C–210/16. sz. ügy
Unabhängiges Landeszentrum für Datenschutz Schleswig‑Holstein
kontra
Wirtschaftsakademie Schleswig‑Holstein GmbH
(a Bundesverwaltungsgericht [Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
„Előzetes döntéshozatal – 95/46/EK irányelv – Személyes adatok – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – Egy olyan Facebook oldal (rajongói oldal) felfüggesztésére irányuló határozat, amely lehetővé teszi ezen oldal látogatói bizonyos adatainak gyűjtését és kezelését – A 2. cikk d) pontja – Személyes adatok kezelője – 4. cikk – Alkalmazandó nemzeti jog – 28. cikk – Nemzeti felügyelő hatóságok – E hatóságok beavatkozási jogköre”
Összefoglaló – A Bíróság ítélete (nagytanács), 2018. június 5.
1. Jogszabályok közelítése – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 95/46 irányelv – Adatkezelő – Fogalom – Közösségi hálózaton fenntartott rajongói oldal adminisztrátora – Bennfoglaltság
(95/46 európai parlamenti és tanácsi irányelv, 2. cikk, d) pont)
2. Jogszabályok közelítése– A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 95/46 irányelv – Nemzeti ellenőrző hatóságok – Hatáskörök – Nyomozati, beavatkozási és perindítási hatáskörök – A tagállami ellenőrző hatóság felhatalmazása arra, hogy az e tagállam területén letelepedett vállalkozással szemben gyakorolja hatásköreit – A vállalkozás olyan csoporthoz való tartozása, amely a személyes adatok gyűjtésének és kezelésének felelősségét egy másik tagállamban letelepedett szervezetre bízta – Hatás hiánya
(95/46 európai parlamenti és tanácsi irányelv, 4. és 28. cikk)
3. Jogszabályok közelítése – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 95/46 irányelv – Nemzeti ellenőrző hatóságok – Hatáskörök – Beavatkozási hatáskörök – Egy másik tagállamban letelepedett, személyesadat‑kezelőnek minősülő harmadik személlyel szembeni gyakorlás – A kezelés jogszerűségének vizsgálatára és beavatkozásra vonatkozó hatáskör a másik tagállam ellenőrző hatósága segítségének igénybevétele nélkül
(95/46 európai parlamenti és tanácsi irányelv, 4. cikk, (1) bekezdés, a) pont, és 28. cikk, (3) és (6) bekezdés)
1. A személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv 2. cikkének d) pontját úgy kell értelmezni, hogy az „adatkezelő” e rendelkezés értelmében vett fogalma kiterjed a valamely közösségi hálózaton fenntartott rajongói oldal adminisztrátorára.
Márpedig, bár a Facebookhoz hasonló közösségi hálózat puszta használata nem teszi a Facebook valamely felhasználóját együttesen felelőssé a személyes adatok e hálózat általi kezeléséért, meg kell jegyezni, hogy a Facebookon fenntartott rajongói oldal adminisztrátora az ilyen oldal létrehozásával lehetőséget ad a Facebook számára, hogy cookie‑kat helyezzen el a rajongói oldalát meglátogató személy számítógépén vagy más eszközén, függetlenül attól, hogy e személy rendelkezik‑e Facebook fiókkal, vagy sem. E körülményekre tekintettel meg kell állapítani, hogy a Facebookon fenntartott rajongói oldal olyan adminisztrátora, mint a Wirtschaftsakademie, a – többek között a célközönsége, valamint tevékenységeinek irányítási vagy reklámozási céljai alapján végzett – beállítási tevékenysége révén részt vesz a rajongói oldalát meglátogató személyek személyes adatainak kezelésére vonatkozó célok és ezen adatkezelés módjának meghatározásában. Ezért ezen adminisztrátort a jelen esetben a Facebook Irelanddel együttesen a 95/46 irányelv 2. cikkének d) pontja szerinti adatkezelőnek kell minősíteni az Unióban. Az ugyanis, hogy valamely rajongói oldal adminisztrátora a Facebook által létrehozott felületet az ahhoz kapcsolódó szolgáltatások igénybevétele céljából használja, nem mentesíti őt a személyes adatok védelme terén fennálló kötelezettségeinek tiszteletben tartása alól. E körülményekre tekintettel a közösségi hálózat üzemeltetőjének és az e hálózaton fenntartott rajongói oldal adminisztrátorának az e rajongói oldal látogatóira vonatkozó személyes adatok kezelése tekintetében fennálló együttes felelősségének elismerése hozzájárul azon jogok teljesebb védelmének biztosításához, amelyekkel a rajongói oldalt meglátogató személyek a 95/46 irányelv követelményeinek megfelelően rendelkeznek.
(lásd: 35., 39., 40., 42., 44. pont és a rendelkező rész 1. pontja)
2. A 95/46 irányelv 4. és 28. cikkét úgy kell értelmezni, hogy amennyiben valamely, az Unión kívül letelepedett vállalkozás különböző tagállamokban több telephellyel rendelkezik, valamely tagállam felügyelő hatósága még akkor is gyakorolhatja az ezen irányelv 28. cikkének (3) bekezdése értelmében ráruházott jogosultságokat e vállalkozásnak az e tagállam területén található telephelyével szemben, ha a vállalatcsoporton belüli feladatmegosztás alapján egyfelől e telephely az említett tagállam területén kizárólag a hirdetési felületek értékesítéséért és más marketingtevékenységekért felel, másfelől a személyes adatok gyűjtésének és kezelésének kizárólagos felelőssége az Unió egész területén egy másik tagállamban letelepedett szervezetre hárul.
(lásd: 64. pont és a rendelkező rész 2. pontja)
3. A 95/46 irányelv 4. cikke (1) bekezdésének a) pontját, valamint 28. cikkének (3) és (6) bekezdését úgy kell értelmezni, hogy amennyiben valamely tagállam felügyelő hatósága a személyes adatok védelmére vonatkozó szabályoknak az ezen adatok kezeléséért felelős és egy másik tagállamban székhellyel rendelkező harmadik személy általi megsértése miatt az e tagállam területén található telephellyel szemben kívánja gyakorolni az ezen irányelv 28. cikkének (3) bekezdésében szereplő beavatkozási jogköreit, e felügyelő hatóság hatásköre kiterjed arra, hogy az utóbbi tagállam felügyelő hatóságától függetlenül értékelje az ilyen adatkezelés jogszerűségét, és a területén található telephellyel szemben anélkül gyakorolhatja beavatkozási jogköreit, hogy e másik tagállam felügyelő hatóságát előzetesen beavatkozásra hívná fel.
(lásd: 74. pont és a rendelkező rész 3. pontja)