Zaak C‑230/14

Weltimmo s.r.o.

tegen

Nemzeti Adatvédelmi és Információszabadság Hatóság

(verzoek om een prejudiciële beslissing, ingediend door de Kúria)

„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 95/46/EG – Artikelen 4, lid 1, en 28, leden 1, 3 en 6 – Verantwoordelijke voor de verwerking die formeel in een lidstaat is gevestigd – Schending van het recht op bescherming van de persoonsgegevens van natuurlijke personen in een andere lidstaat – Vaststelling van het toepasselijke recht en van de bevoegde toezichthoudende autoriteit – Uitoefening van de bevoegdheden van de toezichthoudende autoriteit – Sanctiebevoegdheid”

Samenvatting – Arrest van het Hof (Derde kamer) van 1 oktober 2015

1.        Harmonisatie van de wetgevingen – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 95/46 – Vestiging van een voor de gegevensverwerking verantwoordelijke vennootschap – Begrip – Flexibele uitlegging

(Richtlijn 95/46 van het Europees Parlement en de Raad, negentiende overweging)

2.        Harmonisatie van de wetgevingen – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 95/46 – Vennootschap die verantwoordelijk is voor de gegevensverwerking in een andere lidstaat dan die waar zij is geregistreerd – Toepassing van de wetgeving van die andere lidstaat – Voorwaarde – Uitoefening van een daadwerkelijke en reële activiteit via een duurzame vestiging – Beoordelingscriteria

[Richtlijn 95/46 van het Europees Parlement en de Raad, art. 4, lid 1, a)]

3.        Harmonisatie van de wetgevingen – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 95/46 – Klacht ingediend bij de toezichthoudende autoriteit van een lidstaat – Toezichthoudende autoriteit die tot de slotsom komt dat de wetgeving van een andere lidstaat op de gegevensverwerking van toepassing is – Bevoegdheid van die autoriteit om in te grijpen – Grenzen

(Richtlijn 95/46 van het Europees Parlement en de Raad, art. 28, leden 1, 3, 4 en 6)

4.        Harmonisatie van de wetgevingen – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 95/46 – Begrip „adatfeldolgozá”(technische bewerking van gegevens) in de Hongaarse taalversie – Strekking

[Richtlijn 95/46 van het Europees Parlement en de Raad, art. 4, lid 1, a), en 28, lid 6]

1.        Uit de negentiende overweging van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens volgt een flexibele uitlegging van het begrip vestiging die elke formalistische zienswijze volgens welke een onderneming uitsluitend gevestigd zou zijn op de plaats waar zij is geregistreerd, verwerpt. Om vast te stellen of een vennootschap die verantwoordelijk is voor een gegevensverwerking, over een vestiging in de zin van richtlijn 95/46 beschikt in een andere lidstaat dan de lidstaat of het derde land waar zij is geregistreerd, dient aldus zowel de mate van duurzaamheid van de vestiging als het daadwerkelijke uitoefenen van de activiteiten in die andere staat te worden beoordeeld, waarbij rekening wordt gehouden met de specifieke aard van de bedrijfsuitoefening en van de betrokken dienstverlening. Dit geldt heel in het bijzonder voor ondernemingen die hun diensten uitsluitend via internet aanbieden.

(cf. punt 29)

2.        Artikel 4, lid 1, onder a), van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens moet aldus worden uitgelegd dat het op grond van dat artikel mogelijk is de wetgeving inzake de bescherming van persoonsgegevens van een andere lidstaat dan die waar de voor de verwerking van die gegevens verantwoordelijke is geregistreerd, toe te passen, voor zover die verantwoordelijke via een duurzame vestiging op het grondgebied van die lidstaat een, zelfs geringe, reële en daadwerkelijke activiteit uitoefent, in het kader waarvan die verwerking plaatsvindt.

Om vast te stellen of daarvan sprake is, kan de verwijzende rechterlijke instantie met name rekening houden met het feit dat de activiteit van de verantwoordelijke voor de verwerking, in het kader waarvan deze verwerking plaatsvindt, bestaat in de exploitatie van vastgoedsites voor onroerend goed dat is gelegen op het grondgebied van die lidstaat, die in de taal van die lidstaat zijn gesteld, en dat deze activiteit dientengevolge hoofdzakelijk, zo niet volledig, op die lidstaat is gericht, en voorts met het feit dat deze verantwoordelijke in die lidstaat over een vertegenwoordiger beschikt die is belast met het innen van de uit die activiteit resulterende schuldvorderingen en met de vertegenwoordiging van die verantwoordelijke in bestuurlijke en juridische procedures met betrekking tot de verwerking van de betrokken gegevens.

De nationaliteit van degenen wier gegevens aldus worden verwerkt, is daarentegen irrelevant.

(cf. punt 41, dictum 1)

3.        In het geval dat de toezichthoudende autoriteit van een lidstaat waarbij klachten zijn ingediend overeenkomstig artikel 28, lid 4, van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, tot de conclusie komt dat het recht dat van toepassing is op de verwerking van de betrokken persoonsgegevens, niet het nationale recht van die lidstaat is, maar dat van een andere lidstaat, moet artikel 28, leden 1, 3 en 6, van die richtlijn aldus worden uitgelegd dat die toezichthoudende autoriteit de werkelijke bevoegdheden om in te grijpen die haar in overeenkomstig artikel 28, lid 3, van die richtlijn zijn toegekend slechts op het grondgebied van de lidstaat waaronder zij valt, kan uitoefenen. Bijgevolg kan zij op grond van het recht van die lidstaat geen sancties opleggen aan een verantwoordelijke voor de verwerking van die gegevens die niet op dat grondgebied is gevestigd, maar dient zij ingevolge artikel 28, lid 6, van die richtlijn aan de toezichthoudende autoriteit van de lidstaat waarvan het recht van toepassing is, te vragen om in te grijpen.

Uit de eisen die voortvloeien uit de territoriale soevereiniteit van de betrokken lidstaat, het legaliteitsbeginsel en het begrip rechtsstaat volgt immers dat de sanctiebevoegdheid in beginsel niet kan worden uitgeoefend buiten de wettelijke grenzen waarbinnen een bestuursautoriteit gemachtigd is om, met eerbiediging van het recht van de lidstaat waaronder zij valt, op te treden.

(cf. punten 56, 60, dictum 2)

4.        Richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens aldus moet worden uitgelegd, dat het begrip „adatfeldolgozás” (technische bewerking van gegevens), dat wordt gebezigd in de Hongaarse taalversie van deze richtlijn, in het bijzonder in de artikelen 4, lid 1, onder a), en 28, lid 6, ervan, in dezelfde zin moet worden opgevat als de term „adatkezelés” (gegevensverwerking).

(cf. punt 65, dictum 3)