РЕШЕНИЕ НА СЪДА (трети състав)
1 октомври 2015 година(*)
„Преюдициално запитване — Защита на физическите лица при обработването на лични данни — Директива 95/46/EО — Член 4, параграф 1 и член 28, параграфи 1, 3 и 6 — Администратор на лични данни, установен на територията на друга държава членка — Нарушение на правото на защита на личните данни на физическите лица в дадена държава членка — Определяне на приложимото национално право и на компетентния надзорен орган — Упражняване на правомощия на надзорния орган — Правомощие за налагане на санкции“
По дело C‑230/14
с предмет преюдициално запитване, отправено на основание на член 267 ДФЕС от Cour suprême (Kúria, Унгария) с акт от 22 април 2014 г., постъпил в Съда на 12 май 2014 г., в рамките на производство по дело
Weltimmo s. r. o.
срещу
Nemzeti Adatvédelmi és Információszabadság Hatóság,
СЪДЪТ (трети състав),
състоящ се от: M. Ilešič, председател на състава, A. Ó Caoimh, C. Toader, E. Jarašiūnas и C. G. Fernlund (докладчик), съдии,
генерален адвокат: P. Cruz Villalón,
секретар: I. Illéssy, администратор,
предвид изложеното в писмената фаза на производството и в съдебното заседание от 12 март 2015 г.,
като има предвид становищата, представени:
–        за Nemzeti Adatvédelmi és Információszabadság Hatóság, от A. Péterfalvi, в качеството на представител, подпомаган от G. Dudás, ügyvéd,
–        за унгарското правителство, от M. Z. Fehér, G. Koós и A. Pálfy, в качеството на представители,
–        за полското правителство, от B. Majczyna, M. Kamejsza и M. Pawlicka, в качеството на представители,
–        за словашкото правителство, от B. Ricziová, в качеството на представител,
–        за правителството на Обединеното кралство, от M. Holt в качеството на представител, подпомаган от J. Holmes, barrister,
–        за Европейската комисия, от A. Tokár, B. Martenczuk и J. Vondung, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 25 юни 2015 г.,
постанови настоящото
Решение
1        Преюдициалното запитване е относно тълкуването на член 4, параграф 1, буква а) и член 28, параграфи 1, 3 и 6 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10).
2        Запитването е отправено в рамките на спор между Weltimmo s.r.o. (наричано по-нататък „Weltimmo“), дружество със седалище в Словакия, и Nemzeti Adatvédelmi és Információszabadság Hatóság (националния орган за защита на данните и за свободата на информацията, наричан по-нататък „унгарският надзорен орган“) по повод имуществена санкция, наложена от последния поради нарушение на Закон № CXII от 2011 г. за правото на самоопределение в областта на информацията и за свободата на информацията (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény, наричан по-нататък „Законът за информацията“), с който в унгарското право се транспонира Директива 95/46.
Правна уредба
Правото на Съюза
3        Съображения 3, 18 и 19 от Директива 95/46 гласят
„(3)      като имат предвид, че създаването и функционирането на вътрешен пазар, в който, съгласно член [26 ДФЕС], е гарантирано свободното движение на стоки, хора, услуги и капитали, изискват не само личните данни да могат да се предават от една държава членка в друга, но и основните права и свободи на лицата да бъдат гарантирани;
[…]
(18)      като имат предвид, че с оглед да се гарантира, че лицата няма да бъдат лишени от защитата, която им се полага по силата на настоящата директива, всяко обработване на лични данни в Общността се извършва в съответствие със законодателството на една от държавите членки; като имат предвид, в тази връзка, че обработването, извършено под ръководството на администратор, установен в дадена държава членка, се урежда от законодателството на тази държава;
(19)      като имат предвид, че установяването на територията на държава членка предполага ефективно и действително упражняване на дейност [посредством постоянен обект]; като имат предвид, че правната форма на подобно установяване, независимо дали става дума за обикновен клон или дъщерно дружество с правосубектност, не е решаващ фактор в това отношение; като имат предвид, че когато на територията на няколко държави членки е установен един-единствен администратор, по-конкретно чрез дъщерни дружества, той трябва да гарантира, за да избегне всякакво заобикаляне на националните правила, че всеки от [неговите обекти] изпълнява задълженията, наложени му от националното законодателство по отношение на неговата дейност;“.
4        Член 2 от Директивата предвижда:
„По смисъла на настоящата директива:
[…]
б)      „обработване на лични данни [„feldolgozása“]“ („обработване“ [„feldolgozás“]) означава всяка операция или набор от операции, извършвани или не с автоматични средства, прилагани към личните данни, като събиране, запис, организиране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на предоставяне на данните, актуализиране или комбиниране, блокиране, изтриване или унищожаване;
[…]“.
5        Член 4, параграф 1, буква а) от Директива 95/46 гласи:
„1.      Всяка държава членка прилага националните разпоредби, които приема в съответствие с настоящата директива, по отношение на обработването на лични данни, когато:
a)      обработването се извършва в контекста на дейностите на [установен] на територията на държавата членка [обект на администратора]; когато същият администратор е установен на територията на няколко държави членки, той трябва да вземе необходимите мерки, за да гарантира, че всеки от тези [негови обекти] спазва задълженията, установени от националното право;“.
6        Съгласно член 28, параграфи 1, 3 и 6 от Директива 95/46:
„1.      Всяка държава членка предвижда, че на нейната територия един или повече държавни органи отговарят за контрола на прилагането на разпоредбите, приети от държавите членки, съгласно настоящата директива.
Тези органи се ползват с пълна независимост при упражняване на функциите, които са им възложени.
[…]
3.      В частност, на всеки орган са предоставени:
–        правомощия по разследване, като право на достъп до данните, съставляващи предмет на операциите по обработване, както и право на събиране на цялата информация, необходима за изпълнението на функциите по надзора,
–        ефективни правомощия на намеса, като например право на предоставяне на становища, преди извършването на действия по обработване на данни съгласно член 20, и гарантиране на подходяща публичност на подобни становища; право на разпореждане на блокиране, изтриване или унищожаване на данни, на въвеждане на временна или окончателна забрана върху обработването, на отправяне на предупреждение или строга забележка към администратора, както и право да сезира националния парламент или други политически институции,
–        правомощие да води съдебни дела, когато са нарушени националните разпоредби, приети в съответствие с настоящата директива, или свеждане на тези нарушения до знанието на съдебните власти.
Решенията на надзорния орган, предмет на жалби, могат да бъдат обжалвани по съдебен ред.
[…]
6.      Независимо от националното право, приложимо към въпросната обработване, всеки надзорен орган може да упражнява на територията на своята държава членка правомощията, предоставени в съответствие с параграф 3. От всеки орган може да бъде поискано да упражни своите правомощия от страна на орган от друга държава членка.
Надзорните органи си сътрудничат, доколкото е необходимо за изпълнението на техните функции, в частност, чрез обмен на полезна информация“.
Унгарското право
7        Член 2, параграф 1 от Закона за информацията предвижда следното:
„Приложното поле на този закон обхваща всяко обработване на данни и технически операции по обработване на данни на територията на Унгария във връзка с данни за физически лица и с данни от публичен интерес или данни, достъпни поради наличието на общ интерес“.
8        В член 3, параграфи 10 и 17 се съдържат следните определения:
„10.      „Обработване на данни“ е всяка операция или съвкупност от операции, независимо от използваните средства, прилагани към личните данни, като събиране, запис, организиране, съхранение, промяна, използване, консултиране, употреба, предаване, публикуване, комбиниране или свързване, блокиране, изтриване или унищожаване, както и забраняване на друго използване на данните, фотографиране или аудиовизуално записване, записване на физически характеристики, които служат за идентифициране на лицата (например дактилоскопични отпечатъци или отпечатъци от длан, ДНК проби или електронно заснемане на ириса);
[…]
17.      „Технически операции по обработване на данни“ [„adatfeldolgozás“] са действията по изпълнение на технически задачи, свързани с операциите по обработване на данни, независимо от използваните за тази цел методи и средства, както и мястото на извършване, при положение че техническите задачи се отнасят до данните“.
Спорът по главното производство и преюдициалните въпроси
9        Weltimmo е дружество, регистрирано в Словакия, което е оператор на уебсайт за обяви за недвижими имоти на територията на Унгария. Във връзка с това посоченото дружество обработва личните данни на лицата, подали обявите. Последните се публикуват безплатно в продължение на един месец, като след това услугата става платена. В края на този срок много от подалите обяви лица изпращат по електронна поща искания техните обяви да бъдат свалени от уебсайта, като по същия повод личните им данни да бъдат заличени. Въпреки това Weltimmo не пристъпва към заличаването на тези данни, а фактурира на заинтересуваните лица цената на неговите услуги. Тъй като фактурираните суми не са заплатени, това дружество предоставя личните данни на съответните подали обяви лица на дружества за събиране на вземания.
10      Тези подали обявите лица подават жалби пред унгарския надзорен орган. На основание член 2, параграф 1 от Закона относно информацията този орган смята, че е компетентен да разгледа жалбите, като приема, че събирането на съответните данни било извършено на територията на Унгария, както и че то съставлявало обработване на данни или техническа операция по обработването на данните на определени физически лица. Тъй като приема, че Weltimmo е нарушило Закона за информацията, посоченият орган му налага имуществена санкция в размер на десет милиона унгарски форинта (HUF) (около 32 000 EUR).
11      Вследствие на това Weltimmo сезира Съда по административни и трудови дела в Будапеща (Fővárosi Közigazgatási és Munkaügyi Bíróság), който приема, че обстоятелството, че това дружество няма седалище или обект в Унгария, не съставлявало валиден аргумент в полза на защитата, тъй като данните относно съответните унгарски недвижими имоти се предоставяли в Унгария, като там се и обработвали тези данни. Въпреки това този съд отменя решението на унгарският надзорен орган на други основания, като изтъква някои фактически неточности.
12      Weltimmo подава касационна жалба пред запитващата юрисдикция, като посочва, че не е необходимо допълнително поясняване на фактите, тъй като на основание член 4, параграф 1, буква a) от Директива 95/46 унгарският надзорен орган не бил компетентен в конкретния случай и не можел да приложи унгарското право към доставчик на услуги със седалище в друга държава членка. Weltimmo счита, че в съответствие с член 28, параграф 6 от Директива 95/46 този орган трябвало да поиска от компетентния по тези въпроси орган в Словакия да предприеме действия на територията на неговата компетентност.
13      Унгарският надзорен орган изтъква, че представителят на Weltimmo в Унгария бил унгарски гражданин; това бил един от собствениците на това дружество, който го представлявал в хода на административното и на последвалото го съдебно производство в тази държава членка. Този орган посочва в допълнение, че докато по всяка вероятност интернет сървърите на Weltimmo били инсталирани в Германия или в Австрия, собствениците на това дружество пребивавали в Унгария. Накрая според същия орган от член 28, параграф 6 от Директива 95/46 следвало, че при всички положения бил компетентен да предприеме действия, без значение какво е приложимото право.
14      Тъй като има съмнения относно определянето на приложимото право и относно правомощията, с които разполага унгарският надзорен орган с оглед на член 4, параграф 1 и член 28 от Директива 95/46, Върховният съд решава да спре производството по делото и да постави на Съда следните преюдициални въпроси:
„1)      Следва ли член 28, параграф 1 от Директива 95/46 да се тълкува в смисъл, че разпоредбите на националното право са приложими на територията на една държава членка спрямо администратор на данни, който е установен изключително в друга държава членка, управлява уебсайт за недвижими имоти и обяви, публикува и обяви за недвижими имоти, находящи се на територията на първата държава членка, чиито собственици изпращат личните си данни към техническо средство (сървър) за съхраняване и обработване на данни, което се намира във втората държава членка и принадлежи на лицето, което управлява уебсайта?
2)      Следва ли член 4, параграф 1, буква а) от Директива 95/46 да се тълкува с оглед на съображения 18—20, член 1, параграф 2 и член 28, параграф 1 от тази директива в смисъл, че унгарският надзорен орган не може да прилага унгарския закон за защита на данните като национално право спрямо лице, което управлява уебсайт за недвижими имоти и обяви и е установено изключително в друга държава членка, дори когато то публикува обяви за недвижими имоти, находящи се на унгарска територия, чиито собственици вероятно изпращат от територията на Унгария данните за своите имоти към техническо средство (сървър) за съхраняване и обработване на данни, което се намира във втората държава членка и принадлежи на лицето, което управлява уебсайта?
3)      От значение ли е за тълкуването въпросът дали услугата, предоставена от администратор, който управлява уебсайт, е насочена към територията на друга държава членка?
4)      От значение ли е за тълкуването въпросът дали данните относно недвижимите имоти, находящи се на територията на тази друга държава членка, и личните данни на собствениците действително са прехвърлени от територията на тази държава членка?
5)      От значение ли е за тълкуването въпросът дали личните данни относно посочените имоти са лични данни на граждани на друга държава членка?
6)      От значение ли е за тълкуването обстоятелството, че собствениците на установеното в Словакия предприятие пребивават в Унгария?
7)      Ако от отговора на предходните въпроси следва, че унгарският надзорен орган може да предприеме действия, но че трябва да прилага не само националното право, а правото на държавата членка по място на установяване, трябва ли член 28, параграф 6 от Директива 95/46 да се тълкува в смисъл, че съгласно правото на държавата членка по мястото на установяване унгарският орган за защита на данните може да упражни само правомощията, предвидени в член 28, параграф 3 от Директива 95/46, и че поради това не може да наложи глоба?
8)      Може ли да се приеме, че понятието „adatfeldolgozás“ (технически операции по обработване на данни), използвано в текста [на унгарски език] на член 4, параграф 1, буква а), а също и на член 28, параграф 6 от Директива 95/46, е идентично съгласно терминологията на тази директива на понятието „adatkezelés“ (обработване на данни)?“.
По преюдициалните въпроси
Предварителни бележки
15      На първо място, що се отнася до фактическия контекст на спора в главното производство, следва да се посочи, че унгарският надзорен орган посочва допълнителна информация пред Съда в писменото становище, представено по време на съдебното заседание.
16      От тази информация следва, първо, че този орган е научил неофициално — от съответстващия му орган в Словакия, че Weltimmo не извършвало никаква дейност в мястото на неговото седалище в Словакия. Освен това Weltimmo многократно премествало това седалище от една държава членка в друга. Второ, Weltimmo разработило два уебсайта за обяви за недвижими имоти, съставени изключително на унгарски език. Това дружество открило в Унгария банкова сметка, на която да бъдат изплащани събраните му вземания, и разполагало с пощенска кутия в тази държава членка във връзка с текущата му дейност. Получената поща била събирана редовно и била препращана на Weltimmo по електронен път. Трето, подалите обяви лица трябвало сами не само да вписват данните относно техните недвижими имоти на уебсайта на Weltimmo, но и сами да заличат тези данни от този сайт, ако не желаят те да продължават да бъдат достъпни след изтичането на горепосочения едномесечен срок. В обясненията си по въпроса защо заличаването не можело да бъде извършено Weltimmo посочило, че това се дължало на проблем при управлението на информационните технологии. Четвърто, Weltimmo било дружество, съставено единствено от един или двама души. Неговият представител в Унгария направил опити да преговаря с подалите обяви лица относно заплащането на неплатените вземания.
17      Що се отнася по-нататък до текста на поставените въпроси, въпреки че в първия и втория си въпрос запитващата юрисдикция използва израза „установен изключително“, от акта за преюдициално запитване и от писмените и устни становища, представени от унгарския надзорен орган, следвало, че макар и Weltimmo да било регистрирано в Словакия и следователно било установено в тази държава членка по смисъла на дружественото право, съществувало съмнение по въпроса дали това дружество е „установено“ единствено в тази държава членка по смисъла на член 4, параграф 1, буква а) от Директива 95/46. С въпроса до Съда относно тълкуването на тази разпоредба, запитващата юрисдикция иска в действителност да установи какво е съдържанието на понятието „[обект]“, използвано в същата разпоредба.
18      Накрая следва да се отбележи, че в първия и втория въпрос запитващата юрисдикция отбелязва, че използваният от Weltimmo сървър се намирал в Словакия, въпреки че в друга част от акта за преюдициално запитване тя споменава възможността сървърите на дружеството да се намират в Германия или в Австрия. При тези обстоятелства е необходимо да се приеме, че не е разгледан въпросът в коя държава членка се намира сървърът или сървърите, използвани от посоченото дружество.
По въпроси от първи до шести
19      С въпроси от първи до шести, които следва да се разгледат заедно, запитващата юрисдикция иска по същество да установи дали член 4, параграф 1, буква a) и член 28, параграф 1 от Директива 95/46, трябва да се тълкуват в смисъл, че при обстоятелства като разглежданите в главното производство тези разпоредби позволяват на контролния орган на дадена държава членка да прилага своето национално законодателство относно защитата на данните по отношение на администратор, чието дружество е регистрирано в друга държава членка и който е оператор на уебсайт за обяви за недвижими имоти, намиращи се на територията на първата от тези две държави. Тази юрисдикция иска по-конкретно да установи дали е релевантно обстоятелствата, че тази държава членка е държавата членка:
–        към която е насочена дейността на администратора на личните данни,
–        или където е местоположението на съответните недвижими имоти,
–        от която държава се предават личните данни на собствениците на тези недвижими имоти,
–        чиито граждани са последните, и
–        където пребивават собствениците на това дружество.
20      Що се отнася до приложимото право, запитващата юрисдикция посочва по-специално словашкото и унгарското право, като първото е правото на държавата членка, в която е регистриран администраторът на разглежданите лични данни, а второто е правото на държавата членка, посочена в уебсайтовете, разглеждани в главното производство, на територията на която се намират недвижимите имоти, за които се отнасят публикуваните обяви.
21      Във връзка с това следва да се констатира, че член 4 от Директива 95/46, озаглавен „Приложимо национално право“, който се намира в глава I от тази директива, озаглавена „Общи разпоредби“, урежда по-подробно поставения въпрос.
22      За разлика от това член 28 от Директива 95/46, който е озаглавен „Надзорен орган“, урежда ролята и правомощията на този орган. Съгласно посочения член 28, параграф 1 същият орган отговаря за контрола на прилагането на разпоредбите, приети от държавите членки в изпълнение на тази директива. В съответствие с член 28, параграф 6 от посочената директива надзорният орган упражнява предоставените му правомощия без оглед на националното право, приложимо към обработването на личните данни.
23      Следователно националното право, приложимо към администратора на обработваните данни, се определя не съгласно член 28 от Директива 95/46, а съгласно член 4 от нея.
24      Съгласно член 4, параграф 1 буква а) от Директива 95/46 всяка държава членка прилага националните разпоредби, които приема в съответствие с тази директива, по отношение на обработването на лични данни, когато обработването се извършва в контекста на дейността на установен на територията на държавата членка обект на администратора.
25      Предвид преследваната от Директива 95/46 цел да се осигури ефикасна и пълна защита на основните права и свободи на физическите лица, и в частност на правото им на лична неприкосновеност при обработването на лични данни, изразът „в контекста на дейностите на […] [обект]“ не може да бъде тълкуван ограничително (вж. в този смисъл решение Google Spain и Google, C‑131/12, EU:C:2014:317, т. 53).
26      За да бъде постигната тази цел и да се избегне възможността спрямо дадено лице да се изключи прилагането на гарантираната с тази директива защита, в съображение 18 от посочената директива се посочва, че е необходимо всяко обработване на лични данни в Европейския съюз да се извършва в съответствие със законодателството на една от държавите членки и във връзка с това, че обработването, извършено под ръководството на администратор, установен в дадена държава членка, се урежда от законодателството на тази държава.
27      Следователно законодателят на Съюза е предвидил особено широко териториално приложно поле на Директива 95/46, което е регламентирал в нейния член 4 (вж. в този смисъл решение Google Spain и Google, C‑131/12, EU:C:2014:317, т. 54).
28      На първо място, що се отнася до понятието „[обект]“, следва да се припомни, че в съображение 19 от Директива 95/46 се посочва, че установяването на територията на държава членка предполага ефективно и действително упражняване на дейност чрез постоянен обект и че правната форма на подобно установяване, независимо дали става дума за обикновен клон, или дъщерно дружество с правосубектност, не е решаващ фактор (решение Google Spain и Google, C 131/12, EU:C:2014:317, т. 48). В това съображение се пояснява освен това, че когато на територията на няколко държави членки е установен един-единствен администратор, той трябва да гарантира, по-специално за да избегне всякакво заобикаляне на националните правила, че всеки от обектите изпълнява задълженията, наложени му от националното законодателство по отношение на неговата дейност.
29      От това следва, както по същество изтъква генералният адвокат в точки 28 и 32—34 от представеното заключение, че се изхожда от едно гъвкаво схващане на понятието „установяване“, различно от формалистичния подход, съгласно който дадено предприятие се счита за установено само на мястото, на което то е регистрирано. Следователно, за да се определи дали дадено дружество, което е администратор на данни по смисъла на Директива 95/46, е установено в друга държава членка, различна от държавата членка или от съответната трета страна, в която е регистрирано, е необходимо да се прецени както доколко е постоянен съответният обект, така и дали действително се извършва дейност в другата държава членка, като се отчетат специфичната природа на икономическата дейност и предоставяните в конкретния случай услуги. Посоченото важи особено за предприятията, които упражняват своята дейност, като предоставят услуги изключително чрез интернет.
30      В това отношение следва по-специално да се приеме, с оглед на преследваната от тази директива цел — да бъде гарантирана пълната и ефективна защита на правото на лична неприкосновеност и да се избегне всякакъв вид заобикаляне на уредбата — че присъствието на един-единствен представител може при определени обстоятелства да бъде достатъчно, за да се приеме, че е налице постоянен обект, когато този представител упражнява дейност с достатъчна степен на постоянство с помощта на средствата, необходими за предоставяне на разглежданите конкретни услуги в съответната държава членка.
31      Освен това, за да се постигне тази цел, следва да се приеме, че понятието „[обект]“ по смисъла на Директива 95/46 обхваща всяко, дори и минимално, ефективно и действително упражняване на дейност посредством постоянен обект.
32      В конкретния случай упражняваната от Weltimmo дейност се състои най-малкото в експлоатация на един или няколко уебсайта с обяви за находящи се в Унгария недвижими имоти, които обяви са написани на унгарски език и публикуването им става платено след изтичането на срок от един месец. Ето защо следва да се отбележи, че това дружество осъществява ефективна и действителна дейност в Унгария.
33      В допълнение, видно по-конкретно от направени от унгарския надзорен орган пояснения, Weltimmo има представител в Унгария, който е посочен в регистъра на словашките дружества с адрес в Унгария и който е направил опит да води преговори с подалите обяви лица да заплатят непогасените вземания. Този представител осъществява връзката между посоченото дружество и жалбоподателите и го представлява в административното и съдебното производство. Освен това посоченото дружество е открило банкова сметка в Унгария, на която да бъдат изплащани събраните му вземания, като за целите на текущото си управление ползва пощенска кутия на територията на същата държава членка. Въз основа на тези обстоятелства, които запитващата юрисдикция следва да провери, може да се установи, че в случай като разглеждания в главното производство е налице „[обект]“ по смисъла на член 4, параграф 1, буква а) от Директива 95/46.
34      На второ място е важно да се установи дали обработването на лични данни се извършва в „контекста на дейностите“ на този обект.
35      Съдът вече е приел, че член 4, параграф 1, буква а) от Директива 95/46 изисква въпросното обработване на лични данни да се извършва не „от“ самия обект, а единствено „в контекста на [неговите] дейности“ (решение Google Spain и Google, C‑131/12, EU:C:2014:317, т. 52).
36      В конкретния случай обработването на данни, разглеждано в главното производство, се състои по-специално, от една страна, в публикуване на уебсайтовете на Weltimmo на обяви за недвижими имоти, на лични данни на техните собственици, както и от друга страна и доколкото е приложимо, в използването на тези данни за целите на фактурирането на услугите по публикуването на обявите след изтичането на едномесечен срок.
37      В това отношение следва да се припомни, че що се отнася по-специално до интернет, Съдът вече е имал повод да се произнесе, че операцията, изразяваща се във въвеждането на лични данни на уебсайт, трябва да се счита за „обработване“ по смисъла на член 2, буква б) от Директива 95/46 (вж. решения Lindqvist, C‑101/01, EU:C:2003:596, т. 25 и Google Spain и Google, C‑131/12, EU:C:2014:317, т. 26).
38      Все пак не са налице съмнения относно обстоятелството, че това обработване се извършва в контекста на описаната в точка 32 от настоящото решение дейност, упражнявана от Weltimmo в Унгария.
39      Следователно в зависимост от резултата от проверките, които запитващата юрисдикция трябва да извърши, както бяха припомнени в точка 33 от настоящото решение — за да установи дали евентуално е налице обект на администратора в Унгария — следва да се приеме, че това обработване се извършва в контекста на дейността на този обект и че член 4, параграф 1 буква а) от Директива 96/46 допуска в случай като разглеждания в главното производство да се приложи унгарското право относно защитата на личните данни.
40      Обстоятелството, че собствениците на описаните в обявите недвижими имоти са унгарски граждани, по никакъв начин не е релевантно за определяне на приложимото национално право към разглежданото в главното производство обработване на данни.
41      С оглед на всички гореизложени съображения на въпроси от първи до шести трябва да се отговори, както следва:
–        член 4, параграф 1, буква a) от Директива 95/46 следва да се тълкува в смисъл, че той допуска законодателството на дадена държава членка относно защитата на личните данни да бъде приложено в друга държава членка, различна от държавата по регистрацията на администратора на тези данни, доколкото последният упражнява на територията на тази държава членка, посредством постоянен обект, дори минимална ефективна и действителна дейност, в чийто контекст се извършва разглежданото обработване на данни,
–        за да определи, при обстоятелства като разглежданите в главното производство, дали конкретният случай е такъв, запитващата юрисдикция може по-специално да вземе предвид факта, от една страна, че дейността на администратора, в чийто контекст се извършва посоченото обработване на данни, се състои в експлоатирането на уебсайтове с обяви за недвижими имоти, намиращи се на територията на тази държава членка, и съставени на езика на тази държава членка, поради което тази дейност е предимно или изцяло насочена към посочената държава членка, и от друга страна, че този администратор има представител в посочената държава членка, на когото е възложено да събира вземанията, произтичащи от тази дейност, както и да представлява администратора в административните и съдебните производства относно обработването на разглежданите данни,
–        за разлика от това е ирелевантен въпросът какво е гражданството на лицата, засегнати от това обработване.
По седмия въпрос
42      Седмият въпрос се поставя само в случай че унгарският надзорен орган приеме, че Weltimmo има обект по смисъла на член 4, параграф 1, буква а) от Директива 95/46 не в Унгария, а в друга държава членка, където това дружество упражнява дейност, в чийто контекст се извършва разглежданото обработване на лични данни.
43      Запитващата юрисдикция иска по същество да установи с този въпрос дали — в случай че унгарският надзорен орган стигне до заключението, че към обработването на личните данни следва да се приложи не унгарското право, а правото на друга държава членка — член 28, параграфи 1, 3 и 6 от Директива 95/46 следва да се тълкува в смисъл, че този орган може да упражни само правомощията, предвидени в член 28, параграф 3 от тази директива в съответствие с правото на тази другата държава членка, и не може да налага санкции.
44      Що се отнася, на първо място, до компетентността на даден надзорен орган да предприеме действия в конкретния случай, следва да се отбележи, че съгласно член 28, параграф 4 от Директива 95/46 всеки надзорен орган може да бъде сезиран от всяко лице с искане да бъдат защитени неговите права и свободи при обработването на лични данни.
45      Следователно в случай като разглеждания в главното производство унгарският надзорен орган може да бъде сезиран от лица като подалите обявите за недвижимите имоти в главното дело, които считат, че личните им данни са обработвани незаконосъобразно в държавата членка, в която се намират притежаваните от тях имоти.
46      На второ място, следва да се провери какви са правомощията на надзорния орган в светлината на член 28, параграфи 1, 3 и 6 от Директива 95/46.
47      От член 28, параграф 1 от тази директива следва, че всеки надзорен орган, създаден от държава членка, трябва да следи дали на територията на тази държава членка се спазват разпоредбите, приети от държавите членки в съответствие с Директива 95/46.
48      Съгласно член 28, параграф 3 от Директива 95/46 тези надзорни органи разполагат по-специално с правомощия по разследване, като имат право да събират цялата информация, необходима за изпълнението на техните надзорни функции, както и с ефективни правомощия за намеса, като правомощието да разпореждат блокиране, изтриване или унищожаване на данни, на въвеждане на временна или окончателна забрана върху обработването, на отправяне на предупреждение или строга забележка към администратора.
49      Като се имат предвид неизчерпателният характер на изброените правомощията и видът на посочените в тази разпоредба правомощия за намеса, както и от свободата на действие, с която разполагат държавите членки при транспонирането на Директива 95/46, следва да се приеме, че тези правомощия за намеса могат да включват и възможността за санкциониране на администратора на данните, като при необходимост му бъде наложена имуществена санкция.
50      Правомощията, предоставени на националните надзорни органи, следва да бъдат упражнявани в съответствие с процесуалното право на тяхната държава членка.
51      От член 28, параграфи 1 и 3 от Директива 95/46 следва, че всеки надзорен орган упражнява всички правомощия, които са му предоставени на територията на неговата държава членка, с цел да се гарантира спазването на правилата в областта на защитата на данните.
52      Този териториален обхват на правомощията на всеки надзорен орган се потвърждава и в член 28, параграф 6 от тази директива, в който се посочва, че на територията на своята държава членка всеки надзорен орган може да упражнява правомощията, предоставени му в съответствие с член 28, параграф 3 от посочената директива, при това без значение от приложимото право. В същия член 28, параграф 6 се пояснява, че орган от друга държава членка може да поиска от всеки орган да упражни своите правомощия, както и че надзорните органи си сътрудничат, доколкото е необходимо за изпълнението на техните функции, в частност чрез обмен на полезна информация.
53      Тази разпоредба е необходима, за да се гарантира свободното движение на лични данни в рамките на Съюза, като същевременно се следи за спазването на предвидените в Директива 95/46 правила за защита на личната неприкосновеност на физическите лица. На практика, ако не съществуваше посочената разпоредба — в случаите, в които администраторът на лични данни е подчинен на закона на държава членка, но нарушава правото на лична неприкосновеност на физически лица в друга държава членка, по-специално като насочва дейността си към тази друга държава членка, без обаче да е установен в нея по смисъла на тази директива — би било трудно или дори невъзможно да се спазва правото за посочената защита на тези лица.
54      Ето защо от член 28, параграф 6 от Директива 95/46 следва, че надзорният орган на дадена държава членка, който е сезиран от физически лица с жалби относно обработването на личните им данни, на основание член 28, параграф 4 от тази директива, може да разглежда тази жалба независимо от приложимото право и следователно дори ако приложимо към обработването на съответните данни е правото на друга държава членка.
55      Въпреки това в тази хипотеза правомощията на посочения орган не включват непременно всички от възложените му съгласно правото на неговата държава членка правомощия.
56      В действителност, както посочва генералният адвокат в точка 50 от представеното заключение, от изискванията, произтичащи от териториалния суверенитет на съответната държава членка, от принципа на законност и от понятието за правова държава следва, че санкционните правомощия не могат по принцип да се упражняват извън законовите рамки, в които даден административен орган има право да действа при съблюдаване на правото на неговата държава членка.
57      Следователно, когато надзорен орган е сезиран с жалба, в съответствие с член 28, параграф 4 от Директива 95/46, този орган може да упражнява правомощията си по разследване независимо от приложимото право и дори преди да бъде установено кое е националното право, приложимо към разглежданото обработване на данни. Въпреки това, ако този орган стигне до заключението, че е приложимо правото на друга държава членка, той няма право да налага санкции извън територията на собствената си държава членка. Ако случаят е такъв, този орган е длъжен, в изпълнение на задължението за сътрудничество по член 28, параграф 6 от тази директива, да поиска от надзорния орган на тази друга държава членка да установи евентуалното нарушение на това право и да наложи съответните санкции, ако националното му право допуска това, позовавайки се при необходимост на предоставената му информация.
58      На надзорния орган, който е сезиран с подобна жалба, може да се наложи, в рамките на това сътрудничество, да извърши допълнителни разследвания въз основа на указанията, получени от надзорния орган на другата държава членка.
59      От това следва, че в случай като разглеждания в главното производство и при положение че не е приложимо правото на Унгария, а на друга държава членка, унгарският надзорен орган би могъл да упражни единствено възложените му санкционни правомощия в съответствие с унгарското право.
60      От гореизложените съображения следва, че на седмия въпрос трябва да се отговори, че в хипотеза, в която надзорният орган на дадена държава членка, сезиран с жалби в съответствие с член 28, параграф 4 от Директива 95/46, стигне до заключението, че към обработването на съответните лични данни следва да се приложи не правото на тази държава членка, а правото на друга държава членка, член 28, параграфи 1, 3 и 6 от тази директива следва да се тълкува в смисъл, че този надзорен орган може да упражнява възложените му в съответствие с член 28, параграф 3 от посочената директива ефективни правомощия за намеса само на територията на собствената си държава членка. Следователно този орган не може на основание на правото на тази държава членка да налага санкции на администратора на тези данни, който не е установен на тази територия, а на основание на член 28, параграф 6 от същата директива следва да поиска намеса от страна на надзорния орган на държавата членка, чието право е приложимо.
По осмия въпрос
61      С осмия си въпрос запитващата юрисдикция иска от Съда да установи какъв е обхватът на понятието „adatfeldolgozás“ (технически операции по обработване на данни), използвано по-специално в текста на член 4, параграф 1, буква а) от Директива 95/46 относно определянето на приложимото право, а от друга страна, на член 28, параграф 6 от тази директива, който се отнася до компетентността на надзорния орган.
62      От текста на Директива 95/46 на унгарски език е видно, че систематично се използва терминът „adatfeldolgozás“.
63      Запитващата юрисдикция посочва, че Законът за информацията използва термина „adatkezelés“ (обработване на данни) по-специално в неговите разпоредби, транспониращи разпоредбите на Директива 95/46 относно компетентността на надзорните органи. Както обаче следва от член 3, точка 10 от този закон, посоченият термин има по-широк смисъл от този на термина „adatfeldolgozás“, определен в член 3, точка 17 от посочения закон, като първият термин включва последния.
64      Макар и понятието „adatfeldolgozás“, според обичайното му значение и както следва от Закона за информация, е по-тясно по смисъл, отколкото понятието „adatkezelés“, все пак следва да се отбележи, че в текста на Директива 95/46 на унгарски език терминът „adatfeldolgozás“ се определя в член 2, буква б) от същата директива широко — в съответствие с термина „adatkezelés“.
65      От това следва, че на осмия въпрос трябва да се отговори, че Директива 95/46 следва да се тълкува в смисъл, че понятието „adatfeldolgozás“ (технически операции по обработване на данни), използвано в текста на унгарски на тази директива, и по-специално в член 4, параграф 1, буква а) и в член 28, параграф 6 от същата, следва да бъде разбирано в идентичен смисъл като термина „adatkezelés“ (обработване на данни).
По съдебните разноски
66      С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (трети състав) реши:
1)      Член 4, параграф 1, буква a) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни следва да се тълкува в смисъл, че допуска законодателството на дадена държава членка относно защитата на личните данни да бъде приложено в друга държава членка, различна от държавата по регистрацията на администратора на тези данни, доколкото последният упражнява на територията на тази държава членка, посредством постоянен обект, дори минимална ефективна и действителна дейност, в чийто контекст се извършва разглежданото обработване на данни.
За да определи, при обстоятелства като разглежданите в главното производство, дали конкретният случай е такъв, запитващата юрисдикция може по-специално да вземе предвид факта, че от една страна, дейността на администратора, в чийто контекст се извършва посоченото обработване на данни, се състои в експлоатирането на уебсайтове с обяви за недвижими имоти, намиращи се на територията на тази държава членка, и съставени на езика на тази държава членка, поради което тази дейност е предимно или изцяло насочена към посочената държава членка, и от друга страна, този администратор има представител в посочената държава членка, на когото е възложено да събира вземанията, произтичащи от тази дейност, както и да представлява администратора в административните и съдебните производства относно обработването на разглежданите данни;
За разлика от това е ирелевантен въпросът какво е гражданството на лицата, засегнати от това обработване.
2)      В хипотеза, в която надзорният орган на дадена държава членка, сезиран с жалби в съответствие с член 28, параграф 4 от Директива 95/46, стигне до заключението, че към обработването на съответните лични данни следва да се приложи правото не на тази, а на друга държава членка, член 28, параграфи 1, 3 и 6 от тази директива следва да се тълкува в смисъл, че този надзорен орган може да упражнява възложените му в съответствие с член 28, параграф 3 от посочената директива ефективни правомощия за намеса само на територията на собствената си държава членка. Следователно този орган не може на основание на правото на тази държава членка да налага санкции на администратора на тези данни, който не е установен на тази територия, а на основание член 28, параграф 6 от същата директива следва да поиска намеса от страна на надзорния орган на държавата членка, чието право е приложимо.
3)      Директива 95/46 следва да се тълкува в смисъл, че понятието „adatfeldolgozás“ (технически операции по обработване на данни), използвано в текста на унгарски на тази директива, и по-специално в член 4, параграф 1, буква а) и в член 28, параграф 6 от същата, следва да бъде разбирано в идентичен смисъл като термина „adatkezelés“ (обработване на данни).
Подписи
* Език на производството: унгарски.