ARREST VAN HET HOF (Derde kamer)
1 oktober 2015 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 95/46/EG – Artikelen 4, lid 1, en 28, leden 1, 3 en 6 – Verantwoordelijke voor de verwerking die formeel in een lidstaat is gevestigd – Schending van het recht op bescherming van de persoonsgegevens van natuurlijke personen in een andere lidstaat – Vaststelling van het toepasselijke recht en de bevoegde toezichthoudende autoriteit – Uitoefening van de bevoegdheden van de toezichthoudende autoriteit – Sanctiebevoegdheid”
In zaak C‑230/14,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Kúria (hooggerechtshof van Hongarije) bij beslissing van 22 april 2014, ingekomen bij het Hof op 12 mei 2014, in de procedure
Weltimmo s. r. o.
tegen
Nemzeti Adatvédelmi és Információszabadság Hatóság,
wijst
HET HOF (Derde kamer),
samengesteld als volgt: M. Ilešič, kamerpresident, A. Ó Caoimh, C. Toader, E. Jarašiūnas en C. G. Fernlund (rapporteur), rechters,
advocaat-generaal: P. Cruz Villalón,
griffier: I. Illéssy, administrateur,
gezien de stukken en na de terechtzitting op 12 maart 2015,
gelet op de opmerkingen van:
– de Nemzeti Adatvédelmi és Információszabadság Hatóság, vertegenwoordigd door A. Péterfalvi als gemachtigde, bijgestaan door G. Dudás, ügyvéd,
– de Hongaarse regering, vertegenwoordigd door M. Z. Fehér, G. Koós en A. Pálfy als gemachtigden,
– de Poolse regering, vertegenwoordigd door B. Majczyna, M. Kamejsza en M. Pawlicka als gemachtigden,
– de Slowaakse regering, vertegenwoordigd door B. Ricziová als gemachtigde,
– de regering van het Verenigd Koninkrijk, vertegenwoordigd door M. Holt als gemachtigde, bijgestaan door J. Holmes, barrister,
– de Europese Commissie, vertegenwoordigd door A. Tokár, B. Martenczuk en J. Vondung als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 25 juni 2015,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van de artikelen 4, lid 1, onder a), en 28, leden 1, 3 en 6, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31).
2 Dit verzoek is ingediend in het kader van een geding tussen Weltimmo s. r. o. (hierna: „Weltimmo”), een in Slowakije gevestigde vennootschap, en de Nemzeti Adatvédelmi és Információszabadság Hatóság (nationale autoriteit belast met de gegevensbescherming en de vrijheid van informatie; hierna: „Hongaarse toezichthoudende autoriteit”) over een door laatstgenoemde opgelegde geldboete wegens schending van wet nr. CXII van 2011 betreffende het recht op informationele zelfbeschikking en de vrijheid van informatie (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi.CXII törvény; hierna: „informatiewet”), waarbij richtlijn 95/46 in Hongaars recht is omgezet.
Toepasselijke bepalingen
Unierecht
3 De derde, achttiende en negentiende overweging van richtlijn 95/46 luiden als volgt:
„3) Overwegende dat er voor de totstandbrenging en de werking van de interne markt, waarin volgens artikel [26 VWEU] het vrije verkeer van goederen, personen, diensten en kapitaal is gewaarborgd, niet alleen verkeer van persoonsgegevens van de ene lidstaat naar de andere mogelijk moet zijn, maar dat ook de fundamentele rechten van personen moeten worden beschermd;
[...]
18) Overwegende dat om te voorkomen dat een persoon wordt uitgesloten van de bescherming waarop hij krachtens deze richtlijn recht heeft, alle verwerkingen van persoonsgegevens in de Gemeenschap moeten worden uitgevoerd overeenkomstig de wetgeving van een van de lidstaten; dat in dit verband de verwerking die wordt uitgevoerd door een persoon namens een voor de verwerking verantwoordelijke die in een lidstaat is gevestigd, door het recht van die staat dient te worden geregeld;
19) Overwegende dat de vestiging op het grondgebied van een lidstaat het effectief en daadwerkelijk uitoefenen van activiteiten door een vaste vestiging veronderstelt; dat de rechtsvorm van een dergelijke vestiging, of het nu gaat om een bijkantoor of om een dochteronderneming met rechtspersoonlijkheid, hier niet doorslaggevend is; dat, wanneer een en dezelfde voor de verwerking verantwoordelijke gevestigd is op het grondgebied van verscheidene lidstaten, met name door middel van een dochteronderneming, hij dient te waarborgen, in het bijzonder om elke vorm van wetsontduiking te voorkomen, dat elk van de vestigingen voldoet aan de verplichtingen die het nationale recht aan de activiteiten stelt”.
4 Artikel 2 van richtlijn 95/46 luidt:
„In de zin van deze richtlijn wordt verstaan onder:
[...]
b) ‚verwerking van persoonsgegevens’ [‚feldolgozása’], hierna ‚verwerking’ [‚feldolgozás’] te noemen, elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
[...]”
5 Artikel 4, lid 1, onder a), van richtlijn 95/46 bepaalt het volgende:
„1. Elke lidstaat past zijn nationale, ter uitvoering van deze richtlijn vastgestelde bepalingen toe op de verwerking van persoonsgegevens indien:
a) die wordt verricht in het kader van de activiteiten van een vestiging op het grondgebied van de lidstaat van de voor de verwerking verantwoordelijke; wanneer dezelfde verantwoordelijke een vestiging heeft op het grondgebied van verscheidene lidstaten, dient hij de nodige maatregelen te treffen om ervoor te zorgen dat elk van die vestigingen voldoet aan de verplichtingen die worden opgelegd door de toepasselijke nationale wetgeving”.
6 Artikel 28, leden 1, 3, en 6, van richtlijn 95/46 luidt als volgt:
„1. Elke lidstaat bepaalt dat een of meer autoriteiten worden belast met het toezicht op de toepassing op zijn grondgebied van de ter uitvoering van deze richtlijn door de lidstaten vastgestelde bepalingen.
Deze autoriteiten vervullen de hun opgedragen taken in volledige onafhankelijkheid.
[...]
3. Elke toezichthoudende autoriteit beschikt met name over:
– onderzoeksbevoegdheden, zoals het recht van toegang tot gegevens die het voorwerp vormen van een verwerking en het recht alle inlichtingen in te winnen die voor de uitoefening van haar toezichtstaak noodzakelijk zijn;
– effectieve bevoegdheden om in te grijpen, zoals bijvoorbeeld de bevoegdheid om voorafgaand aan de uitvoering van de verwerking advies uit te brengen, overeenkomstig artikel 20, en te zorgen voor een passende bekendmaking van deze adviezen of de bevoegdheid om afscherming, uitwissing of vernietiging van gegevens te gelasten, dan wel een verwerking voorlopig of definitief te verbieden of de bevoegdheid tot de voor de verwerking verantwoordelijke een waarschuwing of berisping te richten of de bevoegdheid de nationale parlementen of andere politieke instellingen in te schakelen;
– de bevoegdheid om in rechte op te treden in geval van inbreuken op ter uitvoering van deze richtlijn vastgestelde nationale bepalingen, of om die inbreuken onder de aandacht van het gerecht te brengen.
Tegen beslissingen van de toezichthoudende autoriteit kan beroep bij de rechter worden aangetekend.
[...]
6. Elke toezichthoudende autoriteit is bevoegd, ongeacht welk nationaal recht op de betrokken verwerking van toepassing is, op het grondgebied van haar eigen lidstaat de haar overeenkomstig lid 3 verleende bevoegdheden uit te oefenen. Elke autoriteit kan door een autoriteit van een andere lidstaat worden verzocht haar bevoegdheden uit te oefenen.
De toezichthoudende autoriteiten werken onderling samen voor zover zulks noodzakelijk is voor de uitvoering van hun taken, met name door de uitwisseling van alle nuttige inlichtingen.”
Hongaars recht
7 § 2, lid 1, van de informatiewet bepaalt het volgende:
„Onder deze wet valt iedere vorm van verwerking en technische bewerking van gegevens die op Hongaars grondgebied plaatsvindt en die betrekking heeft op gegevens van natuurlijke personen, gegevens van openbaar belang of gegevens die openbaar zijn om redenen van algemeen belang.”
8 § 3, leden 10 en 17, van de informatiewet bevat de volgende definities:
„10. ‚verwerking van gegevens’: elke bewerking of elk geheel van bewerkingen met betrekking tot gegevens, ongeacht het daarbij gebruikte procedé, meer bepaald het verzamelen, vastleggen, ordenen, bewaren, wijzigen, gebruiken, opvragen, doorzenden, verspreiden, samenbrengen of met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens, alsook het verhinderen van verder gebruik van de gegevens, het nemen van foto’s, het registreren van klanken of beelden, of het vastleggen van fysieke trekken voor identificatiedoeleinden (bijvoorbeeld vinger‑ of handafdrukken, DNA-stalen of foto’s van de iris);
[...]
17. ‚technische bewerking van gegevens’ [‚adatfeldolgozás’]: het verrichten van technische taken in het kader van de gegevensverwerking, ongeacht het procedé en de middelen die daarvoor worden gebruikt en los van de plaats waar die taken worden verricht, voor zover de technische taken betrekking hebben op de gegevens”.
Hoofdgeding en prejudiciële vragen
9 Weltimmo, een in Slowakije geregistreerde vennootschap, beheert een vastgoedwebsite voor in Hongarije gelegen onroerend goed. In verband hiermee verwerkt zij de persoonsgegevens van de adverteerders. De advertenties worden de eerste maand kosteloos op de site geplaatst; daarna moet ervoor worden betaald. Een groot aantal adverteerders hebben per e-mail verzocht om na die maand hun advertenties te verwijderen en tegelijkertijd de desbetreffende persoonsgegevens te verwijderen. Weltimmo is echter niet overgegaan tot verwijdering en heeft belangstellenden vervolgens haar diensten in rekening gebracht. Toen betaling van de in rekening gebrachte bedragen achterwege bleef, heeft deze vennootschap de persoonsgegevens van de betrokken adverteerders aan incassobureaus verstrekt.
10 Voornoemde adverteerders hebben klachten ingediend bij de Hongaarse toezichthoudende autoriteit. Deze heeft zich bevoegd verklaard op grond van § 2, lid 1, van de informatiewet, omdat zij van mening was dat de betrokken gegevens op Hongaars grondgebied werden verzameld en dat dit een gegevensverwerking of een technische handeling van gegevensverwerking met betrekking tot natuurlijke personen vormde. Van mening dat Weltimmo de informatiewet had overtreden, heeft de toezichthoudende autoriteit voornoemde vennootschap een geldboete van tien miljoen Hongaarse forint (HUF) (ongeveer 32 000 EUR) opgelegd.
11 Weltimmo heeft daarop een vordering ingesteld bij de bestuurs‑ en arbeidsrechtbank van Boedapest (Fővárosi Közigazgatási és Munkaügyi Bíróság), die van oordeel was dat die vennootschap zich niet met succes kon beroepen op het feit dat zij niet over een zetel of een vestiging in Hongarije beschikte, aangezien het verschaffen van gegevens over het betrokken Hongaarse onroerend goed en de verwerking van die gegevens plaatsvond in Hongarije. Toch heeft die rechtbank heeft het besluit van de Hongaarse toezichthoudende autoriteit vernietigd om andere redenen, die verband hielden met de onnauwkeurigheid van bepaalde feiten.
12 Weltimmo is in cassatie gegaan bij de verwijzende rechter, waarbij zij aanvoerde dat er geen enkele noodzaak bestond voor een aanvullende verduidelijking van de feiten, omdat in casu de Hongaarse toezichthoudende autoriteit ingevolge artikel 4, lid 1, onder a), van richtlijn 95/46 niet bevoegd was en het Hongaarse recht niet kon toepassen op een dienstverlener die in een andere lidstaat was gevestigd. Weltimmo betoogde dat die autoriteit overeenkomstig artikel 28, lid 6, van richtlijn 95/46 aan de ter zake bevoegde Slowaakse autoriteit had moeten vragen om in haar plaats op te treden.
13 De Hongaarse toezichthoudende autoriteit heeft aangevoerd dat Weltimmo in Hongarije een vertegenwoordiger had die de Hongaarse nationaliteit bezat, namelijk een van de eigenaren van die vennootschap, die haar in de in die lidstaat gevoerde bestuurlijke en juridische procedures heeft vertegenwoordigd. Die autoriteit voegde hieraan toe dat de internetservers van Weltimmo waarschijnlijk in Duitsland of Oostenrijk stonden, maar dat de eigenaren van die vennootschap in Hongarije woonden. Ten slotte volgt volgens voornoemde autoriteit uit artikel 28, lid 6, van richtlijn 95/46 dat zij in ieder geval bevoegd was om op te treden, ongeacht het recht dat van toepassing was.
14 Omdat het in het licht van de artikelen 4, lid 1, en 28 van richtlijn 95/46 twijfels koestert over de vaststelling van het toepasselijke recht en over de bevoegdheid van de Hongaarse toezichthoudende autoriteit, heeft de Kúria de behandeling van de zaak geschorst en het Hof de volgende prejudiciële vragen gesteld:
„1) Moet artikel 28, lid 1, van richtlijn 95/46 aldus worden uitgelegd dat de nationale regeling van een lidstaat op diens grondgebied van toepassing is op een voor de gegevensverwerking verantwoordelijke die uitsluitend in een andere lidstaat is gevestigd en een vastgoedsite beheert waarop hij ook advertenties plaatst voor in de eerstbedoelde lidstaat gelegen onroerend goed, waarvan de eigenaren de persoonsgegevens die daarop betrekking hebben naar een middel (server) voor opslag en technische bewerking van gegevens sturen dat aan de sitebeheerder toebehoort en in een andere lidstaat staat?
2) Moet artikel 4, lid 1, onder a), van richtlijn 95/46 junctis de achttiende tot en met twintigste overweging en de artikelen 1, lid 2, en 28, lid 1, ervan, aldus worden uitgelegd dat de Hongaarse toezichthoudende autoriteit de Hongaarse wet inzake gegevensbescherming als nationaal recht niet kan toepassen op een uitsluitend in een andere lidstaat gevestigde beheerder van een vastgoedsite, ook al publiceert hij daarop ook advertenties voor in Hongarije gelegen onroerend goed, waarvan de eigenaren de desbetreffende gegevens waarschijnlijk vanaf Hongaars grondgebied naar een middel (server) voor opslag en technische bewerking van gegevens sturen dat aan de sitebeheerder toebehoort en in een andere lidstaat staat?
3) Is het voor uitleggingsdoeleinden relevant dat de dienst die wordt verricht door de voor de gegevensverwerking verantwoordelijke, die de website beheert, is gericht op het grondgebied van een andere lidstaat?
4) Is het voor uitleggingsdoeleinden relevant dat de gegevens betreffende in de andere lidstaat gelegen onroerend goed en de persoonsgegevens van de eigenaren ervan daadwerkelijk zijn ingevoerd vanop het grondgebied van die andere lidstaat?
5) Is het voor uitleggingsdoeleinden relevant dat de met dat onroerend goed verband houdende persoonsgegevens burgers van een andere lidstaat betreffen?
6) Is het voor uitleggingsdoeleinden relevant dat de eigenaren van de in Slowakije gevestigde onderneming in Hongarije wonen?
7) Indien uit het antwoord op de vorige vragen volgt dat de Hongaarse toezichthoudende autoriteit kan optreden, maar daarbij niet het nationale recht, doch het recht van de lidstaat van vestiging moet toepassen, moet artikel 28, lid 6, van richtlijn 95/46 dan aldus worden uitgelegd dat de Hongaarse toezichthoudende autoriteit de haar overeenkomstig artikel 28, lid 3, daarvan verleende bevoegdheden enkel mag uitoefenen in overeenstemming met het recht van de lidstaat van vestiging, en dus geen geldboete kan opleggen?
8) Mag ervan worden uitgegaan dat het begrip ‚adatfeldolgozás’ (technische bewerking van gegevens) dat zowel in artikel 4, lid 1, onder a), als in artikel 28, lid 6, van richtlijn 95/46 wordt gebruikt, in de terminologie van deze richtlijn overeenkomt met het begrip ‚adatkezelés’ (gegevensverwerking)?”
Beantwoording van de prejudiciële vragen
Opmerkingen vooraf
15 Wat allereerst de feiten in het hoofdgeding betreft, dient gewag te worden gemaakt van bepaalde aanvullende informatie die door de Hongaarse toezichthoudende autoriteit in haar schriftelijke opmerkingen en ter terechtzitting voor het Hof is meegedeeld.
16 Uit die informatie blijkt ten eerste dat die autoriteit informeel van haar Slowaakse tegenhanger had vernomen dat Weltimmo geen enkel bedrijf uitoefende in de plaats waar zij haar zetel had, in Slowakije. Daarnaast heeft Weltimmo haar zetel meermaals van de ene staat naar de andere verplaatst. Ten tweede heeft Weltimmo twee vastgoedsites ontwikkeld die uitsluitend in het Hongaars waren opgemaakt. Zij heeft in Hongarije een bankrekening geopend voor het innen van haar openstaande rekeningen en beschikte in die lidstaat over een brievenbus voor haar lopende zaken. De post werd regelmatig opgehaald en elektronisch doorgestuurd naar Weltimmo. Ten derde moesten de adverteerders niet alleen zelf de gegevens over hun onroerend goed op de site van Weltimmo invoeren, maar die gegevens ook van die site verwijderen als zij niet wilden dat die na de eerder vermelde maand er nog te vinden zouden zijn. Weltimmo voerde een ICT-probleem aan als reden voor het feit dat die gegevens niet konden worden verwijderd. Ten vierde is Weltimmo een vennootschap die slechts uit een of twee personen bestaat. Haar vertegenwoordiger in Hongarije heeft getracht met de adverteerders een betalingsregeling af te spreken.
17 Wat vervolgens de bewoordingen van de gestelde vragen betreft, zij opgemerkt dat hoewel de verwijzende rechter het in zijn eerste en tweede vraag over „uitsluitend gevestigd” heeft, uit de verwijzingsbeslissing en de schriftelijke en mondelinge opmerkingen van de Hongaarse toezichthoudende autoriteit blijkt dat Weltimmo weliswaar in Slowakije is geregistreerd en bijgevolg in de zin van het vennootschapsrecht in die lidstaat is gevestigd, maar er twijfel bestaat over de vraag of zij in de zin van artikel 4, lid 1, onder a), van richtlijn 95/46 „uitsluitend” in die lidstaat is gevestigd. Met zijn vraag aan het Hof om uitlegging van die bepaling, wenst de verwijzende rechter namelijk te weten wat moet worden verstaan onder het in die bepaling gebruikte begrip „vestiging”.
18 Ten slotte moet worden opgemerkt dat in de eerste en tweede vraag de verwijzende rechter melding maakt van het feit dat de door Weltimmo gebruikte server in Slowakije staat, terwijl hij ergens anders in de verwijzingsbeslissing de mogelijkheid oppert dat de servers van deze vennootschap zich in Duitsland of Oostenrijk bevinden. In die omstandigheden mag worden aangenomen dat het antwoord op de vraag, in welke lidstaat de door voornoemde vennootschap gebruikte server(s) staat of staan, niet duidelijk is.
Eerste tot en met zesde vraag
19 Met zijn eerste tot en met zesde vraag, die gezamenlijk dienen te worden behandeld, wenst de verwijzende rechter in wezen te vernemen of de artikelen 4, lid 1, onder a), en 28, lid 1, van richtlijn 95/46 aldus moeten worden uitgelegd dat in omstandigheden als die in het hoofdgeding de toezichthoudende autoriteit van een lidstaat op basis van deze bepalingen de nationale wetgeving inzake gegevensbescherming van deze lidstaat kan toepassen jegens een voor de gegevensverwerking verantwoordelijke, wiens vennootschap in een andere lidstaat is geregistreerd, en die een vastgoedsite exploiteert met onroerend goed dat is gelegen op het grondgebied van de eerste van die twee staten. Hij wenst in het bijzonder te vernemen of het van belang is dat die lidstaat de lidstaat is:
– waarop het bedrijf van de voor de verwerking van persoonsgegevens verantwoordelijke is gericht;
– waar het betrokken onroerend goed is gelegen;
– waarvandaan de gegevens van de eigenaren van dat onroerend goed worden meegedeeld;
– waarvan de eigenaren ingezetenen zijn, en
– waar de eigenaren van die vennootschap wonen.
20 Wat het toepasselijke recht betreft, noemt de verwijzende rechter meer in het bijzonder het Slowaakse en het Hongaarse recht. Het eerste is het recht van de lidstaat waar de voor de verwerking van de betrokken persoonsgegevens verantwoordelijke is geregistreerd en het tweede is het recht van de lidstaat waarop de websites in het hoofdgeding zijn gericht, op het grondgebied waarvan het onroerend goed waarvoor advertenties zijn gepubliceerd, is gelegen.
21 In dat verband moet worden vastgesteld dat artikel 4 van richtlijn 95/46, met als opschrift „Toepasselijk nationaal recht”, dat is opgenomen in hoofdstuk I van die richtlijn, met als opschrift „Algemene bepalingen” juist op de gestelde vraag ziet.
22 Artikel 28 van richtlijn 95/46, met als opschrift „Toezichthoudende autoriteit” is daarentegen gewijd aan de rol en de bevoegdheid van die autoriteit. Op grond van lid 1 van dit artikel 28 is zij belast met het toezicht op de toepassing – op het grondgebied op de lidstaat waaronder zij valt – van de ter uitvoering van deze richtlijn door de lidstaten vastgestelde bepalingen. Overeenkomstig artikel 28, lid 6, van voornoemde richtlijn oefent de toezichthoudende autoriteit de haar verleende bevoegdheden uit, ongeacht welk nationaal recht van toepassing is op de verwerking van de persoonsgegevens.
23 Derhalve moet niet aan de hand van artikel 28 van richtlijn 95/46, maar aan de hand van artikel 4 ervan worden vastgesteld welk nationaal recht van toepassing is op de voor die verwerking verantwoordelijke.
24 Volgens artikel 4, lid 1, onder a), van richtlijn 95/46 past elke lidstaat zijn nationale, ter uitvoering van deze richtlijn vastgestelde bepalingen toe op de verwerking van persoonsgegevens indien de verwerking plaatsvindt in het kader van de activiteiten van een vestiging op het grondgebied van de lidstaat van de voor de verwerking verantwoordelijke.
25 Gelet op de doelstelling van richtlijn 95/46 om in verband met de verwerking van persoonsgegevens een doeltreffende en volledige bescherming te waarborgen van de fundamentele rechten en vrijheden van natuurlijke personen, met name het recht op eerbiediging van de persoonlijke levenssfeer, mag de uitdrukking „in het kader van de activiteiten van een vestiging” niet restrictief worden uitgelegd (zie in die zin het arrest Google Spain en Google, C‑131/12, EU:C:2014:317, punt 53).
26 Om dat doel te bereiken en te voorkomen dat een persoon wordt uitgesloten van de bescherming waarop hij krachtens deze richtlijn recht heeft, stelt de achttiende overweging van deze richtlijn dat alle verwerkingen van persoonsgegevens in de Europese Unie moeten worden uitgevoerd overeenkomstig de wetgeving van een van de lidstaten en dat de verwerking die wordt uitgevoerd door een persoon namens een voor de verwerking verantwoordelijke die in een lidstaat is gevestigd, door het recht van die staat dient te worden geregeld.
27 De Uniewetgever heeft aldus voor richtlijn 95/46 voorzien in een bijzonder ruime territoriale werkingssfeer, die hij heeft neergelegd in artikel 4 van die richtlijn (zie in die zin het arrest Google Spain en Google, C‑131/12, EU:C:2014:317, punt 54).
28 Wat in de eerste plaats het begrip „vestiging” betreft, dient in herinnering te worden gebracht dat de negentiende overweging van richtlijn 95/46 bepaalt dat de vestiging op het grondgebied van een lidstaat het effectief en daadwerkelijk uitoefenen van activiteiten door een duurzame vestiging veronderstelt en dat de rechtsvorm van een dergelijke vestiging, of het nu gaat om een bijkantoor of om een dochteronderneming met rechtspersoonlijkheid, niet doorslaggevend is (arrest Google Spain en Google, C‑131/12, EU:C:2014:317, punt 48). Deze overweging preciseert daarnaast dat, wanneer een en dezelfde voor de verwerking verantwoordelijke gevestigd is op het grondgebied van verscheidene lidstaten, hij dient te waarborgen, in het bijzonder om elke vorm van wetsontduiking te voorkomen, dat elk van de vestigingen voldoet aan de verplichtingen die het nationale recht aan de activiteiten stelt.
29 Hieruit volgt, zoals de advocaat-generaal in de punten 28 en 32 tot en met 34 van zijn conclusie in wezen heeft opgemerkt, een flexibele uitlegging van het begrip vestiging die elke formalistische zienswijze volgens welke een onderneming uitsluitend gevestigd zou zijn op de plaats waar zij is geregistreerd, verwerpt. Om bijgevolg vast te stellen of een vennootschap die verantwoordelijk is voor een gegevensverwerking, over een vestiging in de zin van richtlijn 95/46 beschikt in een andere lidstaat dan de lidstaat of het derde land waar zij is geregistreerd, dient zowel de mate van duurzaamheid van de vestiging als het daadwerkelijk uitoefenen van de activiteiten in die andere staat te worden beoordeeld, waarbij rekening wordt gehouden met de specifieke aard van de bedrijfsuitoefening en de betrokken dienstverlening. Dit geldt heel in het bijzonder voor ondernemingen die hun diensten uitsluitend via internet aanbieden.
30 In dat verband moet, gelet op het doel van die richtlijn om een doeltreffende en volledige bescherming van het recht op eerbiediging van de persoonlijke levenssfeer te waarborgen en elke vorm van wetsontduiking te voorkomen, met name worden vastgesteld dat onder bepaalde omstandigheden reeds bij één enkele vertegenwoordiger sprake kan zijn van een duurzame vestiging, indien diegene optreedt met een voldoende mate van duurzaamheid en met behulp van de nodige middelen voor de verlening van de betrokken concrete diensten in de desbetreffende lidstaat.
31 Daarnaast moet, teneinde voornoemd doel te bereiken, worden vastgesteld dat het begrip „vestiging” in de zin van richtlijn 95/46 betrekking heeft op iedere vorm van, zelfs geringe, reële en daadwerkelijke activiteit die via een duurzame vestiging wordt uitgeoefend.
32 In casu bestaan de door Weltimmo ontplooide activiteiten in ieder geval uit de exploitatie van een of meerdere vastgoedsites voor in Hongarije gelegen onroerend goed, die in het Hongaars zijn gesteld en waarop na een maand voor de advertenties moet worden betaald. Deze vennootschap legt zich dus toe op de uitvoering van een reële en daadwerkelijke activiteit in Hongarije.
33 Bovendien blijkt in het bijzonder uit de verduidelijkingen van de Hongaarse toezichthoudende autoriteit dat Weltimmo in Hongarije over een vertegenwoordiger beschikt die met een Hongaars adres in het Slowaakse handelsregister staat vermeld en die heeft getracht met de adverteerders een betalingsregeling af te spreken. Deze vertegenwoordiger onderhield het contact tussen de vennootschap en degenen die een klacht hadden ingediend en vertegenwoordigde haar in de bestuurlijke en juridische procedures. Daarnaast heeft voornoemde vennootschap in Hongarije een bankrekening geopend voor de inning van de openstaande rekeningen en maakt zij op het grondgebied van deze lidstaat gebruik van een brievenbus voor het beheer van haar lopende zaken. Deze elementen, die de verwijzende rechter dient te verifiëren, kunnen in een situatie als in het hoofdgeding aantonen dat er sprake is van een „vestiging” in de zin van artikel 4, lid 1, onder a), van richtlijn 95/46.
34 In de tweede plaats is het van belang of de betrokken verwerking van persoonsgegevens plaatsvond „in het kader van de activiteiten” van die vestiging.
35 Het Hof heeft reeds geoordeeld dat artikel 4, lid 1, onder a), van richtlijn 95/46 niet vereist dat de betrokken verwerking van persoonsgegevens wordt verricht „door” de betrokken vestiging zelf, maar enkel dat deze wordt verricht „in het kader van de activiteiten” ervan (arrest Google Spain en Google, C‑131/12, EU:C:2014:317, punt 52).
36 In casu bestaat de betrokken verwerking in het hoofdgeding er met name in, dat op de vastgoedsites van Weltimmo persoonsgegevens van de eigenaren van dat onroerend goed worden gezet en dat in voorkomend geval die gegevens worden gebruikt ten behoeve van het na één maand in rekening brengen van de advertenties.
37 Hierbij moet in herinnering worden gebracht dat aangaande in het bijzonder het internet, het Hof reeds heeft geoordeeld dat het plaatsen van persoonsgegevens op een internetpagina moet worden aangemerkt als een „verwerking” in de zin van artikel 2, onder b), van richtlijn 95/46 (arresten Lindqvist, C‑101/01, EU:C:2003:596, punt 25, en Google Spain en Google, C‑131/12, EU:C:2014:317, punt 26).
38 Het lijdt geen twijfel dat deze verwerking plaatsvindt in het kader van de in punt 32 van dit arrest beschreven activiteiten van Weltimmo in Hongarije.
39 Onder voorbehoud van de in punt 33 van dit arrest in herinnering gebrachte verificaties welke de verwijzende rechter dient te verrichten om in voorkomend geval vast te stellen dat er sprake is van een vestiging van de voor de verwerking verantwoordelijke in Hongarije, moet bijgevolg worden geoordeeld dat deze verwerking heeft plaatsgevonden in het kader van de activiteiten van die vestiging en dat op grond van artikel 4, lid 1, onder a), van richtlijn 96/46 in een situatie als in het hoofdgeding het Hongaarse recht inzake de bescherming van persoonsgegevens kan worden toegepast.
40 De omstandigheid dat de eigenaren van het onroerend goed waarvoor wordt geadverteerd de Hongaarse nationaliteit hebben, is daarentegen van geen enkel belang bij het vaststellen van het nationale recht dat op de gegevensverwerking in het hoofdgeding van toepassing is.
41 Gelet op het voorgaande moet op de eerste tot en met de zesde vraag als volgt worden geantwoord:
– artikel 4, lid 1, onder a), van richtlijn 95/46 moet aldus worden uitgelegd dat het op grond van dat artikel mogelijk is de wetgeving inzake de bescherming van persoonsgegevens van een andere lidstaat dan die waar de voor de verwerking van die gegevens verantwoordelijke is geregistreerd, toe te passen, voor zover bedoelde verantwoordelijke via een duurzame vestiging op het grondgebied van die lidstaat een, zelfs geringe, reële en daadwerkelijke activiteit uitoefent, in het kader waarvan die verwerking plaatsvindt;
– om in omstandigheden als die van het hoofdgeding vast te stellen of daarvan sprake is, kan de verwijzende rechter met name rekening houden met het feit dat de activiteit van de verantwoordelijke voor de verwerking, in het kader waarvan deze verwerking plaatsvindt, bestaat in de exploitatie van vastgoedsites voor onroerend goed dat is gelegen op het grondgebied van die lidstaat, die in de taal van die lidstaat zijn gesteld, en dat deze activiteit dientengevolge hoofdzakelijk, zo niet volledig, op bedoelde lidstaat is gericht, en voorts met het feit dat deze verantwoordelijke in die lidstaat over een vertegenwoordiger beschikt die is belast met het innen van de uit die activiteit resulterende openstaande rekeningen en met de vertegenwoordiging van hem in bestuurlijke en juridische procedures met betrekking tot de verwerking van de betrokken gegevens;
– De nationaliteit van degenen wier gegevens aldus worden verwerkt, is daarentegen irrelevant.
Zevende vraag
42 De zevende vraag wordt slechts gesteld voor het geval dat de Hongaarse toezichthoudende autoriteit zou menen dat Weltimmo niet in Hongarije, maar in een andere lidstaat beschikt over een vestiging in de zin van artikel 4, lid 1, onder a), van richtlijn 95/46, die activiteiten ontplooit in het kader waarvan de betrokken persoonsgegevens worden verwerkt.
43 Met deze vraag wenst de verwijzende rechter in wezen te vernemen of, in het geval dat de Hongaarse toezichthoudende autoriteit tot de conclusie zou komen dat het recht dat niet het Hongaarse recht van toepassing is op de verwerking van persoonsgegevens, maar het recht van een andere lidstaat, artikel 28, leden 1, 3 en 6, van richtlijn 95/46 aldus moet worden uitgelegd dat die autoriteit slechts de in artikel 28, lid 3, van die richtlijn vastgestelde bevoegdheden zou kunnen uitoefenen, en dit in overeenstemming met het recht van die andere lidstaat, en geen sancties zou kunnen opleggen.
44 Wat in de eerste plaats de bevoegdheid van een toezichthoudende autoriteit betreft om in een dergelijk geval op te treden, moet worden opgemerkt dat op grond van artikel 28, lid 4, van richtlijn 95/46 eenieder in eigen persoon bij elke toezichthoudende autoriteit een verzoek kan indienen met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van persoonsgegevens.
45 Bijgevolg kan in een situatie zoals in het hoofdgeding bij de Hongaarse toezichthoudende autoriteit een verzoek worden ingediend door personen, zoals de adverteerders van onroerend goed in het hoofdgeding, die menen dat zij het slachtoffer zijn van een onwettige verwerking van hun persoonsgegevens in de lidstaat waar zij dat onroerend goed bezitten.
46 In de tweede plaats dient te worden nagegaan wat, in het licht van artikel 28, leden 1, 3 en 6, van richtlijn 95/46, de bevoegdheden van die toezichthoudende autoriteit zijn.
47 Uit artikel 28, lid 1, van die richtlijn volgt dat elke toezichthoudende autoriteit die door een lidstaat is ingesteld, toeziet op de eerbiediging op het grondgebied van die lidstaat van de ter uitvoering van richtlijn 95/46 door de lidstaten vastgestelde bepalingen.
48 Op grond van artikel 28, lid 3, van richtlijn 95/46 beschikken die toezichthoudende autoriteiten met name over onderzoeksbevoegdheden, zoals het recht alle inlichtingen in te winnen die voor de uitoefening van hun toezichtstaak noodzakelijk zijn, en over effectieve bevoegdheden om in te grijpen, zoals de bevoegdheid om afscherming, uitwissing of vernietiging van gegevens te gelasten, dan wel een verwerking voorlopig of definitief te verbieden of de bevoegdheid om de voor de verwerking verantwoordelijke een waarschuwing of berisping te geven.
49 Rekening houdende met het niet uitputtende karakter van de aldus opgenoemde bevoegdheden en het type in deze bepaling genoemde bevoegdheden om in te grijpen, alsook met de speelruimte waarover de lidstaten bij de uitvoering van richtlijn 95/46 beschikken, moet worden geoordeeld dat onder die bevoegdheden om in te grijpen ook de bevoegdheid kan vallen om de voor de gegevensverwerking verantwoordelijke te bestraffen door hem in voorkomend geval een geldboete op te leggen.
50 De aan de toezichthoudende autoriteiten toegekende bevoegdheden moeten worden uitgeoefend in overeenstemming met het procedurele recht van hun eigen lidstaat.
51 Uit artikel 28, leden 1 en 3, van richtlijn 95/46 volgt, dat elke toezichthoudende autoriteit alle bevoegdheden uitoefent die haar op het grondgebied van de lidstaat waartoe zij behoort, zijn toegekend, teneinde op dat grondgebied de eerbiediging van de regels inzake gegevensbescherming te waarborgen.
52 Deze territoriale toepassing van de bevoegdheden van elke toezichthoudende autoriteit wordt bevestigd in artikel 28, lid 6, van die richtlijn, waarin is bepaald dat elke toezichthoudende autoriteit, ongeacht welk nationaal recht van toepassing is, op het grondgebied van haar eigen lidstaat bevoegd is de haar overeenkomstig artikel 28, lid 3, van voornoemde richtlijn verleende bevoegdheden uit te oefenen. Lid 6 van artikel 28 vermeldt ook dat elke autoriteit door een autoriteit van een andere lidstaat kan worden verzocht haar bevoegdheden uit te oefenen en dat de toezichthoudende autoriteiten onderling samenwerken voor zover zulks noodzakelijk is voor de uitvoering van hun taken, met name door de uitwisseling van alle nuttige inlichtingen.
53 Deze bepaling is nodig ter waarborging van het vrije verkeer van persoonsgegevens in de Unie, zonder daarbij de eerbiediging van de regels ter bescherming van de persoonlijke levenssfeer van natuurlijke personen waarin richtlijn 95/46 voorziet, uit het oog te verliezen. Zou de voor de verwerking van de persoonsgegevens verantwoordelijke onderworpen zijn aan de wet van een lidstaat, maar het recht op bescherming van de persoonlijke levenssfeer van natuurlijke personen in een andere lidstaat schenden, met name door zijn activiteiten op die andere lidstaat te richten, zonder daar in de zin van deze richtlijn te zijn gevestigd, dan zou het bij het ontbreken van voornoemde bepaling voor die personen immers moeilijk, zo niet onmogelijk, zijn om hun recht op die bescherming te laten eerbiedigen.
54 Uit artikel 28, lid 6, van richtlijn 95/46 volgt derhalve dat de toezichthoudende autoriteit van een lidstaat, waarbij natuurlijke personen op grond van artikel 28, lid 4, van die richtlijn een klacht hebben ingediend over de verwerking van hun persoonsgegevens, die klacht ongeacht het toepasselijke recht kan onderzoeken, en dus zelfs als het recht dat op de betrokken gegevensverwerking van toepassing is, dat van een andere lidstaat is.
55 In dat geval omvatten de bevoegdheden van die autoriteit evenwel niet noodzakelijkerwijze alle bevoegdheden die haar in overeenstemming met het recht de rechtstaat waartoe zij behoort, zijn toegekend.
56 Zoals de advocaat-generaal in punt 50 van zijn conclusie heeft opgemerkt, volgt immers uit de eisen die voortvloeien uit de territoriale soevereiniteit van de betrokken lidstaat, het legaliteitsbeginsel en het begrip rechtsstaat dat de sanctiebevoegdheid in beginsel niet kan worden uitgeoefend buiten de wettelijke grenzen waarbinnen een bestuursautoriteit gemachtigd is om, met eerbiediging van het recht van de lidstaat waartoe zij behoort, op te treden.
57 Aldus kan een toezichthoudende autoriteit, wanneer bij die autoriteit in overeenstemming met artikel 28, lid 4, van richtlijn 95/46 een klacht is ingediend, ongeacht het toepasselijke recht haar onderzoeksbevoegdheden uitoefenen en zelfs voordat zij weet welk nationaal recht op de betrokken verwerking van toepassing is. Toch kan zij, wanneer zij tot de conclusie komt dat het recht van een andere lidstaat van toepassing is, geen sancties opleggen buiten het grondgebied van de lidstaat waartoe zij behoort. In een dergelijke situatie dient zij, uit hoofde van de samenwerkingsverplichting van artikel 28, lid 6, van die richtlijn, aan de toezichthoudende autoriteit van die andere lidstaat te vragen om een mogelijke schending van dat recht vast te stellen en indien dat recht dat toestaat sancties op te leggen, waarbij zij zich in voorkomend geval kan verlaten op de informatie die zij haar zal hebben doorgegeven.
58 De toezichthoudende autoriteit waarbij een dergelijke klacht is ingediend kan in het kader van die samenwerking, op aanwijzing van de toezichthoudende autoriteit van die andere lidstaat, ander onderzoek moeten verrichten.
59 Bijgevolg zou in een situatie als in het hoofdgeding, in het geval dat het toepasselijke recht dat van een andere lidstaat dan Hongarije zou zijn, de Hongaarse toezichthoudende autoriteit niet de sanctiebevoegdheden kunnen uitoefenen die het Hongaarse recht haar heeft toegekend.
60 Uit het voorgaande volgt dat op de zevende vraag dient te worden geantwoord dat in het geval dat de toezichthoudende autoriteit van een lidstaat waarbij klachten zijn ingediend in overeenstemming met artikel 28, lid 4, van richtlijn 95/46, tot de conclusie komt dat het recht dat van toepassing is op de verwerking van de betrokken persoonsgegevens niet het nationale recht van die lidstaat is, maar dat van een andere lidstaat, artikel 28, leden 1, 3 en 6, van die richtlijn aldus moet worden uitgelegd dat die toezichthoudende autoriteit de werkelijke bevoegdheden om in te grijpen die haar in overeenstemming met artikel 28, lid 3, van voornoemde richtlijn zijn toegekend slechts op het grondgebied van de lidstaat waartoe zij behoort, zou kunnen uitoefenen. Bijgevolg kan zij op grond van het recht van die lidstaat geen sancties opleggen aan een verantwoordelijke voor de verwerking van die gegevens die niet op dat grondgebied is gevestigd, maar zou zij ingevolge artikel 28, lid 6, van die richtlijn aan de toezichthoudende autoriteit van de lidstaat waarvan het recht van toepassing is, moeten vragen om in te grijpen.
Achtste vraag
61 Met zijn achtste vraag wenst de verwijzende rechter van het Hof te vernemen wat de reikwijdte van het begrip „adatfeldolgozás” (technische bewerking van gegevens), dat met name wordt gebruikt in artikel 4, lid 1, onder a), van richtlijn 95/46, waarin het gaat over de vaststelling van het toepasselijke recht, en in artikel 28, lid 6, van deze richtlijn, waarin het gaat over de bevoegdheid van de toezichthoudende autoriteit.
62 Uit de Hongaarse taalversie van richtlijn 95/46 blijkt dat hierin systematisch de term „adatfeldolgozás” wordt gebruikt.
63 De verwijzende rechter geeft aan dat de informatiewet, in het bijzonder in de bepalingen waarmee uitvoering wordt gegeven aan de bepalingen van richtlijn 95/46 met betrekking tot de bevoegdheid van de toezichthoudende autoriteiten, de term „adatkezelés” (gegevensverwerking) gebruikt. Zoals blijkt uit § 3, punt 10, van deze wet, heeft deze term evenwel een ruimere betekenis dan de in § 3, punt 17, van voornoemde wet omschreven term „adatfeldolgozás” en omvat hij laatstgenoemde term.
64 Hoewel het begrip „adatfeldolgozás” in het gangbare spraakgebruik en zoals volgt uit de informatiewet een striktere betekenis heeft dan het begrip „adatkezelés”, moet evenwel worden opgemerkt dat de Hongaarse taalversie van richtlijn 95/46 de term „adatfeldolgozás” in artikel 2, onder b), ervan een ruime omschrijving geeft, die overeenkomt met de term „adatkezelés”.
65 Bijgevolg moet op de achtste vraag worden geantwoord dat richtlijn 95/46 aldus moet worden uitgelegd dat het begrip „adatfeldolgozás” (technische bewerking van gegevens), dat wordt gebezigd in de Hongaarse taalversie van deze richtlijn, in het bijzonder in de artikelen 4, lid 1, onder a), en 28, lid 6, ervan, in dezelfde zin moet worden opgevat als de term „adatkezelés” (gegevensverwerking).
Kosten
66 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Derde kamer) verklaart voor recht:
1) Artikel 4, lid 1, onder a), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens moet aldus worden uitgelegd dat het op grond van dat artikel mogelijk is de wetgeving inzake de bescherming van persoonsgegevens van een andere lidstaat dan die waar de voor de verwerking van die gegevens verantwoordelijke is geregistreerd, toe te passen, voor zover bedoelde verantwoordelijke via een duurzame vestiging op het grondgebied van die lidstaat een, zelfs geringe, reële en daadwerkelijke activiteit uitoefent, in het kader waarvan die verwerking plaatsvindt.
Om in omstandigheden als die van het hoofdgeding vast te stellen of daarvan sprake is, kan de verwijzende rechter met name rekening houden met het feit dat de activiteit van de verantwoordelijke voor de verwerking, in het kader waarvan deze verwerking plaatsvindt, bestaat in de exploitatie van vastgoedsites voor onroerend goed dat is gelegen op het grondgebied van die lidstaat, die in de taal van die lidstaat zijn gesteld, en dat deze activiteit dientengevolge hoofdzakelijk, zo niet volledig, op bedoelde lidstaat is gericht, en voorts met het feit dat deze verantwoordelijke in die lidstaat over een vertegenwoordiger beschikt die is belast met het innen van de uit die activiteit resulterende openstaande rekeningen en de vertegenwoordiging van hem in bestuurlijke en juridische procedures met betrekking tot de verwerking van de betrokken gegevens.
De nationaliteit van degenen wier gegevens aldus worden verwerkt, is daarentegen irrelevant.
2) In het geval dat de toezichthoudende autoriteit van een lidstaat waarbij klachten zijn ingediend in overeenstemming met artikel 28, lid 4, van richtlijn 95/46, tot de conclusie komt dat het recht dat van toepassing is op de verwerking van de betrokken persoonsgegevens niet het nationale recht van die lidstaat is, maar dat van een andere lidstaat, moet artikel 28, leden 1, 3 en 6, van die richtlijn aldus worden uitgelegd dat die toezichthoudende autoriteit de werkelijke bevoegdheden om in te grijpen die haar in overeenstemming met artikel 28, lid 3, van voornoemde richtlijn zijn toegekend slechts op het grondgebied van de lidstaat waartoe zij behoort, zou kunnen uitoefenen. Bijgevolg kan zij op grond van het recht van die lidstaat geen sancties opleggen aan een verantwoordelijke voor de verwerking van die gegevens die niet op dat grondgebied is gevestigd, maar zou zij ingevolge artikel 28, lid 6, van die richtlijn aan de toezichthoudende autoriteit van de lidstaat waarvan het recht van toepassing is, moeten vragen om in te grijpen.
3) Richtlijn 95/46 moet aldus worden uitgelegd dat het begrip „adatfeldolgozás” (technische bewerking van gegevens), dat wordt gebezigd in de Hongaarse taalversie van deze richtlijn, in het bijzonder in de artikelen 4, lid 1, onder a), en 28, lid 6, ervan, in dezelfde zin moet worden opgevat als de term „adatkezelés” (gegevensverwerking).
ondertekeningen