Žádost o rozhodnutí o předběžné otázce podaná Bundesverwaltungsgericht (Německo) dne 14. dubna 2016 – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v. Wirtschaftsakademie Schleswig-Holstein GmbH
(Věc C-210/16)
Jednací jazyk: němčina
Předkládající soud
Bundesverwaltungsgericht
Účastníci původního řízení
Žalovaný, navrhovatel v odvolacím řízení a navrhovatel v řízení o opravném prostředku „Revision“: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Žalobkyně, odpůrkyně v odvolacím řízení a odpůrkyně v řízení o opravném prostředku „Revision“: Wirtschaftsakademie Schleswig-Holstein GmbH
Vedlejší účastnice řízení: společnost Facebook Ireland Limited
Zúčastněná strana: Der Vertreter des Bundesinteresses beim Bundesverwaltungsgericht
Předběžné otázky
Musí být čl. 2 písm. d) směrnice 95/46/ES1 vykládán v tom smyslu, že taxativně a podrobně upravuje odpovědnost za porušení ochrany údajů, nebo v rámci „vhodných opatření“ podle článku 24 směrnice 95/46/ES a „pravomoci účinně zasáhnout“ podle čl. 28 odst. 3 druhé odrážky směrnice 95/46/ES ve vícestupňových vztazích poskytovatelů informací nadále existuje prostor pro odpovědnost subjektu, který není ve smyslu čl. 2 písm. d) směrnice 95/46/ES správcem údajů, při výběru provozovatele za jeho informační nabídku?
Vyplývá z povinnosti členských států podle čl. 17 odst. 2 směrnice 95/46/ES stanovit, že správce při zpracování údajů na svůj účet „musí zvolit zpracovatele poskytujícího dostatečné záruky s ohledem na technická bezpečnostní opatření a organizační opatření usměrňující zpracování, jež má být provedeno“, a contrario, že v případě jiných vztahů užívání, které nejsou spojeny se zpracováním údajů pro správce ve smyslu čl. 2 písm. e) směrnice 95/46/ES, neexistuje povinnost pečlivého výběru a nemůže být založena ani podle vnitrostátního práva?
Je v případech, kdy mateřská skupina společností usazená mimo Evropskou unii provozuje v různých členských státech pobočky s vlastní právní subjektivitou (dceřiné společnosti), podle článku 4, čl. 28 odst. 6 směrnice 95/46/ES orgán dozoru členského státu (v tomto případě: Německo) oprávněn vykonávat přenesené pravomoci podle čl. 28 odst. 3 směrnice 95/46/ES vůči pobočce nacházející se na jeho území i tehdy, pokud je tato pobočka příslušná pouze pro podporu prodeje reklamy a jiná marketingová opatření se zaměřením na obyvatele tohoto členského státu, zatímco samostatné pobočce (dceřiné společnosti) nacházející se v jiném členském státu (v tomto případě: Irsko) podle rozdělení úkolů v rámci skupiny náleží výlučná odpovědnost za získávání a zpracování osobních údajů na celém území Evropské unie, a tudíž i v tomto jiném členském státě (v tomto případě: Německo), pokud je ve skutečnosti rozhodnutí o zpracování údajů přijímáno mateřskou skupinou společností?
Musí být čl. 4 odst. 1 písm. a) a čl. 28 odst. 3 směrnice 95/46/ES vykládány v tom smyslu, že v případech, kdy má správce pobočku na území členského státu (v tomto případě: Irsko) a na území jiného členského státu (v tomto případě: Německo) existuje jiná pobočka s vlastní právní subjektivitou, která je kromě jiného příslušná pro prodej reklamních ploch a jejíž činnost je zaměřena na obyvatele tohoto státu, může orgán dozoru příslušný v tomto jiném členském státě (v tomto případě: Německo) adresovat opatření a nařízení směřující k prosazení práva na ochranu údajů i vůči další pobočce (v tomto případě: v Německu), která není podle rozdělení úkolů a odpovědností v rámci skupiny odpovědná za zpracování údajů, nebo jsou pak možná opatření a nařízení přijímaná jen orgánem dozoru členského státu (v tomto případě: Irsko), na jehož území má subjekt odpovědný v rámci skupiny společností své sídlo?
Musí být čl. 4 odst. 1 písm. a), čl. 28 odst. 3 a 6 směrnice 95/46/ES vykládány v tom smyslu, že v případech, ve kterých orgán dozoru jednoho členského státu (v tomto případě: Německo) vyvozuje odpovědnost vůči osobě nebo subjektu působícím na jeho území podle čl. 28 odst. 3 směrnice 95/46/ES z důvodu nedostatečně pečlivého výběru třetí osoby zapojené do procesu zpracování údajů (v tomto případě: Facebook), protože tato třetí osoba porušuje právo na ochranu údajů, je činný orgán dozoru (v tomto případě: Německo) vázán posouzením podle právní úpravy v oblasti ochrany údajů provedeným orgánem dozoru jiného členského státu, ve kterém má třetí osoba-správce svou pobočku (v tomto případě: Irsko), a to v tom smyslu, že nemůže dospět k odlišnému právnímu posouzení, nebo může činný orgán dozoru (v tomto případě: Německo) přezkoumat zákonnost zpracování údajů třetí osobou usazenou v jiném členském státě (v tomto případě: Irsko) jako předběžnou otázku vlastní činnosti, a to s ohledem na její zákonnost samostatně?
Pokud má činný orgán dozoru (v tomto případě: Německo) možnost samostatného přezkumu: Musí být čl. 28 odst. 6 druhá věta směrnice 95/46/ES vykládán v tom smyslu, že tento orgán dozoru může vykonat pravomoc účinně zasáhnout, která mu byla udělena podle čl. 28 odst. 3 směrnice 95/46/ES, vůči osobě nebo subjektu usazeným na jeho území z důvodu spoluodpovědnosti za porušení ochrany údajů třetí osoby usazené v jiném členském státu jen a teprve, jakmile předem požádal orgánu dozoru tohoto jiného členského státu (v tomto případě: Irsko) o výkon jeho pravomoci?
____________1 Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, Úř. Věst. L 281, s. 31; Zvl. vyd.: 13/05, s. 355.