ROZSUDOK SÚDNEHO DVORA (tretia komora)
z 1. októbra 2015 (*)
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46/ES – Článok 4 ods. 1 a článok 28 ods. 1, 3 a 6 – Prevádzkovateľ spracúvajúci údaje formálne usadený v členskom štáte – Porušenie práva na ochranu osobných údajov týkajúcich sa fyzických osôb v inom členskom štáte – Určenie uplatniteľného práva a príslušného dozorného orgánu – Výkon právomocí dozorného orgánu – Sankčná právomoc“
Vo veci C‑230/14,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Kúria (Maďarsko) z 22. apríla 2014 a doručený Súdnemu dvoru 12. mája 2014, ktorý súvisí s konaním:
Weltimmo s.r.o.
proti
Nemzeti Adatvédelmi és Információszabadság Hatóság,
SÚDNY DVOR (tretia komora),
v zložení: predseda tretej komory M. Ilešič, sudcovia A. Ó Caoimh, C. Toader, E. Jarašiūnas a C. G. Fernlund (spravodajca),
generálny advokát: P. Cruz Villalón,
tajomník: I. Illéssy, referent,
so zreteľom na písomnú časť konania a po pojednávaní z 12. marca 2015,
so zreteľom na pripomienky, ktoré predložili:
– Nemzeti Adatvédelmi és Információszabadság Hatóság, v zastúpení: A. Péterfalvi, splnomocnený zástupca, za právnej pomoci G. Dudás, ügyvéd,
– maďarská vláda, v zastúpení: M. Z. Fehér, G. Koós a A. Pálfy, splnomocnení zástupcovia,
– poľská vláda, v zastúpení: B. Majczyna, M. Kamejsza a M. Pawlicka, splnomocnení zástupcovia,
– slovenská vláda, v zastúpení: B. Ricziová, splnomocnená zástupkyňa,
– vláda Spojeného kráľovstva, v zastúpení: M. Holt splnomocnený zástupca, za právnej pomoci J. Holmes, barrister,
– Európska komisia, v zastúpení: A. Tokár, B. Martenczuk a J. Vondung, splnomocnení zástupcovia,
po vypočutí návrhov generálneho advokáta na pojednávaní 25. júna 2015,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa týka výkladu článku 4 ods. 1 písm. a) a článku 28 ods. 1, 3 a 6 smernice Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, s. 31; Mim. vyd. 13/015, s. 355).
2 Tento návrh bol podaný v rámci sporu medzi spoločnosťou Weltimmo s.r.o. so sídlom na Slovensku (ďalej len „Weltimmo“) a Nemzeti Adatvédelmi és Információszabadság Hatóság (maďarský úrad na ochranu údajov a slobodu informácií, ďalej len „maďarský dozorný orgán“), ktorého predmetom je pokuta, ktorú uložil tento orgán za porušenie zákona č. CXII z roku 2011 o práve na sebaurčenie v oblasti informácií a o slobodnom prístupe k informáciám (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi. CXII. törvény, ďalej len „infozákon“), ktorým bola prebratá smernica 95/46 do maďarského právneho poriadku.
Právny rámec
Právo Únie
3 V odôvodneniach 3, 18 a 19 smernice 95/46 sa uvádza:
„(3) keďže založenie [vytvorenie – neoficiálny preklad] a fungovanie vnútorného trhu, v ktorom v súlade s článkom [26 ZFEÚ] je zabezpečený voľný pohyb tovaru, osôb, služieb a kapitálu, si vyžadujú nielen voľný tok osobných údajov z jedného členského štátu do druhého, ale aj ochranu základných práv jednotlivcov;
…
(18) keďže, aby sa zabezpečilo, že jednotlivci nebudú zbavení ochrany, na ktorú majú nárok podľa tejto smernice, bude sa musieť každé spracovanie osobných údajov v spoločenstve vykonávať v súlade s právom jedného z členských štátov; keďže v tejto súvislosti sa spracovanie vykonávané v zodpovednosti kontrolóra [prevádzkovateľa – neoficiálny preklad], ktorý je ustanovený v členskom štáte, bude riadiť právom tohto štátu;
(19) keďže založenie takejto inštitúcie [usadenie sa – neoficiálny preklad] na území členského štátu predpokladá účinné a skutočné vykonávanie činnosti prostredníctvom stabilných dohôd [prostredníctvom stálej prevádzkarne – neoficiálny preklad]; keďže právna forma takejto inštitúcie [prevádzkarne – neoficiálny preklad], či je to pobočka, alebo dcérska spoločnosť s právnou subjektivitou, nie je určujúcim činiteľom z tohto hľadiska; keďže, ak je jeden kontrolór [prevádzkovateľ – neoficiálny preklad], resp. inštitúcia, ktorá spracovanie riadi, zavedený [usadený – neoficiálny preklad] na území niekoľkých členských štátov, najmä prostredníctvom dcérskych spoločností, potom tento kontrolór [prevádzkovateľ – neoficiálny preklad] musí zabezpečiť, aby nedošlo k obchádzaniu vnútroštátneho práva, aby každý z podnikov spĺňal povinnosti uložené vnútroštátnym právom, ktoré je uplatniteľné na jeho činnosti;“
4 Článok 2 smernice 95/46 stanovuje:
„Na účely tejto smernice:
…
b) ‚spracovanie osobných údajov [«feldogozása»]‘ (spracovanie [«feldolgozás»]) znamená akúkoľvek operáciu alebo komplex operácií, ktorá sa vykonáva na osobných údajoch, či už automatickými prostriedkami, alebo nie, ako je zber, zaznamenávanie, organizácia, uskladnenie, úprava alebo nahradenie, vyhľadávanie, nahliadnutie, používanie, odhalenie prenosom, šírenie alebo sprístupnenie iným spôsobom, upravenie alebo kombinácia, blokovanie, vymazanie alebo zničenie;
…“
5 Článok 4 ods. 1 písm. a) smernice 95/46 stanovuje:
„1. Každý členský štát uplatňuje vnútroštátne ustanovenia, ktoré prijme na základe tejto smernice, na spracovanie osobných údajov tam, kde:
a) sa spracovanie vykonáva v kontexte činností ustanovenia [prevádzkarne – neoficiálny preklad] kontrolóra [prevádzkovateľa – neoficiálny preklad] na území členského štátu; keď je tá istá inštitúcia, ktorá riadi spracovanie, ustanovená [keď je ten istý prevádzkovateľ usadený – neoficiálny preklad] na území niekoľkých členských štátov, musí prijať nevyhnutné opatrenia, aby zaistila, že každé z týchto ustanovení [každá z týchto prevádzkarní – neoficiálny preklad] je v súlade so záväzkami, ktoré predpisuje uplatniteľn[é] vnútroštátn[e] práv[o].“
6 Podľa článku 28 ods. 1, 3 a 6 smernice 95/46:
„1. Každý členský štát zabezpečí, aby jeden a alebo viac štátnych orgánov bolo zodpovedných za monitorovanie uplatňovania ustanovení v rámci jeho územia, prijatých členskými štátmi v súlade s touto smernicou.
Tieto orgány konajú s úplnou nezávislosťou vo vykonávaní im zverených funkcií. [Tieto orgány pri vykonávaní zverených funkcií konajú úplne nezávisle – neoficiálny preklad]
…
3. Každý je zabezpečený najmä [Každý dozorný orgán má najmä – neoficiálny preklad]:
– vyšetrovac[ie] právomoc[i], ako sú práva prístupu k údajom, tvoriacich záležitosť subjektu [tvoriace predmet – neoficiálny preklad] operácií spracovania a práva zbierať všetky nevyhnutné informácie pre plnenie jeho kontrolných povinností,
– efektívn[e] [intervenčné] právomoc[i], ako sú napríklad doručenie stanovísk pred vykonaním operácii spracovania, podľa článku 20 a zabezpečenie príslušného zverejnenia takýchto stanovísk, nariadenie zablokovania, vymazania alebo zničenia údajov, uvalenie dočasného alebo úplného zákazu na spracovanie, upozornenie alebo pripomenutie kontrolórovi [prevádzkovateľovi – neoficiálny preklad], alebo oznámenie záležitosti vnútroštátnemu parlamentu alebo iným politickým inštitúciám,
– právomo[c] zaoberať sa právnymi postupmi tam, kde sa porušili vnútroštátne ustanovenia prijaté v súlade s touto smernicou alebo dať tieto porušenia do pozornosti súdnych orgánov.
Proti rozhodnutiam dozorného orgánu, ktoré vznesú žalobcovia je možné odvolať sa prostredníctvom súdov [Proti rozhodnutiam dozorného orgánu, ktoré spôsobujú ujmu, je možné podať opravný prostriedok na súd – neoficiálny preklad].
…
6. Každý kontrolný [dozorný – neoficiálny preklad] orgán je kompetentný, bez ohľadu na príslušné vnútroštátne právo uplatniteľné na spracovanie, vykonávať na území svojho členského štátu právomoci jemu udelené v súlade s odsekom 3. Každý orgán môže byť požiadaný orgánom iného členského štátu, aby uplatnil svoje právomoci.
Dozorné orgány navzájom spolupracujú do miery, nevyhnutnej na plnenie svojich povinností, najmä výmenou všetkých užitočných informácií.“
Maďarské právo
7 § 2 ods. 1 infozákona stanovuje:
„Do pôsobnosti tohto zákona patrí každé spracovanie a správa údajov uskutočnené na území Maďarska v súvislosti s údajmi fyzických osôb, ako aj s údajmi verejného záujmu alebo s údajmi dostupnými z dôvodov verejného záujmu.“
8 § 3 ods. 10 a 17 infozákona obsahuje tieto definície:
„10. ,spracovanie údajov‘ znamená akúkoľvek operáciu alebo súbor operácií uskutočnených na údajoch, bez ohľadu na použitý postup, najmä zber, získavanie, zaznamenávanie, usporadúvanie, uskladnenie, úpravu, využívanie, vyžadovanie, prenos, uverejnenie, porovnanie alebo vzájomné prepojenie, zablokovanie, výmaz alebo zničenie, ako aj bránenie inému využívaniu údajov, zhotovovaniu fotografií, zvukových alebo obrazových záznamov alebo zaznamenávaniu fyzických znakov, ktoré slúžia na identifikáciu osôb (napríklad odtlačky prstov alebo dlane, vzorky DNA alebo obraz dúhovky);
…
17. ‚správa údajov‘ znamená vykonávanie technických úloh v súvislosti s operáciami spracovania údajov, bez ohľadu na metódu a prostriedok použitý na uskutočnenie operácií, ako aj miesto, na ktorom sa vykonávajú, pokiaľ sa technické úlohy vykonávajú na údajoch.“
Spor vo veci samej a prejudiciálne otázky
9 Spoločnosť Weltimmo, ktorá je registrovaná na Slovensku, prevádzkuje internetovú stránku, na ktorej uverejňuje inzeráty na nehnuteľnosti nachádzajúce sa v Maďarsku. V rámci tejto činnosti spracúva osobné údaje inzerentov. Inzeráty sú počas jedného mesiaca uverejňované bezplatne a následne je ich uverejnenie spoplatňované. Mnohí inzerenti požiadali e‑mailom o odstránenie svojich inzerátov po uplynutí tohto obdobia bezplatného uverejnenia, a v tejto súvislosti aj o výmaz svojich osobných údajov. Weltimmo však tento výmaz nevykonala a uvedené služby dotknutým inzerentom vyfakturovala. Z dôvodu neuhradenia faktúr táto spoločnosť oznámila osobné údaje dotknutých inzerentov spoločnostiam zaoberajúcim sa vymáhaním pohľadávok.
10 Uvedení inzerenti podali na maďarsky dozorný orgán sťažnosti. Tento orgán sa vyhlásil za príslušný na rozhodovanie vo veci na základe § 2 ods. 1 infozákona, keďže usúdil, že zhromažďovanie dotknutých údajov sa uskutočnilo na území Maďarska a že toto zhromažďovanie údajov predstavuje spracovanie údajov alebo správu údajov týkajúcich sa fyzických osôb. Keďže sa tento orgán domnieval, že Weltimmo porušila infozákon, uložil uvedenej spoločnosti pokutu vo výške desať miliónov maďarských forintov (HUF) (približne 32 000).
11 Weltimmo následne podala žalobu na Fővárosi Közigazgatási és Munkaügyi Bíróság (Správny a pracovný súd v Budapešti), ktorý sa domnieval, že skutočnosť, že táto spoločnosť nemá sídlo, ani stálu prevádzkareň, v Maďarsku, nemožno prijať ako platný argument na jej obranu, keďže k poskytovaniu údajov týkajúcich sa dotknutých maďarských nehnuteľností, ako aj k spracovaniu týchto údajov dochádzalo v Maďarsku. Tento súd však zrušil rozhodnutie maďarského dozorného orgánu z iných dôvodov spočívajúcich v nedostatočnom objasnení určitých skutkových okolností.
12 Weltimmo podala kasačný opravný prostriedok na vnútroštátny súd, v ktorom tvrdí, že žiadne dodatočné objasnenie skutkového stavu nie je potrebné, keďže podľa článku 4 ods. 1 písm. a) smernice 95/46 maďarský dozorný orgán nemá v predmetnom spore právomoc prejednávať vec a nemôže uplatniť maďarské právo vo vzťahu k poskytovateľovi služieb usadenému v inom členskom štáte. Weltimmo sa domnievala, že v súlade s článkom 28 ods. 6 smernice 95/46 mal tento orgán požiadať príslušný slovenský orgán na ochranu údajov, aby konal namiesto neho.
13 Maďarský dozorný orgán uviedol, že Weltimmo mala v Maďarsku zástupcu maďarskej národnosti, konkrétne jedného z vlastníkov tejto spoločnosti, ktorý ju zastupoval v tomto členskom štáte tak v správnych konaniach, ako aj v súdnych konaniach. Tento orgán dodal, že hoci internetové servery spoločnosti Weltimmo sú pravdepodobne nainštalované v Nemecku alebo Rakúsku, vlastníci tejto spoločnosti majú bydlisko v Maďarsku. Napokon uvedený orgán poukazuje na to, že z článku 28 ods. 6 smernice 95/46 vyplýva, že má právomoc konať v každom prípade, a to bez ohľadu na to, aké právo sa uplatní.
14 Keďže mal Kúria (Najvyšší súd) pochybnosti o určení uplatniteľného práva a o právomoci maďarského kontrolného orgánu s ohľadom na článok 4 ods. 1 a článok 28 smernice 95/46, rozhodol konanie prerušiť a Súdnemu dvoru položil nasledujúce prejudiciálne otázky:
„1. Má sa článok 28 ods. 1 smernice [95/46] vykladať v tom zmysle, že vnútroštátna právna úprava členského štátu sa môže na území tohto štátu uplatniť na prevádzkovateľa usadeného výlučne v inom členskom štáte, ktorý prevádzkuje internetovú stránku sprostredkujúcu nehnuteľnosti a ponúka formou inzercie okrem iného nehnuteľnosti nachádzajúce sa na území prvého uvedeného členského štátu, pričom vlastníci nehnuteľností poskytli svoje osobné údaje prostriedku (serveru) na uskladnenie a spracovanie údajov, ktorý patrí prevádzkovateľovi internetovej stránky a nachádza sa v inom členskom štáte?
2. Má sa článok 4 ods. 1 písm. a) smernice [95/46] vzhľadom na jej odôvodnenia 18 až 20 a jej článok 1 ods. 2 a článok 28 ods. 1 vykladať v tom zmysle, že [maďarský Úrad na ochranu údajov] nemôže uplatniť maďarský zákon o ochrane údajov ako vnútroštátne právo na prevádzkovateľa internetovej stránky sprostredkujúcej nehnuteľnosti usadeného výlučne v inom členskom štáte, a to ani v prípade, ak tento prevádzkovateľ ponúka formou inzercie okrem iného maďarské nehnuteľnosti, ktorých vlastníci poskytli – pravdepodobne z územia Maďarska – údaje o svojich nehnuteľnostiach prostriedku (serveru) na uskladnenie a spracovanie údajov, ktorý patrí prevádzkovateľovi internetovej stránky a nachádza sa v inom členskom štáte?
3. Je na účely výkladu relevantné, že služba poskytovaná prevádzkovateľom údajov, ktorý prevádzkuje internetovú stránku, smeruje na územie iného členského štátu?
4. Je na účely výkladu relevantné, že údaje o nehnuteľnostiach nachádzajúcich sa na území iného členského štátu a osobné údaje vlastníkov boli skutočne odovzdané z územia tohto iného členského štátu?
5. Je na účely výkladu relevantné, že osobné údaje súvisiace s uvedenými nehnuteľnosťami sú osobnými údajmi občanov iného členského štátu?
6. Je na účely výkladu relevantné, že vlastníci spoločnosti usadenej na Slovensku majú bydlisko v Maďarsku?
7. Ak z odpovedí na predchádzajúce otázky vyplynie, že maďarský Úrad na ochranu údajov môže prejednať vec, no nemôže uplatniť vnútroštátne právo, ale musí uplatniť právo členského štátu sídla, má sa článok 28 ods. 6 smernice [95/46] vykladať v tom zmysle, že maďarský Úrad na ochranu údajov môže vykonávať právomoci stanovené v článku 28 ods. 3 [tejto] smernice len v súlade s právnymi predpismi členského štátu sídla, a preto nie je oprávnený uložiť pokutu?
8. Možno vychádzať z toho, že pojem ‚adatfeldolgozás‘ [správa údajov] použitý tak v článku 4 ods. 1 písm. a), ako aj v článku 28 ods. 6 smernice [95/46] je totožný s pojmom ‚adatkezelés‘ [spracovanie údajov] použitým v terminológii uvedenej smernice?“
O prejudiciálnych otázkach
Úvodné poznámky
15 Pokiaľ ide v prvom rade o skutkový rámec sporu vo veci samej, treba uviesť niekoľko doplňujúcich informácií, ktoré poskytol maďarský dozorný orgán vo svojich písomných pripomienkach a na pojednávaní pred Súdnym dvorom.
16 Z týchto informácií po prvé vyplýva, že tento orgán sa od svojho slovenského partnera neformálnym spôsobom dozvedel, že Weltimmo nevykonáva v mieste svojho sídla na Slovensku žiadnu činnosť. Navyše Weltimmo opakovane premiestnila toto sídlo z jedného štátu do druhého. Po druhé Weltimmo vytvorila dve internetové stránky s inzerátmi na nehnuteľnosti, ktoré sú výlučne v maďarskom jazyku. V Maďarsku si založila bankový účet, na ktorý mali byť hradené jej pohľadávky a v tomto členskom štáte mala na účely svojich bežných obchodných aktivít zriadenú poštovú schránku. Pošta bola obvykle vyberaná a spoločnosti Weltimmo zasielaná elektronicky. Po tretie inzerenti museli na stránke Weltimmo nielen zapísať údaje o svojich nehnuteľnostiach, ale ich aj vymazať z tejto stránky, ak po uplynutí uvedeného obdobia jedného mesiaca si už viac neželali, aby sa tieto údaje na stránke nachádzali. Weltimmo poukázala na problém s informačnými technológiami ako na dôvod, pre ktorý tento výmaz nemohol byť vykonaný. Po štvrté Weltimmo je spoločnosťou iba s jedným alebo dvoma spoločníkmi. Jej zástupca v Maďarsku sa pokúšal rokovať s inzerentmi o úhrade nezaplatených pohľadávok.
17 Pokiaľ ide ďalej o znenie položených otázok, aj keď vnútroštátny súd používa v prvej a druhej otázke výraz „výlučne usadená“, z návrhu na začatie prejudiciálneho konania a z písomných a ústnych pripomienok prednesených maďarským dozorným orgánom na pojednávaní vyplýva, že hoci je Weltimmo zapísaná na Slovensku, a teda v zmysle práva obchodných spoločností usadená v tomto členskom štáte, existujú pochybnosti, či je „usadená“ výlučne v tomto členskom štáte v zmysle článku 4 ods. 1 písm. a) smernice 95/46. Vnútroštátny súd sa pýta Súdneho dvora na výklad tohto ustanovenia, čím sa snaží zistiť, čo výraz „usadenie sa“ použitý v tomto ustanovení v skutočnosti zahŕňa.
18 Napokon treba zdôrazniť, že vnútroštátny súd v prvej a druhej prejudiciálnej otázke zdôrazňuje, že server používaný spoločnosťou Weltimmo je inštalovaný na Slovensku, zatiaľ čo v ďalšej časti návrhu na začatie prejudiciálneho konania spomína, že servery tejto spoločnosti sa môžu nachádzať v Nemecku alebo v Rakúsku. Za týchto podmienok sa zdá byť vhodné zohľadniť to, že nebolo jasne povedené, v ktorom členskom štáte sú inštalované servery alebo server používané touto spoločnosťou.
O prvej až šiestej prejudiciálnej otázke
19 Svojou prvou až šiestou prejudiciálnou otázkou, ktoré je potrebné skúmať spoločne, sa vnútroštátny súd v podstate pýta, či článok 4 ods. 1 písm. a) a článok 28 ods. 1 smernice 95/46 sa majú vykladať v tom zmysle, že za okolností sporu vo veci samej umožňujú dozornému orgánu členského štátu uplatniť vnútroštátne právne predpisy o ochrane údajov na prevádzkovateľa, ktorého spoločnosť je zapísaná v inom členskom štáte a ktorý prevádzkuje internetovú stránku obsahujúcu inzeráty na nehnuteľnosti, ktoré sa nachádzajú na území prvého z týchto dvoch štátov. Konkrétne sa pýta, či je relevantné, že tento štát je štátom:
– do ktorého smeruje činnosť vykonávaná prevádzkovateľom spracúvajúcim osobné údaje,
– v ktorom sa nachádzajú predmetné nehnuteľnosti,
– z ktorého sú poskytované údaje o vlastníkoch týchto nehnuteľností,
– ktorého sú títo vlastníci občanmi a
– v ktorom majú vlastníci tejto spoločnosti bydlisko.
20 Pokiaľ ide o uplatniteľné právo, vnútroštátny súd konkrétne spomína slovenské a maďarské právo, pričom slovenské právo je právo členského štátu, v ktorom je prevádzkovateľ spracúvajúci dotknuté osobné údaje registrovaný, a maďarské právo je právo členského štátu, na ktorý je predmetná internetová stránka zameraná a na území ktorého sa nachádzajú inzerované nehnuteľnosti.
21 V tejto súvislosti je potrebné konštatovať, že článok 4 smernice 95/46 s názvom „Uplatniteľnosť vnútroštátneho práva“, ktorý sa nachádza v kapitole I tejto smernice nazvanej „Všeobecné ustanovenia“, rieši práve túto položenú otázku.
22 Článok 28 smernice 95/46 nazvaný „Dozorný orgán“ sa naproti tomu zaoberá úlohou a právomocami tohto orgánu. Podľa článku 28 ods. 1 tejto smernice je uvedený orgán zodpovedných za monitorovanie uplatňovania ustanovení na jeho území prijatých členským štátom v súlade s touto smernicou. Podľa článku 28 ods. 6 uvedenej smernice dozorný orgán vykonáva jemu zverené právomoci bez ohľadu na vnútroštátne právo uplatniteľné na spracovanie osobných údajov.
23 Vnútroštátne právo uplatniteľné na prevádzkovateľa spracúvajúceho údaje sa má teda určiť nie na základe článku 28 smernice 95/46, ale na základe jej článku 4.
24 Podľa článku 4 ods. 1 písm. a) smernice 95/46 každý členský štát uplatňuje vnútroštátne ustanovenia, ktoré prijme na základe tejto smernice, na spracovanie osobných údajov, ak sa spracovanie vykonáva v kontexte činností prevádzkarne prevádzkovateľa spracúvajúceho údaje na území členského štátu.
25 Vzhľadom na cieľ sledovaný smernicou 95/46, ktorým je zaručiť účinnú a úplnú ochranu základných práv a slobôd fyzických osôb, a najmä ich práva na súkromie v súvislosti so spracovaním osobných údajov, nemožno výraz „v kontexte činností prevádzkarne“ vykladať reštriktívne (pozri v tomto zmysle rozsudok Google Spain a Google, C‑131/12, EU:C:2014:317, bod 53).
26 Na dosiahnutie tohto cieľa a na zabránenie tomu, aby určitá osoba bola zbavená ochrany, ktorú jej zaručuje táto smernica, odôvodnenie 18 uvedenej smernice stanovuje, že každé spracovanie osobných údajov v Európskej únii sa bude musieť vykonávať v súlade s právom niektorého z členských štátov a že je vhodné, aby sa spracovanie údajov vykonávané prevádzkovateľom spracúvajúcim údaje usadeným v členskom štáte, riadilo právom tohto štátu.
27 Normotvorca Únie tým stanovil mimoriadne širokú územnú pôsobnosť smernice 95/46, ktorú vložil do článku 4 tejto smernice (pozri v tomto zmysle rozsudok Google Spain a Google, C‑131/12, EU:C:2014:317, bod 54).
28 Pokiaľ ide po prvé o pojem „usadenie sa“, je potrebné pripomenúť, že odôvodnenie 19 smernice 95/46 uvádza, že usadenie sa na území členského štátu predpokladá účinné a skutočné vykonávanie činnosti prostredníctvom stálej prevádzkarne a že právna forma tohto usadenia, či je to pobočka, alebo dcérska spoločnosť s právnou subjektivitou, nie je určujúcim činiteľom (rozsudok Google Spain a Google, C‑131/12, EU:C:2014:317, bod 48). V tomto odôvodnení sa ďalej uvádza, že ak je jeden prevádzkovateľ usadený na území niekoľkých členských štátov, potom musí zabezpečiť, najmä s cieľom zabrániť obchádzaniu práva, aby každá z prevádzkarní spĺňala povinnosti uložené vnútroštátnym právom, ktoré je uplatniteľné na ich činnosti.
29 Z toho vyplýva, ako to zdôraznil generálny advokát v bodoch 28 a 32 až 34 svojich návrhov, flexibilné chápanie pojmu usadenie sa, ktoré vylučuje akýkoľvek formálny prístup, podľa ktorého môže byť podnik usadený iba v mieste, kde je zapísaný. Na účely určenia, či spoločnosť, ktorá je prevádzkovateľom spracúvajúcim údaje, má prevádzkareň v zmysle smernice 95/46 v inom členskom štáte, ako je členský štát, v ktorom je zapísaná, je potrebné zhodnotiť tak mieru stability prevádzkarne, ako aj to, či skutočne vykonáva činnosti v tomto inom členskom štáte s ohľadom na špecifickú povahu dotknutých ekonomických činností a poskytovaných služieb. To platí obzvlášť pre podniky, ktoré ponúkajú služby výlučne na internete.
30 V tejto súvislosti je najmä s ohľadom na cieľ sledovaný touto smernicou, ktorý spočíva v zabezpečení účinnej a úplnej ochrany práva na súkromie a v zabránení akémukoľvek obchádzaniu práva, nevyhnutné, aby prítomnosť jediného zástupcu mohla za určitých okolností postačovať na kvalifikovanie stálej prevádzkarne, ak tento zástupca koná dostatočne stabilne prostredníctvom prostriedkov nevyhnutných na poskytovanie konkrétnych predmetných služieb v dotknutom členskom štáte.
31 Okrem toho na dosiahnutie uvedeného cieľa je potrebné vychádzať z toho, že pojem „usadenie sa“ v zmysle smernice 95/46 sa vzťahuje na každú hoci aj minimálnu skutočnú a efektívnu činnosť, ktorá je vykonávaná prostredníctvom stálej prevádzkarne.
32 Činnosť vykonávaná spoločnosťou Weltimmo v prejednávanej veci spočíva prinajmenšom v prevádzkovaní jednej alebo niekoľkých internetových stránok v maďarskom jazyku s inzerátmi na nehnuteľnosti nachádzajúce sa v Maďarsku, pričom tieto inzeráty sú po uplynutí obdobia jedného mesiaca spoplatňované. Treba teda konštatovať, že táto spoločnosť vykonáva v Maďarsku skutočnú a efektívnu činnosť.
33 Navyše z vyjadrení maďarského dozorného orgánu okrem iného vyplýva, že Weltimmo má v Maďarsku zástupcu zapísaného v slovenskom obchodnom registri, ktorý má bydlisko v Maďarsku a ktorý sa pokúsil rokovať s inzerantmi o úhrade nezaplatených pohľadávok. Tento zástupca fungoval ako prostredník medzi touto spoločnosťou a sťažovateľmi a zastupoval spoločnosť v správnych a súdnych sporoch. Uvedená spoločnosť si navyše otvorila v Maďarsku bankový účet, na ktorý mali byť hradené jej pohľadávky, a v tomto členskom štáte používala na účely svojich bežných obchodných aktivít poštovú schránku. Tieto skutočnosti, ktorých pravdivosť musí vnútroštátny súd overiť, môžu v situácii v spore vo veci samej odôvodňovať existenciu „prevádzkarne“ v zmysle článku 4 ods. 1 písm. a) smernice 95/46.
34 Po druhé je dôležité zistiť, či sa predmetné spracovanie osobných údajov vykonáva „v kontexte činností“ tejto prevádzkarne.
35 Súdny dvor už rozhodol, že článok 4 ods. 1 písm. a) smernice 95/46 nevyžaduje, aby sa spracovanie dotknutých osobných údajov vykonalo „prostredníctvom“ samotnej dotknutej prevádzkarne, ale len aby sa vykonalo „v kontexte činností“ tejto prevádzkarne (rozsudok Google Spain a Google, C‑131/12, EU:C:2014:317, bod 52).
36 V prejednávanej veci predmetné spracovanie údajov spočíva najmä v uverejňovaní osobných údajov, na internetovej stránke spoločnosti Weltimmo venovanej inzerátom s nehnuteľnosťami, ktoré sa týkajú vlastníkov týchto nehnuteľností, ako aj prípadne v používaní týchto údajov na účely fakturácie inzerátov po uplynutí obdobia jedného mesiaca.
37 V tejto súvislosti je potrebné pripomenúť, že čo sa týka osobitne internetu, Súdny dvor už mal príležitosť konštatovať, že operácia spočívajúca v zobrazení osobných údajov na internetovej stránke je takýmto „spracovaním“ v zmysle článku 2 písm. b) smernice 95/46 (rozsudky Lindqvist, C‑101/01, EU:C:2003:596, bod 25, ako aj Google Spain a Google, C‑131/12, EU:C:2014:317, bod 26).
38 Niet pritom pochybností, že takéto spracovanie sa uskutočňuje v kontexte činností opísaných v bode 32 tohto rozsudku, ktoré vykonáva Weltimmo v Maďarsku.
39 S výhradou overení spomenutých v bode 33 tohto rozsudku, ktoré musí uskutočniť vnútroštátny súd na účely prípadného preukázania existencie usadenia sa prevádzkovateľa spracúvajúceho údaje v Maďarsku, možno usúdiť, že toto spracovanie údajov sa vykonáva v kontexte činností tejto prevádzkarne a že článok 4 ods. 1 písm. a) smernice 96/46 umožňuje v situácii v spore vo veci samej uplatnenie maďarského práva týkajúceho sa ochrany osobných údajov.
40 Skutočnosť, že vlastníci inzerovaných nehnuteľností majú maďarskú štátnu príslušnosť, naproti tomu nie je nijako relevantná na účely určenia vnútroštátneho práva uplatniteľného na spracovanie údajov dotknutých vo veci samej.
41 Vzhľadom na predchádzajúce úvahy je potrebné na prvú až šiestu otázku odpovedať takto:
– článok 4 ods. 1 písm. a) smernice 95/46 sa má vykladať v tom zmysle, že umožňuje uplatnenie právnej úpravy týkajúcej sa ochrany osobných údajov iného členského štátu, ako je členský štát, v ktorom je prevádzkovateľ spracúvajúci tieto údaje zapísaný, pokiaľ tento prevádzkovateľ na území prvého členského štátu vykonáva prostredníctvom stálej prevádzkarne hoci aj minimálnu skutočnú a efektívnu činnosť,
– na účely určenia, či je to tak, môže vnútroštátny súd za okolností, akými sú okolnosti vo veci samej, zohľadniť najmä skutočnosť, že jednak činnosť prevádzkovateľa spracúvajúceho tieto údaje, v kontexte ktorej sa toto spracovanie vykonáva, spočíva v prevádzkovaní internetových stránok s inzerátmi na nehnuteľnosti, ktoré sa nachádzajú na území tohto členského štátu, v jazyku tohto štátu, a že teda prevažne, či dokonca úplne smeruje do uvedeného členského štátu, a jednak aj skutočnosť, že prevádzkovateľ spracúvajúci údaje má v uvedenom členskom štáte zástupcu, ktorý je poverený vymáhaním pohľadávok vyplývajúcich z tejto činnosti, ako aj zastupovaním prevádzkovateľa v správnych a súdnych konaniach týkajúcich sa spracovania dotknutých údajov,
– naproti tomu otázka štátnej príslušnosti osôb dotknutých týmto spracovaním údajov nie je relevantná.
O siedmej otázke
42 Siedma otázka je položená pre prípad, že maďarský dozorný orgán usúdi, že stála prevádzkareň spoločnosti Weltimmo v zmysle článku 4 ods. 1 písm. a) smernice 95/46, ktorá vykonáva činnosti, v kontexte ktorých sa uskutočňuje spracovanie dotknutých osobných údajov, nie je v Maďarsku, ale v inom členskom štáte.
43 Touto otázkou sa vnútroštátny súd v podstate pýta, či v prípade, ak by maďarský dozorný orgán došiel k záveru, že právom uplatniteľným na spracovanie osobných údajov nie je maďarské právo, ale právo iného členského štátu, mal by sa článok 28 ods. 1, 3 a 6 smernice 95/46 vykladať v tom zmysle, že tento orgán môže vykonávať iba právomoci stanovené v článku 28 ods. 3 tejto smernice v súlade s právom tohto iného členského štátu a nemôže ukladať sankcie.
44 Pokiaľ ide po prvé o právomoc dozorného orgánu konať v takejto situácii, je potrebné uviesť, že podľa článku 28 ods. 4 smernice 95/46 sa na dozorný orgán môže obrátiť akákoľvek osoba so žiadosťou o ochranu svojich práv a slobôd súvisiacich so spracovaním osobných údajov.
45 Na maďarský dozorný orgán sa teda v dotknutej situácii vo veci samej môžu obrátiť osoby, akými sú inzerenti nehnuteľností vo veci samej, ktorí sa považujú za obete protiprávneho spracovania svojich osobných údajov v členskom štáte, v ktorom tieto nehnuteľnosti vlastnia.
46 Po druhé je potrebné preskúmať, aké právomoci má tento dozorný orgán s ohľadom na článok 28 ods. 1, 3 a 6 smernice 95/46.
47 Z článku 28 ods. 1 tejto smernice vyplýva, že každý dozorný orgán zriadený členským štátom monitoruje na svojom území dodržiavanie ustanovení prijatých členskými štátmi v súlade s touto smernicou.
48 Podľa článku 28 ods. 3 smernice 95/46 majú tieto dozorné orgány najmä vyšetrovacie právomoci, akými sú napríklad práva zbierať všetky informácie nevyhnutné na plnenie svojich povinností dozoru a efektívne intervenčné právomoci, akými sú napríklad nariadenie zablokovania, vymazania alebo zničenia údajov, uvalenie dočasného alebo úplného zákazu na spracovanie alebo upozornenie alebo napomenutie prevádzkovateľa spracúvajúceho údaje.
49 Vzhľadom na uvedený demonštratívny výpočet právomocí a na druh intervenčných právomocí uvedených v tomto ustanovení, ako aj na manévrovací priestor, ktorým disponujú členské štáty pri prebratí smernice 95/46, je potrebné sa domnievať, že tieto intervenčné právomoci môžu zahŕňať aj právomoc sankcionovať prevádzkovateľova spracúvajúceho údaje a prípadne mu uložiť pokutu.
50 Právomoci priznané dozorným orgánom musia byť vykonávané v súlade s procesným právom ich členského štátu.
51 Z článku 28 ods. 1 a 3 smernice 95/46 vyplýva, že každý dozorný orgán vykonáva všetky právomoci, ktoré mu boli priznané na území jeho členského štátu, s cieľom zabezpečiť dodržiavanie pravidiel v oblasti ochrany údajov na tomto území.
52 Táto územná právomoc každého dozorného orgánu je potvrdená článkom 28 ods. 6 tejto smernice, ktorý stanovuje, že každý dozorný orgán je kompetentný vykonávať na území svojho členského štátu právomoci jemu udelené v súlade s článkom 28 ods. 3 uvedenej smernice, a to bez ohľadu na uplatniteľné vnútroštátne právo. Odsek 6 tohto článku 28 navyše spresňuje, že každý orgán môže byť požiadaný orgánom iného členského štátu, aby vykonal svoje právomoci a že dozorné orgány navzájom spolupracujú v miere nevyhnutnej na plnenie svojich povinností, najmä výmenou všetkých užitočných informácií.
53 Toto ustanovenie je nevyhnutné pre zabezpečenie voľného pohybu osobných údajov v Únii pri súčasnom rešpektovaní pravidiel smerujúcich k ochrane práva fyzických osôb na súkromie stanovených v smernici 95/46. Pri neexistencii uvedeného ustanovenia v prípade, že by prevádzkovateľ spracúvajúci údaje podliehal zákonu jedného členského štátu, ale porušoval by právo fyzických osôb na ochranu súkromia v druhom členskom štáte, najmä nasmerovaním svojej činnosti do tohto druhého členského štátu bez toho, aby sa v ňom usadil v zmysle tejto smernice, bolo by totiž pre uvedené osoby ťažké, alebo dokonca nemožné, dosiahnuť rešpektovanie práva na túto ochranu.
54 Z článku 28 ods. 6 smernice 95/46 teda vyplýva, že dozorný orgán členského štátu, na ktorý sa obrátia fyzické osoby so sťažnosťou týkajúcou sa spracovania ich osobných údajov na základe článku 28 ods. 4 tejto smernice, môže preskúmať túto sťažnosť bez ohľadu na uplatniteľné právo, a teda aj vtedy, ak právom uplatniteľným na spracovanie dotknutých údajov je právo iného členské štátu.
55 V takomto prípade však právomoci tohto orgánu nezahŕňajú nutne všetky právomocí, ktoré sú mu priznané právom jeho vlastného členského štátu.
56 Ako uviedol generálny advokát v bode 50 svojich návrhov, z požiadaviek vyplývajúcich z územnej suverenity dotknutého členského štátu a zo zásady zákonnosti a z pojmu právny štát totiž vyplýva, že sankčnú právomoc v zásade nemožno vykonávať mimo rámca právnych predpisov, ktoré oprávňujú správny orgán k tomu, aby konal na základe svojho vnútroštátneho práva.
57 Ak je teda dozornému orgánu predložená sťažnosť v súlade s článkom 28 ods. 4 smernice 95/46, môže tento orgán vykonávať svoje vyšetrovacie právomoci bez ohľadu na uplatniteľné právo a dokonca pred zistením, ktoré vnútroštátne právo je na dotknuté spracovanie údajov uplatniteľné. Ak však dôjde k záveru, že uplatniteľné je právo iného členského štátu, nemôže ukladať sankcie mimo územia svojho členského štátu. V takejto situácii musí v súlade s povinnosťou spolupráce uloženou článkom 28 ods. 6 tejto smernice požiadať dozorný orgán tohto iného členského štátu, aby rozhodol o prípadnom porušení tohto práva a uložil sankcie, ak to uvedené právo dovoľuje, pričom sa môže prípadne opierať o informácie, ktoré mu dozorný orgán prvého členského štátu poskytol.
58 Dozorný orgán, na ktorý bola takáto sťažnosť podaná, môže byť v rámci tejto spolupráce vyzvaný, aby vykonal ďalšie šetrenia na základe pokynov dozorného orgánu druhého členského štátu.
59 Z toho vyplýva, že ak by v predmetnej situácii vo veci samej bolo uplatniteľným právom právo iného členského štátu ako Maďarska, maďarský dozorný orgán by nemohol vykonať právomoc uložiť sankcie, ktoré mu maďarské právo priznáva.
60 Z vyššie uvedených úvah vyplýva, že na siedmu otázku je potrebné odpovedať tak, že v prípade, ak by dozorný orgán členského štátu, na ktorý bola podaná sťažnosť podľa článku 28 ods. 4 smernice 95/46, došiel k záveru, že právom uplatniteľným na spracovanie dotknutých osobných údajov nie je právo tohto členského štátu, ale právo iného členského štátu, mal by sa článok 28 ods. 1, 3 a 6 tejto smernice vykladať v tom zmysle, že tento dozorný orgán môže vykonávať efektívne intervenčné právomoci, ktoré mu boli priznané článkom 28 ods. 3 uvedenej smernice, iba na území svojho vlastného členského štátu. Nemôže teda na základe práva tohto členského štátu uložiť sankcie prevádzkovateľovi spracúvajúcemu tieto údaje, ktorý nie je usadený na tomto území, ale na základe článku 28 ods. 6 tejto smernice musí požiadať dozorný orgán členského štátu, ktorého právo je uplatniteľné, aby zakročil.
O ôsmej otázke
61 Svojou ôsmou otázkou sa vnútroštátny súd pýta Súdneho dvora na rozsah pojmu „adatfeldolgozás“ (správa údajov) použitého najmä v článku 4 ods. 1 písm. a) smernice 95/46, ktorý sa týka určenia uplatniteľného práva, a v článku 28 ods. 6 tejto smernice, ktorý sa týka právomocí dozorného orgánu.
62 Z maďarského znenia smernice 95/46 vyplýva, že táto smernica neustále používa výraz „adatfeldolgozás“.
63 Vnútroštátny súd poukazuje na to, že infozákon predovšetkým vo svojich vykonávacích ustanoveniach k smernici 95/46 týkajúcich sa právomocí dozorných orgánov používa výraz „adatkezelés“ (spracovanie údajov). Zo znenia § 3 bodu 10 tohto zákona vyplýva, že tento výraz má širší význam ako výraz „adatfeldolgozás“ definovaný v § 3 bode 17 uvedeného zákona a zahŕňa v sebe aj tento výraz.
64 Hoci pojem „adatfeldolgozás“ má podľa jeho bežného chápania, a ako vyplýva tiež z infozákona, užší význam, ako pojem „adatkezelés“, je potrebné zdôrazniť, že smernica 95/46 v maďarskej jazykovej verzii definuje výraz „adatfeldolgozás“ v jej článku 2 písm. b) širokým spôsobom zodpovedajúcim výrazu „adatkezelés“.
65 Z toho vyplýva, že na ôsmu otázku je potrebné odpovedať tak, že smernica 95/46 sa má vykladať v tom zmysle, že pojem „adatfeldolgozás“ (správa údajov) použitý v maďarskej verzii tejto smernice, najmä v jej článku 4 ods. 1 písm. a) a v jej článku 28 ods. 6, sa má chápať v rovnakom zmysle ako výraz „adatkezelés“ (spracovanie údajov).
O trovách
66 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (tretia komora) rozhodol takto:
1. Článok 4 ods. 1 písm. a) smernice Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov sa má vykladať v tom zmysle, že umožňuje uplatnenie právnej úpravy týkajúcej sa ochrany osobných údajov iného členského štátu, ako je členský štát, v ktorom je prevádzkovateľ spracúvajúci tieto údaje zapísaný, pokiaľ tento prevádzkovateľ na území prvého členského štátu vykonáva prostredníctvom stálej prevádzkarne hoci aj minimálnu skutočnú a efektívnu činnosť.
Na účely určenia, či je to tak, môže vnútroštátny súd za okolností, akými sú okolnosti vo veci samej, zohľadniť najmä skutočnosť, že jednak činnosť prevádzkovateľa spracúvajúceho údaje, v kontexte ktorej sa toto spracovanie vykonáva, spočíva v prevádzkovaní internetových stránok s inzerátmi na nehnuteľnosti, ktoré sa nachádzajú na území tohto členského štátu, v jazyku tohto štátu, a že teda prevažne, či dokonca úplne smeruje do uvedeného členského štátu, a jednak aj skutočnosť, že tento prevádzkovateľ má v uvedenom členskom štáte zástupcu, ktorý je poverený vymáhaním pohľadávok vyplývajúcich z tejto činnosti, ako aj zastupovaním prevádzkovateľa v správnych a súdnych konaniach týkajúcich sa spracovania dotknutých údajov.
Naproti tomu otázka štátnej príslušnosti osôb dotknutých týmto spracovaním údajov nie je relevantná.
2. V prípade, ak by dozorný orgán členského štátu, na ktorý bola podaná sťažnosť podľa článku 28 ods. 4 smernice 95/46, došiel k záveru, že právom uplatniteľným na spracovanie dotknutých osobných údajov nie je právo tohto členského štátu, ale právo iného členského štátu, mal by sa článok 28 ods. 1, 3 a 6 tejto smernice vykladať v tom zmysle, že tento dozorný orgán môže vykonávať efektívne intervenčné právomoci, ktoré mu boli priznané článkom 28 ods. 3 uvedenej smernice iba na území svojho vlastného členského štátu. Nemôže teda na základe práva tohto členského štátu uložiť sankcie prevádzkovateľovi spracúvajúcemu tieto údaje, ktorý nie je usadený na tomto území, ale na základe článku 28 ods. 6 tejto smernice musí požiadať dozorný orgán členského štátu, ktorého právo je uplatniteľné, aby zakročil.
3. Smernica 95/46 sa má vykladať v tom zmysle, že pojem „adatfeldolgozás“ (správa údajov) použitý v maďarskej verzii tejto smernice, najmä v jej článku 4 ods. 1 písm. a) a v jej článku 28 ods. 6, sa má chápať v rovnakom zmysle ako výraz „adatkezelés“ (spracovanie údajov).
Podpisy