ROZSUDEK SOUDNÍHO DVORA (třetího senátu)
1. října 2015(*)
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46/ES – Článek 4 odst. 1 a čl. 28 odst. 1, 3 a 6 – Správce údajů formálně usazený v členském státě – Zásah do práva na ochranu osobních údajů týkajících se fyzických osob v jiném členském státě – Určení použitelného práva a příslušného orgánu dozoru – Výkon pravomocí orgánu dozoru – Sankční pravomoc“
Ve věci C‑230/14,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podaná rozhodnutím Kúria (Maďarsko) ze dne 22. dubna 2014, došlým Soudnímu dvoru dne 12. května 2014, v řízení
Weltimmo s. r. o.
proti
Nemzeti Adatvédelmi és Információszabadság Hatóság,
SOUDNÍ DVŮR (třetí senát),
ve složení M. Ilešič, předseda senátu, A. Ó Caoimh, C. Toader, E. Jarašiūnas a C. G. Fernlund (zpravodaj), soudci,
generální advokát: P. Cruz Villalón,
vedoucí soudní kanceláře: I. Illéssy, rada,
s přihlédnutím k písemné části řízení a po jednání konaném dne 12. března 2015,
s ohledem na vyjádření předložená:
– za Nemzeti Adatvédelmi és Információszabadság Hatóság A. Péterfalvim, jako zmocněncem, ve spolupráci s G. Dudásem, ügyvéd,
– za maďarskou vládu M. Z. Fehérem, G. Koósem a A. Pálfy, jako zmocněnci,
– za polskou vládu B. Majczynou, jakož i M. Kamejsza a M. Pawlicka, jako zmocněnci,
– za slovenskou vládu B. Ricziovou, jako zmocněnkyní,
– za vládu Spojeného království M. Holtem, jako zmocněncem, ve spolupráci s J. Holmesem, barrister,
– za Evropskou komisi A. Tokárem, B. Martenczukem a J. Vondung, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 25. června 2015,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 4 odst. 1 písm. a) a čl. 28 odst. 1, 3 a 6 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. L 281, s. 31; Zvl. vyd. 13/15, s. 355).
2 Tato žádost byla předložena v rámci sporu mezi společností Weltimmo s. r. o. (dále jen „Weltimmo“), která má sídlo na Slovensku, a Nemzeti Adatvédelmi és Információszabadság Hatóság (maďarský úřad pro ochranu údajů a informační svobodu, dále jen „maďarský orgán dozoru“), ve věci pokuty uložené tímto orgánem za porušení zákona č. CXII z roku 2011 o právu na informační sebeurčení a informační svobodě (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CVXII törvény, dále jen „informační zákon“), kterým byla provedena směrnice 95/46 do maďarského práva.
Právní rámec
Unijní právo
3 Body 3, 18 a 19 odůvodnění směrnice 95/46 uvádějí:
„(3) vzhledem k tomu, že vytvoření a fungování vnitřního trhu, v němž je zajištěn, v souladu s článkem [26 SFEU], volný pohyb zboží, osob, služeb a kapitálu, vyžaduje nejen možnost volného pohybu osobních údajů z jednoho členského státu do druhého, ale rovněž ochranu základních práv jednotlivců;
[...]
(18) vzhledem k tomu, že z důvodu, aby se zamezilo případům, kdy jednotlivcům nebude poskytnuta ochrana, která jim je zaručena na základě této směrnice, je nezbytné, aby veškeré zpracování osobních údajů uskutečněné ve Společenství dodržovalo právní předpisy některého členského státu; že v této souvislosti je třeba podřídit zpracování údajů prováděné v rámci povinností správce, který je usazen v členském státě, právním předpisům tohoto státu;
(19) vzhledem k tomu, že usazení na území členského státu předpokládá účinný [efektivní] a skutečný výkon činnosti prostřednictvím stálého zařízení; že právní forma takové provozovny, ať jde o pobočku nebo dceřinou společnost s vlastní právní subjektivitou, není z tohoto hlediska rozhodující; že pokud je stejný správce usazen na území několika členských států, zejména prostřednictvím dceřiné společnosti, musí zajistit, aby všechny provozovny plnily povinnosti stanovené vnitrostátními právními předpisy, které se vztahují na jejich činnost, zejména s cílem vyloučit jejich obcházení“.
4 Článek 2 směrnice 95/46 stanoví:
„Pro účely této směrnice se rozumí:
[...]
b) ,zpracováním osobních údajů [»feldolgozása«]‘ (,zpracování [»feldolgozás «]‘) jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace;
[...]“
5 Článek 4 odst. 1 písm. a) směrnice 95/46 stanoví:
„1. Každý členský stát použije na zpracování osobních údajů vnitrostátní ustanovení, která přijme na základě této směrnice, pokud:
a) zpracování je prováděno v rámci činností provozovny správce na území členského státu; pokud je stejný správce usazen na území několika členských států, musí přijmout opatření nezbytná pro dodržování povinností stanovených použitelným vnitrostátním právem každou ze svých provozoven“.
6 Podle čl. 28 odst. 1, 3 a 6 směrnice 95/46:
„1. Každý členský stát pověří jeden nebo několik orgánů veřejné moci na svém území dohledem nad dodržováním předpisů přijatých členskými státy na základě této směrnice.
Tyto orgány plní úkoly, kterými jsou pověřeny, zcela nezávisle.
[...]
3. Každý orgán dozoru má zejména:
– pravomoci provádět šetření, jako například pravomoc přístupu k údajům, které jsou předmětem zpracování, a shromažďovat veškeré informace nezbytné pro splnění svého úkolu dozoru;
– pravomoci účinně zasáhnout, jako například zaujmout stanovisko před zahájením zpracování v souladu s článkem 20 a zajistit vhodné zveřejnění těchto stanovisek nebo pravomoc nařídit blokování, výmaz nebo zničení údajů nebo dočasně nebo trvale zakázat zpracování nebo pravomoc zaslat správci upozornění či napomenutí nebo pravomoc obrátit se na parlament členského státu či na jiné politické orgány;
– pravomoc obrátit se na soud v případě porušení vnitrostátních předpisů přijatých k provedení této směrnice nebo pravomoc oznámit tato porušení soudním orgánům.
Proti rozhodnutím orgánu dozoru, která dala vzniknout stížnostem, je možné využít opravný prostředek k soudu.
[...]
6. Nezávisle na vnitrostátním právu, které se použije na dané zpracování, je orgán dozoru oprávněn vykonávat na území vlastního členského státu pravomoci, které mu byly uděleny v souladu s odstavcem 3. Každý orgán může být vyzván, aby vykonával své pravomoci na žádost orgánu jiného členského státu.
Orgány dozoru vzájemně spolupracují v míře nezbytné pro plnění svých úkolů, zejména výměnou veškerých užitečných informací.“
Maďarské právo
7 Ustanovení § 2 odst. 1 informačního zákona stanoví:
„Tento zákon se vztahuje na veškeré zpracování a technické zpracování údajů prováděné na území Maďarska ve vztahu k údajům fyzických osob, jakož i k údajům veřejného zájmu nebo k údajům přístupným z důvodů veřejného zájmu.“
8 Ustanovení § 3 odst. 10 a 17 informačního zákona obsahuje následující definice:
„10. ,zpracováním údajů‘ [se rozumí] jakýkoli úkon nebo soubor úkonů s údaji bez ohledu na použitý postup, jako je shromažďování, snímání, zaznamenávání, uspořádávání, uchovávání, pozměňování, použití, vyžadování, přenos, zveřejnění, srovnání či kombinování, blokování, výmaz nebo likvidace, jakož i bránění jinému použití údajů, pořízení fotografií, zvukových nebo obrazových záznamů nebo zaznamenání fyzických charakteristik, které slouží k identifikaci osob (například otisků prstů nebo dlaně ruky, vzorků DNA nebo snímku duhovky);
[...]
17. ,technickým zpracováním údajů‘ [(,adatfeldolgozás‘)] [se rozumí] výkon technických úkolů ve vztahu k úkonům zpracování údajů bez ohledu na metodu a prostředek použitý k provádění úkonů, jakož i na místo, v němž jsou prováděny, za předpokladu, že jsou tyto technické úkoly vykonávány na údajích“.
Spor v původním řízení a předběžné otázky
9 Weltimmo, společnost registrovaná na Slovensku, spravuje webové stránky pro inzerci nemovitostí nacházejících se v Maďarsku. Na základě toho zpracovává osobní údaje inzerentů. Inzeráty jsou zveřejněny bezplatně po dobu jednoho měsíce a po uplynutí této lhůty jsou zpoplatněny. Mnozí inzerenti požádali elektronickou poštou o stažení svých inzerátů po uplynutí této lhůty a při této příležitosti i o vymazání osobních údajů, které se jich týkají. Weltimmo však toto vymazání neprovedla a dotčeným fakturovala své služby. Při nezaplacení fakturovaných částek předala tato společnost osobní údaje dotyčných inzerentů společnostem vymáhajícím pohledávky.
10 Uvedení inzerenti podali stížnosti k maďarskému orgánu dozoru. Ten konstatoval, že na základě § 2 odst. 1 informačního zákona je příslušný, jelikož měl za to, že ke shromažďování údajů došlo na maďarském území a toto shromažďování představuje zpracování údajů nebo technické zpracování údajů týkající se fyzických osob. Vzhledem k tomu, že tento orgán dozoru dospěl k závěru, že společnost Weltimmo porušila informační zákon, uložil jí pokutu ve výši deset milionů maďarských forintů (HUF) (přibližně 32 000 eur).
11 Weltimmo napadla toto rozhodnutí u správního a pracovního soudu v Budapešti (Fővárosi Közigazgatási és Munkaügyi Bíróság), který konstatoval, že skutečnost, že tato společnost nemá sídlo ani provozovnu v Maďarsku, nepředstavuje platný důvod obrany, jelikož k poskytování předmětných údajů týkajících se maďarských nemovitostí, jakož i k jejich zpracování docházelo v Maďarsku. Tento soud nicméně zrušil rozhodnutí maďarského orgánu dozoru z jiných důvodů souvisejících s tím, že některé skutkové okolnosti nebyly dostatečně objasněny.
12 Weltimmo podala k předkládajícímu soudu kasační opravný prostředek, v němž tvrdila, že žádné další objasnění skutkového stavu není nezbytné, jelikož podle čl. 4 odst. 1 písm. a) směrnice 95/46 není maďarský orgán dozoru v tomto případě příslušný a nemůže na poskytovatele služeb usazeného v jiném členském státě použít maďarské právo. Weltimmo uvedla, že podle čl. 28 odst. 6 směrnice 95/46 by tento orgán měl vyzvat slovenský orgán příslušný v této oblasti, aby jednal místo něj.
13 Maďarský orgán dozoru uvedl, že společnost Weltimmo má v Maďarsku zástupce, jenž je maďarské státní příslušnosti, a sice jednoho z vlastníků této společnosti, který ji zastupoval ve správních a soudních řízeních v tomto členském státě. Tento orgán dále dodal, že internetové servery společnosti Weltimmo jsou pravděpodobně umístěny v Německu nebo Rakousku, ale že vlastníci této společnosti bydlí v Maďarsku. Podle uvedeného orgánu konečně z čl. 28 odst. 6 směrnice 95/46 vyplývá, že má každopádně pravomoc jednat bez ohledu na použitelné právo.
14 Kúria (nejvyšší soud), který má pochybnosti o určení rozhodného práva a o pravomocech, které má maďarský orgán dozoru s ohledem na čl. 4 odst. 1 a článek 28 směrnice 95/46, se rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Lze čl. 28 odst. 1 směrnice 95/46 vykládat v tom smyslu, že vnitrostátní právní úpravu členského státu lze použít na jeho území na správce údajů usazeného výlučně v jiném členském státě, který spravuje webové stránky pro zprostředkování v oblasti nemovitostí a inzeruje rovněž nemovitosti umístěné na území prvního členského státu, jejichž vlastníci předali své osobní údaje prostředku (serveru) pro uložení a technické zpracování údajů, který náleží správci webových stránek a je umístěn v tomto jiném členském státě?
2) Lze čl. 4 odst. 1 písm. a) směrnice 95/46 s ohledem na body 18 až 20 jejího odůvodnění a na čl. 1 odst. 2 a čl. 28 odst. 1 vykládat v tom smyslu, že maďarský orgán dozoru nemůže na správce webových stránek pro zprostředkování v oblasti nemovitostí usazeného výlučně v jiném členském státě použít maďarský zákon o ochraně údajů jako vnitrostátní právo, a to ani tehdy, když tento správce inzeruje mimo jiné nemovitosti nacházející se v Maďarsku, jejichž vlastníci předali, pravděpodobně z území Maďarska, údaje týkající se jejich nemovitostí prostředku (serveru) pro uložení a technické zpracování údajů, který náleží správci webových stránek a je umístěn v jiném členském státě?
3) Je pro účely výkladu relevantní, že služba poskytovaná správcem údajů, který spravuje webové stránky, je zaměřena na území jiného členského státu?
4) Je pro účely výkladu relevantní, že údaje týkající se nemovitostí umístěných na území tohoto jiného členského státu nebo osobní údaje jejich vlastníků byly skutečně vloženy z území tohoto členského státu?
5) Je pro účely výkladu relevantní, že osobní údaje vztahující se k těmto nemovitostem jsou osobními údaji občanů jiného členského státu?
6) Je pro účely výkladu relevantní, že vlastníci společnosti usazené na Slovensku bydlí v Maďarsku?
7) Pokud z odpovědí na předchozí otázky vyplývá, že maďarský orgán dozoru může vést řízení, ale nemůže použít vnitrostátní právo, nýbrž musí použít právo členského státu usazení, je třeba čl. 28 odst. 6 směrnice 95/46 vykládat v tom smyslu, že maďarský orgán dozoru může vykonávat pravomoci stanovené v čl. 28 odst. 3 této směrnice pouze podle ustanovení právní úpravy členského státu usazení, a že tudíž není oprávněn uložit pokutu?
8) Lze považovat pojem ,adatfeldolgozás‘ (technické zpracování údajů) použitý jak v čl. 4 odst. 1 písm. a), tak v čl. 28 odst. 6 směrnice 95/46 za shodný s pojmem ,adatkezelés‘ (zpracování údajů) použitým v terminologii této směrnice?“
K předběžným otázkám
Úvodní poznámky
15 Co se týče nejprve faktického rámce sporu v původním řízení, je třeba zmínit několik doplňujících informací, které uvedl maďarský orgán dozoru ve svém písemném vyjádření a na jednání u Soudního dvora.
16 Z těchto informací vyplývá zaprvé, že tento orgán se od svého slovenského protějšku neformálně dozvěděl, že společnost Weltimmo nevykonává v místě sídla na Slovensku žádnou činnost. Weltimmo kromě toho několikrát přemístila sídlo z jednoho státu do druhého. Zadruhé společnost Weltimmo vytvořila dvě webové stránky pro inzerci nemovitostí, které jsou výlučně v maďarštině. Zřídila si v Maďarsku bankovní účet, určený k vymáhání pohledávek, a měla v tomto státě poštovní schránku pro běžný obchodní styk. Pošta byla pravidelně vyzvedávána a společnosti Weltimmo zasílána elektronicky. Zatřetí inzerenti měli sami nejen zapsat údaje o svých nemovitostech na webové stránky společnosti Weltimmo, ale rovněž tyto údaje z této stránky smazat, pokud nechtěli, aby tam tyto údaje byly nadále uvedeny po uplynutí výše uvedené lhůty jednoho měsíce. Weltimmo uvedla, že toto vymazání nemohlo být provedeno kvůli problému se správou počítače. Začtvrté je Weltimmo společnost tvořená pouze jednou či dvěma osobami. Její zástupce v Maďarsku se snažil jednat s inzerenty o uhrazení nezaplacených pohledávek.
17 Pokud jde dále o znění položených otázek, ačkoliv předkládající soud používá v první a druhé otázce výraz „výlučně usazený“, z předkládacího rozhodnutí i z písemného a ústního vyjádření maďarského orgánu dozoru vyplývá, že i když je Weltimmo zapsána na Slovensku, a je tedy usazena v tomto členském státě ve smyslu práva obchodních korporací, panuje pochybnost o tom, zda je „usazena“ výlučně v tomto členském státě ve smyslu čl. 4 odst. 1 písm. a) směrnice 95/46. Předkládající soud se tím, že se táže Soudního dvora na výklad tohoto ustanovení, snaží zjistit, co zahrnuje pojem „provozovna“ použitý v tomto ustanovení.
18 Konečně je třeba poukázat na to, že v první a druhé otázce předkládající soud zmiňuje, že server využívaný společností Weltimmo je umístěn na Slovensku, zatímco v jiné části předkládacího rozhodnutí zmiňuje možnost, že servery této společnosti se nacházejí v Německu nebo v Rakousku. Za těchto podmínek je třeba mít za to, že otázka, ve kterém členském státě jsou server nebo servery umístěny, není vyjasněna.
K první až šesté otázce
19 Podstatou první až šesté otázky předkládajícího soudu, které je třeba zkoumat společně, je, zda čl. 4 odst. 1 písm. a) a čl. 28 odst. 1 směrnice 95/46 musí být vykládány v tom smyslu, že za takových okolností, o jaké se jedná v původním řízení, umožňují orgánu dozoru členského státu použít jeho vnitrostátní právní předpisy o ochraně údajů na správce údajů, jehož společnost je zapsána v jiném členském státě a který provozuje webové stránky pro inzerci nemovitostí nacházejících se na území prvního z těchto dvou států. Táže se konkrétně, zda je relevantní, že tento členský stát je stát
– na který je činnost správce osobních údajů zaměřena,
– kde se nacházejí předmětné nemovitosti,
– ze kterého jsou sdělovány údaje týkající se vlastníků těchto nemovitostí,
– jehož státními příslušníky jsou tito vlastníci a
– v němž bydlí vlastníci této společnosti.
20 Co se týče použitelného práva, zmiňuje předkládající soud konkrétně právo slovenské a maďarské, přičemž první z těchto práv je právem členského státu, v němž je správce předmětných osobních údajů zapsán, a druhé je právem členského státu, na který jsou zaměřeny webové stránky dotčené v původním sporu a na jehož území se nacházejí nemovitosti, které jsou předmětem uveřejněných inzerátů.
21 V tomto ohledu je třeba konstatovat, že článek 4 směrnice 95/46, nadepsaný „Použitelné vnitrostátní právo“, který je součástí kapitoly 1 této směrnice, nadepsané „Obecná ustanovení“, upravuje právě tuto otázku.
22 Článek 28 směrnice 95/46, nadepsaný „Orgán dozoru“, se naproti tomu věnuje úloze a pravomocem tohoto orgánu. Podle tohoto čl. 28 odst. 1 je uvedený orgán pověřen na území svého členského státu dohledem nad dodržováním předpisů přijatých členskými státy na základě této směrnice. Podle čl. 28 odst. 6 uvedené směrnice vykonává orgán dozoru pravomoci, které mu byly uděleny, nezávisle na vnitrostátním právu, které se použije na zpracování osobních údajů.
23 Vnitrostátní právo použitelné na správce údajů je tedy třeba určit nikoliv s ohledem na článek 28 směrnice 95/46, nýbrž na její článek 4.
24 Podle čl. 4 odst. 1 písm. a) směrnice 95/46 použije každý členský stát na zpracování osobních údajů vnitrostátní ustanovení, která přijme na základě této směrnice, pokud je zpracování prováděno v rámci činností provozovny správce na území členského státu.
25 S ohledem na cíl sledovaný směrnicí 95/46, spočívající v zajištění účinné a úplné ochrany základních práv a svobod fyzických osob, zejména práva na soukromí, v souvislosti se zpracováním osobních údajů, nelze výraz „v rámci činností provozovny“ vykládat restriktivně (v tomto smyslu viz rozsudek Google Spain a Google, C‑131/12, EU:C:2014:317, bod 53).
26 Aby bylo dosaženo tohoto cíle a zamezeno případům, kdy jednotlivcům nebude poskytnuta ochrana, která jim je zaručena touto směrnicí, její bod 18 uvádí, že je nezbytné, aby veškeré zpracování osobních údajů uskutečněné v Evropské unii dodržovalo právní předpisy některého členského státu, a zpracování údajů prováděné v rámci povinností správce, který je usazen v členském státě, je třeba podřídit právním předpisům tohoto státu.
27 Unijní normotvůrce stanovil v případě směrnice 95/46 obzvláště širokou územní působnost, jak je uvedeno v jejím článku 4 (v tomto smyslu viz rozsudek Google Spain a Google, C‑131/12, EU:C:2014:317, bod 54).
28 Zaprvé je v souvislosti s pojmem „provozovna“ třeba připomenout bod 19 odůvodnění směrnice 95/46, který uvádí, že usazení na území členského státu předpokládá efektivní a skutečný výkon činnosti prostřednictvím stálého zařízení a že právní forma takové provozovny, ať jde o pobočku nebo dceřinou společnost s vlastní právní subjektivitou, není rozhodující (rozsudek Google Spain a Google, C‑131/12, EU:C:2014:317, bod 48). Tento bod odůvodnění kromě toho upřesňuje, že pokud je stejný správce usazen na území několika členských států, musí zajistit, aby všechny provozovny plnily povinnosti stanovené vnitrostátními právními předpisy, které se vztahují na jejich činnost, zejména s cílem vyloučit jejich obcházení.
29 Z toho plyne, jak uvedl generální advokát v bodech 28 a 32 až 34 svého stanoviska, flexibilní pojetí pojmu usazení, které vylučuje jakýkoliv formalistický přístup, podle něhož je podnik usazen výlučně v místě, v němž je zapsán. Za účelem určení, zda obchodní společnost, správce údajů, má provozovnu ve smyslu směrnice 95/46 v jiném členském státě, než je členský stát, nebo třetí země, v nichž je zapsána, je třeba posoudit jak míru stability zařízení, tak skutečný charakter výkonu činnosti v tomto jiném členském státě, s přihlédnutím ke konkrétní povaze dotčených hospodářských činností a poskytovaných služeb. To platí obzvláště pro podniky, které poskytují služby výlučně prostřednictvím internetu.
30 V tomto ohledu je třeba mít zejména za to, že – s ohledem na cíl sledovaný touto směrnicí spočívající v zajištění účinné a úplné ochrany práva na soukromí a zabránění jakémukoliv obcházení práva – přítomnost jediného zástupce může za určitých okolností dostačovat k existenci stálého zařízení, jestliže tento zástupce jedná s dostatečnou mírou stability, s pomocí prostředků nezbytných k poskytování předmětných konkrétních služeb v dotyčném členském státě.
31 Kromě toho, aby bylo dosaženo uvedeného cíle, je třeba mít za to, že pojem „provozovna“ ve smyslu směrnice 95/46 zahrnuje jakoukoliv efektivní a skutečnou činnosti, i minimální, vykonávanou prostřednictvím stálého zařízení.
32 V projednávaném případě spočívá činnost vykonávaná společností Weltimmo přinejmenším v provozování jedné či několika webových stránek s inzeráty na nemovitosti nacházející se v Maďarsku, které jsou v maďarském jazyce, přičemž tyto inzeráty jsou po uplynutí lhůty jednoho měsíce zpoplatněny. Je tedy třeba konstatovat, že tato společnost provozuje v Maďarsku efektivní a skutečnou činnost.
33 Z upřesnění poskytnutých maďarským orgánem dozoru kromě toho vyplývá, že Weltimmo má v Maďarsku zástupce, o němž existuje poznámka ve slovenském obchodním rejstříku a který se snažil jednat s inzerenty o uhrazení nezaplacených pohledávek. Tento zástupce vystupoval jako prostředník mezi touto společností a stěžovateli a zastupoval společnost ve správních a soudních řízeních. Uvedená společnost si nadto zřídila v Maďarsku bankovní účet určený k vymáhání pohledávek a používá na území tohoto členského státu poštovní schránku pro běžný obchodní styk. Tyto skutečnosti, které musí předkládající soud ověřit, mohou v takové situaci, o jakou se jedná v původním řízení, prokazovat existenci „provozovny“ ve smyslu čl. 4 odst. 1 písm. a) směrnice 95/46.
34 Zadruhé je nezbytné zjistit, zda je předmětné zpracování osobních údajů prováděno „v rámci činností“ této provozovny.
35 Soudní dvůr již konstatoval, že čl. 4 odst. 1 písm. a) směrnice 95/46 nevyžaduje, aby dotčené zpracování osobních údajů bylo prováděno samotnou dotčenou provozovnou, ale pouze aby bylo prováděno „v rámci činností“ provozovny (rozsudek Google Spain a Google, C‑131/12, EU:C:2014:317, bod 52).
36 V tomto případě spočívá zpracování dotčené v původním řízení zejména ve zveřejnění osobních údajů týkajících se vlastníků těchto nemovitostí na webových stránkách společnosti Weltimmo pro inzerci nemovitostí, jakož i v případném použití těchto údajů pro potřeby fakturace inzerátů po uplynutí lhůty jednoho měsíce.
37 V tomto ohledu je třeba připomenout, že konkrétně v souvislosti s internetem již měl Soudní dvůr příležitost konstatovat, že úkon spočívající v uvedení osobních údajů na internetové stránce se považuje za „zpracování“ ve smyslu čl. 2 písm. b) směrnice 95/46 (rozsudky Lindqvist, C‑101/01, EU:C:2003:596, bod 25, jakož i Google Spain a Google, C‑131/12, EU:C:2014:317, bod 26).
38 Není přitom pochyb o tom, že k tomuto zpracování dochází v rámci činností popsaných v bodě 32 tohoto rozsudku, kterým se věnuje společnost Weltimmo v Maďarsku.
39 S výhradou ověření připomenutých v bodě 33 tohoto rozsudku, která musí provést předkládající soud za účelem případného prokázání existence provozovny správce údajů v Maďarsku, je tedy třeba mít za to, že toto zpracování je prováděno v rámci této provozovny a čl. 4 odst. 1 písm. a) směrnice 96/46 umožňuje, aby v takové situaci, o jakou se jedná v původním řízení, bylo použito maďarské právo upravující ochranu osobních údajů.
40 Okolnost, že vlastníci nemovitostí, které jsou předmětem inzerátů, mají maďarskou státní příslušnost, není naproti tomu nijak relevantní pro účely určení vnitrostátního práva použitelného na zpracování údajů dotčené v původním řízení.
41 S ohledem na výše uvedené úvahy je třeba odpovědět na první až šestou otázku následovně:
– čl. 4 odst. 1 písm. a), směrnice 95/46 musí být vykládán v tom smyslu, že umožňuje použití právních předpisů na ochranu osobních údajů jiného členského státu, než v němž je správce těchto údajů zapsán, za předpokladu, že tento správce vykonává prostřednictvím stálého zařízení na území tohoto členského státu efektivní a skutečnou činnost, byť i minimální, v rámci níž je prováděno toto zpracování;
– za takových okolností, o jaké se jedná v původním řízení, může předkládající soud za účelem určení, zda tomu tak je, zohlednit zejména skutečnost, že činnost správce, v rámci níž k uvedenému zpracování dochází, spočívá v provozování webových stránek s inzeráty na nemovitosti nacházející se na území tohoto členského státu, které jsou v jazyce tohoto státu, a že je tato činnost tedy zaměřena především, nebo dokonce zcela na uvedený členský stát, a dále skutečnost, že tento správce má v uvedeném členském státě zástupce, jehož úkolem je vymáhat pohledávky vyplývající z této činnosti, jakož i zastupovat správce ve správních a soudních řízeních souvisejících se zpracováním předmětných údajů;
– otázka státní příslušnosti osob dotčených tímto zpracováním údajů je naproti tomu irelevantní.
K sedmé otázce
42 Sedmá otázka je položena pouze pro případ, že by maďarský orgán dozoru konstatoval, že Weltimmo má nikoliv v Maďarsku, ale v jiném členském státě provozovnu ve smyslu čl. 4 odst. 1 písm. a) směrnice 95/46 vykonávající činnost, v rámci níž je prováděno zpracování předmětných osobních údajů.
43 Podstatou této otázky předkládajícího soudu je, zda v případě, že maďarský orgán dozoru dospěje k závěru, že právem použitelným na zpracování osobních údajů není maďarské právo, nýbrž právo jiného členského státu, musí být čl. 28 odst. 1, 3 a 6 směrnice 95/46 vykládán v tom smyslu, že tento orgán může vykonávat pouze pravomoci stanovené v čl. 28 odst. 3 této směrnice v souladu s právem tohoto jiného členského státu a nemůže ukládat sankce.
44 Pokud jde zaprvé o pravomoc orgánu dozoru jednat v takovém případě, je třeba uvést, že podle čl. 28 odst. 4 směrnice 95/46 se na orgán dozoru může obrátit jakákoli osoba se žádostí týkající se ochrany svých práv a svobod v souvislosti se zpracováním osobních údajů.
45 V takové situaci, o jakou se jedná v původním řízení, se tedy takové osoby, jako jsou inzerenti nemovitostí dotčených v původním řízení, kteří se považují za oběti neoprávněného zpracování svých osobních údajů v členském státě, v němž mají tyto nemovitosti, mohou obrátit na maďarský orgán dozoru.
46 Zadruhé je třeba přezkoumat, jaké pravomoci má tento orgán dozoru, ve světle čl. 28 odst. 1, 3 a 6 směrnice 95/46.
47 Z článku 28 odst. 1 této směrnice vyplývá, že každý orgán dozoru zřízený členským státem dbá na území tohoto členského státu na dodržování předpisů přijatých členskými státy na základě směrnice 95/46.
48 Podle čl. 28 odst. 3 směrnice 95/46 mají tyto orgány dozoru zejména pravomoci provádět šetření, jako je pravomoc shromažďovat veškeré informace nezbytné pro splnění úkolu dozoru, a pravomoci účinně zasáhnout, jako je pravomoc nařídit blokování, výmaz nebo zničení údajů nebo dočasně nebo trvale zakázat zpracování nebo pravomoc zaslat správci upozornění či napomenutí.
49 Vzhledem k příkladmému charakteru takto vyjmenovaných pravomocí a druhu pravomocí zasáhnout uvedených v tomto ustanovení, jakož i rozhodovacímu prostoru, který mají členské státy při provádění směrnice 95/46, je třeba konstatovat, že tyto pravomoci zasáhnout mohou zahrnovat pravomoc sankcionovat správce údajů případným uložením pokuty.
50 Pravomoci přiznané orgánům kontroly musí být vykonávány v souladu s procesním právem jejich vlastního členského státu.
51 Z článku 28 odst. 1 a 3 směrnice 95/46 vyplývá, že každý orgán dozoru vykonává všechny pravomoci, které mu byly přiznány na území vlastního členského státu, za účelem zajistit na tomto území dodržování pravidel v oblasti ochrany údajů.
52 Tuto územní působnost pravomocí každého orgánu dozoru potvrzuje čl. 28 odst. 6 této směrnice, který stanoví, že orgán dozoru je oprávněn vykonávat na území vlastního členského státu pravomoci, které mu byly svěřeny v souladu s čl. 28 odst. 3 uvedené směrnice, a to nezávisle na použitelném vnitrostátním právu. Tento čl. 28 odst. 6 rovněž upřesňuje, že každý orgán může být vyzván, aby vykonával své pravomoci na žádost orgánu jiného členského státu, a že orgány dozoru vzájemně spolupracují v míře nezbytné pro plnění svých úkolů, zejména výměnou veškerých užitečných informací.
53 Toto ustanovení je nezbytné k tomu, aby byl zajištěn volný pohyb osobních údajů v Unii a současně bylo dbáno na dodržování pravidel na ochranu soukromí fyzických osob stanovených směrnicí 95/46. Při neexistenci uvedeného ustanovení by totiž v případě, že správce údajů podléhá právu členského státu, ale porušuje právo na ochranu soukromí fyzických osob v jiném členském státě, zejména zaměřením své činnosti na tento jiný členský stát bez toho, aby se tam usadil ve smyslu této směrnice, bylo pro tyto osoby obtížné, ne-li nemožné, dosáhnout dodržování práva na tuto ochranu.
54 Z článku 28 odst. 6 směrnice 95/46 tak vyplývá, že orgán dozoru členského státu, na který se na základě čl. 28 odst. 4 této směrnice obrátí fyzické osoby se stížností týkající se zpracování jejich osobních údajů, může přezkoumat tuto stížnost nezávisle na vnitrostátním právu, tudíž i tehdy, když je právem použitelným na zpracování předmětných údajů právo jiného členského státu.
55 V takovém případě však pravomoci tohoto orgánu nezahrnují nutně všechny pravomoci, které mu přiznává právo jeho vlastního členského státu.
56 Jak uvedl generální advokát v bodě 50 svého stanoviska, z požadavků vyplývajících z územní suverenity státu, ze zásady legality a z pojmu právního státu plyne, že sankční pravomoc nelze v zásadě vykonávat mimo rámec právních předpisů, jež opravňují správní orgán k tomu, aby jednal na základě práva svého vlastního členského státu.
57 Pokud je tedy orgánu dozoru předložena v souladu s čl. 28 odst. 4 směrnice 95/46 stížnost, může tento orgán vykonávat své pravomoci provádět šetření nezávisle na použitelném právu, a dokonce před zjištěním, které právo je na dotčené zpracování použitelné. Jestliže však dospěje k závěru, že je použitelné právo jiného členského státu, nemůže ukládat sankce mimo území vlastního členského státu. V takové situaci musí na základě povinnosti spolupráce, kterou stanoví čl. 28 odst. 6 této směrnice požádat orgán dozoru tohoto druhého členského státu, aby konstatoval případné porušení tohoto práva a uložil sankce, pokud to uvedené právo umožňuje, a to případně na základě informací, které mu orgán prvního členského státu předal.
58 Orgán dozoru, ke kterému byla taková stížnost podána, může být v rámci této spolupráce vyzván k provedení dalšího šetření na základě pokynů orgánu dozoru druhého členského státu.
59 Z toho plyne, že v takové situaci, o jakou se jedná v původním řízení, pokud je použitelným právem právo jiného členského státu, než je Maďarsko, nebude maďarský orgán dozoru moci uplatnit sankční pravomoci, které mu přiznává maďarské právo.
60 Z výše uvedených úvah vyplývá, že na sedmou otázku je třeba odpovědět tak, že v případě, že orgán dozoru členského státu, ke kterému byly v souladu s čl. 28 odst. 4 směrnice 95/46 podány stížnosti, dospěje k závěru, že právem použitelným na zpracování předmětných osobních údajů není právo tohoto členského státu, nýbrž právo jiného členského státu, musí být čl. 28 odst. 1, 3 a 6 této směrnice vykládán v tom smyslu, že tento orgán dozoru může vykonávat pravomoci účinně zasáhnout, které mu byly přiznány v souladu s čl. 28 odst. 3 uvedené směrnice, pouze na území vlastního členského státu. Nemůže tedy uložit sankce na základě práva tohoto členského státu správci těchto údajů, který není usazen na tomto území, ale musí podle čl. 28 odst. 6 téže směrnice požádat orgán dozoru členského státu, jehož právo je použitelné, aby zasáhl.
K osmé otázce
61 Osmou otázkou se předkládající soud táže Soudního dvora na rozsah pojmu „adatfeldolgozás“ (technické zpracování údajů) použitého zejména v čl. 4 odst. 1 písm. a) směrnice 95/46 týkajícím se určení použitelného práva a v čl. 28 odst. 6 této směrnice týkajícím se pravomocí orgánu dozoru.
62 Z maďarského znění směrnice 95/46 vyplývá, že tato směrnice systematicky používá výraz „adatfeldolgozás“.
63 Předkládající soud uvádí, že informační zákon používá, zejména v ustanoveních určených k provedení ustanovení směrnice 95/46 o pravomoci orgánu dozoru, výraz „adatkezelés“ (zpracování údajů). Jak přitom vyplývá z § 3 bodu 10 tohoto zákona, tento výraz má širší význam než výraz „adatfeldolgozás“ definovaný v § 3 bodu 17 uvedeného zákona a posledně uvedený výraz v sobě zahrnuje.
64 I když pojem „adatfeldolgozás“ má podle běžného pojetí a jak vyplývá z informačního zákona užší význam než pojem „adatkezelés“, je třeba uvést, že maďarské znění směrnice 95/46 definuje v čl. 2 písm. b) výraz „adatfeldolgozás“ široce, způsobem odpovídajícím výrazu „adatkezelés“.
65 Z toho vyplývá, že na osmou otázku je třeba odpovědět tak, že směrnice 95/46 musí být vykládána v tom smyslu, že pojem „adatfeldolgozás“ (technické zpracování údajů) použitý v maďarském znění této směrnice, zejména v jejím čl. 4 odst. 1 písm. a) a čl. 28 odst. 6, musí být chápán v témže smyslu jako výraz „adatkezelés“ (zpracování údajů).
K nákladům řízení
66 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (třetí senát) rozhodl takto:
1) Článek 4 odst. 1 písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že umožňuje použití právních předpisů na ochranu osobních údajů jiného členského státu, než ve kterém je správce těchto údajů zapsán, za předpokladu, že tento správce vykonává prostřednictvím stálého zařízení na území tohoto členského státu efektivní a skutečnou činnost, byť i minimální, v rámci níž je prováděno toto zpracování.
Za takových okolností, o jaké se jedná v původním řízení, může předkládající soud za účelem určení, zda tomu tak je, zohlednit zejména skutečnost, že činnost správce, v rámci níž k uvedenému zpracování dochází, spočívá v provozování webových stránek s inzeráty na nemovitosti nacházející se na území tohoto členského státu, které jsou v jazyce tohoto státu, a že je tato činnost tedy zaměřena především, nebo dokonce zcela na uvedený členský stát, a dále skutečnost, že tento správce má v uvedeném členském státě zástupce, jehož úkolem je vymáhat pohledávky vyplývající z této činnosti, jakož i zastupovat správce ve správních a soudních řízeních souvisejících se zpracováním předmětných údajů.
Otázka státní příslušnosti osob dotčených tímto zpracováním údajů je naproti tomu irelevantní.
2) V případě, že orgán dozoru členského státu, ke kterému byly v souladu s čl. 28 odst. 4 směrnice 95/46 podány stížnosti, dospěje k závěru, že právem použitelným na zpracování předmětných osobních údajů není právo tohoto členského státu, nýbrž právo jiného členského státu, musí být čl. 28 odst. 1, 3 a 6 této směrnice vykládán v tom smyslu, že tento orgán dozoru může vykonávat pravomoci účinně zasáhnout, které mu byly přiznány v souladu s čl. 28 odst. 3 uvedené směrnice, pouze na území vlastního členského státu. Nemůže tedy uložit sankce na základě práva tohoto členského státu správci těchto údajů, který není usazen na tomto území, ale musí podle čl. 28 odst. 6 téže směrnice požádat orgán dozoru členského státu, jehož právo je použitelné, aby zasáhl.
3) Směrnice 95/46 směrnice 95/46 musí být vykládána v tom smyslu, že pojem „adatfeldolgozás“ (technické zpracování údajů) použitý v maďarském znění této směrnice, zejména v jejím čl. 4 odst. 1 písm. a) a čl. 28 odst. 6, musí být chápán v témže smyslu jako výraz „adatkezelés“ (zpracování údajů).
Podpisy.