HvJ EU, 11-12-2019, nr. C-708/18

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 6, lid 1, onder e), en artikel 7, onder f), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), en de artikelen 8 en 52 van het Handvest van de grondrechten van de Europese Unie (hierna: ‘Handvest’).

Dit verzoek is ingediend in het kader van een geding tussen TK en Asociaţia de Proprietari bloc M5A-ScaraA (vereniging van eigenaars van gebouw M5A-trappenhuis A, Roemenië; hierna: ‘vereniging van eigenaars’) over het verzoek van TK om deze vereniging te gelasten het videobewakingssysteem van dat gebouw uit te schakelen en de in de gemeenschappelijke ruimten geïnstalleerde camera's te verwijderen.

TK woont in een appartement, waarvan hij de eigenaar is, in gebouw M5A. Op verzoek van bepaalde mede-eigenaren van dat gebouw heeft de vereniging van eigenaars tijdens een algemene vergadering van 7 april 2016 besloten om bewakingscamera's in het gebouw te installeren.

Ter uitvoering van dit besluit zijn er drie bewakingscamera's geïnstalleerd in de gemeenschappelijke ruimten van gebouw M5A. De eerste camera was gericht op de gevel van het gebouw, terwijl de tweede en derde camera waren geplaatst in respectievelijk de hal op de begane grond en de lift van het gebouw.

TK heeft zich tegen de installatie van dit videobewakingssysteem verzet, omdat dit een schending van het recht op eerbiediging van het privéleven zou vormen.

Na te hebben vastgesteld dat dit systeem in werking bleef ondanks talrijke procedures en de schriftelijke erkenning door de vereniging van eigenaars dat het geïnstalleerde videobewakingssysteem onrechtmatig was, heeft TK beroep ingesteld bij de verwijzende rechter om die vereniging te doen gelasten de drie camera's te verwijderen en definitief uit te schakelen, op straffe van een dwangsom.

TK heeft bij deze rechter betoogd dat het betrokken videobewakingssysteem in strijd was met het primaire en afgeleide Unierecht, in het bijzonder het recht op eerbiediging van het privéleven, en met het nationale recht betreffende het recht op eerbiediging van het privéleven. Verder heeft hij aangegeven dat de vereniging van eigenaars de functie van verantwoordelijke voor de verwerking van persoonsgegevens op zich had genomen zonder de daartoe bij wet vastgelegde registratieprocedure te hebben gevolgd.

De vereniging van eigenaars heeft erop gewezen dat er is besloten een videobewakingssysteem te installeren om het komen en gaan in het gebouw zo effectief mogelijk te controleren, vanwege het feit dat de lift meerdere keren was beschadigd en bij verschillende appartementen en in de gemeenschappelijke ruimten inbraak en diefstal hadden plaatsgevonden.

Zij heeft ook gepreciseerd dat andere maatregelen die zij eerder had genomen, zoals het installeren van een systeem voor toegang tot het gebouw met intercom en magneetkaart, niet hebben verhinderd dat zich herhaaldelijk soortgelijke voorvallen hebben voorgedaan.

De vereniging van eigenaars heeft TK bovendien het proces-verbaal verstrekt dat zij had opgesteld met het bedrijf dat de camera's van het videobewakingssysteem had geïnstalleerd, waaruit bleek dat de harde schijf van het systeem op 21 oktober 2016 was losgekoppeld en gewist, dat deze buiten werking was gesteld en dat de geregistreerde beelden waren verwijderd.

Zij heeft hem ook een ander proces-verbaal verstrekt, van 18 mei 2017, waaruit bleek dat de drie bewakingscamera's waren verwijderd. Dit proces-verbaal preciseerde dat de vereniging van eigenaars in de tussentijd de procedure had doorlopen om te worden geregistreerd als verantwoordelijke voor de verwerking van persoonsgegevens.

TK heeft de verwijzende rechter er echter op gewezen dat de drie bewakingscamera's nog altijd op hun plaats waren.

De verwijzende rechter merkt op dat artikel 5 van wet nr. 677/2001 in het algemeen bepaalde dat verwerking van persoonsgegevens, zoals het registreren van beelden door middel van een videobewakingssysteem, alleen kan plaatsvinden indien de betrokkene zijn uitdrukkelijke en ondubbelzinnige toestemming heeft gegeven. Lid 2 van datzelfde artikel noemde echter een aantal uitzonderingen op die regel, waaronder die waarbij de verwerking van de persoonsgegevens noodzakelijk is voor de bescherming van het leven, de fysieke integriteit of de gezondheid van de betrokkene of van een andere bedreigde persoon. Besluit nr. 52/2012 van de ANSPDCP voorzag in een soortgelijke uitzondering.

De verwijzende rechter verwijst vervolgens naar, met name, artikel 52, lid 1, van het Handvest, waarin het beginsel is neergelegd dat er een evenredige verhouding moet bestaan tussen het doel dat wordt nagestreefd met de inmenging in de rechten en vrijheden van de burgers en de daarvoor gebruikte middelen.

Volgens deze rechter lijkt het betrokken videobewakingssysteem niet te zijn gebruikt op een wijze die — of met een doel dat — niet overeenkomt met de door de vereniging van eigenaars genoemde doelstelling om het leven, de fysieke integriteit en de gezondheid van de betrokkenen, te weten de mede-eigenaren van het gebouw waarin dit systeem was geïnstalleerd, te beschermen.

In deze omstandigheden heeft de Tribunal Bucureşti (rechter in eerste aanleg Boekarest, Roemenië) de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

Vooraf moet in de eerste plaats worden vastgesteld dat de verwijzende rechter in zijn vierde vraag weliswaar verwijst naar artikel 6, lid 1, onder e), van richtlijn 95/46, maar geen uitleg geeft over de relevantie van deze bepaling voor de beslechting van het geschil in het hoofdgeding.

Voornoemde bepaling betreft namelijk enkel de eisen waaraan het bewaren van persoonsgegevens moet voldoen. Niets in het dossier waarover het Hof beschikt wijst erop dat het hoofdgeding betrekking heeft op dat aspect.

Voor zover de verwijzende rechter met deze vraag in wezen wenst te vernemen of de installatie van een videobewakingssysteem, zoals aan de orde in het hoofdgeding, evenredig is ten aanzien van het nagestreefde doel, moet daarentegen worden opgemerkt dat de vraag of de middels dit systeem verzamelde persoonsgegevens voldoen aan het evenredigheidsvereiste betrekking heeft op de uitlegging van artikel 6, lid 1, onder c), van richtlijn 95/46.

Laatstgenoemde bepaling moet in aanmerking worden genomen bij de toetsing aan de tweede toepassingsvoorwaarde in artikel 7, onder f), van richtlijn 95/46, volgens welke de verwerking van persoonsgegevens ‘noodzakelijk’ moet zijn voor de behartiging van het gerechtvaardigde belang.

In de tweede plaats verwijst de verwijzende rechter in zijn eerste en tweede vraag naar de artikelen 8 en 52 van het Handvest, afzonderlijk beschouwd dan wel in samenhang met artikel 7, onder f), van richtlijn 95/46. Het Hof heeft echter reeds gepreciseerd dat de toetsing aan de in deze bepaling gestelde voorwaarde — omtrent het bestaan van fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon die prevaleren boven het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt — een afweging met zich meebrengt van de aan de orde zijnde tegengestelde rechten en belangen, die afhangt van de bijzondere omstandigheden van een concreet geval en in het kader waarvan rekening moet worden gehouden met het belang van de uit de artikelen 7 en 8 van het Handvest voortvloeiende rechten van de betrokkene (arrest van 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 en C-469/10, EU:C:2011:777, punt 40). Hieruit volgt dat de artikelen 8 en 52 in het onderhavige geval niet afzonderlijk mogen worden toegepast.

Gelet op het voorgaande moet worden aangenomen dat de verwijzende rechter met zijn vragen, die gezamenlijk dienen te worden onderzocht, in essentie wenst te vernemen of artikel 6, lid 1, onder c), en artikel 7, onder f), van richtlijn 95/46, gelezen in het licht van de artikelen 7 en 8 van het Handvest, aldus moeten worden uitgelegd dat zij zich verzetten tegen nationale bepalingen die toestaan dat er zonder toestemming van de betrokkenen een videobewakingssysteem wordt opgezet, zoals het systeem in het hoofdgeding dat is geïnstalleerd in de gemeenschappelijke ruimten van een voor bewoning bestemd gebouw, om gerechtvaardigde belangen na te streven die erin bestaan de veiligheid en de bescherming van personen en goederen te waarborgen.

In herinnering dient te worden gebracht dat bewaking met behulp van video-opnamen van mensen die doorlopend worden vastgelegd, te weten op een harde schijf, geautomatiseerde verwerking van persoonsgegevens vormt overeenkomstig artikel 3, lid 1, van richtlijn 95/46 (arrest van 11 december 2014, Ryneš, C-212/13, EU:C:2014:2428, punt 25).

Derhalve moet een videobewakingssysteem worden aangemerkt als geautomatiseerde verwerking van persoonsgegevens in de zin van voornoemde bepaling, wanneer de gebruikte apparatuur het mogelijk maakt om persoonsgegevens — zoals beelden die het mogelijk maken om natuurlijke personen te identificeren — te registreren en op te slaan. Het staat aan de verwijzende rechter om na te gaan of het systeem in het hoofdgeding dergelijke kenmerken vertoont.

Voorts moet de verwerking van persoonsgegevens te allen tijde stroken met de in artikel 6 van richtlijn 95/46 genoemde beginselen betreffende de kwaliteit van de gegevens en beantwoorden aan een van de in artikel 7 van die richtlijn genoemde beginselen betreffende de toelaatbaarheid van gegevensverwerking (arrest van 13 mei 2014, Google Spain en Google, C-131/12, EU:C:2014:317, punt 71 en aldaar aangehaalde rechtspraak).

Artikel 7 van richtlijn 95/46 bevat een uitputtende lijst van gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt. De lidstaten mogen aan dit artikel geen nieuwe beginselen betreffende de toelaatbaarheid van de verwerking van persoonsgegevens toevoegen, noch bijkomende vereisten vaststellen die de reikwijdte van een van de zes in dat artikel vervatte beginselen zouden wijzigen (arrest van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 57).

Hieruit volgt dat de verwerking van persoonsgegevens alleen als rechtmatig kan worden aangemerkt indien deze valt onder een van de zes gevallen bedoeld in artikel 7 van richtlijn 95/46.

De vragen van de verwijzende rechter betreffen in het bijzonder het in artikel 7, onder f), van richtlijn 95/46 neergelegde beginsel betreffende de toelaatbaarheid van de verwerking van persoonsgegevens, welke bepaling in Roemeens recht is omgezet bij artikel 5, lid 2, onder e), van wet nr. 677/2001, waar ook naar wordt verwezen in artikel 6 van besluit nr. 52/2012 van de ANSPDCP, met betrekking tot specifiek de verwerking van persoonsgegevens door middel van videobewaking.

In dit verband zijn er in artikel 7, onder f), van richtlijn 95/46 drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de verwerking van persoonsgegevens rechtmatig is, te weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in de tweede plaats, de noodzakelijkheid van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de derde plaats, het feit dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren (arrest van 4 mei 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, punt 28).

Er moet worden benadrukt dat artikel 7, onder f), van richtlijn 95/46 geen toestemming van de betrokkene vereist. Een dergelijke toestemming komt alleen voor in artikel 7, onder a), van die richtlijn, als voorwaarde waaraan de verwerking van persoonsgegevens moet voldoen.

In het onderhavige geval zou het doel dat de voor de verwerking van de persoonsgegevens verantwoordelijke in wezen voor ogen had met de installatie van het in het hoofdgeding aan de orde zijnde videobewakingssysteem, namelijk de bescherming van de goederen, de gezondheid en het leven van de mede-eigenaren van een gebouw, kunnen worden aangemerkt als ‘gerechtvaardigd belang’ in de zin van artikel 7, onder f), van richtlijn 95/46. Aan de eerste voorwaarde van die bepaling is dus in beginsel voldaan (zie naar analogie arrest van 11 december 2014, Ryneš, C-212/13, EU:C:2014:2428, punt 34).

De verwijzende rechter vraagt zich echter af of de eerste voorwaarde van dat artikel 7, onder f), aldus moet worden opgevat dat het belang van de betrokken verantwoordelijke ten eerste ‘bewezen moet zijn’ en ten tweede ‘op het moment van verwerking moet bestaan en actueel moet zijn’.

In dit verband moet worden opgemerkt — zoals aangevoerd door de Roemeense en de Tsjechische regering, Ierland, de Oostenrijkse regering, de Portugese regering en de Commissie — dat, aangezien de verantwoordelijke voor de verwerking van persoonsgegevens of de derde aan wie de gegevens worden verstrekt op grond van artikel 7, onder f), van richtlijn 95/46 een gerechtvaardigd belang moet nastreven dat deze verwerking rechtvaardigt, dit belang op de datum van de verwerking bestaand, actueel, en niet van hypothetische aard moet zijn. Bij de beoordeling van alle omstandigheden van het geval kan echter niet noodzakelijkerwijs worden vereist dat de veiligheid van de goederen en personen reeds in het verleden is aangetast.

In het onderhavige geval lijkt er hoe dan ook voldaan te zijn aan de voorwaarde van een bestaand en actueel belang, aangezien de verwijzende rechter vermeldt dat er voorafgaand aan de installatie van het videobewakingssysteem sprake was van diefstal, inbraak en vandalisme, hoewel aan de ingang van het gebouw een beveiligingssysteem was geïnstalleerd, bestaande uit een intercom en magneetkaart.

Met betrekking tot de tweede voorwaarde van artikel 7, onder f), van richtlijn 95/46, namelijk dat de verwerking van persoonsgegevens noodzakelijk moet zijn voor de behartiging van het gerechtvaardigde belang, heeft het Hof in herinnering gebracht dat de uitzonderingen op de bescherming van persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke moeten blijven (arrest van 4 mei 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, punt 30 en aldaar aangehaalde rechtspraak).

Voor de toetsing van van deze voorwaarde moet de verwijzende rechter nagaan of het gerechtvaardigde belang van de verwerking van gegevens dat wordt nagestreefd met de videobewaking in het hoofdgeding en dat er in essentie in bestaat de veiligheid van goederen en personen te waarborgen en strafbare feiten te voorkomen, redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die in mindere mate afbreuk doen aan de fundamentele vrijheden en rechten van de betrokkenen, in het bijzonder aan het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens zoals gewaarborgd door de artikelen 7 en 8 van het Handvest.

Zoals aangevoerd door de Commissie moet de voorwaarde inzake de noodzakelijkheid van de verwerking bovendien worden onderzocht in samenhang met het beginsel van ‘minimale gegevensverwerking’ dat is vastgelegd in artikel 6, lid 1, onder c), van richtlijn 95/46. Volgens deze bepaling moeten de persoonsgegevens ‘toereikend, ter zake dienend en niet bovenmatig […] zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt’.

Uit het dossier waarover het Hof beschikt, volgt dat er rekening lijkt te zijn gehouden met de vereisten inzake de evenredigheid van de in het hoofdgeding aan de orde zijnde verwerking van gegevens. Het staat immers vast dat in eerste instantie alternatieve maatregelen zijn genomen — bestaande uit een aan de ingang van het gebouw geïnstalleerd beveiligingssysteem met een intercom en een magneetkaart — maar dat deze ontoereikend zijn gebleken. Bovendien is het betrokken videobewakingssysteem beperkt tot de gemeenschappelijke ruimten van het gebouw en de toegangswegen daartoe.

Bij de beoordeling van de evenredigheid van de verwerking van gegevens middels een videobewakingssysteem moet er echter rekening worden gehouden met de concrete wijze waarop dit systeem is opgezet en functioneert, waarbij de gevolgen voor de rechten en vrijheden van de betrokkenen moeten worden beperkt terwijl tegelijkertijd de doeltreffendheid van het betrokken videobewakingssysteem wordt gewaarborgd.

Zo impliceert de voorwaarde inzake de noodzakelijkheid van de verwerking, zoals de Commissie heeft aangevoerd, dat de voor de verwerking verantwoordelijke moet nagaan of het bijvoorbeeld zou volstaan om de videobewaking alleen 's nachts of buiten normale werktijden in te schakelen en beelden die zijn opgenomen in ruimten waar de bewaking niet noodzakelijk is, te blokkeren of onscherp te maken.

Wat ten slotte de derde voorwaarde van artikel 7, onder f), van richtlijn 95/46 betreft, omtrent het bestaan van fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon die prevaleren boven het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, dient in herinnering te worden gebracht, zoals reeds vermeld in punt 32 van het onderhavige arrest, dat de toetsing aan deze voorwaarde een afweging met zich meebrengt van de aan de orde zijnde tegengestelde rechten en belangen, die afhangt van de bijzondere omstandigheden van een concreet geval en in het kader waarvan rekening moet worden gehouden met het belang van de uit de artikelen 7 en 8 van het Handvest voortvloeiende rechten van de betrokkene.

In deze context heeft het Hof geoordeeld dat artikel 7, onder f), van richtlijn 95/46 zich ertegen verzet dat een lidstaat de mogelijkheid van verwerking voor bepaalde categorieën persoonsgegevens categorisch en over de hele linie uitsluit, zonder ruimte te bieden voor een afweging van de betrokken tegenover elkaar gestelde rechten en belangen in een concreet geval. Een lidstaat mag voor deze categorieën de uitkomst van de afweging van de tegenover elkaar gestelde rechten en belangen dan ook niet definitief vaststellen, zonder ruimte te bieden voor een afwijkende uitkomst wegens de bijzondere omstandigheden van een concreet geval (arrest van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 62).

Uit de rechtspraak van het Hof volgt ook dat er bij deze afweging rekening mee kan worden gehouden dat de ernst van de aantasting van de grondrechten van de betrokkene als gevolg van die verwerking kan verschillen afhankelijk van de vraag of de betrokken gegevens beschikbaar zijn in voor het publiek toegankelijke bronnen (zie in die zin arrest van 4 mei 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, punt 32).

Anders dan in het geval van verwerking van gegevens die afkomstig zijn uit voor het publiek toegankelijke bronnen, impliceert de verwerking van gegevens die afkomstig zijn uit niet voor het publiek toegankelijke bronnen dat de informatie over het privéleven van de betrokkene inmiddels bekend is bij de voor de verwerking verantwoordelijke en, in voorkomend geval, bij de derde(n) aan wie de gegevens worden verstrekt. Deze grotere aantasting van de rechten van de betrokkene die zijn vastgelegd in de artikelen 7 en 8 van het Handvest moet in aanmerking worden genomen en in evenwicht worden gebracht met het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt (zie in die zin arrest van 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 en C-469/10, EU:C:2011:777, punt 45).

Het criterium inzake de ernst van de inbreuk op de rechten en vrijheden van de betrokkene vormt een essentieel onderdeel van de door artikel 7, onder f), van richtlijn 95/46 vereiste afweging per geval.

In dit verband moet met name rekening worden gehouden met de aard van de betrokken persoonsgegevens, in het bijzonder de eventueel gevoelige aard ervan, alsmede met de aard en de concrete wijze van verwerking van de betrokken gegevens, in het bijzonder het aantal personen dat er toegang toe heeft en de wijze waarop zij die toegang verkrijgen.

Ook relevant bij deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn persoonsgegevens niet worden verwerkt wanneer hij, in de omstandigheden van het geval, redelijkerwijs geen verdere verwerking ervan kan verwachten.

Tot slot moeten deze elementen worden afgewogen tegen het belang, voor alle mede-eigenaren van het betrokken gebouw, van het met het betrokken videobewakingssysteem nagestreefde gerechtvaardigde belang, aangezien dit er in wezen toe strekt de bescherming te waarborgen van de goederen, de gezondheid en het leven van die mede-eigenaren.

Gelet op het voorgaande moet op de gestelde vragen worden geantwoord dat artikel 6, lid 1, onder c), en artikel 7, onder f), van richtlijn 95/46, gelezen in het licht van de artikelen 7 en 8 van het Handvest, aldus moeten worden uitgelegd dat zij zich niet verzetten tegen nationale bepalingen die toestaan dat er zonder toestemming van de betrokkenen een videobewakingssysteem wordt opgezet, zoals het systeem in het hoofdgeding dat is geïnstalleerd in de gemeenschappelijke ruimten van een voor bewoning bestemd gebouw, om gerechtvaardigde belangen na te streven die erin bestaan de veiligheid en de bescherming van personen en goederen te waarborgen, mits de verwerking van persoonsgegevens door middel van het betrokken videobewakingssysteem voldoet aan de voorwaarden van dat artikel 7, onder f), hetgeen de verwijzende rechter dient na te gaan.

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Derde kamer) verklaart voor recht:

Artikel 6, lid 1, onder c), en artikel 7, onder f), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, gelezen in het licht van de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie, moeten aldus worden uitgelegd dat zij zich niet verzetten tegen nationale bepalingen die toestaan dat er zonder toestemming van de betrokkenen een videobewakingssysteem wordt opgezet, zoals het systeem in het hoofdgeding dat is geïnstalleerd in de gemeenschappelijke ruimten van een voor bewoning bestemd gebouw, om gerechtvaardigde belangen na te streven die erin bestaan de veiligheid en de bescherming van personen en goederen te waarborgen, mits de verwerking van persoonsgegevens door middel van het betrokken videobewakingssysteem voldoet aan de voorwaarden van dat artikel 7, onder f), hetgeen de verwijzende rechter dient na te gaan.

ondertekeningen