Arrest van het Hof (Grote kamer) van 5 juni 2018 (verzoek om een prejudiciële beslissing ingediend door het Bundesverwaltungsgericht - Duitsland) – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein / Wirtschaftsakademie Schleswig-Holstein GmbH
(Zaak C-210/16)1
[Prejudiciële verwijzing – Richtlijn 95/46/EG – Persoonsgegevens – Bescherming van natuurlijke personen in verband met de verwerking van deze gegevens – Bevel tot deactivering van een Facebookpagina (fanpagina) waarmee bepaalde gegevens in verband met de bezoekers van deze pagina kunnen worden verkregen en verwerkt – Artikel 2, onder d) – Voor de verwerking van de persoonsgegevens verantwoordelijke – Artikel 4 – Toepasselijk nationaal recht – Artikel 28 – Nationale toezichthoudende autoriteiten – Bevoegdheden tot ingrijpen van deze autoriteiten]
Procestaal: Duits
Verwijzende rechter
Bundesverwaltungsgericht
Partijen in het hoofdgeding
Verzoekende partij: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Verwerende partij: Wirtschaftsakademie Schleswig-Holstein GmbH
In aanwezigheid van: Facebook Ireland Ltd, Vertreter des Bundesinteresses beim Bundesverwaltungsgericht
Dictum
Artikel 2, onder d), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens moet aldus worden uitgelegd dat het begrip „voor de verwerking verantwoordelijke” in de zin van deze bepaling de beheerder van een op een sociaal netwerk geplaatste fanpagina omvat.
De artikelen 4 en 28 van richtlijn 95/46 moeten aldus worden uitgelegd dat wanneer een buiten de Europese Unie gevestigde onderneming meerdere vestigingen in verschillende lidstaten heeft, de toezichthoudende autoriteit van een lidstaat bevoegd is tot uitoefening van haar bevoegdheden uit hoofde van artikel 28, lid 3, van deze richtlijn ten aanzien van een vestiging van deze onderneming op het grondgebied van die lidstaat, ook al is deze vestiging, ingevolge de taakverdeling binnen de groep, uitsluitend belast met de verkoop van advertentieruimte en andere marketingactiviteiten op het grondgebied van die lidstaat, en berust de exclusieve verantwoordelijkheid voor de verkrijging en de verwerking van persoonsgegevens, voor het gehele grondgebied van de Europese Unie, bij een vestiging in een andere lidstaat.
Artikel 4, lid 1, onder a), en artikel 28, leden 3 en 6, van richtlijn 95/46 moeten aldus worden uitgelegd dat wanneer de toezichthoudende autoriteit van een lidstaat voornemens is de bevoegdheden tot ingrijpen als bedoeld in artikel 28, lid 3, van deze richtlijn uit te oefenen ten aanzien van een lichaam dat gevestigd is op het grondgebied van deze lidstaat wegens inbreuken op de regels betreffende de bescherming van persoonsgegevens die zijn begaan door een derde die voor de verwerking van deze gegevens verantwoordelijk is en waarvan de zetel zich in een andere lidstaat bevindt, deze toezichthoudende autoriteit bevoegd is de wettigheid van een dergelijke verwerking van gegevens autonoom ten opzichte van de toezichthoudende autoriteit van die laatste lidstaat te beoordelen, en haar bevoegdheden tot ingrijpen ten aanzien van het op haar grondgebied gevestigde lichaam kan uitoefenen zonder eerst de toezichthoudende autoriteit van de andere lidstaat te verzoeken op te treden.
____________
1 PB C 260 van 18.7.2016.