Υπόθεση C‑230/14

Weltimmo s.r.o.

κατά

Nemzeti Adatvédelmi és Információszabadság Hatóság

(αίτηση του Kúria
για την έκδοση προδικαστικής αποφάσεως)

«Προδικαστική παραπομπή — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46/ΕΚ — Άρθρα 4, παράγραφος 1, και 28, παράγραφοι 1, 3 και 6 — Υπεύθυνος για την επεξεργασία τυπικώς εγκατεστημένος εντός κράτους μέλους — Προσβολή του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα όσον αφορά φυσικά πρόσωπα εντός άλλου κράτους μέλους — Προσδιορισμός του εφαρμοστέου δικαίου και αρμόδια αρχή — Άσκηση των εξουσιών της αρχής ελέγχου — Εξουσία επιβολής κυρώσεων»

Περίληψη — Απόφαση του Δικαστηρίου (τρίτο τμήμα)
της 1ης Οκτωβρίου 2015

1.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Τόπος εγκαταστάσεως εταιρίας υπεύθυνης για την επεξεργασία δεδομένων — Έννοια — Διασταλτική ερμηνεία

(Οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογική σκέψη 19)

2.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Εταιρία υπεύθυνη για την επεξεργασία δεδομένων εντός κράτους μέλους πέραν του κράτους μέλους όπου έχει καταχωριστεί — Εφαρμογή της νομοθεσίας αυτού του άλλου κράτους μέλους — Προϋπόθεση — Άσκηση πραγματικής και ουσιαστικού χαρακτήρα δραστηριότητας μέσω μόνιμης εγκαταστάσεως — Κριτήρια εκτιμήσεως

(Οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 4 § 1, στοιχείο αʹ)

3.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Καταγγελία υποβληθείσα στην ελεγκτική αρχή κράτους μέλους — Ελεγκτική αρχή δεχόμενη τη δυνατότητα εφαρμογής της νομοθεσίας άλλου κράτους μέλους για την επεξεργασία δεδομένων — Εξουσίες παρεμβάσεως της εν λόγω αρχής — Όρια

(Οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 28 §§ 1, 3, 4 και 6)

4.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Έννοια του περιλαμβανόμενου στο ουγγρικό κείμενο όρου «adatfeldolgozás» (τεχνικές εργασίες επεξεργασίας δεδομένων) — Περιεχόμενο

(Οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 4 § 1, στοιχείο αʹ, και 28 § 6)

1.        Από την αιτιολογική σκέψη 19 της οδηγίας 95/46, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, απορρέει μια ευέλικτη ερμηνεία της εννοίας της εγκαταστάσεως, διαφοροποιούμενης από την τυπολατρική προσέγγιση κατά την οποία μια εταιρία λογίζεται εγκατεστημένη αποκλειστικά στον τόπο στα μητρώα εταιριών του οποίου είναι καταχωρισμένη. Ειδικότερα, προκειμένου να προσδιοριστεί αν μια εταιρία, υπεύθυνη για την επεξεργασία δεδομένων, διαθέτει εγκατάσταση, υπό την έννοια της οδηγίας 95/46, εντός κράτους μέλους πέραν του κράτους μέλους ή της τρίτης χώρας όπου έχει καταχωριστεί, πρέπει να εκτιμηθεί τόσο ο βαθμός μονιμότητας της εγκαταστάσεως όσο και ο πραγματικός χαρακτήρας της ασκήσεως των δραστηριοτήτων εντός του άλλου αυτού κράτους μέλους ή της τρίτης χώρας όπου έχει καταχωριστεί, λαμβανομένης υπόψη της συγκεκριμένης φύσεως των οικονομικών δραστηριοτήτων και της σχετικής παροχής υπηρεσιών. Τούτο ισχύει ιδιαίτερα για τις επιχειρήσεις που ασχολούνται με την παροχή υπηρεσιών αποκλειστικά μέσω διαδικτύου.

(βλ. σκέψη 29)

2.        Το άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, έχει την έννοια ότι παρέχει τη δυνατότητα εφαρμογής της νομοθεσίας περί προστασίας των δεδομένων προσωπικού χαρακτήρα κράτους μέλους διαφορετικού από αυτό εντός του οποίου είναι καταχωρισμένος ο υπεύθυνος για την επεξεργασία των δεδομένων αυτών, υπό την προϋπόθεση ωστόσο ότι αυτός ασκεί, μέσω μόνιμης εγκαταστάσεως στο έδαφος του εν λόγω κράτους μέλους, πραγματική και ουσιαστικού χαρακτήρα δραστηριότητα, έστω και περιορισμένη, στο πλαίσιο της οποίας πραγματοποιείται η επεξεργασία αυτή.

Προκειμένου να προσδιορίσει αν συμβαίνει κάτι τέτοιο, το αιτούν δικαστήριο μπορεί να λάβει υπόψη, ιδίως, το γεγονός, αφενός, ότι η δραστηριότητα του υπευθύνου της εν λόγω επεξεργασίας, στο πλαίσιο της οποίας αυτή πραγματοποιείται, συνίσταται στη διαχείριση ιστοσελίδων αγγελιών ακινήτων σχετικά με ακίνητα που βρίσκονται στο έδαφος του εν λόγω κράτους μέλους, ιστοσελίδων συντεταγμένων στη γλώσσα του εν λόγω κράτους, και ότι η ανωτέρω δραστηριότητα συνδέεται, κατά συνέπεια, κυρίως, ή ακόμα και αποκλειστικώς, με το εν λόγω κράτος μέλος, και, αφετέρου, ότι ο υπεύθυνος αυτός έχει ορίσει εκπρόσωπο εντός του εν λόγω κράτους μέλους, επιφορτισμένο με την είσπραξη των απαιτήσεων από τη δραστηριότητα αυτή, καθώς και με την εκπροσώπησή του σε διοικητικές και δικαστικές διαδικασίες σχετικές με την επεξεργασία των οικείων δεδομένων.

Αντιθέτως, δεν ασκεί επιρροή το ζήτημα της ιθαγενείας των ατόμων τα οποία αφορά η ως άνω επεξεργασία δεδομένων.

(βλ. σκέψη 41, διατακτ. 1)

3.        Σε περίπτωση που η αρχή ελέγχου κράτους μέλους στην οποία υποβάλλονται καταγγελίες, σύμφωνα με το άρθρο 28, παράγραφος 4, της οδηγίας 95/46, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, καταλήξει στο συμπέρασμα ότι το εφαρμοστέο εν προκειμένω δίκαιο για την επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι όχι το δίκαιο του κράτους μέλους αυτού, αλλά εκείνο άλλου κράτους μέλους, το άρθρο 28, παράγραφοι 1, 3 και 6, της προαναφερθείσας οδηγίας έχει την έννοια ότι η ως άνω αρχή δεν μπορεί να ασκεί τις αποτελεσματικές εξουσίες παρεμβάσεως που της έχουν παραχωρηθεί σύμφωνα με το άρθρο 28, παράγραφος 3, της εν λόγω οδηγίας παρά μόνο στο έδαφος του κράτους μέλους στο οποίο αυτή υπάγεται. Επομένως, δεν μπορεί να επιβάλει κυρώσεις βάσει του δικαίου του κράτους μέλους αυτού στον υπεύθυνο για την επεξεργασία των δεδομένων ο οποίος δεν είναι εγκατεστημένος στο έδαφος αυτό, αλλά οφείλει, κατ’ εφαρμογήν του άρθρου 28, παράγραφος 6, της ίδιας οδηγίας, να ζητήσει την παρέμβαση της αρχής ελέγχου που υπάγεται στο κράτος μέλος του οποίου το δίκαιο έχει εφαρμογή συναφώς.

Πράγματι, από τις υποχρεώσεις που απορρέουν από την εδαφική κυριαρχία του ενδιαφερόμενου κράτους μέλους, από την αρχή της νομιμότητας και από την έννοια του κράτους δικαίου απορρέει ότι η εξουσία καταστολής δεν μπορεί να ασκείται, καταρχήν, εκτός των νομίμων ορίων εντός των οποίων επιτρέπεται να ενεργεί κάθε διοικητική αρχή, τηρώντας το δίκαιο του κράτους μέλους στο οποίο αυτή υπάγεται.

(βλ. σκέψεις 56, 60, διατακτ. 2)

4.        Η οδηγία 95/46, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, έχει την έννοια ότι ο όρος «adatfeldolgozás» (τεχνικές εργασίες επεξεργασίας δεδομένων), που χρησιμοποιείται στην απόδοση της οδηγίας αυτής στην ουγγρική γλώσσα, ειδικότερα στα άρθρα 4, παράγραφος 1, στοιχείο αʹ, και 28, παράγραφος 6, αυτής, πρέπει να νοείται ως ταυτόσημος προς τον όρο «adatkezelés» (επεξεργασία δεδομένων).

(βλ. σκέψη 65, διατακτ. 3)