În decizia din 5 noiembrie 2024 în cauza nr. 52319/22 Le Marrec împotriva Senatului Franței, Secțiunea a cincea, Curtea a decis în unanimitate că utilizarea adresei IP a reclamantului pentru a se conecta la site-ul web al administrației de securitate socială pentru a determina statutul său, care, prin urmare, a constituit o amenințare la dreptul său la beneficii sociale, nu a constituit o intervenție nejustificată asupra dreptului său la respectarea vieții private.
În iulie 2022 a fost respinsă plângerea sa de cassatie ca inadmisibilă. II. Motivația deciziei Curții K pentru încălcarea articolului 8 din Convenție Reclamantul înaintea Soudem a susținut că obținerea și utilizarea adresei sale IP de către CAF în scopul de a afla adresa sa a fost o încălcare a dreptului său la viața privată în temeiul articolului 8 din Convenție. a) Admisibilitatea materiae necesare a fost declarată în trecut de Soudem că informațiile despre activitățile online care intră sub incidența articolului 8 din Convenție sunt legate de informațiile legitime legate de viața persoanei vizate, dacă acestea sunt legate de protecția dreptului de identificare sau de protecția dreptului de identificare a persoanei vizate (Benediktus Slovincu, art. 623/14, hotărârea de la 24 decembrie 2018, s. 107 s. 110).
În speță, Soudă a declarat că această măsură contestată se baza pe o combinație de dispoziții din Codul social, Regulamentul UE privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (GDPR), Legea privind protecția datelor cu caracter personal și normele care reglementează funcționarea site-ului web caf.fr, care era accesibil publicului. Soudă a declarat că acest cadru juridic, ca un întreg, determina amploarea și cauza colectării și utilizării adreselor IP de către CAF, prin urmare, nu permite utilizatorilor să își reglementeze comportamentul, în special printr-o decizie privind prezența unui utilizator pe site-ul web CAF.
3866/20 și 9292/20, decizia din 13 februarie 2024, § 2629). se reamintește că, în procesul de examinare a caracterului adecvat, Curtea va respecta principiile privind prelucrarea datelor cu caracter personal prevăzute în Convenția Consiliului Europei privind protecția persoanelor în ceea ce privește prelucrarea automată a datelor cu caracter personal (Convenția 108), care au fost transmise la art. 5 din GDPR, precum și în Legea privind protecția datelor cu caracter personal. acești principii sunt: "conformitate, corectitudine și transparență"; "minimalizarea datelor" (în sensul că prelucrarea datelor colectate prin intermediul internetului ar trebui să fie strictă și moderată, nu ar trebui să fie limitată la scopurile necesare procesului de prelucrare a datelor cu caracter personal); "informații relevante" (în sensul că nu sunt relevante în mod specific în procesul de prelucrare a datelor cu caracter personal); "în acest caz, în afară de informațiile relevante privind spațiul de comunicații sau adresa IP a unui utilizator, nu este necesară nicio informație despre persoana în cauză, nici despre adresa sa, nici despre modul în care este prelucrată sau despre modul în care este prelucrată în mod electronic, nici despre caracterul său personal sau despre caracterul său".
În al doilea rând, datele respective au fost colectate în mod legal, corect și transparent. Este adevărat că prelucrarea adresei IP a avut un impact semnificativ asupra situației reclamantului, deoarece a provocat o verificare a situației sale, care a dus în cele din urmă la încetarea dreptului la beneficii sociale. Cu toate acestea, dacă reclamantul a vrut să primească beneficii prin intermediul serviciilor online, nu a putut să se aștepte în mod rezonabil ca, atunci când a intrat pe pagina "Contul meu" de pe site-ul CAF, poziția sa să rămână necunoscută angajaților acestui furnizor de servicii publice. În al treilea rând, a fost respectat principiul de minimizare a urmăritorilor datelor, deoarece CAF nu a prelucrat nici o altă dată decât un indicator geografic specific, dar pentru a verifica dacă utilizarea adresei IP a fost limitată la teritoriul Franței, a fost necesar să se verifice dacă utilizarea adresei IP a reclamantului a fost limitată la scopul de a beneficia de beneficii sociale.
Curtea a ajuns la concluzia că colectarea și utilizarea adreselor IP a avut o bază legală care corespunde cerințelor Convenției. Având în vedere marja de apreciere pe care o au autoritățile în domeniul combaterii abuzului de prestații sociale, scopul urmărit de prelucrarea datelor cu caracter personal de către CAF și garanțiile în cauză în temeiul dreptului intern, Curtea a concluzionat că măsura a avut motive relevante și suficiente și nu a reprezentat o intervenție evident nedreptățită în dreptul reclamantului de a respecta viața privată.
Anotace rozhodnutí Evropského soudu pro lidská práva
Rozhodnutí ze dne 5. listopadu 2024 ve věci č.
52319/22 –
Le Marrec proti Francii
Senát páté sekce Soudu jednomyslně rozhodl, že využití IP adresy stěžovatele při přihlášení na internetové stránky správy sociálního zabezpečení k
určení jeho polohy, které v
důsledku vedlo k
odebrání jeho nároku na sociální dávky, nepředstavovalo nepřiměřený zásah do jeho práva na respektování soukromého života. Stížnost tak odmítl pro zjevnou neopodstatněnost.
I.
Skutkové okolnosti
Stěžovateli byla přiznána základní sociální podpora. Počátkem roku 2019 se přihlásil na webové stránky správy sociálního zabezpečení („CAF“) na adrese caf.fr, které spravuje a hostuje Národní správa sociálního zabezpečení („CNAF“), aby aktualizoval svůj status příjemce dávek v sekci „Můj účet“. Při jeho přihlášení byla k
určení jeho polohy prověřena IP adresa jeho počítače, která byla na serveru hostujícím tyto stránky převedena na geografický ukazatel „Jiné země“ naznačující, že se nachází v zahraničí.
To vedlo k prověření stěžovatelova nároku na pobírání dávek. Stěžovatel CAF vysvětlil, že při přihlášení použil virtuální privátní síť (VPN), aby zakryl svou IP adresu, zatímco ve skutečnosti žil ve Francii. Inspektoři CAF následně zkontrolovali bankovní účet stěžovatele a zjistili, že již není oprávněn pobírat základní sociální podporu. Ředitel CAF proto dvěma rozhodnutími vydanými v červnu 2019 ukončil nárok stěžovatele na tuto dávku.
V říjnu 2020 správní soud zamítl stěžovatelovy žaloby proti těmto rozhodnutím. V červenci 2022 byla jeho kasační stížnost odmítnuta jako nepřípustná.
II.
Odůvodnění rozhodnutí Soudu
K
tvrzenému porušení článku 8 Úmluvy
Stěžovatel před Soudem namítal, že získáním a použitím jeho IP adresy ze strany CAF za účelem zjištění jeho polohy došlo k
porušení jeho práva na soukromý život dle článku 8 Úmluvy.
a)
Přijatelnost
ratione materiae
Soud již v minulosti shledal, že informace o online aktivitách spadají pod pojem soukromí dle článku 8
Úmluvy od okamžiku, kdy jsou spojeny s
identifikovanou nebo identifikovatelnou osobou (
Benedik proti Slovinsku
, č. 62357/14, rozhodnutí ze dne 24. dubna 2018, §
projednávaném případě použití IP adresy maskované VPN, v kombinaci s identifikačním číslem příjemce dávek, vedlo k identifikaci stěžovatele a automatickému předání informace CAF, že se stěžovatel přihlásil ze zahraniční, byť se ve skutečnosti v
dané době nacházel ve Francii. Soud proto považoval článek 8 Úmluvy za použitelný na zpracování IP adresy počítače stěžovatele.
b)
Odůvodněnost
Shromažďování a použití IP adresy stěžovatele ze strany CAF představovalo dle Soudu zásah do jeho práva na respektování soukromého života. Takový zásah bude v
souladu s
požadavky článku 8 Úmluvy, pokud je učiněn na základě zákona, sleduje legitimní cíl a je nezbytný v
demokratické společnosti k
dosažení daného cíle.
1.
Právní základ a sledovaný legitimní cíl
Obecné zásady týkající se zákonnosti zásahu do práv chráněných článkem 8 Úmluvy Soud shrnul ve věci
Benedik proti Slovinsku
(cit. výše, § 122). V
projednávaném případě Soud shledal, že napadené opatření bylo založeno na kombinaci ustanovení obsažených v sociálním zákoníku, nařízení EU o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů („GDPR“), zákoně o ochraně osobních údajů a pravidel upravujících provoz webových stránek caf.fr, která byla veřejně přístupná. Soud shledal, že tento právní rámec jako celek určoval rozsah a způsob shromažďování a používání IP adresy počítače ze strany CAF s dostatečnou přesností, a tím umožňoval stěžovateli regulovat své jednání, konkrétně učinit informované rozhodnutí o tom, zda se na webové stránky CAF přihlásí. Poukázal přitom na to, že uživatel teleslužby na internetových stránek caf.fr měl povinnost přečíst si a přijmout podmínky používání této služby, které informují uživatele o rozsahu zpracování jeho osobních údajů. Soud měl proto za to, že stěžovatel byl o zpracování IP adresy svého počítače informován předem. Protože neměl k dispozici žádné důkazy, které by zpochybňovaly zákonnost napadeného opatření, Soud považoval zásah za „v souladu se zákonem“.
Co se týče legitimního cíle, tím bylo ověření nároku stěžovatele na sociální dávku a zajištění bezpečnosti webových stránek caf.fr a jejich využívání příjemci dávek. Z toho vyplývá, že napadené opatření sledovalo legitimní cíl zajištění hospodářského blahobytu země a předcházení zločinnosti.
2.
Přiměřenost zásahu
Soud nejprve odkázal na obecné zásady posuzování přiměřenosti zpracování osobních údajů, které shrnul v rozsudku ve věci
(č. 3866/20 a 9292/20, rozhodnutí ze dne 13. února 2024, §
26–29). Připomněl, že při posuzování přiměřenosti Soud přihlíží k
zásadám ohledně zpracování osobních údajů uvedeným v Úmluvě Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních údajů („Úmluva 108“), které byly převzaty v
článku 5 GDPR, jakož i v zákoně o ochraně osobních údajů. Těmito zásadami jsou: „zákonnost, korektnost a transparentnost“ shromažďování; „minimalizace údajů“ – tedy že shromážděné a zpracované údaje by měly být přiměřené, relevantní a omezené na to, co je nezbytné pro účely, pro které jsou zpracovávány; a „přesnost“.
V
projednávaném případě zpracovávaný údaj – IP adresa převedená na geografický ukazatel „Jiné země“ – nebyl citlivé povahy a netýkal se ani těch nejintimnějších, ani zvláště důležitých aspektů života nebo identity jednotlivce. Kromě toho sám o sobě neposkytoval „zásadní a přesné informace“ o stěžovateli a neumožňoval sestavení podrobného profilu prostřednictvím vyčerpávajícího sledování jeho historie prohlížení. Naopak šlo o vágní, čistě geografickou informaci, která nevyžadovala zvýšenou ochranu. Na rozdíl od poskytovatelů elektronických komunikací CNAF systematicky neshromažďovala a neukládala údaje o přihlášení uživatelů internetu. Jelikož daný údaj nebyl citlivý, měl stát v tomto ohledu širší prostor pro uvážení.
Za druhé, daný údaj byl shromážděn zákonným, korektním a transparentním způsobem. Je pravda, že zpracování IP adresy mělo významné dopady na situaci stěžovatele, neboť vyvolalo prověření jeho situace, které nakonec vedlo k ukončení nároku na sociální dávky. Přesto však platí, že pokud chtěl stěžovatel čerpat dávky prostřednictvím online služby, nemohl rozumně očekávat, že při přihlášení na stránku „Můj účet“ na webu CAF zůstane jeho poloha neznámá pracovníkům tohoto veřejného poskytovatele služeb.
Za třetí, byla dodržena zásada minimalizace údajů, neboť CAF nezpracovala nic jiného než geografický ukazatel „Jiné země“, a to za účelem ověření místa pobytu stěžovatele jakožto příjemce sociálních dávek. Použití této informace bylo přísně omezeno na účel, pro který byla shromážděna: určit místo pobytu stěžovatele ve Francii za účelem sledování jeho situace a ověření jeho nároku na sociální dávky. V důsledku toho bylo toto použití přísně nezbytné pro účel poskytování veřejné služby vyplácení sociálních dávek. Nebylo prokázáno žádné nesprávné, nadměrné ani zbytečné shromažďování či použití IP adresy.
Pokud jde o přesnost údajů, navzdory tomu, že se stěžovatel přihlásil z území Francie, použití VPN způsobilo, že byla jeho poloha nesprávně určena jako zahraniční, což bylo důsledkem jeho vlastního rozhodnutí nezveřejnit svou skutečnou adresu ve Francii. Tuto nepřesnost však následně mohl napravit tím, že CAF poskytl vysvětlení.
A konečně Soud podpůrně poukázal na to, že přístup k těmto údajům mělo jen omezené množství osob, konkrétně pouze pracovníci CAF.
c)
Závěr
Soud dospěl k závěru, že shromažďování a použití IP adresy mělo zákonný základ, který odpovídal požadavkům Úmluvy. S přihlédnutím k prostoru pro uvážení, který mají orgány v
oblasti boje proti zneužívání sociálních dávek, k cíli sledovanému zpracováním daných osobních údajů ze strany CAF a k
souvisejícím zárukám podle vnitrostátního práva Soud shledal, že opatření mělo relevantní a dostatečné důvody a nepředstavovalo zjevně nepřiměřený zásah do práva stěžovatele na respektování jeho soukromého života. Stížnost proto prohlásil za zjevně neopodstatněnou.