ROZSUDEK SOUDNÍHO DVORA (velkého senátu)
5. června 2018(*)
„Řízení o předběžné otázce – Směrnice 95/46/ES – Osobní údaje – Ochrana fyzických osob v souvislosti se zpracováním těchto údajů – Příkaz deaktivovat stránku Facebook (fanouškovskou stránku), která umožňuje shromažďování a zpracovávání určitých údajů týkajících se návštěvníků této stránky – Článek 2 písm. d) – Správce osobních údajů – Článek 4 – Použitelné vnitrostátní právo – Článek 28 – Vnitrostátní orgány dozoru – Pravomoci těchto orgánů zasáhnout“
Ve věci C‑210/16,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podaná rozhodnutím Bundesverwaltungsgericht (Spolkový správní soud, Německo) ze dne 25. února 2016, došlým Soudnímu dvoru dne 14. dubna 2016, v řízení
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
proti
Wirtschaftsakademie Schleswig-Holstein GmbH,
za přítomnosti:
Facebook Ireland Ltd,
Vertreter des Bundesinteresses beim Bundesverwaltungsgericht,
SOUDNÍ DVŮR (velký senát),
ve složení K. Lenaerts, předseda, A. Tizzano (zpravodaj), místopředseda, M. Ilešič, L. Bay Larsen, T. von Danwitz, A. Rosas, J. Malenovský a E. Levits, předsedové senátů, E. Juhász, A. Borg Barthet, F. Biltgen, K. Jürimäe, C. Lycourgos, M. Vilaras a E. Regan, soudci,
generální advokát: Y. Bot,
vedoucí soudní kanceláře: C. Strömholm, rada,
S přihlédnutím k písemné části řízení a po jednání konaném dne 27. června 2017,
S ohledem na vyjádření předložená:
– za Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein U. Karpensteinem a M. Kottmannem, Rechtsanwälte,
– za Wirtschaftsakademie Schleswig-Holstein GmbH C. Wolffem, Rechtsanwalt,
– za Facebook Ireland Ltd C. Eggersem, H.-G. Kamannem a M. Braunem, Rechtsanwälte, jakož i I. Peregem, avvocato,
– za německou vládu J. Möllerem, jako zmocněncem,
– za belgickou vládu L. Van den Broeck a C. Pochet, jakož i P. Cottinem a J.‑C. Halleuxem, jako zmocněnci,
– za českou vládu M. Smolkem a J. Vláčilem, jakož i L. Březinovou, jako zmocněnci,
– za Irsko M. Browne, L. Williams, E. Creedon a G. Gilmore, jakož i A. Joycem, jako zmocněnci,
– za italskou vládu G. Palmieri, jako zmocněnkyní, ve spolupráci s P. Gentilim, avvocato dello Stato,
– za nizozemskou vládu C. S. Schillemans a M. K. Bulterman, jako zmocněnkyněmi,
– za finskou vládu J. Heliskoskim, jako zmocněncem,
– za Evropskou komisi H. Krämerem a D. Nardim, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 24. října 2017,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355).
2 Tato žádost byla předložena ve sporu mezi Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (zemský úřad pro ochranu údajů Šlesvicko-Holštýnska) (dále jen „ULD“) a Wirtschaftsakademie Schleswig-Holstein GmbH, soukromou společností specializovanou v oblasti vzdělávání (dále jen „Wirtschaftsakademie“) ve věci legality příkazu vydaného ULD vůči posledně uvedené, kterým jí bylo uloženo, aby deaktivovala svou fanouškovskou stránku umístěnou na sociální síti Facebook (dále jen „Facebook“).
Právní rámec
Unijní právo
3 Body 10, 18, 19 a 26 odůvodnění směrnice 95/46 uvádějí:
(10) vzhledem k tomu, že předmětem vnitrostátních právních předpisů o zpracování osobních údajů je chránit základní práva a svobody, zejména právo na soukromí uznané v článku 8 Evropské úmluvy o ochraně lidských práv a základních svobod i v obecných zásadách práva [Unie]; že z tohoto důvodu sblížení těchto právních předpisů nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany v [Unii];
[...]
(18) vzhledem k tomu, že z důvodu zamezení případům, kdy jednotlivcům nebude poskytnuta ochrana, která jim je zaručena na základě této směrnice, je nezbytné, aby veškeré zpracování osobních údajů uskutečněné v [Unii] dodržovalo právní předpisy některého členského státu; že v této souvislosti je třeba podřídit zpracování údajů prováděné v rámci povinností správce, který je usazen v členském státě, právním předpisům tohoto státu;
(19) vzhledem k tomu, že usazení na území členského státu předpokládá účinný [efektivní] a skutečný výkon činnosti prostřednictvím stálého zařízení; že právní forma takové provozovny, ať jde o pobočku nebo dceřinou společnost s vlastní právní subjektivitou, není z tohoto hlediska rozhodující; že pokud je stejný správce usazen na území několika členských států, zejména prostřednictvím dceřiné společnosti, musí zajistit, aby všechny provozovny plnily povinnosti stanovené vnitrostátními právními předpisy, které se vztahují na jejich činnost, zejména s cílem vyloučit jejich obcházení;
[…]
(26) vzhledem k tomu, že zásady ochrany se musí vztahovat na veškeré informace týkající se identifikované či identifikovatelné osoby; že pro určení, zda je osoba identifikovatelná, je třeba přihlédnout ke všem prostředkům, které mohou být rozumně použity jak správcem, tak jakoukoli jinou osobou pro identifikaci dané osoby; že zásady ochrany se nevztahují na údaje, které byly anonymizovány tak, že subjekt údajů již není identifikovatelný; […]“.
4 Článek 1 směrnice 95/46, nadepsaný „Předmět směrnice“, stanoví:
„1. Členské státy zajišťují v souladu s touto směrnicí ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů.
2. Členské státy nemohou omezit ani zakázat volný pohyb osobních údajů mezi členskými státy z důvodů ochrany zajištěné podle odstavce 1.“
5 Článek 2 této směrnice, nadepsaný „Definice“, zní takto:
„Pro účely této směrnice se rozumí:
[…]
b) ‚zpracováním osobních údajů‘ (‚zpracování‘) jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace;
[...]
d) ‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů; jsou-li účel a prostředky zpracování určeny právními a správními předpisy na úrovni jednotlivých států či [Unie], je možné určit správce nebo zvláštní kritéria pro jeho určení právem jednotlivých států nebo [Unie];
e) ‚zpracovatelem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který zpracovává osobní údaje pro správce;
f) ‚třetí osobou‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt jiný než subjekt údajů, než správce, než zpracovatel a než osoby přímo podléhající správci nebo zpracovateli, které jsou oprávněny ke zpracování údajů;
[...]“
6 Článek 4 uvedené směrnice, nadepsaný „Použitelné vnitrostátní právo“, v odstavci 1 stanoví:
„Každý členský stát použije na zpracování osobních údajů vnitrostátní ustanovení, která přijme na základě této směrnice, pokud:
a) zpracování je prováděno v rámci činností provozovny správce na území členského státu; pokud je stejný správce usazen na území několika členských států, musí přijmout opatření nezbytná pro dodržování povinností stanovených použitelným vnitrostátním právem každou ze svých provozoven;
b) správce není usazen na území členského státu, ale v místě, kde se vnitrostátní právní předpisy daného členského státu uplatňují na základě mezinárodního práva veřejného;
c) správce není usazen na území [Unie] a používá za účelem zpracování osobních údajů prostředků, automatizovaných či nikoli, umístěných na území zmíněného členského státu, ledaže jsou tyto prostředky použity pouze pro účely tranzitu přes území [Unie]. “
7 Článek 17 směrnice 95/46, nadepsaný „Bezpečnost zpracování“, v článcích 1 a 2 stanoví:
„1. Členské státy stanoví, že správce musí přijmout vhodná technická a organizační opatření na ochranu osobních údajů proti náhodnému nebo nedovolenému zničení, náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu, zejména pokud zpracování zahrnuje předávání údajů v síti, jakož i proti jakékoli jiné podobě nedovoleného zpracování.
Tato opatření mají zajistit, s ohledem na stav techniky a na náklady na jejich provedení, přiměřenou úroveň bezpečnosti odpovídající rizikům vyplývajícím ze zpracování údajů a z povahy údajů, které mají být chráněny.
2. Členské státy stanoví, že správce, pokud je toto zpracování prováděno na jeho účet, si musí zvolit zpracovatele poskytujícího dostatečné záruky s ohledem na technická bezpečnostní opatření a organizační opatření usměrňující zpracování, jež má být provedeno, a že musí dbát na dodržování těchto opatření.“
8 Článek 24 této směrnice, nadepsaný „Sankce“, stanoví:
„Členské státy přijmou vhodná opatření, kterými zajistí uplatňování ustanovení této směrnice, a zejména určí sankce, které se uplatní v případě porušení předpisů přijatých na základě této směrnice.“
9 Článek 28 uvedené směrnice, nadepsaný „Orgán dozoru“, zní takto:
„1. Každý členský stát pověří jeden nebo několik orgánů veřejné moci na svém území dohledem nad dodržováním předpisů přijatých členskými státy na základě této směrnice.
Tyto orgány plní úkoly, kterými jsou pověřeny, zcela nezávisle.
2. Každý členský stát zajistí, aby orgány dozoru byly konzultovány při vypracovávání správních opatření nebo předpisů týkajících se ochrany práv a svobod osob v souvislosti se zpracováním osobních údajů.
3. Každý orgán dozoru má zejména:
– pravomoci provádět šetření, jako například pravomoc přístupu k údajům, které jsou předmětem zpracování, a shromažďovat veškeré informace nezbytné pro splnění svého úkolu dozoru;
– pravomoci účinně zasáhnout, jako například zaujmout stanovisko před zahájením zpracování v souladu s článkem 20 a zajistit vhodné zveřejnění těchto stanovisek nebo pravomoc nařídit blokování, výmaz nebo zničení údajů nebo dočasně nebo trvale zakázat zpracování nebo pravomoc zaslat správci upozornění či napomenutí nebo pravomoc obrátit se na parlament členského státu či na jiné politické orgány;
– pravomoc obrátit se na soud v případě porušení vnitrostátních předpisů přijatých k provedení této směrnice nebo pravomoc oznámit tato porušení soudním orgánům.
Proti rozhodnutím orgánu dozoru, která dala vzniknout stížnostem, je možné využít opravný prostředek k soudu.
[...]
6. Nezávisle na vnitrostátním právu, které se použije na dané zpracování, je orgán dozoru oprávněn vykonávat na území vlastního členského státu pravomoci, které mu byly uděleny v souladu s odstavcem 3. Každý orgán může být vyzván, aby vykonával své pravomoci na žádost orgánu jiného členského státu.
Orgány dozoru vzájemně spolupracují v míře nezbytné pro plnění svých úkolů, zejména výměnou veškerých užitečných informací.
[...]“
Německé právo
10 V § 3 odst. 7 Bundesdatenschutzgesetz (spolkový zákon o ochraně údajů), ve znění použitelném na skutkový stav věci v původním řízení (dále jen „BDSG“), se stanoví:
„Správcem se rozumí jakákoliv osoba nebo subjekt, který pro sebe shromažďuje, zpracovává nebo používá osobní údaje nebo toto činí prostřednictvím jiných osob na základě zmocnění.“
11 Ustanovení § 11 BDSG, nadepsané „Shromažďování, zpracování nebo používání osobních údajů prostřednictvím jiných zmocněných osob“, stanoví:
„1) Pokud jsou osobní údaje shromažďovány, zpracovány nebo používány jinými osobami na základě zmocnění, zmocnitel odpovídá za dodržení ustanovení tohoto zákona a dalších ustanovení týkajících se ochrany údajů. [...]
2) Zpracovatel musí být pečlivě vybrán mimo jiné s ohledem na jím přijatá technická a organizační opatření. Smlouva o zpracování osobních údajů musí mít písemnou formu, v níž musí být podrobně uvedeny tyto náležitosti: [...]
Správce udělující zmocnění ke zpracování se musí před zahájením zpracování a následně pravidelně ujistit o tom, že zpracovatel dodržuje jím přijatá technická a organizační opatření. O výsledku je třeba učinit záznam.
[...]“
12 Ustanovení § 38 odst. 5 BDSG stanoví:
„Orgán dozoru může s cílem zajistit dodržování tohoto zákona a dalších ustanovení týkajících se ochrany údajů přijmout opatření za účelem nápravy zjištěných porušení při shromažďování, zpracování nebo používání osobních údajů nebo technických či organizačních nedostatků. V případě závažných porušení nebo pochybení, zejména těch, jež jsou spojena s mimořádným ohrožením práva na soukromí, může tento orgán zakázat shromažďování, zpracování nebo používání nebo uplatnění určitých postupů, pokud nejsou v rozporu s příkazem podle první věty a přes uložení peněžité pokuty v přiměřené době odstraněna porušení nebo nedostatky. Pokud nemá tento orgán k plnění svých úkolů nezbytné odborné nebo spolehlivé znalosti, může věc postoupit inspektorovi ochrany údajů.“
13 Ustanovení § 12 Telemediengesetz (zákon o službách elektronických informací a komunikací) ze dne 26. února 2007 (BGBl. 2007 I, s. 179, dále jen „TMG“) stanoví:
„1) Poskytovatel služeb může shromažďovat a používat osobní údaje za účelem poskytování služeb elektronických informací a komunikací pouze tehdy, dovoluje-li to tento zákon nebo jiný právní předpis, který se týká výslovně služeb elektronických informaci a komunikací, anebo pokud s tím uživatel souhlasil.
[...]
3) Není-li stanoveno jinak, platné právní předpisy upravující ochranu osobních údajů se použijí i tehdy, když tyto údaje nejsou zpracovávány automatizovaně.“
Spor v původním řízení a předběžné otázky
14 Wirtschaftsakademie poskytuje služby vzdělávání prostřednictvím fanouškovské stránky umístěné na Facebooku.
15 Fanouškovské stránky jsou uživatelskými účty, které mohou jednotlivci nebo podniky nastavit na Facebooku. Za tímto účelem může autor fanouškovské stránky poté, co se zaregistruje u Facebooku, využít platformu provozovanou Facebookem k tomu, aby se prezentoval uživatelům této sociální sítě a osobám, které tuto stránku navštíví, a šířil na mediálním trhu sdělení všeho druhu a názory. Správci fanouškovských stránek mohou získávat anonymní statistické údaje o návštěvnících těchto stránek za pomoci funkce nazvané Facebook Insight, kterou jim zdarma poskytuje Facebook za nezměnitelných podmínek použití. Tyto údaje jsou shromažďovány za pomoci záznamových souborů (dále jen „soubory cookies“), kdy každý z těchto souborů obsahuje jedinečný kód uživatele, který je aktivní po dobu dvou let a Facebook jej ukládá na pevný disk počítače nebo jiný nosič návštěvníka fanouškovské stránky. Kód uživatele, který lze propojit s údaji o připojení uživatelů zaregistrovaných na Facebooku, je shromážděn a zpracován v okamžiku otevření fanouškovských stránek. V tomto ohledu z předkládacího rozhodnutí vyplývá, že Wirtschaftsakademie ani společnost Facebook Ireland Ltd přinejmenším v období relevantním pro původní řízení neinformovaly o operaci uložení a funkci tohoto souboru cookie ani následném zpracování údajů.
16 Rozhodnutím ze dne 3. listopadu 2011 (dále jen „napadené rozhodnutí“) ULD v postavení orgánu dozoru podle článku 28 směrnice 95/46, jehož úkolem je vykonávat dozor nad uplatňováním ustanovení, která přijala Spolková republika Německo podle této směrnice, na území spolkové země Šlesvicko-Holštýnsko, nařídil podle čl. 38 odst. 5 první věty BDSG deaktivaci fanouškovské stránky, jež byla vytvořena na Facebooku na adrese www.facebook.com/wirtschaftsakademie, pod sankcí uložení pokuty v případě nesplnění tohoto příkazu ve stanovené lhůtě, neboť Wirtschaftsakademie ani Facebook neinformovaly návštěvníky této fanouškovské stránky o tom, že posledně uvedená společnost shromažďuje prostřednictvím souborů cookies informace osobní povahy, které se týkají návštěvníků, a že tyto informace následně zpracovávají. Wirtschaftsakademie podala proti tomuto rozhodnutí stížnost, ve které v podstatě tvrdila, že s ohledem na použitelné právní předpisy týkající se ochrany údajů nenesla odpovědnost za zpracování údajů prováděné Facebookem ani za soubory cookies nainstalované Facebookem .
17 Rozhodnutím ze dne 16. prosince 2011 ULD tuto stížnost zamítl, když měl za to, že na základě § 3 odst. 3 bodu 4 a § 12 odst. 1 TMG, ve spojení s § 3 odst. 7 BDSGM byla založena odpovědnost Wirtschaftsakademie jakožto poskytovatele služeb. ULD uvedl, že vytvořením této fanouškovské stránky Wirtschaftsakademie aktivně a dobrovolně přispěla ke shromažďování osobních údajů týkajících se návštěvníků této fanouškovské stránky ze strany Facebooku, přičemž tyto údaje mohla využívat prostřednictvím statistických výkazů, jež jí poskytla společnost Facebook.
18 Wirtschaftsakademie podala proti tomuto rozhodnutí žalobu k Verwaltungsgericht (správní soud, Německo), v níž tvrdila, že zpracování osobních údajů Facebookem jí nelze přičítat a že ani nezmocnila Facebook ve smyslu § 11 BDSG ke zpracování údajů, které by kontrolovala nebo které by mohla ovlivnit. Wirtschaftsakademie z toho dovozovala, že ULD měl postupovat tak, že zasáhne přímo proti Facebooku, a nikoliv tak, že vůči ní přijme napadené rozhodnutí.
19 Rozsudkem ze dne 9. října 2013 Verwaltungsgericht (správní soud) zrušil napadené rozhodnutí, neboť měl v podstatě za to, že jelikož správce fanouškovské stránky na Facebooku není „správcem“ ve smyslu § 3 odst. 7 BDSG, Wirtschaftsakademie nemohla být adresátem opatření přijatého na základě § 38 odst. 5 BDSG.
20 Oberverwaltungsgericht (vrchní správní soud, Německo) zamítl odvolání, které ULD podal proti uvedenému rozsudku, jako neopodstatněné. Posledně uvedený soud měl v podstatě za to, že zákaz zpracování údajů uložený v napadeném rozhodnutí je protiprávní, jelikož § 38 odst. 5 druhá věta BDSG stanoví postupný proces, jehož první fáze umožňuje pouze přijmout opatření, která mají za cíl napravit protiprávní jednání zjištěná při zpracování údajů. Okamžitý zákaz zpracování údajů je možný podle uvedeného soudu pouze tehdy, pokud je postup zpracování údajů protiprávní jako celek a nápravy tohoto porušení lze dosáhnout pouze zastavením tohoto postupu. Podle Oberverwaltungsgericht (odvolací správní soud) tomu tak však v projednávané věci nebylo, jelikož Facebook měl možnost ukončit protiprávní jednání tvrzená ULD.
21 Oberverwaltungsgericht (odvolací správní soud) dodává, že napadené rozhodnutí je rovněž protiprávní z toho důvodu, že příkaz podle § 38 odst. 5 BDSG lze uložit pouze správci ve smyslu § 3 odst. 7 BDSG, jímž, pokud jde o údaje shromažďované Facebookem, není Wirtschaftsakademie. O účelu a způsobech shromažďování a zpracování osobních údajů využívaných v rámci funkce Facebook Insight rozhodovala totiž výlučně společnost Facebook a Wirtschaftsakademie obdržela pouze anonymizované statistické informace.
22 ULD podal kasační opravný prostředek „Revision“ k Bundesverwaltungsgericht (Spolkový správní soud, Německo), v němž mimo jiné tvrdí, že byl porušen § 38 odst. 5 BDSG a že rozhodnutí odvolacího soudu je stiženo několika procesními pochybeními. ULD má za to, že protiprávní jednání, kterého se dopustila Wirtschaftsakademie, spočívá ve skutečnosti, že zřízení, umístění a údržbu internetové stránky svěřila nevhodnému poskytovateli – v projednávané věci společnosti Facebook Ireland – neboť uvedený poskytovatel nedodržuje právo, jímž se řídí ochrana údajů. Příkaz, kterým se v napadeném rozhodnutí ukládalo Wirtschaftsakademie, aby deaktivovala svou fanouškovskou stránku, tudíž podle ULD směřoval k nápravě tohoto porušení, neboť jí byl tímto uložen zákaz pokračovat ve využívání infrastruktury Facebooku jakožto technického základu její internetové stránky.
23 Shodně s Oberverwaltungsgericht (odvolací správní soud) má Bundesverwaltungsgericht (Spolkový správní soud) za to, že samotnou Wirtschaftsakademie nelze považovat za správce údajů ve smyslu § 3 odst. 7 BDSG nebo čl. 2 písm. d) směrnice 95/46. Posledně uvedený soud má nicméně za to, že tento pojem je třeba v zásadě vykládat extenzivně v zájmu účinné ochrany práva na soukromí, jak Soudní dvůr uvedl ve své nedávné judikatuře v této oblasti. Dále vyjadřuje pochybnosti, pokud jde o pravomoci, které má v projednávané věci ULD vůči společnosti Facebook Germany, jelikož správcem osobních údajů je v rámci skupiny Facebook na unijní úrovni společnost Facebook Ireland. Posledně uvedený soud se konečně zabývá i dopadem posouzení orgánu dozoru, pod který spadá společnost Facebook Ireland, a která se týkají legality zpracování dotčených osobních údajů, na výkon pravomocí zasáhnout ze strany ULD.
24 Za těchto podmínek se Bundesverwaltungsgericht (Spolkový správní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Musí být čl. 2 písm. d) směrnice [95/46] vykládán v tom smyslu, že taxativně a podrobně upravuje odpovědnost za porušení ochrany údajů, nebo v rámci ‚vhodných opatření‘ podle článku 24 [této směrnice] a ‚pravomoci účinně zasáhnout‘ podle čl. 28 odst. 3 druhé odrážky [této směrnice] ve vícestupňových vztazích poskytovatelů informací může být založena odpovědnost subjektu, který není ve smyslu čl. 2 písm. d) [uvedené směrnice] správcem údajů, z důvodu výběru provozovatele kvůli jeho informační nabídce?
2) Vyplývá a contrario z povinnosti členských států, která vyplývá z čl. 17 odst. 2 směrnice [95/46] a podle níž musí stanovit, že správce při zpracování údajů na svůj účet ‚si musí zvolit zpracovatele poskytujícího dostatečné záruky s ohledem na technická bezpečnostní opatření a organizační opatření usměrňující zpracování, jež má být provedeno‘, že v případě jiných vztahů užívání, které nejsou spojeny se zpracováním údajů pro správce ve smyslu čl. 2 písm. e) [této směrnice], neexistuje žádná povinnost pečlivého výběru a že tato povinnost nemůže být založena ani podle vnitrostátního práva?
3) Je v případech, kdy mateřská společnost usazená mimo Evropskou unii provozuje v různých členských státech provozovny s vlastní právní osobností (dceřiné společnosti), orgán dozoru členského státu (v projednávaném případě: Německo) podle článku 4 a čl. 28 odst. 6 směrnice [95/46] oprávněn vykonávat pravomoci, kterými byl nadán v souladu s čl. 28 odst. 3 [této směrnice], vůči provozovně nacházející se na vlastním území i tehdy, pokud tato provozovna zajišťuje pouze propagaci a prodej reklamního prostoru a jiná marketingová opatřeni se zaměřením na obyvatele tohoto členského státu, zatímco samostatné provozovně (dceřiné společnosti) nacházející se v jiném členském státu (v projednávaném případě: Irsko) podle rozdělení úkolů v rámci skupiny náleží výlučná odpovědnost za získávání a zpracování osobních údajů na celém území Evropské unie, a tudíž i v tomto jiném členském státě (v projednávaném případě: Německo), pokud je ve skutečnosti rozhodnutí o zpracování údajů přijímáno mateřskou společností?
4) Musí být čl. 4 odst. 1 a čl. 28 odst. 3 směrnice [95/46] vykládány v tom smyslu, že v případech, kdy má správce provozovnu na území členského státu (v projednávané věci: Irsko), a na území jiného členského státu (v tomto případě: Německo) existuje jiná provozovna s vlastní právní osobností, která je kromě jiného příslušná pro prodej reklamních ploch a jejíž činnost je zaměřena na obyvatele tohoto státu, může orgán dozoru příslušný v tomto jiném členském státě (v projednávané věci: Německo) adresovat opatření a příkazy směřující k prosazení právních předpisů na ochranu údajů i vůči další provozovně (v projednávané věci: v Německu), která není podle rozdělení úkolů a odpovědností v rámci skupiny správcem odpovědným za zpracování údajů, nebo v takovém případě musí tato opatření a příkazy vydávat výlučně orgán dozoru toho členského státu (v projednávané věci: Irsko), na jehož území má odpovědný subjekt určený v rámci skupiny společností své sídlo?
5) Musí být čl. 4 odst. 1 písm. a), čl. 28 odst. 3 a 6 směrnice [95/46] vykládány v tom smyslu, že v případech, ve kterých orgán dozoru jednoho členského státu (v projednávané věci: Německo) vyvozuje odpovědnost vůči osobě nebo subjektu působícím na jeho území podle čl. 28 odst. 3 [této směrnice] z důvodu nedostatečně pečlivého výběru třetí osoby zapojené do procesu zpracování údajů (v projednávané věci společnosti Facebook), protože tato třetí osoba porušuje právo na ochranu údajů, je zasahující orgán dozoru (v tomto případě Německo) vázán posouzením stran právní úpravy v oblasti ochrany údajů provedeným orgánem dozoru jiného členského státu, ve kterém má třetí osoba-správce svou provozovnu (v projednávané věci Irsko), a to v tom smyslu, že nemůže dospět k odlišnému právnímu posouzení, nebo může zasahující orgán dozoru (v tomto případě Německo) sám přezkoumat legalitu zpracování údajů třetí osobou usazenou v jiném členském státě (v projednávané věci v Irsku) jako předběžnou otázku předtím, než začne konat?
6) Pokud je zasahující orgán dozoru (v projednávaném případě Německo) oprávněn provést samostatně kontrolu: Musí být čl. 28 odst. 6 druhá věta směrnice [95/46] vykládán v tom smyslu, že tento orgán dozoru může vykonat pravomoc účinně zasáhnout, která mu byla udělena podle čl. 28 odst. 3 [této] směrnice, vůči osobě nebo subjektu usazeným na jeho území z důvodu spoluodpovědnosti za porušení ochrany údajů třetí osobou usazenou v jiném členském státu jen tehdy, pokud předem vyzval orgán dozoru tohoto jiného členského státu (v projednávané věci: Irsko), aby vykonal své pravomoci? “
K předběžným otázkám
K první a druhé otázce
25 Podstatou první a druhé otázky předkládajícího soudu, které je třeba posoudit společně, je, zda je třeba ustanovení čl. 2 písm. d), čl. 17 odst. 2, článku 24 a čl. 28 odst. 3 druhé odrážky směrnice 95/46 vykládat v tom smyslu, že umožňují založení odpovědnosti subjektu, který má postavení správce fanouškovské stránky umístěné na sociální síti, v případě porušení pravidel o ochraně osobních údajů z důvodu volby, učiněné tímto subjektem, využít k šíření své informační nabídky této sociální sítě.
26 Pro účely odpovědi na tyto otázky je třeba připomenout, že jak vyplývá z čl. 1 odst. 1 a z bodu 10 odůvodnění směrnice 95/46, jejím účelem je zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů (rozsudek ze dne 11. prosince 2014, Ryneš, C‑212/13, EU:C:2014:2428, bod 27 a citovaná judikatura).
27 V souladu s tímto cílem čl. 2 písm. d) této směrnice široce definuje pojem „správce“, kterým se rozumí fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů.
28 Jak totiž Soudní dvůr již rozhodl, cílem tohoto ustanovení je prostřednictvím široké definice pojmu „správce“ zajistit účinnou a úplnou ochranu subjektů údajů (rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 34).
29 Mimoto vzhledem k tomu, že se pojmem „správce“ rozumí subjekt, který „sám nebo společně s jinými“ určuje účel a prostředky zpracování osobních údajů, jak je výslovně stanoveno v čl. 2 písm. d) směrnice 95/46, neodkazuje tento pojem nutně na jediný subjekt a může se týkat více subjektů, které se na tomto zpracování podílejí, a tudíž se na každého z nich vztahují použitelná ustanovení pro ochranu údajů.
30 V projednávané věci je třeba mít v případě společnosti Facebook Inc. a, co se Unie týče, společnosti Facebook Ireland za to, že v rozhodné míře určují účel a prostředky zpracování osobních údajů uživatelů Facebooku a osob, které navštívily fanouškovské stránky umístěné na Facebooku, a proto se na ně vztahuje pojem „správce“ ve smyslu čl. 2 písm. d) směrnice 95/46, což v projednávané věci není zpochybňováno.
31 Po tomto upřesnění je třeba za účelem odpovědi na položené otázky zkoumat, zda a v jakém rozsahu se takový správce fanouškovské stránky umístěné na Facebooku, jako je Wirtschaftsakademie, podílí v souvislosti s touto fanouškovskou stránkou na určování účelu a prostředků zpracování osobních údajů návštěvníků uvedené fanouškovské stránky společně se společnostmi Facebook Ireland a Facebook Inc., a lze jej tudíž rovněž považovat za „správce“ ve smyslu čl. 2 písm. d) směrnice 95/46.
32 V tomto ohledu se jeví, že každá osoba, která má v úmyslu vytvořit na Facebooku fanouškovskou stránku, uzavírá se společností Facebook Ireland zvláštní smlouvu, jež se týká zřízení takové stránky, podle níž souhlasí s podmínkami používání této stránky, včetně s ním související politiky v oblasti souborů cookies, což přísluší ověřit vnitrostátnímu soudu.
33 Jak vyplývá ze spisu předloženého Soudnímu dvoru, zpracování údajů dotčená v původním řízení jsou prováděna v zásadě prostřednictvím umísťování souborů cookies ze strany Facebooku na počítač nebo jakékoli jiné zařízení osob, které navštívily fanouškovskou stránku, které slouží k ukládání informací o internetových prohlížečích a jež zůstávají aktivovány po dobu dvou let, nejsou-li smazány. Z těchto informací rovněž vyplývá, že společnost Facebook ve skutečnosti získává, zaznamenává a zpracovává informace uložené v souborech cookies zejména v okamžiku, kdy osoba navštíví „služby Facebooku, což jsou služby nabízené jinými společnostmi Facebook a služby nabízené jinými podniky, které využívají služby Facebooku“. Mimoto, jiné subjekty, jako jsou partneři Facebooku či dokonce třetí osoby „mohou používat soubory cookies týkající se služeb Facebooku za účelem [nabízení služeb přímo na této sociální síti] či nabízení služeb podnikům provozujícím reklamní činnost na Facebooku“.
34 Tato zpracování osobních údajů slouží mimo jiné k tomu, aby jednak společnosti Facebook umožnila zlepšit její systém reklamy, kterou šíří v rámci své sítě, a jednak k tomu, aby správce fanouškovské stránky získával statistické údaje, které společnost Facebook získala na základě návštěv této stránky, za účelem řízení propagace činností správce, jež mu například umožňují zjistit profil návštěvníků, kteří kladně hodnotí jeho fanouškovskou stránku nebo kteří využívají jeho aplikace, s cílem nabídnout jim relevantnější obsah a rozvinout funkce, o něž by tito návštěvníci mohli mít další zájem.
35 V této souvislosti je třeba uvést, že i když pouhé použití takové sociální sítě jako je Facebook nezakládá spoluodpovědnost uživatele Facebooku za zpracování osobních údajů touto sítí, nicméně správce fanouškovské stránky umístěné na Facebooku vytvořením takové stránky umožňuje Facebooku, aby umisťoval soubory cookies na počítači nebo jakémkoli jiném zařízení osoby, která jeho fanouškovskou stránku navštívila, bez ohledu na to, zda tato osoba má či nemá zřízen účet u Facebooku.
36 V tomto kontextu vyplývá z informací poskytnutých Soudnímu dvoru, že vytvoření fanouškovské stránky na Facebooku na straně jejího správce znamená, že provedl úkon nastavení mimo jiné podle své cílové skupiny a cílů řízení nebo propagace svých činností, které má vliv na zpracování osobních údajů za účelem vypracování statistických výkazů získaných na základě návštěv fanouškovské stránky. Tento správce může s využitím filtrů, jež mu poskytuje Facebook, vymezit kritéria, na jejichž základě mají být tyto statistické výkazy vypracovány, a rovněž vymezit kategorie osob, jejichž osobní údaje budou Facebookem využívány. Správce fanouškovské stránky umístěné na Facebooku tudíž přispívá ke zpracovávání osobních údajů návštěvníků své stránky.
37 Správce fanouškovské stránky může zejména požádat o získání – a tudíž i o zpracování – demografických údajů, které se týkají jeho cílové skupiny, zejména trendů, pokud jde o věk, pohlaví, osobní vztahy a povolání, informací o stylu života a centrech zájmu jeho cílové skupiny a informací týkajících se nákupů a nákupního chování online návštěvníků jeho stránky, kategorií výrobků nebo služeb, které ji nejvíce zajímají, jakož i zeměpisných údajů, které umožňují správci fanouškovské stránky, aby získal informace o tom, kde nabídnout zvláštní slevy a organizovat události, a obecněji aby co nejlépe zaměřil svou nabídku informací.
38 Přestože je pravda, že statistické údaje o návštěvnících v podobě výkazů vypracovaných Facebookem jsou předávány správci fanouškovské stránky výlučně v anonymizované podobě, nic to nemění na tom, že tyto statistické výkazy jsou vypracovávány na základě předchozího shromažďování osobních údajů těchto návštěvníků pomocí souborů cookies, jež Facebook umísťuje na počítačích nebo jakýchkoli jiných zařízeních osob, které navštívily tuto stránku, a na základě zpracování k takovým statistickým účelům. Směrnice 95/46 každopádně nevyžaduje, když je dána společná odpovědnost několika aktérů za totéž zpracování, aby měl každý z nich přístup k dotčeným osobním údajům.
39 Za těchto okolností je třeba mít za to, že takový správce fanouškovské stránky umístěné na Facebooku, jako je Wirtschaftsakademie, se svým úkonem nastavení parametrů, mimo jiné podle své cílové skupiny a cílů řízení a propagace svých činností, podílí na určení účelu a prostředků zpracování osobních údajů návštěvníků své fanouškovské stránky. Z tohoto důvodu je třeba mít v případě tohoto správce v projednávané věci za to, že je společně se společností Facebook Ireland správcem ve smyslu čl. 2 písm. d) směrnice 95/46.
40 Skutečnost, že správce fanouškovské stránky používá platformu poskytovanou Facebookem, aby využíval souvisejících služeb, jej totiž nezprošťuje odpovědnosti za dodržování svých povinností v oblasti ochrany osobních údajů.
41 Je třeba ostatně zdůraznit, že fanouškovské stránky umístěné na Facebooku mohou navštěvovat rovněž osoby, které nejsou uživateli Facebooku, a jež tudíž nemají uživatelský účet na této sociální síti. V tomto případě se jeví odpovědnost správce této fanouškovské stránky týkající se zpracování osobních údajů těchto osob jako ještě významnější, neboť pouhé navštívení fanouškovské stránky návštěvníkem automaticky vede ke zpracování jeho osobních údajů.
42 Za těchto podmínek přispívá uznání společné odpovědnosti provozovatele sociální sítě a správce fanouškovské stránky, jež je umístěna na této síti, v souvislosti se zpracováním osobních údajů návštěvníků této fanouškovské stránky v souladu s požadavky směrnice 95/46 k zajištění úplnější ochrany práv, jež mají osoby, které navštíví fanouškovskou stránku.
43 Je však třeba upřesnit, jak uvedl generální advokát v bodech 75 a 76 stanoviska, že z existence společné odpovědnosti nelze nezbytně dovozovat, že by jednotliví provozovatelé, jichž se zpracování osobních údajů týká, měli nést nezbytně stejný podíl odpovědnosti. Naopak, tito provozovatelé mohou být zapojeni v různých fázích tohoto zpracování a v různé míře, takže míru odpovědnosti každého z nich je třeba hodnotit s přihlédnutím ke všem relevantním okolnostem projednávané věci.
44 S ohledem na výše uvedené úvahy je třeba na první a druhou otázku odpovědět tak, že čl. 2 písm. d) směrnice 95/46 musí být vykládán v tom smyslu, že pojem „správce“ podle tohoto ustanovení zahrnuje správce fanouškovské stránky umístěné na sociální síti.
Ke třetí a čtvrté otázce
45 Podstatou třetí a čtvrté otázky předkládajícího soudu, kterými je třeba se zabývat společně, je, zda je třeba ustanovení článků 4 a 28 směrnice 95/46 vykládat v tom smyslu, že pokud podnik usazený mimo Unii má v různých členských státech více provozoven, je orgán dozoru členského státu oprávněn vykonávat pravomoci, kterými je nadán na základě čl. 28 odst. 3 této směrnice, vůči provozovně, která se nachází na území tohoto členského státu, přestože jednak na základě rozdělení úkolů v rámci skupiny tato provozovna zajišťuje pouze prodej reklamního prostoru a jiné marketingové činnosti na území uvedeného členského státu, a jednak výlučná odpovědnost za shromažďování a zpracování osobních údajů na celém území Evropské unie leží na provozovně, která se nachází v jiném členském státě, či zda přísluší orgánu dozoru posledně uvedeného členského státu, aby vykonal tyto pravomoci vůči této druhé provozovně.
46 ULD a italská vláda vyjadřují pochybnosti ohledně přípustnosti těchto otázek, neboť podle nich nejsou relevantní pro vyřešení sporu v původním řízení. Adresátem napadeného rozhodnutí je podle nich Wirtschaftsakademie, a toto rozhodnutí se tudíž netýká společnosti Facebook Inc. ani žádné z jejích poboček usazených na unijním území.
47 V tomto ohledu je třeba připomenout, že v rámci spolupráce Soudního dvora a vnitrostátních soudů, zavedené článkem 267 SFEU, je věcí pouze vnitrostátního soudu, kterému byl spor předložen a jenž musí nést odpovědnost za soudní rozhodnutí, které bude vydáno, aby s ohledem na konkrétní okolnosti věci posoudil jak nezbytnost rozhodnutí o předběžné otázce pro vydání rozsudku, tak relevanci otázek, které klade Soudnímu dvoru. Týkají-li se tedy položené otázky výkladu unijního práva, je Soudní dvůr v zásadě povinen rozhodnout (rozsudek ze dne 6. září 2016, Petruhhin, C‑182/15, EU:C:2016:630, bod 19 a citovaná judikatura).
48 V projednávané věci je třeba konstatovat, že předkládající soud tvrdí, že odpověď Soudního dvora na třetí a čtvrtou předběžnou otázku potřebuje pro rozhodnutí sporu v původním řízení. Předkládající soud totiž uvádí, že pokud by bylo ve světle této odpovědi konstatováno, že ULD mohl napravit údajná porušení práva na ochranu osobních údajů přijetím opatření vůči společnosti Facebook Germany, taková okolnost by mohla zakládat vadu nesprávného posouzení, kterou by bylo stiženo napadené rozhodnutí, neboť by bylo neprávem přijato vůči Wirtschaftsakademie.
49 Za těchto okolností jsou třetí a čtvrtá otázka přípustné.
50 Pro účely odpovědi na tyto otázky je třeba úvodem připomenout, že podle čl. 28 odst. 1 a 3 směrnice 95/46 každý orgán dozoru vykonává veškeré pravomoci, které mu byly přiznány na území vlastního členského státu, za účelem zajistit na tomto území dodržování pravidel v oblasti ochrany údajů (v tomto smyslu viz rozsudek ze dne 1. října 2015, Weltimmo, C‑230/14, EU:C:2015:639, bod 51).
51 Otázka použitelného vnitrostátního práva na zpracování osobních údajů je upravena v článku 4 směrnice 95/46. Podle odst. 1 písm. a) tohoto článku použije každý členský stát na zpracování osobních údajů vnitrostátní ustanovení, která přijme na základě této směrnice, pokud je zpracování prováděno v rámci činností provozovny správce na území tohoto členského státu. Toto ustanovení uvádí, že pokud je stejný správce usazen na území několika členských států, musí přijmout opatření nezbytná pro dodržování povinností stanovených použitelným vnitrostátním právem každou ze svých provozoven.
52 Z výkladu tohoto ustanovení ve spojení s čl. 28 odst. 1 a 3 směrnice 95/46 totiž vyplývá, že pokud se na základě čl. 4 odst. 1 písm. a) této směrnice použije vnitrostátní právo členského státu, které se vztahuje na orgán dozoru, z toho důvodu, že dotčené zpracování je prováděno v rámci činností provozovny správce na území tohoto členského státu, může tento orgán dozoru vykonat vůči této provozovně veškeré pravomoci, které mu toto právo dává, a to nezávisle na tom, zda má správce provozovny rovněž v jiných členských státech.
53 Pro určení, zda je orgán dozoru za takových okolností, jako jsou okolnosti v původním řízení, oprávněn vykonat vůči provozovně, která se nachází na území členského státu, pod něhož spadá, pravomoci, které jsou mu svěřeny vnitrostátním právem, které se na něj vztahuje, je třeba ověřit splnění dvou podmínek uložených čl. 4 odst. 1 písm. a) směrnice 96/46, a sice zda se jedná o „provozovnu správce“ ve smyslu tohoto ustanovení a zda je zpracování prováděno „v rámci činností“ této provozovny ve smyslu téhož ustanovení.
54 Co se zaprvé týče podmínky, podle které musí mít správce osobních údajů provozovnu na území členského státu, pod který spadá dotčený orgán dozoru, je třeba připomenout, že podle bodu 19 odůvodnění směrnice 95/46 usazení na území členského státu předpokládá efektivní a skutečný výkon činnosti prostřednictvím stálého zařízení a že právní forma takové provozovny, ať jde o pobočku nebo dceřinou společnost s vlastní právní subjektivitou, není rozhodující (rozsudek ze dne 1. října 2015, Weltimmo, C‑230/14, EU:C:2015:639, bod 28 a citovaná judikatura).
55 V projednávaném případě je nesporné, že společnost Facebook Inc. jakožto správce osobních údajů společně se společností Facebook Ireland má stálou provozovnu v Německu, a sice Facebook Germany, která se nachází v Hamburku, a že tato posledně uvedená společnost skutečně a efektivně vykonává činnosti v uvedeném členském státě. Z tohoto důvodu je tudíž provozovnou ve smyslu čl. 4 odst. 1 písm. a) směrnice 95/46.
56 Co se zadruhé týče podmínky, podle níž musí být zpracování osobních údajů prováděno „v rámci činností“ dotčené provozovny, je třeba nejprve připomenout, že s ohledem na cíl sledovaný směrnicí 95/46, který spočívá v zajištění účinné a úplné ochrany základních práv a svobod fyzických osob, zejména práva na soukromí, v souvislosti se zpracováním osobních údajů, nelze výraz „v rámci činností provozovny“ vykládat restriktivně (rozsudek ze dne 1. října 2015, Weltimmo, C‑230/14, EU:C:2015:639, bod 25 a citovaná judikatura).
57 Dále je třeba uvést, že čl. 4 odst. 1 písm. a) směrnice 95/46 nevyžaduje, aby takové zpracování bylo prováděno samotnou dotčenou provozovnou, ale pouze aby bylo prováděno „v rámci činností“ provozovny (rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 52).
58 V projednávané věci z předkládacího rozhodnutí a z písemných vyjádření, která předložila společnost Facebook Ireland, vyplývá, že společnost Facebook Germany je pověřena podporou prodeje a prodejem reklamního prostoru a věnuje se činnostem zaměřeným na osoby s bydlištěm v Německu.
59 Jak bylo připomenuto v bodech 33 a 34 tohoto rozsudku, zpracování osobních údajů dotčené v původním řízení, které provádí společnost Facebook Inc. společně se společností Facebook Ireland a které spočívá ve shromažďování takových údajů prostřednictvím souborů cookies uložených na počítačích nebo jakémkoli jiném zařízení návštěvníků fanouškovských stránek umístěných na Facebooku, má zejména umožnit této sociální síti zlepšit její reklamní systém, aby lépe zacílila reklamy, které šíří.
60 Přitom, jak uvedl generální advokát v bodě 94 svého stanoviska, vzhledem k tomu, že taková sociální síť jako je Facebook, získává zásadní část svých příjmů mimo jiné díky reklamně šířené na webových stránkách, které vytvářejí a jež navštěvují uživatelé, a dále že úkolem provozovny Facebooku, jež se nachází v Německu, je zajišťovat v tomto členském státě podporu a prodej reklamního prostoru, který slouží jako zdroj zisku za služby poskytované Facebookem, je třeba činnosti této provozovny považovat za neoddělitelně spojené se zpracováním osobních údajů dotčeným v původním řízení, za které společně odpovídají společnosti Facebook Inc. a Facebook Ireland. V případě takového zpracování je tudíž třeba mít za to, že je prováděno v rámci činností provozovny správce ve smyslu čl. 4 odst. 1 písm. a) směrnice 95/46 (v tomto smyslu viz rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, body 55 a 56).
61 Z toho vyplývá, že jelikož se na zpracování osobních údajů dotčených v původním řízení použije podle čl. 4 odst. 1 písm. a) směrnice 95/46 německé právo, měl německý orgán dozoru na základě čl. 28 odst. 1 této směrnice pravomoc použít toto právo na uvedené zpracování.
62 Tento orgán dozoru tedy měl pravomoc, aby za účelem zajišťování dodržování pravidel v oblasti ochrany osobních údajů na německém území uplatnil vůči společnosti Facebook Germany veškeré pravomoci, které má na základě vnitrostátních ustanovení, která provádějí čl. 28 odst. 3 směrnice 95/46.
63 Je třeba ještě upřesnit, že okolností, na niž poukazuje předkládající soud ve své třetí otázce, a sice že taková mateřská společnost usazená ve třetí zemi, jako je v projednávané věci společnost Facebook Inc., přijímá strategická rozhodnutí ve věci shromažďování a zpracování osobních údajů osob s bydlištěm na území Unie, nemůže být zpochybněna pravomoc orgánu dozoru, na nějž se vztahuje právo členského státu, vůči provozovně správce uvedených údajů, která se nachází na území téhož státu.
64 Vzhledem k výše uvedenému je třeba na třetí a čtvrtou otázku odpovědět tak, že ustanovení článků 4 a 28 směrnice 95/46 musí být vykládána v tom smyslu, že pokud podnik usazený mimo Unii provozuje v různých členských státech více provozoven, je orgán dozoru členského státu oprávněn vykonat pravomoci, kterými je nadán na základě čl. 28 odst. 3 této směrnice, vůči provozovně tohoto podniku, která se nachází na území tohoto členského státu, přestože na základě rozdělení úkolů v rámci skupiny tato provozovna zajišťuje pouze prodej reklamního prostoru a jiné marketingové činnosti na území uvedeného členského státu a přestože výlučná odpovědnost za shromažďování a zpracování osobních údajů na celém území Evropské unie leží na provozovně, která se nachází v jiném členském státě.
K páté a šesté otázce
65 Podstatou páté a šesté otázky předkládajícího soudu, kterými je třeba se zabývat společně, je, zda je třeba ustanovení čl. 4 odst. 1 písm. a) a čl. 28 odst. 3 a 6 směrnice 95/46 vykládat v tom smyslu, že pokud orgán dozoru členského státu hodlá vykonat vůči subjektu usazenému na území tohoto členského státu pravomoci zasáhnout na základě čl. 28 odst. 3 této směrnice z důvodu porušení pravidel o ochraně osobních údajů, kterého se dopustila třetí osoba, která je správcem těchto údajů a má sídlo v jiném členském státě, je tento orgán dozoru oprávněn sám posoudit nezávisle na orgánu dozoru posledně uvedeného členského státu legalitu takového zpracování údajů a může vykonat pravomoci k zásahu vůči subjektu usazenému na svém území, aniž by předem vyzval orgán dozoru jiného členského státu k učinění zásahu.
66 Pro účely odpovědi na tyto otázky je třeba připomenout, že jak vyplývá z odpovědi na první a druhou předběžnou otázku, čl. 2 písm. d) směrnice 95/46 musí být vykládán v tom smyslu, že za takových okolností, jako jsou okolnosti v původním řízení, umožňuje v případě porušení pravidel o ochraně osobních údajů založit odpovědnost takového subjektu, jako je Wirtschaftsakademie, z důvodu jeho postavení správce fanouškovské stránky umístěné na Facebooku.
67 Orgán dozoru členského státu, na jehož území je usazen tento subjekt, je tudíž na základě čl. 4 odst. 1 písm. a) a čl. 28 odst. 1 a 3 směrnice 95/46 oprávněn použít své vnitrostátní právo, a tedy i vykonat vůči uvedenému subjektu veškeré pravomoci, které mu na základě s čl. 28 odst. 3 této směrnice svěřuje vnitrostátní právo.
68 Jak je stanoveno v čl. 28 odst. 1 druhém pododstavci uvedené směrnice, orgány dozoru pověřené dohledem nad dodržováním ustanovení přijatých členskými státy na základě téže směrnice na území členských států, pod něž spadají, plní úkoly, kterými jsou pověřeny, zcela nezávisle. Tento požadavek vyplývá rovněž z unijního primárního práva, a především z čl. 8 odst. 3 Listiny základních práv Evropské unie a čl. 16 odst. 2 SFEU (v tomto smyslu viz rozsudek ze dne 6. října 2015, Schrems, C‑362/14, EU:C:2015:650, bod 40).
69 Mimoto i když podle čl. 28 odst. 6 druhého pododstavce směrnice 95/46 orgány dozoru vzájemně spolupracují v míře nezbytné pro plnění svých úkolů, zejména výměnou veškerých užitečných informací, v téže směrnici není stanoveno žádné kritérium, na jehož základě by bylo rozhodováno o přednosti zásahu orgánů dozoru určitých členských států před jinými členskými státy, ani není stanovena povinnost orgánu dozoru určitého členského státu řídit se stanoviskem, které by případně vyjádřil orgán dozoru jiného členského státu.
70 Orgán dozoru, jehož pravomoc je stanovena na základě jeho vnitrostátního práva, proto nemá žádnou povinnost přijmout řešení, které jiný orgán dozoru použil na obdobnou situaci.
71 V tomto ohledu je třeba připomenout, že vzhledem k tomu, že vnitrostátní orgány dozoru jsou v souladu s čl. 8 odst. 3 Listiny základních práv a článkem 28 směrnice 95/46 pověřeny dohledem nad dodržováním unijních předpisů týkajících se ochrany fyzických osob v souvislosti se zpracováním osobních údajů, každý z těchto orgánů je tudíž nadán pravomocí ověřit, zda zpracování osobních údajů na území členského státu, kterému tyto orgány podléhají, splňuje požadavky stanovené směrnicí 95/46 (v tomto smyslu viz rozsudek ze dne 6. října 2015, Schrems, C‑362/14, EU:C:2015:650, bod 47).
72 Vzhledem k tomu, že se článek 28 směrnice 95/46 použije ze své podstaty na veškerá zpracování osobních údajů, musí mít i v případě existence rozhodnutí orgánu dozoru jiného členského státu vnitrostátní orgán dozoru, na který se obrátí osoba se žádostí týkající se ochrany jejích práv a svobod v souvislosti se zpracováním osobních údajů, jež se jí týkají, možnost zcela nezávisle posoudit, zda zpracování těchto údajů splňuje požadavky stanovené uvedenou směrnicí (v tomto smyslu viz rozsudek ze dne 6. října 2015, Schrems, C‑362/14, EU:C:2015:650, bod 57).
73 ULD byl tudíž v daném případě podle systému stanoveného směrnicí 95/46 oprávněn sám posoudit legalitu zpracování údajů dotčených v původním řízení nezávisle na posouzení, jež provedl irský orgán dozoru.
74 Na pátou a šestou otázku je tudíž třeba odpovědět tak, že ustanovení čl. 4 odst. 1 písm. a) a čl. 28 odst. 3 a 6 směrnice 95/46 je třeba vykládat v tom smyslu, že pokud orgán dozoru členského státu hodlá vykonat vůči subjektu usazenému na území tohoto členského státu pravomoci zasáhnout na základě čl. 28 odst. 3 této směrnice z důvodu porušení pravidel o ochraně osobních údajů, kterého se dopustila třetí osoba, která je správcem těchto údajů a má sídlo v jiném členském státě, má tento orgán dozoru pravomoc posoudit nezávisle na orgánu dozoru tohoto posledně uvedeného členského státu legalitu takového zpracování údajů a může vykonat pravomoci k zásahu vůči subjektu usazenému na vlastním území, aniž by k učinění zásahu předem vyzval orgán dozoru jiného členského státu.
K nákladům řízení
75 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:
1) Článek 2 písm. d) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že pojem „správce“ podle tohoto ustanovení zahrnuje správce fanouškovské stránky umístěné na sociální síti.
2) Ustanovení článků 4 a 28 směrnice 95/46 musí být vykládána v tom smyslu, že pokud podnik usazený mimo Evropskou unii provozuje v různých členských státech více provozoven, je orgán dozoru členského státu oprávněn vykonat pravomoci, kterými je nadán na základě čl. 28 odst. 3 této směrnice, vůči provozovně tohoto podniku, která se nachází na území tohoto členského státu, přestože na základě rozdělení úkolů v rámci skupiny tato provozovna zajišťuje pouze prodej reklamního prostoru a jiné marketingové činnosti na území uvedeného členského státu a přestože výlučná odpovědnost za shromažďování a zpracování osobních údajů na celém území Evropské unie leží na provozovně, která se nachází v jiném členském státě.
3) Ustanovení čl. 4 odst. 1 písm. a) a čl. 28 odst. 3 a 6 směrnice 95/46 musí být vykládána v tom smyslu, že pokud orgán dozoru členského státu hodlá vykonat vůči subjektu usazenému na území tohoto členského státu pravomoci zasáhnout na základě čl. 28 odst. 3 této směrnice z důvodu porušení pravidel o ochraně osobních údajů, kterého se dopustila třetí osoba, která je správcem těchto údajů a má sídlo v jiném členském státě, má tento orgán dozoru pravomoc posoudit nezávisle na orgánu dozoru tohoto posledně uvedeného členského státu legalitu takového zpracování údajů a může vykonat své pravomoci k zásahu vůči subjektu usazenému na vlastním území, aniž by k učinění zásahu předem vyzval orgán dozoru jiného členského státu.
Podpisy.