Unionin tuomioistuimen tuomio (suuri jaosto) 5.6.2018 (ennakkoratkaisupyyntö, jonka on esittänyt Bundesverwaltungsgericht – Saksa) – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v. Wirtschaftsakademie Schleswig-Holstein GmbH
(asia C-210/16)1
(Ennakkoratkaisupyyntö – Direktiivi 95/46/EY – Henkilötiedot – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Määräys, joka koskee sellaisen Facebook-sivun (fan page) poistamista käytöstä, joka mahdollistaa kyseisellä sivulla kävijöihin liittyvien tiettyjen tietojen keräämisen ja käsittelyn – 2 artiklan d alakohta – Henkilötietojen käsittelystä vastuussa oleva taho – 4 artikla – Sovellettava kansallinen oikeus – 28 artikla – Kansalliset valvontaviranomaiset – Mainittujen viranomaisten toimintavaltuudet)
Oikeudenkäyntikieli: saksa
Ennakkoratkaisua pyytänyt tuomioistuin
Bundesverwaltungsgericht
Pääasian asianosaiset
Valittaja: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Vastapuoli: Wirtschaftsakademie Schleswig-Holstein GmbH
Muut osapuolet: Facebook Ireland Ltd ja Vertreter des Bundesinteresses beim Bundesverwaltungsgericht
Tuomiolauselma
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 2 artiklan d alakohtaa on tulkittava siten, että mainitussa säännöksessä tarkoitettu käsite ”rekisterinpitäjä” käsittää verkkoyhteisössä olevan fanisivun hallinnoijan.
Direktiivin 95/46 4 ja 28 artiklaa on tulkittava siten, että silloin kun Euroopan unionin ulkopuolelle sijoittautuneella yrityksellä on useita toimipaikkoja eri jäsenvaltioissa, jäsenvaltion valvontaviranomainen on toimivaltainen käyttämään sillä kyseisen direktiivin 28 artiklan 3 kohdan mukaan olevia toimivaltuuksia mainitun yrityksen kyseisen jäsenvaltion alueella sijaitsevan toimipaikan osalta, vaikka konsernin sisäisen tehtävänjaon mukaan yhtäältä kyseinen toimipaikka vastaa vain mainospaikkojen myynnistä ja muusta markkinoinnista kyseisen jäsenvaltion alueella ja toisaalta yksinomainen vastuu henkilötietojen keräämisestä ja käsittelystä koko Euroopan unionin alueella on jonkin toisen jäsenvaltion alueella sijaitsevalla toimipaikalla.
Direktiivin 95/46 4 artiklan 1 kohdan a alakohtaa ja 28 artiklan 3 ja 6 kohtaa on tulkittava siten, että silloin, kun jäsenvaltion valvontaviranomainen aikoo käyttää kyseisen jäsenvaltion alueelle sijoittautuneen elimen suhteen kyseisen direktiivin 28 artiklan 3 kohdassa tarkoitettuja toimintavaltuuksia sen vuoksi, että henkilötietojen käsittelystä vastuussa oleva sivullinen, jonka kotipaikka on jossakin toisessa jäsenvaltiossa, on rikkonut henkilötietojen suojaa koskevia sääntöjä, kyseinen valvontaviranomainen on toimivaltainen arvioimaan viimeksi mainitun jäsenvaltion valvontaviranomaiseen nähden itsenäisesti mainittujen tietojen käsittelyn lainmukaisuutta ja voi käyttää toimintavaltuuksiaan alueelleen sijoittautuneen elimen suhteen pyytämättä ensin kyseisen toisen jäsenvaltion valvontaviranomaista toimimaan.
____________
1 EUVL C 260, 18.7.2016.