust. 1 dyrektywy 95/46.

W przedmiocie pytania drugiego

28 Z uwagi na odpowiedź udzieloną na pytanie pierwsze nie ma potrzeby udzielania odpowiedzi na pytanie drugie, które zostało zadane na wypadek udzielenia odpowiedzi przeczącej na pytanie pierwsze.

W przedmiocie pytania trzeciego

29 W trzecim pytaniu sąd krajowy zmierza zasadniczo do ustalenia, czy takie przetwarzanie danych osobowych jak to będące przedmiotem pierwszego pytania jest objęte jednym z wyłączeń określonych w art. 3 ust. 2 dyrektywy 95/46.

Uwagi przedłożone Trybunałowi

30 B. Lindqvist podnosi, że osoba prywatna, która, korzystając ze swobody wypowiedzi, tworzy strony internetowe w ramach działalności niemającej celu zarobkowego lub w ramach swojego wolnego czasu, nie prowadzi działalności gospodarczej i nie podlega zakresowi stosowania prawa wspólnotowego. Gdyby Trybunał miał rozpoznawać sytuację przeciwną, w grę wchodziłaby kwestia ważności dyrektywy 95/46, ponieważ przyjmując tę dyrektywę prawodawca wspólnotowy przekroczyłby kompetencje przyznane mu przez art. 100A traktatu WE (obecnie, po zmianie, art. 95 WE). W rezultacie zbliżenie ustawodawstw, które ma na celu ustanowienie i funkcjonowanie rynku wewnętrznego, nie może służyć za podstawę prawną do przyjęcia środków wspólnotowych, które regulują prawo osób prywatnych do korzystania ze swobody wypowiedzi w Internecie.

31 Rząd szwedzki podnosi, że przy transpozycji dyrektywy 95/46 do prawa krajowego ustawodawca szwedzki uznał, że przetwarzanie danych osobowych przez osobę fizyczną polegające na przekazywaniu tych danych nieograniczonej liczbie osób, na przykład za pomocą Internetu, nie może być uznane za przetwarzanie danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46. Natomiast rząd ten nie wyklucza, że wyłączenie określone w tiret pierwsze tego ustępu dotyczy przypadków, w których osoba fizyczna publikuje dane osobowe na stronie internetowej wyłącznie w ramach korzystania ze swobody wypowiedzi i bez żadnego związku z prowadzoną działalnością zawodową lub handlową.

32 Zdaniem rządu niderlandzkiego zautomatyzowane przetwarzanie danych osobowych, takie jak to rozpatrywane w postępowaniu przed sądem krajowym, nie podlega żadnemu z wyłączeń określonych w art. 3 ust. 2 dyrektywy 95/46. Co się tyczy w szczególności wyłączenia przewidzianego w art. 3 ust. 2 tiret drugie, rząd ten podnosi, że twórca strony internetowej udostępnia dane, które na niej zamieścił, grupie osób, która jest z zasady nieograniczona.

33 Komisja podnosi, że strona internetowa, taka jak ta rozpatrywana w postępowaniu przed sądem krajowym, nie może być uznana za nieobjętą zakresem stosowania dyrektywy 95/46 na mocy art. 3 ust. 2 tej dyrektywy, natomiast stanowi, jeśli uwzględnić cel strony internetowej rozpatrywanej przed sądem krajowym, twórczość artystyczną i literacką w rozumieniu art. 9 tej dyrektywy.

34 Komisja stoi na stanowisku, że można dokonać podwójnej wykładni art. 3 ust. 2 tiret pierwsze dyrektywy 95/46. Jedna wykładnia polegałaby na ograniczeniu zakresu tego przepisu do dziedzin wymienionych tytułem przykładu, a mianowicie działań objętych zasadniczo tym, co zwykło się nazywać drugim i trzecim filarem. Druga wykładnia polegałaby na wyłączeniu z zakresu stosowania dyrektywy 95/46 wykonywania wszelkiej działalności, która nie podlega prawu wspólnotowemu.

35 Komisja twierdzi, że prawo wspólnotowe nie ogranicza się wyłącznie do działalności gospodarczej związanej z czterema podstawowymi swobodami. Odwołując się do podstawy prawnej dyrektywy 95/46, jej celu, art. 6 UE, Karty praw podstawowych Unii Europejskiej, proklamowanej w Nicei dnia 18 grudnia 2000 r. (Dz.U. C 364, s. 1), Konwencji Rady Europy z dnia 28 stycznia 1981 r. w sprawie ochrony jednostek w zakresie automatycznego przetwarzania danych, stwierdza, że celem tej dyrektywy jest uregulowanie swobodnego przepływu danych osobowych jako prowadzenia nie tylko działalności gospodarczej, ale również działalności o charakterze społecznym w ramach integracji i funkcjonowania rynku wewnętrznego.

36 Dodaje, że wykluczenie w sposób ogólny z zakresu stosowania dyrektywy 95/46 stron internetowych, które nie zawierają żadnego elementu handlowego lub nie są związane ze świadczeniem usług, mogłoby pociągnąć za sobą poważne problemy związane z ich rozgraniczeniem. Duża liczba stron internetowych zawierających dane osobowe służące napiętnowaniu określonych osób w szczególnych celach zostałaby wykluczona z zakresu stosowania tej dyrektywy.

Odpowiedź Trybunału

37 Artykuł 3 ust. 2 dyrektywy 95/46 przewiduje dwa wyłączenia z zakresu jej stosowania.

38 Pierwszy z tych przypadków dotyczy przetwarzania danych osobowych w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak na przykład dane, o których stanowią tytuły V i VI Traktatu o Unii Europejskiej, a w każdym razie w ramach działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz w ramach działalności państwa w obszarach prawa karnego.

39 Zważywszy na to, że rozpatrywana przed sądem krajowym działalność B. Lindqvist nie jest działalnością gospodarczą, tylko niezarobkową i religijną, należy zbadać, czy stanowi ona przetwarzanie danych osobowych w ramach działalności wykraczającej poza zakres prawa Wspólnoty w rozumieniu art. 3 ust. 2 tiret pierwsze dyrektywy 95/46.

40 Trybunał orzekł już w odniesieniu do dyrektywy 95/46, że odwołanie się do art. 100a traktatu jako podstawy prawnej nie zakłada istnienia faktycznego związku ze swobodnym przepływem między państwami członkowskimi w każdej z sytuacji przewidzianych przez akt oparty na takiej podstawie (zob. wyrok z dnia 20 maja 2003 r. w sprawach połączonych C465/00, C138/01 i C139/01 Österreichischer Rundfunk i in., dotychczas nieopublikowany w Zbiorze, pkt 41 i przytoczone tam orzecznictwo).

41 Wykładnia przeciwna mogłaby bowiem spowodować, że granice zakresu stosowania tej dyrektywy staną się szczególnie niejednoznaczne i niepewne, co z kolei pozostawałoby w sprzeczności z jej podstawowym celem, jakim jest zbliżenie przepisów ustawowych, wykonawczych i administracyjnych państw członkowskich w celu wyeliminowania wynikających z rozbieżności między ustawodawstwami krajowymi przeszkód w funkcjonowaniu rynku wewnętrznego (ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 42).

42 W takich okolicznościach niesłuszne byłoby przyjęcie takiej wykładni, zgodnie z którą wyrażenie działalność wykraczająca poza zakres prawa Wspólnoty miałoby zakres zmuszający do sprawdzenia w każdym przypadku, czy określona działalność narusza bezpośrednio swobodny przepływ między państwami członkowskimi.

43 Rodzaje działalności wymienione tytułem przykładu w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 (a mianowicie rodzaje działalności, o których stanowią tytuły V i VI Traktatu o Unii Europejskiej, jak również przetwarzanie w ramach działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa oraz w ramach działalności państwa w obszarach prawa karnego) stanowią w każdym razie działania właściwe państwom i władzom państwowym, obce dziedzinom działalności jednostek.

44 Należy więc stwierdzić, że rodzaje działalności wymienione tytułem przykładu w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 mają na celu określenie zakresu przewidzianego w nim wyłączenia w taki sposób, że to wyłączenie ma zastosowanie wyłącznie do takich działalności, które zostały w nim wyraźnie wymienione i które nie mogą być zaliczone do tego samego rodzaju (eiusdem generis).

45 Działalność niezarobkowa lub religijna, taka jak prowadzona przez B. Lindqvist, nie może być traktowana na równi z rodzajami działalności wymienionymi w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 i nie jest zatem objęta tym wyłączeniem.

46 Co się tyczy wyłączenia przewidzianego w art. 3 ust. 2 tiret drugie dyrektywy 95/46, motyw 12 tej dyrektywy, który odnosi się do tego wyłączenia, wskazuje korespondencję i przechowywanie spisów adresów jako przykłady przetwarzania danych przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze.

47 Z powyższego wynika, że to drugie wyłączenie powinno być interpretowane jako obejmujące wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki, co w sposób oczywisty nie ma miejsca w przypadku przetwarzania danych osobowych polegającego na ich opublikowaniu w Internecie w taki sposób, że staną się one dostępne dla nieograniczonej liczby osób.

48 Na pytanie trzecie należy zatem odpowiedzieć, że przetwarzanie danych osobowych takie jak określone w odpowiedzi na pierwsze pytanie nie jest objęte żadnym z wyłączeń określonych w art. 3 ust. 2 dyrektywy 95/46.

W przedmiocie pytania czwartego

49 W pytaniu czwartym sąd krajowy dąży do ustalenia, czy informacja, że dana osoba doznała urazu stopy i przebywa na zwolnieniu lekarskim w niepełnym wymiarze, stanowi dane osobowe dotyczące zdrowia w rozumieniu art. 8 ust. 1 dyrektywy 95/46.

50 Zważywszy na przedmiot tej dyrektywy, należy dokonać wykładni rozszerzającej użytego w jej art. 8 ust. 1 wyrażenia dane dotyczące zdrowia, tak aby obejmowało ono informacje dotyczące wszystkich aspektów, zarówno fizycznych, jak i psychicznych, zdrowia osoby.

51 Na pytanie czwarte należy zatem odpowiedzieć, że informacja, iż dana osoba doznała urazu stopy i przebywa na zwolnieniu lekarskim w niepełnym wymiarze, stanowi dane osobowe dotyczące zdrowia w rozumieniu art. 8 ust. 1 dyrektywy 95/46.

W przedmiocie pytania piątego

52 W pytaniu piątym sąd krajowy zmierza zasadniczo do ustalenia, czy przekazywanie danych do państw trzecich w rozumieniu art. 25 dyrektywy 95/46 ma miejsce, w przypadku gdy osoba, która znajduje się w danym państwie członkowskim, zamieszcza na stronie internetowej przechowywanej przez osobę fizyczną lub prawną będącą administratorem witryny internetowej, na której wspomniana strona może być odwiedzana (zwaną dalej dostawcą usług hostingowych) i mającą swoją siedzibę w tym samym państwie lub w innym państwie członkowskim dane osobowe, czyniąc je w ten sposób dostępnymi dla każdego, kto połączy się z Internetem, w tym również dla osób znajdujących się w państwach trzecich. Sąd krajowy pyta ponadto, czy odpowiedź będzie taka sama, jeżeli okaże się, że w rzeczywistości żaden obywatel państwa trzeciego nie zapoznał się z tymi danymi, lub jeżeli serwer, na którym przechowywana jest strona, znajduje się fizycznie w państwie trzecim.

Uwagi przedłożone Trybunałowi

53 Komisja i rząd szwedzki stoją na stanowisku, że zamieszczenie danych osobowych na stronie internetowej za pomocą komputera w taki sposób, że stają się one dostępne dla obywateli państw trzecich, stanowi przekazywanie danych osobowych do państw trzecich w rozumieniu dyrektywy 95/46. Odpowiedź brzmiałaby identycznie również wówczas, gdyby w rzeczywistości żaden obywatel państwa trzeciego nie zapoznał się z tymi danymi lub gdyby serwer, na którym są one przechowywane, fizycznie znajdował się w państwie trzecim.

54 Rząd niderlandzki przypomina, że pojęcie przekazywania nie zostało zdefiniowane w dyrektywie 95/46. Uważa on z jednej strony, że pojęcie to należy rozumieć w ten sposób, że obejmuje ono każde działanie mające na celu zamierzone przekazanie danych osobowych z terytorium jednego państwa członkowskiego do państwa trzeciego, a z drugiej strony, że nie można dokonać rozróżnienia pomiędzy różnymi formami, pod którymi dane te stają się dostępne dla osób trzecich. Wywodzi z tego, że zamieszczenie danych osobowych na stronie internetowej za pomocą komputera nie może zostać uznane za przekazywanie danych osobowych do państwa trzeciego w rozumieniu art. 25 dyrektywy 95/46.

55 Rząd Zjednoczonego Królestwa podnosi, że art. 25 dyrektywy 95/46 dotyczy przekazywania danych do państw trzecich, a nie ich dostępności z państw trzecich. Pojęcie przekazywania wymaga jego zdaniem przekazania danych przez osobę znajdującą się w konkretnym miejscu osobie trzeciej znajdującej się w innym miejscu. Tylko w przypadku takiego przekazywania art. 25 dyrektywy 95/46 nakłada na państwa członkowskie obowiązek upewnienia się, że dane państwo trzecie zapewnia odpowiedni stopień ochrony danych osobowych.

Odpowiedź Trybunału

56 Dyrektywa 95/46 nie definiuje pojęcia przekazywania danych do państw trzecich ani w art. 25, ani w żadnym innym przepisie, a w szczególności nie w art. 2.

57 W celu ustalenia, czy zamieszczenie na stronie internetowej danych osobowych stanowi przez sam fakt ich udostępnienia osobom znajdującym się w państwach trzecich przekazywanie tych danych do państwa trzeciego w rozumieniu art. 25 dyrektywy 95/46, konieczne jest uwzględnienie z jednej strony technicznego charakteru wykonanych operacji i z drugiej strony celu oraz systematyki rozdziału IV wspomnianej dyrektywy, w którym zawarty jest art. 25.

58 Do zamieszczonych w Internecie informacji dostęp może mieć, praktycznie w każdej chwili, nieograniczona liczba osób zamieszkałych w różnych miejscach. Wszechobecność tych informacji wynika w szczególności z faktu, że wykorzystywane w ramach Internetu środki techniczne są stosunkowo proste i coraz mniej kosztowne.

59 Zgodnie z różnymi możliwościami korzystania z Internetu, które w latach 90. stały się dostępne dla osób prywatnych takich jak B. Lindqvist, autor strony, która ma być opublikowana w Internecie, przekazuje dane stanowiące tę stronę swojemu dostawcy usług hostingowych. Dostawca zarządza konieczną infrastrukturą informatyczną, mającą zapewnić przechowywanie tych danych i podłączenie serwera, na którym przechowywana jest strona internetowa. Umożliwia to późniejsze przekazywanie tych danych każdemu, kto połączy się z Internetem i będzie chciał je otrzymać. Komputery, które stanowią tę infrastrukturę informatyczną, mogą znajdować się a wręcz często znajdują się w państwie lub w kilku państwach, które nie są miejscem prowadzenia działalności gospodarczej przez dostawcę usług hostingowych, przy czym jego klienci o tym nie wiedzą lub często nie mają możliwości się o tym dowiedzieć.

60 Z akt sprawy wynika, że aby uzyskać informacje zawarte na stronach internetowych, na których B. Lindqvist zamieściła dane dotyczące jej kolegów, użytkownik Internetu musi nie tylko połączyć się z siecią, ale również wykonać osobiście określone czynności, konieczne, aby zapoznać się z tymi stronami. Innymi słowy, strony internetowe B. Lindqvist nie były wyposażone w mechanizmy techniczne umożliwiające automatyczne przesyłanie tych informacji osobom, które nie starały się świadomie do tych stron dotrzeć i je otworzyć.

61 Z powyższego wynika, że w sytuacji takiej jak ta w postępowaniu przed sądem krajowym dane osobowe, które dochodzą do komputera osoby znajdującej się w państwie trzecim i pochodzą od osoby, która je zamieściła na stronie internetowej, nie zostały przekazane bezpośrednio pomiędzy tymi dwiema osobami, ale za pośrednictwem infrastruktury informatycznej dostawcy usług hostingowych, gdzie strona ta jest przechowywana.

62 To właśnie w tym kontekście należy zbadać, czy prawodawca wspólnotowy miał zamiar, dla celów stosowania rozdziału IV dyrektywy 95/46, objąć pojęciem przekazywania danych do państw trzecich w rozumieniu art. 25 tej dyrektywy operacje takie jak te przeprowadzone przez B. Lindqvist. Należy podkreślić, że piąte pytanie sądu krajowego dotyczy wyłącznie tych operacji, z wyłączeniem operacji wykonywanych przez dostawców usług hostingowych.

63 Rozdział IV dyrektywy 95/46, w którym zawarty jest art. 25, ustanawia szczególny system, zawierający szczególne normy, który służy zapewnieniu przez państwa członkowskie kontroli nad przekazywaniem danych osobowych do państw trzecich. Rozdział ten ustanawia system uzupełniający w stosunku do systemu ogólnego, ustanowionego w rozdziale II wspomnianej dyrektywy, dotyczącym legalności przetwarzania danych.

64 Cel rozdziału IV został określony w motywach 5660 dyrektywy 95/46, które stanowią między innymi, że ochrona osób, jaką ta dyrektywa gwarantuje we Wspólnocie, nie stanowi przeszkody dla przekazywania danych osobowych do państw trzecich, które zapewniają odpowiedni stopień ochrony, a prawidłowość stopnia ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazywania danych lub zestawu takich operacji. Należy zakazać przekazywania danych osobowych do państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony.

65 Artykuł 25 dyrektywy 95/46 nakłada z kolei na państwa członkowskie i Komisję szereg obowiązków związanych z kontrolowaniem przekazywania danych osobowych do państw trzecich z uwzględnieniem stopnia ochrony tych danych zapewnionego w każdym z tych państw.

66 W szczególności art. 25 ust. 4 dyrektywy 95/46 przewiduje, że jeżeli Komisja stwierdzi, iż państwo trzecie nie zapewnia odpowiedniego stopnia ochrony, państwa członkowskie podejmą konieczne środki, aby nie dopuścić do przekazania jakichkolwiek danych osobowych do wspomnianego państwa.

67 Rozdział IV dyrektywy 95/46 nie zawiera żadnych przepisów dotyczących korzystania z Internetu. W szczególności nie określa kryteriów pozwalających ustalić, czy w przypadku operacji wykonywanych za pośrednictwem dostawców usług hostingowych za miejsce ich przeprowadzenia należy przyjąć miejsce wykonywania działalności gospodarczej przez dostawcę lub jego siedzibę, czy też miejsce albo miejsca, w których znajdują się komputery stanowiące infrastrukturę informatyczną dostawcy.

68 Jeśli uwzględnić z jednej strony stan rozwoju Internetu w okresie trwania prac nad dyrektywą 95/46 i z drugiej strony brak określenia w jej rozdziale IV kryteriów mających zastosowanie do korzystania z Internetu, to nie można przypisać prawodawcy wspólnotowemu zamiaru objęcia w przyszłości pojęciem przekazywania danych do państw trzecich faktu zamieszczenia przez osobę znajdującą się w sytuacji B. Lindqvist danych na stronie internetowej, nawet jeżeli stały się one w ten sposób dostępne dla osób znajdujących się w państwach trzecich i posiadających środki techniczne pozwalające na dostęp do nich.

69 Gdyby art. 25 dyrektywy 95/46 należało interpretować w ten sposób, że przekazywanie danych do państw trzecich ma miejsce w każdym przypadku, w którym dane osobowe zostały umieszczone na stronie internetowej, to przekazywanie stanowiłoby w sposób konieczny przekazywanie do wszystkich państw trzecich, w których istnieją środki techniczne niezbędne do uzyskania dostępu do Internetu. Szczególny system przewidziany przez rozdział IV wspomnianej dyrektywy stałby się nieuchronnie w odniesieniu do operacji w Internecie systemem ogólnym. W rezultacie, gdyby Komisja stwierdziła na podstawie art. 25 ust. 4 dyrektywy 95/46, że tylko jedno państwo trzecie nie zapewnia odpowiedniego stopnia ochrony, państwa członkowskie byłyby zobowiązane uniemożliwić jakiekolwiek zamieszczanie danych osobowych w Internecie.

70 W tych okolicznościach nasuwa się wniosek, zgodnie z którym art. 25 dyrektywy 95/46 należy interpretować w ten sposób, że operacje takie jak te wykonane przez B. Lindqvist nie stanowią same w sobie przekazywania danych do państw trzecich. Nie ma zatem potrzeby ustalać, czy osoba z państwa trzeciego miała dostęp do danej strony internetowej lub czy serwer danego dostawcy znajduje się fizycznie w państwie trzecim.

71 Na pytanie piąte należy zatem odpowiedzieć, że przekazywanie danych do państw trzecich w rozumieniu art. 25 dyrektywy 95/46 nie ma miejsca, w przypadku gdy osoba, która znajduje się w jednym z państw członkowskich, zamieszcza na stronie internetowej, przechowywanej przez dostawcę usług hostingowych mającego swoją siedzibę w tym samym państwie lub w innym państwie członkowskim, dane osobowe, czyniąc je w ten sposób dostępnymi dla każdego, kto połączy się z Internetem, w tym również dla osób, które znajdują się w państwie trzecim.

W przedmiocie szóstego pytania

72 W szóstym pytaniu sąd krajowy dąży do ustalenia, czy w takim przypadku jak rozpatrywany w postępowaniu przed sądem krajowym należy przyjąć, że przepisy dyrektywy 95/46 zawierają ograniczenie niezgodne z ogólną zasadą swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w Unii Europejskiej, które odpowiadają w szczególności prawu przewidzianemu w art. 10 EKPC.

Uwagi przedłożone Trybunałowi

73 Powołując się między innymi na wyrok z dnia 6 marca 2001 r. w sprawie C274/99 P Connolly przeciwko Komisji, Rec. s. I1611, B. Lindqvist podnosi, że dyrektywa 95/46 i PUL w zakresie, w jakim przewidują warunek uprzedniego uzyskania zgody i uprzedniego poinformowania organu nadzoru oraz zasadę zakazu przetwarzania wrażliwych danych osobowych są sprzeczne z uznaną w prawie wspólnotowym ogólną zasadą swobody wypowiedzi. W szczególności podnosi ona, że definicja wyrażenia przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany nie spełnia kryteriów przewidywalności i precyzji.

74 Ponadto jej zdaniem zwykłe wymienienie z nazwiska osoby fizycznej, ujawnienie jej numeru telefonu i podanie informacji na temat jej warunków pracy oraz jej stanu zdrowia i sposobów spędzania wolnego czasu informacji, które są publiczne, powszechnie znane lub banalne, nie wyczerpuje znamion istotnego naruszenia prawa do poszanowania życia prywatnego. B. Lindqvist podnosi, że w każdym stanie rzeczy ograniczenia wprowadzone przez dyrektywę 95/46 są dysproporcjonalne względem celu, jakim jest zapewnienie ochrony dobrego imienia i życia prywatnego innych osób.

75 Rząd szwedzki podnosi, że dyrektywa 95/46 pozwala wyważyć przedmiotowe interesy i w ten sposób zapewnić ochronę swobody wypowiedzi i ochronę życia prywatnego. Dodaje, że wyłącznie sąd krajowy może, uwzględniając okoliczności właściwe dla każdej sprawy, ocenić proporcjonalność ograniczenia wykonywania prawa do korzystania ze swobody wypowiedzi, jaką wprowadza zastosowanie reguł mających na celu ochronę praw innych osób.

76 Rząd niderlandzki przypomina, że zarówno swoboda wypowiedzi, jak i prawo do poszanowania życia prywatnego stanowią część ogólnych zasad prawa, których przestrzeganie zapewnia Trybunał, i że EKPC nie ustala żadnej hierarchii pomiędzy poszczególnymi prawami podstawowymi. Rząd ten uważa tym samym, że sąd krajowy, uwzględniając okoliczności tej konkretnej sprawy, powinien starać się pogodzić te poszczególne prawa podstawowe.

77 Rząd Zjednoczonego Królestwa zauważa, że przedstawiona przez niego w pkt 55 niniejszego wyroku propozycja odpowiedzi na pytanie piąte jest całkowicie zgodna z ochroną praw podstawowych i pozwala uniknąć nadmiernego ograniczania swobody wypowiedzi. Dodaje, że wykładnia, na skutek której opublikowanie danych osobowych w szczególnej formie, a mianowicie na stronie internetowej, podlegałoby ograniczeniom znacznie surowszym niż ograniczenia mające zastosowanie do ich opublikowania w innej formie, takiej jak forma papierowa, byłaby trudna do uzasadnienia.

78 Również Komisja twierdzi, że dyrektywa 95/46 nie wprowadza ograniczenia sprzecznego z ogólną zasadą swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w ramach Unii Europejskiej, które odpowiadają w szczególności prawu przewidzianemu w art. 10 EKPC.

Odpowiedź Trybunału

79 Z motywu 7 dyrektywy 95/46 wynika, że ustanowienie i funkcjonowanie rynku wewnętrznego może zostać poważnie zakłócone przez różnice istniejące pomiędzy krajowymi systemami mającymi zastosowanie do przetwarzania danych osobowych. Jak wynika z motywu 3 tej dyrektywy, celem zbliżenia krajowych systemów powinno być nie tylko zapewnienie swobodnego przepływu danych osobowych z jednego państwa członkowskiego do drugiego, lecz również ochrona praw podstawowych osób fizycznych. Oczywiście cele te mogą ze sobą kolidować.

80 Z jednej strony integracja gospodarcza i społeczna wynikająca z ustanowienia i funkcjonowania rynku wewnętrznego pociągnie za sobą w sposób konieczny znaczący wzrost przepływu danych osobowych pomiędzy wszystkimi podmiotami życia gospodarczego i społecznego państw członkowskich, czy to przedsiębiorstwami, czy też władzami administracyjnymi tych państw. W pewnej mierze podmioty te muszą dysponować danymi osobowymi w celu przeprowadzenia transakcji lub wypełniania swoich zadań w ramach przestrzeni bez granic, jaką stanowi rynek wewnętrzny.

81 Z drugiej strony osoby, których dotyczy przetwarzanie danych osobowych, słusznie domagają się, by te dane były skutecznie chronione.

82 Mechanizmy pozwalające na znalezienie odpowiedniej równowagi między tymi poszczególnymi prawami i interesami są zawarte z jednej strony w samej dyrektywie 95/46 w zakresie, w jakim przewiduje ona zasady określające, w jakich sytuacjach i w jakich granicach przetwarzanie danych osobowych jest dozwolone oraz jakie gwarancje winny być przewidziane. Z drugiej strony mechanizmy te wynikają z ustanowienia przez państwa członkowskie przepisów krajowych zapewniających transpozycję tej dyrektywy i z ich stosowania przez władze krajowe.

83 Co się tyczy samej dyrektywy 95/46, jej przepisy są niewątpliwie stosunkowo ogólne, zważywszy na fakt, że ma ona mieć zastosowanie do wielu bardzo różnych sytuacji. W przeciwieństwie do tego, co utrzymuje B. Lindqvist, dyrektywa zawiera zasady charakteryzujące się pewną elastycznością i w wielu przypadkach pozostawia państwom członkowskim określenie szczegółów lub wybór jednej z możliwości.

84 Prawdą jest, że przy transpozycji dyrektywy 95/46 państwa członkowskie korzystają w wielu przypadkach z marginesu swobody. Jednakże nic nie pozwala uznać, że przewidziany przez tę dyrektywę system zakłada brak przewidywalności lub że jej przepisy, jako takie, są sprzeczne z ogólnymi zasadami prawa wspólnotowego, a w szczególności z prawami podstawowymi chronionymi przez wspólnotowy porządek prawny.

85 Tak więc to raczej na etapie przyjmowania ustawodawstwa dokonującego transpozycji dyrektywy 95/46 w odniesieniu do szczególnych przypadków należy szukać właściwej równowagi między chronionymi prawami a celami, jakie mają być zrealizowane.

86 W tym kontekście prawa podstawowe mają szczególne znaczenie, na co wskazuje sprawa w postępowaniu przed sądem krajowym, w przypadku której należy znaleźć odpowiednią równowagę między z jednej strony przysługującą B. Lindqvist w ramach jej pracy jako katechetki swobodą wypowiedzi i swobodą wykonywania działalności wzbogacającej życie religijne a z drugiej strony ochroną życia prywatnego osób, których dane B. Lindqvist zamieściła na stworzonej przez siebie stronie internetowej.

87 W konsekwencji władze publiczne i sądy państw członkowskich są zobowiązane nie tylko dokonywać wykładni prawa krajowego w zgodzie z dyrektywą 95/46, ale również dopilnować, by nie kierować się taką wykładnią tej dyrektywy, która kolidowałaby z prawami podstawowymi chronionymi przez wspólnotowy porządek prawny lub z innymi ogólnymi zasadami prawa wspólnotowego, takimi jak zasada proporcjonalności.

88 O ile prawdą jest, że ochrona życia prywatnego wymaga stosowania skutecznych sankcji w stosunku do osób przetwarzających dane osobowe w sposób niezgodny z dyrektywą 95/46, o tyle takie sankcje powinny zawsze przestrzegać zasady proporcjonalności, tym bardziej że zakres stosowania dyrektywy 95/46 jest bardzo szeroki, a na osobach przetwarzających dane osobowe ciążą liczne i poważne obowiązki.

89 W oparciu o zasadę proporcjonalności sąd krajowy powinien uwzględnić wszystkie okoliczności zawisłej przed nim sprawy, a w szczególności czas trwania naruszenia przepisów wykonujących dyrektywę 95/46 oraz znaczenie, jakie ma dla zainteresowanych osób ochrona rozpowszechnionych danych osobowych.

90 Na pytanie szóste należy zatem odpowiedzieć, że przepisy dyrektywy 95/46 nie zawierają same w sobie ograniczeń sprzecznych z ogólną zasadą swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w ramach Unii Europejskiej, które odpowiadają w szczególności art. 10 EKPC. Do władz publicznych i sądów państw członkowskich odpowiedzialnych za stosowanie przepisów krajowych dokonujących transpozycji dyrektywy 95/46 należy zapewnienie właściwej równowagi między wchodzącymi w grę prawami i interesami, w tym prawami podstawowymi chronionymi przez wspólnotowy porządek prawny.

W przedmiocie pytania siódmego

91 W pytaniu siódmym sąd krajowy zmierza zasadniczo do ustalenia, czy państwa członkowskie mogą rozszerzyć ochronę danych osobowych lub zakres stosowania wynikający z dyrektywy 95/46.

Uwagi przedłożone Trybunałowi

92 Rząd szwedzki twierdzi, że dyrektywa 95/46 nie ogranicza się do ustanowienia minimalnych wymagań w zakresie ochrony danych osobowych. W ramach transpozycji tej dyrektywy państwa członkowskie są zobowiązane osiągnąć stopień ochrony określony przez dyrektywę i nie są upoważnione do rozszerzenia lub zawężenia tej ochrony. Jednakże należy mieć wzgląd na swobodne uznanie, jakim dysponują państwa członkowskie w ramach dokonywania wspomnianej transpozycji przy określaniu w prawie krajowym ogólnych zasad legalności przetwarzania danych osobowych.

93 Rząd niderlandzki utrzymuje, że dyrektywa 95/46 nie sprzeciwia się rozszerzeniu ochrony przez państwa członkowskie w pewnych dziedzinach. Na przykład z art. 10, art. 11 ust. 1, art. 14 akapit pierwszy lit. a), art. 17 ust. 3, art. 18 ust. 5 i art. 19 ust. 1 tej dyrektywy wynika jego zdaniem, że państwa członkowskie mogą przewidzieć zwiększoną ochronę. Ponadto państwa członkowskie mogą również objąć zasadami dyrektywy 95/46 działania, które wykraczają poza zakres jej stosowania.

94 Komisja podnosi, że dyrektywa 95/46 opiera się na art. 100A traktatu oraz że jeżeli państwo członkowskie chce utrzymać lub ustanowić przepisy, które stanowią odstępstwo od takiej dyrektywy harmonizującej, na mocy art. 95 ust. 4 lub 5 WE zobowiązane jest notyfikować ten fakt Komisji. Wobec powyższego Komisja utrzymuje, że państwo członkowskie nie może rozszerzyć ochrony danych osobowych lub zakresu stosowania wynikających ze wspomnianej dyrektywy.

Odpowiedź Trybunału

95 Dyrektywa 95/46 ma na celu, jak to wynika w szczególności z jej motywu 8, zrównanie stopnia ochrony praw i wolności jednostek w zakresie przetwarzania danych osobowych we wszystkich państwach członkowskich. W motywie 10 tej dyrektywy dodano, że zbliżanie ustawodawstw krajowych w tej dziedzinie nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie, musi dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie.

96 Harmonizacja wspomnianych ustawodawstw krajowych nie ogranicza się do minimalnego jej zakresu, lecz prowadzi do harmonizacji, która jest co do zasady pełna. To właśnie z tego punktu widzenia dyrektywa 95/46 ma zapewniać swobodny przepływ danych osobowych, gwarantując jednocześnie wysoki stopień ochrony praw i interesów osób, których dane te dotyczą.

97 Prawdą jest, że dyrektywa 95/46 pozostawia państwom członkowskim margines swobody w niektórych dziedzinach i pozwala im utrzymać lub wprowadzić szczególne systemy dla specyficznych przypadków, o czym świadczy duża liczba jej przepisów. Jednakże takie możliwości powinny być wykorzystane w sposób przewidziany w dyrektywie 95/46 i zgodnie z jej celem, jakim jest zapewnienie równowagi między swobodnym przepływem danych osobowych a ochroną życia prywatnego.

98 Natomiast nic nie stoi na przeszkodzie rozszerzeniu przez państwo członkowskie zakresu ustawodawstwa krajowego dokonującego transpozycji przepisów dyrektywy 95/46 na dziedziny nieobjęte zakresem jej stosowania, pod warunkiem że nie sprzeciwia się temu żaden przepis prawa wspólnotowego.

99 Zważywszy na powyższe, na pytanie siódme należy odpowiedzieć, że środki podejmowane przez państwa członkowskie w celu zapewnienia ochrony danych osobowych muszą być zgodne zarówno z przepisami dyrektywy 95/46, jak i z jej celem, jakim jest utrzymanie równowagi między swobodnym przepływem danych osobowych a ochroną życia prywatnego. Natomiast nic nie stoi na przeszkodzie rozszerzeniu przez państwo członkowskie zakresu ustawodawstwa krajowego dokonującego transpozycji przepisów dyrektywy 95/46 na dziedziny nieobjęte zakresem jej stosowania, pod warunkiem że nie sprzeciwia się temu żaden przepis prawa wspólnotowego.

W przedmiocie kosztów

100 Koszty poniesione przez rządy szwedzki, niderlandzki i Zjednoczonego Królestwa oraz przez Komisję i Urząd Nadzoru EFTA w związku z przedstawieniem uwag Trybunałowi nie podlegają zwrotowi. Dla stron postępowania przed sądem krajowym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed tym sądem, do niego zatem należy rozstrzygnięcie o kosztach.

 

z powyższych względów

TRYBUNAŁ,

stanowiąc w przedmiocie pytań przedłożonych mu przez Göta hovrätt postanowieniem z dnia 23 lutego 2001 r., orzeka, co następuje:

 

1) Operacja polegająca na zamieszczeniu na stronie internetowej danych różnych osób pozwalających je zidentyfikować za pomocą nazwiska albo innych środków, np. numeru telefonu lub informacji dotyczących ich warunków pracy i sposobów spędzania przez nie wolnego czasu stanowi przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany w rozumieniu art. 3 ust. 1 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.
2) Takie przetwarzanie danych osobowych nie jest objęte żadnym z wyłączeń określonych w art. 3 ust. 2 dyrektywy 95/46.
3) Informacja, że dana osoba doznała urazu stopy i przebywa na zwolnieniu lekarskim w niepełnym wymiarze, stanowi dane osobowe dotyczące zdrowia w rozumieniu art. 8 ust. 1 dyrektywy 95/46.
4) Przekazywanie danych do państw trzecich w rozumieniu art. 25 dyrektywy 95/46 nie ma miejsca, w przypadku gdy osoba, która znajduje się w jednym z państw członkowskich, zamieszcza na stronie internetowej, przechowywanej przez dostawcę usług hostingowych mającego swoją siedzibę w tym samym państwie lub w innym państwie członkowskim, dane osobowe, czyniąc je w ten sposób dostępnymi dla każdego, kto połączy się z Internetem, w tym również dla osób, które znajdują się w państwie trzecim.
5) Przepisy dyrektywy 95/46 nie zawierają same w sobie ograniczeń sprzecznych z ogólną zasadą swobody wypowiedzi lub z innymi prawami i swobodami obowiązującymi w ramach Unii Europejskiej, które odpowiadają w szczególności art. 10 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, sporządzonej w Rzymie w dniu 4 listopada 1950 r. Do władz publicznych i sądów państw członkowskich odpowiedzialnych za stosowanie przepisów krajowych dokonujących transpozycji dyrektywy 95/46 należy zapewnienie właściwej równowagi między wchodzącymi w grę prawami i interesami, w tym prawami podstawowymi chronionymi przez wspólnotowy porządek prawny.
6) Środki podejmowane przez państwa członkowskie w celu zapewnienia ochrony danych osobowych muszą być zgodne zarówno z przepisami dyrektywy 95/46, jak i z jej celem, jakim jest utrzymanie równowagi między swobodnym przepływem danych osobowych a ochroną życia prywatnego. Natomiast nic nie stoi na przeszkodzie rozszerzeniu przez państwo członkowskie zakresu ustawodawstwa krajowego dokonującego transpozycji przepisów dyrektywy 95/46 na dziedziny nieobjęte zakresem jej stosowania, pod warunkiem że nie sprzeciwia się temu żaden przepis prawa wspólnotowego.

Uzasadnienie