L?utilizzo di un sistema di videocamera a tutela dell'abitazione familiare per proteggere i beni, la salute e la vita dei proprietari dell?abitazione non costituisce un trattamento dei dati effettuato per l?esercizio di attività a carattere esclusivamente personale o domestico se il sistema che sorveglia anche lo spazio pubblico. Ne deriva che il trattamento può essere illegittimo ai sensi del diritto interno.
Corte di Giustizia UE, Quarta Sezione, sentenza 11 dicembre 2014, causa C-212/13
(*)«Rinvio pregiudiziale ? Direttiva 95/46/CE ? Tutela delle persone fisiche ? Trattamento dei dati personali ? Nozione di ?esercizio di attività a carattere esclusivamente personale o domestico?»
Sentenza
1 La domanda di pronuncia pregiudiziale verte sull?interpretazione dell?articolo 3, paragrafo 2, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281, pag. 31).
2 Questa domanda è stata presentata nel quadro di una controversia tra il sig. Ryne? e l?Ú?ad pro ochranu osobních údaj? (Ufficio per la tutela dei dati personali; in prosieguo: l?«Ú?ad»), in merito alla decisione con la quale quest?ultimo ha constatato che il sig. Ryne? aveva commesso diverse infrazioni in materia di tutela dei dati personali.
Contesto normativo
Diritto dell?Unione
3 I considerando 10, 12, 14, 15 e 16 della direttiva 95/46 enunciano quanto segue:
«(10) (?) Le legislazioni nazionali relative al trattamento dei dati personali hanno lo scopo di garantire il rispetto dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata, riconosciuto anche dall?articolo 8 della Convenzione europea per la salvaguardia dei diritti dell?uomo e delle libertà fondamentali e dai principi generali del diritto comunitario; (?) pertanto il ravvicinamento di dette legislazioni non deve avere per effetto un indebolimento della tutela da esse assicurata ma deve anzi mirare a garantire un elevato grado di tutela nella Comunità;
(...)
(12) (...) deve essere escluso il trattamento di dati effettuato da una persona fisica nell?esercizio di attività a carattere esclusivamente personale o domestico quali la corrispondenza e la compilazione di elenchi di indirizzi;
(...)
(14) (...) la presente direttiva dovrebbe applicarsi al trattamento dei dati in forma di suoni e immagini relativi a persone fisiche, vista la notevole evoluzione in corso nella società dell?informazione delle tecniche per captare, trasmettere, manipolare, registrare, conservare o comunicare siffatti dati;
(15) (...) il trattamento dei suddetti dati rientra nella presente direttiva soltanto se è automatizzato o se riguarda dati contenuti, o destinati ad essere contenuti, in un archivio strutturato secondo criteri specifici relativi alle persone, in modo da consentire un facile accesso ai dati personali di cui trattasi;
(16) (...) nel campo d?applicazione della presente direttiva non rientra il trattamento di dati in forma di suoni e immagini, quali i dati di controllo video, finalizzato alla pubblica sicurezza, alla difesa, alla sicurezza dello Stato o all?esercizio di attività dello Stato nella sfera del diritto penale o di altre attività che esulano dal campo d?applicazione del diritto comunitario».
4 Ai sensi dell?articolo 2 di tale direttiva:
«Ai fini della presente direttiva si intende per:
a) ?dati personali?: qualsiasi informazione concernente una persona fisica identificata o identificabile (?persona interessata?); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento (...) ad uno o più elementi specifici caratteristici della sua identità fisica (...)
b) ?trattamento di dati personali? (?trattamento?): qualsiasi operazione o insieme di operazioni compiute con o senza l?ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l?organizzazione, la conservazione, l?elaborazione o la modifica, l?estrazione, la consultazione, l?impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l?interconnessione, nonché il congelamento, la cancellazione o la distruzione;
c) ?archivio di dati personali? (?archivio?): qualsiasi insieme strutturato di dati personali accessibili, secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico;
d) ?responsabile del trattamento?: la persona fisica (...) che, da sol[a] o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali (...)».
5 L?articolo 3 della direttiva così dispone:
«1. Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi.
2. Le disposizioni della presente direttiva non si applicano ai trattamenti di dati personali:
? effettuati per l?esercizio di attività che non rientrano nel campo di applicazione del diritto comunitario, come quelle previste dai titoli V e VI del trattato sull?Unione europea e comunque ai trattamenti aventi come oggetto la pubblica sicurezza, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato, laddove tali trattamenti siano connessi a questioni di sicurezza dello Stato) e le attività dello Stato in materia di diritto penale;
? effettuati da una persona fisica per l?esercizio di attività a carattere esclusivamente personale o domestico».
6 L?articolo 7 della stessa direttiva è formulato nel modo seguente:
«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, oppure
(...)
f) è necessario per il perseguimento dell?interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l?interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell?articolo 1, paragrafo 1».
7 L?articolo 11 della direttiva 95/46 prevede quanto segue:
«1. In caso di dati non raccolti presso la persona interessata, gli Stati membri dispongono che, al momento della registrazione dei dati (...), il responsabile del trattamento o il suo rappresentante debba fornire alla persona interessata almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:
a) l?identità del responsabile del trattamento (...)
b) le finalità del trattamento;
c) eventuali informazioni supplementari quali:
? le categorie di dati interessate,
? i destinatari o le categorie di destinatari dei dati,
? se esiste un diritto di accesso ai dati e di rettifica in merito ai dati che la riguardano,
nella misura in cui tali informazioni supplementari siano necessarie, considerate le circostanze specifiche della raccolta dei dati, per garantire un corretto trattamento dei dati dell?interessato.
2. Le disposizioni del paragrafo 1 non si applicano quando, in particolare nel trattamento di dati a scopi statistici, o di ricerca storica o scientifica, l?informazione della persona interessata si rivela impossibile o richiede sforzi sproporzionati o la registrazione o la comunicazione è prescritta per legge. In questi casi gli Stati membri prevedono garanzie appropriate».
8 L?articolo 13, paragrafo 1, della citata direttiva stabilisce quanto segue:
«Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell?articolo (?) 11, paragrafo 1 (?), qualora tale restrizione costituisca una misura necessaria alla salvaguardia:
(...)
d) della prevenzione, della ricerca, dell?accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate;
(...)
g) della protezione (?) dei diritti e delle libertà altrui».
9 Ai sensi dell?articolo 18, paragrafo 1, di detta direttiva:
«Gli Stati membri prevedono un obbligo di notificazione a carico del responsabile del trattamento (?) presso l?autorità di controllo (?) prima di procedere alla realizzazione di un trattamento, o di un insieme di trattamenti, interamente o parzialmente automatizzato, destinato al conseguimento di una o più finalità correlate».
Il diritto ceco
10 L?articolo 3, paragrafo 3, della legge n. 101/2000 Sb., relativa alla tutela dei dati personali e alla modifica di determinate leggi (in prosieguo: la «legge n. 101/2000»), prevede quanto segue:
«La presente legge non è applicabile al trattamento di dati personali che una persona fisica effettua esclusivamente per le necessità personali».
11 L?articolo 44, paragrafo 2, di detta legge disciplina la responsabilità della persona incaricata del trattamento dei dati personali, la quale commetta un?infrazione quando tratta tali dati senza il consenso dell?interessato, quando non fornisce a quest?ultimo le informazioni rilevanti e quando non soddisfa l?obbligo di notificazione all?autorità competente.
12 Conformemente all?articolo 5, paragrafo 2, di detta legge, il trattamento dei dati personali è possibile, in linea di principio, solo con il consenso dell?interessato. In mancanza di un siffatto consenso, detto trattamento può essere realizzato se si riveli necessario alla tutela dei diritti e degli interessi legalmente rilevanti del responsabile del trattamento, del destinatario o di un altro interessato. Tuttavia, questo trattamento non deve ledere il diritto dell?interessato al rispetto della sua vita privata e personale.
Procedimento principale e questione pregiudiziale
13 Nel periodo compreso tra il 5 ottobre 2007 e l?11 aprile 2008, il sig. Ryne? ha installato e utilizzato un sistema di telecamera situato sotto la cornice del tetto della casa della sua famiglia. Questa telecamera era fissa, senza possibilità di rotazione, e filmava l?ingresso di tale casa, la strada pubblica nonché l?ingresso della casa situata di fronte. Il sistema consentiva unicamente una registrazione video, che veniva immagazzinata in un dispositivo di registrazione continua, ossia il disco duro. Una volta esaurita la sua capacità, questo dispositivo cancellava l?esistente registrazione con una nuova. Detto dispositivo di registrazione non comportava monitor, cosicché non era possibile visualizzare le immagini in tempo reale. Solo il sig. Ryne? aveva accesso diretto al sistema e ai dati.
14 Il giudice del rinvio rileva che la sola ragione per lo sfruttamento di tale telecamera da parte del sig. Ryne? era la protezione dei beni, della salute e della vita di lui stesso nonché della sua famiglia. Infatti, tanto lui che la sua famiglia sono stati oggetto di attacchi per diversi anni da parte di uno sconosciuto che non è stato smascherato. Inoltre, nella casa della sua famiglia le finestre sono state infrante diverse volte tra il 2005 e il 2007.
15 Nella notte tra il 6 e il 7 ottobre 2007, è avvenuto un altro attacco. Una finestra della casa in questione è stata infranta dal tiro di un proiettile lanciato con una fionda. Grazie al sistema di videocamera è stato possibile identificare due persone sospette. Le registrazioni sono state consegnate alla polizia e in seguito sono state invocate nell?ambito del procedimento penale che è stato avviato.
16 Poiché una di queste persone sospette ha chiesto la verifica della legalità del sistema di sorveglianza del sig. Ryne?, l?Ú?ad, con decisione del 4 agosto 2008, ha constatato che quest?ultimo aveva commesso alcune violazioni della legge n. 101/2000, in quanto:
? in qualità di responsabile del trattamento aveva raccolto, mediante un sistema di videocamera, dati personali di coloro che circolavano sulla strada o che entravano nella casa dall?altra parte della strada, e ciò senza il loro consenso;
? gli interessati non erano stati informati del trattamento di questi dati personali, della portata e degli obiettivi di tale trattamento, della persona che effettuava il trattamento e del modo in cui tale trattamento era compiuto, né delle persone che avrebbero potuto avere accesso ai dati in questione, e,
? in qualità di responsabile del trattamento, il sig. Ryne? non aveva osservato l?obbligo di notificazione del trattamenti in questione all?Ú?ad.
17 Investito di un ricorso proposto dal sig. Ryne? avverso tale decisione, il M?stský soud v Praze (Corte municipale di Praga) l?ha respinto con sentenza del 25 aprile 2012. Il sig. Ryne? ha proposto ricorso per cassazione avverso tale sentenza dinanzi al giudice del rinvio.
18 Alla luce di queste considerazioni, il Nejvy??í správní soud (Corte amministrativa suprema) ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:
«Se il fatto di tenere in funzione un sistema di videocamera installato su un?abitazione familiare allo scopo di proteggere la proprietà, la salute e la vita dei proprietari possa essere classificato come trattamento di dati personali ?effettuato da una persona fisica per l?esercizio di attività a carattere esclusivamente personale o domestico? ai sensi dell?articolo 3, paragrafo 2, della direttiva 95/46 (?), sebbene detto sistema riprenda anche spazi pubblici».
Sulla questione pregiudiziale
19 Con la sua questione, il giudice del rinvio chiede, in sostanza, se l?articolo 3, paragrafo 2, secondo trattino, della direttiva 95/46 debba essere interpretato nel senso che l?utilizzo di un sistema di videocamera, che porta a una registrazione video delle persone immagazzinata in un dispositivo di registrazione continua quale un disco duro, installato da una persona fisica sulla sua abitazione familiare per proteggere i beni, la salute e la vita dei proprietari dell?abitazione, sistema che sorveglia parimenti lo spazio pubblico, costituisca un trattamento dei dati effettuato per l?esercizio di attività a carattere esclusivamente personale o domestico, ai sensi di tale disposizione.
20 Occorre ricordare che, conformemente all?articolo 3, paragrafo 1, di tale direttiva, quest?ultima si applica «al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi».
21 La nozione di «dati personali» che compare in questa disposizione comprende, conformemente alla definizione che figura nell?articolo 2, lettera a), della direttiva 95/46, «qualsiasi informazione concernente una persona fisica identificata o identificabile». È considerata identificabile «la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento (...) ad uno o più elementi specifici caratteristici della sua identità fisica».
22 Di conseguenza, l?immagine di una persona registrata da una telecamera costituisce un dato personale ai sensi della disposizione menzionata nel punto precedente se e in quanto essa consente di identificare la persona interessata.
23 Per quanto concerne la nozione di «trattamento di dati personali», occorre rilevare che essa è definita dall?articolo 2, lettera b), della direttiva 95/46 come «qualsiasi operazione o insieme di operazioni (?) applicate a dati personali, come la raccolta, la registrazione, (?) la conservazione».
24 Come si ricava segnatamente dai considerando 15 e 16 della direttiva 95/46, la videosorveglianza rientra, in linea di principio, nella sfera d?applicazione di tale direttiva se e in quanto costituisce un trattamento automatizzato.
25 Ebbene, una sorveglianza effettuata mediante una registrazione video delle persone, come nel procedimento principale, immagazzinata in un dispositivo di registrazione continua, ossia in un disco duro, costituisce, conformemente all?articolo 3, paragrafo 1, della direttiva 95/46, un trattamento di dati personali automatizzato.
26 Il giudice del rinvio si chiede se un siffatto trattamento, in circostanze come quelle di cui al procedimento principale, non sia nondimeno sottratto all?applicazione di tale direttiva in quanto sarebbe effettuato «per l?esercizio di attività a carattere esclusivamente personale o domestico», ai sensi dell?articolo 3, paragrafo 2, secondo trattino, di detta direttiva.
27 Come si ricava dall?articolo 1 e dal considerando 10 della direttiva 95/46, quest?ultima mira a garantire un livello elevato di tutela dei diritti e delle libertà fondamentali delle persone fisiche, particolarmente del loro diritto alla vita privata, riguardo al trattamento dei dati personali (v. sentenza Google Spain e Google, C?131/12, EU:C:2014:317, punto 66).
28 A questo proposito è importante rilevare che, conformemente ad una giurisprudenza consolidata, la tutela del diritto fondamentale alla vita privata, garantito dall?articolo 7 della Carta dei diritti fondamentali dell?Unione europea, impone che le deroghe alla tutela dei dati personali e le limitazioni di queste ultime devono avvenire nei limiti dello stretto necessario (v. sentenze IPI, C?473/12, EU:C:2013:715, punto 39, nonché Digital Rights Ireland e a., C?293/12 e C?594/12, EU:C:2014:238, punto 52).
29 Posto che le disposizioni della direttiva 95/46, in quanto disciplinano il trattamento di dati personali suscettibile di ledere le libertà fondamentali e, in particolare, il diritto alla vita privata, devono necessariamente essere interpretate alla luce dei diritti fondamentali sanciti da detta Carta (v. sentenza Google Spain e Google, EU:C:2014:317, punto 68), la deroga prevista dall?articolo 3, paragrafo 2, secondo trattino, di tale direttiva dev?essere interpretata in senso restrittivo.
30 Quest?interpretazione restrittiva trova il suo fondamento anche nel dettato stesso di tale disposizione, che sottrae all?applicazione della direttiva 95/46 il trattamento dei dati effettuato per l?esercizio di attività non semplicemente personali o domestiche, bensì «esclusivamente» personali o domestiche.
31 Alla luce delle precedenti considerazioni, occorre constatare, come rilevato dall?avvocato generale nel paragrafo 53 delle sue conclusioni, che un trattamento di dati personali rientra nella deroga prevista dall?articolo 3, paragrafo 2, secondo trattino, della direttiva 95/46 unicamente quando è effettuato nella sfera esclusivamente personale o domestica della persona che procede a tale trattamento.
32 Pertanto, per quanto concerne le persone fisiche, la corrispondenza e la compilazione di elenchi di indirizzi costituiscono, alla luce del considerando 12 della direttiva 95/46, «attività a carattere esclusivamente personale o domestico» persino qualora, incidentalmente, esse riguardino o possano riguardare la vita privata di terzi.
33 Posto che una videosorveglianza quale quella in questione nel procedimento principale si estende, anche se solo parzialmente, allo spazio pubblico, e pertanto è diretta verso l?esterno della sfera privata della persona che procede al trattamento dei dati con tale modalità, essa non può essere considerata un?attività esclusivamente «personale o domestica» ai sensi dell?articolo 3, paragrafo 2, secondo trattino, della direttiva 95/46.
34 Nel contempo, l?applicazione delle disposizioni di questa direttiva consente eventualmente di tener conto, conformemente in particolare agli articoli 7, lettera f), 11, paragrafo 2, nonché 13, paragrafo 1, lettere d) e g), di detta direttiva, degli interessi legittimi del responsabile del trattamento, consistenti segnatamente, come nel procedimento principale, nella tutela dei beni, della salute e della vita di detto responsabile nonché della sua famiglia.
35 Di conseguenza, occorre risolvere la questione proposta dichiarando che l?articolo 3, paragrafo 2, secondo trattino, della direttiva 95/46 dev?essere interpretato nel senso che l?utilizzo di un sistema di videocamera, che porta a una registrazione video delle persone immagazzinata in un dispositivo di registrazione continua quale un disco duro, installato da una persona fisica sulla sua abitazione familiare per proteggere i beni, la salute e la vita dei proprietari dell?abitazione, sistema che sorveglia parimenti lo spazio pubblico, non costituisce un trattamento dei dati effettuato per l?esercizio di attività a carattere esclusivamente personale o domestico, ai sensi di tale disposizione.
Sulle spese
36 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi,
la Corte (Quarta Sezione) dichiara:
L?articolo 3, paragrafo 2, secondo trattino, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, dev?essere interpretato nel senso che l?utilizzo di un sistema di videocamera, che porta a una registrazione video delle persone immagazzinata in un dispositivo di registrazione continua quale un disco duro, installato da una persona fisica sulla sua abitazione familiare per proteggere i beni, la salute e la vita dei proprietari dell?abitazione, sistema che sorveglia parimenti lo spazio pubblico, non costituisce un trattamento dei dati effettuato per l?esercizio di attività a carattere esclusivamente personale o domestico, ai sensi di tale disposizione.