Zadeva C-210/16

Unabhängiges Landeszentrum mestne dežele Schleswig-Holstein

proti

Wirtschaftsakademie Schleswig-Holstein GmbH

(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Bundesverwaltungsgericht)

„Predhodno odločanje – Direktiva 95/46/ES – Osebni podatki – Varstvo posameznikov pri obdelavi teh podatkov – Odredba o izklopu strani Facebooka (stran oboževalcev), ki omogoča zbiranje in obdelavo nekaterih podatkov, povezanih z obiskovalci te strani – Člen 2(d) – Upravljavec osebnih podatkov – Člen 4 – Nacionalno pravo, ki se uporabi – Člen 28 – Nacionalni nadzorni organi – Pooblastila teh organov za posredovanje“

Povzetek – Sodba Sodišča (veliki senat) z dne 5. junija 2018

1.        Približevanje zakonodaj – Varstvo posameznikov pri obdelavi osebnih podatkov – Direktiva 95/46 – Odgovoren za obdelavo – Pojem – Skrbnik strani oboževalcev, ki gostuje na družabnem omrežju – Vključitev

(Direktiva Evropskega parlamenta in Sveta 95/46, člen 2(d))

2.        Približevanje zakonodaj – Varstvo posameznikov pri obdelavi osebnih podatkov – Direktiva 95/46 – Nacionalni nadzorni organi – Pooblastila – Pooblastila za preiskavo, posredovanje in biti stranka v postopku – Pooblastilo nadzornega organa države članice za izvajanje teh pooblastil za podjetje s sedežem na ozemlju te države članice – Pripadnost podjetja skupini, ki je prevzela odgovornost za zbiranje in obdelavo osebnih podatkov v poslovni enoti v drugi državi članici – Nevplivanje

(Direktiva Evropskega parlamenta in Sveta 95/46, člena 4 in 28.)

3.        Približevanje zakonodaj – Varstvo posameznikov pri obdelavi osebnih podatkov – Direktiva 95/46 – Nacionalni nadzorni organi – Pooblastila – Pooblastila za posredovanje – Izvajanje s strani tretje osebe, ki je odgovorna za obdelavo osebnih podatkov, ki se nahaja v drugi državi članici – Pristojnost za presojo zakonitosti obdelave in ukrepanje brez pomoči nadzornega organa druge države članice

(Direktiva Evropskega parlamenta in Sveta 95/46, člena 4(1)(a) in 28(3) in (6))

1.      Člen 2(d) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da pojem „upravljavec“ v smislu te določbe zajema skrbnika strani oboževalcev, ki gostuje na družabnem omrežju. Člena

Čeprav zgolj zaradi uporabe družabnega omrežja, kot je Facebook, uporabnik Facebooka ne postane soodgovoren za obdelavo osebnih podatkov, ki jo opravi to omrežje, pa je treba poudariti, da skrbnik strani oboževalcev, ki gostuje na Facebooku, s tem, da ustvari tako stran, Facebooku omogoči, da namesti piškotke na računalnik ali katero koli drugo napravo osebe, ki je obiskala njegovo stran oboževalcev, ne glede na to, ali ima ta oseba račun na Facebooku. V teh okoliščinah je treba ugotoviti, da skrbnik strani oboževalcev, ki gostuje na Facebooku, kot je družba Wirtschaftsakademie, z izbiro nastavitev med drugim glede na svojo ciljno javnost in cilje upravljanja oziroma pospeševanja svojih dejavnosti sodeluje pri določanju namena in sredstev obdelave osebnih podatkov obiskovalcev njegove strani oboževalcev. Za tega skrbnika je treba zato v obravnavanem primeru šteti, da je v Uniji solidarno z družbo Facebook Ireland odgovoren za to obdelavo v smislu člena 2(d) Direktive 95/46. Skrbnik strani oboževalcev namreč zaradi tega, ker uporablja platformo, ki je vzpostavljena s Facebookom, zaradi koriščenja z njo povezanih storitev, ne more biti oproščen spoštovanja svojih obveznosti glede varstva osebnih podatkov. V teh okoliščinah solidarna odgovornost upravljavca družabnega omrežja in skrbnika strani oboževalcev, ki gostuje na tem omrežju, v zvezi z obdelavo osebnih podatkov obiskovalcev te strani oboževalcev prispeva k zagotavljanju popolnejšega varstva pravic, ki jih imajo osebe, ki obiščejo stran obiskovalcev, v skladu z zahtevami Direktive 95/46.

(Glej točke 35, 39, 40, 42, 44 in točko 1 izreka.)

2.      Člena 4 in 28 Direktive 95/46 je treba razlagati tako, da lahko nadzorni organ države članice, kadar ima podjetje s sedežem zunaj Evropske unije več poslovnih enot v različnih državah članicah, pooblastila, ki so mu podeljena s členom 28(3) te direktive, izvaja v zvezi s poslovno enoto tega podjetja, ki je na ozemlju te države članice, čeprav je na podlagi delitve nalog v skupini na eni strani ta poslovna enota zadolžena samo za prodajo oglasnega prostora in druge ukrepe trženja na ozemlju navedene države članice, na drugi strani pa je za zbiranje in obdelavo osebnih podatkov za celotno ozemlje Evropske unije izključno odgovorna poslovna enota, ki je v drugi državi članici.

(Glej točko 64 in točko 2 izreka.)

3.      Člen 4(1)(a) ter člen 28(3) in (6) Direktive 95/46 je treba razlagati tako, da je nadzorni organ države članice, kadar namerava v zvezi z organom s sedežem na ozemlju te države članice izvajati pooblastila za posredovanje iz člena 28(3) te direktive zaradi kršitev pravil v zvezi z varstvom osebnih podatkov, ki jih je storila tretja oseba, ki je odgovorna za obdelavo teh podatkov in ki ima sedež v drugi državi članici, pristojen za to, da neodvisno od nadzornega organa drugonavedene države članice opravi presojo zakonitosti take obdelave podatkov, in lahko svoja pooblastila za posredovanje izvaja v zvezi z organom s sedežem na njegovem ozemlju, ne da bi nadzorni organ druge države članice predhodno pozval, naj posreduje.

(Glej točko 74 in točko 3 izreka.)