Predmet C-210/16

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

protiv

Wirtschaftsakademie Schleswig-Holstein GmbH

(zahtjev za prethodnu odluku koji je uputio Bundesverwaltungsgericht)

„Zahtjev za prethodnu odluku – Direktiva 95/46/EZ – Osobni podaci – Zaštita pojedinaca u vezi s obradom tih podataka – Nalog za deaktivaciju Facebook stranice (stranica obožavatelja) koja omogućava prikupljanje i obradu određenih podataka u vezi s njezinim posjetiteljima – Članak 2. točka (d) – Osoba odgovorna za obradu osobnih podataka – Članak 4. – Primjenjivo nacionalno pravo – Članak 28. – Nacionalna nadzorna tijela – Ovlast za posredovanje tih tijela”

1.        Usklađivanje zakonodavstava – Zaštita pojedinaca u vezi s obradom osobnih podataka – Direktiva 95/46 – Osoba odgovorna za obradu – Pojam – Administrator stranice obožavatelja koja se nalazi na društvenoj mreži – Uključenost

(Direktiva 95/46 Europskog parlamenta i Vijeća, čl. 2. t. (d))

2.        Usklađivanje zakonodavstava – Zaštita pojedinaca u vezi s obradom osobnih podataka – Direktiva 95/46 – Nacionalna nadzorna tijela – Ovlasti – Istražne ovlasti, ovlasti za posredovanje i ovlasti za sudjelovanje u sudskim postupcima – Ovlaštenje nacionalnog tijela države članice da izvršava te ovlasti u odnosu na poduzetnika smještenog na području te države članice – Pripadnost poduzetnika grupi koja je odgovornost za prikupljanje i obradu osobnih podataka povjerila poslovnom nastanu u drugoj državi članici – Nepostojanje utjecaja

(Direktiva 95/46 Europskog parlamenta i Vijeća, čl. 4. i 28.)

3.        Usklađivanje zakonodavstava – Zaštita pojedinaca u vezi s obradom osobnih podataka – Direktiva 95/46 – Nacionalna nadzorna tijela – Ovlasti – Ovlast za posredovanje – Izvršavanje ovlasti u odnosu na treću osobu odgovornu za obradu osobnih podataka i smještenu u drugoj državi članici – Nadležnost za ocjenu zakonitosti obrade i za posredovanje bez zahtijevanja pomoći nadzornog tijela druge države članice

(Direktiva 95/46 Europskog parlamenta i Vijeća, čl. 4. st. 1. t. (a), čl. 28. st. 3. i čl. 28. st. 6.)

1.      Članak 2. točku (d) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka treba tumačiti na način da pojam „nadzornik” u smislu te odredbe obuhvaća administratora stranice obožavatelja koja se nalazi na društvenoj mreži.

Međutim, iako sama činjenica da korištenje društvenom mrežom poput Facebooka ne čini njezina korisnika suodgovornim za obradu osobnih podataka koju provodi ta mreža, valja istaknuti da administrator stranice obožavatelja koja se nalazi na Facebooku njezinom izradom omogućava toj društvenoj mreži postavljanje kolačića na računalo ili bilo koji drugi uređaj posjetitelja svoje stranice obožavatelja, bez obzira na to raspolaže li on korisničkim računom na Facebooku. U tim okolnostima valja smatrati da administrator stranice obožavatelja koja se nalazi na Facebooku, kao što je u predmetnom slučaju Wirtschaftsakademie – utvrđivanjem postavki, među ostalim, s obzirom na svoju ciljanu publiku i ciljeve upravljanja svojim aktivnostima odnosno ciljeve njihove promidžbe – pridonosi utvrđivanju svrhe i načina obrade osobnih podataka posjetitelja svoje stranice obožavatelja. Stoga valja smatrati da je na području Unije administrator u predmetnom slučaju suodgovoran s Facebookom Ireland za spomenutu obradu u smislu članka 2. točke (d) Direktive 95/46. Naime, to što administrator stranice obožavatelja upotrebljava platformu koju nudi Facebook te se koristi pripadajućim uslugama ne može ga osloboditi obveza koje ima u području zaštite osobnih podataka. U tim okolnostima prihvaćanje zajedničke odgovornosti operatera društvene mreže i administratora stranice obožavatelja koja se na njoj nalazi u vezi s obradom osobnih podataka posjetitelja te stranice pridonosi osiguravanju potpunije zaštite prava posjetitelja stranice obožavatelja, u skladu sa zahtjevima Direktive 95/46.

(t. 35., 39., 40., 42., 44. i t. 1. izreke)

2.      U situaciji u kojoj poduzetnik sa sjedištem izvan Europske unije ima nekoliko poslovnih nastana u različitim državama članicama članke 4. i 28. Direktive 95/46 treba tumačiti na način da nadzorno tijelo jedne države članice ima pravo izvršavati ovlasti iz članka 28. stavka 3. te direktive u odnosu na poslovni nastan tog poduzetnika koji se nalazi na državnom području te države članice iako je, u skladu s raspodjelom zadataka unutar grupe, s jedne strane, taj poslovni nastan odgovoran samo za prodaju oglašivačkog prostora i druge marketinške djelatnosti na državnom području spomenute države članice, dok je, s druge strane, za prikupljanje i obradu osobnih podataka na cijelom području Europske unije isključivo odgovoran poslovni nastan koji se nalazi u drugoj državi članici.

(t. 64., t. 2. izreke)

3.      Članak 4. stavak 1. točku (a) i članak 28. stavke 3. i 6. Direktive 95/46 treba tumačiti na način da je nadzorno tijelo jedne države članice – kada namjerava izvršavati ovlasti za posredovanje iz članka 28. stavka 3. te direktive u odnosu na tijelo s poslovnim nastanom na državnom području te države članice, zbog povreda pravila o zaštiti osobnih podataka što ih je počinila treća osoba sa sjedištem u drugoj državi članici, koja je odgovorna za obradu tih podataka – nadležno ocjenjivati zakonitost te obrade neovisno o nadzornom tijelu druge države članice te može izvršavati svoje ovlasti za posredovanje u pogledu tijela s poslovnim nastanom na državnom području te države članice bez prethodnog pozivanja njezina nadzornog tijela na poduzimanje mjera.

(t. 74., t. 3. izreke)