Predmet C‑230/14

Weltimmo s.r.o.

protiv

Nemzeti Adatvédelmi és Információszabadság Hatóság

(zahtjev za prethodnu odluku koji je uputila Kúria)

„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46/EZ – Članak 4. stavak 1. i članak 28. stavci 1., 3. i 6. – Nadzornik obrade formalno nastanjen u jednoj državi članici – Ugrožavanje prava na zaštitu osobnih podataka koji se odnose na fizičke osobe u drugoj državi članci – Određivanje primjenjivog prava i nadležnog nadzornog tijela – Izvršavanje ovlasti nadzornog tijela – Ovlast kažnjavanja“

Sažetak – Presuda Suda (treće vijeće) od 1. listopada 2015.

1.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Poslovni nastan društva odgovornog za obradu podataka – Pojam – Fleksibilno tumačenje

(Direktiva 95/46 Europskog parlamenta i Vijeća, uvodna izjava 19.)

2.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Društvo odgovorno za obradu podataka u državi članici različitoj od one u kojoj je registrirano – Primjena zakonodavstva te druge države članice – Pretpostavka – Efektivno i stvarno obavljanje djelatnosti putem stabilnih aranžmana – Kriteriji za ocjenu

(Direktiva 95/46 Europskog parlamenta i Vijeća, čl. 4. st. 1. t. (a))

3.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Žalba podnesena nadzornom tijelu države članice – Nadzorno tijelo koje utvrdi da je na obradu podataka primjenjivo zakonodavstvo druge države članice – Ovlasti za posredovanje navedenog tijela – Granice

(Direktiva 95/46 Europskog parlamenta i Vijeća, čl. 28. st. 1., 3., 4. i 6.)

4.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Pojam „adatfeldolgozás“ (procesiranje podataka) u mađarskoj verziji – Doseg

(Direktiva 95/46 Europskog parlamenta i Vijeća, čl. 4. st. 1. t. (a) i čl. 28. st. 6.)

1.        Iz uvodne izjave 19. Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka proizlazi da fleksibilno razumijevanje pojma poslovnog nastana, koje odstupa od formalističkog pristupa prema kojemu bi poduzeće imalo poslovni nastan samo u onom mjestu u kojem je registrirano. Prema tome, kako bi se utvrdilo ima li društvo, koje je nadzornik obrade, poslovni nastan u smislu Direktive 95/46 u državi članici različitoj od države članice ili treće zemlje u kojoj je registrirano, treba procijeniti kako stupanj stabilnosti dogovora tako i efektivnost provođenja aktivnosti u toj drugoj državi članici, uzimajući u obzir posebnu prirodu predmetnih gospodarskih djelatnosti i pružanja usluga. To tim više vrijedi za poduzeća koja se bave pružanjem usluga isključivo putem interneta.

(t. 29.)

2.        Članak 4. stavak 1. točku (a) Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka treba tumačiti na način da omogućuje primjenu zakonodavstva koje se odnosi na zaštitu osobnih podataka države članice koja je različita od one u kojoj je nadzornik obrade tih podataka registriran ako on putem stabilnih aranžmana na području te države članice obavlja, čak i najmanju, efektivnu i stvarnu djelatnost u okviru koje se ta obrada provodi.

Kako bi se utvrdilo je li riječ o takvom slučaju, sud koji je uputio zahtjev može među ostalim uzeti u obzir činjenicu, s jedne strane, da se djelatnost nadzornika navedene obrade, u okviru koje je došlo do te obrade, sastoji u upravljanju internetskim stranicama za posredovanje nekretninama koje se odnose na nekretnine smještene na području te države članice i koje su sastavljene na njezinom jeziku i da je ta djelatnost prema tome većinom, ako ne i u potpunosti, usmjerena prema navedenoj državi članici te, s druge strane, da taj nadzornik ima zastupnika u navedenoj državi članici, koji je odgovoran za naplatu potraživanja koja proizlaze iz te djelatnosti kao i za zastupanje u upravnim i sudskim postupcima koji se odnose na obradu predmetnih podataka.

Naprotiv, nije bitno državljanstvo osoba na koje se ta obrada odnosi.

(t. 41. i t. 1. izreke)

3.        U slučaju da nadzorno tijelo države članice koje razmatra pritužbe sukladno članku 28. stavku 4. Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka zaključi da pravo koje je primjenjivo na obradu osobnih podataka nije pravo te države članice, nego neke druge, članak 28. stavke 1., 3. i 6. te direktive treba tumačiti na način da bi to tijelo moglo izvršavati učinkovite ovlasti za posredovanje koje su mu dodijeljene sukladno članku 28. stavku 3. navedene direktive samo na području države članice kojoj pripada. Prema tome, to tijelo ne može nametati sankcije na temelju prava te države članice nadzorniku obrade tih podataka koji nema poslovni nastan na tom području, ali bi sukladno članku 28. stavku 6. iste direktive moralo zatražiti nadzorno tijelo države članice čije je pravo primjenjivo da postupi.

Naime, iz zahtjeva teritorijalnog suvereniteta predmetne države članice, načela zakonitosti i pojma pravne države proizlazi da se ovlast kažnjavanja ne može, u načelu, izvršavati izvan zakonskih granica u kojima je upravnom tijelu ovlašteno djelovati, uz poštovanje prava države članice kojoj pripada.

(t. 56., 60. i t. 2. izreke)

4.        Direktivu 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka treba tumačiti na način da se za pojam „adatfeldolgozás“ (procesiranje podataka), koji se koristi u mađarskoj jezičnoj verziji te direktive, osobito u njezinu članku 4. stavku 1. točki (a) i članku 28. stavku 6., treba smatrati da ima isto značenje kao pojam „adatkezelés“ (obrada podataka).

(t. 65. i t. 3. izreke)