Processo C‑210/16
Unabhängiges Landeszentrum für Datenschutz Schleswig‑Holstein
contra
Wirtschaftsakademie Schleswig‑Holstein GmbH
(pedido de decisão prejudicial apresentado pelo Bundesverwaltungsgericht)
«Reenvio prejudicial — Diretiva 95/46/CE — Dados pessoais — Proteção das pessoas singulares relativamente ao tratamento destes dados — Injunção para desativar uma página Facebook (página de fãs) que permite recolher e tratar certos dados que dizem respeito aos visitantes desta página — Artigo 2.o, alínea d) — Responsável pelo tratamento de dados pessoais — Artigo 4.o — Direito nacional aplicável — Artigo 28.o — Autoridades nacionais de controlo — Poderes de intervenção dessas autoridades»
Sumário — Acórdão do Tribunal de Justiça (Grande Secção) de 5 de junho de 2018
1. Aproximação das legislações — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Diretiva 95/46 — Responsável pelo tratamento — Conceito — Administrador de uma página de fãs alojada numa rede social — Inclusão
[Diretiva 95/46 do Parlamento Europeu e do Conselho, artigo 2.°, alínea d)]
2. Aproximação das legislações — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Diretiva 95/46 — Autoridades nacionais de controlo — Poderes — Poderes de investigação, de intervenção e de agir em juízo — Habilitação da autoridade de controlo de um Estado‑Membro para exercer esses poderes face a uma empresa situada no território desse Estado‑Membro — Pertença da empresa a um grupo que confiou a responsabilidade da recolha e do tratamento dos dados pessoais a um estabelecimento noutro Estado‑Membro — Falta de incidência
(Diretiva 95/46 do Parlamento Europeu e do Conselho, artigos 4.° e 28.°)
3. Aproximação das legislações — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Diretiva 95/46 — Autoridades nacionais de controlo — Poderes — Poderes de intervenção — Exercício face a um terceiro responsável pelo tratamento dos dados pessoais situado noutro Estado‑Membro — Competência para apreciar a legalidade do tratamento e para intervir sem recorrer à assistência da autoridade de controlo do outro Estado‑Membro
[Diretiva 95/46 do Parlamento Europeu e do Conselho, artigos 4.°, n.° 1, alínea a), e 28.°, n.os 3 e 6]
1. O artigo 2.o, alínea d), da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, deve ser interpretado no sentido de que o conceito de «responsável pelo tratamento», na aceção desta disposição, engloba o administrador de uma página de fãs alojada numa rede social.
Ora, se o simples facto de utilizar uma rede social como o Facebook não torna um utilizador do Facebook co‑responsável por um tratamento de dados pessoais efetuado por esta rede, importa, em contrapartida, sublinhar que o administrador de uma página de fãs alojada no Facebook, com a criação de tal página, oferece à Facebook a possibilidade de colocar cookies no computador ou em qualquer outro aparelho da pessoa que tenha visitado a sua página de fãs, independentemente de esta pessoa ter ou não conta no Facebook. Nestas circunstâncias, há que considerar que o administrador de uma página de fãs alojada no Facebook, como a Wirtschaftsakademie, participa, através da sua ação de parametrização, em função, designadamente, da sua audiência alvo, bem como de objetivos de gestão ou de promoção das suas atividades, na determinação das finalidades e dos meios do tratamento dos dados pessoais dos visitantes da sua página de fãs. Logo, este administrador deve, no caso em apreço, ser qualificado de responsável na União, conjuntamente com a Facebook Ireland, por esse tratamento, na aceção do artigo 2.o, alínea d), da Diretiva 95/46. Com efeito, o facto de um administrador de uma página de fãs utilizar a plataforma disponibilizada pela Facebook para beneficiar dos respetivos serviços não o exonera das suas obrigações em matéria de proteção dos dados pessoais. Nestas condições, o reconhecimento de uma responsabilidade conjunta do operador da rede social e do administrador de uma página de fãs alojada nessa rede em relação ao tratamento dos dados pessoais dos visitantes dessa página de fãs contribui para assegurar uma proteção mais completa dos direitos de que dispõem as pessoas que visitam uma página de fãs, em conformidade com as exigências da Diretiva 95/46.
(cf. n.os 35, 39, 40, 42, 44, disp. 1)
2. Os artigos 4.o e 28.o da Diretiva 95/46 devem ser interpretados no sentido de que, quando uma empresa estabelecida fora da União Europeia dispõe de vários estabelecimentos em diferentes Estados‑Membros, a autoridade de controlo de um Estado‑Membro pode exercer os poderes que lhe são conferidos pelo artigo 28.o, n.o 3, desta diretiva, em relação a um estabelecimento desta empresa situado no território deste Estado‑Membro, ainda que, em resultado da distribuição interna das funções do grupo, por um lado, este estabelecimento só seja responsável pela venda de espaços publicitários e por outras atividades de marketing no território do referido Estado‑Membro e, por outro, a responsabilidade exclusiva pela recolha e pelo tratamento dos dados pessoais incumba, para todo o território da União, a um estabelecimento situado noutro Estado‑Membro.
(cf. n.° 64, disp. 2)
3. O artigo 4.o, n.o 1, alínea a), e o artigo 28.o, n.os 3 e 6, da Diretiva 95/46 devem ser interpretados no sentido de que, quando a autoridade de controlo de um Estado‑Membro pretende exercer, em relação a um organismo estabelecido no território deste Estado‑Membro, os poderes de intervenção referidos no artigo 28.o, n.o 3, desta diretiva devido a violações às regras relativas à proteção dos dados pessoais, cometidas por um terceiro responsável pelo tratamento desses dados e que tem sede noutro Estado‑Membro, esta autoridade de controlo é competente para apreciar, de maneira autónoma em relação à autoridade de controlo deste último Estado‑Membro, a legalidade de tal tratamento de dados e pode exercer os seus poderes de intervenção em relação ao organismo estabelecido no seu território sem ter de solicitar previamente a intervenção da autoridade de controlo do outro Estado‑Membro.
(cf. n.° 74, disp. 3)