Αίτηση προδικαστικής αποφάσεως την οποία υπέβαλε το Bundesverwaltungsgericht (Γερμανία) στις 14 Απριλίου 2016 – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein κατά Wirtschaftsakademie Schleswig-Holstein GmbH

(Υπόθεση C-210/16)

Γλώσσα διαδικασίας: η γερμανική

Αιτούν δικαστήριο

Bundesverwaltungsgericht

Διάδικοι στην υπόθεση της κύριας δίκης

Προσφεύγουσα, εφεσίβλητη και αναιρεσίβλητη: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Καθής η προσφυγή, εκκαλούσα και αναιρεσείουσα: Wirtschaftsakademie Schleswig-Holstein GmbH

Προσεπικληθείσα: Facebook Ireland Limited

Μετέχων στη διαδικασία: Vertreter des Bundesinteresses beim Bundesverwaltungsgericht

Προδικαστικά ερωτήματα

Έχει το άρθρο 2, στοιχείο δ΄, της οδηγίας 95/46/ΕΚ ¹ την έννοια ότι ρυθμίζει αποκλειστικώς και εξαντλητικώς την ευθύνη και τις υποχρεώσεις λόγω παραβάσεων της προστασίας δεδομένων ή είναι επίσης δυνατόν, λαμβανομένων υπόψη των «κατάλληλων μέτρων» κατά το άρθρο 24 της οδηγίας 95/46/ΕΚ και των «αποτελεσματικών εξουσιών παρέμβασης» κατά το άρθρο 28, παράγραφος 3, δεύτερη περίπτωση, της οδηγίας 95/46/ΕΚ, να υφίσταται, στο πλαίσιο των πολυεπίπεδων έννομων σχέσεων βάσει των οποίων παρέχονται οι πληροφορίες, ευθύνη και άλλου φορέα, ο οποίος δεν είναι υπεύθυνος επεξεργασίας δεδομένων κατά την έννοια του άρθρου 2, στοιχείο δ΄, της οδηγίας 95/46, όσον αφορά την επιλογή του παρόχου μέσω του οποίου ο φορέας αυτός διακινεί τις πληροφορίες του;

Μπορεί από την επιβαλλόμενη με το άρθρο 17, παράγραφος 2, της οδηγίας 95/46/ΕΚ υποχρέωση των κρατών μελών να προβλέπουν ότι ο «υπεύθυνος της επεξεργασίας» οφείλει, σε περίπτωση επεξεργασίας για λογαριασμό του, «να επιλέγει προς εκτέλεση της επεξεργασίας πρόσωπο το οποίο παρέχει επαρκείς εγγυήσεις όσον αφορά τα μέτρα τεχνικής ασφάλειας και οργάνωσης της επεξεργασίας», να συναχθεί εξ αντιδιαστολής ότι, όσον αφορά άλλες έννομες σχέσεις με αντικείμενο τη χρήση οι οποίες δεν συνδέονται με την ανάθεση της επεξεργασίας δεδομένων κατά την έννοια του άρθρου 2, στοιχείο ε΄, της οδηγίας 95/46/ΕΚ, δεν υφίσταται, ούτε μπορεί να θεσπισθεί από το εθνικό δίκαιο, υποχρέωση επιμέλειας κατά την επιλογή;

Στην περίπτωση κατά την οποία μια εδρεύουσα εκτός της Ευρωπαϊκής Ένωσης μητρική επιχείρηση διατηρεί νομικά αυτοτελείς εγκαταστάσεις (θυγατρικές εταιρίες) σε διάφορα κράτη μέλη, δύναται η αρχή ελέγχου ορισμένου κράτους μέλους (εν προκειμένω της Γερμανίας), κατά τα άρθρα 4 και 28, παράγραφος 6, της οδηγίας 95/46/ΕΚ, να ασκήσει τις εξουσίες που της απονέμει το άρθρο 28, παράγραφος 3, της οδηγίας 95/46/ΕΚ έναντι της ευρισκόμενης στο έδαφός της εγκαταστάσεως, ακόμη και αν η συγκεκριμένη εγκατάσταση είναι επιφορτισμένη μόνο με την προώθηση της πωλήσεως διαφημίσεων και άλλες δραστηριότητες μάρκετινγκ με αποδέκτες τους κατοίκους του συγκεκριμένου κράτους μέλους, ενώ η ευρισκόμενη σε άλλο κράτος μέλος (εν προκειμένω στην Ιρλανδία) αυτοτελής εγκατάσταση (θυγατρική επιχείρηση) είναι, βάσει της ενδοομιλικής κατανομής καθηκόντων, αποκλειστικά υπεύθυνη για τη συλλογή και την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε ολόκληρο το έδαφος της Ευρωπαϊκής Ένωσης, και συνεπώς και στο άλλο κράτος μέλος (εν προκειμένω τη Γερμανία), όταν οι αποφάσεις σχετικά με την επεξεργασία δεδομένων λαμβάνονται εν τοις πράγμασι από τη μητρική επιχείρηση;

Έχουν τα άρθρα 4, παράγραφος 1, στοιχείο α΄ και 28, παράγραφος 3, της οδηγίας 95/46/ΕΚ την έννοια ότι, στην περίπτωση κατά την οποία ο υπεύθυνος της επεξεργασίας διαθέτει εγκατάσταση στο έδαφος ορισμένου κράτους μέλους (εν προκειμένω της Ιρλανδίας) και άλλη μία, νομικά αυτοτελή, εγκατάσταση στο έδαφος άλλου κράτους μέλους (εν προκειμένω της Γερμανίας), η οποία είναι, μεταξύ άλλων, επιφορτισμένη με την πώληση διαφημιστικών χώρων και της οποίας η δραστηριότητα κατευθύνεται στους κατοίκους του συγκεκριμένου κράτους μέλους, η αρμόδια σε αυτό το άλλο κράτος μέλος (εν προκειμένω στη Γερμανία) αρχή ελέγχου δύναται να λαμβάνει μέτρα και να εκδίδει διαταγές προς διασφάλιση της εφαρμογής της νομοθεσίας περί προστασίας δεδομένων ακόμη και έναντι της άλλης εγκαταστάσεως (εν προκειμένω της γερμανικής), η οποία δεν είναι υπεύθυνη για την επεξεργασία δεδομένων με βάση την ενδοομιλική κατανομή καθηκόντων και αρμοδιοτήτων, ή μήπως τα εν λόγω μέτρα και διαταγές μπορούν να επιβάλλονται μόνο από την αρχή ελέγχου του κράτους μέλους (εν προκειμένω της Ιρλανδίας) στο έδαφος του οποίου εδρεύει ο κατά τους εσωτερικούς κανονισμούς του ομίλου υπεύθυνος φορέας;

Έχουν τα άρθρα 4, παράγραφος 1, στοιχείο α΄ και 28, παράγραφοι 3 και 6, της οδηγίας 95/46/ΕΚ την έννοια ότι, στην περίπτωση κατά την οποία η αρχή ελέγχου ορισμένου κράτους μέλους (εν προκειμένω της Γερμανίας) λαμβάνει μέτρα κατά το άρθρο 28, παράγραφος 3, της οδηγίας 95/46/ΕΚ έναντι εγκατεστημένου στο έδαφός της προσώπου ή φορέα για τον λόγο ότι αυτός δεν επέδειξε επιμέλεια κατά την επιλογή του εμπλεκόμενου στη διαδικασία επεξεργασίας δεδομένων τρίτου (εν προκειμένου της Facebook), ο οποίος φέρεται να παραβίασε τη νομοθεσία περί προστασίας δεδομένων, η επιληφθείσα αρχή ελέγχου (εν προκειμένω η γερμανική) δεσμεύεται, και μάλιστα δεν επιτρέπεται να αποκλίνει από τη σχετική με την προστασία των δεδομένων νομική εκτίμηση της αρχής ελέγχου του άλλου κράτους μέλους, στο οποίο είναι εγκατεστημένος ο υπεύθυνος επεξεργασίας των δεδομένων τρίτος (εν προκειμένω στην Ιρλανδία), ή μήπως η επιληφθείσα αρχή ελέγχου (εν προκειμένω η γερμανική) επιτρέπεται να ελέγξει αυτοτελώς τη νομιμότητα της επεξεργασίας δεδομένων από τον εγκατεστημένο σε άλλο κράτος μέλος τρίτο (εν προκειμένω στην Ιρλανδία) ως προκαταρκτικό ζήτημα της δικής της παρεμβάσεως;

Σε περίπτωση που η επιληφθείσα αρχή ελέγχου (εν προκειμένω η γερμανική) δύναται να προβεί σε αυτοτελή έλεγχο: Έχει το άρθρο 28, παράγραφος 6, δεύτερο εδάφιο, της οδηγίας 95/46/ΕΚ την έννοια ότι η εν λόγω αρχή ελέγχου δύναται να ασκήσει τις αποτελεσματικές εξουσίες παρεμβάσεως που διαθέτει δυνάμει του άρθρου 28, παράγραφος 3, της οδηγίας 95/46/ΕΚ έναντι εγκατεστημένου στο έδαφός της προσώπου ή φορέα για τον λόγο ότι αυτός φέρει επίσης ευθύνη για τις παραβάσεις της νομοθεσίας περί προστασίας δεδομένων τις οποίες διέπραξε ο εγκατεστημένος σε άλλο κράτος μέλος τρίτος, μόνον αν προηγουμένως η ως άνω αρχή καλέσει την αρχή ελέγχου του άλλου κράτους μέλους (εν προκειμένω της Ιρλανδίας) να ασκήσει τις εξουσίες της;

____________

¹ Οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 24ης Οκτωβρίου 1995 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 281, σ. 31).