Domstolens dom (stora avdelningen) av den 5 juni 2018 (begäran om förhandsavgörande från Bundesverwaltungsgericht - Tyskland) – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein mot Wirtschaftsakademie Schleswig-Holstein GmbH

(Mål C-210/16)(¹ )

(Begäran om förhandsavgörande – Direktiv 95/46/EG – Personuppgifter – Skydd för enskilda personer med avseende på behandling av personuppgifter – Föreläggande att avaktivera en Facebook-sida (fanpage) som gör det möjligt att samla in och behandla vissa uppgifter rörande besökarna på nämnda sida – Artikel 2 d – Registeransvarig – Artikel 4 – Tillämplig nationell rätt – Artikel 28 – Nationella tillsynsmyndigheter – Tillsynsmyndigheternas befogenhet att ingripa)

Rättegångsspråk: tyska

Hänskjutande domstol

Bundesverwaltungsgericht

Parter i målet vid den nationella domstolen

Klagande: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Motpart: Wirtschaftsakademie Schleswig-Holstein GmbH

Ytterligare deltagare i rättegången: Facebook Ireland Ltd, Vertreter des Bundesinteresses beim Bundesverwaltungsgericht

Domslut

Artikel 2 d i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att begreppet ”registeransvarig” i den mening som avses i denna bestämmelse, omfattar administratören av en fanpage som ett socialt nätverk hyser.

Artiklarna 4 och 28 i direktiv 95/46 ska tolkas så, att när ett företag som är etablerat utanför Europeiska unionen har flera etableringsställen i olika medlemsstater, ska tillsynsmyndigheten i en medlemsstat ha rätt att utöva de befogenheter som den tilldelas genom artikel 28.3 i direktivet, i förhållande till ett av företagets etableringsställen som är beläget i den medlemsstaten, trots att enligt fördelningen av uppgifterna inom koncernen, detta etableringsställe endast ansvarar för försäljning av reklamplats och annan marknadsföring på den medlemsstatens territorium och ansvaret för insamling och behandling av personuppgifter inom hela Europeiska unionen uteslutande ankommer på ett etableringsställe som är beläget i en annan medlemsstat.

Artikel 4.1 a och artikel 28.3 och 28.6 i direktiv 95/46 ska tolkas så, att när tillsynsmyndigheten i en medlemsstat har för avsikt att med avseende på ett organ etablerat i denna medlemsstat utöva de befogenheter att ingripa som avses i artikel 28.3 i detta direktiv på grund av överträdelser av reglerna om skydd av personuppgifter som begåtts av en tredje part som är ansvarig för behandlingen av uppgifterna och som har sitt säte i en annan medlemsstat, ska denna myndighet vara behörig att fristående från tillsynsmyndigheten i den sistnämnda medlemsstaten bedöma lagenligheten av en sådan behandling av uppgifter, och får denna myndighet utöva sina befogenheter att ingripa mot det organ som är etablerat på dess territorium utan att dessförinnan anmoda tillsynsmyndigheten i den andra medlemsstaten att ingripa.

____________

(¹ ) EUT C 260, 18.7.2016.