Дело C‑210/16
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
срещу
Wirtschaftsakademie Schleswig-Holstein GmbH
(Преюдициално запитване, отправено от Bundesverwaltungsgericht)
„Преюдициално запитване — Директива 95/46/ЕО — Лични данни — Защита на физическите лица при обработването на тези данни — Разпореждане за деактивиране на страница във Фейсбук (фен страница), позволяваща събирането и обработването на някои данни, свързани с посетителите на същата — Член 2, буква г) — Администратор на лични данни — Член 4 — Приложимо национално право — Член 28 — Национални надзорни органи — Правомощия за намеса на тези органи“
Резюме — Решение на Съда (голям състав) от 5 юни 2018 г.
1. Сближаване на законодателствата — Защита на физическите лица при обработването на лични данни — Директива 95/46 — Администратор на данните — Понятие — Администратор на фен страница, хоствана в социална мрежа — Включване
(член 2, буква г) от Директива 95/46 на Европейския парламент и на Съвета)
2. Сближаване на законодателствата — Защита на физическите лица при обработването на лични данни — Директива 95/46 — Национални надзорни органи — Правомощия — Правомощия за разследване, намеса и водене на дела — Право на надзорния орган на държава членка да упражни тези правомощия по отношение на предприятие, разположено на територията на тази държава членка — Принадлежност на предприятието към група, поверила отговорността за събирането и обработването на лични данни на обект в друга държава членка — Липса на последици
(членове 4 и 28 от Директива 95/46 на Европейския парламент и на Съвета)
3. Сближаване на законодателствата — Защита на физическите лица при обработването на лични данни — Директива 95/46 — Национални надзорни органи — Правомощия — Правомощия за намеса — Упражняване по отношение на отговарящо за обработването на лични данни като администратор трето лице, разположено в друга държава членка — Компетентност за преценка на законосъобразността на обработването и за намеса без прибягване до съдействие от надзорния орган на другата държава членка
(член 4, параграф 1, буква а) и член 28, параграфи 3 и 6 от Директива 95/46 на Европейския парламент и на Съвета)
1. Член 2, буква г) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни трябва да се тълкува в смисъл, че понятието „администратор“ по смисъла на тази разпоредба включва администратора на хоствана от социална мрежа фен страница.
Макар самият факт, че използва социална мрежа като Фейсбук, да не прави потребителя на Фейсбук съвместно отговорен като администратор за обработването на лични данни, извършвано от тази мрежа, следва все пак да се отбележи, че администраторът на фен страница, хоствана от Фейсбук, чрез нейното създаване дава възможност на Фейсбук да поставя бисквитки на компютъра или друго устройство на лицето, посетило неговата фен страница, независимо дали това лице разполага или не с профил във Фейсбук. При тези обстоятелства следва да се приеме, че администраторът на фен страница, хоствана от Фейсбук, какъвто е Wirtschaftsakademie, чрез действията си по параметриране с оглед най-вече на неговата целева аудитория, както и на целите, които си поставя във връзка с управлението и рекламата на своята дейност, участва при определянето на целите и средствата за обработването на личните данни на посетителите на своята фен страница. Поради това в случая такъв администратор на страница следва да се квалифицира като администратор по смисъла на член 2, буква г) от Директива 95/46 в рамките на Съюза, отговарящ за тази обработка съвместно с Фейсбук Ireland. Действително фактът, че даден администратор на фен страница използва създадената от Фейсбук платформа, за да се ползва от свързаните с нея услуги, не би могъл да го освободи от задълженията му в областта на защитата на личните данни. При това положение установяването на съвместна отговорност на управляващия социалната мрежа субект и на администратора на хоствана от тази мрежа фен страница във връзка с обработването на личните данни на посетителите на тази страница способства, в съответствие с изискванията на Директива 95/46, за гарантиране на по-пълна защита на правата, с които разполагат лицата, които посещават фен страница.
(вж. т. 35, 39, 40, 42 и 44; т. 1 от диспозитива)
2. Членове 4 и 28 от Директива 95/46 трябва да се тълкуват в смисъл, че когато установено извън Европейския съюз предприятие има няколко обекта в различни държави членки, надзорният орган на държава членка има право да упражни правомощията си по член 28, параграф 3 от тази директива по отношение на разположен на територията на тази държава членка обект на това предприятие, въпреки че съгласно разпределението на дейностите в рамките на групата, от една страна, обектът отговаря единствено за продажбата на рекламни пространства и за други маркетингови дейности на територията на посочената държава членка, а от друга страна, изключителна отговорност за събирането и обработването на лични данни за цялата територия на Европейския съюз се носи от обект, разположен в друга държава членка.
(вж. т. 64; т. 2 от диспозитива)
3. Член 4, параграф 1, буква а) и член 28, параграфи 3 и 6 от Директива 95/46 трябва да се тълкуват в смисъл, че когато надзорният орган на държава членка възнамерява да упражни по отношение на организация, установена на територията на тази държава членка, правомощията за намеса по член 28, параграф 3 от тази директива заради нарушения на правилата относно защитата на лични данни, допуснати от отговарящото за обработването на тези данни като администратор трето лице със седалище в друга държава членка, този надзорен орган е компетентен да прецени самостоятелно от надзорния орган на последната държава членка законосъобразността на такова обработване на данни и може да упражни правомощията си за намеса по отношение на установената на негова територия организация, без предварително да поиска намесата на надзорния орган на другата държава членка.
(вж. т. 74; т. 3 от диспозитива)