SODBA SODIŠČA (tretji senat)
z dne 1. oktobra 2015(*)
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Direktiva 95/46/ES – Člena 4(1) in 28(1), (3) in (6) – Upravljavec podatkov, ki ima poslovno enoto v državi članici – Poseg v pravico do varstva osebnih podatkov fizičnih oseb v drugi državi članici – Določitev prava, ki se uporabi, in pristojnega nadzornega organa – Izvajanje pooblastil nadzornega organa – Pristojnost za sankcioniranje“
V zadevi C‑230/14,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Kúria (vrhovno sodišče, Madžarska) z odločbo z dne 22. aprila 2014, ki je prispela na Sodišče 12. maja 2014, v postopku
Weltimmo s. r. o.
proti
Nemzeti Adatvédelmi és Információszabadság Hatóság,
SODIŠČE (tretji senat),
v sestavi M. Ilešič, predsednik senata, A. Ó Caoimh, C. Toader, E. Jarašiūnas in C. G. Fernlund (poročevalec), sodniki,
generalni pravobranilec: P. Cruz Villalón,
sodni tajnik: I. Illéssy, administrator,
na podlagi pisnega postopka in obravnave z dne 12. marca 2015,
ob upoštevanju stališč, ki so jih predložili:
– za Nemzeti Adatvédelmi és Információszabadság Hatóság A. Péterfalvi, agent, skupaj z G. Dudás, ügyvéd,
– za madžarsko vlado Z. Fehér, G. Koós in A. Pálfy, agenti,
– za poljsko vlado B. Majczyna, M. Kamejsza in M. Pawlicka, agenti,
– za slovaško vlado B. Ricziová, agentka,
– za vlado Združenega kraljestva M. Holt, agent, skupaj z J. Holmesom, barrister,
– za Evropsko komisijo A. Tokár, B. Martenczuk in J. Vondung, agenti,
po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 25. junija 2015
izreka naslednjo
Sodbo
1 Ta predlog za sprejetje predhodne odločbe se nanaša na razlago členov 4(1)(a) in 28(1), (3) in (6) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).
2 Ta predlog je bil vložen v okviru spora med Weltimmo s. r. o. (v nadaljevanju: Weltimmo), družbo s sedežem na Slovaškem, in Nemzeti Adatvédelmi és Információszabadság Hatóság (nacionalni organ za varstvo podatkov in svobodo obveščanja, v nadaljevanju: madžarski nadzorni organ) v zvezi z globo, ki jo je ta naložil zaradi kršitve zakona št. CXII o informacijskem samoodločanju in svobodi obveščanja (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény, v nadaljevanju: informacijski zakon) iz leta 2011, s katerim je bila Direktiva 95/46 prenesena v madžarsko pravo.
Pravni okvir
Pravo Unije
3 V uvodnih izjavah 3, 18 in 19 Direktive 95/46 je navedeno:
„(3) ker ustanovitev in delovanje notranjega trga, na katerem je v skladu s členom [26 PDEU] zagotovljen prosti pretok blaga, oseb, storitev in kapitala, zahteva ne le, da se osebni podatki lahko prosto prenašajo iz ene države članice v drugo, ampak tudi, da se zaščitijo temeljne pravice posameznikov;
[…]
(18) ker se mora vsaka obdelava osebnih podatkov v Skupnosti izvajati v skladu z zakonodajo ene izmed držav članic, zaradi zagotovitve, da posamezniki niso prikrajšani za varstvo, do katerega so upravičeni na podlagi te direktive; ker bi v tej zvezi obdelavo, ki se izvaja pod odgovornostjo upravljavca, ustanovljenega v določeni državi članici, morala urejati zakonodaja te države;
(19) ker ustanovitev [poslovna enota] na ozemlju države članice pomeni učinkovito in dejansko izvajanje dejavnosti prek ustaljenih režimov; ker pravna oblika take ustanovitve [poslovne enote], bodisi da je preprosto izpostava [podružnica] bodisi podružnica [hčerinska družba], ki je pravna oseba, v tem pogledu ni odločilen dejavnik; ker, kadar je ustanovljen en sam upravljavec na ozemlju več držav članic predvsem prek podružnic [hčerinskih družb], mora zato da bi preprečil vsakršno izogibanje nacionalnim predpisom, zagotoviti, da vsaka izmed ustanovitev [poslovnih enot] izpolnjuje obveznosti, ki jih nalaga nacionalna zakonodaja na področju njenih dejavnosti“.
4 Člen 2 Direktive 95/46 določa:
„V tej direktivi:
[…]
(b) ‚obdelava osebnih podatkov [‚feldolgozása‘]‘ (‚obdelava‘ [‚feldolgozás‘]) pomeni kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki z avtomatskimi sredstvi ali brez njih, kakršno je zbiranje, beleženje, urejanje, shranjevanje, prilagajanje ali predelava, iskanje, posvetovanje, uporaba, posredovanje s prenosom, širjenje ali drugo razpolaganje, prilagajanje ali kombiniranje, blokiranje, izbris ali uničenje;
[…]“
5 Člen 4(1)(a) Direktive 95/46 določa:
„1. Vsaka država članica za obdelavo osebnih podatkov uporablja nacionalne predpise, ki jih sprejme v skladu s to direktivo, kadar:
(a) se obdelava izvaja v okviru dejavnosti ustanovitve [poslovne enote] upravljavca na ozemlju države članice; kadar je isti upravljavec ustanovljen na ozemlju več držav članic, mora sprejeti potrebne ukrepe za zagotovitev, da vsaka od teh ustanovitev [poslovnih enot] izpolnjuje obveznosti, ki jih določa veljavno nacionalno pravo“.
6 Člen 28(1), (3) in (6) Direktive 95/46 določa:
„1. Vsaka država članica določi, da je eden ali več javnih organov na njenem ozemlju odgovornih za spremljanje uporabe predpisov, ki so jih sprejele države članice v skladu s to direktivo.
Ti organi pri izvajanju nalog, ki so jim zaupane, delujejo popolnoma samostojno.
[…]
3. Vsakemu organu se podeli predvsem:
– preiskovalna pooblastila, kakršna so pooblastila za dostop do podatkov, ki sestavljajo vsebino postopkov obdelave, in pooblastila za zbiranje vseh informacij, ki so potrebne za izvajanje njegovih nadzornih nalog,
– učinkovita pooblastila za posredovanje, kak[r]šna so npr. dajanje mnenj pred izvajanjem postopkov obdelave v skladu s členom 20 in zagotavljanje ustrezne objave takih mnenj, odrejanje blokiranja, izbrisa ali uničenja podatkov, naložitev začasne ali dokončne prepovedi obdelave, opozarjanje ali opominjanje upravljavca ali napotitev zadeve v nacionalne parlamente ali druge politične institucije,
– pooblastila za sodelovanje v sodnih postopkih, kadar so kršene nacionalne določbe, sprejete v skladu s to direktivo, ali za seznanitev sodnih organov s temi kršitvami.
Zoper odločitve nadzornega organa je zagotovljeno sodno pravno sredstvo.
[…]
6. Vsak nadzorni organ je pristojen, da na ozemlju lastne države članice izvaja pooblastila, ki so mu bila podeljena v skladu z odstavkom 3, ne glede na to, kateri nacionalni zakon se uporablja za zadevno obdelavo. Od vsakega nadzornega organa je mogoče zahtevati, da izvaja svoja pooblastila na prošnjo nadzornega organa druge države članice.
Nadzorni organi sodelujejo drug z drugim v obsegu, ki je potreben za izvedbo njihovih dolžnosti, predvsem z izmenjavo vseh koristnih informacij.“
Madžarsko pravo
7 Člen 2(1) informacijskega zakona določa:
„Področje uporabe tega zakona zajema vsakršno obdelavo in procesiranje podatkov na ozemlju Madžarske, ki se opravi v zvezi s podatki fizičnih oseb in podatki v javnem interesu ali podatki, ki so javni iz razlogov v splošnem interesu.“
8 Člen 3(10) in (17) vsebuje te opredelitve:
„10. ‚obdelava podatkov‘ pomeni kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi s podatki, ne glede na način, ki se pri tem uporabi, zlasti zbiranje, zajetje, beleženje, urejanje, shranjevanje, prilagajanje, uporaba, iskanje, posredovanje s prenosom, objava, prilagajanje ali kombiniranje, blokiranje, izbris ali uničenje in tudi preprečevanje druge uporabe podatkov, zajemanja fotografij, zvokov ali slik, ali beleženja fizičnih značilnosti, ki služijo identifikaciji oseb (na primer prstni odtisi ali odtis dlani, vzorci DNA ali podoba šarenice);
[…]
17. ‚procesiranje podatkov‘ [‚adatfeldolgozás‘] pomeni izvajanje tehničnih nalog v zvezi s postopki obdelave podatkov, ne glede na način ali opremo, ki se pri tem uporabi, ter kraj, v katerem se izvajajo, kadar se tehnične naloge nanašajo na podatke“.
Spor o glavni stvari in vprašanja za predhodno odločanje
9 Weltimmo je družba, registrirana na Slovaškem, ki upravlja spletno stran z oglasi za nepremičnine, ki so na Madžarskem. Na tej podlagi obdeluje osebne podatke oglaševalcev. Oglasi so za oglaševalce brezplačni en mesec, po izteku tega obdobja pa postanejo plačljivi. Številni oglaševalci so po tem obdobju prek elektronske pošte zaprosili, naj se njihovi oglasi izbrišejo in naj se ob tem izbrišejo tudi njihovi osebni podatki. Vendar družba Weltimmo teh izbrisov ni izvedla in je zadevnim osebam zaračunala svoje storitve. Ker izstavljeni računi niso bili plačani, je družba Weltimmo osebne podatke zadevnih oglaševalcev posredovala agencijam za izterjavo dolgov.
10 Navedeni oglaševalci so vložili pritožbe pri madžarskem nadzornem organu. Ta se je razglasil za pristojnega na podlagi člena 2(1) informacijskega zakona, ker je štel, da je zbiranje zadevnih podatkov potekalo na madžarskem ozemlju in da pomeni obdelavo ali procesiranje podatkov v zvezi s fizičnimi osebami. Ker je ta nadzorni organ menil, da je družba Weltimmo kršila informacijski zakon, ji je naložil globo deset milijonov madžarskih forintov (HUF) (približno 32.000 EUR).
11 Družba Weltimmo je navedeno odločbo izpodbijala pred upravnim in delovnim sodiščem v Budimpešti (Fővárosi Közigazgatási és Munkaügyi Bíróság), ki je ugotovilo, da tega, da ta družba nima sedeža ali poslovne enote na Madžarskem, ni mogoče šteti kot trditev v obrambo, saj sta predložitev podatkov v zvezi z madžarskimi nepremičninami in obdelava teh podatkov potekali na Madžarskem. Vendar je navedeno sodišče odločbo madžarskega nadzornega organa razglasilo za nično iz drugih razlogov, ker nekatera zatrjevana dejstva niso bila dovolj razjasnjena.
12 Družba Weltimmo je pri predložitvenem sodišču vložila kasacijsko pritožbo, pri čemer je zatrjevala, da nadaljnja razjasnitev dejstev ni potrebna, saj madžarski nadzorni organ v skladu s členom 4(1)(a) Direktive 95/46 v obravnavanem primeru ni bil pristojen za vodenje postopka in uporabo madžarskega prava za ponudnika storitev s sedežem v drugi državi članici. Družba Weltimmo je zatrjevala, da bi moral ta organ na podlagi člena 28(6) Direktive 95/46 pozvati pristojni slovaški organ, naj ukrepa namesto njega.
13 Madžarski nadzorni organ je trdil, da ima družba Weltimmo na Madžarskem zastopnika, ki je madžarski državljan – in sicer enega od njenih družbenikov – ki jo je zastopal tako v upravnem postopku kot v sodnem postopku v tej državi članici. Prav tako navaja, da so internetni strežniki družbe Weltimmo najverjetneje nameščeni v Nemčiji ali Avstriji, lastniki te družbe pa prebivajo na Madžarskem. Nazadnje ta organ meni, da je iz člena 28(6) Direktive 95/46 razvidno, da je bil vsekakor pristojen za ukrepanje ne glede na pravo, ki se uporabi.
14 Kúria je dvomilo o določitvi prava, ki se uporabi, in o pooblastilih, ki jih ima madžarski nadzorni organ glede na člena 4(1) in 28 Direktive 95/46, zato je prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:
„1. Ali je treba člen 28(1) Direktive 95/46 razlagati tako, da lahko nacionalna zakonodaja države članice na njenem ozemlju velja za upravljavca podatkov, ki je ustanovljen izključno v drugi državi članici in upravlja spletno stran za posredovanje pri prodaji nepremičnin in med drugim oglašuje nepremičnine, ki so na ozemlju prvonavedene države članice, lastniki nepremičnin pa so svoje osebne podatke prenesli na sredstvo (strežnik) za shranjevanje in procesiranje podatkov, ki je v lasti upravljavca spletne strani in ki je v drugi državi članici?
2. Ali je treba člen 4(1)(a) Direktive 95/46 glede na uvodne izjave od 18 do 20 ter člena 1(2) in 28(1) te direktive razlagati tako, da madžarski nadzorni organ kot nacionalno pravo ne more uporabiti madžarskega zakona o varstvu podatkov za upravljavca spletne strani za oglaševanje nepremičnin, ki je ustanovljen izključno v drugi državi članici, niti tedaj, kadar ta oglašuje madžarske nepremičnine, katerih lastniki so – najverjetneje z ozemlja Madžarske – podatke v zvezi s svojimi nepremičninami prenesli na sredstvo (strežnik) za shranjevanje in procesiranje podatkov, ki je v lasti tega upravljavca spletne strani in ki je v drugi državi članici?
3. Ali je za razlago pomembno, da se storitev upravljavca podatkov, ki upravlja spletno stran, opravlja za ozemlje druge države članice?
4. Ali je za razlago pomembno, da so bili podatki v zvezi z nepremičninami, ki so na ozemlju druge države članice, in osebni podatki lastnikov dejansko naloženi z ozemlja te druge države članice?
5. Ali je za razlago pomembno, da so osebni podatki v zvezi z navedenimi nepremičninami osebni podatki državljanov druge države članice?
6. Ali je za razlago pomembno, da lastniki podjetja, ki ima sedež na Slovaškem, prebivajo na Madžarskem?
7. Ali je treba – če iz odgovorov na zgornja vprašanja izhaja, da madžarski nadzorni organ lahko vodi postopek, vendar ne more uporabiti nacionalnega prava, temveč mora uporabiti pravo države članice, v kateri ima zadevno podjetje sedež – člen 28(6) Direktive 95/46 razlagati tako, da lahko madžarski nadzorni organ v skladu z zakonodajo države članice, v kateri ima zadevno podjetje sedež, izvaja le pooblastila, določena v členu 28(3) te direktive, in da torej ni pooblaščen za naložitev globe?
8. Ali je mogoče za pojem ‚adatfeldolgozás‘ (procesiranje podatkov), uporabljen v členu 4(1)(a) in členu 28(6) Direktive 95/46, šteti, da je v terminologiji navedene direktive popolnoma enak pojmu ‚adatkezelés‘ (obdelava podatkov)?“
Vprašanja za predhodno odločanje
Uvodna pojasnila
15 Najprej je treba glede dejanskega stanja spora o glavni stvari navesti nekaj dodatnih informacij, ki jih je madžarski nadzorni organ navedel v pisnih stališčih in na obravnavi pri Sodišču.
16 Iz teh informacij izhaja, prvič, da je ta organ od primerljivega slovaškega organa neuradno izvedel, da družba Weltimmo ni opravljala nobene dejavnosti v kraju svojega sedeža, na Slovaškem. Poleg tega naj bi družba Weltimmo svoj sedež večkrat premestila iz ene države v drugo. Drugič, družba Weltimmo naj bi razvila dve strani z nepremičninskimi oglasi izključno v madžarščini. Na Madžarskem naj bi odprla bančni račun za izterjavo svojih terjatev in v tej državi članici imela poštni nabiralnik za svoje tekoče posle. Pošta naj bi se redno dvigala in se posredovala družbi Weltimmo po elektronski pošti. Tretjič, oglaševalci naj bi morali ne le sami vpisati podatke o svojih nepremičninah na strani družbe Weltimmo, temveč tudi izbrisati te podatke s te strani, če niso želeli, da so ti prikazani tudi po izteku zgoraj omenjenega enomesečnega obdobja. Družba Weltimmo naj bi se sklicevala na težave z upravljanjem informacijskih tehnologij, da bi pojasnila, da ta izbris ni mogel biti izvršen. Četrtič, družbo Weltimmo naj bi sestavljala le ena ali dve osebi. Njen zastopnik na Madžarskem naj bi se poskušal z oglaševalci pogajati o plačilu neplačanih terjatev.
17 Dalje, kar zadeva besedilo postavljenih vprašanj – čeprav predložitveno sodišče v prvem in drugem vprašanju uporablja izraz „izključno ustanovljen“ – je iz predložitvene odločbe ter pisnih stališč in ustnih navedb madžarskega nadzornega organa razvidno, da je družba Weltimmo sicer registrirana na Madžarskem in da je zato v skladu s pravom družb ustanovljena v tej državi članici, vendar obstaja dvom glede tega, ali je „ustanovljena“ samo v tej državi članici v smislu člena 4(1)(a) Direktive 95/46. S tem ko predložitveno sodišče Sodišče sprašuje o razlagi te določbe, želi v bistvu izvedeti, kaj zajema pojem „poslovna enota“, uporabljen v tej določbi.
18 Nazadnje je treba poudariti, da predložitveno sodišče v prvem in drugem vprašanju navaja, da je strežnik, ki ga uporablja družba Weltimmo, nameščen na Slovaškem, medtem ko na drugem mestu v predložitveni odločbi omenja možnost, da so strežniki te družbe v Nemčiji ali v Avstriji. V teh okoliščinah je treba ugotoviti, da vprašanje, v kateri državi članici je strežnik ali strežniki, ki jih uporablja navedena družba, ni rešeno.
Od prvega do šestega vprašanja
19 Predložitveno sodišče z vprašanji od prvega do šestega, ki jih je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člena 4(1)(a) in 28(1) Direktive 95/46 razlagati tako, da v okoliščinah, kakršne so v postopku v glavni stvari, dopuščata, da nadzorni organ države članice uporabi nacionalno zakonodajo o varstvu podatkov za upravljavca podatkov, katerega družba je registrirana v drugi državi članici in upravlja spletno stran z nepremičninskimi oglasi za nepremičnine, ki so na ozemlju prvonavedene države. Posebej sprašuje, ali je upoštevno, da je to tista država članica:
– v katero je usmerjena dejavnost upravljavca osebnih podatkov,
– v kateri so zadevne nepremičnine,
– iz katere se sporočajo podatki o lastnikih teh nepremičnin,
– katere so ti državljani in
– v kateri prebivajo lastniki te družbe.
20 Predložitveno sodišče glede prava, ki se uporablja, omenja zlasti slovaško in madžarsko pravo, pri čemer je prvo pravo države članice, v kateri je registriran upravljavec zadevnih osebnih podatkov, drugo pa pravo države članice, na katero se nanašajo internetne strani iz postopka v glavni stvari in v kateri so nepremičnine iz objavljenih oglasov.
21 V zvezi s tem je treba ugotoviti, da člen 4 Direktive 95/46, naslovljen „Uporaba nacionalne zakonodaje“, v poglavju I te direktive, naslovljenem „Splošne določbe“, ureja ravno to vprašanje.
22 Člen 28 Direktive 95/46, nalovljen „Nadzorni organ“, pa ureja vlogo in pooblastila tega organa. V skladu s členom 28(1) je ta organ odgovoren za spremljanje uporabe predpisov, ki so jih sprejele države članice v skladu s to direktivo, na ozemlju države članice, iz katere je. V skladu s členom 28(6) navedene direktive nadzorni organ izvaja pooblastila, ki so mu bila podeljena, ne glede na to, kateri nacionalni zakon se uporablja za obdelavo osebnih podatkov.
23 Torej se nacionalno pravo, ki se uporablja za upravljavca, ne določi na podlagi člena 28 Direktive 94/46, temveč na podlagi člena 4 te direktive.
24 V skladu s členom 4(1)(a) Direktive 95/46 vsaka država članica za obdelavo osebnih podatkov uporablja nacionalne predpise, ki jih sprejme v skladu s to direktivo, kadar se obdelava izvaja v okviru dejavnosti poslovne enote upravljavca na ozemlju države članice.
25 Glede na cilj Direktive 95/46, da se zagotovi učinkovito in popolno varstvo svoboščin in temeljnih pravic fizičnih oseb ter predvsem pravice do zasebnosti pri obdelavi osebnih podatkov, izraza „v okviru dejavnosti“ ni mogoče razlagati ozko (glej v tem smislu sodbo Google Spain in Google, C‑131/12, EU:C:2014:317, točka 53).
26 Da bi se ta cilj dosegel in da bi se preprečilo, da bi bila oseba izključena iz varstva, ki ji ga zagotavlja ta direktiva, je v uvodni izjavi 18 te direktive navedeno, da se mora vsaka obdelava osebnih podatkov v Evropski uniji izvajati v skladu z zakonodajo ene izmed držav članic ter da bi zato morala obdelavo podatkov, ki se izvaja pod odgovornostjo upravljavca, ustanovljenega v določeni državi članici, urejati zakonodaja te države.
27 Zakonodajalec Unije je tako določil posebej široko ozemeljsko področje uporabe Direktive 95/46, ki ga je zapisal v njen člen 4 (glej v tem smislu sodbo Google Spain in Google, C‑131/12, EU:C:2014:317, točka 54).
28 Kar zadeva, prvič, pojem „poslovna enota“, je treba spomniti, da je v uvodni izjavi 19 Direktive 95/46 navedeno, da poslovna enota na ozemlju države članice pomeni učinkovito in dejansko izvajanje dejavnosti prek ustaljenih režimov in da pravna oblika take poslovne enote, bodisi da je preprosto podružnica bodisi hčerinska družba, ki je pravna oseba, v tem pogledu ni odločilen dejavnik (sodba Google Spain in Google, C‑131/12, EU:C:2014:317, točka 48). V tej uvodni izjavi je poleg tega pojasnjeno, da mora upravljavec, kadar je na ozemlju več držav članic predvsem prek hčerinskih družb ustanovljen samo en, zato da bi preprečil vsakršno izogibanje nacionalnim predpisom, zagotoviti, da vsaka izmed poslovnih enot izpolnjuje obveznosti, ki jih nalaga nacionalna zakonodaja na področju njenih dejavnosti.
29 Iz tega izhaja, kot je generalni pravobranilec v bistvu ugotovil v točkah 28 in od 32 do 34 sklepnih predlogov, prožno razumevanje pojma, ki odvrača vsakršen formalističen pristop, na podlagi katerega bi se štelo, da ima podjetje poslovno enoto samo v kraju, kjer je registrirano. Tako je treba pri opredelitvi, ali ima družba, ki je upravljavka, v državi članici, ki ni država članica ali tretja država, v kateri je registrirana, poslovno enoto v smislu Direktive 95/46, presoditi tako stopnjo stalnosti enote kot tudi dejanskost opravljanja dejavnosti v tej drugi državi članici, pri tem pa upoštevati posebno naravo obravnavanih gospodarskih dejavnosti in storitev. To še posebej velja za podjetja, ki storitve ponujajo izključno na internetu.
30 V zvezi s tem je treba ob upoštevanju cilja, ki mu sledi ta direktiva – to je učinkovito in popolno varstvo pravice do zasebnosti ter preprečevanje vsakršnega izogibanja – zlasti ugotoviti, da lahko v nekaterih primerih za obstoj poslovne enote zadostuje navzočnost samo enega zastopnika, če ta deluje z zadostno stopnjo stalnosti s sredstvi, ki so potrebna za opravljanje konkretnih storitev v zadevni državi članici.
31 Poleg tega je treba za uresničitev navedenega cilja šteti, da pojem „poslovna enota“ v smislu Direktive 95/46 obsega vsakršno resnično in dejansko, čeprav majhno, dejavnost, ki se opravlja prek stalne enote.
32 V obravnavani zadevi dejavnost družbe Weltimmo obsega vsaj upravljanje enega ali več internetnih mest z nepremičninskimi oglasi za nepremičnine na Madžarskem, ki so sestavljeni v madžarščini, pri čemer postanejo ti oglasi plačljivi po izteku enega meseca. Torej je treba ugotoviti, da ta družba na Madžarskem opravlja resnično in dejansko dejavnost.
33 Poleg tega je iz pojasnil, ki jih je podal madžarski nadzorni organ, razvidno, da ima družba Weltimmo na Madžarskem zastopnika, ki je naveden v slovaškem registru družb z naslovom na Madžarskem in ki se je poskušal z oglaševalci pogajati za plačilo neporavnanih terjatev. Ta zastopnik je bil vez med to družbo in pritožniki in je to družbo zastopal v upravnem in sodnem postopku. Poleg tega je navedena družba na Madžarskem odprla bančni račun, namenjen izterjavi terjatev, in je na ozemlju te države članice uporabljala poštni nabiralnik za opravljanje tekočih poslov. Ti elementi, ki jih mora preveriti predložitveno sodišče, lahko v položaju, kakršen je ta v postopku v glavni stvari, dokazujejo obstoj „poslovne enote“ v smislu člena 4(1)(a) Direktive 95/46.
34 Na drugem mestu je treba ugotoviti, ali se obdelava osebnih podatkov opravlja „v okviru dejavnosti“ te poslovne enote.
35 Sodišče je že ugotovilo, da člen 4(1)(a) Direktive 95/46 ne zahteva, naj obdelavo zadevnih osebnih podatkov izvede zadevna poslovna enota, ampak zgolj, da se izvaja v „okviru dejavnosti“, ki jo opravlja (sodba Google Spain in Google, C‑131/12, EU:C:2014:317, točka 52).
36 V obravnavanem primeru obdelava iz postopka v glavni stvari pomeni zlasti objavo osebnih podatkov lastnikov nepremičnin na internetnih straneh z nepremičninskimi oglasi družbe Weltimmo in, če je tak primer, uporabo teh podatkov za izstavljanje računov za te oglase po izteku enomesečnega obdobja.
37 V zvezi s tem je treba opozoriti, da je Sodišče, kar podrobneje zadeva internet že ugotovilo, da je treba postopek, s katerim se na internetno stran vnesejo osebni podatki, šteti za „obdelavo“ v smislu člena 2(b) Direktive 95/46 (sodbi Lindqvist, C‑101/01, EU:C:2003:596, točka 25, in Google Spain in Google, C‑131/12, EU:C:2014:317, točka 26).
38 Ni pa sporno, da je ta obdelava potekala v okviru dejavnosti, opisanih v točki 32 te sodbe, ki jih je družba Weltimmo opravljala na Madžarskem.
39 Zato je treba – s pridržkom preveritev, na katere je opozorjeno v točki 33 te sodbe, ki jih mora predložitveno sodišče opraviti, da se ugotovi obstoj poslovne enote upravljavca na Madžarskem – šteti, da je ta obdelava opravljena v okviru dejavnosti te poslovne enote in da člen 4(1)(a) Direktive 95/46 v položaju, kakršen je v postopku v glavni stvari, dopušča uporabo madžarskega prava v zvezi z varstvom osebnih podatkov.
40 Okoliščina, da imajo lastniki nepremičnin iz nepremičninskih oglasov madžarsko državljanstvo, pa nikakor ni upoštevna pri določitvi nacionalnega prava, ki se uporabi glede obdelave podatkov iz postopka v glavni stvari.
41 Glede na vse zgoraj navedeno je treba na vprašanja od prvega do šestega odgovoriti tako:
– člen 4(1)(a) Direktive 95/46 je treba razlagati tako, da dopušča uporabo zakonodaje o varstvu osebnih podatkov države članice, ki ni tista, v kateri je upravljavec teh podatkov registriran, če ta upravljavec prek poslovne enote na ozemlju te države članice opravlja dejansko in resnično, čeprav majhno, dejavnost, v okviru katere se izvaja ta obdelava;
– da bi predložitveno sodišče v okoliščinah, kakršne so v postopku v glavni stvari, ugotovilo, ali to drži, lahko zlasti upošteva, prvič, da je dejavnost upravljavca, ki izvaja navedeno obdelavo, v okviru katere ta obdelava poteka, upravljanje internetnih strani z nepremičninskimi oglasi za nepremičnine na ozemlju te države članice, ki so sestavljeni v jeziku te države, in da je zato ta dejavnost večinoma ali celo v celoti usmerjena v navedeno državo članico, in drugič, da ima ta upravljavec zastopnika v navedeni državi članici, ki je zadolžen za izterjavo terjatev, ki izhajajo iz te dejavnosti, in za zastopanje upravljavca v upravnih in sodnih postopkih v zvezi z obdelavo zadevnih podatkov;
– ni pa upoštevno vprašanje državljanstva oseb, ki jih zadeva ta obdelava podatkov.
Sedmo vprašanje
42 Sedmo vprašanje je postavljeno le za primer, da bi madžarski nadzorni organ štel, da družba Weltimmo poslovne enote v smislu člena 4(1)(a) Direktive 95/46, ki opravlja dejavnosti, v okviru katerih se izvaja obdelava osebnih podatkov, nima na Madžarskem, temveč v drugi državi članici.
43 Predložitveno sodišče s tem vprašanjem v bistvu sprašuje, ali bi bilo treba v primeru, da bi madžarski nadzorni organ ugotovil, da se za obdelavo osebnih podatkov ne uporabi madžarsko pravo, temveč pravo druge države članice, člen 28(1), (3) in (6) Direktive 95/46 razlagati tako, da lahko ta organ v skladu s pravom te druge države članice izvaja le pooblastila, določena v členu 28(3) te direktive, in ni pooblaščen za naložitev globe.
44 Prvič, glede pristojnosti nadzornega organa za postopanje v takem primeru je treba navesti, da lahko v skladu s členom 28(4) Direktive 95/46 vsak nadzorni organ obravnava zahtevke, ki jih je vložila katera koli oseba v zvezi z varstvom svojih pravic in svoboščin glede obdelave osebnih podatkov.
45 Zato v položaju, kakršen je v postopku v glavni stvari, madžarski nadzorni organ lahko obravnava zahtevke, ki jih vložijo osebe, kot so oglaševalci nepremičnin v postopku v glavni stvari, ki se imajo za žrtve nezakonite obdelave njihovih osebnih podatkov v državi članici, v kateri imajo te nepremičnine.
46 Drugič, preučiti je treba, kakšna so pooblastila tega nadzornega organa ob upoštevanju člena 28(1), (3) in (6) Direktive 95/46.
47 Iz člena 28(1) te direktive je razvidno, da je vsak nadzorni organ, ki ga določi država članica, na njenem ozemlju odgovoren za spremljanje uporabe predpisov, ki so jih sprejele države članice v skladu s to direktivo.
48 V skladu s členom 28(3) Direktive 95/46 imajo ti nadzorni organi zlasti preiskovalna pooblastila za zbiranje vseh informacij, ki so potrebne za izvajanje njihovih nadzornih nalog, in učinkovita pooblastila za posredovanje, kakršna so na primer odrejanje blokiranja, izbrisa ali uničenja podatkov, naložitev začasne ali dokončne prepovedi obdelave ter opozarjanje ali opominjanje upravljavca.
49 Ob upoštevanju dejstva, da ta pooblastila niso našteta izčrpno, in vrst pooblastil za posredovanje, omenjenih v tej določbi, ter polja proste presoje držav članic pri prenosu Direktive 95/46 je treba ugotoviti, da lahko ta pooblastila za posredovanje vključujejo pooblastilo za sankcioniranje upravljavca podatkov s tem, da se mu po potrebi naloži globa.
50 Pooblastila, priznana nadzornim organom, je treba izvajati v skladu s postopkovnim pravom države članice, ki jih določa.
51 Iz člena 28(1) in (3) Direktive 95/46 je razvidno, da vsak nadzorni organ izvaja vsa pooblastila, ki so mu bila podeljena na ozemlju lastne države članice, da bi se zagotovilo spoštovanje predpisov s področja varstva podatkov na tem ozemlju.
52 Ta teritorialna uporaba pooblastil vsakega nadzornega organa je potrjena v členu 28(6) te direktive, ki določa, da je vsak nadzorni organ pristojen, da na ozemlju lastne države članice izvaja pooblastila, ki so mu bila podeljena v skladu s členom 28(3) navedene direktive, ne glede na to, kateri nacionalni zakon se uporablja za zadevno obdelavo. Ta člen 28(6) določa tudi, da je mogoče od vsakega nadzornega organa zahtevati, da izvaja svoja pooblastila na prošnjo nadzornega organa druge države članice, in da nadzorni organi sodelujejo drug z drugim v obsegu, ki je potreben za izvedbo njihovih dolžnosti, predvsem z izmenjavo vseh koristnih informacij.
53 Ta določba je potrebna za zagotavljanje prostega prenosa osebnih podatkov v Uniji ob skrbi za spoštovanje pravil za varstvo zasebnosti fizičnih oseb, ki jih določa Direktiva 95/46. Ob neobstoju te določbe bi bilo namreč v primeru, da bi za upravljavca osebnih podatkov veljal zakon države članice, vendar bi ta upravljavec kršil pravico do varstva zasebnosti fizičnih oseb v drugi državi članici – zlasti z usmeritvijo svoje dejavnosti v to državo članico, ne da bi bil tam ustanovljen v smislu te direktive – za te osebe zelo težko ali celo nemogoče doseči spoštovanje njihove pravice do tega varstva.
54 Iz člena 28(6) Direktive 95/46 izhaja, da lahko nadzorni organ države članice, pri katerem fizične osebe vložijo prijavo v zvezi z obdelavo njihovih osebnih podatkov na podlagi člena 28(4) te direktive, obravnava to pritožbo ne glede na nacionalno pravo, ki se uporabi, in torej tudi če se za obdelavo zadevnih podatkov uporabi pravo druge države članice.
55 Vendar v takem primeru pooblastila tega organa ne obsegajo nujno vseh tistih, ki so mu podeljena v skladu s pravom lastne države članice.
56 Kot je namreč generalni pravobranilec navedel v točki 50 sklepnih predlogov, iz zahtev, izpeljanih iz ozemeljske suverenosti zadevne države članice, načela zakonitosti in iz pojma pravne države, izhaja, da pristojnosti za sankcioniranje načeloma ni mogoče izvajati zunaj zakonitih meja, v katerih lahko upravni organ ukrepa upoštevajoč pravo lastne države članice.
57 Če torej nadzorni organ odloča o prijavi v skladu s členom 28(4) Direktive 95/46, lahko ta organ svoja preiskovalna pooblastila izvaja ne glede na pravo, ki se uporablja, in celo preden izve, katero nacionalno pravo se uporablja za obravnavano obdelavo. Vendar če ugotovi, da se uporabi pravo druge države članice, ne more naložiti sankcij zunaj ozemlja lastne države članice. V takem položaju mora na podlagi dolžnosti sodelovanja, ki jo določa člen 28(6) te direktive, nadzornemu organu te druge države članice predlagati, naj ugotovi morebitno kršitev tega prava in naloži sankcije, če jih to pravo dopušča, pri čemer se po potrebi opre na informacije, ki jih je posredoval.
58 Nadzorni organ, ki obravnava tako prijavo, lahko v okviru tega sodelovanja na podlagi navodil nadzornega organa druge države članice opravi še druge preiskave.
59 Iz tega izhaja, da v položaju, kakršen je v postopku v glavni stvari, v primeru, da se uporabi pravo druge države članice, in ne Madžarske, madžarski nadzorni organ ne bi mogel izvajati pooblastil za sankcioniranje, ki mu jih podeljuje madžarsko pravo.
60 Iz vsega zgoraj navedenega izhaja, da je treba na sedmo vprašanje odgovoriti, da je treba v primeru, da nadzorni organ države članice, ki odloča o prijavah v skladu s členom 28(4) Direktive 94/46, ugotovi, da se za obdelavo zadevnih osebnih podatkov ne uporablja pravo te države članice, temveč pravo druge države članice, člen 28(1), (3) in (6) te direktive razlagati tako, da lahko ta nadzorni organ učinkovita pooblastila za posredovanje, ki so mu bila podeljena v skladu s členom 28(3) navedene direktive, izvaja le na ozemlju lastne države članice. Zato upravljavcu teh podatkov, ki ni ustanovljen na tem ozemlju, ne more naložiti sankcij na podlagi prava te države članice, temveč mora v skladu s členom 28(6) te direktive pozvati nadzorni organ države članice, katere pravo se uporabi, naj ukrepa.
Osmo vprašanje
61 Predložitveno sodišče z osmim vprašanjem Sodišče sprašuje o obsegu pojma „adatfeldolgozás“ (procesiranje podatkov), uporabljenega zlasti v členu 4(1)(a) Direktive 95/46 o pravu, ki se uporabi, in v členu 28(6) te direktive o pristojnosti nadzornega organa.
62 Iz različice Direktive 95/46 v madžarskem jeziku je razvidno, da ta stalno uporablja pojem „adatfeldolgozás“.
63 Predložitveno sodišče navaja, da informacijski zakon uporablja pojem „adatkezelés“ (obdelava podatkov) med drugim v določbah, s katerimi se izvajajo določbe Direktive 95/46 o pristojnosti nadzornih organov. Kot pa je razvidno iz člena 3, točka 10, tega zakona, je pomen tega pojma širši od pomena pojma „adatfeldolgozás“, ki je opredeljen v členu 3, točka 17 navedenega zakona, in vključuje zadnjenavedeni pojem.
64 Čeprav je pomen pojma „adatfeldolgozás“ v splošnem razumevanju in kot izhaja iz informacijskega zakona ožji od pomena pojma „adatkezelés“, je treba ugotoviti, da različica Direktive 95/46 v madžarskem jeziku pojem „adatfeldolgozás“ v členu 2(b) razlaga širše, tako da ustreza pojmu „adatkezelés“.
65 Zato je treba na osmo vprašanje odgovoriti, da je treba Direktivo 95/46 razlagati tako, da ima pojem „adatfeldolgozás“ (procesiranje podatkov), uporabljen v različici te direktive v madžarskem jeziku, zlasti v členih 4(1)(a) in 28(6) te direktive, enak pomen kot pojem „adatkezelés“ (obdelava podatkov).
Stroški
66 Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški, priglašeni za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (tretji senat) razsodilo:
1. Člen 4(1)(a) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da dopušča uporabo zakonodaje o varstvu osebnih podatkov države članice, ki ni tista, v kateri je upravljavec teh podatkov registriran, če ta upravljavec prek poslovne enote na ozemlju te države članice opravlja dejansko in resnično, čeprav majhno, dejavnost, v okviru katere se izvaja ta obdelava.
Da bi predložitveno sodišče v okoliščinah, kakršne so v postopku v glavni stvari, ugotovilo, ali to drži, lahko zlasti upošteva, prvič, da je dejavnost upravljavca, ki izvaja navedeno obdelavo, v okviru katere ta obdelava poteka, upravljanje internetnih strani z nepremičninskimi oglasi za nepremičnine na ozemlju te države članice, ki so sestavljeni v jeziku te države, in da je zato ta dejavnost večinoma ali celo v celoti usmerjena v navedeno državo članico, in drugič, da ima ta upravljavec zastopnika v navedeni državi članici, ki je zadolžen za izterjavo terjatev, ki izhajajo iz te dejavnosti, in za zastopanje upravljavca v upravnih in sodnih postopkih v zvezi z obdelavo zadevnih podatkov.
Ni pa upoštevno vprašanje državljanstva oseb, ki jih zadeva ta obdelava podatkov.
2. V primeru, da nadzorni organ države članice, ki odloča o prijavah v skladu s členom 28(4) Direktive 94/46, ugotovi, da se za obdelavo zadevnih osebnih podatkov ne uporablja pravo te države članice, temveč pravo druge države članice, je treba člen 28(1), (3) in (6) te direktive razlagati tako, da lahko ta nadzorni organ učinkovita pooblastila za posredovanje, ki so mu bila podeljena v skladu s členom 28(3) navedene direktive, izvaja le na ozemlju lastne države članice. Zato upravljavcu teh podatkov, ki ni ustanovljen na tem ozemlju, ne more naložiti sankcij na podlagi prava te države članice, temveč mora v skladu s členom 28(6) te direktive pozvati nadzorni organ države članice, katere pravo se uporabi, naj ukrepa.
3. Direktivo 95/46 je treba razlagati tako, da ima pojem „adatfeldolgozás“ (procesiranje podatkov), uporabljen v različici te direktive v madžarskem jeziku, zlasti v členih 4(1)(a) in 28(6) te direktive, enak pomen kot pojem „adatkezelés“ (obdelava podatkov).
Podpisi