PRESUDA SUDA (treće vijeće)
1. listopada 2015.(*)
„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46/EZ – Članak 4. stavak 1. i članak 28. stavci 1., 3. i 6. – Nadzornik obrade formalno nastanjen u jednoj državi članici – Ugrožavanje prava na zaštitu osobnih podataka koji se odnose na fizičke osobe u drugoj državi članci – Određivanje primjenjivog prava i nadležnog nadzornog tijela – Izvršavanje ovlasti nadzornog tijela – Ovlast kažnjavanja“
U predmetu C‑230/14,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Vrhovni sud (Kúria, Mađarska), odlukom od 22. travnja 2014., koju je Sud zaprimio 12. svibnja 2014., u postupku
Weltimmo s. r. o.
protiv
Nemzeti Adatvédelmi és Információszabadság Hatóság,
SUD (treće vijeće),
u sastavu: M. Ilešič, predsjednik vijeća, A. Ó Caoimh, C. Toader, E. Jarašiūnas i C. G. Fernlund (izvjestitelj), suci,
nezavisni odvjetnik: P. Cruz Villalón,
tajnik: I. Illéssy, administrator,
uzimajući u obzir pisani postupak i nakon rasprave održane 12. ožujka 2015.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Nemzeti Adatvédelmi és Információszabadság Hatóság, A. Péterfalvi, u svojstvu agenta, uz asistenciju G. Dudása, ügyvéd,
– za mađarsku vladu, M. Z. Fehér, G. Koós kao i A. Pálfy, u svojstvu agenata,
– za poljsku vladu, B. Majczyna kao i M. Kamejsza i M. Pawlicka, u svojstvu agenata,
– za slovačku vladu, B. Ricziová, u svojstvu agenta,
– za vladu Ujedinjene Kraljevine, M. Holt u svojstvu agenta, uz asistenciju J. Holmesa, barrister,
– za Europsku komisiju, A. Tokár, B. Martenczuk kao i J. Vondung, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 25. lipnja 2015.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 4. stavka 1. točke (a) i članka 28. stavaka 1., 3. i 6. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.).
2 Zahtjev je upućen u okviru spora između Weltimma s. r. o. (u daljnjem tekstu: Weltimmo), društva čije se sjedište nalazi u Slovačkoj, i Nemzeti Adatvédelmi és Információszabadság Hatóság (nacionalno tijelo zaduženo za zaštitu podataka i slobode informiranja, u daljnjem tekstu: mađarsko nadzorno tijelo) u vezi s kaznom koju je potonje izreklo zbog povrede Zakona br. CXII iz 2011. o samoodređenju u području informacija i slobodi pristupa informacijama (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény, u daljnjem tekstu: Zakon o informacijama), kojim je u mađarsko pravo prenesena Direktiva 95/46.
Pravni okvir
Pravo Unije
3 Uvodne izjave 3., 18. i 19. Direktive 95/46 navode:
„(3) budući da uspostava i funkcioniranje unutarnjeg tržišta u kojem je, u skladu s člankom [26. UFEU‑a], osigurano slobodno kretanje roba, osoba, usluga i kapitala, zahtijeva ne samo slobodno kretanje osobnih podataka iz jedne države članice u drugu, nego i očuvanje temeljnih prava pojedinaca;
[...]
(18) budući da, kako bi se osiguralo da pojedinci nisu lišeni zaštite na koju imaju pravo na temelju ove Direktive, bilo kakva obrada osobnih podataka u Zajednici mora se izvršavati u skladu sa zakonodavstvom jedne od država članica; budući da se u vezi s time obrada za koju je odgovoran nadzornik s poslovnim nastanom u državi članici treba urediti zakonodavstvom te države;
(19) budući da poslovni nastan na području države članice podrazumijeva učinkovito [efektivno] i stvarno provođenje aktivnosti [obavljanje djelatnosti] kroz stabilne dogovore [aranžmane]; budući da pravni oblik takvog poslovnog nastana, bilo da je to podružnica ili društvo kći s pravnom osobnošću, nije odlučujući činitelj u tome smislu; budući da kada pojedini nadzornik ima poslovni nastan na području nekoliko država članica, posebno putem društava kćeri, on mora osigurati, kako bi spriječio izbjegavanje nacionalnih propisa, da svaki poslovni nastan ispunjava obveze koje nalaže nacionalno zakonodavstvo koje se primjenjuje na njegove aktivnosti [aktivnosti svakog od njih]“.
4 Članak 2. Direktive 95/46 propisuje:
„U smislu ove Direktive:
[...]
b) ,obrada osobnih podataka’ [,feldolgozása’] (,obrada’ [,feldolgozás’]) znači bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje;
[...]“
5 Članak 4. stavak 1. točka (a) Direktive 95/46 određuje:
„1. Svaka država članica na obradu osobnih podataka primjenjuje nacionalne propise koje donese u skladu s ovom Direktivom kada:
a) se obrada provodi u smislu [okviru] aktivnosti poslovnog nastana nadzornika na području države članice; kada taj nadzornik ima poslovni nastan na području nekoliko država članica, on mora poduzeti potrebne mjere kako bi osigurao da svaki od tih poslovnih nastana ispunjava obveze propisane važećim nacionalnim pravom“.
6 Sukladno članku 28. stavcima 1., 3. i 6. Direktive 95/46:
„1. Svaka država članica osigurava da je jedno ili više javnih tijela na njenom području odgovorno za nadzor primjene odredbi koje su donijele države članice u skladu s ovom Direktivom.
Ta tijela u provedbi funkcija koje su im povjerene djeluju potpuno neovisno.
[...]
3. Svako tijelo posebno ima:
– istražne ovlasti, kao što je ovlast pristupa podacima koji su predmet postupaka obrade i ovlasti za prikupljanje svih podataka potrebnih za izvršavanje svojih nadzornih dužnosti,
– učinkovite ovlasti za posredovanje, kao što je na primjer davanje mišljenja prije nego li se izvrše postupci obrade, u skladu s člankom 20. ove Direktive, te osiguranje odgovarajuće objave takvih mišljenja te ovlasti naređivanja blokiranja, brisanja ili uništavanja podataka, nametanja privremene ili konačne zabrane obrade, upozoravanja ili opominjanja nadzornika ili upućivanja predmeta nacionalnim parlamentima ili drugim političkim institucijama,
– ovlast za sudjelovanje u sudskim postupcima ako su prekršene nacionalne odredbe donesene u skladu s ovom Direktivom ili za upoznavanje sudskih tijela s tim kršenjima.
Protiv odluka nadzornog tijela mogu se izjaviti žalbe putem sudova.
[...]
6. Svako nadzorno tijelo je na području svoje države članice nadležno za provedbu ovlasti koje su mu dodijeljene u skladu sa stavkom 3. ovog članka, neovisno o tome koje se nacionalno pravo primjenjuje na tu obradu. Svako tijelo može zatražiti tijelo druge države članice da provodi svoje ovlasti.
Nadzorna tijela međusobno surađuju u mjeri potrebnoj za izvršavanje svojih ovlasti, posebno razmjenom korisnih podataka.“
Mađarsko pravo
7 Članak 2. stavak 1. Zakona o informacijama predviđa:
„Područje primjene ovog zakona obuhvaća svaku obradu i procesiranje podataka koji se izvršavaju na području Mađarske u vezi s podacima koji se odnose na fizičke osobe i podacima u općem interesu ili podacima dostupnima zbog razloga u općem interesu.“
8 Članak 3. stavci 10. i 17. Zakona o informacijama sadrži sljedeće definicije:
„10. ,Obrada podataka’ znači bilo koji postupak ili skup postupaka koji se izvršavaju u vezi s podacima, neovisno o korištenoj metodi, osobito prikupljanje, upisivanje, snimanje, organiziranje, pohrana, mijenjanje, uporaba, zahtijevanje, prijenos, objavljivanje, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje kao i sprečavanje druge uporabe podataka, snimanje fotografija, zvukova ili slika ili snimanje fizičkih osobina koje služe za identifikaciju osoba (na primjer otisci prstiju ili dlana, uzorci DNK‑a ili skeniranje šarenice);
[...]
17. ,Procesiranje podataka' [,adatfeldolgozás'] znači izvršavanje tehničkih zadataka povezanih s postupcima obrade podataka, bez obzira na metodu ili opremu korištenu za izvršenje postupaka i mjesto na kojem se provode, pod uvjetom da se tehnički zadaci izvode na podacima“.
Glavni postupak i prethodna pitanja
9 Weltimmo, društvo registrirano u Slovačkoj, upravlja internetskom stranicom za posredovanje nekretninama koja se odnosi na nekretnine smještene u Mađarskoj. Na tom temelju obrađuje osobne podatke oglašivača. Oglasi se objavljuju besplatno tijekom jednog mjeseca, a po isteku tog roka postaju naplatni. Velik broj oglašivača je putem elektroničke pošte zatražio povlačenje svojih oglasa po isteku tog roka i istodobno brisanje osobnih podataka koji se na njih odnose. Weltimmo ih međutim nije obrisao te je dotičnim osobama izdao račune za svoje usluge. Budući da ti iznosi nisu bili plaćeni, to je društvo prenijelo osobne podatke koji se odnose na dotične oglašivače poduzećima za naplatu potraživanja.
10 Navedeni oglašivači podnijeli su pritužbe mađarskom nadzornom tijelu. Ono se proglasilo nadležnim na temelju članka 2. stavka 1. Zakona o informacijama, smatrajući da je do prikupljanja predmetnih podataka došlo na mađarskom području i da ono predstavlja obradu podataka ili procesiranje podataka koje se odnosi na fizičke osobe. Zaključivši da je Weltimmo povrijedio Zakon o informacijama, to nadzorno tijelo je navedenom društvu izreklo novčanu kaznu u iznosu od 10 milijuna mađarskih forinti (HUF) (približno 32.000 eura).
11 Weltimmo je zatim pokrenuo postupak pred sudom za upravne i radne sporove u Budimpešti (Fővárosi Közigazgatási és Munkaügyi Bíróság), koji je smatrao da činjenica da to društvo nema sjedište ili poslovni nastan u Mađarskoj ne predstavlja valjani argument obrane, s obzirom na to da je do pružanja podataka koji se odnose na predmetne mađarske nekretnine kao i do obrade tih podataka došlo u Mađarskoj. Taj sud je ipak poništio odluku zbog drugih razloga koji su se odnosili na nedovoljnu razjašnjenost određenih činjenica.
12 Weltimmo je podnio žalbu u kasacijskom postupku pred sudom koji je uputio zahtjev tvrdeći da nikakvo dodatno pojašnjenje činjenica nije bilo potrebno s obzirom na to da, na temelju članka 4. stavka 1. točke (a) Direktive 95/46, mađarsko nadzorno tijelo u ovom slučaju nije bilo nadležno i nije moglo primijeniti mađarsko pravo na pružatelja usluga sa sjedištem u drugoj državi članici. Weltimmo je smatrao da je, sukladno članku 28. stavku 6. Direktive 95/46, to tijelo trebalo pozvati nadležno slovačko tijelo da u predmetu postupa umjesto njega.
13 Mađarsko nadzorno tijelo je istaknulo da Weltimmo u Mađarskoj ima zastupnika mađarskog državljanstva, odnosno jednog od vlasnika tog društva, koji ga je zastupao u upravnom i sudskom postupku vođenom u toj državi članici. Navedeno tijelo je nadodalo da se mrežni poslužitelji Weltimma najvjerojatnije nalaze u Njemačkoj ili Austriji, ali da vlasnici tog društva žive u Mađarskoj. Naposljetku, prema mišljenju tog tijela, iz članka 28. stavka 6. Direktive 95/46 proizlazi da je ono u svakom slučaju nadležno postupati, neovisno o primjenjivom pravu.
14 Imajući sumnje u vezi s određivanjem primjenjivog prava i u vezi s ovlastima kojima raspolaže mađarsko nadzorno tijelo s obzirom na članak 4. stavak 1. i članak 28. Direktive 95/46, Vrhovni sud je odlučio prekinuti postupak i postaviti Sudu sljedeća prethodna pitanja:
„1. Treba li članak 28. stavak 1. Direktive 95/46/EZ tumačiti na način da je nacionalni propis države članice primjenjiv na njezinu području na osobu odgovornu za obradu podataka s poslovnim nastanom isključivo u drugoj državi članici, koja upravlja internetskom stranicom za posredovanje nekretninama i između ostalog oglašava nekretnine koje se nalaze na području prve države članice, a vlasnici nekretnina su osobne podatke koji se na njih odnose prenijeli na medij (poslužitelj) za pohranu i obradu podataka koji pripada upravitelju internetske stranice i koji se nalazi u drugoj državi članici?
2. Treba li članak 4. stavak 1. točku (a) Direktive 95/46, u svjetlu uvodnih izjava 18. do 20. i članka 1. stavka 2. te članka 28. stavka 1. te direktive tumačiti na način da mađarsko nadzorno tijelo ne može primjenjivati mađarski zakon o zaštiti podataka, kao nacionalno pravo, na upravitelja internetske stranice za posredovanje nekretninama koji ima poslovni nastan isključivo u drugoj državi članici, čak niti kada on, između ostalog, oglašava mađarske nekretnine čiji su vlasnici prenijeli, vjerojatno s mađarskog područja, podatke u vezi sa svojim nekretninama na medij (poslužitelj) za pohranu i obradu podataka koji pripada upravitelju internetske stranice koji se nalazi u drugoj državi članici?
3. Je li za potrebe tumačenja bitno da je usluga koju je pružila osoba koja je odgovorna za obradu podataka i koja upravlja internetskom stranicom usmjerena na područje druge države članice?
4. Je li za potrebe tumačenja bitno da su podaci u vezi s nekretninama koje se nalaze na području druge države članice te osobni podaci koji se odnose na njihove vlasnike zapravo učitani s područja te druge države članice?
5. Je li za potrebe tumačenja bitno da su osobni podaci u vezi s navedenim nekretninama osobni podaci koji se odnose na državljane druge države članice?
6. Je li za potrebe tumačenja bitno da vlasnici poduzeća sa sjedištem u Slovačkoj žive u Mađarskoj?
7. Ako iz odgovora na pitanja koja prethode proizlazi da mađarsko nadzorno tijelo može voditi postupak, ali ne može primjenjivati mađarsko pravo, već pravo države članice sjedišta, treba li članak 28. stavak 6. Direktive 95/46 tumačiti na način da mađarsko nadzorno tijelo jedino može izvršavati ovlasti navedene u članku 28. stavku 3. te direktive, i to sukladno propisu države članice sjedišta, i da stoga nije ovlašteno izreći novčanu kaznu?
8. Može li se smatrati da je pojam ,adatfeldolgozás' (procesiranje podataka) sadržan kako u članku 4. stavku 1. točki (a) tako i u članku 28. stavku 6. Direktive 95/46 istovjetan pojmu ,adatkezelés' (obrada podataka)?“
O prethodnim pitanjima
Uvodne napomene
15 Što se tiče ponajprije činjeničnog okvira spora u glavnom postupku, valja spomenuti određen broj dodatnih informacija, koje je mađarsko nadzorno tijelo iznijelo u svojim pisanim očitovanima i tijekom rasprave pred Sudom.
16 Iz tih informacija proizlazi, kao prvo, da je to tijelo na neformalan način od svojeg slovačkog ekvivalenta saznalo da Weltimmo ne obavlja nikakvu aktivnost u mjestu svojeg sjedišta, Slovačkoj. Usto, Weltimmo je u više navrata premjestio svoje sjedište iz jedne države u drugu. Kao drugo, Weltimmo je razvio dvije stranice za posredovanje nekretninama, sastavljene isključivo na mađarskom jeziku. Otvorio je bankovni račun u Mađarskoj, namijenjen naplati svojih potraživanja, i raspolagao poštanskim pretincem u toj državi članici, za svoje tekuće poslove. Pošta se redovito skupljala i elektroničkim putem slala Weltimmu. Kao treće, oglašivači su samostalno morali ne samo upisati na Weltimmovu stranicu podatke koji se odnose na njihove nekretnine, nego i izbrisati podatke s te stranice ako ne žele da se oni tamo i dalje nalaze po isteku prethodno navedenog roka od mjesec dana. Weltimmo je naveo poteškoće s upravljanjem informatičkim sustavom kao razlog zbog kojeg to brisanje nije bilo moguće učiniti. Kao četvrto, Weltimmo je društvo koje se sastoji od samo jedne ili dvije osobe. Njegov zastupnik u Mađarskoj pokušao je pregovarati s oglašivačima o ispunjenju neplaćenih tražbina.
17 Nadalje, što se tiče teksta postavljenih pitanja, iako sud koji je uputio zahtjev koristi izraz „s poslovnim nastanom isključivo u“ u svojem prvom i drugom pitanju, iz odluke o postavljanju prethodnih pitanja i podnesenih pisanih i usmenih očitovanja mađarskog nadzornog tijela proizlazi da, iako je Weltimmo registriran u Slovačkoj te stoga ima sjedište u toj državi članici, u smislu prava društava, postoji sumnja u vezi s tim ima li „poslovni nastan“ samo u toj državi članici, u smislu članka 4. stavka 1. točke (a) Direktive 95/46. S obzirom na to da je od Suda zatražio tumačenje te odredbe, sud koji je uputio zahtjev naime želi znati što obuhvaća pojam „poslovni nastan“ korišten u toj odredbi.
18 Naposljetku valja navesti da u prvom i drugom pitanju sud koji je uputio zahtjev spominje da se poslužitelj koji Weltimmo koristi nalazi u Slovačkoj, dok u drugom odjeljku odluke o postavljanju prethodnih pitanja spominje mogućnost da se poslužitelji tog društva nalaze u Njemačkoj ili Austriji. U ovim okolnostima prikladno je smatrati da nije riješeno pitanje u kojoj se državi članici nalazi poslužitelj ili poslužitelji koje navedeno društvo koristi.
Prvo do šesto pitanje
19 Svojim prvim do šestim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 4. stavak 1. točku (a) i članak 28. stavak 1. Direktive 95/46 tumačiti na način da, u okolnostima poput onih u glavnom postupku, omogućuju nadzornom tijelu države članice da primjeni svoje nacionalno pravo o zaštiti podataka na nadzornika čije je društvo registrirano u drugoj državi članici i koji upravlja internetskom stranicom za posredovanje nekretninama koja se odnosi na nekretnine smještene na području prve od tih dviju država. Posebice pita je li ta država članica ona:
– prema kojoj je usmjerena djelatnost nadzornika obrade osobnih podataka,
– u kojoj su predmetne nekretnine smještene,
– iz koje se podaci koji se odnose na vlasnike tih nekretnina priopćuju,
– čiji su potonji državljani i
– u kojoj vlasnici tog društva žive.
20 Što se tiče primjenjivog prava, sud koji je uputio zahtjev točnije spominje slovačko i mađarsko pravo, pri čemu je prvo ono države članice u kojoj je nadzornik obrade predmetnih osobnih podataka registriran, a drugo ono države članice na koju se internetske stranice u glavnom postupku odnose, na čijem području se nalaze nekretnine koje su predmet objavljenih oglasa.
21 U tom pogledu, valja utvrditi da članak 4. Direktive 95/46, naslovljen „Primjena nacionalnog prava“, koji se nalazi u Poglavlju I. te direktive, naslovljenom „Opće odredbe“, uređuje upravo postavljeno pitanje.
22 Članak 28. Direktive 95/46 naslovljen „Nadzorno tijelo“ je pak posvećen ulozi i ovlastima tog tijela. Na temelju tog članka 28. stavka 1., ono je, na području države članice kojoj pripada, odgovorno za nadzor primjene odredbi koje su donijele države članice u skladu s tom direktivom. Sukladno članku 28. stavku 6. navedene direktive, nadzorno tijelo provodi ovlasti koje su mu dodijeljene, neovisno o tome koje se nacionalno pravo primjenjuje na obradu osobnih podataka.
23 Stoga valja ne prema članku 28. Direktive 95/46, nego prema njezinu članku 4. utvrditi nacionalno pravo koje se primjenjuje na nadzornika te obrade.
24 Sukladno članku 4. stavku 1. točki (a) Direktive 95/46, svaka država članica na obradu osobnih podataka primjenjuje nacionalne propise koje donese u skladu s tom direktivom kada se obrada provodi u okviru aktivnosti poslovnog nastana nadzornika na području države članice.
25 S obzirom na to da je cilj Direktive 95/46 učinkovita i potpuna zaštita temeljnih prava i sloboda fizičkih osoba, a posebno prava na privatnost u vezi s obradom osobnih podataka, izraz „u okviru aktivnosti poslovnog nastana“ ne može se restriktivno tumačiti (vidjeti u tom smislu presudu Google Spain i Google, C‑131/12, EU:C:2014:317, t. 53.).
26 Kako bi se postigao taj cilj i kako bi se izbjeglo to da pojedinac bude lišen zaštite koju mu jamči ta direktiva, uvodna izjava 18. navedene direktive propisuje da se bilo kakva obrada osobnih podataka u Uniji mora izvršavati u skladu sa zakonodavstvom jedne od država članica i da obradu za koju je odgovoran nadzornik s poslovnim nastanom u državi članici treba urediti zakonodavstvom te države.
27 Zakonodavac Unije je stoga predvidio osobito široko teritorijalno područje primjene Direktive 95/46, koje je propisao njezinim člankom 4. (vidjeti u tom smislu presudu Google Spain i Google, C‑131/12, EU:C:2014:317, t. 54.).
28 Što se tiče, kao prvo, pojma „poslovni nastan“, valja podsjetiti da uvodna izjava 19. Direktive 95/46 propisuje da poslovni nastan na području države članice podrazumijeva efektivno i stvarno obavljanje djelatnosti kroz stabilne aranžmane i da pravni oblik takvog poslovnog nastana, bilo da je to podružnica ili društvo kći s pravnom osobnošću, nije odlučujući činitelj (presuda Google Spain i Google, C‑131/12, EU:C:2014:317, t. 48.). Ta uvodna izjava osim toga pojašnjava da kada pojedini nadzornik ima poslovni nastan na području nekoliko država članica, on mora osigurati, kako bi spriječio izbjegavanje nacionalnih propisa, da svaki poslovni nastan ispunjava obveze koje nalaže nacionalno zakonodavstvo koje se primjenjuje na aktivnosti svakog od njih.
29 Iz toga slijedi, kao što je to u biti naveo nezavisni odvjetnik u točkama 28. i 32. do 34. svojeg mišljenja, fleksibilno razumijevanje pojma poslovnog nastana, koje odstupa od formalističkog pristupa prema kojemu bi poduzeće imalo poslovni nastan samo u onom mjestu u kojem je registrirano. Prema tome, kako bi se utvrdilo ima li društvo, koje je nadzornik obrade, poslovni nastan u smislu Direktive 95/46 u državi članici različitoj od države članice ili treće zemlje u kojoj je registrirano, treba procijeniti kako stupanj stabilnosti aranžmana tako i efektivnost obavljanja djelatnosti u toj drugoj državi članici, uzimajući u obzir posebnu prirodu predmetnih gospodarskih djelatnosti i pružanja usluga. To tim više vrijedi za poduzeća koja se bave pružanjem usluga isključivo putem interneta.
30 U tom pogledu, osobito valja smatrati da, s obzirom na cilj te direktive da se osigura učinkovita i potpuna zaštita prava na privatni život i kako bi se spriječilo izbjegavanje propisa, prisutnost samo jednog zastupnika može u određenim okolnostima biti dovoljna da predstavlja stabilne aranžmane ako on djeluje s dovoljnim stupnjem stabilnosti pomoću resursa potrebnih za pružanje konkretnih usluga o kojima je riječ u predmetnoj državi članici.
31 Nadalje, kako bi se ostvario navedeni cilj, valja smatrati da pojam „poslovni nastan“ u smislu Direktive 95/46 obuhvaća svaku, čak i najmanju, efektivnu i stvarnu djelatnost koja se obavlja putem stabilnih aranžmana.
32 U ovom slučaju, djelatnost koju provodi Weltimmo se u najmanju ruku sastoji od upravljanja jednom ili više internetskih stranica za posredovanje nekretninama koje se odnose na nekretnine smještene u Mađarskoj, koje su sastavljene na mađarskom jeziku i na kojoj oglasi postaju naplatni po isteku roka od mjesec dana. Prema tome, valja zaključiti da to društvo obavlja stvarnu i efektivnu djelatnost u Mađarskoj.
33 Nadalje, iz pojašnjenja koje je dalo mađarsko nadzorno tijelo posebice proizlazi da Weltimmo ima zastupnika u Mađarskoj, koji se spominje u slovačkom registru društava pod adresom koja se nalazi u Mađarskoj i koji je zadužen za pregovaranje s oglašivačima o ispunjenju neisplaćenih tražbina. Taj zastupnik je služio kao referentna osoba između tog društva i podnositelja pritužbi te ga je zastupao u upravnom i sudskom postupku. Nadalje, navedeno društvo je otvorilo bankovni račun u Mađarskoj, namijenjen naplati svojih potraživanja, i raspolaže poštanskim pretincem na području te države članice za svoje tekuće poslove. Ti čimbenici, čija je provjera na sudu koji je uputio zahtjev, mogu utvrditi, u situaciji poput one u glavnom postupku, postojanje „poslovnog nastana“ u smislu članka 4. stavka 1. točke (a) Direktive 95/46.
34 Kao drugo, potrebno je utvrditi provodi li se predmetna obrada osobnih podataka „u okviru aktivnosti“ tog poslovnog nastana.
35 Sud je već smatrao da članak 4. stavak 1. točka (a) Direktive 95/46 ne zahtijeva to da se obrada osobnih podataka o kojima je riječ izvršava „putem“ samog dotičnog poslovnog nastana, nego jedino da je to „u okviru aktivnosti“ potonjega (presuda Google Spain i Google, C‑131/12, EU:C:2014:317, t. 52.).
36 U ovom slučaju, obrada u pitanju se među ostalim sastoji u objavi osobnih podataka koji se odnose na vlasnike nekretnina na Weltimmovim internetskim stranicama za posredovanje nekretninama kao i, po potrebi, u korištenju tih podataka u svrhu izdavanja računa za oglase po isteku roka od mjesec dana.
37 U tom pogledu, valja podsjetiti da kad je osobito riječ o internetu, Sud je već imao priliku utvrditi da se stavljanje osobnih podataka na internetsku stranicu smatra „obradom“ u smislu članka 2. točke (b) Direktive 95/46 (vidjeti presude Lindqvist, C‑101/01, EU:C:2003:596, t. 25. i Google Spain i Google, C‑131/12, EU:C:2014:317, t. 26.).
38 Nema sumnje da se ta obrada odvija u okviru aktivnosti, opisanih u točki 32. ove presude, koje Weltimmo provodi u Mađarskoj.
39 Prema tome, ovisno o provjerama koje su na sudu koji je uputio zahtjev i koje su navedene u točki 33. ove presude kako bi se u tom slučaju utvrdilo postojanje poslovnog nastana nadzornika obrade u Mađarskoj, valja smatrati da se ta obrada provodi u okviru aktivnosti tog poslovnog nastana i da članak 4. stavak 1. točka (a) Direktive 95/46 u situaciji poput one u glavnom postupku omogućuje primjenu mađarskog prava koje se odnosi na zaštitu osobnih podataka.
40 Okolnost da su vlasnici nekretnina koje su predmet oglasa mađarskog državljanstva naprotiv nije bitna za potrebe utvrđivanja nacionalnog prava primjenjivog na obradu podataka u pitanju u glavnom postupku.
41 Uzimajući u obzir prethodna razmatranja, na prvo do šesto pitanje valja odgovoriti na sljedeći način:
– članak 4. stavak 1. točku (a) Direktive 95/46 treba tumačiti na način da omogućuje primjenu zakonodavstva koje se odnosi na zaštitu osobnih podataka države članice koja je različita od one u kojoj je nadzornik obrade tih podataka registriran ako on putem stabilnih aranžmana na području te države članice obavlja, čak i najmanju, efektivnu i stvarnu djelatnost u okviru koje se ta obrada provodi;
– kako bi se u okolnostima poput onih u glavnom postupku utvrdilo je li riječ o takvom slučaju, sud koji je uputio zahtjev može među ostalim uzeti u obzir činjenicu, s jedne strane, da se djelatnost nadzornika navedene obrade, u okviru koje je došlo do te obrade, sastoji u upravljanju internetskim stranicama za posredovanje nekretninama koje se odnose na nekretnine smještene na području te države članice i koje su sastavljene na njezinom jeziku i da je ta djelatnost prema tome većinom, ako ne i u potpunosti, usmjerena prema navedenoj državi članici te, s druge strane, da taj nadzornik ima zastupnika u navedenoj državi članici, koji je odgovoran za naplatu potraživanja koja proizlaze iz te djelatnosti kao i za zastupanje u upravnim i sudskim postupcima koji se odnose na obradu predmetnih podataka;
– naprotiv, nije bitno državljanstvo osoba na koje se ta obrada odnosi.
Sedmo pitanje
42 Sedmo pitanje postavljeno je samo za slučaj da mađarsko nadzorno tijelo smatra da Weltimmo nema poslovni nastan u Mađarskoj, nego u drugoj državi članici, u smislu članka 4. stavka 1. točke (a) Direktive 95/46, provodeći aktivnosti u okviru kojih je došlo do obrade osobnih podataka.
43 Tim pitanjem sud koji je uputio zahtjev u biti pita treba li, u slučaju da mađarsko nadzorno tijelo zaključi da pravo koje je primjenjivo na obradu osobnih podataka nije mađarsko, nego pravo druge države članice, članak 28. stavke 1., 3. i 6. Direktive 95/46 tumačiti na način da bi to tijelo moglo izvršavati samo one ovlasti predviđene u članku 28. stavku 3. te direktive, sukladno pravu te druge države članice, i da ne bi moglo nametati sankcije.
44 Što se tiče, kao prvo, nadležnosti nadzornog tijela za postupanje u ovom primjeru, valja navesti da, sukladno članku 28. stavku 4. Direktive 95/46, svako nadzorno tijelo razmatra zahtjeve koje podnese bilo koja osoba u vezi sa zaštitom svojih prava i sloboda u odnosu na obradu osobnih podataka.
45 Prema tome, u situaciji poput one u glavnom postupku, mađarsko nadzorno tijelo razmatra zahtjeve osoba, poput oglašivača nekretnina u glavnom postupku, koje sebe smatraju žrtvama nezakonite obrade osobnih podataka koji se na njih odnose u državi članici u kojoj posjeduju te nekretnine.
46 Valja ispitati, kao drugo, koje ovlasti ima to nadzorno tijelo, s obzirom na članak 28. stavke 1., 3. i 6. Direktive 95/46.
47 Iz članka 28. stavka 1. te direktive proizlazi da svako nadzorno tijelo koje uspostavi država članica pazi na poštovanje, na području te države članice, odredbi koje su donijele države članice u skladu s Direktivom 95/46.
48 Na temelju članka 28. stavka 3. Direktive 95/46, ta nadzorna tijela među ostalim raspolažu istražnim ovlastima, kao što je ovlast za prikupljanje svih podataka potrebnih za izvršavanje svojih nadzornih dužnosti, i učinkovitim ovlastima za posredovanje, kao što je ovlast naređivanja blokiranja, brisanja ili uništavanja podataka, nametanja privremene ili konačne zabrane obrade, upozoravanja ili opominjanja nadzornika.
49 Uzimajući u obzir da tako nabrojene ovlasti nisu iscrpne i vrstu ovlasti za posredovanje spomenute u toj odredbi kao i diskrecijski prostor kojim raspolažu države članice u prenošenju Direktive 95/46, valja smatrati da te ovlasti za posredovanje mogu podrazumijevati ovlast sankcioniranja nadzornika obrade podataka tako da mu se u tom slučaju izrekne novčana kazna.
50 Ovlasti dodijeljene nadzornim tijelima moraju se izvršavati u skladu s postupovnim pravom države članice kojoj pripadaju.
51 Iz članka 28. stavaka 1. i 3. Direktive 95/46 proizlazi da svako nadzorno tijelo izvršava sve ovlasti koje su mu dodijeljene na području države članice kojoj pripada, kako bi osiguralo da se na tom području poštuju pravila o zaštiti podataka.
52 Ta teritorijalna primjena ovlasti svakog nadzornog tijela potvrđena je člankom 28. stavkom 6. te direktive, koji navodi da je svako nadzorno tijelo na području svoje države članice nadležno za provedbu ovlasti koje su mu dodijeljene u skladu s člankom 28. stavkom 3. navedene direktive, i to neovisno o primjenjivom nacionalnom pravu. Taj članak 28. stavak 6. također pojašnjava da svako tijelo može zatražiti tijelo druge države članice da provodi svoje ovlasti i da nadzorna tijela međusobno surađuju u mjeri potrebnoj za izvršavanje svojih ovlasti, posebno razmjenom korisnih podataka.
53 Ta odredba je nužna za osiguranje slobodnog protoka osobnih podataka, istodobno pazeći na poštovanje pravila za zaštitu privatnog života fizičkih osoba predviđenih Direktivom 95/46. Naime, kad ne bi bilo te odredbe, u slučaju da je nadzornik obrade osobnih podataka podvrgnut pravu jedne države članice, a povređuje pravo na zaštitu privatnog života fizičkih osoba u drugoj državi članici, osobito tako da usmjerava svoju djelatnost prema toj drugoj državi članici a da tamo ipak nema poslovni nastan, u smislu te direktive, za te bi osobe bilo teško, pa čak i nemoguće, ishoditi da se njihovo pravo na zaštitu poštuje.
54 Iz članka 28. stavka 6. Direktive 95/46 stoga proizlazi da nadzorno tijelo jedne države članice, koje razmatra pritužbe fizičkih osoba u vezi s obradom osobnih podataka koji se na njih odnose, na temelju članka 28. stavka 4. te direktive, može ispitati tu pritužbu neovisno o primjenjivom pravu i, prema tome, čak i ako je pravo primjenjivo na obradu predmetnih podataka pravo neke druge države članice.
55 Međutim, u tom slučaju, ovlasti tog tijela ne podrazumijevaju nužno sve one koje su mu dodijeljene sukladno pravu države članice kojoj pripada.
56 Naime, kao što je nezavisni odvjetnik naveo u točki 50. svojeg mišljenja, iz zahtjeva teritorijalnog suvereniteta predmetne države članice, načela zakonitosti i pojma pravne države proizlazi da se ovlast kažnjavanja ne može, u načelu, izvršavati izvan zakonskih granica u kojima je upravnom tijelu ovlašteno djelovati, uz poštovanje prava države članice kojoj pripada.
57 Prema tome, kad nadzorno tijelo razmatra pritužbu, sukladno članku 28. stavku 4. Direktive 95/46, to tijelo može izvršavati svoje istražne ovlasti neovisno o primjenjivom pravu i čak i prije nego što sazna koje je nacionalno pravo primjenjivo na predmetnu obradu. Međutim, ako zaključi da je primjenjivo pravo neke druge države članice, ono ne može nametnuti sankcije izvan teritorija države članice kojoj pripada. U takvoj situaciji na tom je tijelu da, ispunjavajući obvezu suradnje predviđenu člankom 28. stavkom 6. te direktive, od nadzornog tijela te druge države članice zatraži da utvrdi moguću povredu tog prava i nametne sankcije ako to pravo to dopušta, oslanjajući se po potrebi na informacije koje je primilo od tijela prve države članice.
58 Nadzorno tijelo koje razmatra takvu žalbu može u sklopu te suradnje smatrati potrebnim provesti druge istražne radnje, prema uputama nadzornog tijela druge države članice.
59 Slijedi da bi u situaciji poput one u glavnom postupku, u situaciji u kojoj je primjenjivo pravo ono države članice različite od Mađarske, mađarsko nadzorno tijelo moglo izvršavati samo one ovlasti sankcioniranja koje mu je dodijelilo mađarsko pravo.
60 Iz prethodnih razmatanja slijedi da na sedmo pitanje valja odgovoriti da, u slučaju da nadzorno tijelo države članice koje razmatra pritužbe sukladno članku 28. stavku 4. Direktive 95/46 zaključi da pravo koje je primjenjivo na obradu osobnih podataka nije pravo te države članice, nego neke druge, članak 28. stavke 1., 3. i 6. te direktive treba tumačiti na način da bi to tijelo moglo izvršavati učinkovite ovlasti za posredovanje koje su mu dodijeljene sukladno članku 28. stavku 3. navedene direktive samo na području države članice kojoj pripada. Prema tome, to tijelo ne može nametati sankcije na temelju prava te države članice nadzorniku obrade tih podataka koji nema poslovni nastan na tom području, ali bi sukladno članku 28. stavku 6. iste direktive moralo zatražiti nadzorno tijelo države članice čije je pravo primjenjivo da postupi.
Osmo pitanje
61 Svojim osmim pitanjem sud koji je uputio zahtjev pita Sud o dosegu pojma „adatfeldolgozás“ (procesiranje podataka), koji se posebice koristi u članku 4. stavku 1. točki (a) Direktive 95/46 u vezi s utvrđivanjem primjenjivog prava i u članku 28. stavku 6. te direktive u vezi s nadležnošću nadzornog tijela.
62 Iz mađarske jezične verzije Direktive 95/46 proizlazi da se u njoj sustavno koristi pojam „adatfeldolgozás“.
63 Sud koji je uputio zahtjev navodi da se u Zakonu o informacijama, osobito u odredbama koje se odnose na provedbu odredaba Direktive 95/46 o nadležnosti nadzornih tijela, koristi pojam „adatkezelés“ (obrada podataka). Međutim, kao što proizlazi iz članka 3. točke 10. tog zakona, taj izraz ima šire značenje od pojma „adatfeldolgozás“, definiranog u članku 3. točki 10. navedenog zakona, i obuhvaća potonji pojam.
64 Iako prema svojem uobičajenom značenju i kao što proizlazi iz Zakona o informacijama pojam „adatfeldolgozás“ ima uže značenje od pojma „adatkezelés“, ipak valja navesti da mađarska jezična verzija Direktive 95/46 definira pojam „adatfeldolgozás“ u članku 2. točki (b) na širi način, što odgovara pojmu „adatkezelés“.
65 Slijedi da na osmo pitanje valja odgovoriti da Direktivu 95/46 treba tumačiti na način da se za pojam „adatfeldolgozás“ (procesiranje podataka), koji se koristi u mađarskoj jezičnoj verziji te direktive, osobito u njezinu članku 4. stavku 1. točki (a) i članku 28. stavku 6., treba smatrati da ima isto značenje kao pojam „adatkezelés“ (obrada podataka).
Troškovi
66 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenoga, Sud (treće vijeće) odlučuje:
1. Članak 4. stavak 1. točku (a) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka treba tumačiti na način da omogućuje primjenu zakonodavstva koje se odnosi na zaštitu osobnih podataka države članice koja je različita od one u kojoj je nadzornik obrade tih podataka registriran ako on putem stabilnih aranžmana na području te države članice obavlja, čak i najmanju, efektivnu i stvarnu djelatnost u okviru koje se ta obrada provodi.
Kako bi se u okolnostima poput onih u glavnom postupku utvrdilo je li riječ o takvom slučaju, sud koji je uputio zahtjev može među ostalim uzeti u obzir činjenicu, s jedne strane, da se aktivnost nadzornika navedene obrade, u okviru koje je došlo do te obrade, sastoji u upravljanju internetskim stranicama za posredovanje nekretninama koje se odnose na nekretnine smještene na području te države članice i koje su sastavljene na njezinom jeziku i da je ta aktivnost prema tome većinom, ako ne i u potpunosti, usmjerena prema navedenoj državi članici te, s druge strane, da taj nadzornik ima zastupnika u navedenoj državi članici, koji je odgovoran za naplatu potraživanja koja proizlaze iz te aktivnosti kao i za zastupanje u upravnim i sudskim postupcima koji se odnose na obradu predmetnih podataka.
Naprotiv, nije bitno državljanstvo osoba na koje se ta obrada odnosi.
2. U slučaju da nadzorno tijelo države članice koje razmatra pritužbe sukladno članku 28. stavku 4. Direktive 95/46 zaključi da pravo koje je primjenjivo na obradu osobnih podataka nije pravo te države članice, nego neke druge, članak 28. stavke 1., 3. i 6. te direktive treba tumačiti na način da bi to tijelo moglo izvršavati učinkovite ovlasti za posredovanje koje su mu dodijeljene sukladno članku 28. stavku 3. navedene direktive samo na području države članice kojoj pripada. Prema tome, to tijelo ne može nametati sankcije na temelju prava te države članice nadzorniku obrade tih podataka koji nema poslovni nastan na tom području, ali bi sukladno članku 28. stavku 6. iste direktive moralo zatražiti nadzorno tijelo države članice čije je pravo primjenjivo da postupi.
3. Direktivu 95/46 treba tumačiti na način da se za pojam „adatfeldolgozás“ (procesiranje podataka), koji se koristi u mađarskoj jezičnoj verziji te direktive, osobito u njezinu članku 4. stavku 1. točki (a) i članku 28. stavku 6., treba smatrati da ima isto značenje kao pojam „adatkezelés“ (obrada podataka).
Potpisi