MIŠLJENJE NEZAVISNOG ODVJETNIKA
PEDRA CRUZA VILLALÓNA
od 25. lipnja 2015.(1)
Predmet C‑230/14
Weltimmo s.r.o.
protiv
Nemzeti Adatvédelmi és Információszabadság Hatóság
(zahtjev za prethodnu odluku koji je uputila Kúria (Mađarska))
„Zaštita osobnih podataka – Direktiva 95/46/EZ – Članak 4. stavak 1. i članak 28. stavci 1., 3. i 6. – Nadzornik podataka s poslovnim nastanom na području druge države članice – Određivanje primjenjivog prava i nadležnog nadzornog tijela – Ovlasti nadzornog tijela – Ovlast za kažnjavanje – Pojam ‚obrada podataka’“
1.        Prethodna pitanja koja je uputila Kúria (mađarski Vrhovni sud) pojavila su se u sporu između Magyar Adatvédelmi és Információszabadság Hatóság (u daljnjem tekstu: mađarsko tijelo za zaštitu podataka) i poduzeća s registriranim sjedištem u Slovačkoj koje upravlja internetskom stranicom za posredovanje nekretninama na kojoj se oglašavaju nekretnine u Mađarskoj.
2.        Ovaj predmet, predstavljen na taj način, Sudu ponovno daje mogućnost da donese odluku o određivanju prava primjenjivog na obradu podataka u skladu s člankom 4. stavkom 1. točkom (a) Direktive 95/46/EZ o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka(2), koji se već tumačio u presudi Google Spain i Google(3). Osim toga, u ovom se predmetu javljaju dosad nepostavljena pitanja, kako o određivanju nadležnog nadzornog tijela tako i o primjeni nacionalnog prava od strane navedenog tijela te o njegovim ovlastima, osobito u vezi s ovlašću nametanja sankcija.
I.      Pravni okvir
A.      Pravo Unije
3.        Direktiva 95/46 utvrđuje različite kriterije za određivanje zakona koji se primjenjuje na obradu osobnih podataka. U njezinoj uvodnoj izjavi 18. navodi se da „[…] kako bi se osiguralo da pojedinci nisu lišeni zaštite na koju imaju pravo na temelju ove Direktive, bilo kakva obrada osobnih podataka u Zajednici mora se izvršavati u skladu sa zakonodavstvom jedne od država članica; […] se u vezi s time obrada za koju je odgovoran nadzornik s poslovnim nastanom u državi članici treba urediti zakonodavstvom te države“.
4.        S druge strane, u uvodnoj izjavi 19. Direktive 95/46 ističe se da „[…] poslovni nastan na području države članice podrazumijeva učinkovito [efektivno] i stvarno provođenje aktivnosti [obavljanje djelatnosti] kroz stabilne dogovore [aranžmane]; budući da pravni oblik takvog poslovnog nastana, bilo da je to podružnica ili društvo kći s pravnom osobnošću, nije odlučujući činitelj u tome smislu […]“. U toj istoj uvodnoj izjavi navodi se da „kada pojedini nadzornik ima poslovni nastan na području nekoliko država članica, posebno putem društava kćeri, on mora osigurati, kako bi spriječio izbjegavanje nacionalnih propisa, da svaki poslovni nastan ispunjava obveze koje nalaže nacionalno zakonodavstvo koje se primjenjuje na njegove aktivnosti“.
5.        Članak 4. stavak 1. Direktive 95/46, čija je točka (a) važna u ovom sporu, predstavlja pravilo za određivanje prava koje se primjenjuje na obradu podataka i utvrđuje sljedeće:
„1. Svaka država članica na obradu osobnih podataka primjenjuje nacionalne propise koje donese u skladu s ovom Direktivom kada:
a)      se obrada provodi u smislu [u okviru] aktivnosti poslovnog nastana nadzornika na području države članice; kada taj nadzornik ima poslovni nastan na području nekoliko država članica, on mora poduzeti potrebne mjere kako bi osigurao da svaki od tih poslovnih nastana ispunjava obveze propisane važećim nacionalnim pravom;
[…].“
6.        Članak 28., koji predstavlja odredbu o nadzornim tijelima u području zaštite podataka, u stavcima 1., 3., 4. i 6. utvrđuje sljedeće:
„1. Svaka država članica osigurava da je jedno ili više javnih tijela na njenom području odgovorno za nadzor primjene odredbi koje su donijele države članice u skladu s ovom Direktivom.
Ta tijela u provedbi funkcija koje su im povjerene djeluju potpuno neovisno.
[…]
3. Svako tijelo posebno ima:
–        istražne ovlasti, kao što je ovlast pristupa podacima koji su predmet postupaka obrade i ovlasti za prikupljanje svih podataka potrebnih za izvršavanje svojih nadzornih dužnosti,
–        učinkovite ovlasti za posredovanje, kao što je na primjer davanje mišljenja prije nego li se izvrše postupci obrade, u skladu s člankom 20. ove Direktive, te osiguranje odgovarajuće objave takvih mišljenja te ovlasti naređivanja blokiranja, brisanja ili uništavanja podataka, nametanja privremene ili konačne zabrane obrade, upozoravanja ili opominjanja nadzornika ili upućivanja predmeta nacionalnim parlamentima ili drugim političkim institucijama,
–        ovlast za sudjelovanje u sudskim postupcima ako su prekršene nacionalne odredbe donesene u skladu s ovom Direktivom ili za upoznavanje sudskih tijela s tim kršenjima.
Protiv odluka nadzornog tijela mogu se izjaviti žalbe putem sudova.
4. Svako nadzorno tijelo razmatra zahtjeve koje podnese bilo koja osoba ili bilo koja udruga koja zastupa tu osobu, u vezi zaštite njezinih prava i sloboda u odnosu na obradu osobnih podataka. Tu osobu se izvještava o ishodu tog zahtjeva.
Svako nadzorno tijelo posebno razmatra zahtjev za provjeru zakonitosti obrade podataka koji preda bilo koja osoba kada se primjenjuju nacionalne odredbe donesene u skladu s člankom 13. ove Direktive. Osobu se u svakom slučaju obavješćuje da je provjera u tijeku.
[…]
6. Svako nadzorno tijelo je na području svoje države članice nadležno za provedbu ovlasti koje su mu dodijeljene u skladu sa stavkom 3. ovog članka, neovisno o tome koje se nacionalno pravo primjenjuje na tu obradu. Svako tijelo može zatražiti tijelo druge države članice da provodi svoje ovlasti.
Nadzorna tijela međusobno surađuju u mjeri potrebnoj za izvršavanje svojih ovlasti, posebno razmjenom korisnih podataka.
[…]“
B.      Mađarsko pravo
7.        Zakon CXII iz 2011. o samoodređenju u području informacija i slobodi pristupa informacijama (2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011; u daljnjem tekstu: Zakon o informacijama) nacionalni je propis kojim se prenosi Direktiva 95/46.
8.        Članak 2. Zakona o informacijama utvrđuje sljedeće:
„1. Područje primjene ovog zakona obuhvaća svaku obradu i procesiranje podataka koje se izvršava na području Mađarske u vezi s podacima fizičkih osoba i podacima u općem interesu ili podacima dostupnima zbog razloga u općem interesu.
2. Ovaj zakon primjenjuje se na obradu i procesiranje podataka, bilo da se ono provodi potpuno ili djelomično automatiziranom opremom ili ručno.
3. Odredbe ovog zakona primjenjuju se ako nadzornik podataka, koji osobne podatke obrađuje izvan područja Europske unije, osobi zaduženoj za procesiranje podataka koja na području Mađarske ima sjedište, poslovni nastan, podružnicu, prebivalište ili boravište povjeri procesiranje podataka, ili ako se na tom području služi nekom opremom, osim ako se takva oprema ne koristi isključivo u svrhe prijenosa preko područja Europske unije. Takav nadzornik podataka mora imenovati zastupnika na području Mađarske.“
9.        Članak 3. Zakona o informacijama pak utvrđuje da za potrebe primjene ovoga zakona:
„9. nadzornik podataka (‚adatkezelő') znači fizička ili pravna osoba ili subjekt bez pravne osobnosti koji sam ili zajedno s drugima utvrđuje svrhu obrade podataka, donosi odluke o toj obradi (uključujući one o opremi korištenoj za tu obradu) te ih izvršava samostalno ili preko osobe zadužene za procesiranje podataka (‚adatfeldolgozó');
10. obrada podataka (‚adatkezelés') znači bilo koji postupak ili skup postupaka koji se izvršavaju u vezi s podacima, neovisno o korištenoj metodi, osobito prikupljanje, upisivanje, snimanje, organiziranje, pohrana, mijenjanje, uporaba, zahtijevanje, prijenos, objavljivanje, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje, kao i sprečavanje druge uporabe podataka, snimanje fotografija, zvukova ili slika ili snimanje fizičkih osobina koje služe za identifikaciju osoba (na primjer otisci prstiju ili dlana, uzorci DNK‑a ili skeniranje šarenice);
11. prijenos podataka znači stavljanje podataka na raspolaganje trećoj osobi;
[…]
17. procesiranje podataka (‚adatfeldolgozás') znači izvršavanje tehničkih zadataka povezanih s postupcima obrade podataka, bez obzira na metodu ili opremu korištenu za izvršenje postupaka i mjesto na kojem se provode, pod uvjetom da se tehnički zadaci izvode na podacima;
18. osoba zadužena za procesiranje podataka (‚adatfeldolgozó') znači fizička ili pravna osoba ili subjekt bez pravne osobnosti koji, u skladu s ugovorom – uključujući ugovor čije je sklapanje propisano zakonom – provodi procesiranje podataka;
[…].“
II.    Činjenice i glavni postupak
10.      Ovaj zahtjev za prethodnu odluku upućuje se povodom žalbenog zahtjeva za poništenje koji je podnesen Kúriji protiv presude koju je donio Fővárosi Közigazgatási és Munkaügyi Bíróság (Sud za upravne i socijalne sporove u glavnom gradu) u upravnom sporu za zaštitu podataka između društva Weltimmo s.r.o. (u daljnjem tekstu: Weltimmo) i mađarskog tijela za zaštitu podataka.
11.      Weltimmo je društvo koje upravlja internetskom stranicom za posredovanje nekretninama s registriranim sjedištem u Slovačkoj. Njegova se djelatnost temelji na upravljanju navedenom internetskom stranicom na kojoj se objavljuju oglasi za nekretnine u Mađarskoj. Navedeni oglasi besplatni su za oglašivače tijekom prvog mjeseca, nakon čega se usluga počinje naplaćivati. Budući da nakon isteka prvog mjeseca nisu željeli prijeći na korištenje usluge uz naplatu, velik broj oglašivača elektroničkom je poštom zatražio brisanje svojih oglasa i osobnih podataka. Međutim, Weltimmo se oglušio na te zahtjeve i izdao im račune za svoje usluge. Kako navedeni računi nisu bili plaćeni, Weltimmo je osobne podatke oglašivača počeo prenositi poduzećima za naplatu potraživanja.
12.      U odgovoru na pritužbe oglašivača, mađarsko tijelo za zaštitu podataka proglasilo se nadležnim i utvrdilo da treba primijeniti mađarski zakon (u skladu s člankom 3. stavkom 10. Zakona o informacijama, prikupljanje podataka predstavlja obradu podataka) te je nametnulo novčanu kaznu u iznosu od deset milijuna mađarskih forinti (HUF). Weltimmo je protiv navedene odluke podnio žalbu Sudu za upravne i socijalne sporove u glavnom gradu koji je, iako nije doveo u pitanje nadležnost tijela za zaštitu podataka ni primjenu mađarskog zakona, poništio upravnu odluku jer neke navodne činjenice nisu bile dovoljno razjašnjene.
13.      Weltimmo u svojem žalbenom zahtjevu za poništenje među ostalim traži donošenje odluke da nije potrebno dodatno pojašnjavati činjenice, s obzirom na to da, u skladu s člankom 4. stavkom 1. točkom (a) Direktive 95/46, mađarsko tijelo za zaštitu podataka nije nadležno voditi postupak i primjenjivati mađarsko pravo u odnosu na pružatelja usluga sa sjedištem u drugoj državi članici, pri čemu je u vezi s tim osobito naglasio da je spomenuto tijelo, u skladu s člankom 28. stavkom 6. Direktive 96/45, trebalo pozvati slovačko nadležno tijelo da postupa protiv Weltimma.
14.      Kako bi utemeljilo svoju nadležnost i primjenjivost mađarskog prava, mađarsko tijelo za zaštitu podataka tvrdi u glavnom postupku da Weltimmo ima „osobu za kontakt u Mađarskoj“, odnosno jednog od vlasnika poduzeća s mađarskim državljanstvom, koji ga je zastupao i u upravnom postupku i u nacionalnom sudskom postupku. Isto tako navodi da vlasnici poduzeća Weltimmo imaju boravište u Mađarskoj. U svakom slučaju, to tijelo smatra da se člankom 28. stavkom 6. Direktive 95/46 utvrđuje ovlast u njegovu korist, neovisno o primjenjivom pravu.
III. Prethodna pitanja i postupak pred Sudom
15.      U tom kontekstu i smatrajući da relevantne odredbe Direktive 95/46 nisu dovoljno jasne, Kúria je svojom odlukom od 22. travnja 2014., koju je tajništvo Suda zaprimilo 22. svibnja 2014., uputila sljedeća prethodna pitanja:
„1.      Treba li članak 28. stavak 1. Direktive 95/46/EZ […] tumačiti na način da je nacionalni propis države članice primjenjiv na njezinu području na osobu odgovornu za obradu podataka s poslovnim nastanom isključivo u drugoj državi članici, koja upravlja internetskom stranicom za posredovanje nekretninama i između ostalog oglašava nekretnine koje se nalaze na području prve države članice, a vlasnici nekretnina su svoje osobne podatke prenijeli na medij (poslužitelj) za pohranu i obradu podataka koji pripada upravitelju internetske stranice i koji se nalazi u drugoj državi članici?
2.      Treba li članak 4. stavak 1. točku (a) Direktive o zaštiti podataka, u svjetlu uvodnih izjava 18. do 20. te članka 1. stavka 2. i članka 28. stavka 1. tumačiti na način da mađarsko tijelo za zaštitu podataka ne može primjenjivati mađarski zakon o zaštiti podataka, kao nacionalno pravo, na upravitelja internetske stranice za posredovanje nekretninama koji ima poslovni nastan isključivo u drugoj državi članici, čak niti kada on, između ostalog, oglašava mađarske nekretnine čiji su vlasnici prenijeli, vjerojatno s područja Mađarske, podatke u vezi sa svojim nekretninama na medij (poslužitelj) za pohranu i obradu podataka koji pripada upravitelju internetske stranice koji se nalazi u drugoj državi članici?
3.      Je li za potrebe tumačenja bitno da je usluga koju je pružila osoba koja je odgovorna za obradu podataka i koja upravlja internetskom stranicom usmjerena na područje druge države članice?
4.      Je li za potrebe tumačenja bitno da su podaci u vezi s nekretninama koje se nalaze na području druge države članice te osobni podaci vlasnika zapravo učitani s područja te druge države članice?
5.      Je li za potrebe tumačenja bitno da su osobni podaci u vezi s navedenim nekretninama osobni podaci državljana druge države članice?
6.      Je li za potrebe tumačenja bitno da vlasnici poduzeća sa sjedištem u Slovačkoj imaju prebivalište u Mađarskoj?
7.      Ako iz odgovora na prethodna pitanja proizlazi da mađarsko tijelo za zaštitu podataka može voditi postupak, ali ne može primjenjivati mađarsko pravo, već pravo države članice sjedišta, treba li članak 28. stavak 6. Direktive o zaštiti podataka tumačiti na način da mađarsko tijelo za zaštitu podataka jedino može izvršavati ovlasti navedene u članku 28. stavku 3. Direktive o zaštiti podataka, i to sukladno propisu države članice sjedišta, i da stoga nije ovlašteno izreći novčanu kaznu?
8.      Može li se smatrati da je pojam ‚adatfeldolgozás' [procesiranje podataka] sadržan kako u članku 4. stavku 1. točki (a) tako i u članku 28. stavku 6. [mađarske verzije] Direktive o zaštiti podataka istovjetan pojmu ‚adatkezelés' [obrada podataka]?“
16.      Pisana očitovanja podnijeli su mađarska vlada, slovačka vlada, vlada Ujedinjene Kraljevine, mađarsko tijelo za zaštitu podataka i Europska komisija. Na raspravi održanoj 12. ožujka 2015. sudjelovali su mađarska vlada, slovačka vlada, poljska vlada, mađarsko tijelo za zaštitu podataka i Europska komisija.
IV.    Analiza
17.      Različita prethodna pitanja koja je uputila Kúria odnose se na dva problema koja, iako su predstavljena kao međusobno povezana, zahtijevaju drukčiji pristup – kako proizlazi i iz pisanih i iz usmenih očitovanja iznesenih u postupku pred Sudom – drugim riječima, valja razdvojiti pitanje zakona koji se primjenjuje na obradu podataka i pitanje određivanja nadležnog nadzornog tijela. Zbog toga ću svoju argumentaciju u bitnome podijeliti na dva dijela. Najprije ću razmotriti pitanje zakona koji se primjenjuje na obradu podataka i, u konačnici, pitanje „poslovnog nastana“, pri čemu ću zajedno ispitivati pitanja od prvog do šestog. Zatim ću razmotriti pitanje određivanja nadležnog nadzornog tijela i njegovih ovlasti, pri čemu ću također analizirati pitanje mogućeg razdvajanja nadležnog nadzornog tijela od primjenjivog zakona (sedmo pitanje). Naposljetku ću se baviti pitanjem terminologije postavljenom u osmom prethodnom pitanju.
A.      Zakon koji se primjenjuje na obradu podataka i o pojmu poslovnog nastana (prethodna pitanja od prvog do šestog)
18.      Kúria svojim prethodnim pitanjima od prvog do šestog, koja valja razmotriti zajedno, u biti želi znati može li se članak 4. stavak 1. točka (a) i članak 28. stavak 1. Direktive 95/46 tumačiti na način da je, u okolnostima poput onih u glavom postupku, moguća primjena mađarskog zakona o zaštiti podataka kao i to da mađarsko tijelo za zaštitu podataka primijeni navedeni zakon na upravitelja internetske stranice koji ima poslovni nastan isključivo u drugoj državi članici. U vezi s tim, Kúria također postavlja pitanje o utjecaju niza posebnih čimbenika, primjerice toga da su usluge navedenog poduzeća usmjerene na područje druge države članice, mjesta s kojeg su podaci u vezi s nekretninama bili učitani, državljanstva osoba čiji su podaci bili korišteni ili činjenice da vlasnici poduzeća imaju prebivalište u Mađarskoj.
19.      Kúria je u svoja prva dva pitanja uputila kako na članak 28. stavak 1. tako i na članak 4. stavak 1. točku (a) Direktive. Smatram, međutim, da se na ta pitanja u potpunosti može odgovoriti bez analiziranja područja primjene prve od dviju navedenih odredbi. Naime, članak 28. stavak 1. samo općenito utvrđuje da „[s]vaka država članica osigurava da je jedno ili više javnih tijela na njenom području odgovorno za nadzor primjene odredbi koje su donijele države članice u skladu s ovom Direktivom“. Smatram da ta odredba nije odlučujuća u svrhu određivanja primjenjivog zakona. Kao prvo, i sa sustavnog gledišta, članak 28. nalazi se u poglavlju VI. Direktive, koje se odnosi na uređivanje nadzornih tijela i radne skupine za zaštitu pojedinaca u vezi s obradom osobnih podataka, a ne na pitanje primjenjivog zakona. Kao drugo, sam tekst članka 28. stavka 1. Direktive ne pruža nikakav dodatan kriterij za određivanje zakona koji se primjenjuje na obradu podataka. U konačnici, navedena odredba ne sadržava nijedan element čije bi tumačenje omogućilo davanje drukčijeg odgovora na pitanje određivanja primjenjivog zakona koje se temelji na kriterijima utvrđenima u članku 4. te direktive, koji posebno uređuje pitanje primjenjivog zakona.
20.      Usredotočujući se na članak 4. stavak 1. točku (a) Direktive, najprije treba navesti da je i u očitovanjima iznesenima na raspravi i u očitovanjima podnesenima u pisanom postupku navedena važnost te odredbe za odgovaranje na pitanja povezana s primjenjivim zakonom kao i posebna važnost određivanja mjesta poslovnog nastana Weltimma.
21.      Pitanje zakona koji se primjenjuje na situacije prekogranične obrade podataka u međunarodnom je području sporno već desetljećima(4). Članak 4. Direktive, čija je svrha određivanje primjenjivog nacionalnog prava, prva je odredba koja je uspjela uvesti pravilo o određivanju prava koje se primjenjuje u tom pogledu(5). Navedena odredba utvrđuje različite kriterije za određivanje primjenjuje li se nacionalno pravo, usvojeno radi prijenosa direktive, i na taj način neizravno utvrđuje (jer omogućava utvrditi jesu li navedeni nacionalni propisi primjenjivi) područje teritorijalne primjene same direktive.
22.      U situacijama u kojima je relevantno pitanje primjene zakona među državama članicama Unije, posebnu važnost ima članak 4. stavak 1. točka (a) Direktive 95/46, koji utvrđuje da „[s]vaka država članica na obradu osobnih podataka primjenjuje nacionalne propise koje donese[(6)] u skladu s ovom Direktivom kada: (a) se obrada provodi u okviru aktivnosti poslovnog nastana nadzornika na području države članice“.
23.      Članak 4. stavak 1. točka (a) stoga ima dvostruku funkciju. S jedne strane omogućava primjenu prava Unije pomoću prava jedne od njezinih država članica ako se obrada podataka odvija isključivo „u okviru“ aktivnosti poslovnog nastana u tim državama članicama, čak i ako se obrada podataka „kao takva“ provodi u trećoj državi (što je bio slučaj u predmetu Google Spain i Google)(7). S druge strane, navedena odredba predstavlja pravilo za određivanje primjenjivog zakona među državama članicama (što je pitanje o kojemu se ovdje raspravlja). U toj drugoj situaciji, članak 4. stavak 1. točka (a) Direktive predstavlja odredbu koja određuje primjenjivi zakon kao kolizijsko pravilo među zakonodavstvima različitih država članica.
24.      U tom pogledu treba istaknuti da je nacionalni sud svoja pitanja postavio u vezi s upraviteljem internetske stranice za oglašavanje nekretnina koji ima poslovni nastan isključivo u drugoj državi članici, što mađarsko nadzorno tijelo pobija. Ujedinjena Kraljevina smatra očitim da zakon koji se primjenjuje u ovom predmetu mora biti zakon države članice poslovnog nastana, u ovom slučaju Slovačke, što znači da mađarsko tijelo ne bi moglo primijeniti pravila svojeg nacionalnog prava. Komisija također naglašava okolnost da je Kúria navela da poduzeće u ovom slučaju ima poslovni nastan isključivo u drugoj državi članici, neovisno o tome što bi se moglo smatrati da se primjenjuje mađarski zakon kad bi se utvrdilo da tužitelj ima poslovni nastan i na području Mađarske.
25.      U vezi s tim i osim činjenične ocjene navedene u tekstu prethodnog pitanja koja se odnosi na stvarno mjesto poslovnog nastana, pitanja od trećeg do šestog koja je postavila Kúria pokazuju stanovitu nesigurnost suda koji je uputio zahtjev u vezi s pojmom poslovnog nastana u smislu direktive, kao pojmom koji možda nije isključivo formalan. Zato smatram da, kako bi se mogao ponuditi koristan odgovor na pitanja od prvog do šestog, treba utvrditi kriterije na temelju kojih je moguće utvrditi je li riječ o obradi podataka koja se provodi „u okviru aktivnosti poslovnog nastana nadzornika“ na području Mađarske na način iz članka 4. stavka 1. točke (a) Direktive.
26.      Kako bi se u ovom predmetu utvrdilo je li primjenjivo mađarsko ili pak slovačko zakonodavstvo, potrebno je provesti ispitivanje u dvije faze, u skladu s metodom korištenom u presudi Google Spain i Google(8). Tako bi najprije trebalo razjasniti je li Weltimmo imao poslovni nastan na području Mađarske, a zatim je li obrada podataka provedena u okviru aktivnosti tog poslovnog nastana. Međutim, treba navesti da u okolnostima ovog predmeta, za razliku od okolnosti iz predmeta Google Spain i Google, nije sporno pitanje je li do obrade podataka došlo „u okviru aktivnosti poslovnog nastana“. Odlučujuće pitanje upravo je pitanje postoji li ili ne poslovni nastan u Mađarskoj i/ili Slovačkoj. Zato će moja analiza ponajprije biti usmjerena na tu prvu fazu analize.
27.      U vezi s tim pitanjem, mađarska vlada u svojim je pisanim očitovanjima navela da različite jezične verzije te odredbe idu u prilog tumačenju pojma poslovni nastan koji se ne treba odnositi isključivo na poslovni nastan u smislu prava društava. Slovačka vlada, koja također zagovara neformalističko razumijevanje pojma poslovnog nastana, navodi da je u tom kontekstu važno pozvati se na sudsku praksu Suda u vezi sa slobodom poslovnog nastana. Mađarsko tijelo za zaštitu podataka isto tako zagovara razumijevanje pojma poslovnog nastana prema kojemu pravni oblik nije presudan te navodi da poslovni nastan može činiti zastupnik društva Weltimmo u Mađarskoj, a to je u ovom slučaju g. Benkö. Ta je osoba, naime, zastupala navedeno poduzeće u upravnom postupku i u sudskom postupku prvog stupnja, bila je u kontaktu s predmetnim osobama koje su podnijele pritužbe i upisana je u slovački registar trgovačkih društava s adresom u Mađarskoj. Osim toga, tijelo za zaštitu podataka na raspravi je navelo da Weltimmo u Mađarskoj ima poštanski pretinac za upravljanje tekućim poslovima te da mu je slovačko tijelo za zaštitu podataka prilikom neformalnog savjetovanja potvrdilo da poduzeće ustvari ne posluje u Slovačkoj. Samo je poljska vlada, u svojem očitovanju izloženom na raspravi, istaknula da u obzir treba uzeti isključivo registar trgovačkih društava neke države članice kao jedini objektivan i provjerljiv kriterij.
28.      S obzirom na navedeno, valja uputiti na uvodnu izjavu 19. Direktive 95/46 koja predstavlja temeljni interpretativni element za određivanje sadržaja pojma poslovnog nastana u smislu te direktive. Naime, navedena uvodna izjava upućuje na fleksibilno razumijevanje pojma, odstupajući od formalističkog pristupa prema kojemu bi poduzeće imalo poslovni nastan samo u onom mjestu u kojem je registrirano. Tako navedena uvodna izjava najprije predviđa kriterij efektivnosti i element stalnosti jer navodi da „poslovni nastan na području države članice podrazumijeva efektivno i stvarno obavljanje djelatnosti kroz stabilne aranžmane […]“. Zatim upućuje na znatnu fleksibilnost kad utvrđuje da „pravni oblik takvog poslovnog nastana, bilo da je to podružnica ili društvo kći s pravnom osobnošću, nije odlučujući činitelj u tome smislu“.
29.      Takvo razumijevanje pojma poslovnog nastana u skladu je s tumačenjem navedenog pojma u sudskoj praksi Suda u drugim područjima prava Unije. Konkretno, prema ustaljenoj sudskoj praksi „pojam poslovni nastan, u skladu s odredbama Ugovora o slobodi poslovnog nastana, znači efektivno obavljanje djelatnosti na neodređeno vrijeme pomoću stalnog nastana u navedenoj državi“(9), što „pretpostavlja stvarni nastan predmetnog društva u državi članici primateljici i obavljanje efektivne gospodarske djelatnosti u toj državi“(10).
30.      S druge strane, Mišljenje 8/2010 Radne skupine za zaštitu podataka iz članka 29. (u daljnjem tekstu: Radna skupina iz članka 29.)(11) upućuje na tumačenje pojma poslovnog nastana kao kriterija poveznice u fiskalne svrhe u području PDV‑a(12). Sudska praksa Suda u tom je području osobito zanimljiva, zato što se pojam poslovnog nastana pojavljuje kao kriterij poveznice za utvrđivanje koje je nacionalno fiskalno zakonodavstvo primjenjivo te produbljuje pojam stalnog poslovnog nastana, koji „[…] mora imati dostatan stupanj stalnosti i primjerenu strukturu osoblja i tehničkih sredstava koji mu omogućuju primanje i korištenje usluga koje su mu dostavljene za vlastite potrebe“(13). Osim toga, za pojam poslovnog nastana se kako u području Rimske konvencije(14) tako i Konvencije iz Bruxellesa(15) također zagovara neformalističko razumijevanje(16).
31.      Neovisno o očitom odstupanju u kontekstima i ciljevima između područja na koje se odnosi sudska praksa Suda u predmetima na koje sam se maločas pozvao i predmeta o kojemu je ovdje riječ, u svakom je slučaju značajno da pravo Unije u različitim područjima ustraje na razumijevanju pojma poslovnog nastana koje se temelji na efektivnom obavljanju gospodarske djelatnosti i određenom stupnju stabilnosti, što je sukladno navodima koji se također odražavaju u uvodnoj izjavi 19. Direktive 95/46.
32.      S druge strane, imajući u vidu poseban cilj Direktive 95/46, kako je definiran u članku 1. stavku 1. te direktive, a to je „[štititi] temeljna prava i slobode fizičkih osoba, a posebno njihova prava na privatnost u vezi s obradom osobnih podataka“, smatram da treba protumačiti kako stupanj stabilnosti nastana tako i efektivnost obavljanja djelatnosti, uzimajući u obzir posebnu prirodu predmetnih gospodarskih djelatnosti i pružanja usluga.
33.      Prema tome, kao što navodi mađarsko tijelo za zaštitu podataka i slovačka vlada, vodeći se također kriterijima koje je ponudila Radna skupina iz članka 29.(17), samo je jedan zastupnik dovoljan kako bi se moglo smatrati da je riječ o stabilnom nastanu ako on djeluje s dovoljnim stupnjem stabilnosti u vidu resursa potrebnih za pružanje konkretnih usluga o kojima je riječ u predmetnoj državi članici.
34.      Naime, kako je naveo nezavisni odvjetnik N. Jääskinen u svojem mišljenju u predmetu Google Spain i Google, pri ocjeni uvjeta iz članka 4. Direktive 95/46 treba uzeti u obzir poslovni model predmetnog subjekta(18). Stoga ovdje treba ocijeniti osobitost poduzeća koja posluju isključivo putem interneta, a čiji poslovni model relativizira pojam stalnog fizičkog nastana, što također uvjetuje razinu potrebe kako za ljudskim tako i materijalnim resursima. Naime, u određenim okolnostima, jedan stalno prisutan zastupnik koji uz sebe ima tek prijenosno računalo može predstavljati dostatnu strukturu za ovabljanje efektivne, stvarne djelatnosti s dovoljnim stupnjem stabilnosti. U svjetlu tih razmatranja, prilikom procjene spomenutih ljudskih i tehničkih resursa potrebno je pažljivo razmotriti posebnosti poduzeća koja se bave pružanjem usluga putem interneta, uzimajući u obzir osobitosti svake konkretne situacije.
35.      Posebnost gospodarskih djelatnosti koje se obavljaju putem interneta zapravo je već uzeta u obzir pri određivanju sadržaja pojma poslovnog nastana u drugim propisima prava Unije. Konkretno, Direktiva o elektroničkoj trgovini(19) u svojoj uvodnoj izjavi 19. utvrđuje da „[…] [m]jesto poslovnog nastana poduzeća koje pruža usluge preko svojih internetskih stranica nije mjesto u kojem je smještena tehnologija koja podržava njegove stranice niti mjesto na kojem se pristupa njegovim internetskim stranicama već je to mjesto u kojem on obavlja svoju gospodarsku djelatnost“. Radna skupina iz članka 29. tu je definiciju smatrala relevantnom u svrhu tumačenja članka 4. Direktive 95/46.(20)
36.      Uzimajući u obzir ta razmatranja, može se zaključiti da, ne dovodeći u pitanje da je Weltimmo društvo formalno upisano u Slovačkoj, nije moguće isključiti da to društvo svoju djelatnost efektivno i stvarno obavlja na području druge države, u ovom slučaju Mađarske, putem stabilnog nastana koji može predstavljati samo jedan zastupnik. Ako je to slučaj, Weltimmo bi poslovni nastan imao u Mađarskoj u smislu članka 4. stavka 1. točke (a) Direktive 95/46.
37.      Različiti dodatni čimbenici koje je Kúria navela u svojim prethodnim pitanjima, odnosno mjesto s kojeg se podaci učitavaju, država članica na koju su usmjerene usluge, državljanstvo osoba čiji su podaci korišteni ili mjesto prebivališta vlasnika poduzeća, nemaju u tom pogledu izravan i odlučujući utjecaj na utvrđivanje primjenjivog prava(21). Naime, spomenuti elementi ne pojavljuju se u direktivi kao relevantni kriteriji koji bi omogućili izuzimanje kriterija iz članka 4. stavka 1. točke (a)(22).
38.      Ne dovodeći u pitanje prethodno navedeno, neki od tih čimbenika mogli bi u određenim okolnostima predstavljati indicije da je riječ o stvarnoj i efektivnoj djelatnosti – u svrhu određivanja mjesta poslovnog nastana – i osobito pri određivanju je li do obrade podataka došlo u okviru aktivnosti poslovnog nastana nadzornika.
39.      Tako se, osobito u vezi s drugim elementom – da se obrada podataka provodi u okviru aktivnosti poslovnog nastana u državi članici – treba pozvati na tumačenje utvrđeno u presudi Google Spain i Google(23). U skladu s tim tumačenjem, članak 4. stavak 1. točka (a) Direktive 95/46 „ne zahtijeva da se obrada osobnih podataka o kojima je riječ izvršava ‚putem’ sâmog dotičnog poslovnog nastana, nego jedino da je to ‚u okviru njegove aktivnosti’“(24). Osim toga, Sud nastavlja da se u vezi s ciljem direktive „taj [...] potonji izraz ne može restriktivno tumačiti“(25).
40.      Uporaba tog drugog kriterija bila bi osobito važna za slučaj da sud koji je uputio zahtjev utvrdi, primjenjujući ranije navedene kriterije, da Weltimmo ima poslovni nastan u obje predmetne države članice. U tom slučaju, kako u svojim pisanim očitovanjima naglašavaju slovačka vlada i Komisija, trebalo bi uzeti u obzir upravo djelatnosti u okviru kojih je provedena obrada i osobito njihov stupanj povezanosti s poslovnim nastanom(26). Radna skupina iz članka 29. u tom je pogledu također navela druge odlučujuće elemente u vezi s pretraživačima, koji bi mogli biti korisni za određivanje odvijaju li se aktivnosti u kontekstu poslovnog nastana: činjenicu da je poslovni nastan odgovoran za odnose s korisnicima; da sudjeluje u oglašavanju usmjerenom na stanovnike te države ili da odgovara pred nadležnim tijelima države članice u vezi s podacima korisnika(27).
41.      U konačnici, kako bi se u ovom predmetu moglo odrediti može li se mađarsko pravo primijeniti na djelatnost Weltimma u Mađarskoj, trebalo bi utvrditi ima li Weltimmo poslovni nastan u navedenoj državi članici, u okviru čijih aktivnosti je bila provedena sporna obrada podataka. U tu svrhu treba utvrditi ima li zastupnik koji je naveden u odluci kojom se upućuje zahtjev za prethodnu odluku stabilan nastan, neovisno o njegovu pravnom obliku, putem kojeg efektivno i stvarno obavlja djelatnost u okviru koje je došlo do sporne obrade podataka.
42.      U konačnici, smatram da na pitanja Kúrije od prvog do šestog treba odgovoriti zajedno na način da članak 4. stavak 1. točka (a) Direktive 95/46 onemogućava da mađarsko tijelo za zaštitu podataka primijeni mađarski zakon na nadzornika podataka s poslovnim nastanom isključivo u drugoj državi članici. U tu svrhu pojam poslovni nastan treba tumačiti kao postojanje stabilnog nastana, neovisno o njegovu pravnom obliku, putem kojeg efektivno i stvarno obavlja djelatnost. Samo jedan zastupnik može se smatrati stabilnim nastanom ako predstavlja dovoljan stupanj stabilnosti u vidu ljudskih i tehničkih resursa potrebnih za pružanje konkretnih usluga o kojima je riječ.
Drugi elementi, kao što su mjesto s kojeg su podaci učitavani, državljanstvo osoba čiji su podaci korišteni, prebivalište vlasnika poduzeća koje je nadzornik podataka ili činjenica da je usluga koju taj nadzornik pruža usmjerena na područje druge države članice, nemaju izravnu i odlučujuću važnost za određivanje primjenjivog zakona, neovisno o tome što bi mogli predstavljati indicije da je riječ o stvarnoj i efektivnoj djelatnosti – u svrhu određivanja mjesta poslovnog nastana – i osobito pri određivanju je li do obrade podataka došlo u okviru aktivnosti navedenog poslovnog nastana.
B.      Nadležno nadzorno tijelo i moguće razdvajanje primjenjivog prava od nadležnog tijela (sedmo prethodno pitanje)
43.      Kúria sedmim prethodnim pitanjem pita Sud u slučaju da „[...] iz odgovora na prethodna pitanja proizlazi da mađarsko tijelo za zaštitu podataka može voditi postupak, ali ne može primjenjivati mađarsko pravo, već pravo države članice sjedišta, treba li članak 28. stavak 6. Direktive tumačiti na način da mađarsko tijelo za zaštitu podataka jedino može izvršavati ovlasti navedene u članku 28. stavku 3. sukladno propisu države članice sjedišta, i da stoga nije ovlašteno izreći novčanu kaznu“.
44.      Razvidno je da je to prethodno pitanje odlučujuće samo za slučaj u kojem bi sud koji je uputio zahtjev smatrao da, u skladu s prethodno navedenim kriterijima, Weltimmo nema poslovni nastan u Mađarskoj, nego isključivo u Slovačkoj. Kako bismo mogli ponuditi koristan odgovor na to prethodno pitanje, unaprijed je potrebno razmotriti – budući da to izričito ne proizlazi iz odgovora na prethodna pitanja – mogućnost da nadzorno tijelo države članice može postupati čak i kad se, s obzirom na kriterije iz članka 4. stavka 1. točke (a) Direktive, primjenjuje pravo druge države članice. Potvrdan odgovor na to pitanje podredno bi doveo do potrebe za utvrđivanjem opsega i sadržaja ovlasti navedenog tijela.
45.      Stoga se prethodno postavlja pitanje predstavlja li članak 4. koji se odnosi na primjenjivi zakon ne samo odredbu o određivanju primjenjivog zakona nego i pravilo za određivanje sudske nadležnosti, a ako je to slučaj, potrebno je razmotriti važnost pojašnjenja navedenih u članku 28. u vezi s ovlastima javnih tijela. Sve to dalje treba razmotriti u okolnostima opsežne reforme prava Unije u području zaštite podataka(28).
46.      U očitovanjima iznesenima pred Sudom navode se različita tumačenja stavaka 1., 3. i 6. članka 28. Direktive. Tako mađarsko tijelo za zaštitu podataka navodi da je nadležno za izricanje novčane kazne, čak i ako se primjenjuje zakonodavstvo druge države članice. Na isti se način izjašnjava mađarska vlada, prema kojoj je očito da pravila u vezi sa statusom i postupkom za provođenje ovlasti nadzornih tijela, iz članka 28. stavka 3. Direktive, ostaju uređena nacionalnim pravom države članice u kojoj navedeno tijelo ima sjedište, zbog čega se novčane kazne izriču u skladu s njezinim nacionalnim pravom.
47.      Komisija pak smatra da nadzorna tijela države članice imaju pravo provoditi ovlasti navedene u članku 28. stavku 3. Direktive, u mjeri u kojoj ih smiju provoditi na svojem području u skladu s člankom 28. stavcima 1. i 6. Suprotno tomu, ako se ovlast može provesti isključivo na području druge države članice, to tijelo ne bi imalo drugu mogućnost nego da od nadzornog tijela navedene države članice zatraži administrativnu suradnju. Nadzorno tijelo prve države članice tako ne bi moglo nametnuti sankcije nadzorniku s poslovnim nastanom isključivo u drugoj državi članici. Slovačka vlada na jednak način smatra da bi, u slučaju da je primjenjivo slovačko pravo, mađarsko tijelo za zaštitu podataka, u skladu s člankom 28. stavcima 3. i 6., imalo ovlast za provođenje istrage i ispitivanje pritužbi koje su mu podnesene, postupajući prema vlastitim postupovnim pravilima, ali bi trebalo uputiti zahtjev za suradnju tijelu države članice čiji se zakon primjenjuje s obzirom na to da se to tijelo za zaštitu podataka treba izjasniti o mogućem nametanju sankcije. Poljska ističe da mogućnost da tijela vlasti jedne države članice primijene materijalno pravo druge države članice nije predviđena Direktivom te navodi da bi ona, u slučaju da je zakonodavac želio predvidjeti takvu ambicioznu mogućnost, sadržavala precizne odredbe u kojima bi bilo određeno područje njezine primjene. U konačnici, vlada Ujedinjene Kraljevine smatra da, uzimajući u obzir da je primjenjivo slovačko pravo, ne postoji nadležnost mađarskog tijela za zaštitu podataka.
48.      S obzirom na prethodno navedeno, treba skrenuti pažnju na podijeljena mišljenja u iznesenim očitovanjima, među kojima samo Ujedinjena Kraljevina i Poljska zagovaraju potpunu potrebu usklađenosti primjenjivog prava i nadležnosti nadzornog tijela, na način da bi se određivanjem primjenjivog prava u skladu s člankom 4. stavkom 1. točkom (b) Direktive također odredilo nadležno nadzorno tijelo(29).
49.      Kako ću objasniti u nastavku, smatram da se složeno pitanje kojim se bavimo treba riješiti tako da se pokušaju uskladiti posebni ciljevi Direktive i načela kojima se uređuje djelovanje nadzornih upravnih tijela.
50.      Problematiku koja se pojavila postavljanjem ovog prethodnog pitanja treba razmatrati u okviru opsežnijeg ključnog pitanja, a to je treba li dopustiti da Direktiva ublaži ili čak ukine pravilo prema kojem upravna tijela neke države načelno djeluju u skladu sa svojim nacionalnim pravom i primjenjuju ga. Naime, u vezi s ovlastima javnih tijela, pri čemu je riječ o izvršavanju ovlasti javnog prava, osobito ius puniendi, potrebno je poći od zahtjeva koji proizlaze iz teritorijalnog suvereniteta države(30), načela zakonitosti i, u konačnici, pojma pravne države(31), na temelju kojih je nužna usklađenost nadležnosti nadzornog tijela i primjenjivog zakona(32). U tom smislu, provedba stegovnih ovlasti, odnosno onih ovlasti o kojima se konkretno radi u ovom predmetu, ne može se kao opće pravilo odvijati izvan zakonskih granica, u okviru kojih je administrativno tijelo ovlašteno djelovati u skladu sa svojim nacionalnim pravom(33). Razdvajanje navedenog pravila zahtijeva u najmanju ruku poseban pravni temelj kojim bi se odobrila i razgraničila primjena javnog prava druge države članice i kojim bi se osim toga omogućilo da pravni subjekti mogu precizno i jasno predvidjeti koje se pravo primjenjuje na njihovo ponašanje kao i na njegove posljedice(34).
51.      U skladu s prethodno navedenim, smatram da članak 28. stavak 6. prva rečenica, kojim se utvrđuje da je „[s]vako nadzorno tijelo [...] na području svoje države članice nadležno za provedbu ovlasti koje su mu dodijeljene u skladu sa stavkom 3. ovog članka, neovisno o tome koje se nacionalno pravo primjenjuje na tu obradu“, ne predstavlja odredbu koja bi mogla dovesti do tako značajne posljedice(35). Naime, navedena odredba ne utvrđuje nikakve pojedinosti u vezi s područjem primjene, opsegom i jamstvima kojima bi se omogućilo da upravna tijela jedne države članice primijene odredbe, a osobito ne one stegovne, druge države članice.
52.      Ni članak 28. stavak 1. Direktive, prema mojem mišljenju, ne predstavlja dovoljan pravni temelj za takvu tvrdnju, samo na temelju okolnosti, koju navode mađarska vlada i mađarsko tijelo za zaštitu podataka, da ta odredba koristi množinu pri utvrđivanju da „[s]vaka država članica osigurava da je jedno ili više javnih tijela na njenom području odgovorno za nadzor primjene odredbi koje su donijele države članice u skladu s ovom Direktivom“(36).
53.      Bez obzira na prethodno navedeno, te odredbe upućuju na mogućnost određenog razdvajanja nadležnog tijela od primjenjivog prava. U svakom slučaju njima se priznaje mogućnost da tijelo države članice nadzire djelatnosti koje se obavljaju na njezinu području, čak i ako se primjenjuje zakonodavstvo druge države članice.
54.      U ovoj fazi analize smatram da se tumačenje članka 28. stavaka 1., 3. i 6. može uskladiti s temeljnim načelima koja uređuju provedbu upravnih stegovnih ovlasti. To je još lakše ako se prva rečenica prvog podstavka stavka 6. članka 28. razmatrala zajedno s drugom rečenicom istog podstavka, koja utvrđuje da tijelo koje provodi ovlasti na području svoje države članice „može zatražiti tijelo druge države članice da provodi svoje ovlasti“, i s drugim podstavkom iste odredbe, koji utvrđuje da „[n]adzorna tijela međusobno surađuju u mjeri potrebnoj za izvršavanje svojih ovlasti […]“.
55.      U tom smislu, mogućnost djelovanja, koju nadzornom tijelu daje članak 28. stavak 6., čak i ako nije primjenjivo pravo njegove države članice, mora biti predmet sustavnog tumačenja koje uzima u obzir kako postojanje jasne naredbe suradnje među administrativnim tijelima tako i okolnost da jedno tijelo može zatražiti od drugoga da provodi svoje ovlasti. Naime, ukupna ocjena te odredbe upućuje na podjelu zadataka među različitim nadzornim tijelima u okviru suradnje i međusobne pomoći.
56.      Činjenica da se primjenjuje zakonodavstvo neke države članice ne uskraćuje nadzornim tijelima drugih država članica mogućnost za djelovanje, osobito imajući u vidu da u određenim okolnostima, unatoč tomu što se primjenjuje pravo druge države članice u skladu s kriterijem iz članka 4. stavka 1. točke (a) Direktive, mogu postojati mnogi drugi elementi povezani s tim područjem, kao što su tehnički resursi ili, posebice, osobe čiji su se podaci obrađivali. Stoga bi u svrhu učinkovite primjene Direktive bilo potrebno da lokalno tijelo može istražiti i usvojiti određene mjere, i to prije nego što se odredi koje se pravo primjenjuje.
57.      Konkretnije govoreći, nadzorno tijelo od kojeg je podnošenjem prigovora ili pojedinačnog zahtjeva zatraženo da djeluje mora biti u mogućnosti provoditi svoje istražne ovlasti na području svoje države. To je neosporno u skladu s člankom 28. stavkom 4. Direktive u kojemu je propisana obveza nadzornih tijela da ispitaju zahtjeve koje je podnijela bilo koja osoba glede zaštite svojih prava i sloboda u vezi s obradom osobnih podataka. Ta je ocjena također u skladu s odredbama Konvencije 108 Vijeća Europe iz 1981. za zaštitu osoba glede automatizirane obrade osobnih podataka (37), čiji članak 14. predviđa da kad osoba boravi na području druge države stranke, „mora joj se omogućiti podnošenje zahtjeva posredovanjem tijela koje je ta stranka odredila“.
58.      Takav način postupanja već može pružiti zadovoljavajući odgovor na zabrinutost koju je mađarska vlada iznijela na raspravi navodeći da bi, kada mađarsko tijelo za zaštitu podataka ne bi imalo nadležnost, učinkovitost pravnih sredstava utvrđenih Direktivom bila ugrožena obvezom da se oštećene osobe obrate inozemnim tijelima čiji jezik ne poznaju.
59.      U konačnici, neovisno o materijalnom pravu koje se primjenjuje u konkretnom slučaju, nadzorna tijela imaju istražne ovlasti i ovlasti za posredovanje navedene u članku 28. stavku 3. Direktive, ali samo one koje su utvrđene u njihovu nacionalnom pravu, u području njihova teritorijalnog djelovanja(38), i uz poštovanje načela navedenih u točki 50. ovoga mišljenja.
60.      Stoga je očito da ovlast djelovanja nadzornog tijela države članice nije neograničena u slučaju da se primjenjuje materijalno pravo druge države članice. Ovdje treba navesti da i dalje vrijedi načelo prema kojemu nadzorno tijelo u provođenju svojih ovlasti obvezuju ograničenja koja mu se nameću zbog njegova svojstva subjekta javnog prava na kojeg se primjenjuje zakon njegove države članice te da ovlasti može provoditi isključivo na svojem području. Posebice, moguću ocjenu nezakonitosti i isto tako moguće nametanje sankcija za povrede nastale nezakonitom obradom podataka neizbježno mora provesti tijelo države članice čije se materijalno pravo primjenjuje na obradu podataka, u skladu s kriterijem iz članka 4. stavka 1. točke (a) Direktive.
61.      Prema tome, iako ništa ne sprečava da se ovlast za nametanje sankcija smatra jednom od ovlasti na koje se odnosi članak 28. stavak 3. Direktive (čija se treća točka odnosi na „ovlast [nadzornog tijela] za sudjelovanje u sudskim postupcima ako su prekršene nacionalne odredbe“), uzimajući u obzir obvezu suradnje navedenu u članku 28. stavku 6. Direktive, od tijela države članice čiji se zakon primjenjuje na obradu podataka treba zatražiti da utvrdi je li riječ o povredi u skladu s primjenjivim zakonom te da po potrebi nametne sankcije na temelju informacija koje je prikupilo i koje je, ovisno o slučaju, prenijelo tijelo prve države članice.
62.      Takvo tumačenje nije u suprotnosti s mišljenjem koje je Radna skupina iz članka 29. iznijela u različitim dokumentima. Prvo, kao što naglašava u svojem Mišljenju 8/2010 o primjenjivom pravu, svrha članka 28. stavka 6. upravo je „premostiti mogući raskorak između primjenjivog prava i nadležnosti nadzornog tijela do kojeg može doći u području zaštite podataka na unutarnjem tržištu“(39). U tom smislu, iako se u navedenom Mišljenju izričito navodi da „[…] ako se primjenjuje pravo zaštite podataka druge države članice, nadzorno tijelo može na svojem području provoditi sve ovlasti koje mu dodjeljuje njegov nacionalni pravni sustav“, također se izražavaju ozbiljne sumnje u vezi s opsegom ovlasti nadzornih tijela u tom području(40). Naime, kao rezultat naknadnih promišljanja Radne skupine iz članka 29., a na zahtjev Komisije, ona je svoje stajalište u vezi s pitanjem razdvajanja primjenjivog prava od nadležnosti pojasnila u izvješću o praktičnoj provedbi članka 28. stavka 6.(41). Radna skupina zaključuje da u slučaju stvarnog razdvajanja tijelo mora primijeniti postupovne i upravne odredbe svojeg pravnog sustava, dok materijalni aspekti zaštite podataka pripadaju državi članici čije se zakonodavstvo primjenjuje(42).
63.      Prethodna razmatranja dio su posebnog pravnog konteksta u kojemu je direktiva instrument intervencije prava Unije, što je zakonodavstvima država članica omogućilo zadržavanje znatne slobode, osobito kad je riječ o uređivanju i mogućnostima da nadzorna tijela nameću sankcije(43). Stoga bi, bez jasnog pravnog temelja i jamstava kojima se osigurava bliska suradnja pri tumačenju povreda i istovjetnosti sankcija(44), bilo teško uskladivo s načelom teritorijalnog suvereniteta i načelom zakonitosti to da razdvajanje nadležnog tijela od primjenjivog prava dovede ili do nametanja sankcija u skladu s pravom države lokalnog nadzornog tijela – za koje se može dogoditi da nisu predviđene u pravnom poretku države čije se zakonodavstvo primjenjuje na obradu podataka – ili do toga da lokalno tijelo primjenjuje stegovno pravo druge države članice.
64.      U konačnici, pozivanje mađarske vlade i mađarskog nadzornog tijela na analognu primjenu presude Suda u predmetu UPC DTH(45), kako bi se opravdala nadležnost tog tijela za nametanje sankcija u ovom predmetu, ne dovodi do drukčijeg zaključka. U toj presudi, koja se odnosi na tumačenje nekih instrumenata regulatornog okvira za elektroničke komunikacije(46), Sud je odlučio da „su postupci nadzora u vezi s elektroničkim komunikacijskim uslugama […] u nadležnosti tijela države članice u kojoj se nalaze primatelji tih usluga“(47).
65.      Kao odgovor na navedenu tvrdnju, dovoljno je istaknuti da je, neovisno o tome odnosi li se to tumačenje na situaciju slobodnog pružanja usluga i je li uključeno u pravni okvir čiji se ciljevi i struktura znatno razlikuju od onog kojim se bavimo u ovom predmetu, još važnije to da su ta razmatranja iznesena u situaciji u kojoj nije bilo spora o primjenjivom pravu(48).
66.      Zbog svih navedenih razloga, i s obzirom na trenutačno stanje prava Unije, smatram da na sedmo prethodno pitanje koje je postavila Kúria treba odgovoriti na sljedeći način:
U slučaju da nacionalni sud utvrdi da se ne primjenjuje njegovo nacionalno pravo, u skladu s kriterijem navedenim u članku 4. stavku 1. točki (a) Direktive 95/46, članak 28. stavak 6. navedene direktive treba tumačiti na način da je za nametanje sankcija za povrede u vezi s obradom podataka nadležno nadzorno tijelo države članice čije se pravo primjenjuje, neovisno o tome koje lokalno nadzorno tijelo može na svojem području izvršavati sve ovlasti navedene u članku 28. stavku 3. u skladu s uvjetima utvrđenima u njegovu nacionalnom pravu.
C.      Pojam „obrada“ podataka (osmo prethodno pitanje)
67.      Sud koji je uputio zahtjev svojim osmim pitanjem pita Sud: „Može li se smatrati da je pojam ‚adatfeldolgozás‘ [procesiranje podataka] sadržan kako u članku 4. stavku 1. točki (a) tako i u članku 28. stavku 6. [mađarske verzije] Direktive o zaštiti podataka istovjetan pojmu ‚adatkezelés‘ [obrada podataka]?“.
68.      U svim očitovanjima iznesenima pred Sudom prisutan je jedinstveni zaključak da terminološka razlika navedena u odluci kojom se upućuje zahtjev za prethodnu odluku nema utjecaja.
69.      U odredbama Direktive 95/46 sustavno se koristi samo izraz „[adat]feldolgozás“ koji se odnosi na pojam obrade podataka, na način utvrđen u članku 2. točki (b) Direktive. Samo u Zakonu o informacijama dolazi do razlikovanja pojmova „adatkezelés“ i „adatfeldolgozás“(49), pri čemu potonji znači „izvršavanje tehničkih zadataka povezanih s postupcima obrade podataka […]“(50).
70.      Međutim, definicija pojma „[adat]feldolgozás“ sadržanoga u članku 2. točki (b) Direktive, upotrijebljenoga i u članku 4. stavku 1. točki (a)_kao i u članku 28. stavku 6., veoma je široka i uključuje svaku djelatnost koja se primjenjuje na osobne podatke, neovisno o tome provodi li se pomoću automatskih postupaka ili ne. Stoga bi taj širok pojam obrade uključivao ograničeniji pojam izvršavanja tehničkih zadataka povezanih s postupcima obrade podataka.
71.      Zato Sudu predlažem da na osmo prethodno pitanje odgovori na sljedeći način:
Pojam „adatfeldolgozás“, upotrijebljen u članku 4. stavku 1. točki (a) i članku 28. stavku 6. mađarske verzije Direktive 95/46, treba tumačiti na način da obuhvaća kako obradu podataka u širokom smislu tako i izvršavanje tehničkih zadataka povezanih s postupcima obrade podataka.
V.      Zaključak
72.      Uzimajući u obzir izložene argumente, predlažem Sudu da na prethodna pitanja koja je uputila Kúria odgovori na sljedeći način:
„1.      Članak 4. stavak 1. točka (a) Direktive 95/46 onemogućava da mađarsko tijelo za zaštitu podataka primijeni mađarski zakon na nadzornika podataka s poslovnim nastanom isključivo u drugoj državi članici. U tu svrhu pojam poslovni nastan treba tumačiti kao postojanje stabilnog nastana, neovisno o njegovu pravnom obliku, putem kojeg efektivno i stvarno obavlja djelatnost. Samo jedan zastupnik može se smatrati stabilnim nastanom ako predstavlja dovoljan stupanj stabilnosti u vidu ljudskih i tehničkih resursa potrebnih za pružanje konkretnih usluga o kojima je riječ.
Drugi elementi, kao što su mjesto s kojeg su podaci učitavani, državljanstvo osoba čiji su podaci korišteni, prebivalište vlasnika poduzeća koje je nadzornik podataka ili činjenica da je usluga koju taj nadzornik pruža usmjerena na područje druge države članice, nemaju izravan i odlučujući značaj za određivanje primjenjivog zakona, neovisno o tome što bi mogli predstavljati indicije da je riječ o stvarnoj i efektivnoj djelatnosti – u svrhu određivanja mjesta poslovnog nastana – i osobito pri određivanju je li do obrade podataka došlo u okviru aktivnosti navedenog poslovnog nastana.
2.      U slučaju da nacionalni sud utvrdi da se ne primjenjuje njegovo nacionalno pravo, u skladu s kriterijem navedenim u članku 4. stavku 1. točki (a) Direktive 95/46, članak 28. stavak 6. navedene direktive treba tumačiti na način da je za nametanje sankcija za povrede u vezi s obradom podataka nadležno nadzorno tijelo države članice čije se pravo primjenjuje, neovisno o tome koje lokalno nadzorno tijelo može na svojem području izvršavati sve ovlasti navedene u članku 28. stavku 3. u skladu s uvjetima utvrđenima u njegovu nacionalnom pravu.
3.      Pojam ‚adatfeldolgozás‘, upotrijebljen u članku 4. stavku 1. točki (a) i članku 28. stavku 6. mađarske verzije Direktive 95/46, treba tumačiti na način da obuhvaća kako obradu podataka u širokom smislu tako i izvršavanje tehničkih zadataka povezanih s postupcima obrade podataka.“
1  – Izvorni jezik: španjolski
2  – Direktiva Europskog parlamenta i Vijeća od 24. listopada 1995. (SL L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)
3  – C‑131/12, EU:C:2014:317
4  – Osobito vidjeti Rigaux, F. „La loi applicable à la protection des individus à l’égard du traitement automatisé des données à caractère personnel“, Revue critique de droit international privé, 1980., str. 443. do 478.
5  – Bygrave, L., „Determining applicable law pursuant to European Data Protection Legislation“, Computer Law and Security Report, br. 16, 2000., str. 252.
6  – U španjolskom prijevodu te odredbe postoji mala pogreška jer je glagol upotrijebljen u jednini. To potvrđuju druge jezične verzije: „each Member State shall apply the national provisions it adopts pursuant to this Directive […]“, „chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente directive“ itd.
7  – C‑131/12, EU:C:2014:317
8  – C‑131/12, EU:C:2014:317, t. 48. do 50.
9  – Vidjeti presude Factortame i dr., C‑221/89, EU:C:1991:320, t. 20. i Komisija/Ujedinjena Kraljevina, C‑246/89, EU:C:1991:375, t. 21.
10  – Presuda Cadbury Schweppes i Cadbury Schweppes Overseas, C‑196/04, EU:C:2006:544, t. 54.
11  – Mišljenje o primjenjivom pravu izdano 16. prosinca 2010., 0836‑02/10/ES, WP 179.
12  – Naime, navedeno mišljenje upućuje na presude Berkholz, 168/84, EU:C:1985:299, t. 18. i Lease Plan, C‑390/96, EU:C:1998:206, koje se odnose na tumačenje članka 9. stavka 1. Šeste direktive Vijeća 77/388/EEZ od 17. svibnja 1977. o usklađivanju zakonodavstva država članica koja se odnose na poreze na promet – Zajednički sustav poreza na dodanu vrijednost: jedinstvena osnovica za razrezivanje (SL L 145, str. 1.) (SL, posebno izdanje na španjolskom jeziku, poglavlje 9., svezak 1., str. 54.).
13  – Presuda Welmory, C‑605/12, EU:C:2014:2298, t. 58., u vezi s tumačenjem članka 44. Direktive Vijeća 2006/112/EZ od 28. studenoga 2006. o zajedničkom sustavu poreza na dodanu vrijednost (SL L 347, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 9., svezak 1., str. 120.), kako je izmijenjena Direktivom Vijeća 2008/8/EZ od 12. veljače 2008. (SL L 44, str. 11.). Vidjeti i presudu Planzer Luxembourg, C‑73/06, EU:C:2007:397, t. 54. i navedenu sudsku praksu.
14  – Konvencija o pravu koje se primjenjuje na ugovorne obveze otvorena za potpisivanje u Rimu 19. lipnja 1980. (SL L 266., str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 1., svezak 13., str. 7.)
15  – Konvencija iz Bruxellesa od 27. rujna 1968. o nadležnosti i izvršenju sudskih odluka u građanskim i trgovačkim stvarima (SL 1972., L 299, str. 32.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 15., str. 3.)
16  –      Pritom navodi da „pojam podružnice, agencije ili bilo kojeg drugog poslovnog nastana pretpostavlja centar poslovnih aktivnosti koji se na stalan način očituje na van kao nastavak društva majke te koji ima svoju upravu i koji je materijalno opremljen za poslovanje s trećim osobama […]“ (presude Somafer, 33/78, EU:C:1978:205, t. 12. i Blanckaert i Willems, 139/80, EU:C:1981:70, t. 11.) i da se „[…] izraz ‚poslovni nastan’ odnosi na sve stabilne strukture nekog poduzeća. Stoga i druge jedinice, poput ureda nekog poduzeća, a ne samo društva kćeri i podružnice, mogu predstavljati poslovni nastan u smislu članka 6. stavka 2. točke (b) Rimske konvencije, čak i ako nemaju pravnu osobnost.“ (presuda Voogsgeerd, C‑384/10, EU:C:2011:842, t. 54.).
17  — Mišljenje 8/2010, str. 14.
18  – C‑131/12, EU:C:2013:424, t. 65.
19  – Direktiva 2000/31/EZ Europskog parlamenta i Vijeća od 8. lipnja 2000. o određenim pravnim aspektima usluga informacijskog društva na unutarnjem tržištu, posebno elektroničke trgovine (SL L 178, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 39., str. 58.)
20  – Vidjeti Radni dokument o međunarodnoj primjeni zakonodavstva Zajednice o zaštiti podataka pri obradi osobnih podataka na internetu putem mrežnih stranica izvan Europske unije, UE, WP 56, 5035/01/ES/Final, 30. svibnja 2002., str. 8.
21  – Mišljenja iznesena pred Sudom međusobno se razlikuju u vezi s tim čimbenicima. Dok mađarsko tijelo za zaštitu podataka smatra da su ti elementi relevantni, Ujedinjena Kraljevina smatra da nijedan od navedenih čimbenika nije relevantan jer se u članku 4. stavku 1. Direktive ne spominje nijedan. Na sličan se način izjašnjava i Europska komisija. Za mađarsku vladu relevantna je samo činjenica da su usluge bile usmjerene na područje države članice te mjesto s kojeg su se podaci učitavali na informatički sustav. Slovačka vlada smatra da za određivanje primjene nacionalnog prava nije relevantno ni mjesto s kojeg se prenose podaci ni državljanstvo osoba čiji su podaci bili korišteni ni prebivalište vlasnika poduzeća.
22  – Na taj se način izjašnjava i Radna skupina iz članka 29. navodeći da „[za određivanje primjenjivog prava] nije odlučujuće ni državljanstvo ni mjesto stalnog prebivališta dotičnih osoba ni fizička lokacija osobnih podataka“. Mišljenje 8/2010, str. 10. Vidjeti i točke 55. do 58. mišljenja nezavisnog odvjetnika N. Jääskinena u predmetu Google Spain i Google, C‑131/12, EU:C:2013:424.
23  – C131/12, EU:C:2014:317, t. 48. do 50.
24  – Ibid., t. 52.
25  – Ibid., t. 53.
26 –      U vezi s tim pitanjem vidjeti i Mišljenje 8/2010 Radne skupine iz članka 29.
27  – Mišljenje 1/2008 o pitanjima zaštite podataka u vezi s pretraživačima izdano 4. travnja 2008., WP 148, 00737/ES.
28  – Prijedlog uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka, COM(2012) 11 final.
29  – Osim toga, mišljenja u pravnoj teoriji podijeljena su po tom pitanju. Neki autori smatraju da članak 4. Direktive predstavlja pravilo kojim se također utvrđuje nadležnost (npr. Bing, J., „Data Protection, Jurisdiction and the Choice of Law“, Privacy Law & Policy Reporter, 1999.), dok drugi tvrde suprotno. Vidjeti na primjer Swire, P. P., „Of Elephants, Mice and Privacy: International Choice of Law and the Internet“, The International Lawyer, 1998., str. 991. Isto tako, o toj raspravi vidjeti Kuner, C., „Data Protection Law and International Jurisdiction on the Internet (Part 1)“, International Journal of Law and Information Technology, br. 18, 2010., str. 176.
30  – U uvodnoj izjavi 21. Direktive izričito se navodi da ta direktiva „ne dovodi u pitanje načela teritorijalnosti koja se primjenjuju u kaznenim stvarima“. Smatram da se ista ocjena može primijeniti na upravne kazne.
31  – Čija se temeljna jezgra može definirati na način da sva javna tijela na svim razinama „must exercise the powers conferred on them reasonably, in good faith, for the purpose for which the powers were conferred and without exceeding the limits of such powers“, Lord Bingham, „The Rule of Law“, The Cambridge Law Journal, br. 66, 2007., str. 78.
32  – U pravnoj se teoriji navodi da „kao posljedica uglavnom administrativne ili javnopravne prirode sustava nadzora, postoji bliska povezanost između primjenjivog zakona i tijela nadležnog za sankcioniranje mogućih povreda“, de Miguel Asensio, P. A., Derecho Privado de Internet, 4. izdanje, Madrid, 2011., str. 333. Pravna se teorija na sličan način izjasnila u vezi s nadležnostima nadzornih tijela u području tržišnog natjecanja, navodeći da, u području javnog djelovanja, mogućnost primjene pravila određuje nadležnost tijela koje ga mora primijeniti. Vidjeti primjerice Basedow, J. „Antitrust or Competition Law, International“, u: Wolfrum, R. (ur.), Max Planck Encyclopedia of Public International Law, 2009.
33  – U tom smislu, Rigaux: „On ne conçoit guère que les autorités administratives, les commissions de contrôle […] les organes de surveillance soumettent les fichiers du secteur privé à d’autres normes de conduite et qu’ils obéissent eux‑mêmes à d’autres règles de fonctionnement qu’à celles qui sont contenues dans la lex fori“, op. cit. str. 469.
34  – C. Ohler, Die Kollisionsordnung des allgemeinen Verwaltungsrechts, Mohr Siebeck, 2005., str. 109. i 314.
35  – Moje isticanje
36  – Moje isticanje. O toj raspravi vidjeti Damman U. i Simitis S., EG‑Datenschutzrichtlinie, Nomos Verlagsgesellschaft, Baden‑Baden, 1997., str. 306.
37  – (ETS 108), čije su potpisnice sve države članice. U skladu s uvodnom izjavom 11. Direktive, ta direktiva daje sadržaj i jača zaštitu iz navedene konvencije.
38  – O tom pitanju vidjeti Damman U. i Simitis S., op. cit. str. 313.
39  – Mišljenje 8/2010 o primjenjivom pravu, str. 29.
40  – Tako se, s jedne strane, u Mišljenju 8/2010 Radne skupine iz članka 29. ističe da sadržaj suradnje među nadzornim tijelima, kako se dobro primjećuje, ne obuhvaća isključivo razmjenu informacija, nego i „obradu prekograničnih pritužbi, prikupljanje dokaza za druga tijela za zaštitu podataka ili nametanje sankcija“ (str. 31.). Međutim, u navedenom se mišljenju izražavaju sumnje u vezi s opsegom ovlasti koje mora provoditi svako tijelo za zaštitu podataka: „osobito, u kojoj će mjeri tijelo za zaštitu podataka na lokaciji obrade provoditi svoje ovlasti u vezi s primjenom materijalnih načela i sankcija? Treba li provođenje svojih ovlasti ograničiti na provjeru činjenica? Može li donositi privremene provedbene mjere ili čak konačne mjere? Može li samostalno tumačiti odredbe primjenjivog prava ili je to ovlast tijela za zaštitu podataka države članice čije se pravo primjenjuje? […]“ (str. 30.).
41  – Advice paper on the practical implementation of the Article 28(6) of the Directive 95/46/EC, Ref. Ares (2011) 444105, od 20. travnja 2011.
42  – Ibid., str. 31. U tom pogledu vrlo je slikovit primjer br. 10 u mišljenju, prema kojemu hipotetski slučaj, u kojemu se njemačko pravo primjenjuje na obradu podataka provedenu u Ujedinjenoj Kraljevini, upućuje na to da „nadzorno tijelo u Ujedinjenoj Kraljevini mora imati ovlast pregledati prostore smještene u Ujedinjenoj Kraljevini i donijeti zaključke koji se moraju dostaviti njemačkom nadzornom tijelu. Njemačko nadzorno tijelo mora imati mogućnost nametnuti sankciju nadzorniku s poslovnim nastanom u Njemačkoj na temelju rezultata koje je utvrdilo nadzorno tijelo u Ujedinjenoj Kraljevini“.
43  – Tako se navodi u uvodnoj izjavi 9. Direktive. U tom smislu vidjeti dokument koji je izradila Agencija Europske unije za temeljna prava, Data Protection in the European Union: the role of National Data Protection Authorities, 2010., u kojemu se ističu različite ovlasti nadzornih tijela u državama članicama.
44  – U tom je smislu neosporna važnost i inovativan karakter prava Unije u području zaštite podataka u administrativnom prostoru Europske unije. Prijedlog buduće opće uredbe o zaštiti podataka, ako bude usvojen, dovest će do opsežne promjene u tom području, osobito u vezi s pokretanjem složenog i razrađenog sustava suradnje, usklađenosti i podjele odgovornosti među različitim nadzornima tijelima.
45  – C‑475/12, EU:C:2014:285
46  – Konkretno, Direktiva 2002/20/EZ Europskog parlamenta i Vijeća od 7. ožujka 2002. o ovlaštenju u području elektroničkih komunikacijskih mreža i usluga (SL L 108, str. 21.), kako je izmijenjena Direktivom 2009/140/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009. (Direktiva o ovlaštenju) (SL L 337, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 50., str. 68.), i Direktiva 2002/21/EZ od 7. ožujka 2002. o zajedničkom regulatornom okviru za elektroničke komunikacijske mreže i usluge (SL L 108, str. 33.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 49., str. 25.), kako je izmijenjena Direktivom 2009/140.
47  –      Presuda UPC DTH, C‑475/12, EU:C:2014:285, t. 88.
48  – Naime, sankcija nametnuta u navedenom predmetu bila je nametnuta zato što je predmetno društvo odbilo dostaviti informacije nacionalnom tijelu za komunikacije. Sud je naveo da „na temelju članka 11. stavka 1. točke (b) Direktive o ovlaštenju […] državna tijela mogu od poduzeća zahtijevati dostavu informacija koje su razumno potrebne i objektivno opravdane kako bi im se omogućila provjera poštovanja uvjetâ zaštite potrošača, kad zaprime žalbu ili vode istragu na vlastitu inicijativu“, ibid., t. 85.
49  – U Direktivi se pojavljuje samo jedna riječ koja se izvodi iz izraza „adatkezelés“, kod upućivanja na nadzornika podataka.
50  – Članak 3. stavak 17. Zakona o informacijama. Stavak 10. članka 3. Zakona o informacijama široko definira pojam „adatkezelés“ te on u biti odgovara pojmu obrade podataka kako je definiran u članku 2. točki (b) Direktive.