C-468/10

Sprawy połączone C‑468/10 i C‑469/10 Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) i Federación de Comercio Electrónico y Marketing Directo (FECEMD) przeciwko Administración del Estado (wnioski o wydanie orzeczenia w trybie prejudycjalnym złożone przez Tribunal Supremo) Przetwarzanie danych osobowych – Dyrektywa 95/46/WE – Artykuł 7 lit. f) – Bezpośrednia skuteczność Streszczenie wyroku 1.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Pełna harmonizacja – Zamknięty wykaz przypadków legalnego przetwarzanie danych osobowych (dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 7) 2.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Zasady legalności przetwarzania danych osobowych (Karta praw podstawowych Unii Europejskiej, art. 7, 8; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 5, 7 lit. f)) 3.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Zakres swobodnego uznania jakim dysponują państwa członkowskie – Zakres (dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 5) 4.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Zasady legalności przetwarzania danych osobowych (Karta praw podstawowych Unii Europejskiej, art. 7, 8; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 7 lit. f)) 5.        Prawa podstawowe – Poszanowanie życia prywatnego – Ochrona danych osobowych – Ograniczenia tolerowane w oparciu o Kartę praw podstawowych Unii Europejskiej (Karta praw podstawowych Unii Europejskiej, art. 7, 8, 52 ust. 1) 6.        Akty instytucji – Dyrektywy – Bezpośrednia skuteczność – Przesłanki (art. 249 akapit trzeci WE; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 7 lit. f)) 1.        Harmonizacja ustawodawstw krajowych, których dotyczy dyrektywa 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, nie ogranicza się do minimalnego jej zakresu, lecz prowadzi do harmonizacji, która jest co do zasady pełna. W tym właśnie celu owa dyrektywa ma zapewnić swobodny przepływ danych osobowych, gwarantując równocześnie wysoki poziom ochrony praw i interesów osób, których dane te dotyczą. W konsekwencji, z owego wynika, że art. 7 owej dyrektywy przewiduje zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za legalne. W związku z tym państwa członkowskie nie mogą dodawać nowych kryteriów legalności przetwarzania danych osobowych względem kryteriów ustanowionych w art. 7 omawianej dyrektywy, ani też ustanawiać dodatkowych wymogów, które doprowadziłyby do modyfikacji zakresu jednego z sześciu kryteriów przewidzianych we wspomnianym artykule. Wykładni tej nie podważa przysługująca państwom członkowskim, na podstawie art. 5 dyrektywy 95/46, możliwość określenia warunków ustalania legalności przetwarzania danych osobowych. W istocie państwa członkowskie nie mogą w oparciu o zakres swobodnego uznania, jakim dysponują na mocy przywołanego art. 5, innych kryteriów legalności przetwarzania danych osobowych niż kryteria ustanowione w art. 7 tej dyrektywy, ani też modyfikować, za pomocą dodatkowych wymogów, zakresu kryteriów o których mowa we wspomnianym art. 7. (por. pkt 29, 30, 32, 33, 35, 36) 2.        Artykuł 7 lit. f) dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem podstawowych praw i wolności tej osoby, by dane te były zawarte w powszechnie dostępnych źródłach, wykluczając tym samym w sposób kategoryczny i ogólny wszelką możliwość przetwarzania danych niezawartych w takich źródłach. W istocie z jednej strony, z celu owej dyrektywy jakim jest zapewnienie swobodnego przepływu danych osobowych, gwarantując równocześnie wysoki poziom ochrony praw i interesów osób, których dane te dotyczą, wynika że jej art. 7 przewiduje zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za legalne. Co za tym idzie, państwa członkowskie nie mogą wprowadzać nowych kryteriów legalności przetwarzania danych osobowych, ani też modyfikować, za pomocą dodatkowych wymogów, zakresu kryteriów przewidzianych we wspomnianym art. 7. Z drugiej strony, w celu przewidzianego na mocy art. 7 lit. f) tej dyrektywy, ważenia przeciwstawnych praw i interesów występujących w danym przypadku państwa członkowskie mogą ustanowić wytyczne. Mogą one również uwzględnić okoliczność, że powaga naruszenia praw podstawowych osoby, której przetwarzanie dotyczy, może różnić się w zależności od tego, czy sporne dane figurują już w powszechnie dostępnych źródłach. W tym ostatnim wypadku będzie to naruszenie o większej wadze. Nie chodzi jednakże już o doprecyzowanie lecz o dodatkowy wymóg zakazany na mocy art. 7 lit. f) tej dyrektywy, jeżeli przepisy krajowe wykluczają w odniesieniu do określonych kategorii danych osobowych możliwość ich przetwarzania, określając w stosunku do nich w sposób ostateczny rezultat ważenia przeciwstawnych praw i interesów, tym samym nie dopuszczając do innego rezultatu będącego wynikiem szczególnych okoliczności konkretnego przypadku. (por. pkt 29, 30, 32, 36, 44–49; pkt 1 sentencji) 3.        Dyrektywa 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, zawiera przepisy charakteryzujące się pewną elastycznością i w szeregu przypadków pozostawia państwom członkowskim zadanie ustalenia szczegółów lub dokonania wyboru między istniejącymi opcjami. Należy zatem dokonać rozróżnienia pomiędzy przepisami krajowymi, które przewidują dodatkowe wymogi zmieniające zakres kryterium, o którym mowa w art. 7 tej dyrektywy, z jednej strony, a przepisami krajowymi, które dokonują zwykłego doprecyzowania jednego z tych kryteriów, z drugiej strony. Pierwszy rodzaj przepisów krajowych jest niedozwolony. Tylko w ramach drugiego rodzaju przepisów krajowych państwa członkowskie dysponują, na mocy art. 5 omawianej dyrektywy, zakresem swobodnego uznania. (por. pkt 35) 4.        Artykuł 7 lit. f) dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, zawiera dwie kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie, po pierwsze, wymóg, by przetwarzanie było konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, a po drugie, wymóg, by pierwszeństwa nie znajdowały podstawowe prawa i wolności osoby, której dane dotyczą. Druga z tych przesłanek wymaga wyważenia przeciwstawnych w sprawie praw i interesów, które zależy co do zasady od konkretnych okoliczności indywidualnego przypadku i w ramach którego osoba lub instytucja dokonująca wyważenia musi brać pod uwagę doniosłość praw osoby, której dane dotyczą, wynikających z art. 7 i 8 Karty praw podstawowych Unii Europejskiej. (por. pkt 38, 40) 5.        Poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych, uznane w art. 7 i 8 Karty praw podstawowych Unii Europejskiej, odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Niemniej z art. 8 ust. 2 i art. 52 ust. 1 karty wynika, że pod pewnymi warunkami prawo to może podlegać ograniczeniom. (por. pkt 42) 6.        W każdym przypadku, gdy przepisy dyrektywy okazują się, ze względu na swoją treść, bezwarunkowe i wystarczająco precyzyjne, jednostki mają prawo powoływać się na nie przed sądami krajowymi wobec państwa, zarówno gdy państwo nie dokonało w terminie transpozycji dyrektywy do prawa krajowego, jak i gdy dokonana transpozycja jest nieprawidłowa. Jest tak w wypadku art. 7 lit. f) dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. O ile owa dyrektywa przyznaje państwom członkowskim mniej lub bardziej szeroki zakres uznania dotyczący wdrażania niektórych jej przepisów, o tyle wspomniany art. 7 lit. f) jako taki przewiduje obowiązek bezwarunkowy. (por. pkt 51, 52, 55; pkt 2 sentencji) WYROK TRYBUNAŁU (trzecia izba) z dnia 24 listopada 2011 r.(*) Przetwarzanie danych osobowych – Dyrektywa 95/46/WE – Artykuł 7 lit. f) – Bezpośrednia skuteczność W sprawach połączonych C‑468/10 i C‑469/10 mających za przedmiot wnioski o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożone przez Tribunal Supremo (Hiszpania) postanowieniami z dnia 15 lipca 2010 r., które wpłynęły do Trybunału w dniu 28 września 2010 r., w postępowaniach: Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10), Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10) przeciwko Administración del Estado, przy udziale: Unión General de Trabajadores (UGT) (C‑468/10 i C‑469/10), Telefónica de España SAU (C‑468/10), France Telecom España SA (C‑468/10 i C‑469/10), Telefónica Móviles de España SAU (C‑469/10), Vodafone España SA (C‑469/10), Asociación de Usuarios de la Comunicación (C‑469/10), TRYBUNAŁ (trzecia izba), w składzie: K. Lenaerts (sprawozdawca), prezes izby, R. Silva de Lapuerta, E. Juhász, T. von Danwitz i D. Šváby, sędziowie, rzecznik generalny: P. Mengozzi, sekretarz: M. Ferreira, główny administrator, uwzględniając procedurę pisemną i po przeprowadzeniu rozprawy w dniu 15 września 2011 r., rozważywszy uwagi przedstawione: –        w imieniu Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) przez C. Alonsa Martíneza oraz A. Creusa Carrerasa, abogados, –        w imieniu Federación de Comercio Electrónico y Marketing Directo (FECEMD) przez R. Garcíę del Poya Vizcayę oraz M.Á. Serrana Péreza, abogados, –        w imieniu rządu hiszpańskiego przez M. Muñoza Péreza, działającego w charakterze pełnomocnika, –        w imieniu Komisji Europejskiej przez I. Martínez del Peral oraz B. Martenczuka, działających w charakterze pełnomocników, podjąwszy, po wysłuchaniu rzecznika generalnego, decyzję o rozstrzygnięciu sprawy bez opinii, wydaje następujący Wyrok 1        Wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą wykładni art. 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31). 2        Wnioski te zostały złożone w ramach sporów między Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (krajowym stowarzyszeniem instytucji finansowo‑kredytowych, zwanym dalej „ASNEF”) oraz Federación de Comercio Electrónico y Marketing Directo (FECEMD) (federacją handlu elektronicznego i marketingu bezpośredniego, zwaną dalej „FECEMD”) a Administración del Estado (administracją państwową).  Ramy prawne  Prawo Unii  Dyrektywa 95/46 3        Motywy 7, 8 i 10 dyrektywy 95/46 mają następujące brzmienie: „(7)      Różnica w stopniu ochrony praw i wolności jednostek, szczególnie prawa do prywatności, w odniesieniu do przetwarzania danych osobowych, zapewnionego w poszczególnych państwach członkowskich może uniemożliwiać przesyłanie tych danych z terytorium jednego państwa członkowskiego do drugiego państwa członkowskiego; różnica ta może zatem stanowić przeszkodę w realizacji szeregu przedsięwzięć ekonomicznych na poziomie wspólnotowym, zakłócać konkurencję i utrudniać władzom wykonywanie ich obowiązków wynikających z przepisów prawa wspólnotowego; wspomniana różnica w stopniu ochrony jest wynikiem istnienia wielkiej różnorodności krajowych przepisów ustawowych, wykonawczych i administracyjnych. (8)      W celu zniesienia przeszkód w przepływie danych osobowych stopień ochrony praw i wolności jednostek w zakresie przetwarzania tych danych musi być jednakowy we wszystkich państwach członkowskich; cel ten ma żywotne znaczenie dla rynku wewnętrznego, lecz nie może on być osiągnięty przez same państwa członkowskie, szczególnie mając na uwadze skalę rozbieżności, jakie obecnie występują między odpowiednimi ustawodawstwami krajowymi, oraz potrzebę dokonania koordynacji ustawodawstw państw członkowskich w celu zapewnienia jednolitej regulacji transgranicznego przepływu danych osobowych, zgodnie z celem rynku wewnętrznego przewidzianego w art. 7a traktatu; konieczne są wspólnotowe działania na rzecz zbliżenia ustawodawstw. [...] (10)      Celem krajowych przepisów prawa dotyczących przetwarzania danych osobowych jest ochrona podstawowych praw i wolności, szczególnie prawa do prywatności, które zostało uznane zarówno w art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności [, podpisanej w Rzymie w dniu 4 listopada 1950 r. (zwanej dalej »EKPC«), ] oraz w zasadach ogólnych prawa wspólnotowego; z tego powodu zbliżanie przepisów prawa nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie, musi dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie”. 4        Artykuł 1 omawianej dyrektywy, zatytułowany „Cel dyrektywy”, ma następujące brzmienie: „1.      Zgodnie z przepisami niniejszej dyrektywy, państwa członkowskie zobowiązują się chronić podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do prywatności w odniesieniu do przetwarzania danych osobowych. 2.      Państwa członkowskie nie będą ograniczać ani zakazywać swobodnego przepływu danych osobowych między państwami członkowskimi ze względów związanych z ochroną przewidzianą w ust. 1”. 5        Artykuł 5 tej dyrektywy ma następujące brzmienie: „Państwa członkowskie określą, w granicach przepisów zawartych w niniejszym rozdziale, bardziej szczegółowe warunki ustalania legalności przetwarzania danych osobowych”. 6        Artykuł 7 dyrektywy 95/46 stanowi: „Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy: a)      osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lub [...] f)      przetwarzanie danych jest konieczne dla [realizacji] potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom [lub osób trzecich], którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1 [z wyjątkiem sytuacji, kiedy pierwszeństwo mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony zgodnie z art. 1 ust. 1]”. 7        Artykuł 13 ust. 1 rzeczonej dyrektywy stanowi: „Państwo członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w art. 6 ust. 1, art. 10, art. 11 ust. 1, art. 12 oraz 21, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia: a)      bezpieczeństwa narodowego; b)      obronności; c)      bezpieczeństwa publicznego; d)      działań prewencyjnych, prowadzonych czynności dochodzeniowo‑śledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie zasad etyki w zawodach podlegających regulacji; e)      ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub Unii Europejskiej, łącznie z kwestiami pieniężnymi, budżetowymi i podatkowymi; f)      funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach wymienionych w lit. c)–e); g)      ochrony osoby, której dane dotyczą, oraz praw i wolności innych osób”.  Prawo krajowe  Ley Orgánica 15/1999 8        Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (ustawa organiczna 15/1999 o ochronie danych osobowych) (BOE nr 298 z dnia 14 grudnia 1999 r., s. 43088) dokonuje transpozycji dyrektywy 95/46 do prawa hiszpańskiego. 9        Artykuł 3 lit. j) ustawy organicznej 15/1999 wymienia „powszechnie dostępne źródła” w zamkniętym i wyczerpującym wykazie, o następującym brzmieniu: „[...] zasoby, do których wgląd mają wszyscy bez ograniczeń lub wymogów innych niż, w odpowiednim przypadku, uiszczenie opłaty. Charakter powszechnie dostępnych źródeł mają wyłącznie spisy wyborców, książki telefoniczne na zasadach przewidzianych w przepisach szczególnych oraz listy osób należących do grup zawodowych, które zawierają wyłącznie dane dotyczące nazwiska, tytułu, zawodu, działalności, stopnia akademickiego, adresu oraz wskazanie na ich przynależność do grupy. Podobnie charakter powszechnie dostępnych źródeł mają dzienniki i biuletyny urzędowe oraz media”. 10      Artykuł 6 ust. 1 ustawy organicznej 15/1999 wymaga dla przetwarzania danych wyraźnej zgody osoby zainteresowanej, chyba że ustawa stanowi inaczej. I tak, art. 6 ust. 2 in fine tej ustawy przewiduje, że zgoda nie jest konieczna, między innymi „kiedy dane zawarte są w powszechnie dostępnych źródłach i ich przetwarzanie jest konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, której dane są ujawniane, o ile nie zostają naruszone podstawowe prawa i wolności osoby, której dane dotyczą”. 11      Artykuł 11 ust. 1 ustawy organicznej 15/1999 przypomina o konieczności uzyskania zgody na ujawnienie osobom trzecim danych o charakterze osobowym, jednakże ust. 2 tego artykułu stanowi, że zgoda ta nie jest konieczna, między innymi kiedy chodzi o dane zawarte w powszechnie dostępnych źródłach.  Real Decreto 1720/2007 12      Rząd hiszpański wykonał ustawę organiczną 15/1999 w drodze Real Decreto 1720/2007 (dekretu królewskiego 1720/2007) (BOE nr 17 z dnia 19 stycznia 2008 r., s. 4103). 13      Artykuł 10 ust. 1 dekretu królewskiego 1720/2007 dopuszcza przetwarzanie i przekazywanie danych osobowych po uzyskaniu uprzedniej zgody osoby, której dane dotyczą. 14      Niemniej art. 10 ust. 2 dekretu królewskiego 1720/2007 stanowi: „[...] dopuszczalne jest przetwarzanie i przekazywanie danych o charakterze osobowym bez konieczności uzyskania zgody osoby, której dane dotyczą, jeżeli: a)      pozwala na to przepis rangi ustawowej lub przepis prawa wspólnotowego, a w szczególności, jeżeli zachodzi jeden z następujących wypadków: –        przetwarzanie lub przekazywanie danych służy realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby, której dane są przekazywane, chronionej na podstawie tych przepisów, z wyjątkiem sytuacji, kiedy pierwszeństwo mają interesy lub podstawowe prawa i wolności osób, których dane dotyczą, o których mowa w art. 1 ustawy organicznej 15/1999 z dnia 13 grudnia; –        przetwarzanie lub przekazywanie danych jest konieczne do wypełnienia przez administratora danych obowiązku nałożonego na niego na podstawie jednego z tych przepisów; b)      przetwarzane lub przekazywane dane zawarte są w powszechnie dostępnych źródłach i administrator danych lub osoba trzecia, której ujawniane są dane, mają uzasadniony interes w ich przetwarzaniu lub przekazaniu, o ile nie narusza to podstawowych praw i wolności osoby, której dane dotyczą. Niemniej jednak organy administracji publicznej mogą ujawnić, na podstawie niniejszego ustępu, administratorom prywatnych zasobów danych dane zawarte w powszechnie dostępnych źródłach tylko wtedy, gdy są do tego upoważnione na podstawie przepisu rangi ustawowej”.  Postępowania przed sądem krajowymi i pytania prejudycjalne 15      ASNEF oraz FECEMD zaskarżyły przed sądem administracyjnym szereg artykułów dekretu królewskiego 1720/2007. 16      Do zaskarżonych przepisów należą art. 10 ust. 2 lit. a) tiret pierwsze oraz art. 10 ust. 2 lit. b) akapit pierwszy wspomnianego dekretu, którym ASNEF i FECEMD zarzucają niezgodność z art. 7 lit. f) dyrektywy 95/46. 17      W szczególności, ASNEF i FECEMD twierdzą, że prawo hiszpańskie dodaje do uzasadnionego interesu będącego przesłanką przetwarzania danych bez zgody osoby, której dane te dotyczą, przesłankę, która nie została ustanowiona w dyrektywie 95/46, zgodnie z którą dane te muszą być zawarte w powszechnie dostępnych źródłach. 18      Tribunal Supremo jest zdania, że zasadność powództw wniesionych odpowiednio przez ASNEF i FECEMD zależy w znacznej mierze od wykładni, jaką Trybunał nada art. 7 lit. f) dyrektywy 95/46. Tribunal Supremo precyzuje w tym względzie, że jeżeli Trybunał uzna, iż państwa członkowskie nie mogą ustanawiać dodatkowych przesłanek względem przewidzianych we wspomnianym artykule dyrektywy i że przepisowi temu można przypisać bezpośrednią skuteczność, należy odstąpić od stosowania art. 10 ust. 2 lit. b) dekretu królewskiego 1720/2007. 19      Tribunal Supremo wyjaśnia, że w braku zgody osoby, której dane dotyczą, celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, prawo hiszpańskie wymaga, poza poszanowaniem podstawowych praw i wolności osoby, której dane dotyczą, by dane te były zawarte w zasobach wymienionych w art. 3 lit. j) ustawy organicznej 15/1999. Sąd ten wyraża pogląd, że wspomniana ustawa i dekret królewski 1720/2007 zawężają zakres art. 7 lit. f) dyrektywy 95/46. 20      Zdaniem Tribunal Supremo zawężenie to stanowi przeszkodę dla swobodnego przepływu danych osobowych, która jest zgodna z dyrektywą 95/46 tylko w zakresie, w jakim wymaga tego interes lub podstawowe prawa i wolności osoby, której dane te dotyczą. Sąd ten wywodzi z powyższego, że jedyną możliwością, aby uniknąć sprzeczności między omawianą dyrektywą a prawem hiszpańskim, byłoby przyjęcie, że swobodny przepływ danych osobowych zawartych w zasobach innych niż wymienione w art. 3 lit. j) ustawy organicznej 15/1999 narusza interes lub podstawowe prawa i wolności osoby, której dane dotyczą. 21      Tribunal Supremo żywi jednak wątpliwości co do zgodności takiej wykładni z wolą prawodawcy Unii. 22      W tych okolicznościach, uznawszy, że rozwiązanie obu zawisłych przed nim spraw zależy od wykładni przepisów prawa Unii, Tribunal Supremo postanowił zawiesić postępowanie i skierować do Trybunału następujące pytania prejudycjalne, sformułowane identycznie w obu wspomnianych sprawach: „1)      Czy art. 7 lit. f) dyrektywy 95/46 […] należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem podstawowych praw i wolności osoby, której dane dotyczą, by dane te były zawarte w powszechnie dostępnych źródłach? 2)      Czy [wspomniany] art. 7 lit. f) […] spełnia przesłanki wymagane przez orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej dla przyznania mu bezpośredniej skuteczności?”. 23      Postanowieniem prezesa Trybunału z dnia 26 października 2010 r. sprawy C‑468/10 i C‑469/10 zostały połączone do celów procedury pisemnej i ustnej oraz w celu wydania wyroku.  W przedmiocie pytań prejudycjalnych  W przedmiocie pytania pierwszego 24      Za pomocą pytania pierwszego sąd odsyłający zmierza w istocie do ustalenia, czy art. 7 lit. f) dyrektywy 95/46 należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem podstawowych praw i wolności tej osoby, by dane te były zawarte w powszechnie dostępnych źródłach. 25      Artykuł 1 dyrektywy 95/46 zobowiązuje państwa członkowskie do zapewnienia ochrony podstawowych praw i wolności osób fizycznych, a w szczególności ich prawa do prywatności w zakresie przetwarzania danych osobowych (zob. podobnie wyrok z dnia 16 grudnia 2008 r. w sprawie C‑524/06 Huber, Zb.Orz. s. I‑9705, pkt 47). 26      Zgodnie z przepisami rozdziału II dyrektywy 95/46, zatytułowanego „Ogólne zasady legalności przetwarzania danych osobowych”, z zastrzeżeniem dozwolonych na mocy jej art. 13 odstępstw, każda operacja przetwarzania danych osobowych musi być zgodna z jednej strony z wyrażonymi w art. 6 tej dyrektywy zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z sześciu kryteriów legalności przetwarzania danych, wymienionych w art. 7 tej dyrektywy (zob. podobnie wyrok z dnia 20 maja 2003 r. w sprawach połączonych C‑465/00, C‑138/01 i C‑139/01 Österreichischer Rundfunk i in., Rec. s. I‑4989, pkt 65; a także ww. wyrok w sprawie Huber, pkt 48). 27      Z motywu 7 dyrektywy 95/46 wynika, że różnice między krajowymi reżimami przetwarzania danych osobowych mogą poważnie zakłócić tworzenie i funkcjonowanie rynku wewnętrznego (zob. wyrok z dnia 6 listopada 2003 r. w sprawie C‑101/01 Lindqvist, Rec. s. I‑12971, pkt 79). 28      W tym kontekście konieczne wydaje się przypomnienie, że dyrektywa 95/46 ma na celu, jak to wynika w szczególności z jej motywu 8, zapewnienie równoważności stopnia ochrony praw i wolności jednostek w zakresie przetwarzania danych osobowych we wszystkich państwach członkowskich. W motywie 10 tej dyrektywy dodano, że zbliżanie ustawodawstw krajowych w omawianej dziedzinie nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie – musi służyć zapewnieniu jak najwyższego stopnia ochrony w Unii (zob. podobnie ww. wyroki: w sprawie Lindqvist, pkt 95; w sprawie Huber, pkt 50). 29      Zgodnie z orzecznictwem harmonizacja wspomnianych ustawodawstw krajowych nie ogranicza się do minimalnego jej zakresu, lecz prowadzi do harmonizacji, która jest co do zasady pełna. W takich właśnie ramach dyrektywa 95/46 ma zapewnić swobodny przepływ danych osobowych, gwarantując równocześnie wysoki poziom ochrony praw i interesów osób, których dane te dotyczą (zob. ww. wyrok w sprawie Lindqvist, pkt 96). 30      W konsekwencji, z celu polegającego na zapewnieniu równoważnego poziomu ochrony we wszystkich państwach członkowskich wynika, że art. 7 dyrektywy 95/46 przewiduje zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za legalne. 31      Wykładnia ta znajduje potwierdzenie w sformułowaniu „mogą być przetwarzane tylko wówczas, gdy” oraz spójniku „lub” zawartych w art. 7 dyrektywy 95/46, które wskazują na zamknięty i wyczerpujący charakter wykazu umieszczonego w tym artykule. 32      Z powyższego należy wyprowadzić wniosek, że państwa członkowskie nie mogą dodawać nowych kryteriów legalności przetwarzania danych osobowych względem kryteriów ustanowionych w art. 7 dyrektywy 95/46, ani też ustanawiać dodatkowych wymogów, które doprowadziłyby do modyfikacji zakresu jednego z sześciu kryteriów przewidzianych we wspomnianym artykule. 33      Artykuł 5 dyrektywy 95/46 nie podważa przedstawionej wykładni. Upoważnia on bowiem państwa członkowskie jedynie do określenia, w granicach przepisów zawartych w rozdziale II tej dyrektywy, a co za tym idzie i jej art. 7, bardziej szczegółowych warunków ustalania legalności przetwarzania danych osobowych. 34      Zakres swobodnego uznania, jakim na mocy przywołanego art. 5 dysponują państwa członkowskie, może zatem być wykorzystywany wyłącznie zgodnie z celem realizowanym przez dyrektywę 95/46, polegającym na utrzymaniu równowagi między swobodnym przepływem danych osobowych a ochroną życia prywatnego (zob. ww. wyrok w sprawie Lindqvist, pkt 97). 35      Dyrektywa 95/46 zawiera przepisy charakteryzujące się pewną elastycznością i w szeregu przypadków pozostawia państwom członkowskim zadanie ustalenia szczegółów lub dokonania wyboru między istniejącymi opcjami (zob. ww. wyrok w sprawie Lindqvist, pkt 83). Należy zatem dokonać rozróżnienia pomiędzy przepisami krajowymi, które przewidują dodatkowe wymogi zmieniające zakres kryterium, o którym mowa w art. 7 dyrektywy 95/46, z jednej strony, a przepisami krajowymi, które dokonują zwykłego doprecyzowania jednego z tych kryteriów, z drugiej strony. Pierwszy rodzaj przepisów krajowych jest niedozwolony. Tylko w ramach drugiego rodzaju przepisów krajowych państwa członkowskie dysponują, na mocy art. 5 dyrektywy 95/46, zakresem swobodnego uznania. 36      Co za tym idzie, na mocy art. 5 dyrektywy 95/46 państwa członkowskie nie mogą również wprowadzać innych kryteriów legalności przetwarzania danych osobowych niż kryteria ustanowione w art. 7 tej dyrektywy, ani też modyfikować, za pomocą dodatkowych wymogów, zakresu sześciu kryteriów przewidzianych we wspomnianym artykule. 37      Artykuł 7 lit. f) dyrektywy 95/46 stanowi, że przetwarzanie danych osobowych jest legalne, jeżeli „konieczne dla [realizacji] potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom [lub osób trzecich], którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1 [z wyjątkiem sytuacji, kiedy pierwszeństwo mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony zgodnie z art. 1 ust. 1]”. 38      Przytoczony art. 7 lit. f) zawiera dwie kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie, po pierwsze, wymóg, by przetwarzanie było konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, a po drugie, wymóg, by pierwszeństwa nie znajdowały podstawowe prawa i wolności osoby, której dane dotyczą. 39      Wynika z tego, że jeśli chodzi o przetwarzanie danych osobowych, art. 7 lit. f) dyrektywy 95/46 stoi na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, nakładają, poza dwoma kumulatywnymi przesłankami wymienionymi w poprzednim punkcie, dodatkowe wymogi. 40      Niemniej należy mieć na uwadze okoliczność, że druga z tych przesłanek wymaga wyważenia przeciwstawnych w sprawie praw i interesów, które zależy co do zasady od konkretnych okoliczności indywidualnego przypadku i w ramach którego osoba lub instytucja dokonująca wyważenia musi brać pod uwagę doniosłość praw osoby, której dane dotyczą, wynikających z art. 7 i 8 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”). 41      W tym względzie należy zauważyć, że art. 8 ust. 1 karty stanowi, że „[k]ażda ma prawo do ochrony danych osobowych, które go dotyczą”. To prawo podstawowe jest ściśle związane z prawem do poszanowania życia prywatnego ustanowionym w art. 7 karty (wyrok z dnia 9 listopada 2010 r. w sprawach połączonych C‑92/09 i C‑93/09 Volker und Markus Schecke i Eifert, Zb.Orz. s. I‑11063, pkt 47). 42      Zgodnie z orzecznictwem Trybunału poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych, uznane w art. 7 i 8 karty, odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (zob. ww. wyrok w sprawach połączonych Volker und Markus Schecke i Eifert, pkt 52). Niemniej z art. 8 ust. 2 i art. 52 ust. 1 karty wynika, że pod pewnymi warunkami prawo to może podlegać ograniczeniom. 43      Ponadto przy transpozycji dyrektywy 95/46 na państwach członkowskich ciąży obowiązek oparcia się na takiej wykładni tej dyrektywy, która pozwoli im na zapewnienie odpowiedniej równowagi między poszczególnymi podstawowymi prawami i wolnościami chronionymi przez porządek prawny Unii (zob. analogicznie wyrok z dnia 29 stycznia 2008 r. w sprawie C‑275/06 Promusicae, Zb.Orz. s. I‑271, pkt 68). 44      Co się tyczy ważenia niezbędnego na mocy art. 7 lit. f) dyrektywy 95/46, możliwe jest uwzględnienie faktu, że powaga naruszenia praw podstawowych osoby, której przetwarzanie dotyczy, może różnić się w zależności od tego, czy sporne dane figurują już w powszechnie dostępnych źródłach. 45      W odróżnieniu bowiem od przetwarzania danych zawartych w powszechnie dostępnych źródłach, przetwarzanie danych zawartych w źródłach, które nie są dostępne publicznie, oznacza jednoznacznie, że informacje o życiu prywatnym osoby, której dane dotyczą, będą odtąd znane administratorowi danych, oraz, w stosownym przypadku, osobie trzeciej lub osobom trzecim, którym dane są ujawniane. Temu naruszeniu o większej wadze praw osoby, której dane dotyczą, wyrażonych w art. 7 i 8 karty, należy nadać odpowiednie znaczenie, kładąc je na szali z potrzebą wynikającą z uzasadnionego interesu realizowaną przez administratora danych lub osobę trzecią lub osoby trzecie, którym dane są ujawniane. 46      Należy podkreślić w tym względzie, że nic nie stoi na przeszkodzie temu, by do celów korzystania z przysługującego im na mocy art. 5 dyrektywy 95/46 zakresu swobodnego uznania państwa członkowskie ustanowiły zasady stanowiące wytyczne dla przeprowadzenia takiego ważenia. 47      Nie chodzi tu jednakże już o doprecyzowanie w rozumieniu wspomnianego art. 5, jeżeli przepisy krajowe wykluczają w odniesieniu do określonych kategorii danych osobowych możliwość ich przetwarzania, określając w stosunku do nich w sposób ostateczny rezultat ważenia przeciwstawnych praw i interesów, tym samym nie dopuszczając do innego rezultatu będącego wynikiem szczególnych okoliczności konkretnego przypadku. 48      A zatem, bez uszczerbku dla art. 8 dyrektywy 95/46 dotyczącego przetwarzania danych należących do szczególnych kategorii – przepisu niebędącego przedmiotem sporu przed sądem odsyłającym – art. 7 lit. f) tej dyrektywy stoi na przeszkodzie temu, by państwo członkowskie wykluczyło w sposób kategoryczny i ogólny w odniesieniu do określonych kategorii danych osobowych możliwość ich przetwarzania, nie dopuszczając do ważenia przeciwstawnych praw i interesów występujących w indywidualnym przypadku. 49      Mając na względzie całość powyższych rozważań, na pytanie pierwsze należy odpowiedzieć, że art. 7 lit. f) dyrektywy 95/46 należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem podstawowych praw i wolności tej osoby, by dane te były zawarte w powszechnie dostępnych źródłach, wykluczając tym samym w sposób kategoryczny i ogólny wszelką możliwość przetwarzania danych niezawartych w takich źródłach.  W przedmiocie pytania drugiego 50      Za pomocą pytania drugiego sąd odsyłający zmierza w istocie do ustalenia, czy art. 7 lit. f) dyrektywy 95/46 jest bezpośrednio skuteczny. 51      W tym względzie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem Trybunału w każdym przypadku, gdy przepisy dyrektywy okazują się, ze względu na swoją treść, bezwarunkowe i wystarczająco precyzyjne, jednostki mają prawo powoływać się na nie przed sądami krajowymi wobec państwa, zarówno gdy państwo nie dokonało w terminie transpozycji dyrektywy do prawa krajowego, jak i gdy dokonana transpozycja jest nieprawidłowa (zob. wyrok z dnia 3 marca 2011 r. w sprawie C‑203/10 Auto Nikolovi, Zb.Orz. s. I‑1083, pkt 61 i przytoczone tam orzecznictwo). 52      Należy stwierdzić, że art. 7 lit. f) dyrektywy 95/46 jest przepisem dostatecznie precyzyjnym, by jednostka mogła się na niego powoływać i by mógł być on stosowany przez sądy krajowe. Ponadto, o ile dyrektywa 95/46 bezsprzecznie przyznaje państwom członkowskim mniej lub bardziej szeroki zakres uznania dotyczący wdrażania niektórych jej przepisów, o tyle art. 7 lit. f) jako taki przewiduje obowiązek bezwarunkowy (zob. analogicznie ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 100). 53      Użycie wyrażenia „z wyjątkiem [sytuacji]” w samym brzmieniu art. 7 lit. f) dyrektywy 95/46 samo w sobie nie podważa bezwarunkowego charakteru tego przepisu, w rozumieniu przytoczonego orzecznictwa. 54      Wspomniane wyrażenie ma bowiem na celu ustanowienie jednej z dwóch kumulatywnych przesłanek przewidzianych w art. 7 lit. f) dyrektywy 95/46, od których spełnienia uzależniona jest dopuszczalność przetwarzania danych osobowych bez zgody osoby, której dane dotyczą. Jako że przesłanka ta została zdefiniowana, nie pozbawia ona art. 7 lit. f) jego precyzyjnego i bezwarunkowego charakteru. 55      Na pytanie drugie należy więc odpowiedzieć, że art. 7 lit. f) dyrektywy 95/46 jest bezpośrednio skuteczny.  W przedmiocie kosztów 56      Dla stron postępowania przed sądem krajowym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed tym sądem, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż poniesione przez strony postępowania przed sądem krajowym, nie podlegają zwrotowi. Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje: 1)      Artykuł 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem podstawowych praw i wolności tej osoby, by dane te były zawarte w powszechnie dostępnych źródłach, wykluczając tym samym w sposób kategoryczny i ogólny wszelką możliwość przetwarzania danych niezawartych w takich źródłach. 2)      Artykuł 7 lit. f) dyrektywy 95/46 jest bezpośrednio skuteczny. Podpisy * Język postępowania: hiszpański.