DOMSTOLENS DOM (Tredje Afdeling)
1. oktober 2015 (*)
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46/EF – artikel 4, stk. 1, og artikel 28, stk. 1, 3 og 6 – registeransvarlig, der er formelt etableret i en medlemsstat – krænkelse af retten til beskyttelse af personoplysninger vedrørende fysiske personer i en anden medlemsstat – fastlæggelse af den ret, der finder anvendelse, og den kompetente tilsynsmyndighed – udøvelse af tilsynsmyndighedens beføjelser – sanktionsbeføjelse«
I sag C-230/14,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Kúria (højesteret, Ungarn) ved afgørelse af 22. april 2014, indgået til Domstolen den 12. maj 2014, i sagen:
Weltimmo s. r. o.
mod
Nemzeti Adatvédelmi és Információszabadság Hatóság,
har
DOMSTOLEN (Tredje Afdeling)
sammensat af afdelingsformanden, M. Ilešič, og dommerne A. Ó Caoimh, C. Toader, E. Jarašiūnas og C.G. Fernlund (refererende dommer),
generaladvokat: P. Cruz Villalón
justitssekretær: fuldmægtig I. Illéssy,
på grundlag af den skriftlige forhandling og efter retsmødet den 12. marts 2015,
efter at der er afgivet indlæg af:
– Nemzeti Adatvédelmi és Információszabadság Hatóság ved A. Péterfalvi, som befuldmægtiget, bistået af ügyvéd G. Dudás
– den ungarske regering ved M.Z. Fehér, G. Koós og A. Pálfy, som befuldmægtigede
– den polske regering ved B. Majczyna, M. Kamejsza og M. Pawlicka, som befuldmægtigede
– den slovakiske regering ved B. Ricziová, som befuldmægtiget
– Det Forenede Kongeriges regering ved M. Holt, som befuldmægtiget, bistået af barrister J. Holmes
– Europa-Kommissionen ved A. Tokár, B. Martenczuk og J. Vondung, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 25. juni 2015,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 4, stk. 1, litra a), og artikel 28, stk. 1, 3 og 6, i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31).
2 Anmodningen er blevet indgivet i forbindelse med en tvist mellem Weltimmo s. r. o. (herefter »Weltimmo«), der er et selskab med hjemsted i Slovakiet, og Nemzeti Adatvédelmi és Információszabadság Hatóság (national myndighed til beskyttelse af oplysninger og informationsfriheden, herefter »den ungarske tilsynsmyndighed«) vedrørende en bøde, der er blevet pålagt af sidstnævnte for overtrædelse af lov nr. CXII fra 2011 az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (lov om informationsmæssig selvbestemmelse og informationsfrihed, herefter »informationsloven«), hvorved direktiv 95/46 er blevet gennemført i ungarsk ret.
Retsforskrifter
EU-retten
3 Følgende fremgår af 3., 18. og 19. betragtning til direktiv 95/46:
»(3) Det indre markeds oprettelse og funktion, som i henhold til [artikel 26 TEUF] indebærer fri bevægelighed for varer, personer, tjenesteydelser, og kapital, forudsætter ikke blot, at personoplysninger kan cirkulere frit fra én medlemsstat til en anden, men også, at det enkelte menneskes grundlæggende rettigheder beskyttes.
[...]
(18) For at forhindre, at en person unddrages den beskyttelse, der sikres ved dette direktiv, skal enhver behandling af personoplysninger inden for Fællesskabet være i overensstemmelse med lovgivningen i en af medlemsstaterne; med henblik herpå bør enhver behandling af oplysninger være underkastet lovgivningen i den medlemsstat, hvor den registeransvarlige, under hvis myndighed behandlingen udføres, er etableret.
(19) Ved etablering på en medlemsstats område forstås faktisk udøvelse af aktiviteter gennem en mere permanent struktur; den pågældende strukturs retlige form, hvad enten det blot er en filial eller et datterselskab med status som juridisk person, har ikke afgørende betydning i denne forbindelse; en registeransvarlig, som er etableret på flere medlemsstaters område, især i form af datterselskaber, skal, navnlig for at undgå omgåelse, sikre sig, at hver enkelt struktur opfylder kravene i den gældende nationale lovgivning.«
4 Artikel 2 i direktiv 95/46 bestemmer:
»I dette direktiv forstås ved:
[...]
b) »behandling af personoplysninger [»feldolgozása«]« ([»feldolgozás«] behandling) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse
[...]«
5 Artikel 4, stk. 1, litra a), i direktiv 95/46 bestemmer:
»1. Medlemsstaterne anvender de nationale bestemmelser, de vedtager til gennemførelse af dette direktiv, på behandling af personoplysninger:
a) der foretages som led i en virksomheds eller et organs aktiviteter inden for den medlemsstats område, hvor den registeransvarlige er etableret; en registeransvarlig, som er etableret på flere medlemsstaters område, skal træffe de nødvendige foranstaltninger til at sikre, at hver af disse virksomheder eller organer opfylder kravene i den gældende nationale lovgivning.«
6 Følgende fremgår af artikel 28, stk. 1, 3 og 6, i direktiv 95/46:
»1. Hver medlemsstat drager omsorg for, at der udpeges en eller flere offentlige myndigheder, der har til opgave på dens område at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv.
Disse myndigheder udøver i fuld uafhængighed de funktioner, der tillægges dem.
[...]
3. Hver tilsynsmyndighed skal bl.a. kunne:
– iværksætte undersøgelser og bl.a. have adgang til de oplysninger, der gøres til genstand for en behandling, og til at indsamle alle oplysninger, der er nødvendige for at varetage dens tilsynsopgaver
– gribe effektivt ind ved f.eks. at afgive udtalelser forud for iværksættelsen af behandlingerne i henhold til artikel 20 og sikre en passende offentliggørelse af disse udtalelser, at beordre oplysninger blokeret, slettet eller tilintetgjort, midlertidigt eller definitivt at forbyde en behandling, at udstede en advarsel til den registeransvarlige eller påtale en overtrædelse over for den registeransvarlige eller ved at høre parlamenter eller andre nationale politiske institutioner
– indbringe overtrædelser af de nationale bestemmelser, som vedtages til gennemførelse af dette direktiv, for retsinstanserne eller gøre retsinstanserne opmærksom på disse overtrædelser.
Afgørelser truffet af tilsynsmyndigheden, som går en involveret part imod, kan indbringes for en retsinstans.
[...]
6. Den enkelte tilsynsmyndighed er, uanset hvilken national lov der måtte gælde for den pågældende behandling, kompetent til på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med stk. 3 i denne artikel. Myndigheden kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat.
Tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle alle nyttige oplysninger.«
Ungarsk ret
7 Informationslovens § 2, stk. 1, bestemmer:
»Denne lovs anvendelsesområde omfatter enhver behandling og bearbejdning af data, som finder sted på Ungarns område, og som vedrører oplysninger om fysiske personer samt oplysninger af almen interesse eller oplysninger, som er tilgængelige af hensyn til den almene interesse.«
8 Informationslovens § 3, stk. 10 og 17, indeholder følgende definitioner:
»(10) »behandling af oplysninger«: enhver operation eller række af operationer, som oplysningerne gøres til genstand for, uanset hvilken fremgangsmåde der anvendes, herunder navnlig indsamling, registrering, systematisering, opbevaring, ændring, brug, søgning, videregivelse, offentliggørelse, sammenstilling eller samkøring, blokering, sletning eller tilintetgørelse samt forhindring af anden anvendelse af oplysningerne, opfangning af fotografier, lyde eller billeder eller registrering af fysiske kendetegn, der tjener til identifikation af personer (f.eks. fingeraftryk, håndfladeaftryk, DNA-prøver eller digitalt irisbillede)
[...]
(17) »bearbejdning af oplysninger« [»adatfeldolgozás«]: udførelse af tekniske opgaver i forbindelse med behandlingen af oplysninger, uanset hvilken metode og hvilket medie der anvendes i forbindelse hermed, og uanset hvor opgaverne udføres, så længe oplysningerne er genstand for de tekniske opgaver.«
Tvisten i hovedsagen og de præjudicielle spørgsmål
9 Weltimmo, der er et selskab med hjemsted i Slovakiet, administrerer en internetside med annoncer for ejendomme beliggende i Ungarn. I den forbindelse behandler det annoncørernes personoplysninger. Annoncerne er gratis i en måned og skal betales efter dens udløb. Et betydeligt antal annoncører har via e-mail anmodet om sletning af deres annoncer efter udløbet af denne måned og ved samme lejlighed anmodet om sletning af deres personlige oplysninger. Weltimmo har imidlertid ikke foretaget en sådan sletning og har udstedt regninger til de berørte for sine tjenester. Som følge af den manglende betaling af de fakturerede beløb har selskabet videregivet de pågældende annoncørers personoplysninger til inkassofirmaer.
10 De nævnte annoncører indgav klager til den ungarske tilsynsmyndighed. Denne erklærede sig kompetent i henhold til informationslovens § 2, stk. 1, idet den fandt, at indsamling af de omhandlede oplysninger havde fundet sted på ungarsk område, og at indsamlingen udgjorde en behandling eller bearbejdning af oplysninger om fysiske personer. Da tilsynsmyndigheden fandt, at Weltimmo havde overtrådt informationsloven, pålagde den det pågældende selskab en bøde på 10 mio. ungarske forint (HUF) (ca. 32 000 EUR).
11 Weltimmo anlagde herefter sag ved Fővárosi Közigazgatási és Munkaügyi Bíróság (forvaltnings- og arbejdsretten i Budapest), som var af den opfattelse, at den omstændighed, at selskabet ikke havde hjemsted eller var etableret i Ungarn, ikke udgjorde et gyldigt argument, idet leveringen af oplysningerne vedrørende de pågældende ungarske ejendomme og behandlingen af disse oplysninger havde fundet sted i Ungarn. Denne ret annullerede imidlertid den ungarske tilsynsmyndigheds afgørelse af andre grunde vedrørende en utilstrækkelig afklaring af visse af de faktiske omstændigheder.
12 Weltimmo iværksatte appel ved den forelæggende ret og gjorde gældende, at en yderligere afklaring af de faktiske omstændigheder ikke var nødvendig, idet den ungarske tilsynsmyndighed i det foreliggende tilfælde i henhold til artikel 4, stk. 1, litra a), i direktiv 95/46 ikke var kompetent og ikke kunne anvende ungarsk ret på en tjenesteyder, der var etableret i en anden medlemsstat. Weltimmo gjorde gældende, at denne myndighed i henhold til artikel 28, stk. 6, i direktiv 95/46 burde have anmodet den kompetente slovakiske myndighed på området om at overtage sagen.
13 Den ungarske tilsynsmyndighed gjorde gældende, at Weltimmo i Ungarn har en repræsentant med ungarsk statsborgerskab, nemlig en af selskabets ejere, som repræsenterer selskabet i forbindelse med de administrative og retslige sager i denne medlemsstat. Tilsynsmyndigheden tilføjede, at Weltimmos internetservere sandsynligvis er installeret i Tyskland eller Østrig, men at ejerne af selskabet har bopæl i Ungarn. Endelig anførte tilsynsmyndigheden, at den i henhold til artikel 28, stk. 6, i direktiv 95/46 under alle omstændigheder havde kompetence til at handle, uafhængigt af, hvilken ret der skulle finde anvendelse.
14 Da den ungarske højesteret er i tvivl om fastlæggelsen af, hvilken ret der finder anvendelse, og hvilke beføjelser den ungarske tilsynsmyndighed har i henhold til artikel 4, stk. 1, og artikel 28 i direktiv 95/46, har den besluttet at udsætte sagen og forelægge følgende præjudicielle spørgsmål for Domstolen:
»1) Skal artikel 28, stk. 1, i direktiv 95/46 fortolkes således, at en medlemsstats nationale bestemmelser inden for medlemsstatens område kan finde anvendelse på en [register]ansvarlig, som udelukkende er etableret i en anden medlemsstat, og som driver en webside med formidling af fast ejendom, hvor der bl.a. annonceres for ejendomme beliggende på den førstnævnte medlemsstats område, når indehaverne af ejendommene har videregivet deres personlige oplysninger til et medie (server), hvor oplysningerne opbevares og bearbejdes, og som tilhører websidens administrator og er placeret i en anden medlemsstat?
2) Skal artikel 4, stk. 1, litra a), i [direktiv 95/46], sammenholdt med direktivets 18.-20. betragtning samt artikel 1, stk. 2, og artikel 28, stk. 1, fortolkes således, at den ungarske [tilsyns]myndighed ikke kan anvende den ungarske databeskyttelseslov som national ret på en administrator af en webside med formidling af fast ejendom, som udelukkende er etableret i en anden medlemsstat, selv om der på websiden bl.a. annonceres for ungarske ejendomme, hvis indehavere – formentlig fra ungarsk område – har videregivet oplysninger om deres ejendomme til et medie (server), hvor oplysningerne opbevares og bearbejdes, og som tilhører websidens administrator og er placeret i en anden medlemsstat?
3) Har det betydning for fortolkningen, om den tjenesteydelse, der leveres af den [register]ansvarlige person, som administrerer websiden, er rettet mod en anden medlemsstats område?
4) Har det betydning for fortolkningen, om oplysningerne vedrørende de ejendomme, der befinder sig på den anden medlemsstats område, samt indehavernes personlige oplysninger faktisk er indsamlet på denne anden medlemsstats område?
5) Har det betydning for fortolkningen, om de personlige oplysninger i forbindelse med de pågældende ejendomme er personlige oplysninger om en anden medlemsstats borgere?
6) Har det betydning for fortolkningen, om indehaverne af den i Slovakiet etablerede virksomhed har bopæl i Ungarn?
7) Såfremt det ud fra besvarelsen af ovenstående spørgsmål viser sig, at den ungarske [tilsyns]myndighed kan behandle en sag, men ikke kan anvende national ret, idet den derimod skal anvende etableringsmedlemsstatens ret, skal artikel 28, stk. 6, i [direktiv 95/46] da fortolkes således, at den ungarske [tilsyns]myndighed alene kan udøve de beføjelser, der er fastsat i dette direktivs artikel 28, stk. 3, i overensstemmelse med bestemmelserne i etableringsmedlemsstatens lovgivning, og at den derfor ikke har beføjelse til at pålægge en bøde?
8) Skal begrebet »adatfeldolgozás« [(bearbejdning af data)], der anvendes i såvel artikel 4, stk. 1, litra a), som artikel 28, stk. 6, i [den ungarske version af] direktiv 95/46, anses for at være identisk med begrebet »adatkezelés« [(behandling af oplysninger)] i direktivets terminologi?«
Om de præjudicielle spørgsmål
Indledende bemærkninger
15 For så vidt angår først den faktiske ramme for tvisten i hovedsagen skal nævnes visse supplerende oplysninger, der er blevet fremlagt af den ungarske tilsynsmyndighed i dennes skriftlige indlæg og under retsmødet for Domstolen.
16 Det fremgår af disse oplysninger for det første, at denne myndighed på uformel vis fra den tilsvarende slovakiske myndighed har erfaret, at Weltimmo ikke udøver nogen aktivitet på sit hjemsted i Slovakiet. Desuden har Weltimmo flere gange flyttet dette hjemsted fra en medlemsstat til en anden. For det andet har Weltimmo udviklet to websider med ejendomsannoncer, der udelukkende er udarbejdet på ungarsk. Selskabet har åbnet en bankkonto i Ungarn med henblik på opkrævningen af sine krav og har haft rådighed over en postboks i denne medlemsstat til de løbende forretninger. Posten er blevet afhentet jævnligt og sendt elektronisk til Weltimmo. For det tredje skal annoncørerne selv ikke alene indføre oplysningerne vedrørende deres ejendomme på Weltimmos webside, men også slette disse oplysninger fra websiden, såfremt de ikke ønsker, at oplysningerne fortsat figurerer på websiden efter udløbet af den ovenfor nævnte måned. Weltimmo har anført et problem med it-forvaltningen for at forklare, hvorfor denne sletning ikke havde kunnet udføres. For det fjerde er Weltimmo et selskab, der er sammensat af kun en eller to personer. Dets repræsentant i Ungarn har forsøgt at forhandle med annoncørerne om en ordning for de ubetalte krav.
17 For så vidt dernæst angår ordlyden af de forelagte spørgsmål, og selv om den forelæggende ret anvender udtrykket »udelukkende etableret« i det første og det andet spørgsmål, fremgår det af forelæggelsesafgørelsen og de skriftlige og mundtlige indlæg, der er afgivet af den ungarske tilsynsmyndighed, at selv om Weltimmo er registreret i Slovakiet og dermed er etableret i denne medlemsstat i selskabsretlig forstand, er der dog tvivl om, hvorvidt selskabet er »etableret« kun i denne medlemsstat som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46. Når den forelæggende ret anmoder Domstolen om en fortolkning af denne bestemmelse, ønsker den faktisk oplyst, hvad begrebet »etablering« i denne bestemmelse omfatter.
18 Endelig bemærkes det, at den forelæggende ret i det første og det andet spørgsmål regner med, at den af Weltimmo anvendte server er installeret i Slovakiet, mens retten et andet sted i forelæggelsesafgørelsen nævner muligheden for, at dette selskabs servere befinder sig i Tyskland eller Østrig. På den baggrund synes det hensigtsmæssigt at antage, at spørgsmålet om, i hvilken medlemsstat den eller de servere, der anvendes af det nævnte selskab, er installeret, ikke er afklaret.
Det første til det sjette spørgsmål
19 Med det første til det sjette spørgsmål, der skal besvares samlet, ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 4, stk. 1, litra a), og artikel 28, stk. 1, i direktiv 95/46 skal fortolkes således, at disse bestemmelser under omstændigheder som de i hovedsagen omhandlede tillader en medlemsstats tilsynsmyndighed at anvende den nationale lovgivning om databeskyttelse på en registeransvarlig, hvis selskab er registreret i en anden medlemsstat, og som driver en internetside med ejendomsannoncer vedrørende ejendomme på den første af de to medlemsstaters område. Den forelæggende ret ønsker navnlig oplyst, om det er relevant, at denne medlemsstat er den:
– mod hvilken den registeransvarliges aktivitet er rettet
– hvor de berørte ejendomme er placeret
– hvorfra oplysningerne om ejerne af disse ejendomme udleveres
– hvor disse ejere er statsborgere, og
– hvor ejerne af dette selskab har bopæl.
20 For så vidt angår gældende ret har den forelæggende ret nærmere bestemt nævnt slovakisk ret og ungarsk ret, idet den første af disse er retten i den medlemsstat, hvor den, der er ansvarlig for behandlingen af de berørte personoplysninger, er registreret, og den anden er retten i den medlemsstat, som de internetsider, der er omhandlet i hovedsagen, sigter mod, og på hvis område de ejendomme, der er genstand for de offentliggjorte annoncer, befinder sig.
21 I den henseende må det konstateres, at artikel 4 i direktiv 95/46 med overskriften »Gældende national ret«, der indgår i dette direktivs kapitel 1, der har overskriften »Almindelige bestemmelser«, netop regulerer det forelagte spørgsmål.
22 Artikel 28 i direktiv 95/46 med overskriften »Tilsynsmyndighed« finder derimod anvendelse på denne myndigheds rolle og beføjelser. I henhold til artikel 28, stk. 1, har denne myndighed til opgave på dens område at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv. I overensstemmelse med det nævnte direktivs artikel 28, stk. 6, udøver tilsynsmyndigheden de beføjelser, den er blevet tillagt, uanset hvilken national lov der måtte gælde for behandlingen af personoplysningerne.
23 Det er derfor ikke i henhold til artikel 28 i direktiv 95/46, men i henhold til dettes artikel 4, at det skal afgøres, hvilken national ret der finder anvendelse på den pågældende registeransvarlige.
24 I henhold til artikel 4, stk. 1, litra a), i direktiv 95/46 anvender medlemsstaterne de nationale bestemmelser, de vedtager til gennemførelse af dette direktiv, på behandling af personoplysninger, der foretages som led i en virksomheds eller et organs aktiviteter inden for den medlemsstats område, hvor den registeransvarlige er etableret.
25 Henset til, at formålet med direktiv 95/46 er at sikre en effektiv og fuldstændig beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger, kan udtrykket »som led i en virksomheds eller et organs aktiviteter« ikke fortolkes indskrænkende (jf. i denne retning dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 53).
26 Med henblik på at opnå dette formål og for at forhindre, at en person unddrages den beskyttelse, der sikres ved dette direktiv, anføres det i 18. betragtning til det nævnte direktiv, at enhver behandling af personoplysninger inden for Den Europæiske Union skal være i overensstemmelse med lovgivningen i en af medlemsstaterne, og at enhver behandling af oplysninger med henblik herpå bør være underkastet lovgivningen i den medlemsstat, hvor den registeransvarlige, under hvis myndighed behandlingen udføres, er etableret.
27 Unionens lovgiver har således fastsat et særligt bredt territorialt anvendelsesområde for direktiv 95/46, hvilket er indskrevet i dettes artikel 4 (jf. i denne retning dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 54).
28 For så vidt angår for det første begrebet »etablering« bemærkes, at det af 19. betragtning til direktiv 95/46 fremgår, at ved etablering på en medlemsstats område forstås faktisk udøvelse af aktiviteter gennem en mere permanent struktur, og at den pågældende strukturs retlige form, hvad enten det blot er en filial eller et datterselskab med status som juridisk person, ikke har afgørende betydning i denne forbindelse (dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 48). Denne betragtning præciserer endvidere, at når en sådan registeransvarlig er etableret på flere medlemsstaters område, skal denne, navnlig for at undgå omgåelse, sikre sig, at hver enkelt struktur opfylder kravene i den gældende nationale lovgivning.
29 Deraf følger, således som generaladvokaten i det væsentlige har anført i punkt 28 og 32-34 i forslaget til afgørelse, en fleksibel forståelse af begrebet etablering, hvor der lægges afstand til enhver formalistisk tilgang, hvorefter en virksomhed alene vil kunne anses for at være etableret på det sted, hvor den er registreret. Med henblik på at fastslå, om et registeransvarligt selskab er etableret i en anden medlemsstat i den forstand, hvori begrebet anvendes i direktiv 95/46, end den medlemsstat eller det tredjeland, hvor det er registreret, bør der foretages en vurdering af, i hvor høj grad strukturen er permanent, og i hvilken grad der faktisk udøves aktiviteter i denne anden medlemsstat, idet der i den forbindelse skal tages hensyn til den specifikke karakter af de pågældende økonomiske aktiviteter og de pågældende tjenesteydelser. Dette gør sig navnlig gældende for virksomheder, der udelukkende udbyder tjenesteydelser på internettet.
30 I den henseende må det bl.a. – i lyset af det formål, der forfølges ved dette direktiv, om at sikre en effektiv og fuldstændig beskyttelse af retten til privatlivets fred og undgå omgåelse – antages, at tilstedeværelsen af en enkelt repræsentant under visse omstændigheder kan være tilstrækkeligt til at udgøre en permanent struktur, såfremt denne repræsentant optræder med en tilstrækkelig grad af stabilitet og under tilstedeværelse af de midler, der er nødvendige for at kunne levere de pågældende konkrete tjenesteydelser i den pågældende medlemsstat.
31 Det må desuden med henblik på at realisere det nævnte formål antages, at begrebet »etablering« som omhandlet i direktiv 95/46 omfatter enhver, selv minimal, reel og faktisk aktivitet, der udøves via en permanent struktur.
32 I det foreliggende tilfælde består den aktivitet, der udøves af Weltimmo i det mindste i drift af en eller flere internetsider med ejendomsannoncer vedrørende ejendomme i Ungarn, som er udarbejdet på ungarsk, og hvis annoncer skal betales fra udløbet af den første måned. Det må derfor fastslås, at dette selskab udøver en reel og faktisk aktivitet i Ungarn.
33 Endvidere fremgår det bl.a. af de præciseringer, som den ungarske tilsynsmyndighed har fremført, at Weltimmo råder over en repræsentant i Ungarn, der er nævnt i registret over slovakiske selskaber med adresse i Ungarn, og som har forsøgt at forhandle med annoncørerne om en ordning for de ubetalte krav. Denne repræsentant har været et kontaktled mellem dette selskab og klagerne og har repræsenteret selskabet under de administrative og retslige procedurer. Desuden har dette selskab åbnet en bankkonto i Ungarn med henblik på inddrivelsen af disse krav og anvender en postboks på denne medlemsstats område med henblik på administration af de løbende forretninger. På grundlag af disse oplysninger, som det tilkommer den forelæggende ret at undersøge, kan det i en situation som den, der er omhandlet i hovedsagen, fastslås, et der foreligger en »etablering« som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46.
34 Det skal for det andet afklares, om behandlingen af de pågældende personoplysninger er sket »som led i [denne virksomheds] aktiviteter«.
35 Domstolen har allerede fastslået, at artikel 4, stk. 1, litra a), i direktiv 95/46 ikke kræver, at den pågældende behandling af personoplysninger foretages »af« selve den berørte virksomhed, men udelukkende, at behandlingen foretages »som led i [virksomhedens] aktiviteter« (dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 52).
36 I det foreliggende tilfælde består den i hovedsagen omhandlede behandling navnlig i offentliggørelse på Weltimmos internetsider med ejendomsannoncer af personoplysninger vedrørende ejerne af disse ejendomme og i givet fald i anvendelsen af disse oplysninger til fakturering af annoncerne efter udløbet af den første måned.
37 Det bemærkes i den henseende, at navnlig hvad angår internettet har Domstolen allerede haft lejlighed til at fastslå, at en operation, der består i at lægge personoplysninger ud på en internetside, skal anses for en »behandling« som omhandlet i artikel 2, litra b), i direktiv 95/46 (domme Lindqvist, C-101/01, EU:C:2003:596, præmis 25, og Google Spain og Google, C-131/12, EU:C:2014:317, præmis 26).
38 Der er ingen tvivl om, at en sådan behandling har fundet sted i forbindelse med de i denne doms præmis 32 beskrevne aktiviteter, som Weltimmo har udøvet i Ungarn.
39 Med forbehold for de undersøgelser, der er nævnt i denne doms præmis 33, og som det tilkommer den forelæggende ret at foretage med henblik på i givet fald at fastslå, at den registeransvarlige er etableret i Ungarn, skal det derfor antages, at denne behandling blev foretaget som led i denne virksomheds aktiviteter, og at artikel 4, stk. 1, litra a), i direktiv 95/46 i en situation som den, der er omhandlet i hovedsagen, gør det muligt at anvende ungarsk ret vedrørende beskyttelse af personoplysninger.
40 Den omstændighed, at ejerne af de ejendomme, der er genstand for ejendomsannoncerne, har ungarsk statsborgerskab, har derimod ingen relevans med henblik på at afgøre, hvilken national ret der finder anvendelse på behandlingen af de i hovedsagen omhandlede oplysninger.
41 Under hensyn til de ovenstående bemærkninger skal det første til det sjette spørgsmål besvares som følger:
– Artikel 4, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at den gør det muligt at anvende en anden medlemsstats lovgivning om beskyttelse af personoplysninger end den medlemsstats, hvor den registeransvarlige er registreret, for så vidt som denne via en permanent struktur på denne medlemsstats område udøver en, selv minimal, faktisk og reel aktivitet, som led i hvilken denne behandling foretages.
– Med henblik på under omstændigheder som dem, der foreligger i hovedsagen, at afgøre, om dette er tilfældet, kan den forelæggende ret bl.a. tage hensyn til den omstændighed dels, at den registeransvarliges aktivitet, som led i hvilken behandlingen finder sted, består i administration af internetsider med ejendomsannoncer, der vedrører ejendomme på denne medlemsstats område, og som er udformet på denne medlemsstats sprog, hvorfor internetsiden hovedsagelig eller fuldt ud er rettet mod denne medlemsstat, dels, at den registeransvarlige råder over en repræsentant i den nævnte medlemsstat, som skal inddrive de krav, der er opstået som følge af denne aktivitet, og repræsentere den registeransvarlige i forbindelse med de administrative og retslige procedurer vedrørende behandlingen af de berørte oplysninger.
– Derimod har det ingen relevans, hvilket statsborgerskab de personer har, der er berørt af denne behandling af personoplysninger.
Det syvende spørgsmål
42 Det syvende spørgsmål forelægges alene for det tilfælde, at den ungarske tilsynsmyndighed skulle være af den opfattelse, at Weltimmo er etableret ikke i Ungarn, men i en anden medlemsstat, i den forstand, hvori udtrykket anvendes i artikel 4, stk. 1, litra a), i direktiv 95/46, og udøver aktiviteter, som led i hvilke der foretages en behandling af de berørte personoplysninger.
43 Med dette spørgsmål spørger den forelæggende ret nærmere bestemt, om artikel 28, stk. 1, 3 og 6, i direktiv 95/46 i et tilfælde, hvor den ungarske tilsynsmyndighed når frem til en konklusion om, at den ret, der finder anvendelse på behandlingen af personoplysninger, ikke er ungarsk ret, men en anden medlemsstats ret, skal fortolkes således, at denne tilsynsmyndighed alene kan udøve de beføjelser, der er fastsat i direktivets artikel 28, stk. 3, i overensstemmelse med denne anden medlemsstats ret, og ikke kan pålægge sanktioner.
44 Hvad angår for det første en tilsynsmyndigheds kompetence til at handle i et sådant tilfælde bemærkes, at enhver person i henhold til artikel 28, stk. 4, i direktiv 95/46 kan indgive en anmodning om beskyttelse af sine rettigheder og frihedsrettigheder til tilsynsmyndigheden i forbindelse med behandling af personoplysninger.
45 Følgelig kan den ungarske tilsynsmyndighed i en situation som den, der er omhandlet i hovedsagen, blive anmodet om beskyttelse af personer som de i hovedsagen omhandlede annoncører af ejendomme, som finder, at de er offer for en ulovlig behandling af deres personlige oplysninger i den medlemsstat, hvor disse ejendomme befinder sig.
46 For det andet skal det undersøges, hvilke beføjelser denne tilsynsmyndighed har i lyset af artikel 28, stk. 1, 3 og 6, i direktiv 95/46.
47 Det følger af dette direktivs artikel 28, stk. 1, at hver af medlemsstaternes tilsynsmyndigheder overvåger overholdelsen på den pågældende medlemsstats område af de bestemmelser, som medlemsstaten har vedtaget i henhold til direktiv 95/46.
48 I henhold til artikel 28, stk. 3, i direktiv 95/46 har disse tilsynsmyndigheder bl.a. beføjelse til at iværksætte undersøgelser, herunder beføjelse til at indsamle alle oplysninger, der er nødvendige for at varetage deres tilsynsopgaver, og gribe effektivt ind ved at beordre oplysninger blokeret, slettet eller tilintetgjort, midlertidigt eller definitivt at forbyde en behandling, udstede en advarsel til den registeransvarlige eller påtale en overtrædelse over for denne.
49 Henset til, at de opregnede beføjelser ikke er udtømmende, til den type af beføjelser til at gribe ind, der er nævnt i denne bestemmelse, og til medlemsstaternes skønsmargen med henblik på gennemførelsen af direktiv 95/46 må det antages, at disse beføjelser til at gribe ind kan omfatte beføjelsen til at sanktionere den registeransvarlige ved i givet fald at pålægge denne en bøde.
50 De beføjelser, der tillægges tilsynsmyndighederne, skal udføres i overensstemmelse med de processuelle regler i den medlemsstat, som beføjelserne vedrører.
51 Det fremgår af artikel 28, stk. 1 og 3, i direktiv 95/46, at hver tilsynsmyndighed udøver alle de beføjelser, som den er blevet tillagt på den medlemsstats område, som den henhører under, med henblik på at sikre overholdelsen på dette område af reglerne vedrørende beskyttelse af personoplysninger.
52 Denne territoriale anvendelse af hver tilsynsmyndigheds beføjelser bekræftes af direktivets artikel 28, stk. 6, der fastsætter, at den enkelte tilsynsmyndighed er kompetent til på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med direktivets artikel 28, stk. 3, og det er, uanset hvilken national lov der måtte gælde. Denne artikel 28, stk. 6, præciserer endvidere, at enhver myndighed kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat, og at tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle alle nyttige oplysninger.
53 Denne bestemmelse er nødvendig for at sikre den frie bevægelighed for personoplysninger i Unionen samtidig med, at det overvåges, at reglerne om beskyttelse af fysiske personers privatliv overholdes som fastsat i direktiv 95/46. Såfremt den nævnte bestemmelse nemlig ikke eksisterede i et tilfælde, hvor den registeransvarlige er underlagt loven i én medlemsstat, men overtræder retten til beskyttelse af fysiske personers privatliv i en anden medlemsstat, herunder ved at rette sin aktivitet mod denne anden medlemsstat uden dog at være etableret dér som omhandlet i direktivet, ville det være vanskeligt eller endog umuligt for disse personer at håndhæve deres ret til denne beskyttelse.
54 Det fremgår således af artikel 28, stk. 6, i direktiv 95/46, at en medlemsstats tilsynsmyndighed, som har modtaget en klage fra fysiske personer over behandlingen af personoplysninger om dem, på grundlag af direktivets artikel 28, stk. 4, kan undersøge denne klage uafhængigt af, hvilken ret der finder anvendelse, og følgelig selv om den ret, der finder anvendelse på behandlingen af de pågældende oplysninger, er en anden medlemsstats.
55 I et sådant tilfælde omfatter denne myndigheds beføjelser imidlertid ikke nødvendigvis alle dem, den er blevet tillagt i henhold til retten i den medlemsstat, som den henhører under.
56 Som generaladvokaten har bemærket i punkt 50 i forslaget til afgørelse, følger det nemlig af de krav, der udspringer af den berørte medlemsstats territoriale suverænitet, af legalitetsprincippet og af begrebet retsstat, at sanktionsbeføjelsen i princippet ikke kan udøves uden for de lovmæssige rammer, inden for hvilke en administrativ myndighed er bemyndiget til at handle i overensstemmelse med retten i den medlemsstat, den henhører under.
57 Når en tilsynsmyndighed har modtaget en klage i overensstemmelse med artikel 28, stk. 4, i direktiv 95/46, kan denne myndighed således udøve sin beføjelse til at iværksætte undersøgelser uafhængigt af, hvilken ret der finder anvendelse, og inden det er afklaret, hvilken national ret der finder anvendelse på den omhandlede behandling. Såfremt tilsynsmyndigheden når til den konklusion, at en anden medlemsstats ret finder anvendelse, kan den imidlertid ikke pålægge sanktioner uden for området for den medlemsstat, som den henhører under. I en sådan situation tilkommer det tilsynsmyndigheden, idet den udøver den forpligtelse til samarbejde, der er fastsat i direktivets artikel 28, stk. 6, at anmode tilsynsmyndigheden i den anden medlemsstat om at fastslå en eventuel overtrædelse af denne ret og pålægge sanktioner, hvis der deri er hjemmel til det, i givet fald med støtte i de oplysninger, som den førstnævnte tilsynsmyndighed har overført til tilsynsmyndigheden i den anden medlemsstat.
58 En tilsynsmyndighed, der har modtaget en sådan klage, kan i forbindelse med et sådant samarbejde foretage andre undersøgelser efter instruktion fra tilsynsmyndigheden i den anden medlemsstat.
59 Det følger heraf, at i en situation som den i hovedsagen omhandlede i et tilfælde, hvor den ret, der finder anvendelse, er en anden medlemsstats ret end Ungarns, kan den ungarske tilsynsmyndighed alene udøve de sanktionsbeføjelser, som ungarsk ret har tildelt den.
60 Det følger af de ovenstående bemærkninger, at det syvende spørgsmål skal besvares med, at i et tilfælde, hvor en medlemsstats tilsynsmyndighed, hvortil der er indbragt klager i henhold til artikel 28, stk. 4, i direktiv 95/46, konkluderer, at den ret, der finder anvendelse på behandlingen af de berørte personoplysninger, ikke er denne medlemsstats ret, men en anden medlemsstats ret, skal dette direktivs artikel 28, stk. 1, 3 og 6, fortolkes således, at denne tilsynsmyndighed alene kan udøve de beføjelser til at gribe effektivt ind, som er tillagt den i overensstemmelse med direktivets artikel 28, stk. 3, på den medlemsstats område, hvorunder den hører. Tilsynsmyndigheden kan derfor ikke på grundlag af denne medlemsstats ret pålægge en registeransvarlig, der behandler disse oplysninger, sanktioner, når denne ikke er etableret på medlemsstatens område, men skal i henhold til samme direktivs artikel 28, stk. 6, anmode tilsynsmyndigheden i den medlemsstat, hvis ret finder anvendelse, om at gribe ind.
Det ottende spørgsmål
61 Med det ottende spørgsmål anmoder den forelæggende ret Domstolen om at oplyse rækkevidden af begrebet »adatfeldolgozás« (bearbejdning af data), der anvendes især i artikel 4, stk. 1, litra a), i direktiv 95/46 om fastsættelsen af, hvilken ret der finder anvendelse, og i dette direktivs artikel 28, stk. 6, om tilsynsmyndighedens kompetence.
62 Det fremgår af direktiv 95/46 i den ungarske sprogversion, at dette systematisk anvender udtrykket »adatfeldolgozás«.
63 Den forelæggende ret har oplyst, at informationsloven navnlig i dennes bestemmelser vedrørende gennemførelsen af bestemmelserne i direktiv 95/46 om tilsynsmyndighedernes kompetence anvender udtrykket »adatkezelés« (behandling af oplysninger). Som det imidlertid fremgår af denne lovs § 3, stk. 10, har dette udtryk en bredere betydning end udtrykket »adatfeldolgozás« og omfatter dette sidstnævnte udtryk, der er defineret i den nævnte lovs § 3, stk. 17.
64 Selv om begrebet »adatfeldolgozás« efter den sædvanlige forståelse, og således som det fremgår af informationsloven, har en smallere betydning end begrebet »adatkezelés«, skal det dog bemærkes, at den ungarske version af direktiv 95/46 definerer udtrykket »adatfeldolgozás« i dettes artikel 2, litra b), bredt, svarende til udtrykket »adatkezelés«.
65 Det følger heraf, at det ottende spørgsmål skal besvares med, at direktiv 95/46 skal fortolkes således, at begrebet »adatfeldolgozás« (bearbejdning af data), der er anvendt i den ungarske version af dette direktiv, nærmere bestemt i dettes artikel 4, stk. 1, litra a), og artikel 28, stk. 6, skal forstås på samme måde som udtrykket »adatkezelés« (behandling af oplysninger).
Sagens omkostninger
66 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret:
1) Artikel 4, stk. 1, litra a), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at den gør det muligt at anvende en anden medlemsstats lovgivning om beskyttelse af personoplysninger end den medlemsstats, hvor den registeransvarlige er registreret, for så vidt som denne via en permanent struktur på denne medlemsstats område udøver en, selv minimal, faktisk og reel aktivitet, som led i hvilken denne behandling foretages.
Med henblik på under omstændigheder som dem, der foreligger i hovedsagen, at afgøre, om dette er tilfældet, kan den forelæggende ret bl.a. tage hensyn til den omstændighed dels, at den registeransvarliges aktivitet, som led i hvilken behandlingen finder sted, består i administration af internetsider med ejendomsannoncer, der vedrører ejendomme på denne medlemsstats område, og som er udformet på denne medlemsstats sprog, hvorfor internetsiden hovedsagelig eller fuldt ud er rettet mod denne medlemsstat, dels, at den registeransvarlige råder over en repræsentant i den nævnte medlemsstat, som skal inddrive de krav, der er opstået som følge af denne aktivitet, og repræsentere den registeransvarlige i forbindelse med de administrative og retslige procedurer vedrørende behandlingen af de berørte oplysninger.
Derimod har det ingen relevans, hvilket statsborgerskab de personer har, der er berørt af denne behandling af personoplysninger.
2) I et tilfælde, hvor en medlemsstats tilsynsmyndighed, hvortil der er indbragt klager i henhold til artikel 28, stk. 4, i direktiv 95/46, konkluderer, at den ret, der finder anvendelse på behandlingen af de berørte personoplysninger, ikke er denne medlemsstats ret, men en anden medlemsstats ret, skal dette direktivs artikel 28, stk. 1, 3 og 6, fortolkes således, at denne tilsynsmyndighed alene kan udøve de beføjelser til at gribe effektivt ind, som er tillagt den i overensstemmelse med direktivets artikel 28, stk. 3, på den medlemsstats område, hvorunder den hører. Tilsynsmyndigheden kan derfor ikke på grundlag af denne medlemsstats ret pålægge en registeransvarlig, der behandler disse oplysninger, sanktioner, når denne ikke er etableret på medlemsstatens område, men skal i henhold til samme direktivs artikel 28, stk. 6, anmode tilsynsmyndigheden i den medlemsstat, hvis ret finder anvendelse, om at gribe ind.
3) Direktiv 95/46 skal fortolkes således, at begrebet »adatfeldolgozás« (bearbejdning af data), der er anvendt i den ungarske version af dette direktiv, nærmere bestemt i dettes artikel 4, stk. 1, litra a), og artikel 28, stk. 6, skal forstås på samme måde som udtrykket »adatkezelés« (behandling af oplysninger).
Underskrifter