Zadeva C‑230/14

Weltimmo s.r.o.

proti

Nemzeti Adatvédelmi és Információszabadság Hatóság

(Predlog za sprejetje predhodne odločbe,
ki ga je vložilo Kúria)

„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Direktiva 95/46/ES – Člena 4(1) in 28(1), (3) in (6) – Upravljavec podatkov, ki ima poslovno enoto v državi članici – Poseg v pravico do varstva osebnih podatkov fizičnih oseb v drugi državi članici – Določitev prava, ki se uporabi, in pristojnega nadzornega organa – Izvajanje pooblastil nadzornega organa – Pristojnost za sankcioniranje“

Povzetek – Sodba Sodišča (tretji senat) z dne 1. oktobra 2015

1.        Približevanje zakonodaj – Varstvo posameznikov pri obdelavi osebnih podatkov –Direktiva 95/46 – Poslovna enota družbe, ki je upravljavec podatkov – Pojem – Prožna razlaga

(Direktiva Evropskega parlamenta in Sveta 95/46, uvodna izjava 19)

2.        Približevanje zakonodaj – Varstvo posameznikov pri obdelavi osebnih podatkov – Direktiva 95/46 – Družba, ki je upravljavec osebnih podatkov v drugi državi članici, kot je država članica njene registracije – Uporaba zakonodaje te druge države članice – Zahteva – Dejansko in resnično opravljanje dejavnosti prek stalne poslovne enote – Merila presoje

(Direktiva Evropskega parlamenta in Sveta 95/46, člen 4(1)(a))

3.        Približevanje zakonodaj – Varstvo posameznikov pri obdelavi osebnih podatkov – Direktiva 95/46 – Pritožba, vložena pri nadzornem organu države članice – Nadzorni organ, ki je ugotovil, da je treba za obdelavo osebnih podatkov uporabiti zakonodajo druge države članice – Pooblastila za posredovanje navedenega organa – Meje

(Direktiva Evropskega parlamenta in Sveta 95/46, člen 28(1), (3), (4) in (6))

4.        Približevanje zakonodaj – Varstvo posameznikov pri obdelavi osebnih podatkov – Direktiva 95/46 – Pojem „adatfeldolgozás“ (procesiranje podatkov), uporabljen v madžarski različici – Obseg

(Direktiva Evropskega parlamenta in Sveta 95/46, člena 4(1)(a) in 28(6))

1.        Iz člena 19 Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov izhaja prožno razumevanje pojma poslovna enota, ki odvrača vsakršen formalističen pristop, na podlagi katerega bi se štelo, da ima podjetje poslovno enoto samo v kraju, kjer je registrirano. Tako je treba pri opredelitvi, ali ima družba, ki je upravljavka podatkov, v državi članici, ki ni država članica ali tretja država, v kateri je registrirana, poslovno enoto v smislu Direktive 95/46, presoditi tako stopnjo stalnosti enote kot tudi dejanskost opravljanja dejavnosti v tej drugi državi članici, pri tem pa upoštevati posebno naravo obravnavanih gospodarskih dejavnosti in storitev. To še posebej velja za podjetja, ki storitve ponujajo izključno na internetu.

(Glej točko 29.)

2.        Člen 4(1)(a) Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da dopušča uporabo zakonodaje o varstvu osebnih podatkov države članice, ki ni tista, v kateri je upravljavec teh podatkov registriran, če ta upravljavec prek poslovne enote na ozemlju te države članice opravlja dejansko in resnično, čeprav majhno, dejavnost, v okviru katere se izvaja ta obdelava.

Da bi predložitveno sodišče ugotovilo, ali to drži, lahko zlasti upošteva, prvič, da je dejavnost upravljavca, ki izvaja navedeno obdelavo, v okviru katere ta obdelava poteka, upravljanje internetnih strani z nepremičninskimi oglasi za nepremičnine na ozemlju te države članice, ki so sestavljeni v jeziku te države, in da je zato ta dejavnost večinoma ali celo v celoti usmerjena v navedeno državo članico, in drugič, da ima ta upravljavec zastopnika v navedeni državi članici, ki je zadolžen za izterjavo terjatev, ki izhajajo iz te dejavnosti, in za zastopanje upravljavca v upravnih in sodnih postopkih v zvezi z obdelavo zadevnih podatkov.

Ni pa upoštevno vprašanje državljanstva oseb, ki jih zadeva ta obdelava podatkov.

(Glej točko 41 in točko 1 izreka.)

3.        V primeru, da nadzorni organ države članice, ki odloča o prijavah v skladu s členom 28(4) Direktive 94/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov, ugotovi, da se za obdelavo zadevnih osebnih podatkov ne uporablja pravo te države članice, temveč pravo druge države članice, je treba člen 28(1), (3) in (6) te direktive razlagati tako, da lahko ta nadzorni organ učinkovita pooblastila za posredovanje, ki so mu bila podeljena v skladu s členom 28(3) navedene direktive, izvaja le na ozemlju lastne države članice. Zato upravljavcu teh podatkov, ki ni ustanovljen na tem ozemlju, ne more naložiti sankcij na podlagi prava te države članice, temveč mora v skladu s členom 28(6) te direktive pozvati nadzorni organ države članice, katere pravo se uporabi, naj ukrepa.

Iz zahtev, izpeljanih iz ozemeljske suverenosti zadevne države članice, načela zakonitosti in iz pojma pravne države, namreč izhaja, da pristojnosti za sankcioniranje načeloma ni mogoče izvajati zunaj zakonitih meja, v katerih lahko upravni organ ukrepa upoštevajoč pravo lastne države članice.

(Glej točki 56, 60 in točko 2 izreka.)

4.        Direktivo 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da ima pojem „adatfeldolgozás“ (procesiranje podatkov), uporabljen v različici te direktive v madžarskem jeziku, zlasti v členih 4(1)(a) in 28(6) te direktive, enak pomen kot pojem „adatkezelés“ (obdelava podatkov).

(Glej točko 65 in točko 3 izreka.)