Věc C‑210/16
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
proti
Wirtschaftsakademie Schleswig-Holstein GmbH
[žádost o rozhodnutí o předběžné otázce podaná Bundesverwaltungsgericht (Spolkový správní soud, Německo)]
„Řízení o předběžné otázce – Směrnice 95/46/ES – Osobní údaje – Ochrana fyzických osob v souvislosti se zpracováním těchto údajů – Příkaz deaktivovat stránku Facebook (fanouškovskou stránku), která umožňuje shromažďování a zpracovávání určitých údajů týkajících se návštěvníků této stránky – Článek 2 písm. d) – Správce osobních údajů – Článek 4 – Použitelné vnitrostátní právo – Článek 28 – Vnitrostátní orgány dozoru – Pravomoci těchto orgánů zasáhnout“
Shrnutí – rozsudek Soudního dvora (velkého senátu) ze dne 5. června 2018
1. Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Správce – Pojem – Správce fanouškovské stránky umístěné na sociální síti – Zahrnutí
[Nařízení Evropského parlamentu a Rady č. 95/46, čl. 2 písm. d)]
2. Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Vnitrostátní orgány dozoru – Pravomoci – Pravomoci provádět šetření, zasáhnout a obrátit se na soud – Oprávnění orgánu dozoru členského státu vykonávat tyto pravomoci vůči podniku nacházejícímu se na území tohoto členského státu – Příslušnost podniku ke skupině, která svěřila odpovědnost za shromažďování a zpracování osobních údajů provozovně v jiném členském státu – Neexistence vlivu
(Směrnice Evropského parlamentu a Rady 95/46, články 4 a 28)
3. Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Vnitrostátní orgány dozoru – Pravomoci – Pravomoci zasáhnout – Výkon vůči třetí osobě-správci osobních údajů nacházející se v jiném členském státu – Pravomoc posoudit legalitu zpracování a zasáhnout, aniž by bylo využito pomoci orgánu dozoru jiného členského státu
[Směrnice Evropského parlamentu a Rady 95/46, čl. 4 odst. 1 písm. a) a čl. 28 odst. 3 a 6]
1. Článek 2 písm. d) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že pojem „správce“ podle tohoto ustanovení zahrnuje správce fanouškovské stránky umístěné na sociální síti.
V této souvislosti je třeba uvést, že i když pouhé použití takové sociální sítě jako je Facebook nezakládá spoluodpovědnost uživatele Facebooku za zpracování osobních údajů touto sítí, nicméně správce fanouškovské stránky umístěné na Facebooku vytvořením takové stránky umožňuje Facebooku, aby umisťoval soubory cookies na počítači nebo jakémkoli jiném zařízení osoby, která jeho fanouškovskou stránku navštívila, bez ohledu na to, zda tato osoba má či nemá zřízen účet u Facebooku. Za těchto okolností je třeba mít za to, že takový správce fanouškovské stránky umístěné na Facebooku, jako je Wirtschaftsakademie, se svým úkonem nastavení parametrů, mimo jiné podle své cílové skupiny a cílů řízení a propagace svých činností, podílí na určení účelu a prostředků zpracování osobních údajů návštěvníků své fanouškovské stránky. Z tohoto důvodu je třeba mít v případě tohoto správce v projednávané věci za to, že je společně se společností Facebook Ireland správcem ve smyslu čl. 2 písm. d) směrnice 95/46. Skutečnost, že správce fanouškovské stránky používá platformu poskytovanou Facebookem, aby využíval souvisejících služeb, jej totiž nezprošťuje odpovědnosti za dodržování svých povinností v oblasti ochrany osobních údajů. Za těchto podmínek přispívá uznání společné odpovědnosti provozovatele sociální sítě a správce fanouškovské stránky, jež je umístěna na této síti, v souvislosti se zpracováním osobních údajů návštěvníků této fanouškovské stránky v souladu s požadavky směrnice 95/46 k zajištění úplnější ochrany práv, jež mají osoby, které navštíví fanouškovskou stránku.
(viz body 35, 39, 40, 42, 44, výrok 1)
2. Ustanovení článků 4 a 28 směrnice 95/46 musí být vykládána v tom smyslu, že pokud podnik usazený mimo Evropskou unii provozuje v různých členských státech více provozoven, je orgán dozoru členského státu oprávněn vykonat pravomoci, kterými je nadán na základě čl. 28 odst. 3 této směrnice, vůči provozovně tohoto podniku, která se nachází na území tohoto členského státu, přestože na základě rozdělení úkolů v rámci skupiny tato provozovna zajišťuje pouze prodej reklamního prostoru a jiné marketingové činnosti na území uvedeného členského státu a přestože výlučná odpovědnost za shromažďování a zpracování osobních údajů na celém území Evropské unie leží na provozovně, která se nachází v jiném členském státě.
(viz bod 64, výrok 2)
3. Ustanovení čl. 4 odst. 1 písm. a) a čl. 28 odst. 3 a 6 směrnice 95/46 musí být vykládána v tom smyslu, že pokud orgán dozoru členského státu hodlá vykonat vůči subjektu usazenému na území tohoto členského státu pravomoci zasáhnout na základě čl. 28 odst. 3 této směrnice z důvodu porušení pravidel o ochraně osobních údajů, kterého se dopustila třetí osoba, která je správcem těchto údajů a má sídlo v jiném členském státě, má tento orgán dozoru pravomoc posoudit nezávisle na orgánu dozoru tohoto posledně uvedeného členského státu legalitu takového zpracování údajů a může vykonat své pravomoci k zásahu vůči subjektu usazenému na vlastním území, aniž k učinění zásahu předem vyzval orgán dozoru jiného členského státu.
(viz bod 74, výrok 3)