Zahtjev za prethodnu odluku koji je 14. travnja 2016. uputio Bundesverwaltungsgericht (Njemačka) – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein protiv Wirtschaftsakademie Schleswig-Holstein GmbH
(predmet C-210/16)
Jezik postupka: njemački
Sud koji je uputio zahtjev
Bundesverwaltungsgericht
Stranke glavnog postupka
Tuženik, žalitelj i podnositelj revizije: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Tužitelj, druga stranka u žalbenom postupku i druga stranka u revizijskom postupku: Wirtschaftsakademie Schleswig-Holstein GmbH
Intervenijent: Facebook Ireland Limited
Uz sudjelovanje: Der Vertreter des Bundesinteresses beim Bundesverwaltungsgericht
Prethodna pitanja
1. Treba li članak 2. točku (d) Direktive 95/46/EZ1 tumačiti na način da on odgovornost za povredu zaštite podataka konačno i iscrpno uređuje ili u okviru „odgovarajućih mjera“ u skladu s člankom 24. Direktive 95/46/EZ i „učinkovitih ovlasti za posredovanje“ u skladu s člankom 28. stavkom 3. druge alineje Direktive 95/46/EZ u višestupanjskim odnosima između davatelja informacija ostaje mjesta za odgovornost tijela koje u smislu članka 2. točke (d) Direktive 95/46/EZ nije odgovorno za obradu podataka prilikom izbora operatora za njegovu ponudu informacija?
2. Slijedi li iz obveze država članica u skladu s člankom 17. stavkom 2. Direktive 95/46/EZ da prilikom obrade podataka moraju propisati da nadzornik „mora izabrati obrađivača koji daje dovoljna jamstva u vezi mjera tehničke sigurnosti kojima je uređena obrada koju je potrebno izvršiti“ a contrario da u slučaju drugih korisničkih odnosa koji nisu povezani s obradom podataka u smislu članka 2. točke (e) Direktive 95/46/EZ ne postoji obveza pomnog izbora i da ona ne može utemeljena na nacionalnom pravu?
3. Je li u slučajevima u kojima koncern majka sa sjedištem izvan Europske unije ima u različitim državama članicama pravno samostalne poslovne jedinice (društva kćeri) u skladu s člankom 4. i člankom 28. stavkom 6. Direktive 95/46/EZ nadzorno tijelo države članice (ovdje: Njemačke) ovlašteno za izvršavanje ovlasti prenesenih u skladu s člankom 28. stavkom 3. Direktive 95/46/EZ u odnosu na poslovnu jedinicu na vlastitom državnom području i onda kad je ta poslovna jedinica nadležna jedino za promicanje prodaje reklama i ostale marketinške mjere namijenjene stanovnicima te države članice, kad samostalna poslovna jedinica (društvo kći) koja se nalazi u drugoj državi članici (ovdje: Irskoj) prema podjeli zadaća unutar koncerna ima isključivu odgovornost za prikupljanje i obradu osobnih podataka na cjelokupnom području Europske unije pa tako i u drugoj državi članici (ovdje: Njemačkoj), ako odluku o obradi podatka stvarno donosi koncern majka?
4. Treba li članak 4. stavak 1. točku (a) i članak 28. stavak 3. Direktive 95/46/EZ tumačiti na način da u slučajevima u kojima osoba odgovorna za obradu podataka ima poslovnu jedinicu na državnom području jedne države članice (ovdje: Irske), a postoji druga pravno samostalna poslovna jedinica na državnom području druge države članice (ovdje: Njemačke), koja je nadležna za, među ostalim, prodaju reklamnih površina i čija je djelatnost usmjerena na stanovnike te države, nadzorno tijelo nadležno u toj drugoj državi članici (ovdje: Njemačkoj) može donositi mjere i naloge radi provedbe prava zaštite podataka i protiv druge poslovne jedinice (ovdje: u Njemačkoj) koja prema podjeli zadaća i odgovornosti unutar koncerna nije odgovorna za obradu podataka ili su mjere i nalozi u tom slučaju mogući samo od strane nadzornog tijela državne članice (ovdje: Irske) na čijem području ima sjedište tijelo odgovorno unutar koncerna?
5. Treba li članak 4. stavak 1. točku (a) i članak 28. stavke 3. i 6. Direktive 95/46/EZ tumačiti na način da je u slučajevima u kojima nadzorno tijelo države članice (ovdje: Njemačke) pokreće postupak protiv osobe ili tijela koje djeluje na njezinom državnom području u skladu s člankom 28. stavkom 3. Direktive 95/46/EZ zbog nepažljivog izbora treće osobe uključene u postupak obrade podataka (ovdje: Facebooka) jer ta treća osoba povređuje pravo zaštite podataka, nadzorno tijelo koje postupa (ovdje: Njemačka) vezano ocjenom zakonodavstva o zaštiti podataka nadzornog tijela druge države članice u kojoj treća osoba odgovorna za obradu podataka ima svoj poslovni nastan (ovdje: Irska), na način da ne smije usvojiti pravnu ocjenu koja od toga odstupa ili nadzorno tijelo koje postupa (ovdje: Njemačka) smije samostalno ispitivati zakonitost obrade podataka od strane treće osobe s poslovnim nastanom u drugoj državi članici (ovdje: Irskoj) kao prethodno pitanje za svoje vlastito postupanje?
6. Ako nadzorno tijelo koje postupa (ovdje: Njemačka) smije samostalno provesti preispitivanje: treba li članak 28. stavak 6. drugu rečenicu Direktive 95/46/EZ tumačiti na način da to nadzorno tijelo smije izvršavati učinkovite ovlasti za posredovanje koje su joj u skladu s člankom 28. stavkom 3. Direktive 95/46/EZ prenesene protiv osobe ili tijela s poslovnim nastanom na njezinom državnom području zbog suodgovornosti za povrede zaštite podataka treće osobe s poslovnim nastanom u drugoj državi članici samo i tek onda kad je ono prije toga zamolilo nadzorno tijelo te druge države članice (ovdje: Irske) za izvršavanje svojih ovlasti?
____________1 Direktiva 95/46/EZ o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)