62014CJ0230
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τρίτο τμήμα)
της 1ης Οκτωβρίου 2015 (
*
)
«Προδικαστική παραπομπή — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46/ΕΚ — Άρθρα 4, παράγραφος 1, και 28, παράγραφοι 1, 3 και 6 — Υπεύθυνος για την επεξεργασία τυπικώς εγκατεστημένος εντός κράτους μέλους — Προσβολή του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα όσον αφορά φυσικά πρόσωπα εντός άλλου κράτους μέλους — Προσδιορισμός του εφαρμοστέου δικαίου και αρμόδια αρχή — Άσκηση των εξουσιών της αρχής ελέγχου — Εξουσία επιβολής κυρώσεων»
Στην υπόθεση C‑230/14,
με αντικείμενο αίτηση προδικαστικής αποφάσεως βάσει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Kúria (Ουγγαρία), με απόφαση της 22ας Απριλίου 2014, η οποία περιήλθε στο Δικαστήριο στις 12 Μαΐου 2014, στο πλαίσιο της δίκης
Weltimmo s. r. o.
κατά
Nemzeti Adatvédelmi és Információszabadság Hatóság,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τρίτο τμήμα),
συγκείμενο από τους M. Ilešič, πρόεδρο τμήματος, A. Ó Caoimh, C. Toader, E. Jarašiūnas και C. G. Fernlund (εισηγητή), δικαστές,
γενικός εισαγγελέας: P. Cruz Villalón
γραμματέας: I. Illéssy, υπάλληλος διοικήσεως,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 12ης Μαρτίου 2015,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
—
το Nemzeti Adatvédelmi és Információszabadság Hatóság, εκπροσωπούμενο από τον A. Péterfalvi, επικουρούμενο από τον G. Dudás, ügyvéd,
—
η Ουγγρική Κυβέρνηση, εκπροσωπούμενη από τους M. Z. Fehér, G. Koós, καθώς και από την A. Pálfy,
—
η Πολωνική Κυβέρνηση, εκπροσωπούμενη από τον B. Majczyna, καθώς και από τις M. Kamejsza και M. Pawlicka,
—
η Σλοβακική Κυβέρνηση, εκπροσωπούμενη από την B. Ricziová,
—
η Κυβέρνηση του Ηνωμένου Βασιλείου, εκπροσωπούμενη από τον M. Holt, επικουρούμενο από τον J. Holmes, barrister,
—
η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Tokár, B. Martenczuk, καθώς και από την J. Vondung,
αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 25ης Ιουνίου 2015,
εκδίδει την ακόλουθη
Απόφαση
1
Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία των άρθρων 4, παράγραφος 1, στοιχείο αʹ, και 28, παράγραφοι 1, 3 και 6, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 281, σ. 31).
2
Η αίτηση αυτή υποβλήθηκε στο πλαίσιο διαφοράς μεταξύ της Weltimmo s. r. o. (στο εξής: Weltimmo), εταιρίας εδρεύουσας στη Σλοβακία, και του Nemzeti Adatvédelmi és Információszabadság Hatóság (εθνικής αρχής για την προστασία προσωπικών δεδομένων και για την ελευθερία πληροφορήσεως, στο εξής: ουγγρική αρχή ελέγχου) που αφορά πρόστιμο το οποίο επέβαλε η τελευταία λόγω παραβάσεως του νόμου CXII του 2011, σχετικά με το δικαίωμα αυτοπροσδιορισμού σε θέματα πληροφορήσεως και με την ελευθερία πληροφορήσεως (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény, στο εξής: νόμος για την πληροφόρηση), που μετέφερε την οδηγία 95/46 στο ουγγρικό δίκαιο.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3
Οι αιτιολογικές σκέψεις 3, 18 και 19 της οδηγίας 95/46 έχουν ως εξής:
«(3)
[εκτιμώντας ότι] για την εγκαθίδρυση και τη λειτουργία της εσωτερικής αγοράς στην οποία, σύμφωνα με το άρθρο [26 ΣΛΕΕ], εξασφαλίζεται η ελεύθερη κυκλοφορία εμπορευμάτων, προσώπων, υπηρεσιών και κεφαλαίων, απαιτείται όχι μόνο η δυνατότητα κυκλοφορίας των δεδομένων προσωπικού χαρακτήρα μεταξύ κρατών μελών αλλά και η προστασία των θεμελιωδών δικαιωμάτων του ατόμου·
[...]
(18)
[εκτιμώντας ότι], προκειμένου να αποφευχθεί ο αποκλεισμός ενός προσώπου από τη δυνάμει της παρούσας οδηγίας προστασία, είναι απαραίτητο κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται στην Κοινότητα να τηρεί τη νομοθεσία ενός από τα κράτη μέλη· ότι είναι σκόπιμο οι επεξεργασίες που εκτελούνται από πρόσωπα ενεργούντα υπό τον έλεγχο του υπευθύνου της επεξεργασίας ο οποίος είναι εγκατεστημένος σε κράτος μέλος να υπόκεινται στη νομοθεσία του κράτους αυτού·
(19)
[εκτιμώντας ότι] η εγκατάσταση στο έδαφος κράτους μέλους περιλαμβάνει την πραγματική άσκηση δραστηριότητας βάσει μονίμου καταστήματος· ότι η νομική μορφή ενός τέτοιου καταστήματος, είτε πρόκειται για απλό υποκατάστημα είτε για θυγατρική με νομική προσωπικότητα, δεν συνιστά καθοριστικό παράγοντα εν προκειμένω· ότι, όταν [ο ίδιος] υπεύθυνος επεξεργασίας είναι εγκατεστημένος στο έδαφος πλειόνων κρατών μελών, ιδίως μέσω θυγατρικής, πρέπει να εξασφαλίζει, κυρίως για να αποφεύγονται οι καταστρατηγήσεις, ότι κάθε κατάστημά του πληροί τις απαιτήσεις τις οποίες προβλέπει η οικεία εθνική νομοθεσία».
4
Το άρθρο 2 της οδηγίας 95/46 προβλέπει τα εξής:
«Για τους σκοπούς της παρούσας οδηγίας, νοούνται ως:
[...]
β)
“επεξεργασία δεδομένων προσωπικού χαρακτήρα [‘feldolgozása’]” (επεξεργασία [“feldolgozás”]): κάθε εργασία ή σειρά εργασιών που πραγματοποιούνται με ή χωρίς τη βοήθεια αυτοματοποιημένων διαδικασιών και εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώρηση, η οργάνωση, η αποθήκευση, η προσαρμογή ή η τροποποίηση, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η ανακοίνωση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η εναρμόνιση ή ο συνδυασμός, καθώς και το κλείδωμα, η διαγραφή ή η καταστροφή·
[...]».
5
Το άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46 ορίζει τα ακόλουθα:
«1.   Κάθε κράτος μέλος εφαρμόζει τις εθνικές διατάξεις που θεσπίζει δυνάμει της παρούσας οδηγίας σε κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα, εφόσον:
α)
η επεξεργασία εκτελείται στα πλαίσια των δραστηριοτήτων υπευθύνου εγκατεστημένου στο έδαφος του κράτους μέλους. Όταν ο ίδιος υπεύθυνος είναι εγκατεστημένος στο έδαφος περισσοτέρων του ενός κρατών μελών, πρέπει να λαμβάνει τα αναγκαία μέτρα ώστε να εξασφαλίζεται ότι κάθε εγκατάστασή του πληροί τις απαιτήσεις που προβλέπει η εφαρμοστέα εθνική νομοθεσία».
6
Κατά το άρθρο 28, παράγραφοι 1, 3 και 6, της οδηγίας 95/46:
«1.   Κάθε κράτος μέλος προβλέπει ότι μία ή περισσότερες δημόσιες αρχές επιφορτίζονται με τον έλεγχο της εφαρμογής, στο έδαφός του, των εθνικών διατάξεων που έχουν θεσπισθεί από τα κράτη μέλη, κατ’ εφαρμογή της παρούσας οδηγίας.
Οι εν λόγω αρχές ασκούν τα καθήκοντα που τους ανατίθενται με πλήρη ανεξαρτησία.
[...]
3.   Κάθε αρχή ελέγχου διαθέτει συγκεκριμένα:
—
μέσα για τη διεξαγωγή έρευνας, όπως το δικαίωμα να έχει πρόσβαση στα δεδομένα που αποτελούν αντικείμενο επεξεργασίας και το δικαίωμα να συλλέγει κάθε αναγκαία πληροφορία για την εκπλήρωση της αποστολής ελέγχου,
—
αποτελεσματικές εξουσίες παρέμβασης, όπως για παράδειγμα την εξουσία να διατυπώνει γνώμες πριν από την εκτέλεση των επεξεργασιών, σύμφωνα με το άρθρο 20, και να διασφαλίζει την κατάλληλη δημοσιότητα των γνωμών αυτών, την εξουσία να επιτάσσει τη δέσμευση, διαγραφή ή την καταστροφή δεδομένων, να απαγορεύει επίσης προσωρινά ή οριστικά την επεξεργασία, να απευθύνει προειδοποίηση ή επίπληξη προς τον υπεύθυνο για την επεξεργασία ή να προσφεύγει στα εθνικά κοινοβούλια ή άλλα εθνικά πολιτικά όργανα,
—
την εξουσία να παρίσταται ενώπιον δικαστηρίου σε περίπτωση παράβασης των εθνικών διατάξεων που έχουν θεσπισθεί κατ’ εφαρμογή της παρούσας οδηγίας, ή να επισημαίνει τις παραβάσεις αυτές στις δικαστικές αρχές.
Κατά των αποφάσεων της αρχής ελέγχου μπορούν να ασκηθούν [μέσα ένδικης προστασίας].
[...]
6.   Κάθε αρχή ελέγχου είναι αρμόδια, ανεξάρτητα από την εθνική νομοθεσία που εφαρμόζεται στη συγκεκριμένη επεξεργασία, για την άσκηση, στο έδαφος του κράτους μέλους στο οποίο υπάγεται, των εξουσιών που διαθέτει σύμφωνα με την παράγραφο 3 του παρόντος άρθρου. Κάθε αρχή μπορεί να κληθεί να ασκήσει τις εξουσίες της από αρχή άλλου κράτους μέλους.
Οι αρχές ελέγχου διατηρούν μεταξύ τους την αναγκαία συνεργασία για την εκπλήρωση της αποστολής τους, ιδίως με την ανταλλαγή όλων των χρήσιμων πληροφοριών.»
Το ουγγρικό δίκαιο
7
Το άρθρο 2, παράγραφος 1, του νόμου για την πληροφόρηση προβλέπει τα εξής:
«Στο πεδίο εφαρμογής του παρόντος νόμου εμπίπτει κάθε επεξεργασία ή κάθε τεχνική εργασία επεξεργασίας δεδομένων που διενεργείται στο έδαφος της Ουγγαρίας σε σχέση με δεδομένα φυσικών προσώπων, καθώς και με δεδομένα δημόσιου ενδιαφέροντος ή δεδομένα προσπελάσιμα για λόγους δημόσιου συμφέροντος.»
8
Το άρθρο 3, παράγραφοι 10 και 17, του νόμου για την πληροφόρηση περιλαμβάνει τους ακόλουθους ορισμούς:
«10.   “επεξεργασία δεδομένων”: κάθε εργασία ή σύνολο εργασιών που πραγματοποιούνται σε σχέση με τα δεδομένα, ανεξαρτήτως της χρησιμοποιούμενης διαδικασίας, και ιδίως η συλλογή, η αποτύπωση, η καταχώρηση, η οργάνωση, η αποθήκευση, η τροποποίηση, η χρήση, η μελέτη, η διαβίβαση, η δημοσίευση, η εναρμόνιση ή ο συνδυασμός, το κλείδωμα, η διαγραφή ή η καταστροφή, καθώς και η απαγόρευση άλλης χρήσεως των δεδομένων, η φωτογράφιση, ηχογράφηση ή εικονογράφηση ή η καταχώριση των φυσικών χαρακτηριστικών που χρησιμοποιούνται για την αναγνώριση της ταυτότητας των προσώπων (για παράδειγμα, δακτυλικά αποτυπώματα ή αποτύπωμα της παλάμης του χεριού, δείγματα DNA ή εικόνα της ίριδας)·
[...]
17.   “τεχνικές εργασίες επεξεργασίας δεδομένων” [“(adatfeldolgozás”]): η πραγματοποίηση τεχνικών ενεργειών σε σχέση με τις εργασίες επεξεργασίας δεδομένων, ανεξαρτήτως της μεθόδου και του μέσου που χρησιμοποιούνται για την εκτέλεση των εργασιών, καθώς και του τόπου στον οποίο ασκούνται, εφόσον οι τεχνικές ενέργειες αφορούν τα δεδομένα».
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
9
Η Weltimmo, εταιρία εγγεγραμμένη στα μητρώα εταιριών στη Σλοβακία, διαχειρίζεται μια ιστοσελίδα μεσιτείας ακινήτων με αγγελίες για ακίνητα που βρίσκονται στην Ουγγαρία. Στο πλαίσιο αυτό, επεξεργάζεται τα προσωπικού χαρακτήρα δεδομένα των δημοσιευόντων τις αγγελίες. Οι αγγελίες δημοσιεύονται δωρεάν για ένα μήνα και, στη συνέχεια, έναντι αμοιβής. Πολλοί δημοσιεύοντες αγγελίες ζήτησαν, με μήνυμα ηλεκτρονικού ταχυδρομείου, την απόσυρση των αγγελιών τους πριν από τη λήξη του χρονικού αυτού ορίου και, με την ίδια ευκαιρία, τη διαγραφή των δεδομένων προσωπικού χαρακτήρα που τους αφορούν. Εντούτοις, η Weltimmo δεν προέβη στη σχετική διαγραφή και χρέωσε τους ενδιαφερόμενους για τις υπηρεσίες της. Λόγω μη πληρωμής των σχετικών ποσών, η εταιρία αυτή διαβίβασε τα δεδομένα προσωπικού χαρακτήρα που τους αφορούσαν σε επιχειρήσεις εισπράξεως οφειλών.
10
Οι εν λόγω δημοσιεύοντες αγγελίες υπέβαλαν καταγγελίες στην ουγγρική αρχή ελέγχου. Η τελευταία έκρινε ότι ήταν αρμόδια βάσει του άρθρου 2, παράγραφος 1, του νόμου για την πληροφόρηση, εκτιμώντας ότι η συλλογή των σχετικών δεδομένων είχε πραγματοποιηθεί στην ουγγρική επικράτεια και ότι συνιστούσε επεξεργασία δεδομένων ή τεχνική εργασία επεξεργασίας δεδομένων σχετική με φυσικά πρόσωπα. Εκτιμώντας ότι η Weltimmo παρέβη τον νόμο για την πληροφόρηση, η ως άνω αρχή ελέγχου επέβαλε στην εν λόγω εταιρία πρόστιμο δέκα εκατομμυρίων ουγγρικών φιορινιών (HUF) (περίπου 32000 ευρώ).
11
Η Weltimmo προσέφυγε τότε ενώπιον του Fővárosi Közigazgatási és Munkaügyi Bíróság της Βουδαπέστης (δικαστηρίου διοικητικών και εργατικών διαφορών), το οποίο έκρινε ότι το γεγονός ότι η εταιρία αυτή δεν είχε έδρα ή εγκατάσταση στην Ουγγαρία δεν αποτελούσε σοβαρό αμυντικό επιχείρημα, διότι η παροχή των δεδομένων που αφορούν τα σχετικά ουγγρικά ακίνητα και η επεξεργασία των δεδομένων αυτών είχαν πραγματοποιηθεί στην Ουγγαρία. Το ως άνω δικαστήριο, εντούτοις, ακύρωσε την απόφαση της ουγγρικής αρχής ελέγχου για άλλους λόγους, αφορώντες την ασάφεια ορισμένων πραγματικών στοιχείων.
12
Η Weltimmo άσκησε αναίρεση ενώπιον του αιτούντος δικαστηρίου, υποστηρίζοντας ότι δεν απαιτείτο κανένα συμπληρωματικό στοιχείο σχετικό με τα πραγματικά περιστατικά, διότι, κατά το άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46, η ουγγρική αρχή ελέγχου, εν προκειμένω, ήταν αναρμόδια και δεν μπορούσε να εφαρμόσει το ουγγρικό δίκαιο σε παρέχοντα υπηρεσίες εγκατεστημένο σε άλλο κράτος μέλος. Η Weltimmo υποστήριξε ότι, κατ’ εφαρμογήν του άρθρου 28, παράγραφος 6, της οδηγίας 95/46, η ως άνω αρχή όφειλε να ζητήσει από την αρμόδια στον τομέα αυτό σλοβακική αρχή να ενεργήσει αντ’ αυτής.
13
Η ουγγρική αρχή ελέγχου υποστήριξε ότι η Weltimmo είχε, στην Ουγγαρία, εκπρόσωπο ουγγρικής ιθαγενείας, ο οποίος ήταν ένας από τους ιδιοκτήτες της εταιρίας αυτής και ο οποίος την είχε εκπροσωπήσει σε διοικητικές και δικαστικές διαδικασίες εντός του κράτους μέλους αυτού. Η ως άνω αρχή προσέθεσε ότι οι διαδικτυακοί διακομιστές (servers) της Weltimmo βρίσκονταν, κατά πάσα πιθανότητα, στη Γερμανία ή στην Αυστρία, οι ιδιοκτήτες όμως της εταιρίας αυτής κατοικούσαν στην Ουγγαρία. Τέλος, κατά την αρχή αυτή, εκ του άρθρου 28, παράγραφος 6, της οδηγίας 95/46 απορρέει ότι η ίδια ήταν εν πάση περιπτώσει αρμόδια να ενεργήσει, ανεξαρτήτως εφαρμοστέου δικαίου.
14
Διατηρώντας αμφιβολίες όσον αφορά τον προσδιορισμό του εφαρμοστέου δικαίου και όσον αφορά τις εξουσίες που διαθέτει η ουγγρική αρχή ελέγχου βάσει των άρθρων 4, παράγραφος 1, και 28 της οδηγίας 95/46, το Kúria αποφάσισε να αναστείλει τη διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1)
Έχει το άρθρο 28, παράγραφος 1, της οδηγίας 95/46 […] την έννοια ότι η εθνική νομοθεσία κράτους μέλους μπορεί να εφαρμοσθεί, εντός του εδάφους του κράτους μέλους αυτού, στην περίπτωση υπευθύνου επεξεργασίας δεδομένων αποκλειστικώς εγκατεστημένου σε άλλο κράτος μέλος, ο οποίος διαχειρίζεται ιστοσελίδα μεσιτείας ακινήτων και προωθεί, μεταξύ άλλων, ακίνητα ευρισκόμενα στο έδαφος του πρώτου κράτους μέλους, των οποίων οι ιδιοκτήτες έχουν διαβιβάσει τα δεδομένα προσωπικού χαρακτήρα που τους αφορούν σε μέσο αποθηκεύσεως (διακομιστή) και επεξεργασίας δεδομένων που ανήκει στον διαχειριστή της ιστοσελίδας και βρίσκεται σε άλλο κράτος μέλος;
2)
Έχει το άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας [95/46], υπό το πρίσμα των αιτιολογικών σκέψεων 18 έως 20 και των άρθρων 1, παράγραφος 2, και 28, παράγραφος 1, την έννοια ότι η ουγγρική αρχή [ελέγχου] δεν μπορεί να εφαρμόσει το ουγγρικό δίκαιο περί προστασίας δεδομένων, ως εθνικό δίκαιο, σε περίπτωση διαχειριστή ιστοσελίδας μεσιτείας ακινήτων εγκατεστημένου αποκλειστικώς σε άλλο κράτος μέλος ούτε καν όταν αυτός προωθεί, μεταξύ άλλων, ουγγρικά ακίνητα των οποίων οι ιδιοκτήτες διαβίβασαν, κατά πάσα πιθανότητα από την Ουγγαρία, τα δεδομένα που αφορούν τα ακίνητά τους σε μέσο αποθηκεύσεως (διακομιστή) και επεξεργασίας δεδομένων που ανήκει στον διαχειριστή της ιστοσελίδας και βρίσκεται σε άλλο κράτος μέλος;
3)
Έχει σημασία για τη σχετική ερμηνεία το γεγονός ότι η υπηρεσία την οποία παρέχει ο υπεύθυνος επεξεργασίας δεδομένων, ο οποίος διαχειρίζεται την ιστοσελίδα, αφορά το έδαφος άλλου κράτους μέλους;
4)
Έχει σημασία για τη σχετική ερμηνεία το γεγονός ότι τα δεδομένα που αφορούν τα ακίνητα που βρίσκονται στο έδαφος του άλλου κράτους μέλους και τα δεδομένα προσωπικού χαρακτήρα των ιδιοκτητών των ακινήτων απεστάλησαν ηλεκτρονικά από το έδαφος του εν λόγω άλλου κράτους μέλους;
5)
Έχει σημασία για τη σχετική ερμηνεία το γεγονός ότι τα δεδομένα προσωπικού χαρακτήρα που αφορούν τα εν λόγω ακίνητα είναι δεδομένα προσωπικού χαρακτήρα πολιτών άλλου κράτους μέλους;
6)
Έχει σημασία για τη σχετική ερμηνεία το γεγονός ότι οι ιδιοκτήτες της εγκατεστημένης στη Σλοβακία επιχειρήσεως κατοικούν στην Ουγγαρία;
7)
Εάν από τις απαντήσεις στα προηγούμενα ερωτήματα προκύπτει ότι η ουγγρική αρχή [ελέγχου] μπορεί να κινήσει σχετική διαδικασία, αλλά δεν μπορεί να εφαρμόσει το εθνικό δίκαιο και πρέπει να εφαρμόσει το δίκαιο του κράτους μέλους εγκαταστάσεως, έχει το άρθρο 28, παράγραφος 6, της οδηγίας [95/46] την έννοια ότι η ουγγρική αρχή [ελέγχου] μπορεί να ασκήσει μόνον τις εξουσίες που προβλέπονται στο άρθρο 28, παράγραφος 3, της οδηγίας [αυτής] σύμφωνα με τα οριζόμενα στη νομοθεσία του κράτους μέλους εγκαταστάσεως και ότι, για τον λόγο αυτό, δεν έχει εξουσία επιβολής προστίμου;
8)
Μπορεί να γίνει δεκτό ότι ο όρος “adatfeldolgozás” (τεχνικές εργασίες επεξεργασίας δεδομένων) ο οποίος χρησιμοποιείται τόσο στο άρθρο 4, παράγραφος 1, στοιχείο αʹ, όσο και στο άρθρο 28, παράγραφος 6, [του ουγγρικού κειμένου] της οδηγίας [95/46] είναι ταυτόσημος με τον όρο “adatkezelés” (επεξεργασία δεδομένων), ο οποίος χρησιμοποιείται στην εν λόγω οδηγία;»
Επί των προδικαστικών ερωτημάτων
Προκαταρκτικές παρατηρήσεις
15
Όσον αφορά, καταρχάς, το πραγματικό πλαίσιο της διαφοράς της κύριας δίκης, πρέπει να εκτεθούν ορισμένα συμπληρωματικά πληροφοριακά στοιχεία, τα οποία παρέσχε η ουγγρική αρχή ελέγχου με τις γραπτές παρατηρήσεις της και κατά την επ’ ακροατηρίου συζήτηση ενώπιον του Δικαστηρίου.
16
Από τα στοιχεία αυτά προκύπτει, πρώτον, ότι η αρχή αυτή πληροφορήθηκε ανεπισήμως από την αντίστοιχη σλοβακική αρχή ότι η Weltimmo δεν ασκούσε καμία δραστηριότητα στον τόπο της έδρας της, στη Σλοβακία. Εξάλλου, η Weltimmo είχε μεταφέρει επανειλημμένα την έδρα αυτή από το ένα κράτος στο άλλο. Δεύτερον, η Weltimmo είχε δημιουργήσει δύο ιστοσελίδες αγγελιών ακινήτων αποκλειστικά στην ουγγρική γλώσσα. Είχε ανοίξει τραπεζικό λογαριασμό στην Ουγγαρία, προς είσπραξη των αξιώσεών της, και είχε γραμματοθυρίδα εντός του κράτους μέλους αυτού, για τις τρέχουσες υποθέσεις της. Η αλληλογραφία παραλαμβανόταν τακτικά και διαβιβαζόταν στην Weltimmo ηλεκτρονικά. Τρίτον, οι δημοσιεύοντες αγγελίες όφειλαν όχι μόνο να εισάγουν τα σχετικά με τα ακίνητά τους δεδομένα στη ιστοσελίδα της Weltimmo, αλλά και να διαγράφουν τα εν λόγω δεδομένα από την ιστοσελίδα αυτή όταν δεν επιθυμούσαν αυτά να εξακολουθούν να εμφανίζονται στην ιστοσελίδα πέραν του προαναφερθέντος χρονικού ορίου ενός μηνός. Η Weltimmo προέβαλε δυσχέρειες συναρτώμενες με τη μηχανογραφική διαχείριση για να εξηγήσει τη μη διαγραφή των σχετικών δεδομένων. Τέταρτον, η Weltimmo είναι εταιρία στην οποία μετέχουν μόνον ένα ή δύο άτομα. Ο εκπρόσωπός της στην Ουγγαρία επιχείρησε να διαπραγματευθεί με τους δημοσιεύοντες αγγελίες σχετικά με τα μη εξοφληθέντα τιμολόγια.
17
Όσον αφορά, στη συνέχεια, το περιεχόμενο των υποβαλλόμενων ερωτημάτων, μολονότι το αιτούν δικαστήριο χρησιμοποιεί τους όρους «εγκατεστημένου αποκλειστικώς» στο πρώτο και στο δεύτερο ερώτημα, από την απόφαση του αιτούντος δικαστηρίου και από τις γραπτές και προφορικές παρατηρήσεις της ουγγρικής αρχής ελέγχου προκύπτει ότι, καίτοι η Weltimmo είναι καταχωρισμένη στα μητρώα εταιριών στη Σλοβακία και είναι, κατά συνέπεια, εγκατεστημένη εντός του κράτους μέλους αυτού, υπό την έννοια του δικαίου των εταιριών, είναι αμφίβολο αν είναι «εγκατεστημένη» μόνον εντός του κράτους μέλους αυτού, υπό την έννοια του άρθρου 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46. Υποβάλλοντας ερώτημα στο Δικαστήριο όσον αφορά την ερμηνεία της διατάξεως αυτής, το αιτούν δικαστήριο ζητεί, πράγματι, να διευκρινιστεί τι καλύπτει η έννοια της «εγκαταστάσεως» που χρησιμοποιείται στη διάταξη αυτή.
18
Πρέπει, τέλος, να σημειωθεί ότι, στο πρώτο και στο δεύτερο ερώτημα, το αιτούν δικαστήριο εκθέτει ότι ο διακομιστής τον οποίο χρησιμοποιεί η Weltimmo βρίσκεται στη Σλοβακία, ενώ, σε άλλο χωρίο της αποφάσεως του αιτούντος δικαστηρίου, γίνεται λόγος για το ενδεχόμενο να βρίσκονται οι διακομιστές της εταιρίας αυτής στη Γερμανία ή στην Αυστρία. Υπό τις συνθήκες αυτές, σκόπιμο είναι να ληφθεί υπόψη ότι δεν έχει λυθεί το ζήτημα σχετικά με το κράτος μέλος στο οποίο βρίσκονται οι διακομιστές που χρησιμοποιεί η εν λόγω εταιρία.
Σχετικά με το πρώτο μέχρι το έκτο ερώτημα
19
Με το πρώτο μέχρι το έκτο ερώτημά του, ερωτήματα τα οποία πρέπει να εξεταστούν από κοινού, το αιτούν δικαστήριο ζητεί κατά βάση να διευκρινιστεί αν τα άρθρα 4, παράγραφος 1, στοιχείο αʹ, και 28, παράγραφος 1, της οδηγίας 95/46 έχουν την έννοια ότι, υπό περιστάσεις όπως αυτές της κύριας δίκης, παρέχουν τη δυνατότητα στην αρχή ελέγχου κράτους μέλους να εφαρμόσει την εθνική της νομοθεσία περί προστασίας δεδομένων έναντι υπευθύνου επεξεργασίας, του οποίου η εταιρία είναι καταχωρισμένη στα μητρώα εταιριών εντός άλλου κράτους μέλους και ο οποίος διαχειρίζεται ιστοσελίδα αγγελιών ακινήτων σχετικά με ακίνητα που βρίσκονται στο έδαφος του πρώτου από τα δύο αυτά κράτη. Ερωτά ειδικότερα αν ασκεί επιρροή το ότι το κράτος μέλος αυτό είναι εκείνο:
—
με το οποίο συνδέεται η δραστηριότητα του υπευθύνου επεξεργασίας δεδομένων προσωπικού χαρακτήρα,
—
στο οποίο βρίσκονται τα οικεία ακίνητα,
—
από το οποίο γνωστοποιούνται τα δεδομένα που αφορούν τους ιδιοκτήτες των ακινήτων,
—
του οποίου την ιθαγένεια έχουν οι τελευταίοι και
—
στο οποίο κατοικούν οι ιδιοκτήτες της εταιρίας αυτής.
20
Όσον αφορά το εφαρμοστέο δίκαιο, το αιτούν δικαστήριο αναφέρεται ειδικότερα στο σλοβακικό και στο ουγγρικό, εκ των οποίων το πρώτο είναι αυτό του κράτους μέλους εντός του οποίου έχει καταχωριστεί ο υπεύθυνος για την επεξεργασία των σχετικών δεδομένων προσωπικού χαρακτήρα και το δεύτερο αυτό του κράτους μέλους το οποίο αφορούν οι επίμαχες ιστοσελίδες της κύριας δίκης, στο έδαφος του οποίου βρίσκονται τα ακίνητα που αποτελούν το αντικείμενο των δημοσιευομένων αγγελιών.
21
Συναφώς, διαπιστώνεται ότι το άρθρο 4 της οδηγίας 95/46, με τίτλο «Εφαρμοστέο εθνικό δίκαιο», που περιλαμβάνεται στο κεφάλαιο I της οδηγίας αυτής, με τίτλο «Γενικές διατάξεις», διέπει ακριβώς το ζήτημα που θέτει το υποβαλλόμενο ερώτημα.
22
Το άρθρο 28 της οδηγίας 95/46, με τίτλο «Αρχή ελέγχου», αντιθέτως, αφορά τον ρόλο και τις εξουσίες της αρχής αυτής. Κατά το ως άνω άρθρο 28, παράγραφος 1, η αρχή αυτή επιφορτίζεται με τον έλεγχο της εφαρμογής, στο έδαφος του κράτους στο οποίο υπάγεται η ίδια, των διατάξεων που θεσπίζουν τα κράτη μέλη, κατ’ εφαρμογήν της ως άνω οδηγίας. Κατά το άρθρο 28, παράγραφος 6, της οδηγίας αυτής, η αρχή ελέγχου ασκεί τις εξουσίες που διαθέτει, ανεξαρτήτως του εφαρμοστέου εθνικού δικαίου για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα.
23
Κατά συνέπεια, το εφαρμοστέο σχετικά με τον υπεύθυνο της ως άνω επεξεργασίας εθνικό δίκαιο πρέπει να προσδιοριστεί όχι βάσει του άρθρου 28 της οδηγίας 95/46, αλλά βάσει του άρθρου 4 της οδηγίας αυτής.
24
Κατά το άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46, κάθε κράτος μέλος εφαρμόζει τις εθνικές διατάξεις που αυτό θεσπίζει δυνάμει της οδηγίας αυτής σε κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα, εφόσον η επεξεργασία εκτελείται στα πλαίσια των δραστηριοτήτων υπευθύνου για τη σχετική επεξεργασία εγκατεστημένου στο έδαφος του κράτους μέλους.
25
Λαμβανομένου υπόψη του σκοπού της οδηγίας 95/46, ο οποίος συνίσταται στη διασφάλιση αποτελεσματικής και πλήρους προστασίας των θεμελιωδών δικαιωμάτων των φυσικών προσώπων και, ιδίως, του δικαιώματος στην προσωπική σφαίρα, έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η έκφραση «στα πλαίσια των δραστηριοτήτων» [εγκαταστάσεως] δεν μπορεί να ερμηνεύεται υπό στενή έννοια (βλ., επ’ αυτού, απόφαση Google Spain και Google, C‑131/12, EU:C:2014:317, σκέψη 53).
26
Προς επίτευξη του σκοπού αυτού και προς αποφυγή του ενδεχομένου να στερείται ένα άτομο από την προστασία που του εγγυάται η οδηγία αυτή, η αιτιολογική σκέψη 18 της εν λόγω οδηγίας εκθέτει ότι είναι απαραίτητο κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται στην Ευρωπαϊκή Ένωση να είναι σύμφωνη προς τη νομοθεσία ενός από τα κράτη μέλη και ότι είναι σκόπιμο οι επεξεργασίες που εκτελούνται από άτομα ενεργούντα υπό τον έλεγχο του υπευθύνου της επεξεργασίας ο οποίος είναι εγκατεστημένος σε κράτος μέλος να υπόκεινται στη νομοθεσία του κράτους αυτού.
27
Ο νομοθέτης της Ένωσης προέβλεψε με τον τρόπο αυτόν ένα ιδιαιτέρως ευρύ εδαφικό πεδίο εφαρμογής της οδηγίας 95/46, το οποίο και προσδιόρισε στο άρθρο 4 αυτής (βλ., επ’ αυτού, απόφαση Google Spain και Google, C‑131/12, EU:C:2014:317, σκέψη 54).
28
Όσον αφορά, πρώτον, την έννοια της «εγκαταστάσεως», πρέπει να υπομνησθεί ότι η αιτιολογική σκέψη 19 της οδηγίας 95/46 αναφέρει ότι η εγκατάσταση στο έδαφος κράτους μέλους περιλαμβάνει την πραγματική άσκηση δραστηριότητας βάσει μονίμου καταστήματος και ότι η νομική μορφή ενός τέτοιου καταστήματος, είτε πρόκειται για απλό υποκατάστημα είτε για θυγατρική με νομική προσωπικότητα, δεν συνιστά καθοριστικό παράγοντα εν προκειμένω (απόφαση Google Spain και Google, C‑131/12, EU:C:2014:317, σκέψη 48). Η ως άνω αιτιολογική σκέψη εκθέτει ειδικότερα, εξάλλου, ότι, όταν ένας υπεύθυνος επεξεργασίας είναι εγκατεστημένος στο έδαφος πλειόνων κρατών μελών, πρέπει να εξασφαλίζει, κυρίως για να αποφεύγονται οι καταστρατηγήσεις, ότι κάθε κατάστημά του πληροί τις απαιτήσεις τις οποίες προβλέπει η οικεία εθνική νομοθεσία που έχει εφαρμογή στις δραστηριότητες καθενός από αυτά.
29
Εξ αυτού συνάγεται, όπως τόνισε κατ’ ουσίαν ο γενικός εισαγγελέας στα σημεία 28 και 32 έως 34 των προτάσεών του, μια ευέλικτη ερμηνεία της εννοίας της εγκαταστάσεως, διαφοροποιούμενης από την τυπολατρική προσέγγιση κατά την οποία μια εταιρία λογίζεται εγκατεστημένη αποκλειστικά στον τόπο στα μητρώα εταιριών του οποίου είναι καταχωρισμένη. Ειδικότερα, προκειμένου να προσδιοριστεί αν μια εταιρία, υπεύθυνη για την επεξεργασία δεδομένων, διαθέτει εγκατάσταση, υπό την έννοια της οδηγίας 95/46, εντός κράτους μέλους πέραν του κράτους μέλους ή της τρίτης χώρας όπου έχει καταχωριστεί, πρέπει να εκτιμηθεί τόσο ο βαθμός μονιμότητας της εγκαταστάσεως όσο και ο πραγματικός χαρακτήρας της ασκήσεως των δραστηριοτήτων εντός του άλλου αυτού κράτους μέλους, λαμβανομένης υπόψη της συγκεκριμένης φύσεως των οικονομικών δραστηριοτήτων και της σχετικής παροχής υπηρεσιών. Τούτο ισχύει ιδιαίτερα για τις επιχειρήσεις που ασχολούνται με την παροχή υπηρεσιών αποκλειστικά μέσω Διαδικτύου.
30
Συναφώς, πρέπει να γίνει δεκτό, ιδίως, λαμβανομένου υπόψη του σκοπού τον οποίο επιδιώκει η οδηγία αυτή, που συνίσταται στην εξασφάλιση αποτελεσματικής και πλήρους προστασίας του δικαιώματος στην προσωπική σφαίρα και στην αποφυγή κάθε καταστρατηγήσεως, ότι η παρουσία ενός μόνον εκπροσώπου μπορεί να αρκεί, υπό ορισμένες περιστάσεις, για να αποτελεί μόνιμη εγκατάσταση αν οι ενέργειές του εμφανίζουν επαρκή βαθμό μονιμότητας με τη χρήση των αναγκαίων μέσων για την παροχή των οικείων υπηρεσιών, εντός του κράτους μέλους αυτού.
31
Επιπλέον, προς επίτευξη του ως άνω σκοπού, πρέπει να γίνει δεκτό ότι η χρησιμοποιούμενη στην οδηγία 95/46 έννοια της «εγκαταστάσεως» καλύπτει κάθε πραγματική και ουσιαστικού χαρακτήρα δραστηριότητα, έστω και περιορισμένη, ασκούμενη μέσω μόνιμης εγκαταστάσεως.
32
Εν προκειμένω, η δραστηριότητα την οποία ασκεί η Weltimmo συνίσταται, τουλάχιστον, στη διαχείριση ενός ή περισσοτέρων ιστοσελίδων αγγελιών ακινήτων σχετικά με ακίνητα ευρισκόμενα στην Ουγγαρία, ιστοσελίδων που συντάσσονται στην ουγγρική γλώσσα και για τις οποίες ζητείται αντίτιμο για τη δημοσίευσή τους μετά από ένα χρονικό όριο ενός μηνός. Επομένως, επιβάλλεται η διαπίστωση ότι η εταιρία αυτή ασκεί πραγματική και ουσιαστικού χαρακτήρα δραστηριότητα στην Ουγγαρία.
33
Επιπροσθέτως, ιδίως από τις διευκρινίσεις που παρέσχε η ουγγρική αρχή ελέγχου προκύπτει ότι η Weltimmo διαθέτει εκπρόσωπο στην Ουγγαρία, το όνομα του οποίου αναγράφεται στο σλοβακικό μητρώο εταιριών με διεύθυνση στην Ουγγαρία και ο οποίος επιχείρησε να διαπραγματευθεί με τους δημοσιεύοντες αγγελίες τη διευθέτηση του ζητήματος των ανεξόφλητων τιμολογίων. Ο εν λόγω εκπρόσωπος ενήργησε ως ενδιάμεσος μεταξύ της εταιρίας αυτής και των καταγγελλόντων και την εκπροσώπησε σε διοικητικές και δικαστικές διαδικασίες. Επιπλέον, η εν λόγω εταιρία άνοιξε τραπεζικό λογαριασμό στην Ουγγαρία, για την είσπραξη των απαιτήσεών της, χρησιμοποιεί δε γραμματοθυρίδα στο έδαφος του κράτους μέλους αυτού για τη διαχείριση των τρεχουσών υποθέσεών της. Τα ως άνω στοιχεία, τα οποία εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει, είναι ικανά να αποδείξουν, σε καταστάσεις όπως αυτή της κύριας δίκης, την ύπαρξη «εγκαταστάσεως», υπό την έννοια του άρθρου 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46.
34
Δεύτερον, πρέπει να διαπιστωθεί αν η επίμαχη επεξεργασία δεδομένων προσωπικού χαρακτήρα πραγματοποιείται «στα πλαίσια των δραστηριοτήτων» της εγκαταστάσεως αυτής.
35
Το Δικαστήριο έχει ήδη κρίνει ότι το άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46 δεν απαιτεί η επίμαχη επεξεργασία δεδομένων προσωπικού χαρακτήρα να γίνεται «από» την ίδια την οικεία εγκατάσταση, αλλά απλώς να γίνεται «στα πλαίσια των δραστηριοτήτων» της (απόφαση Google Spain και Google, C‑131/12, EU:C:2014:317, σκέψη 52).
36
Εν προκειμένω, η επίμαχη επεξεργασία της κύριας δίκης συνίσταται στη δημοσίευση, στις ιστοσελίδες αγγελιών ακινήτων της Weltimmo, δεδομένων προσωπικού χαρακτήρα σχετικών με τους ιδιοκτήτες των ακινήτων αυτών, καθώς και, ενδεχομένως, στη χρησιμοποίηση των δεδομένων αυτών για τις ανάγκες τιμολογήσεως των αγγελιών μετά το χρονικό όριο ενός μηνός.
37
Συναφώς, πρέπει να υπομνησθεί ότι, όσον αφορά ειδικά το Διαδίκτυο, το Δικαστήριο είχε ήδη την ευκαιρία να διαπιστώσει ότι η πράξη που συνίσταται στην ανάρτηση, σε ιστοσελίδα του Διαδικτύου, δεδομένων προσωπικού χαρακτήρα πρέπει να λογίζεται ως «επεξεργασία» κατά την έννοια του άρθρου 2, στοιχείο βʹ, της οδηγίας 95/46 (αποφάσεις Lindqvist, C‑101/01, EU:C:2003:596, σκέψη 25, καθώς και Google Spain και Google, C‑131/12, EU:C:2014:317, σκέψη 26).
38
Δεν υπάρχει όμως καμία αμφιβολία ότι η εν λόγω επεξεργασία πραγματοποιείται στο πλαίσιο των δραστηριοτήτων που περιγράφονται στη σκέψη 32 της παρούσας αποφάσεως, τις οποίες ασκεί η Weltimmo στην Ουγγαρία.
39
Επομένως, με την επιφύλαξη της εξακριβώσεως που υπομνήσθηκε στη σκέψη 33 της παρούσας αποφάσεως, στην οποία εναπόκειται στο αιτούν δικαστήριο να προβεί για να εκτιμήσει, ενδεχομένως, την ύπαρξη εγκαταστάσεως του υπευθύνου της επεξεργασίας στην Ουγγαρία, πρέπει να γίνει δεκτό ότι η ως άνω επεξεργασία πραγματοποιείται στο πλαίσιο των δραστηριοτήτων της εγκαταστάσεως αυτής και ότι το άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46 παρέχει τη δυνατότητα, σε καταστάσεις όπως αυτή της κύριας δίκης, εφαρμογής του ουγγρικού δικαίου περί προστασίας των δεδομένων προσωπικού χαρακτήρα.
40
Αντιθέτως, η περίσταση ότι οι κύριοι των ακινήτων που αποτελούν το αντικείμενο των αγγελιών έχουν την ουγγρική ιθαγένεια ουδόλως ασκεί επιρροή όσον αφορά τον προσδιορισμό του εφαρμοστέου εθνικού δικαίου στην επεξεργασία των επίμαχων στην κύρια δίκη δεδομένων.
41
Λαμβανομένου υπόψη του συνόλου των ανωτέρω σκέψεων, στο πρώτο μέχρι το έκτο ερώτημα πρέπει να δοθεί η ακόλουθη απάντηση:
—
το άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46 έχει την έννοια ότι παρέχει τη δυνατότητα εφαρμογής της νομοθεσίας περί προστασίας των δεδομένων προσωπικού χαρακτήρα κράτους μέλους διαφορετικού από αυτό εντός του οποίου είναι καταχωρισμένος ο υπεύθυνος για την επεξεργασία των δεδομένων αυτών, υπό την προϋπόθεση ωστόσο ότι αυτός ασκεί, μέσω μόνιμης εγκαταστάσεως στο έδαφος του κράτους μέλους αυτού, πραγματική και ουσιαστικού χαρακτήρα δραστηριότητα, έστω και περιορισμένη, στο πλαίσιο της οποίας πραγματοποιείται η επεξεργασία αυτή·
—
προκειμένου να προσδιορίσει, υπό περιστάσεις όπως αυτές της κύριας δίκης, αν συμβαίνει κάτι τέτοιο, το αιτούν δικαστήριο μπορεί να λάβει υπόψη, ιδίως, το γεγονός, αφενός, ότι η δραστηριότητα του υπευθύνου της εν λόγω επεξεργασίας, στο πλαίσιο της οποίας αυτή πραγματοποιείται, συνίσταται στη διαχείριση ιστοσελίδων αγγελιών ακινήτων σχετικά με ακίνητα που βρίσκονται στο έδαφος του κράτους μέλους αυτού, ιστοσελίδων συντεταγμένων στη γλώσσα του εν λόγω κράτους, και ότι η ανωτέρω δραστηριότητα συνδέεται, κατά συνέπεια, κυρίως, ή ακόμα και αποκλειστικώς, με το εν λόγω κράτος μέλος, και, αφετέρου, ότι ο υπεύθυνος αυτός έχει ορίσει εκπρόσωπο εντός του εν λόγω κράτους μέλους, επιφορτισμένο με την είσπραξη των απαιτήσεων από τη δραστηριότητα αυτή, καθώς και με την εκπροσώπησή του σε διοικητικές και δικαστικές διαδικασίες σχετικές με την επεξεργασία των οικείων δεδομένων·
—
αντιθέτως, δεν ασκεί επιρροή το ζήτημα της ιθαγενείας των ατόμων τα οποία αφορά η ως άνω επεξεργασία δεδομένων.
Επί του εβδόμου ερωτήματος
42
Το έβδομο ερώτημα υποβάλλεται μόνο για την περίπτωση που η ουγγρική αρχή ελέγχου κρίνει ότι η Weltimmo διαθέτει όχι στην Ουγγαρία, αλλά εντός άλλου κράτους μέλους, εγκατάσταση υπό την έννοια του άρθρου 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46, η οποία ασκεί δραστηριότητες στο πλαίσιο των οποίων πραγματοποιείται η επεξεργασία των σχετικών δεδομένων προσωπικού χαρακτήρα.
43
Με το ερώτημα αυτό το αιτούν δικαστήριο ζητεί κατά βάση να διευκρινιστεί αν, σε περίπτωση που η ουγγρική αρχή ελέγχου καταλήξει στο συμπέρασμα ότι το εφαρμοστέο στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα δίκαιο είναι όχι το ουγγρικό, αλλά το δίκαιο άλλου κράτους μέλους, το άρθρο 28, παράγραφοι 1, 3 και 6, της οδηγίας 95/46 πρέπει να ερμηνευθεί υπό την έννοια ότι η εν λόγω αρχή μπορεί να ασκήσει μόνο τις εξουσίες που προβλέπονται στο άρθρο 28, παράγραφος 3, της οδηγίας αυτής, σύμφωνα με το δίκαιο του άλλου αυτού κράτους μέλους και δεν μπορεί να επιβάλει κυρώσεις.
44
Όσον αφορά, πρώτον, την αρμοδιότητα μιας αρχής ελέγχου να ενεργεί σε τέτοιες περιπτώσεις, πρέπει να σημειωθεί ότι, κατά το άρθρο 28, παράγραφος 4, της οδηγίας 95/46, κάθε πρόσωπο μπορεί να υποβάλει σε κάθε αρχή ελέγχου αίτηση σχετική με την προστασία των δικαιωμάτων και ελευθεριών του έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
45
Κατά συνέπεια, σε καταστάσεις όπως αυτή της κύριας δίκης, στην ουγγρική αρχή ελέγχου μπορούν να υποβάλλουν σχετική αίτηση άτομα, όπως οι δημοσιεύοντες αγγελίες ακινήτων στην κύρια δίκη, που εκτιμούν ότι υπήρξαν θύματα παράνομης επεξεργασίας δεδομένων προσωπικού χαρακτήρα που τους αφορούν εντός του κράτους μέλους στο οποίο κατέχουν τα ακίνητα αυτά.
46
Δεύτερον, πρέπει να εξεταστεί ποιες είναι οι εξουσίες της αρχής αυτής ελέγχου, με γνώμονα το άρθρο 28, παράγραφοι 1, 3 και 6, της οδηγίας 95/46.
47
Από το άρθρο 28, παράγραφος 1, της οδηγίας αυτής προκύπτει ότι κάθε αρχή ελέγχου συσταθείσα από κράτος μέλος φροντίζει για την τήρηση, στο έδαφος του κράτους μέλους αυτού, των διατάξεων που θεσπίζουν τα κράτη μέλη κατ’ εφαρμογήν της οδηγίας 95/46.
48
Κατά το άρθρο 28, παράγραφος 3, της οδηγίας 95/46, οι αρχές αυτές ελέγχου διαθέτουν ιδίως εξουσίες προς διεξαγωγή ερευνών, όπως η εξουσία συλλογής όλων των αναγκαίων πληροφοριών για την εκτέλεση του ελεγκτικού έργου που τους έχει ανατεθεί, καθώς και αποτελεσματικές εξουσίες παρεμβάσεως, όπως είναι η εξουσία να διατάσσουν τη δέσμευση, τη διαγραφή ή την καταστροφή δεδομένων, ή να απαγορεύουν προσωρινά ή οριστικά την επεξεργασία, ή να απευθύνουν προειδοποίηση ή επίπληξη προς τον υπεύθυνο για την επεξεργασία.
49
Λαμβανομένου υπόψη του μη εξαντλητικού χαρακτήρα των εξουσιών που απαριθμούνται με τον τρόπο αυτόν και του είδους των εξουσιών παρεμβάσεως που μνημονεύονται στη διάταξη αυτή, καθώς και του περιθωρίου δράσεως που έχουν στη διάθεσή τους τα κράτη μέλη για τη μεταφορά στην εθνική έννομη τάξη της οδηγίας 95/46, πρέπει να γίνει δεκτό ότι οι εξουσίες αυτές παρεμβάσεως μπορούν να περιλαμβάνουν και την εξουσία επιβολής κυρώσεων στον υπεύθυνο για την επεξεργασία των δεδομένων, επιβάλλοντάς του, ενδεχομένως, σχετικό πρόστιμο.
50
Οι παρεχόμενες στις αρχές ελέγχου εξουσίες πρέπει να ασκούνται σύμφωνα με το δικονομικό δίκαιο του κράτους μέλους στο οποίο αυτές υπάγονται.
51
Από το άρθρο 28, παράγραφοι 1 και 3, της οδηγίας 95/46 προκύπτει ότι κάθε αρχή ελέγχου ασκεί το σύνολο των εξουσιών που της έχουν παρασχεθεί στο έδαφος του κράτους μέλους στο οποίο υπάγεται, προς εξασφάλιση εντός του εδάφους αυτού της τηρήσεως των κανόνων στον τομέα της προστασίας των δεδομένων.
52
Η εν λόγω εδαφική εφαρμογή των εξουσιών κάθε αρχής ελέγχου επιβεβαιώνεται στο άρθρο 28, παράγραφος 6, της οδηγίας αυτής, το οποίο ορίζει ότι κάθε αρχή ελέγχου είναι αρμόδια για την άσκηση, στο έδαφος του κράτους μέλους στο οποίο υπάγεται, των εξουσιών που διαθέτει σύμφωνα με το άρθρο 28, παράγραφος 3, της εν λόγω οδηγίας, τούτο δε ανεξαρτήτως του εφαρμοστέου εθνικού δικαίου. Το άρθρο αυτό 28, παράγραφος 6, ορίζει επίσης ειδικότερα ότι κάθε αρχή μπορεί να κληθεί να ασκήσει τις εξουσίες της από αρχή άλλου κράτους μέλους και ότι οι αρχές ελέγχου διατηρούν μεταξύ τους την αναγκαία συνεργασία για την εκπλήρωση της αποστολής τους, ιδίως με την ανταλλαγή όλων των χρήσιμων πληροφοριών.
53
Η διάταξη αυτή είναι αναγκαία προς εξασφάλιση της ελεύθερης κυκλοφορίας των δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης, εξασφαλιζομένης παράλληλα της τηρήσεως των κανόνων που αφορούν την προστασία της προσωπικής σφαίρας των φυσικών προσώπων τους οποίους προβλέπει η οδηγία 95/46. Πράγματι, αν δεν υφίστατο η εν λόγω διάταξη, σε περίπτωση που ο υπεύθυνος για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα υπάγεται στη νομοθεσία κράτους μέλους και παραβιάζει τη νομοθεσία περί προστασίας της προσωπικής σφαίρας των φυσικών προσώπων εντός άλλου κράτους μέλους, ιδίως όταν η δραστηριότητά του συνδέεται με αυτό το άλλο κράτος μέλος, χωρίς ωστόσο να είναι εγκατεστημένος σε αυτό, υπό την έννοια της ως άνω οδηγίας, θα είναι δυσχερές, ή ακόμα και αδύνατο, για τα άτομα αυτά να επιτύχουν τον σεβασμό του δικαιώματός τους όσον αφορά την εν λόγω προστασία.
54
Έτσι, από το άρθρο 28, παράγραφος 6, της οδηγίας 95/46 προκύπτει ότι η αρχή ελέγχου κράτους μέλους, στην οποία υποβάλλεται από φυσικά πρόσωπα ένσταση σχετική με επεξεργασία δεδομένων προσωπικού χαρακτήρα που τους αφορούν, δυνάμει του άρθρου 28, παράγραφος 4, της οδηγίας αυτής, μπορεί να εξετάσει την ένσταση αυτή ανεξαρτήτως του εφαρμοστέου δικαίου και, κατά συνέπεια, ακόμα και αν το εφαρμοστέο δίκαιο στη επεξεργασία των σχετικών δεδομένων είναι αυτό άλλου κράτους μέλους.
55
Εντούτοις, στην περίπτωση αυτή, οι εξουσίες της εν λόγω αρχής δεν περιλαμβάνουν κατ’ ανάγκη το σύνολο εκείνων που της έχουν παρασχεθεί σύμφωνα με το δίκαιο του κράτους μέλους στο οποίο αυτή υπάγεται.
56
Πράγματι, όπως τόνισε ο γενικός εισαγγελέας στο σημείο 50 των προτάσεών του, από τις υποχρεώσεις που απορρέουν από την εδαφική κυριαρχία του ενδιαφερόμενου κράτους μέλους, από την αρχή της νομιμότητας και από την έννοια του κράτους δικαίου απορρέει ότι η εξουσία καταστολής δεν μπορεί να ασκείται, καταρχήν, εκτός των νομίμων ορίων εντός των οποίων επιτρέπεται να ενεργεί κάθε διοικητική αρχή, τηρώντας το δίκαιο του κράτους μέλους στο οποίο αυτή υπάγεται.
57
Έτσι, όταν μια αρχή ελέγχου επιλαμβάνεται καταγγελίας, σύμφωνα με το άρθρο 28, παράγραφος 4, της οδηγίας 95/46, η εν λόγω αρχή μπορεί να ασκεί τις εξουσίες της ελέγχου ανεξαρτήτως του εφαρμοστέου δικαίου και ακόμα και πριν τεθεί το ζήτημα ποιο είναι το εθνικό δίκαιο που έχει εφαρμογή στην οικεία επεξεργασία. Εντούτοις, αν καταλήξει στο συμπέρασμα ότι εφαρμοστέο είναι το δίκαιο άλλου κράτους μέλους, δεν μπορεί να επιβάλει κυρώσεις εκτός του εδάφους του κράτους μέλους στο οποίο αυτή υπάγεται. Σε μια τέτοια κατάσταση, στην ίδια εναπόκειται να ζητήσει, στο πλαίσιο της υποχρεώσεως συνεργασίας την οποία προβλέπει το άρθρο 28, παράγραφος 6, της οδηγίας αυτής, από την αρχή ελέγχου τού ως άνω άλλου κράτους μέλους να διαπιστώσει εκείνη ενδεχόμενη παραβίαση του δικαίου αυτού και να επιβάλει κυρώσεις αν το εν λόγω δίκαιο παρέχει τη σχετική δυνατότητα, στηριζόμενη, ενδεχομένως, σε πληροφορίες διαβιβαζόμενες από την ίδια.
58
Η αρχή ελέγχου στην οποία υποβάλλεται τέτοια καταγγελία μπορεί να προβεί, στο πλαίσιο της συνεργασίας αυτής, σε άλλες έρευνες, βάσει οδηγιών της αρχής ελέγχου του άλλου κράτους μέλους.
59
Επομένως, σε καταστάσεις όπως αυτή της κύριας δίκης, σε περίπτωση που το εφαρμοστέο δίκαιο είναι αυτό άλλου κράτους μέλους πέραν της Ουγγαρίας, η ουγγρική αρχή ελέγχου δεν μπορεί να ασκήσει τις εξουσίες επιβολής κυρώσεων που έχει δυνάμει του ουγγρικού δικαίου.
60
Από τις ανωτέρω σκέψεις προκύπτει ότι στο έβδομο ερώτημα πρέπει να δοθεί η απάντηση ότι, σε περίπτωση που η αρχή ελέγχου κράτους μέλους στην οποία υποβάλλονται καταγγελίες, σύμφωνα με το άρθρο 28, παράγραφος 4, της οδηγίας 95/46, καταλήξει στο συμπέρασμα ότι το εφαρμοστέο εν προκειμένω δίκαιο για την επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι όχι το δίκαιο του κράτους μέλους αυτού, αλλά εκείνο άλλου κράτους μέλους, το άρθρο 28, παράγραφοι 1, 3 και 6, της προαναφερθείσας οδηγίας έχει την έννοια ότι η ως άνω αρχή δεν μπορεί να ασκεί τις αποτελεσματικές εξουσίες παρεμβάσεως που της έχουν παραχωρηθεί σύμφωνα με το άρθρο 28, παράγραφος 3, της εν λόγω οδηγίας παρά μόνο στο έδαφος του κράτους μέλους στο οποίο αυτή υπάγεται. Επομένως, δεν μπορεί να επιβάλει κυρώσεις βάσει του δικαίου του κράτους μέλους αυτού στον υπεύθυνο για την επεξεργασία των δεδομένων ο οποίος δεν είναι εγκατεστημένος στο έδαφος αυτό, αλλά οφείλει, κατ’ εφαρμογήν του άρθρου 28, παράγραφος 6, της ίδιας οδηγίας, να ζητήσει την παρέμβαση της αρχής ελέγχου που υπάγεται στο κράτος μέλος του οποίου το δίκαιο έχει εφαρμογή συναφώς.
Επί του ογδόου ερωτήματος
61
Με το όγδοο ερώτημά του το αιτούν δικαστήριο ζητεί από το Δικαστήριο να διευκρινίσει το περιεχόμενο της εννοίας «adatfeldolgozás» (τεχνικές εργασίες επεξεργασίας δεδομένων), που χρησιμοποιείται ειδικότερα στο άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46, το οποίο αφορά τον προσδιορισμό του εφαρμοστέου δικαίου, και στο άρθρο 28, παράγραφος 6, της οδηγίας αυτής, το οποίο αφορά την αρμοδιότητα της αρχής ελέγχου.
62
Από την απόδοση της οδηγίας 95/46 στην ουγγρική γλώσσα προκύπτει ότι η οδηγία αυτή χρησιμοποιεί συστηματικά τον όρο «adatfeldolgozás».
63
Το αιτούν δικαστήριο εκθέτει ότι ο νόμος για την πληροφόρηση χρησιμοποιεί, ιδίως στις διατάξεις του οι οποίες θέτουν σε εφαρμογή τις διατάξεις της οδηγίας 95/46 που αφορούν την αρμοδιότητα των αρχών ελέγχου, τον όρο «adatkezelés» (επεξεργασία δεδομένων). Όπως όμως προκύπτει από το άρθρο 3, σημείο 10, του νόμου αυτού, ο όρος αυτός έχει ευρύτερη σημασία από τον όρο «adatfeldolgozás», για τον οποίο σχετικός ορισμός δίδεται στο άρθρο 3, σημείο 17, του εν λόγω νόμου, και ο οποίος καλύπτει τον τελευταίο αυτόν όρο.
64
Καίτοι η έννοια «adatfeldolgozás», όπως αυτή χρησιμοποιείται συνήθως και όπως προκύπτει από τον νόμο για την πληροφόρηση, έχει στενότερο περιεχόμενο έναντι της εννοίας «adatkezelés», πρέπει ωστόσο να σημειωθεί ότι στην απόδοση της οδηγίας 95/46 στην ουγγρική γλώσσα ο όρος «adatfeldolgozás» ορίζεται ευρέως στο άρθρο 2, στοιχείο βʹ, κατά τρόπον ώστε να αντιστοιχεί στον όρο «adatkezelés».
65
Επομένως, στο όγδοο ερώτημα πρέπει να δοθεί η απάντηση ότι η οδηγία 95/46 έχει την έννοια ότι ο όρος «adatfeldolgozás» (τεχνικές εργασίες επεξεργασίας δεδομένων), που χρησιμοποιείται στην απόδοση της οδηγίας αυτής στην ουγγρική γλώσσα, ειδικότερα στα άρθρα 4, παράγραφος 1, στοιχείο αʹ, και 28, παράγραφος 6, αυτής, πρέπει να νοείται ως ταυτόσημος προς τον όρο «adatkezelés» (επεξεργασία δεδομένων).
Επί των δικαστικών εξόδων
66
Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του εθνικού δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (τρίτο τμήμα) αποφαίνεται:
1)
Το άρθρο 4, παράγραφος 1, στοιχείο αʹ, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, έχει την έννοια ότι παρέχει τη δυνατότητα εφαρμογής της νομοθεσίας περί προστασίας των δεδομένων προσωπικού χαρακτήρα κράτους μέλους διαφορετικού από αυτό εντός του οποίου είναι καταχωρισμένος ο υπεύθυνος για την επεξεργασία των δεδομένων αυτών, υπό την προϋπόθεση ωστόσο ότι αυτός ασκεί, μέσω μόνιμης εγκαταστάσεως στο έδαφος του κράτους μέλους αυτού, πραγματική και ουσιαστικού χαρακτήρα δραστηριότητα, έστω και περιορισμένη, στο πλαίσιο της οποίας πραγματοποιείται η επεξεργασία αυτή.
Προκειμένου να προσδιορίσει, υπό περιστάσεις όπως αυτές της κύριας δίκης, αν συμβαίνει κάτι τέτοιο, το αιτούν δικαστήριο μπορεί να λάβει υπόψη, ιδίως, το γεγονός, αφενός, ότι η δραστηριότητα του υπευθύνου της εν λόγω επεξεργασίας, στο πλαίσιο της οποίας αυτή πραγματοποιείται, συνίσταται στη διαχείριση ιστοσελίδων αγγελιών ακινήτων σχετικά με ακίνητα που βρίσκονται στο έδαφος του κράτους μέλους αυτού, ιστοσελίδων συντεταγμένων στη γλώσσα του εν λόγω κράτους, και ότι η ανωτέρω δραστηριότητα συνδέεται, κατά συνέπεια, κυρίως, ή ακόμα και αποκλειστικώς, με το εν λόγω κράτος μέλος, και, αφετέρου, ότι ο υπεύθυνος αυτός έχει ορίσει εκπρόσωπο εντός του εν λόγω κράτους μέλους, επιφορτισμένο με την είσπραξη των απαιτήσεων από τη δραστηριότητα αυτή, καθώς και με την εκπροσώπησή του σε διοικητικές και δικαστικές διαδικασίες σχετικές με την επεξεργασία των οικείων δεδομένων.
Αντιθέτως, δεν ασκεί επιρροή το ζήτημα της ιθαγενείας των ατόμων τα οποία αφορά η ως άνω επεξεργασία δεδομένων.
2)
Σε περίπτωση που η αρχή ελέγχου κράτους μέλους στην οποία υποβάλλονται καταγγελίες, σύμφωνα με το άρθρο 28, παράγραφος 4, της οδηγίας 95/46, καταλήξει στο συμπέρασμα ότι το εφαρμοστέο εν προκειμένω δίκαιο για την επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι όχι το δίκαιο του κράτους μέλους αυτού, αλλά εκείνο άλλου κράτους μέλους, το άρθρο 28, παράγραφοι 1, 3 και 6, της οδηγίας αυτής έχει την έννοια ότι η ως άνω αρχή δεν μπορεί να ασκεί τις αποτελεσματικές εξουσίες παρεμβάσεως που της παραχωρούνται σύμφωνα με το άρθρο 28, παράγραφος 3, της εν λόγω οδηγίας παρά μόνο στο έδαφος του κράτους μέλους στο οποίο υπάγεται. Επομένως, δεν μπορεί να επιβάλει κυρώσεις βάσει του δικαίου του κράτους μέλους αυτού στον υπεύθυνο για την επεξεργασία των δεδομένων ο οποίος δεν είναι εγκατεστημένος στο έδαφος αυτό, αλλά οφείλει, κατ’ εφαρμογήν του άρθρου 28, παράγραφος 6, της ίδιας οδηγίας, να ζητήσει την παρέμβαση της αρχής ελέγχου που υπάγεται στο κράτος μέλος του οποίου το δίκαιο έχει εφαρμογή.
3)
Η οδηγία 95/46 έχει την έννοια ότι ο όρος «adatfeldolgozás» (τεχνικές εργασίες επεξεργασίας δεδομένων), που χρησιμοποιείται στην απόδοση της οδηγίας αυτής στην ουγγρική γλώσσα, ειδικότερα στα άρθρα 4, παράγραφος 1, στοιχείο αʹ, και 28, παράγραφος 6, αυτής, πρέπει να νοείται ως ταυτόσημος προς τον όρο «adatkezelés» (επεξεργασία δεδομένων).
(υπογραφές)
(
*
)   Γλώσσα διαδικασίας: η ουγγρική.