Vec C‑210/16

Unabhängiges Landeszentrum für Datenschutz Schleswig‑Holstein

proti

Wirtschaftsakademie Schleswig‑Holstein GmbH

(návrh na začatie prejudiciálneho konania, ktorý podal Bundesverwaltungsgericht)

„Návrh na začatie prejudiciálneho konania – Smernica 95/46/ES – Osobné údaje – Ochrana fyzických osôb pri spracovaní týchto údajov – Príkaz na deaktivovanie stránky Facebook (fanúšikovská stránka), ktorá umožňuje zbieranie a spracovanie určitých údajov týkajúcich sa návštevníkov tejto stránky – Článok 2 písm. d) – Prevádzkovateľ spracovania osobných údajov – Článok 4 – Uplatniteľné vnútroštátne právo – Článok 28 – Vnútroštátne dozorné orgány – Intervenčné právomoci týchto orgánov“

1.        Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Prevádzkovateľ spracovania – Pojem – Správca fanúšikovskej stránky umiestnenej na sociálnej sieti – Zahrnutie

[Smernica Európskeho parlamentu a Rady č. 95/46, článok 2 písm. d)]

2.        Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Vnútroštátne dozorné orgány – Právomoci – Vyšetrovacie, a intervenčné právomoci a právomoc zaoberať sa právnymi postupmi – Oprávnenie dozorného orgánu členského štátu vykonávať tieto právomoci voči podniku so sídlom na území tohto členského štátu – Príslušnosť podniku ku skupine, ktorá zverila zodpovednosť za zbieranie a spracovanie osobných údajov podniku v inom členskom štáte – Neexistencia vplyvu

(Smernica Európskeho parlamentu a Rady 95/46, článok 4 a 28)

3.        Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Vnútroštátne dozorné orgány – Právomoci – Intervenčné právomoci – Výkon voči tretej osobe, prevádzkovateľovi spracovania osobných údajov, ktorá sa nachádza v inom členskom štáte – Právomoc posúdiť zákonnosť spracovania a právomoc zasiahnuť bez využitia pomoci dozorného orgánu iného členského štátu

(Smernica Európskeho parlamentu a Rady 95/46, článok 4 ods. 1 písm. a) a článok 28 ods. 3 a 6)

1.      Článok 2 písm. d) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov sa má vykladať v tom zmysle, že pojem [„prevádzkovateľ“] v zmysle tohto ustanovenia zahŕňa správcu fanúšikovskej stránky umiestnenej na sociálnej sieti.

Aj keď samotné používanie sociálnej siete, ako je Facebook, nezakladá spoluzodpovednosť užívateľa Facebooku za spracovanie osobných údajov touto sieťou, treba naopak uviesť, že správca fanúšikovskej stránky umiestnenej na Facebooku vytvorením takej stránky umožňuje spoločnosti Facebook, aby umiestňoval súbory cookies na počítači alebo akomkoľvek inom zariadení osoby, ktorá jeho fanúšikovskú stránku navštívila, bez ohľadu na to, či táto osoba má alebo nemá účet na Facebooku. Za týchto okolností je potrebné domnievať sa, že správca fanúšikovskej stránky umiestnenej na Facebooku, ako je Wirtschaftsakademie, sa svojím nastavením parametrov, okrem iného podľa svojej cieľovej skupiny, ako aj cieľov riadenia alebo podpory svojich činností, podieľa na určení účelov a prostriedkov spracovania osobných údajov návštevníkov svojej fanúšikovskej stránky. Z tohto dôvodu musí byť v prejednávanej veci tento správca v zmysle článku 2 písm. d) smernice 95/46 považovaný v Únii za prevádzkovateľa spolu so spoločnosťou Facebook Ireland. Skutočnosť, že správca fanúšikovskej stránky využíva platformu, ktorú ponúka spoločnosť Facebook, aby mal prospech zo služieb, ktoré sú s ňou spojené, ho totiž nezbavuje jeho povinností v oblasti ochrany osobných údajov. Za týchto podmienok prispieva uznanie spoločnej zodpovednosti prevádzkovateľa sociálnej siete a správcu fanúšikovskej stránky umiestnenej na tejto sieti v súvislosti so spracovaním osobných údajov návštevníkov tejto fanúšikovskej stránky v súlade s požiadavkami smernice 95/46 k zaručeniu lepšej ochrany práv osôb, ktoré navštevujú fanúšikovskú stránku.

(pozri body 35, 39, 40, 42, 44, bod 1 výroku)

2.      Články 4 a 28 smernice 95/46 sa majú vykladať v tom zmysle, že pokiaľ má podnik so sídlom mimo Európskej únie niekoľko prevádzkarní v rôznych členských štátoch, dozorný orgán členského štátu je oprávnený vykonávať právomoci, ktoré mu zveruje článok 28 ods. 3 tejto smernice, voči prevádzkarni tohto podniku nachádzajúcej sa na území tohto členského štátu, hoci na jednej strane na základe rozdelenia úloh v rámci skupiny je táto prevádzkareň zodpovedná len za predaj reklamných priestorov a iné marketingové činnosti na území uvedeného členského štátu a na druhej strane výlučnú zodpovednosť za zber a spracovanie osobných údajov na celom území Únie má prevádzkareň, ktorá sa nachádza v inom členskom štáte.

(pozri bod 64, bod 2 výroku)

3.      Článok 4 ods. 1 písm. a) a článok 28 ods. 3 a 6 smernice 95/46 sa majú vykladať v tom zmysle, že keď má dozorný orgán jedného členského štátu v úmysle vykonať voči subjektu usadenému na území tohto členského štátu intervenčné právomoci uvedené v článku 28 ods. 3 tejto smernice z dôvodu porušení pravidiel týkajúcich sa ochrany osobných údajov, ktorých sa dopustila tretia osoba zodpovedná za spracovanie týchto údajov, ktorá má svoje sídlo v inom členskom štáte, je tento dozorný orgán oprávnený nezávisle od dozorného orgánu tohto posledného uvedeného členského štátu posúdiť zákonnosť takéhoto spracovania údajov a môže vykonávať svoje intervenčné právomoci voči subjektu usadenému na svojom území bez toho, aby predtým požiadal dozorný orgán iného členského štátu, aby zasiahol.

(pozri bod 74, bod 3 výroku)