Asia C‑230/14

Weltimmo s.r.o.

vastaan

Nemzeti Adatvédelmi és Információszabadság Hatóság

(Kúrian esittämä ennakkoratkaisupyyntö)

Ennakkoratkaisupyyntö – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46/EY – 4 artiklan 1 kohta ja 28 artiklan 1, 3 ja 6 kohta – Muodollisesti jäsenvaltioon sijoittautunut rekisterinpitäjä – Sellaisten henkilötietojen suojelua koskevan oikeuden loukkaus, jotka koskevat yksityishenkilöitä toisessa jäsenvaltiossa – Sovellettavan oikeuden ja toimivaltaisen valvontaviranomaisen määrittäminen – Valvontaviranomaisen valtuuksien käyttäminen – Rankaisuvalta

Tiivistelmä – Unionin tuomioistuimen tuomio (kolmas jaosto) 1.10.2015

1.        Jäsenvaltioiden lainsäädännön lähentäminen – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Yhtiön, joka on rekisterinpitäjä, perustaminen – Käsite – Joustava tulkinta

(Euroopan parlamentin ja neuvoston direktiivin 95/46 johdanto-osan 19 perustelukappale)

2.        Jäsenvaltioiden lainsäädännön lähentäminen – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Yhtiö, joka on rekisterinpitäjä jäsenvaltiossa, joka on muu kuin se, jossa se on rekisteröity – Tämän toisen jäsenvaltion lainsäädännön soveltaminen – Edellytys – Aidon ja todellisen toiminnan harjoittaminen kiinteän toimipaikan välityksin – Arviointiperusteet

(Euroopan parlamentin ja neuvoston direktiivin 95/46 4 artiklan 1 kohdan a alakohta)

3.        Jäsenvaltioiden lainsäädännön lähentäminen – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Jäsenvaltion valvontaviranomaisen käsiteltäväksi saatettu kantelu – Valvontaviranomainen tulee siihen tulokseen, että henkilötietojen käsittelyyn on sovellettava jonkin toisen jäsenvaltion oikeutta – Mainitun viranomaisen toimivaltuudet – Rajat

(Euroopan parlamentin ja neuvoston direktiivin 95/46 28 artiklan 1, 3, 4 ja 6 kohta)

4.        Jäsenvaltioiden lainsäädännön lähentäminen – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Unkarinkieliseen versioon sisältyvä käsite ”adatfeldolgozás” (tietojen muokkaaminen) – Ulottuvuus

(Euroopan parlamentin ja neuvoston direktiivin 95/46 4 artiklan 1 kohdan a alakohta ja 28 artiklan 6 kohta)

1.        Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46 johdanto-osan 19 perustelukappaleesta seuraa sijoittautumisen käsitteen joustava tulkinta, joka poikkeaa siitä muodollisesta näkökannasta, jonka mukaan yritys on sijoittautunut yksinomaan siihen paikkaan, jossa se on rekisteröitynyt. Niinpä sen määrittämiseksi, onko yhtiöllä, joka on tietojen rekisterinpitäjä, direktiivissä 95/46 tarkoitettu toimipaikka jossakin muussa jäsenvaltiossa kuin siinä jäsenvaltiossa tai kolmannessa maassa, jossa se on rekisteröity, on arvioitava sekä toimipaikan kiinteää luonnetta että taloudellisen toiminnan tosiasiallista harjoittamista tässä toisessa jäsenvaltiossa ottamalla huomioon kyseisen taloudellisen toiminnan ja kyseisten palveluiden erityinen luonne. Näin on etenkin sellaisten yritysten osalta, jotka käyttävät palvelujen tarjoamisessa yksinomaan internetiä.

(ks. 29 kohta)

2.        Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46 4 artiklan 1 kohdan a alakohtaa on tulkittava siten, että sen nojalla on mahdollista soveltaa henkilötietojen suojaa koskevaa lainsäädäntöä, joka on muun jäsenvaltion lainsäädäntö kuin sen, jossa näiden tietojen rekisterinpitäjä on rekisteröity, kunhan rekisterinpitäjä harjoittaa kyseisen valtion alueella olevan kiinteän toimipaikan välityksin aitoa ja todellista, vaikka vähäistäkin, toimintaa, jonka yhteydessä tämä tietojenkäsittely suoritetaan.

Sen määrittämiseksi, onko tilanne tällainen, ennakkoratkaisua pyytänyt tuomioistuin voi erityisesti ottaa huomioon yhtäältä sen, että kyseisen rekisterinpitäjän toiminta, jonka yhteydessä käsittely on suoritettu, muodostuu sellaisten internetsivustojen ylläpitämisestä, joilla on ilmoituksia tämän jäsenvaltion alueella sijaitsevista kiinteistöistä ja jotka on laadittu sen kielellä ja että se on siis tämän vuoksi pääasiallisesti tai jopa täysin kohdistettu tähän jäsenvaltioon, ja toisaalta sen, että tällä rekisterinpitäjällä on kyseisessä jäsenvaltiossa edustaja, jonka tehtävänä on periä tästä toiminnasta aiheutuneet saatavat ja edustaa rekisterinpitäjää asianomaisten tietojen käsittelyä koskevissa hallinnollisissa menettelyissä ja tuomioistuinmenettelyissä.

Henkilöiden, joita tämä tietojenkäsittely koskee, kansalaisuudella ei sen sijaan ole merkitystä.

(ks. 41 kohta ja tuomiolauselman 1 kohta)

3.        Siinä tapauksessa, että jäsenvaltion valvontaviranomainen, jonka käsiteltäväksi on saatettu kanteluja yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46 28 artiklan 4 kohdan mukaisesti, tulee siihen tulokseen, että asianomaisten henkilötietojen käsittelyyn ei ole sovellettava tämän jäsenvaltion vaan jonkin toisen jäsenvaltion oikeutta, direktiivin 28 artiklan 1, 3 ja 6 kohtaa on tulkittava siten, että tämä valvontaviranomainen voi käyttää sille kyseisen direktiivin 28 artiklan 3 kohdassa annettuja tehokkaita toimintavaltuuksia vain jäsenvaltionsa alueella. Se ei siis voi määrätä seuraamuksia tämän jäsenvaltion oikeuden perusteella näiden tietojen rekisterinpitäjälle, joka ei ole sijoittautunut tälle alueelle, vaan sen on saman direktiivin 28 artiklan 6 kohdan nojalla pyydettävä sen jäsenvaltion valvontaviranomaista, jonka oikeutta sovelletaan, toimimaan asiassa.

Asianomaisen jäsenvaltion alueelliseen itsemääräämisoikeuteen, laillisuusperiaatteeseen ja oikeusvaltion käsitteeseen perustuvista vaatimuksista johtuu, että rankaisuvallan käyttö ei voi tapahtua lähtökohtaisesti niiden lainmukaisten rajojen ulkopuolella, joiden rajoissa hallintoviranomaisella on jäsenvaltionsa oikeuden mukaisesti valtuudet toimia.

(ks. 56 ja 60 kohta sekä tuomiolauselman 2 kohta)

4.        Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettua direktiiviä 95/46 on tulkittava siten, että direktiivin unkarinkielisessä versiossa ja erityisesti sen 4 artiklan 1 kohdan a alakohdassa ja 28 artiklan 6 kohdassa käytetty käsite ”adatfeldolgozás” (tietojen muokkaaminen) on ymmärrettävä samalla tavoin kuin sana ”adatkezelés” (tietojen käsittely).

(ks. 65 kohta sekä tuomiolauselman 3 kohta)