Wyrok Trybunału (wielka izba) z dnia 5 czerwca 2018 r. (wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Bundesverwaltungsgericht - Niemcy) – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein / Wirtschaftsakademie Schleswig-Holstein GmbH
(Sprawa C-210/16)1
[Odesłanie prejudycjalne – Dyrektywa 95/46/WE – Dane osobowe – Ochrona osób fizycznych w zakresie przetwarzania tych danych – Nakaz dezaktywacji strony Facebooka (fanpage’a) pozwalającej na gromadzenie i przetwarzanie pewnych danych dotyczących osób odwiedzających tę stronę – Artykuł 2 lit. d) – Administrator danych osobowych – Artykuł 4 – Właściwe prawo krajowe – Artykuł 28 – Krajowe organy nadzorcze – Uprawnienia interwencyjne tych organów]
Język postępowania: niemiecki
Sąd odsyłający
Bundesverwaltungsgericht
Strony w postępowaniu głównym
Strona wnosząca skargę rewizyjną: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Druga strona postępowania rewizyjnego: Wirtschaftsakademie Schleswig-Holstein GmbH
przy udziale: Facebook Ireland Ltd, Vertreter des Bundesinteresses beim Bundesverwaltungsgericht
Sentencja
Artykuł 2 lit. d) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że pojęcie „administratora danych” w rozumieniu tego przepisu obejmuje administratora fanpage’a prowadzonego na portalu społecznościowym.
Artykuły 4 i 28 dyrektywy 95/46 należy interpretować w ten sposób, że w przypadku gdy przedsiębiorstwo z siedzibą poza Unią Europejską ma kilka oddziałów w różnych państwach członkowskich, organ nadzorczy państwa członkowskiego może wykonywać uprawnienia przyznane mu przez art. 28 ust. 3 tej dyrektywy w stosunku do oddziału tego przedsiębiorstwa, znajdującego się na terytorium tego państwa członkowskiego, nawet jeżeli zgodnie z podziałem zadań w obrębie grupy, po pierwsze, ów oddział jest wyłącznie odpowiedzialny za sprzedaż przestrzeni reklamowej i inne działania marketingowe na terytorium rzeczonego państwa członkowskiego, a po drugie, wyłączną odpowiedzialność za gromadzenie i przetwarzanie danych osobowych ponosi w zakresie całego terytorium Unii Europejskiej oddział położony w innym państwie członkowskim.
Artykuł 4 ust. 1 lit. a) i art. 28 ust. 3 i 6 dyrektywy 95/46 należy interpretować w ten sposób, że w przypadku gdy organ nadzorczy państwa członkowskiego zamierza wykonać w stosunku do podmiotu mającego siedzibę na terytorium tego państwa członkowskiego uprawnienia interwencyjne, o których mowa w art. 28 ust. 3 tej dyrektywy, z powodu naruszeń przepisów o ochronie danych osobowych popełnionych przez administrującą tymi danymi osobę trzecią mającą siedzibę w innym państwie członkowskim, ów organ nadzorczy jest właściwy do dokonania oceny, w sposób niezależny od organu nadzorczego tego ostatniego państwa członkowskiego, zgodności z prawem takiego przetwarzania danych i może wykonywać przysługujące mu uprawnienia interwencyjne w stosunku do podmiotu mającego siedzibę na jego terytorium bez uprzedniego zwrócenia się do organu nadzorczego drugiego państwa członkowskiego o podjęcie działań.
____________
1 Dz.U. C 260 z 18.7.2016.