Asia C-210/16

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

vastaan

Wirtschaftsakademie Schleswig-Holstein GmbH

(Ennakkoratkaisupyyntö – Bundesverwaltungsgericht)

Ennakkoratkaisupyyntö – Direktiivi 95/46/EY – Henkilötiedot – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Määräys, joka koskee sellaisen Facebook-sivun (fan page) poistamista käytöstä, joka mahdollistaa kyseisellä sivulla kävijöihin liittyvien tiettyjen tietojen keräämisen ja käsittelyn – 2 artiklan d alakohta – Henkilötietojen käsittelystä vastuussa oleva taho – 4 artikla – Sovellettava kansallinen oikeus – 28 artikla – Kansalliset valvontaviranomaiset – Mainittujen viranomaisten toimintavaltuudet

1.        Jäsenvaltioiden lainsäädännön lähentäminen – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Käsittelystä vastuussa oleva taho – Käsite – Verkkoyhteisössä olevan fanisivun hallinnoijan kuuluminen käsitteen piiriin

(Euroopan parlamentin ja neuvoston direktiivin 95/46 2 artiklan d alakohta)

2.        Jäsenvaltioiden lainsäädännön lähentäminen – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Kansalliset valvontaviranomaiset – Valtuudet – Tutkintavaltuudet, toimintavaltuudet ja valtuudet olla asianosaisena oikeudenkäynnissä – Jäsenvaltion valvontaviranomaisen toimivalta käyttää valtuuksia kyseisen jäsenvaltion alueella sijaitsevan yrityksen osalta – Sillä, että yritys kuuluu konserniin, jossa vastuu henkilötietojen keräämisestä ja käsittelystä on annettu toisessa jäsenvaltiossa sijaitsevalle toimipaikalle, ei ole merkitystä

(Euroopan parlamentin ja neuvoston direktiivin 95/46 4 ja 28 artikla)

3.        Jäsenvaltioiden lainsäädännön lähentäminen – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Kansalliset valvontaviranomaiset – Valtuudet – Toimintavaltuudet – Valtuuksien käyttäminen toisessa jäsenvaltiossa sijaitsevan henkilötietojen käsittelystä vastuussa olevan sivullisen osalta – Toimivalta arvioida käsittelyn lainmukaisuutta ja käyttää toimintavaltuuksia pyytämättä toisen jäsenvaltion valvontaviranomaista toimimaan

(Euroopan parlamentin ja neuvoston direktiivin 95/46 4 artiklan 1 kohdan a alakohta ja 28 artiklan 3 ja 6 kohta)

1.      Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 2 artiklan d alakohtaa on tulkittava siten, että mainitussa säännöksessä tarkoitettu käsite ”rekisterinpitäjä” käsittää verkkoyhteisössä olevan fanisivun hallinnoijan.

Vaikkei pelkkä Facebookin kaltaisen verkkoyhteisön käyttäminen tee Facebookin käyttäjästä yhteisvastuullista rekisterinpitäjää kyseisen yhteisön suorittaman henkilötietojen käsittelyn osalta, on sitä vastoin todettava, että Facebookissa olevan fanisivun hallinnoija tarjoaa tällaisen sivun perustamalla Facebookille mahdollisuuden sijoittaa evästeitä fanisivullaan käyneen henkilön tietokoneelle tai mille hyvänsä muulle laitteelle riippumatta siitä, onko kyseisellä henkilöllä Facebook-tiliä vai ei. Näissä olosuhteissa on katsottava, että Facebookissa olevan fanisivun hallinnoija, kuten Wirtschaftsakademie, osallistuu valitsemalla parametrit muun muassa kohdeyleisönsä ja toimintansa hallinnoinnin tai edistämisen tavoitteiden mukaan fanisivullaan kävijöiden henkilötietojen käsittelyn tarkoituksen ja keinojen määrittämiseen. Tästä syystä mainittua hallinnoijaa on nyt käsiteltävässä tapauksessa pidettävä direktiivin 95/46 2 artiklan d alakohdassa tarkoitettuna rekisterinpitäjänä unionissa yhdessä Facebook Irelandin kanssa.  Se seikka, että fanisivun hallinnoija käyttää Facebookin tarjoamaa alustaa hyödyntääkseen tähän liittyviä palveluja, ei nimittäin vapauta sitä sen henkilötietojen suojaa koskevien velvollisuuksien noudattamisesta.  Näin ollen se, että tunnustetaan verkkoyhteisön ylläpitäjän ja kyseisessä verkkoyhteisössä olevan fanisivun hallinnoijan yhteinen vastuu kyseisellä fanisivulla kävijöiden henkilötiedoista, edistää direktiivin 95/46 vaatimusten mukaisesti niiden oikeuksien kattavamman suojan varmistamista, joita kyseisellä fanisivulla kävijöillä on.

(ks. 35, 39, 40, 42 ja 44 kohta sekä tuomiolauselman 1 kohta)

2.      Direktiivin 95/46 4 ja 28 artiklaa on tulkittava siten, että silloin kun Euroopan unionin ulkopuolelle sijoittautuneella yrityksellä on useita toimipaikkoja eri jäsenvaltioissa, jäsenvaltion valvontaviranomainen on toimivaltainen käyttämään sillä kyseisen direktiivin 28 artiklan 3 kohdan mukaan olevia toimivaltuuksia mainitun yrityksen kyseisen jäsenvaltion alueella sijaitsevan toimipaikan osalta, vaikka konsernin sisäisen tehtävänjaon mukaan yhtäältä kyseinen toimipaikka vastaa vain mainospaikkojen myynnistä ja muusta markkinoinnista kyseisen jäsenvaltion alueella ja toisaalta yksinomainen vastuu henkilötietojen keräämisestä ja käsittelystä koko Euroopan unionin alueella on jonkin toisen jäsenvaltion alueella sijaitsevalla toimipaikalla.

(ks. 64 kohta sekä tuomiolauselman 2 kohta)

3.      Direktiivin 95/46 4 artiklan 1 kohdan a alakohtaa ja 28 artiklan 3 ja 6 kohtaa on tulkittava siten, että silloin, kun jäsenvaltion valvontaviranomainen aikoo käyttää kyseisen jäsenvaltion alueelle sijoittautuneen elimen suhteen kyseisen direktiivin 28 artiklan 3 kohdassa tarkoitettuja toimintavaltuuksia sen vuoksi, että henkilötietojen käsittelystä vastuussa oleva sivullinen, jonka kotipaikka on jossakin toisessa jäsenvaltiossa, on rikkonut henkilötietojen suojaa koskevia sääntöjä, kyseinen valvontaviranomainen on toimivaltainen arvioimaan viimeksi mainitun jäsenvaltion valvontaviranomaiseen nähden itsenäisesti mainittujen tietojen käsittelyn lainmukaisuutta ja voi käyttää toimintavaltuuksiaan alueelleen sijoittautuneen elimen suhteen pyytämättä ensin kyseisen toisen jäsenvaltion valvontaviranomaista toimimaan.

(ks. 74 kohta sekä tuomiolauselman 3 kohta)