WYROK TRYBUNAŁU (trzecia izba)
z dnia 1 października 2015 r.(*)
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46/WE – Artykuł 4 ust. 1 i art. 28 ust. 1, 3 i 6 – Administrator danych formalnie mający siedzibę na terytorium określonego państwa członkowskiego – Naruszenie prawa do ochrony danych osobowych dotyczące osób fizycznych w innym państwie członkowskim – Ustalenie prawa właściwego oraz właściwego organu nadzorczego – Wykonywanie uprawnień organu nadzorczego – Uprawnienie do nakładania sankcji
W sprawie C‑230/14
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Kúria (Węgry) postanowieniem z dnia 22 kwietnia 2014 r., które wpłynęło do Trybunału w dniu 12 maja 2014 r., w postępowaniu:
Weltimmo s. r. o.
przeciwko
Nemzeti Adatvédelmi és Információszabadság Hatóság,
TRYBUNAŁ (trzecia izba),
w składzie: M. Ilešič, prezes izby, A. Ó Caoimh, C. Toader, E. Jarašiūnas i C.G. Fernlund (sprawozdawca), sędziowie,
rzecznik generalny: P. Cruz Villalón,
sekretarz: I. Illéssy, administrator,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 12 marca 2015 r.,
rozważywszy uwagi przedstawione:
– w imieniu Nemzeti Adatvédelmi és Információszabadság Hatóság przez A. Péterfalviego, działającego w charakterze pełnomocnika, wspieranego przez G. Dudása, ügyvéd,
– w imieniu rządu węgierskiego przez M.Z. Fehéra, G. Koósa i A. Pálfy, działających w charakterze pełnomocników,
– w imieniu rządu polskiego przez B. Majczynę, M. Kamejszę i M. Pawlicką, działających w charakterze pełnomocników,
– w imieniu rządu słowackiego przez B. Ricziovą, działającą w charakterze pełnomocnika,
– w imieniu rządu Zjednoczonego Królestwa przez M. Holta, działającego w charakterze pełnomocnika, wspieranego przez J. Holmesa, barrister,
– w imieniu Komisji Europejskiej przez A. Tokára, B. Martenczuka i J. Vondung, działających w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 25 czerwca 2015 r.,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 4 ust. 1 lit. a) i art. 28 ust. 1, 3 i 6 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31 – wyd. spec. w jęz. polskim, rozdz. 13, t. 15, s. 355).
2 Wniosek ten został złożony w ramach sporu pomiędzy Weltimmo s. r. o. (zwaną dalej „Weltimmo”), spółką z siedzibą na Słowacji, a Nemzeti Adatvédelmi és Információszabadság Hatóság (krajowym organem ochrony danych i wolności informacji, zwanym dalej „węgierskim organem nadzorczym”) w przedmiocie grzywny wymierzonej przez ten organ za naruszenie az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (ustawy CXII z 2011 r. o prawie samodzielnego decydowania o wykorzystaniu informacji i wolności informacji, zwanej dalej „ustawą o informacji”), za pomocą której dokonano transpozycji dyrektywy 95/46 do prawa węgierskiego.
Ramy prawne
Prawo Unii
3 Motywy 3, 18 i 19 dyrektywy 95/46 mają następujące brzmienie:
„(3) Ustanowienie i funkcjonowanie rynku wewnętrznego, na którym zgodnie z art. [26 TFUE], zapewniony jest swobodny przepływ towarów, osób, usług i kapitału, wymaga nie tylko zapewnienia swobodnego przepływu danych osobowych z jednego państwa członkowskiego do drugiego, lecz również ochrony praw podstawowych osób fizycznych.
[…]
(18) Aby nie dopuścić do pozbawienia jednostek ochrony, do której mają prawo na mocy niniejszej dyrektywy, wszelkie przetwarzanie danych osobowych we Wspólnocie musi być przeprowadzane zgodnie z ustawodawstwem jednego z państw członkowskich; w związku z tym przetwarzanie danych przeprowadzane na odpowiedzialność administratora danych, który prowadzi działalność gospodarczą na terenie państwa członkowskiego, powinno być regulowane przez ustawodawstwo tego państwa.
(19) Prowadzenie działalności gospodarczej na terytorium państwa członkowskiego zakłada efektywne i rzeczywiste prowadzenie działań poprzez stabilne rozwiązania [organizacyjne]; forma prawna prowadzonej działalności gospodarczej, niezależnie czy jest to oddział lub filia posiadająca osobowość prawną, nie jest w tym względzie czynnikiem decydującym; w przypadku ustanowienia jednego administratora danych na terytorium kilku państw członkowskich, szczególnie w postaci filii, musi on zapewnić, w celu uniknięcia obejścia przepisów krajowych, że każda z prowadzonych działalności gospodarczych będzie spełniać obowiązki wynikające z prawa krajowego”.
4 Artykuł 2 dyrektywy 95/46 stanowi:
„Do celów niniejszej dyrektywy:
[…]
b) »przetwarzanie danych osobowych [‘feldolgozása’]« (»przetwarzanie [‘feldolgozás’]«) oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych przy pomocy środków zautomatyzowanych lub innych, jak np. gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja lub modyfikacja, odzyskiwanie, konsultowanie, wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie;
[…]”.
5 Artykuł 4 ust. 1 lit. a) dyrektywy 95/46 stanowi:
„1. Każde państwo członkowskie stosuje, w odniesieniu do przetwarzania danych osobowych, przepisy prawa krajowego przyjmowane na mocy niniejszej dyrektywy wówczas, gdy:
a) przetwarzanie danych odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego; jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku państw członkowskich, musi on podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego”.
6 Artykuł 28 ust. 1, 3 i 6 dyrektywy 95/46 stanowi:
„1. Każde państwo członkowskie zapewni, że jeden lub więcej organów władzy publicznej będzie odpowiedzialnych za kontrolę stosowania na jego terytorium przepisów przyjętych przez państwa członkowskie na mocy niniejszej dyrektywy.
Organy te postępują w sposób całkowicie niezależny przy wykonywaniu powierzonych im funkcji.
[…]
3. Każdy organ jest w szczególności wyposażony w:
– uprawnienia dochodzeniowe, jak np. prawo dostępu do danych stanowiących przedmiot operacji przetwarzania danych oraz prawo gromadzenia wszelkich informacji potrzebnych do wykonywania jego funkcji nadzorczych,
– skuteczne uprawnienia interwencyjne, jak np. prawo do wyrażania opinii przed przystąpieniem do operacji przetwarzania danych zgodnie z art. 20, oraz zapewnienia odpowiedniej publikacji swoich opinii, zarządzania blokady, usunięcia lub zniszczenia danych, nakładania czasowego lub ostatecznego zakazu przetwarzania danych, ostrzegania lub upominania administratora danych, lub też prawo kierowania sprawy do parlamentów narodowych lub innych instytucji politycznych,
– prawo pozywania w przypadku naruszenia krajowych przepisów przyjętych zgodnie z niniejszą dyrektywą lub powiadomienie organów sądowych o takim naruszeniu.
Od decyzji organu nadzorczego, co do któr[ych] zgłaszane są zastrzeżenia, przysługuje odwołanie do właściwego sądu.
[…]
6. Każdy organ nadzorczy jest właściwy, niezależnie od krajowych przepisów dotyczących [mających zastosowanie do] danego przypadku przetwarzania danych, do wykonywania na terytorium państwa członkowskiego uprawnień powierzonych mu zgodnie z ust. 3. Do każdego organu można się zwrócić z żądaniem wykonania jego uprawnień przez odpowiedni organ innego państwa członkowskiego [Do każdego organu z żądaniem wykonania jego uprawnień może się zwrócić odpowiedni organ innego państwa członkowskiego].
Organy nadzorcze współpracują ze sobą w zakresie koniecznym do wykonywania swoich obowiązków, zwłaszcza poprzez wymianę wszelkich przydatnych informacji”.
Prawo węgierskie
7 Artykuł 2 ust. 1 ustawy o informacji stanowi:
„Zakres stosowania niniejszej ustawy obejmuje wszelkie przetwarzanie i czynności techniczne przetwarzania danych dokonywane na terytorium Węgier dotyczące danych osób fizycznych oraz danych istotnych dla interesu publicznego lub danych dostępnych ze względów interesu publicznego”.
8 Artykuł 3 ust. 10 i 17 ustawy o informacji zawiera następujące definicje:
„10. Przetwarzanie danych (»adatkezelés«) oznacza każdą operację lub zestaw operacji dokonywanych na danych, niezależnie od wykorzystanych metod, w szczególności gromadzenie, rejestrację, porządkowanie, przechowywanie, modyfikację, wykorzystywanie, konsultowanie, przekazywanie, publikację, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie, a także uniemożliwianie ponownego wykorzystania danych, rejestrowanie fotografii, dźwięków lub obrazów lub rejestrowanie cech fizycznych umożliwiających identyfikację osób (np. odcisków palców lub dłoni, próbek DNA lub obrazów tęczówki oka);
[…]
17. Czynności techniczne w zakresie przetwarzania danych (»adatfeldolgozás«) oznaczają wykonywanie zadań technicznych dotyczących operacji przetwarzania danych, niezależnie od metod i środków wykorzystanych do zrealizowania tych operacji, jak i miejsca, w jakim się odbywają, pod warunkiem że zadania techniczne dotyczą danych”.
Postępowanie główne i pytania prejudycjalne
9 Weltimmo, będące spółką zarejestrowaną na Słowacji, prowadzi stronę internetową z ogłoszeniami o nieruchomościach dotyczącymi nieruchomości położonych na Węgrzech i w ramach wspomnianej działalności przetwarza dane osobowe ogłoszeniodawców. Ogłoszenia publikowane są bezpłatnie przez jeden miesiąc, a następnie stają się płatne. Szereg ogłoszeniodawców zwróciło się za pośrednictwem poczty elektronicznej o usunięcie z tą chwilą ich ogłoszeń, a jednocześnie dotyczących ich danych osobowych. Weltimmo nie usunęło jednak tych danych i zafakturowało usługi. W braku zapłaty faktur wskazana spółka przekazała dane osobowe ogłoszeniodawców agencjom ściągania wierzytelności.
10 Wskazani ogłoszeniodawcy złożyli skargi do węgierskiego organu nadzorczego. Organ ten uznał swoją właściwość na podstawie art. 2 ust. 1 ustawy o informacji, stwierdziwszy, że gromadzenie opisanych danych miało miejsce na terytorium Węgier i że stanowi ono przetwarzanie danych lub czynność techniczną w zakresie przetwarzania danych dotyczących osób fizycznych. Organ nadzorczy uznał, że Weltimmo naruszyło ustawę o informacji i wymierzył mu grzywnę w kwocie dziesięciu milionów HUF (forintów węgierskich) (ok. 32 000 EUR).
11 Weltimmo wystąpiło wówczas do Fővárosi Közigazgatási és Munkaügyi Bíróság (stołecznego sądu ds. administracyjnych i społecznych), który uznał, iż fakt, że spółka nie ma siedziby lub stałego miejsca prowadzenia działalności gospodarczej na Węgrzech, nie stanowi ważnego argumentu na jej obronę, gdyż dostarczanie danych dotyczących omawianych węgierskich nieruchomości oraz przetwarzanie tych danych miały miejsce na Węgrzech. Sąd ten stwierdził jednak nieważność decyzji węgierskiego organu nadzorczego z innych względów, związanych z brakiem wyjaśnienia niektórych okoliczności faktycznych.
12 Weltimmo wniosło skargę kasacyjną do sądu odsyłającego, podnosząc, że nie jest konieczne dalsze wyjaśnianie okoliczności, gdyż zgodnie z art. 4 ust. 1 lit. a) dyrektywy 95/46 węgierski organ nadzorczy nie jest w niniejszej sprawie właściwy i nie może stosować prawa węgierskiego do dostawcy usług mającego siedzibę w innym państwie członkowskim. Weltimmo podniosło, że na mocy art. 28 ust. 6 dyrektywy 95/46 organ ten powinien był zwrócić się do właściwego organu słowackiego, a nie działać zamiast niego.
13 Węgierski organ nadzorczy podniósł, że Weltimmo ma na Węgrzech przedstawiciela narodowości węgierskiej, czyli jednego z właścicieli spółki, który reprezentował ją w postępowaniu administracyjnym i sądowym, które toczyły się w tym państwie członkowskim. Organ nadzorczy dodał, że serwery internetowe Weltimmo znajdują się prawdopodobnie w Niemczech lub w Austrii, lecz właściciele spółki mieszkają na Węgrzech. Wreszcie zdaniem tego organu z art. 28 ust. 6 dyrektywy 95/46 wynika, że tak czy inaczej jest on właściwy w tej sprawie, bez względu na mające zastosowanie prawo.
14 Z uwagi na wątpliwości dotyczące ustalenia prawa właściwego oraz uprawnień węgierskiego organu nadzorczego w świetle art. 4 ust. 1 i art. 28 dyrektywy 95/46 Kúria postanowił zawiesić postępowanie i wystąpić do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy art. 28 ust. 1 dyrektywy 95/46 należy interpretować w ten sposób, że uregulowanie krajowe państwa członkowskiego może być stosowane na jego terytorium w odniesieniu do prowadzącego działalność gospodarczą wyłącznie w innym państwie członkowskim administratora danych, który zarządza stroną internetową pośrednictwa nieruchomości i publikuje między innymi informacje o nieruchomościach znajdujących się na terytorium pierwszego państwa członkowskiego, a właściciele nieruchomości przekazują swe dane osobowe do służącego do przechowywania i czynności technicznych w zakresie przetwarzania danych środka (serwera), który jest własnością osoby zarządzającej stroną internetową i znajduje się w innym państwie członkowskim?
2) Czy art. 4 ust. 1 lit. a) dyrektywy 95/46, w świetle jej motywów 18–20 i art. 1 ust. 2 oraz art. 28 ust. 1 tej dyrektywy należy interpretować w ten sposób, że węgierski organ nadzorczy nie może stosować węgierskiej ustawy o ochronie danych, jako prawa krajowego, wobec prowadzącej działalność gospodarczą wyłącznie w innym państwie członkowskim osoby zarządzającej stroną internetową pośrednictwa nieruchomości, nawet jeżeli publikuje ona między innymi informacje o znajdujących się na Węgrzech nieruchomościach, których właściciele przekazali prawdopodobnie z terytorium Węgier dane dotyczące swych nieruchomości do służącego do przechowywania i czynności technicznych przetwarzania danych środka (serwera), który jest własnością osoby zarządzającej stroną internetową i znajduje się w innym państwie członkowskim?
3) Czy do celów interpretacji ma znaczenie okoliczność, że usługa świadczona przez administratora danych, który zarządza stroną internetową, jest skierowana na terytorium innego państwa członkowskiego?
4) Czy do celów interpretacji ma znaczenie okoliczność, że dane dotyczące nieruchomości znajdujących się na terytorium innego państwa członkowskiego i dane osobowe właścicieli zostały faktycznie pobrane z terytorium tego innego państwa członkowskiego?
5) Czy do celów interpretacji ma znaczenie okoliczność, że dane osobowe związane ze wspomnianymi nieruchomościami są danymi osobowymi obywateli innego państwa członkowskiego?
6) Czy do celów interpretacji ma znaczenie okoliczność, że właściciele przedsiębiorstwa z siedzibą na Słowacji mieszkają na Węgrzech?
7) Jeżeli z odpowiedzi udzielonych na powyższe pytania wyniknie, że węgierski organ nadzorczy może prowadzić postępowanie, lecz nie może stosować prawa krajowego, ale musi stosować prawo państwa członkowskiego, w którym prowadzona jest działalność gospodarcza, czy art. 28 ust. 6 dyrektywy 95/46 należy interpretować w ten sposób, że węgierski organ nadzorczy może tylko wykonywać uprawnienia przewidziane w art. 28 ust. 3 dyrektywy o ochronie danych zgodnie z uregulowaniem państwa członkowskiego, w którym prowadzona jest działalność gospodarcza i że zatem nie może nałożyć grzywny?
8) Czy pojęcie »adatfeldolgozás« [czynności techniczne w zakresie przetwarzania danych] użyte zarówno w art. 4 ust. 1 lit. a), jak i w art. 28 ust. 6 [węgierskiej wersji językowej] dyrektywy o ochronie danych jest identyczne z pojęciem »adatkezelés« [przetwarzania danych], wykorzystanym w terminologii wspomnianej dyrektywy?”.
W przedmiocie pytań prejudycjalnych
Uwagi wstępne
15 W pierwszej kolejności, jeśli chodzi o stan faktyczny sporu w postępowaniu głównym, należy wspomnieć o pewnym dodatkowych informacjach, których udzielił węgierski organ nadzorczy w uwagach na piśmie i na rozprawie przed Trybunałem.
16 Z informacji tych wynika, po pierwsze, że wspomniany organ dowiedział się nieoficjalnie od swego słowackiego odpowiednika, iż Weltimmo nie prowadzi żadnej działalności w miejscu swojej siedziby na Słowacji. Ponadto Weltimmo kilkakrotnie przenosiło tę siedzibę z państwa do państwa. Po drugie, Weltimmo założyło dwie witryny z ogłoszeniami dotyczącymi nieruchomości, prowadzone wyłącznie w języku węgierskim. Otworzyło rachunek w banku na Węgrzech do celów ściągania swoich należności i posiada w tym państwie członkowskim skrzynkę pocztową do prowadzenia bieżących spraw. Poczta była regularnie odbierana i przekazywana Weltimmo drogą elektroniczną. Po trzecie, ogłoszeniodawcy sami musieli nie tylko wpisać dane dotyczące swoich nieruchomości na stronie Weltimmo, lecz również usunąć te dane ze strony, jeżeli nie chcieli, by dalej były na niej zamieszczone po upływie okresu jednego miesiąca, o którym wcześniej wspomniano. Weltimmo powołało się na problem związany z zarządzaniem systemem informatycznym w celu wytłumaczenia, dlaczego nie dało się przeprowadzić tego usunięcia danych. Po czwarte, Weltimmo jest spółką złożoną jedynie z jednej lub dwóch osób. Jej przedstawiciel na Węgrzech podobno próbował negocjować z ogłoszeniodawcami kwestię uregulowania niespłaconych należności.
17 Natomiast, jeśli chodzi o brzmienie przedstawionych pytań, to choć sąd odsyłający użył w pytaniach pierwszym i drugim wyrażenia „prowadzący działalność gospodarczą wyłącznie w innym państwie członkowskim”, z postanowienia odsyłającego oraz uwag przedstawionych na piśmie i ustnie przez węgierski organ nadzorczy wynika, że choć Weltimmo jest zarejestrowane na Słowacji, a więc ma w tym państwie członkowskim siedzibę w rozumieniu prawa spółek, istnieją wątpliwości, czy „prowadzi działalność” wyłącznie w tym państwie członkowskim w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 95/46. Kierując do Trybunału pytanie w przedmiocie wykładni tego przepisu, sąd odsyłający pragnie w istocie ustalić, jaki jest zakres pojęcia „działalności gospodarczej” użytego w tym przepisie.
18 Należy na koniec wskazać, że w pytaniach pierwszym i drugim sąd odsyłający wskazuje, iż serwer wykorzystywany przez Weltimmo znajduje się na Słowacji, zaś w innym miejscu postanowienia odsyłającego wspomina, że być może serwery tej spółki znajdują się w Niemczech lub w Austrii. W tych okolicznościach stwierdzić należy, że kwestia, w jakim państwie członkowskim znajduje się serwer używany przez tę spółkę lub ich większa liczba, jest nierozstrzygnięta.
W przedmiocie pytań od pierwszego do szóstego
19 W pierwszych sześciu pytaniach, które należy zbadać łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 4 ust. 1 lit. a) i art. 28 ust. 1 dyrektywy 95/46 należy interpretować w ten sposób, że w okolicznościach postępowania głównego zezwalają one, by organ nadzorczy jednego państwa członkowskiego stosował swoje krajowe przepisy dotyczące ochrony danych względem administratora danych, którego spółka jest zarejestrowana w innym państwie członkowskim, a który powadzi witrynę internetową z ogłoszeniami o nieruchomościach dotyczącymi nieruchomości położonych na terytorium tego pierwszego państwa. Sąd zastanawia się w szczególności, czy ma znaczenie fakt, iż jest to państwo członkowskie:
– na które nakierowana jest działalność administratora danych osobowych,
– w którym położone są dane nieruchomości,
– z którego zostały przekazane dane właścicieli tych nieruchomości,
– którego ci właściciele są obywatelami oraz
– w którym mieszkają właściciele tej spółki.
20 Jeśli chodzi o prawo właściwe, sąd odsyłający wymienia konkretnie prawo słowackie i węgierskie. Pierwsze jest prawem państwa członkowskiego, w którym administrator omawianych danych osobowych jest zarejestrowany, zaś drugie – prawem państwa członkowskiego, którego dotyczą witryny internetowe, będące przedmiotem sporu w postępowaniu głównym, na którego terytorium położone są nieruchomości, które były przedmiotem zamieszczonych ogłoszeń.
21 W tym względzie należy stwierdzić, że art. 4 dyrektywy 95/46, zatytułowany „Odpowiednie prawo krajowe”, znajdujący się w rozdziale 1 tej dyrektywy, zatytułowanym „Przepisy ogólne”, reguluje właśnie poruszoną kwestię.
22 Artykuł 28 dyrektywy 95/46, zatytułowany „Organ nadzorczy”, jest poświęcony natomiast roli i uprawnieniom tego organu. Zgodnie z przepisami art. 28 ust. 1 organ ten jest odpowiedzialny za kontrolę stosowania na terytorium swojego państwa członkowskiego przepisów przyjętych przez państwa członkowskie na mocy tej dyrektywy. Zgodnie z art. 28 ust. 6 tej dyrektywy organ nadzorczy wykonuje powierzone mu uprawnienia niezależnie od prawa krajowego mającego zastosowanie do przetwarzania danych.
23 Zatem to nie na podstawie art. 28 dyrektywy 95/46, tylko jej art. 4 należy ustalać krajowe prawo mające zastosowanie do administratora tych danych.
24 Zgodnie z art. 4 ust. 1 lit. a) dyrektywy 95/46 każde państwo członkowskie stosuje, w odniesieniu do przetwarzania danych osobowych, przepisy prawa krajowego przyjmowane na mocy tej dyrektywy, wówczas gdy przetwarzanie danych odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego.
25 Biorąc pod uwagę cel dyrektywy 95/46 polegający na zapewnieniu skutecznej i pełnej ochrony swobód i praw podstawowych osób fizycznych, w szczególności ich prawa do prywatności w zakresie przetwarzania danych osobowych, w odniesieniu do wyrażenia „w kontekście prowadzenia […] działalności gospodarczej” nie można przyjmować wykładni zawężającej (zob. podobnie wyrok Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 53).
26 Aby osiągnąć ten cel i nie dopuścić do pozbawienia jednostek ochrony, do której mają one prawo na mocy tej dyrektywy, motyw 18 tej dyrektywy stanowi, że wszelkie przetwarzanie danych osobowych w Unii Europejskiej musi być przeprowadzane zgodnie z ustawodawstwem jednego z państw członkowskich i że przetwarzanie danych przeprowadzane na odpowiedzialność administratora danych, który prowadzi działalność gospodarczą na terenie państwa członkowskiego, powinno być regulowane przez ustawodawstwo tego państwa.
27 Prawodawca Unii ustanowił w ten sposób szczególnie rozległy terytorialny zakres zastosowania dyrektywy 95/46, który zapisał w jej art. 4 (zob. podobnie wyrok Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 54).
28 Po pierwsze, gdy chodzi o pojęcie „prowadzenia działalności gospodarczej”, należy przypomnieć, że motyw 19 dyrektywy 95/46 stanowi, iż prowadzenie działalności gospodarczej na terytorium państwa członkowskiego zakłada efektywne i rzeczywiste prowadzenie działań poprzez stabilne rozwiązania organizacyjne i że forma prawna prowadzonej działalności gospodarczej, niezależnie, czy jest to oddział lub filia posiadająca osobowość prawną, nie jest w tym względzie czynnikiem decydującym (wyrok Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 48). Motyw ten określa ponadto, że w przypadku ustanowienia jednego administratora danych na terytorium kilku państw członkowskich musi on zapewnić, w szczególności w celu uniknięcia obejścia przepisów krajowych, że każda z prowadzonych działalności gospodarczych będzie spełniać obowiązki wynikające z właściwego dla niej prawa krajowego.
29 Wyłania się z tego, jak w istocie wskazał rzecznik generalny w pkt 28 i 32–4 opinii, elastyczna koncepcja pojęcia prowadzenia działalności gospodarczej, odbiegająca od podejścia formalistycznego, zgodnie z którym przedsiębiorstwo prowadzi działalność gospodarczą wyłącznie w miejscu, w którym jest zarejestrowane. Tym samym w celu ustalenia, czy dana spółka będąca administratorem danych prowadzi działalność gospodarczą w rozumieniu dyrektywy 95/46 w innym państwie członkowskim niż państwo członkowskie lub trzecie, w którym jest zarejestrowana, należy ocenić stopień stabilności rozwiązania organizacyjnego, jak również faktyczny charakter prowadzenia działalności w tym drugim państwie członkowskim, z uwzględnieniem szczególnego charakteru rozpatrywanej działalności gospodarczej oraz świadczenia rozpatrywanych usług. Dotyczy to w szczególności przedsiębiorstw, które zajmują się oferowaniem usług wyłącznie za pośrednictwem internetu.
30 W tym względzie należy w szczególności uznać, w świetle celu tej dyrektywy polegającego na zapewnieniu skutecznej i pełnej ochrony prawa do prywatności i uniemożliwienia obejścia przepisów, że obecność pojedynczego przedstawiciela może w pewnych okolicznościach wystarczyć, aby istniało stabilne rozwiązanie organizacyjne, jeżeli działa on z wystarczającym stopniem stabilności, przy pomocy niezbędnych środków do świadczenia konkretnych rozpatrywanych usług, w danym państwie członkowskim.
31 Ponadto w celu osiągnięcia tego celu należy uznać, że pojęcie „prowadzenia działalności gospodarczej” w rozumieniu dyrektywy 95/46 obejmuje wszelką rzeczywistą i faktyczną działalność, choćby nawet drobną, prowadzoną poprzez stabilne rozwiązanie organizacyjne.
32 W niniejszym przypadku wykonywana przez Weltimmo działalność polega co najmniej na prowadzeniu w internecie witryny lub witryn z ogłoszeniami o nieruchomościach dotyczącymi nieruchomości położonych na Węgrzech, redagowanymi po węgiersku, które po miesiącu stają się płatne. Należy więc stwierdzić, że spółka ta prowadzi rzeczywistą i faktyczną działalność na Węgrzech.
33 Ponadto w szczególności z wyjaśnień udzielonych przez węgierski organ nadzorczy wynika, że Weltimmo ma na Węgrzech przedstawiciela, który jest wpisany do słowackiego rejestru spółek pod adresem na Węgrzech i który próbował negocjować z ogłoszeniodawcami kwestię uregulowania niespłaconych należności. Przedstawiciel ten pozostawał w kontakcie ze skarżącymi i reprezentował spółkę w postępowaniu administracyjnym i sądowym. Ponadto spółka otworzyła rachunek w banku na Węgrzech do celów ściągania swoich należności i korzysta na terytorium tego państwa członkowskiego ze skrzynki pocztowej do prowadzenia bieżących spraw. Informacje te, które powinien zweryfikować sąd odsyłający, mogą wykazać w sytuacji takiej jak ta będąca przedmiotem sporu w postępowaniu głównym fakt „prowadzenia działalności gospodarczej” w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 95/46.
34 Po drugie, należy ustalić, czy rozpatrywane przetwarzanie danych osobowych prowadzone jest „w kontekście” prowadzonej działalności gospodarczej.
35 Trybunał uznał już, że art. 4 ust. 1 lit. a) dyrektywy 95/46 wymaga nie tego, by przetwarzanie danych osobowych było dokonywane „przez” podmiot prowadzący działalność gospodarczą, lecz jedynie „w kontekście” prowadzenia przez niego działalności gospodarczej (wyrok Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 52).
36 W niniejszym przypadku sporne w postępowaniu głównym przetwarzanie polega w szczególności na publikowaniu na stronach internetowych z ogłoszeniami o nieruchomościach Weltimmo danych osobowych dotyczących właścicieli tych nieruchomości, jak również w danym razie na wykorzystywaniu tych danych na potrzeby wystawiania po upływie miesiąca faktur za te ogłoszenia.
37 W tym względzie należy przypomnieć, że w szczególności w odniesieniu do Internetu Trybunał miał już sposobność stwierdzić, iż operację polegającą na zamieszczeniu danych osobowych na stronie internetowej należy uznać za „przetwarzanie” w rozumieniu art. 2 lit. b) dyrektywy 95/46 (zob. wyroki: Lindqvist, C‑101/01, EU:C:2003:596, pkt 25; Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 26).
38 Nie ulega zaś wątpliwości, że przetwarzanie to ma miejsce w kontekście działalności takiej jak ta opisana w pkt 32 niniejszego wyroku, prowadzonej przez Weltimmo na Węgrzech.
39 Zatem z zastrzeżeniem czynności sprawdzających wskazanych w pkt 33 niniejszego wyroku, które powinien przeprowadzić sąd odsyłający w celu ustalenia faktu prowadzenia działalności gospodarczej przez administratora danych na Węgrzech, należy uznać, że omawiane przetwarzanie dokonywane jest w kontekście prowadzenia tej działalności gospodarczej i że art. 4 ust. 1 lit. a) dyrektywy 96/46 pozwala w sytuacji takiej jak ta będąca przedmiotem sporu w postępowaniu głównym na zastosowanie węgierskiego prawa dotyczącego ochrony danych osobowych.
40 Okoliczność, że właściciele nieruchomości reklamowanych w ogłoszeniach są narodowości węgierskiej, nie ma natomiast żadnego znaczenia do celów ustalenia krajowego prawa właściwego w sprawie spornego w postępowaniu głównym przetwarzania danych.
41 Zważywszy na całość powyższych wywodów na pierwsze sześć pytań należy odpowiedzieć w następujący sposób:
– artykuł 4 ust. 1 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, iż zezwala on na zastosowanie przepisów prawnych dotyczących ochrony danych osobowych państwa członkowskiego różnego od państwa, w którym zarejestrowany jest administrator tych danych, o ile prowadzi on poprzez stabilne rozwiązanie organizacyjne na terytorium tego państwa członkowskiego faktyczną i rzeczywistą działalność, choćby nawet drobną, w której kontekście dokonuje się rozpatrywanego przetwarzania;
– w celu ustalenia, w okolicznościach takich jak te występujące w postępowaniu głównym, czy tak jest, sąd odsyłający może w szczególności wziąć pod uwagę fakt, że, po pierwsze, działalność administratora danych, w której kontekście ma miejsce to przetwarzanie, polega na prowadzeniu stron internetowych z ogłoszeniami o nieruchomościach dotyczących nieruchomości położonych na terytorium tego państwa członkowskiego i zredagowanych w jego języku, a w związku z tym ta działalność jest w głównej mierze, a nawet w całości nakierowana na to państwo członkowskie, i po drugie, że wspomniany administrator danych ma w tym państwie członkowskim przedstawiciela odpowiedzialnego za ściąganie należności powstałych w wyniku tej działalności oraz za reprezentowanie go w postępowaniu administracyjnym i sądowym dotyczącym omawianych danych;
– kwestia przynależności państwowej osób, których dotyczy to przetwarzanie danych, nie ma natomiast znaczenia.
W przedmiocie pytania siódmego
42 Siódme pytanie zostało zadane jedynie na wypadek, gdyby węgierski organ nadzorczy uznał, że Weltimmo prowadzi działalność gospodarczą w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 95/46 nie na Węgrzech, lecz w innym państwie członkowskim, i w kontekście tej działalności dokonywane jest przetwarzanie omawianych danych osobowych.
43 Pytanie sądu odsyłającego dotyczy w istocie tego, czy w przypadku gdyby węgierski organ nadzorczy doszedł do wniosku, że prawem właściwym dla przetwarzania danych osobowych nie jest prawo węgierskie, lecz prawo innego państwa członkowskiego, art. 28 ust. 1, 3 i 6 dyrektywy 95/46 należy interpretować w ten sposób, że organ ten mógłby wykonywać jedynie swoje uprawnienia określone w art. 28 ust. 3 tej dyrektywy, zgodnie z prawem tego drugiego państwa członkowskiego i nie mógłby nakładać sankcji.
44 W pierwszej kolejności, jeśli chodzi o właściwość organu nadzorczego do działania w tej sytuacji, należy wskazać, że zgodnie z art. 28 ust. 4 dyrektywy 95/46 każdy organ nadzorczy rozpatruje skargi zgłaszane przez dowolną osobę odnośnie do ochrony jej praw i wolności w zakresie przetwarzania danych osobowych.
45 W związku z tym, w sytuacji takiej jak ta będąca przedmiotem sporu w postępowaniu głównym, do węgierskiego organu nadzorczego mogą zwrócić się osoby, takie jak ogłoszeniodawcy nieruchomości będących przedmiotem sporu w postępowaniu głównym, którzy czują się pokrzywdzeni przez niezgodne z prawem przetwarzanie dotyczących ich danych osobowych w państwie członkowskim, w którym mają oni te nieruchomości.
46 Należy w drugiej kolejności zbadać, jakie uprawnienia ma ten organ nadzorczy w świetle art. 28 ust. 1, 3 i 6 dyrektywy 95/46.
47 Z art. 28 ust. 1 tej dyrektywy wynika, że organ nadzorczy powołany przez państwo członkowskie powinien czuwać nad przestrzeganiem na terytorium tego państwa członkowskiego przepisów wydanych przez państwa członkowskie w celu wykonania dyrektywy 95/46.
48 Zgodnie z art. 28 ust. 3 dyrektywy 95/46 omawiane organy nadzorcze wyposażone są w szczególności w uprawnienia dochodzeniowe, jak np. prawo gromadzenia wszelkich informacji potrzebnych do wykonywania ich funkcji nadzorczych, oraz skuteczne uprawnienia interwencyjne, jak np. prawo do zarządzania blokady, usunięcia lub zniszczenia danych, nakładania czasowego lub ostatecznego zakazu przetwarzania danych, ostrzegania lub upominania administratora danych.
49 Z uwagi na otwarty katalog wymienionych w ten sposób uprawnień oraz rodzaj uprawnień interwencyjnych, o których mowa w tym przepisie, jak również zakres uznania przysługujący państwom członkowskim przy transpozycji dyrektywy 95/46 należy uznać, że te uprawnienia interwencyjne mogą obejmować uprawnienie do nakładania na administratora danych sankcji, w razie potrzeby w postaci grzywny.
50 Uprawnienia nadane organom nadzorczym należy wykonywać zgodnie z prawem proceduralnym państwa członkowskiego, któremu one podlegają.
51 Z art. 28 ust. 1 i 3 dyrektywy 95/46 wynika, że każdy organ nadzorczy wykonuje wszelkie uprawnienia nadane mu na terytorium państwa członkowskiego, któremu podlega, w celu zapewnienia na tym terytorium przestrzegania norm prawnych z dziedziny ochrony danych.
52 Takie terytorialne zastosowanie uprawnień każdego organu nadzorczego znajduje potwierdzenie w art. 28 ust. 6 tej dyrektywy, który stanowi, że każdy organ nadzorczy jest właściwy, niezależnie od krajowych przepisów mających zastosowanie do danego przypadku przetwarzania danych, do wykonywania na terytorium państwa członkowskiego uprawnień powierzonych mu zgodnie z art. 28 ust. 3 tej dyrektywy. Wskazuje on również, że do każdego organu z żądaniem wykonania jego uprawnień może się zwrócić odpowiedni organ innego państwa członkowskiego oraz że organy nadzorcze współpracują ze sobą w zakresie koniecznym do wykonywania swoich obowiązków, zwłaszcza poprzez wymianę wszelkich przydatnych informacji.
53 Przepis ten jest niezbędny dla zapewnienia swobodnego przepływu danych osobowych w Unii, przy jednoczesnym zapewnieniu poszanowania norm prawnych mających na celu ochronę prywatności osób fizycznych, przewidzianych w dyrektywie 95/46. W braku tego przepisu, w przypadku gdyby administrator danych osobowych podlegał prawu jednego państwa członkowskiego, lecz naruszył prawo do ochrony prywatności osób fizycznych w innym państwie członkowskim, w szczególności poprzez nakierowanie swojej działalności na to państwo członkowskie bez prowadzenia w nim działalności gospodarczej w rozumieniu tej dyrektywy, dochodzenie poszanowania przez te osoby ich prawa do prywatności byłoby bowiem trudne, czy wręcz niemożliwe.
54 Z art. 28 ust. 6 dyrektywy 95/46 wynika tym samym, że organ nadzorczy jednego państwa członkowskiego, do którego osoby fizyczne zwrócą się ze skargą na przetwarzanie dotyczących ich danych osobowych na podstawie art. 28 ust. 4 tej dyrektywy, może rozpatrzyć tę skargę niezależnie od tego, jakie prawo ma zastosowanie, a więc nawet jeśli właściwe w sprawie przetwarzania omawianych danych jest prawo innego państwa członkowskiego.
55 Jednak w takiej sytuacji uprawnienia tego organu niekoniecznie obejmują całość uprawnień przysługujących mu zgodnie z prawem państwa członkowskiego, któremu podlega.
56 Jak bowiem wskazał rzecznik generalny w pkt 50 opinii, z wymogów wynikających z suwerenności terytorialnej danego państwa członkowskiego, zasady legalizmu i pojęcia państwa prawa wynika, że wykonywanie kompetencji w zakresie nakładania sankcji nie może odbywać się co do zasady poza granicami prawnymi, w ramach których organ administracji jest upoważniony do działania zgodnie z prawem państwa członkowskiego, któremu podlega.
57 Tym samym, jeżeli do organu nadzorczego skierowana zostanie skarga zgodnie z art. 28 ust. 4 dyrektywy 95/46, organ ten może wykonywać swe uprawnienia dochodzeniowe niezależnie od właściwego prawa i zanim jeszcze zostanie ustalone, które prawo krajowe znajduje zastosowanie do spornego przetwarzania. Jednak, jeśli dojdzie on do wniosku, że właściwe jest prawo innego państwa członkowskiego, nie może on nałożyć sankcji poza terytorium państwa członkowskiego, któremu podlega. W takiej sytuacji powinien on, w myśl obowiązku współpracy przewidzianego w art. 28 ust. 6 tej dyrektywy, zwrócić się do organu nadzorczego tego drugiego państwa członkowskiego o stwierdzenie ewentualnego naruszenia prawa i o nałożenie sankcji, o ile prawo właściwe na to pozwala, w razie potrzeby w oparciu o przekazane przez niego informacje.
58 Organ nadzorczy, do którego skierowana jest taka skarga, może w ramach tej współpracy być zmuszony do przeprowadzenia innych czynności dochodzeniowych, zgodnie z instrukcjami organu nadzorczego drugiego państwa członkowskiego.
59 Wynika z tego, że w sytuacji takiej jak ta będąca przedmiotem sporu w postępowaniu głównym, w sytuacji gdyby właściwe było prawo państwa członkowskiego innego niż Węgry, węgierski organ nadzorczy nie mógłby wykonywać uprawnień do nakładania sankcji nadanych mu w prawie węgierskim.
60 Z powyższego wynika, że na siódme pytanie należy odpowiedzieć, iż w sytuacji gdyby organ nadzorczy państwa członkowskiego, do którego skierowano skargi na podstawie art. 28 ust. 4 dyrektywy 95/46, doszedł do wniosku, że do przetwarzania danych osobowych nie jest właściwe prawo tego państwa członkowskiego, lecz prawo innego państwa członkowskiego, art. 28 ust. 1, 3 i 6 dyrektywy 95/46 należy interpretować w ten sposób, że ten organ nadzorczy może wykonywać skuteczne uprawnienia interwencyjne powierzone mu zgodnie z art. 28 ust. 3 tej dyrektywy wyłącznie na terytorium państwa członkowskiego, któremu podlega. Nie może on więc nałożyć sankcji na podstawie prawa tego państwa członkowskiego na administratora danych, który nie prowadzi działalności gospodarczej na jego terytorium, tylko powinien, na podstawie art. 28 ust. 6 tej dyrektywy, wystąpić o podjęcie działań do organu nadzorczego podległego państwu członkowskiemu, którego prawo jest właściwe.
W przedmiocie pytania ósmego
61 W ósmym pytaniu sąd odsyłający zwraca się do Trybunału o wyjaśnienie zakresu pojęcia „adatfeldolgozás” (czynności techniczne w zakresie przetwarzania danych), użytego w szczególności w art. 4 ust. 1 lit. a) dyrektywy 95/46, dotyczącym określenia prawa właściwego, oraz w art. 28 ust. 6 tej dyrektywy, dotyczącym uprawnień organu nadzorczego.
62 Z dyrektywy 95/46 w węgierskiej wersji językowej wynika, że posługuje się ona konsekwentnie terminem „adatfeldolgozás” (czynności techniczne w zakresie przetwarzania danych).
63 Sąd odsyłający wskazuje, że ustawa o informacji posługuje się, w szczególności w przepisach mających na celu wdrożenie przepisów dyrektywy 95/46 dotyczących uprawnień organów nadzorczych, terminem „adatkezelés” (przetwarzanie danych). Tymczasem, jak wynika z art. 3 pkt 10 tej ustawy, termin ten ma szersze znaczenie niż termin „adatfeldolgozás” (czynności techniczne w zakresie przetwarzania danych), zdefiniowany w art. 3 pkt 17 tej ustawy, i obejmuje swoim zakresem ten ostatni termin.
64 O ile pojęcie „adatfeldolgozás” (czynności techniczne w zakresie przetwarzania danych), zgodnie z jego zwykłym pojmowaniem oraz jak wynika z ustawy o informacji, ma węższe znaczenie niż pojęcie „adatkezelés” (przetwarzanie danych), o tyle należy wskazać, że węgierskojęzyczna wersja dyrektywy 95/46 zawiera w art. 2 lit. b) szeroką definicję terminu „adatfeldolgozás” (czynności techniczne w zakresie przetwarzania danych), odpowiadającą zakresem terminowi „adatkezelés” (przetwarzanie danych).
65 Wynika z tego, że na ósme pytanie należy odpowiedzieć, iż dyrektywę 95/46 należy interpretować w ten sposób, że zakres pojęcia „adatfeldolgozás” (czynności techniczne w zakresie przetwarzania danych), użytego w węgierskiej wersji językowej tej dyrektywy, w szczególności w jej art. 4 ust. 1 lit. a) i art. 28 ust. 6, należy uznać za identyczny jak terminu „adatkezelés” (przetwarzanie danych).
W przedmiocie kosztów
66 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:
1) Artykuł 4 ust. 1 lit. a) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że zezwala on na zastosowanie przepisów prawnych dotyczących ochrony danych osobowych państwa członkowskiego różnego od państwa, w którym zarejestrowany jest administrator tych danych, o ile prowadzi on poprzez stabilne rozwiązanie organizacyjne na terytorium tego państwa członkowskiego faktyczną i rzeczywistą działalność, choćby nawet drobną, w której kontekście dokonuje się rozpatrywanego przetwarzania.
W celu ustalenia, w okolicznościach takich jak te występujące w postępowaniu głównym, czy tak jest, sąd odsyłający może w szczególności wziąć pod uwagę fakt, że, po pierwsze, działalność administratora danych, w której kontekście ma miejsce to przetwarzanie, polega na prowadzeniu stron internetowych z ogłoszeniami o nieruchomościach dotyczących nieruchomości położonych na terytorium tego państwa członkowskiego i zredagowanych w jego języku, a w związku z tym ta działalność jest w głównej mierze, a nawet w całości nakierowana na to państwo członkowskie, i po drugie, że wspomniany administrator danych ma w tym państwie członkowskim przedstawiciela odpowiedzialnego za ściąganie należności powstałych w wyniku tej działalności oraz za reprezentowanie go w postępowaniu administracyjnym i sądowym dotyczącym omawianych danych.
Kwestia przynależności państwowej osób, których dotyczy to przetwarzanie danych, nie ma natomiast znaczenia.
2) W sytuacji gdyby organ nadzorczy państwa członkowskiego, do którego skierowano skargi na podstawie art. 28 ust. 4 dyrektywy 95/46, doszedł do wniosku, że do przetwarzania określonych danych osobowych nie jest właściwe prawo tego państwa członkowskiego, lecz prawo innego państwa członkowskiego, art. 28 ust. 1, 3 i 6 dyrektywy 95/46 należy interpretować w ten sposób, że ten organ nadzorczy może wykonywać skuteczne uprawnienia interwencyjne powierzone mu zgodnie z art. 28 ust. 3 tej dyrektywy wyłącznie na terytorium państwa członkowskiego, któremu podlega. Nie może on więc nałożyć sankcji na podstawie prawa tego państwa członkowskiego na administratora danych, który nie prowadzi działalności gospodarczej na jego terytorium, tylko powinien, na podstawie art. 28 ust. 6 tej dyrektywy, wystąpić o podjęcie działań do organu nadzorczego podległego państwu członkowskiemu, którego prawo jest właściwe.
3) Dyrektywę 95/46 należy interpretować w ten sposób, iż zakres pojęcia „adatfeldolgozás” (czynności techniczne w zakresie przetwarzania danych), użytego w węgierskiej wersji językowej tej dyrektywy, w szczególności w jej art. 4 ust. 1 lit. a) i art. 28 ust. 6, należy uznać za identyczny jak terminu „adatkezelés” (przetwarzanie danych).
Podpisy