Lieta C‑210/16

Unabhängiges Landeszentrum für Datenschutz Schleswig‑Holstein

pret

Wirtschaftsakademie Schleswig‑Holstein GmbH

(Bundesverwaltungsgericht lūgums sniegt prejudiciālu nolēmumu)

Lūgums sniegt prejudiciālu nolēmumu – Direktīva 95/46/EK – Personas dati – Fizisko personu aizsardzība attiecībā uz šo datu apstrādi – Rīkojums deaktivizēt Facebook lapu (fanu lapu), ar kuras palīdzību iespējams ievākt un apstrādāt noteiktus ar šīs lapas apmeklētājiem saistītus datus – 2. panta d) punkts – Personas datu pārzinis – 4. pants – Piemērojamās valsts tiesības – 28. pants – Valsts uzraudzības iestādes – Šo iestāžu iejaukšanās pilnvaras

Kopsavilkums – Tiesas (virspalāta) 2018. gada 5. jūnija spriedums

1.        Tiesību aktu tuvināšana – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Direktīva 95/46 – Pārzinis – Jēdziens – Sociālajā tīklā mitinātas fanu lapas uzturētājs – Iekļaušana

(Eiropas Parlamenta un Padomes Direktīvas 95/46 2. panta d) punkts)

2.        Tiesību aktu tuvināšana – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Direktīva 95/46 – Valsts uzraudzības iestādes – Pilnvaras – Izmeklēšanas, iejaukšanās un procesuālo darbību uzsākšanas pilnvaras – Dalībvalsts uzraudzības iestādes tiesīgums šīs pilnvaras izmantot attiecībā uz šīs dalībvalsts teritorijā esošu uzņēmumu – Uzņēmuma piederība koncernam, kas atbildību par personas datu vākšanu un apstrādi ir uzticējis kādā citā dalībvalstī esošam dibinājumam – Ietekmes neesamība

(Eiropas Parlamenta un Padomes Direktīvas 95/46 4. un 28. pants)

3.        Tiesību aktu tuvināšana – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Direktīva 95/46 – Valsts uzraudzības iestādes – Pilnvaras – Iejaukšanās pilnvaras – Izmantošana attiecībā uz kādā citā dalībvalstī esošu trešo personu, kas ir atbildīga par personas datu apstrādi – Kompetence izvērtēt apstrādes likumību un iejaukties, nelūdzot palīdzību otras dalībvalsts uzraudzības iestādei

(Eiropas Parlamenta un Padomes Direktīvas 95/46 4. panta 1. punkta a) apakšpunkts un 28. panta 3. un 6. punkts)

1.      Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti 2. panta d) punkts ir jāinterpretē tādējādi, ka jēdziens “personas datu apstrādātājs [pārzinis]” šīs tiesību normas izpratnē ietver sociālajā tīklā mitinātas fanu lapas uzturētāju.

Lai arī tāda sociālā tīkla kā Facebook izmantošana pati par sevi vēl nepadara Facebook lietotāju par līdzatbildīgu par personas datu apstrādi, ko veic šis tīkls, tomēr jānorāda, ka Facebook mitinātas fanu lapas uzturētājs, izveidojot šādu lapu, sniedz Facebook iespēju ievietot sīkdatnes tā fanu lapu apmeklējušo personu datoros vai citās ierīcēs neatkarīgi no tā, vai attiecīgajai personai ir Facebook konts. Šādos apstākļos ir jākonstatē, ka tāds Facebook vietnē mitinātas fanu lapas uzturētājs kā Wirtschaftsakademie, iestatot parametrus atbilstoši tostarp savai mērķauditorijai, kā arī savas darbības vadības vai reklāmas mērķiem, piedalās savas fanu lapas personas datu apstrādes nolūku un līdzekļu noteikšanā. Tāpēc šis uzturētājs šajā gadījumā ir jākvalificē kā Savienībā kopīgi ar Facebook Ireland par šādu apstrādi atbildīgais pārzinis Direktīvas 95/46 2. panta d) punkta izpratnē. Proti, tas, ka fanu lapas uzturētājs izmanto Facebook izveidotu platformu, lai gūtu labumu no pakalpojumiem, kas ar to saistīti, viņu nevar atbrīvot no pienākumiem personas datu aizsardzības jomā. Šajos apstākļos sociālā tīkla pārvaldnieka un šajā tīklā mitinātās fanu lapas uzturētāja kopīgās atbildības atzīšana saistībā ar šīs lapas apmeklētāju personas datu apstrādi palīdz nodrošināt, ka atbilstoši Direktīvas 95/46 prasībām tiek pilnīgāk aizsargātas fanu lapu apmeklējošo personu tiesības.

(skat. 35., 39., 40., 42. un 44. punktu, kā arī un rezolutīvās daļas 1) punktu)

2.      Direktīvas 95/46 4. un 28. pants ir jāinterpretē tādējādi, ka gadījumā, ja ārpus Eiropas Savienības iedibinātam uzņēmumam ir vairāki dažādās dalībvalstīs esoši dibinājumi, pilnvaras, kas kādas dalībvalsts uzraudzības iestādei ir piešķirtas šīs direktīvas 28. panta 3. punktā, šī iestāde ir tiesīga izmantot attiecībā uz šīs dalībvalsts teritorijā esošu šā uzņēmuma dibinājumu pat tad, ja atbilstoši koncerna ietvaros esošajam uzdevumu sadalījumam, pirmkārt, šā dibinājuma pārziņā ir tikai reklāmas laukumu pārdošana un citas mārketinga darbības minētās dalībvalsts teritorijā un, otrkārt, ekskluzīvā atbildība par personas datu vākšanu un apstrādi visā Eiropas Savienības teritorijā ir dibinājumam, kas atrodas kādā citā dalībvalstī.

(skat. 64. punktu un rezolutīvās daļas 2) punktu)

3.      Direktīvas 95/46 4. panta 1. punkta a) apakšpunkts un 28. panta 3. un 6. punkts ir jāinterpretē tādējādi, ka, ja dalībvalsts uzraudzības iestāde grasās attiecībā uz šīs dalībvalsts teritorijā iedibinātu struktūru izmantot iejaukšanās pilnvaras, kas paredzētas šīs direktīvas 28. panta 3. punktā, tāpēc, ka personas datu aizsardzības noteikumu pārkāpumu izdara kāda trešā persona, kura atbildīga par šo datu apstrādi un kuras sēdeklis ir kādā citā dalībvalstī, šīs uzraudzības iestādes kompetencē ir neatkarīgi no šīs otras dalībvalsts uzraudzības iestādes izvērtēt šādas apstrādes likumību un tā var īstenot savas iejaukšanās pilnvaras attiecībā uz tās teritorijā iedibināto struktūru, iepriekš neaicinot otrās dalībvalsts uzraudzības iestādes iejaukties.

(skat. 74. punktu un rezolutīvās daļas 3) punktu)