62014CJ0230
TEISINGUMO TEISMO (trečioji kolegija) SPRENDIMAS
2015 m. spalio 1 d. (
*
)
„Prašymas priimti prejudicinį sprendimą — Fizinių asmenų apsauga tvarkant asmens duomenis — Direktyva 95/46/EB — 4 straipsnio 1 dalis ir 28 straipsnio 1, 3 ir 6 dalys — Valstybės narės teritorijoje formaliai įsisteigęs duomenų valdytojas — Teisės į asmens duomenų, susijusių su fiziniais asmenimis kitoje valstybėje narėje, apsaugą pažeidimas — Taikytinos teisės ir kompetentingos priežiūros institucijos nustatymas — Priežiūros institucijos įgaliojimų įgyvendinimas — Įgaliojimai taikyti sankcijas“
Byloje C‑230/14
dėl Kúria (Vengrija) 2014 m. balandžio 22 d. sprendimu, kurį Teisingumo Teismas gavo 2014 m. gegužės 12 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje
Weltimmo s. r. o.
prieš
Nemzeti Adatvédelmi és Információszabadság Hatóság
TEISINGUMO TEISMAS (trečioji kolegija),
kurį sudaro kolegijos pirmininkas M. Ilešič, teisėjai A. Ó Caoimh, C. Toader, E. Jarašiūnas ir C. G. Fernlund (pranešėjas),
generalinis advokatas P. Cruz Villalón,
posėdžio sekretorius I. Illéssy, administratorius,
atsižvelgęs į rašytinę proceso dalį ir įvykus 2015 m. kovo 12 d. posėdžiui,
išnagrinėjęs pastabas, pateiktas:
—
Nemzeti Adatvédelmi és Információszabadság Hatóság, atstovaujamos A. Péterfalvi, padedamo ügyvéd G. Dudás,
—
Vengrijos vyriausybės, atstovaujamos M. Z. Fehér, G. Koós ir A. Pálfy,
—
Lenkijos vyriausybės, atstovaujamos B. Majczyna, M. Kamejsza ir M. Pawlicka,
—
Slovakijos vyriausybės, atstovaujamos B. Ricziová,
—
Jungtinės Karalystės vyriausybės, atstovaujamos M. Holt, padedamo baristerio J. Holmes,
—
Europos Komisijos, atstovaujamos A. Tokár, B. Martenczuk ir J. Vondung,
susipažinęs su 2015 m. birželio 25 d. posėdyje pateikta generalinio advokato išvada,
priima šį
Sprendimą
1
Prašymas priimti prejudicinį sprendimą pateiktas dėl 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355) 4 straipsnio 1 dalies a punkto ir 28 straipsnio 1, 3 ir 6 dalių išaiškinimo.
2
Šis prašymas pateiktas nagrinėjant Weltimmo s.r.o. (toliau – Weltimmo), bendrovės, kurios buveinė yra Slovakijoje, ginčą su Nemzeti Adatvédelmi és Információszabadság Hatóság (Vengrijos duomenų apsaugos tarnyba; toliau – Vengrijos priežiūros institucija) dėl baudos, kurią pastaroji skyrė už 2011 m. Įstatymo Nr. CXII dėl su informacija siejamos teisės apsispręsti ir informacijos laisvės (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi. CXII. törvény; toliau – Informacijos laisvės įstatymas), kuriuo į Vengrijos teisę buvo perkelta Direktyva 95/46, pažeidimą.
Teisinis pagrindas
Sąjungos teisė
3
Direktyvos 95/46 3, 18 ir 19 konstatuojamosiose dalyse nustatyta:
„(3)
kadangi sukurti ir veikti vidaus rinkai, kurioje pagal [SESV 26] straipsnį užtikrinamas laisvas prekių, žmonių, paslaugų ir kapitalo judėjimas, būtina ne tik galimybė asmens duomenims laisvai judėti iš vienos valstybės narės į kitą, bet taip pat ir asmens pagrindinių teisių apsauga;
<…>
(18)
kadangi, norint užtikrinti, kad asmenims suteikiama visa apsauga, kurią jiems numato ši direktyva, bet kokie asmens duomenys Bendrijoje turi būti tvarkomi laikantis vienos iš valstybių narių įstatymų; kadangi, jeigu atsakomybę už duomenų tvarkymą prisiima kurioje nors valstybėje narėje įsisteigęs duomenų valdytojas, [kadangi svarbu, kad kai duomenis tvarko bet kuris asmuo, veikiantis valstybėje narėje įsteigto duomenų valdytojo nurodymu,] tai turėtų reglamentuoti būtent tos valstybės įstatymai;
(19)
kadangi duomenų valdytojas, įsisteigęs kurioje nors valstybėje narėje, gali veiksmingai ir realiai užsiimti savo veikla pagal nusistovėjusią tvarką [padalinys kurioje nors valstybėje narėje reiškia, kad jis veiksmingai ir realiai joje užsiima savo veikla per nuolatinį vienetą]; kadangi įmonės [tokio padalinio] teisinė forma nėra lemiamas veiksnys: tai gali būti paprastas skyrius ar dukterinė įmonė su juridinio asmens teisėmis [tai gali būti paprastas filialas ar dukterinė įmonė, turinti teisinį subjektiškumą]; kadangi kai kelių valstybių narių teritorijoje steigiamas vienas duomenų valdytojas, ypač filialas [dukterinė įmonė], norėdamas išvengti bet kokio nacionalinių taisyklių apėjimo, jis privalo užtikrinti, kad kiekvienas įsteigtas padalinys vykdys nacionalinės teisės aktų nustatytas jo veiklai taikomas prievoles.“
4
Direktyvos 95/46 2 straipsnyje numatyta:
„Šioje direktyvoje:
<…>
b)
„asmens duomenų tvarkymas [feldolgozása]“ (tvarkymas [feldolgozás]) reiškia bet kurią operaciją ar operacijų rinkinį [ar operacijas], automatiniais arba neautomatiniais būdais atliekamus [atliekamas] su asmens duomenimis, kaip antai: rinkimas, užrašymas [registravimas], rūšiavimas, saugojimas, adaptavimas ar keitimas, atgaminimas, paieška, naudojimas, atskleidimas perduodant [persiunčiant], platinant ar kitu būdu padarant juos prieinamus, išdėstymas reikiama tvarka ar sujungimas derinant [palyginimas ar sujungimas], blokavimas, trynimas ar naikinimas;
<…>“
5
Pagal Direktyvos 95/46 4 straipsnio 1 dalies a punktą:
„1.   Kiekviena valstybė narė taiko nacionalines nuostatas, kurias ji priima pagal šią direktyvą, kai tvarkomi asmens duomenys, jeigu:
a)
tvarkoma, duomenų valdytojo padaliniui veikiant [duomenys tvarkomi duomenų valdytojo padaliniui vykdant veiklą] valstybės narės teritorijoje; jeigu tas pats duomenų valdytojas steigiamas kelių valstybių narių teritorijoje, jis privalo imtis reikalingų priemonių, kad kiekvienas jo padalinys vykdytų taikytinų nacionalinių įstatymų nustatytas prievoles.“
6
Remiantis Direktyvos 95/46 28 straipsnio 1, 3 ir 6 dalimis:
„1.   Kiekviena valstybė narė numato, kad viena ar daugiau valdžios institucijų privalo kontroliuoti, kaip jos teritorijoje yra taikomos pagal šią direktyvą valstybių narių priimtos nuostatos.
Šios valdžios institucijos, vykdydamos joms patikėtas funkcijas, veikia visiškai nepriklausomai.
<…>
3.   Kiekvienai valdžios institucijai suteikiami:
—
įgaliojimai tirti, kaip antai: įgaliojimai sužinoti tvarkymo operacijų turinį ar įgaliojimai surinkti visą informaciją, reikalingą priežiūros funkcijoms atlikti,
—
įgaliojimai veiksmingai įsikišti, pavyzdžiui, įgaliojimai pareikšti nuomonę, iš anksto įvertinus tvarkymo operacijas pagal 20 straipsnį, ir užtikrinti, kad tokios nuomonės būtų tinkamu būdu skelbiamos viešai, taip pat įgaliojimai nurodyti blokuoti, ištrinti arba sunaikinti duomenis, laikinai arba visiškai uždrausti tvarkyti duomenis, įspėti arba papeikti duomenų valdytoją arba įgaliojimai perduoti klausimą nacionaliniams parlamentams ar kitoms politinėms institucijoms svarstyti,
—
įgaliojimai dalyvauti teismo procesuose, kai pažeidžiamos pagal šią direktyvą priimtos nacionalinės nuostatos, arba atkreipti teismo institucijų dėmesį į tokius pažeidimus.
Priežiūros institucijų priimti sprendimai, sukėlę nusiskundimų, gali būti skundžiami teismuose.
<…>
6.   Kad ir kokie nacionaliniai įstatymai būtų taikomi tvarkant aptariamus duomenis, kiekviena priežiūros institucija yra kompetentinga savo valstybės narės teritorijoje naudotis pagal šio straipsnio 3 dalį jai suteiktais įgaliojimais. Kiekviena valdžios institucija gali būti kitos valstybės narės valdžios institucijos paprašyta pasinaudoti savo įgaliojimais.
Priežiūros institucijos tarpusavyje bendradarbiauja tiek, kiek tai reikalinga jų pareigoms vykdyti, ypač keisdamosi visa naudinga informacija.“
Vengrijos teisė
7
Informacijos laisvės įstatymo 2 straipsnio 1 dalyje numatyta:
„1. Šis įstatymas taikomas Vengrijos teritorijoje bet kokiam duomenų tvarkymui ir bet kokioms duomenų apdorojimo operacijoms, kai tai susiję su fizinių asmenų ar visuomeninės reikšmės duomenimis arba tais, kurie atskleistini dėl viešojo intereso priežasčių.“
8
Informacijos laisvės įstatymo 3 straipsnio 10 ir 17 punktuose pateikiami šie apibrėžimai:
„10.   duomenų tvarkymas („adatkezelés“): bet kokiais būdais su duomenimis atliekama operacija arba operacijų rinkinys, kaip antai: duomenų rinkimas, registravimas, kaupimas, rūšiavimas, saugojimas, keitimas, naudojimas, paieška, perdavimas, paskelbimas, palyginimas ar sujungimas, blokavimas, ištrynimas, sunaikinimas, padarymas negalimų naudoti kitais tikslais, nuotraukų, garso ar vaizdo įrašų darymas, asmenis leidžiančių identifikuoti fizinių charakteristikų fiksavimas (pavyzdžiui, pirštų ar plaštakos atspaudų, DNR pavyzdžių ėmimas ar rainelės vaizdo fotografavimas);
<…>
17.   duomenų apdorojimo operacija („adatfeldolgozás“): su duomenų tvarkymo operacijomis susiję techniniai veiksmai, nepaisant jų atlikimo būdo ir priemonių, taip pat atlikimo vietos, jei šie techniniai veiksmai atliekami su duomenimis.“
Pagrindinė byla ir prejudiciniai klausimai
9
Weltimmo – tai Slovakijoje registruota bendrovė, eksploatuojanti nekilnojamojo turto interneto svetainę, kurioje talpinami skelbimai apie Vengrijoje esantį nekilnojamąjį turtą. Dėl šios priežasties ji tvarko skelbėjų asmens duomenis. Skelbimai vieną mėnesį talpinami nemokamai, vėliau už šias paslaugas reikia mokėti. Daug skelbėjų elektroniniu paštu prašė pašalinti iš svetainės jų skelbimus ir kartu ištrinti asmens duomenis. Tačiau Weltimmo neįvykdė šių prašymų ir už savo paslaugas suinteresuotiesiems asmenims išrašė sąskaitas faktūras. Asmenų, kurie neapmokėjo sąskaitų, duomenis ši bendrovė perdavė skolų išieškojimo įmonėms.
10
Minėti skelbėjai pateikė skundus Vengrijos priežiūros institucijai. Remdamasi Informacijos laisvės įstatymo 2 straipsnio 1 dalimi, ši institucija nusprendė esanti kompetentinga juos nagrinėti; ji padarė išvadą, kad duomenys buvo renkami Vengrijos teritorijoje ir tas rinkimas laikytinas su fiziniais asmenimis susijusiu duomenų tvarkymu ar duomenų apdorojimo operacija. Nusprendusi, kad Weltimmo pažeidė Informacijos laisvės įstatymą, ji tai bendrovei skyrė dešimties milijonų Vengrijos forintų (HUF) (apie 32000 EUR) baudą.
11
Tada Weltimmo kreipėsi į Sostinės administracinių ir darbo bylų teismą (Fővárosi Közigazgatási és Munkaügyi Bíróság), šis padarė išvadą, jog nėra tinkama kaip gynybos argumentu remtis tuo, kad ši bendrovė neturėjo buveinės ar padalinio Vengrijoje, nes su minėtoje valstybėje esančiu nekilnojamuoju turtu susiję duomenys buvo teikiami ir tvarkomi Vengrijoje. Vis dėlto šis teismas panaikino Vengrijos priežiūros institucijos sprendimą dėl kitų priežasčių, nurodęs, kad nepakankamai atskleistos tam tikros faktinės aplinkybės.
12
Weltimmo kreipėsi su kasaciniu skundu į prašymą priimti prejudicinį sprendimą pateikusį teismą ir tvirtino, kad visiškai nebūtina pateikti papildomų paaiškinimų dėl faktų, nes pagal Direktyvos 95/46 4 straipsnio 1 dalies a punktą Vengrijos priežiūros institucija neturėjo kompetencijos nagrinėti bylos ir negalėjo taikyti Vengrijos teisės kitoje valstybėje narėje įsisteigusiam paslaugų teikėjui. Weltimmo teigė, kad pagal Direktyvos 95/46 28 straipsnio 6 dalį ši institucija privalėjo kreiptis į šioje srityje kompetentingą Slovakijos instituciją, kad ši vietoj jos imtųsi priemonių.
13
Vengrijos priežiūros institucija tvirtina, kad Vengrijoje Weltimmo turėjo atstovą, Vengrijos pilietį, kuris yra vienas iš šios bendrovės savininkų; jis jai atstovavo per toje valstybėje narėje vykusias administracinę ir teisminę procedūras. Ši institucija pridūrė, kad Weltimmo interneto serveriai, atrodo, buvo Vokietijoje ar Austrijoje, tačiau šios bendrovės savininkai turėjo gyvenamąją vietą Vengrijoje. Galiausiai, šios institucijos teigimu, iš Direktyvos 95/46 28 straipsnio 6 dalies matyti, kad bet kuriuo atveju ji turėjo kompetenciją, nesvarbu, kuri teisė taikytina.
14
Turėdamas abejonių dėl taikytinos teisės nustatymo ir Vengrijos priežiūros institucijos įgaliojimų atsižvelgiant į Direktyvos 95/46 4 straipsnio 1 dalį ir 28 straipsnio 6 dalį, Kúria nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1.
Ar Direktyvos 95/46 28 straipsnio 1 dalį reikia aiškinti taip, kad valstybės narės teisės aktai jos teritorijoje gali būti taikomi tik kitoje valstybėje narėje įsisteigusiam duomenų valdytojui, administruojančiam nekilnojamojo turto skelbimų interneto svetainę, kurioje, be kita ko, jis talpina pirmosios valstybės narės teritorijoje esančio nekilnojamojo turto skelbimus, o šio nekilnojamojo turto savininkai perduoda savo asmens duomenis į šios svetainės administratoriui priklausantį kitoje valstybėje narėje esantį duomenų saugojimo ir tvarkymo įrenginį (serverį)?
2.
Ar Direktyvos 95/46 4 straipsnio 1 dalies a punktą, siejamą su jos 18–20 konstatuojamosiomis dalimis, 1 straipsnio 2 dalimi ir 28 straipsnio 1 dalimi, reikia aiškinti taip, kad Vengrijos priežiūros institucija negali taikyti Vengrijos informacijos laisvės įstatymo, kaip nacionalinės teisės akto, tik kitoje valstybėje narėje įsteigtam nekilnojamojo turto skelbimų interneto svetainės administratoriui, net jei šis svetainėje talpina skelbimus apie, be kita ko, Vengrijoje esantį nekilnojamąjį turtą, kurio savininkai, atrodo, iš Vengrijos teritorijos perduoda duomenis apie savo nekilnojamąjį turtą į šios svetainės administratoriui priklausantį kitoje valstybėje narėje esantį duomenų saugojimo ir tvarkymo įrenginį (serverį)?
3.
Ar aiškinant svarbu tai, kad duomenų valdytojo, kuris administruoja interneto svetainę, teikiama paslauga yra skirta teikti kitos valstybės narės teritorijoje?
4.
Ar aiškinant svarbu tai, kad duomenys apie kitos valstybės narės teritorijoje esantį nekilnojamąjį turtą ir jų savininkų asmens duomenys iš tiesų suvedami šios kitos valstybės narės teritorijoje?
5.
Ar aiškinant svarbu tai, kad su šiuo nekilnojamuoju turtu susiję asmens duomenys yra kitos valstybės narės piliečio asmens duomenys?
6.
Ar aiškinant svarbu tai, kad Slovakijoje įsteigtos įmonės savininkai turi gyvenamąją vietą Vengrijoje?
7.
Jei į pirma pateiktus klausimus būtų atsakyta, kad Vengrijos priežiūros institucija gali imtis veiksmų, tačiau turi taikyti ne nacionalinę, bet padalinio valstybės narės teisę, ar Direktyvos 95/46 28 straipsnio 6 dalį reikia aiškinti taip, kad ta institucija turi tik šios direktyvos 28 straipsnio 3 dalyje nustatytus įgaliojimus, kaip tai numatyta padalinio valstybės narės teisės aktuose, todėl neturi teisės skirti baudos?
8.
Ar sąvoka „adatfeldolgozás“ („duomenų apdorojimo operacijos“), kaip tai suprantama pagal direktyvos 4 straipsnio 1 dalies a punktą ir 28 straipsnio 6 dalį, yra tapati šios direktyvos sąvokai „adatkezelés“ („duomenų tvarkymas“)?“
Dėl prejudicinių klausimų
Pirminės pastabos
15
Pirmiausia dėl faktinių pagrindinės bylos aplinkybių, reikia paminėti tam tikrą papildomą informaciją, kurią nurodė Vengrijos priežiūros institucija savo rašytinėse pastabose ir per posėdį Teisingumo Teisme.
16
Iš šios informacijos matyti, kad ši institucija iš savo homologės Slovakijoje neformaliai sužinojo, kad Weltimmo savo buveinės vietoje, Slovakijoje, nevykdė jokios veiklos. Be to, Weltimmo kelis kartus keitė šios buveinės vietą iš vienos valstybės į kitą. Antra, ji išplėtojo dvi nekilnojamojo turto skelbimų interneto svetaines, parengtas tik vengrų kalba. Ji atidarė banko sąskaitą Vengrijoje, skirtą jos reikalavimams išieškoti, ir turėjo pašto dėžutę toje valstybėje narėje savo einamiesiems reikalams tvarkyti. Korespondencija buvo reguliariai paimama ir perduodama Weltimmo elektroniniu būdu. Trečia, skelbėjai turėjo ne tik patys užregistruoti su jų nekilnojamuoju turtu susijusius duomenis Weltimmo svetainėje, bet taip pat šiuos duomenis ištrinti, jeigu nebenorėjo, kad jie ten liktų praėjus pirma nurodytam vieno mėnesio laikotarpiui. Weltimmo tvirtino, kad dėl kilusių informatikos problemų ištrinti duomenų galiausiai nebuvo galima. Ketvirta, Weltimmo yra bendrovė, kurią sudaro tik vienas ar du asmenys. Jos atstovas Vengrijoje bandė derėtis su skelbėjais dėl neapmokėtų reikalavimų padengimo.
17
Dėl pateiktų klausimų formuluotės nurodytina, kad nors prašymą priimti prejudicinį sprendimą pateikęs teismas savo pirmajame ir antrajame klausimuose vartoja terminus „tik <...> įsisteigusiam“, iš sprendimo dėl prašymo priimti prejudicinį sprendimą ir iš Vengrijos priežiūros institucijos rašytinių ir žodinių pastabų matyti, kad Weltimmo registruota Slovakijoje, todėl pagal įmonių teisę ji įsteigta šioje valstybėje narėje; vis dėlto lieka abejonių, ar ji „turi padalinį“ tik šioje valstybėje narėje, kaip tai suprantama pagal Direktyvos 95/46 4 straipsnio 1 dalies a punktą. Prašymą priimti prejudicinį sprendimą pateikęs teismas, kreipdamasis dėl šios nuostatos išaiškinimo į Teisingumo Teismą, iš tiesų siekia sužinoti, ką reiškia šioje nuostatoje vartojama sąvoka „padalinys“.
18
Galiausiai pažymėtina, kad prašymą priimti prejudicinį sprendimą pateikęs teismas pirmajame ir antrajame klausimuose nurodo, kad Weltimmo naudojamas serveris yra Slovakijoje, nors kitoje savo prašymo vietoje mini, jog, atrodo, šios bendrovės serverių yra Vokietijoje ar Austrijoje. Šiomis aplinkybėmis atrodo svarbu konstatuoti, kad nėra atsakyta į klausimą, kurioje valstybėje narėje yra minėtos bendrovės naudojamas (-i) serveris (-iai).
Dėl pirmojo–šeštojo klausimų
19
Pirmuoju–šeštuoju klausimais, kuriuos reikia nagrinėti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia sužinoti, ar Direktyvos 95/46 4 straipsnio 1 dalies a punktą ir 28 straipsnio 1 dalį reikia aiškinti taip, kad pagrindinėje byloje nagrinėjamomis aplinkybėmis pagal juos leidžiama vienos valstybės narės priežiūros institucijai taikyti duomenų apsaugą reglamentuojančius nacionalinės teisės aktus duomenų valdytojui, kurio bendrovė registruota kitoje valstybėje narėje ir kuris eksploatuoja nekilnojamojo turto skelbimų, susijusių su pirmosios valstybės narės teritorijoje esančiu nekilnojamuoju turtu, interneto svetainę. Konkrečiai jis klausia, ar svarbu tai, kad ši valstybė narė yra ta:
—
kuriai skirta asmens duomenų valdytojo veikla,
—
kurioje yra susijęs nekilnojamasis turtas,
—
iš kurios perduodami su šio turto savininkais susiję duomenys,
—
kurios piliečiai jie yra ir
—
kurioje šios bendrovės savininkai turi gyvenamąją vietą.
20
Dėl taikytinos teisės prašymą priimti prejudicinį sprendimą pateikęs teismas konkrečiai nurodo Slovakijos teisę ir Vengrijos teisę – pirmojoje valstybėje registruotas susijusių asmens duomenų valdytojas, o su antrąja valstybe nare susijusios pagrindinėje byloje nagrinėjamos interneto svetainės, ir jos teritorijoje yra skelbimuose nurodytas nekilnojamasis turtas.
21
Šiuo atžvilgiu konstatuotina, kad būtent Direktyvos 95/46 4 straipsnyje „Taikytina nacionalinė teisė“, esančiame šios direktyvos 1 skyriuje „Bendrosios nuostatos“, reglamentuojamas užduotas klausimas.
22
Direktyvos 95/46 28 straipsnis „Priežiūros institucija“ skirtas šios institucijos funkcijoms ir įgaliojimams. Pagal šio 28 straipsnio 1 dalį ji privalo kontroliuoti, kaip jos valstybės narės teritorijoje yra taikomos pagal šią direktyvą valstybių narių priimtos nuostatos. Tos pačios direktyvos 28 straipsnio 6 dalyje numatyta, kad priežiūros institucija yra kompetentinga naudotis pagal šio straipsnio 3 dalį jai suteiktais įgaliojimais, nesvarbu, kokios valstybės teisė taikytina tvarkant asmens duomenis.
23
Taigi siekiant nustatyti šių duomenų valdytojui taikytiną nacionalinę teisę, reikia vadovautis ne Direktyvos 95/46 28 straipsniu, bet šios direktyvos 4 straipsniu.
24
Direktyvos 95/46 4 straipsnio 1 dalies a punkte nustatyta, kad kiekviena valstybė narė taiko nacionalines nuostatas, kurias priima pagal šią direktyvą, kai tvarkomi asmens duomenys, jeigu jie tvarkomi duomenų valdytojo padaliniui vykdant veiklą valstybės narės teritorijoje.
25
Be to, atsižvelgiant į Direktyvos 95/46 tikslą užtikrinti veiksmingą ir visapusišką fizinių asmenų pagrindinių laisvių ir teisių, ypač teisės į privatų gyvenimą, apsaugą tvarkant asmens duomenis, formuluotės „padaliniui veikiant [padaliniui vykdant veiklą]“ negalima aiškinti siaurai (šiuo klausimu žr. Sprendimo Google Spain ir Google, C‑131/12, EU:C:2014:317, 53 punktą).
26
Norint pasiekti šį tikslą ir užtikrinti, kad asmenims suteikiama visa šia direktyva numatoma apsauga, tos pačios direktyvos 18 konstatuojamojoje dalyje numatyta, kad bet kokie asmens duomenys Europos Sąjungoje turi būti tvarkomi laikantis vienos iš valstybių narių įstatymų ir svarbu, kad kai duomenis tvarko bet kuris asmuo, veikiantis valstybėje narėje įsteigto duomenų valdytojo nurodymu, tai turėtų reglamentuoti būtent tos valstybės įstatymai.
27
Sąjungos teisės aktų leidėjas numatė ypač plačią Direktyvos 95/46 teritorinę taikymo sritį ir tai įtvirtino jos 4 straipsnyje (šiuo klausimu žr. Sprendimo Google Spain ir Google, C‑131/12, EU:C:2014:317, 54 punktą).
28
Pirmiausia dėl „padalinio“ sąvokos primintina Direktyvos 95/46 19 konstatuojamoji dalis, kurioje nurodyta, kad padalinys kurioje nors valstybėje narėje reiškia, kad jis veiksmingai ir realiai joje užsiima savo veikla per nuolatinį vienetą ir kad tokio padalinio teisinė forma nėra lemiamas veiksnys: tai gali būti paprastas filialas ar dukterinė įmonė, turinti teisinį subjektiškumą (Sprendimo Google Spain ir Google, C‑131/12, EU:C:2014:317, 48 punktas). Beje, šioje konstatuojamojoje dalyje paaiškinta, kad kai kelių valstybių narių teritorijoje steigiamas vienas duomenų valdytojas, ypač dukterinė įmonė, norėdamas išvengti bet kokio nacionalinių taisyklių apėjimo, jis privalo užtikrinti, kad kiekvienas įsteigtas padalinys vykdys nacionalinės teisės aktų nustatytas jo veiklai taikomas prievoles.
29
Tai reiškia, kaip iš esmės savo išvados 28 ir 32–34 punktuose pažymėjo generalinis advokatas, kad įtvirtinta lanksti padalinio sąvokos samprata, pagal kurią atmetamas formalus požiūris, kad įmonė turėtų būti įsteigta tik savo registracijos vietoje. Todėl siekiant nustatyti, ar bendrovė, duomenų valdytoja, turi padalinį, kaip tai suprantama pagal Direktyvą 95/46, kitoje nei jos registracijos valstybė narė ar trečioji šalis valstybėje narėje, reikia įvertinti tiek vieneto pastovumo laipsnį, tiek tai, kiek realiai vykdoma veikla toje kitoje valstybėje narėje atsižvelgiant į specifinį atitinkamos ekonominės veiklos ir atitinkamų paslaugų pobūdį. Ypač tai taikytina įmonėms, kurios teikia savo paslaugas tik internetu.
30
Šiuo klausimu, atsižvelgiant į šios direktyvos tikslą užtikrinti veiksmingą ir visapusišką teisės į privatų gyvenimą apsaugą ir išvengti teisės nuostatų apėjimo, pažymėtina, kad tam tikromis aplinkybėmis vieno atstovo gali pakakti siekiant konstatuoti, kad egzistuoja nuolatinis vienetas, jeigu to atstovo vykdoma veikla yra pakankamai pastovi, nes jis turi visas būtinas priemones konkrečioms paslaugoms teikti, kaip antai tas, kurios yra aptariamojoje valstybėje narėje.
31
Be to, siekiant įgyvendinti minėtą tikslą, laikytina, kad „padalinio“ sąvoka, kaip ji suprantama pagal Direktyvą 95/46, apima visą per nuolatinį vienetą realiai ir veiksmingai vykdomą veiklą, netgi minimalią.
32
Nagrinėjamu atveju Weltimmo vykdomą veiklą sudaro bent jau vienos ar kelių Vengrijoje esančio nekilnojamojo turto interneto svetainių, parengtų vengrų kalba, kuriose praėjus mėnesiui už pateiktus skelbimus pradedamas imti mokestis, eksploatavimas. Todėl konstatuotina, kad ši bendrovė realiai ir veiksmingai vykdo veiklą Vengrijoje.
33
Be to, konkrečiai iš Vengrijos priežiūros institucijos pateiktų paaiškinimų matyti, kad Weltimmo turi atstovą Vengrijoje, kuris įrašytas į Slovakijos įmonių registrą kaip turintis adresą Vengrijoje, ir kad jis bandė su skelbėjais susitarti dėl neapmokėtų reikalavimų padengimo. Šis atstovas bendravo su skundus pateikusiais asmenimis ir atstovavo bendrovei per administracinį ir teismo procesą. Be to, ši bendrovė atidarė banko sąskaitą Vengrijoje, skirtą jos reikalavimams išieškoti, ir naudoja pašto dėžutę šioje valstybėje narėje savo einamiesiems reikalams tvarkyti. Šie veiksniai, kuriuos turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas, esant tokiai situacijai, kaip nagrinėjamoji pagrindinėje byloje, gali patvirtinti, kad egzistuoja „padalinys“, kaip tai suprantama pagal Direktyvos 95/46 4 straipsnio 1 dalies a punktą.
34
Antra, svarbu sužinoti, ar asmeniniai duomenys tvarkyti „veikiant [vykdant veiklą]“ šiam padaliniui.
35
Teisingumo Teismas jau nusprendė, kad pagal Direktyvos 95/46 4 straipsnio 1 dalies a punktą reikalaujama ne to, kad duomenis atitinkamai tvarkytų „pats“ padalinys, o tik to, kad tai būtų atliekama šiam padaliniui „vykdant veiklą“ (Sprendimo Google Spain ir Google, C‑131/12, EU:C:2014:317, 52 punktas).
36
Nagrinėjamu atveju aptariamas tvarkymas apima, be kita ko, asmens duomenų, susijusių su nekilnojamojo turto savininkais, skelbimą Weltimmo nekilnojamojo turto skelbimų interneto svetainėje ir prireikus šių duomenų naudojimą išrašant sąskaitas faktūras praėjus vieno mėnesio terminui.
37
Šiuo klausimu primintina, kad būtent dėl interneto Teisingumo Teismas jau yra konstatavęs, kad asmens duomenų pateikimo interneto puslapyje operacija laikytina „tvarkymu“, kaip tai suprantama pagal Direktyvos 95/46 2 straipsnio b punktą (žr. Sprendimo Lindqvist, C‑101/01, EU:C:2003:596, 25 punktą ir Sprendimo Google Spain ir Google, C‑131/12, EU:C:2014:317, 26 punktą).
38
Nekyla abejonių, kad toks tvarkymas buvo atliekamas Vengrijoje Weltimmo užsiimant šio sprendimo 32 punkte aprašyta veikla.
39
Todėl su sąlyga, kad bus padaryti šio sprendimo 33 punkte priminti patikrinimai, o tai turi atlikti prašymą priimti prejudicinį sprendimą pateikęs teismas tam, kad prireikus nustatytų, ar Vengrijoje duomenų valdytojas turi padalinį Vengrijoje, konstatuotina, kad šis tvarkymas atliktas vykdant šio padalinio veiklą ir kad pagal Direktyvos 96/45 4 straipsnio 1 dalies a punktą esant situacijai, kaip nagrinėjamoji pagrindinėje byloje, leidžiama taikyti Vengrijos teisę dėl asmens duomenų apsaugos.
40
Tačiau aplinkybė, kad nekilnojamojo turto, apie kurį skelbiama, savininkai yra Vengrijos piliečiai, visiškai nesvarbi nustatant pagrindinėje byloje nagrinėjamam duomenų tvarkymui taikytiną nacionalinę teisę.
41
Atsižvelgiant į visa, kas išdėstyta, į pirmąjį–šeštąjį klausimus reikia atsakyti:
—
Direktyvos 96/45 4 straipsnio 1 dalies a punktas aiškintinas taip, kad pagal jį leidžiama taikyti kitos nei ta, kur asmens duomenų valdytojas registruotas, valstybės narės teisės aktus dėl asmens duomenų apsaugos, jeigu šis valdytojas per nuolatinį vienetą tos valstybės narės teritorijoje veiksmingai ir realiai vykdo bent minimalią veiklą, kurios pagrindu atliekamas šis tvarkymas.
—
Siekiant nustatyti, ar taip yra pagrindinėje byloje nagrinėjamomis aplinkybėmis, prašymą priimti prejudicinį sprendimą pateikęs teismas, gali, be kita ko, atsižvelgti į tai, kad, pirma, duomenų valdytojo veikla, kurią vykdydamas jis tvarkė duomenis, yra eksploatuoti tos valstybės narės teritorijoje esančio nekilnojamojo turto skelbimų interneto svetaines, kurios parengtos tos valstybės kalba, todėl ji iš esmės ar net visiškai skirta minėtai valstybei narei, ir, antra, kad šis duomenų valdytojas turi atstovą minėtoje valstybėje narėje, įgaliotą išieškoti iš šios veiklos kilusius reikalavimus ir atstovauti per administracinį ir teismo procesus dėl atitinkamų duomenų tvarkymo.
—
Tačiau su šiuo duomenų tvarkymu susijusių asmenų pilietybė neturi reikšmės.
Dėl septintojo klausimo
42
Septintasis klausimas užduotas tik jeigu Vengrijos priežiūros institucija nuspręstų, kad Weltimmo turi padalinį, kaip tai suprantama pagal Direktyvos 95/46 4 straipsnio 1 dalies a punktą, ne Vengrijoje, bet kitoje valstybėje narėje, vykdantį veiklą, kurios pagrindu tvarkomi atitinkami asmens duomenys.
43
Šiuo klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia sužinoti – jeigu Vengrijos priežiūros institucija padarytų išvadą, kad tvarkant asmens duomenis taikytina ne Vengrijos teisė, bet kitos valstybės narės teisė, – ar Direktyvos 95/46 28 straipsnio 1, 3 ir 6 dalys turi būti aiškinamos taip, kad ši institucija gali vykdyti tik šios direktyvos 28 straipsnio 3 dalyje numatytus įgaliojimus pagal šios kitos valstybės narės teisę ir negalėtų skirti sankcijų.
44
Pirmiausia dėl priežiūros institucijos įgaliojimų veikti nagrinėjamu atveju pažymėtina, kad pagal Direktyvos 95/46 28 straipsnio 4 dalį kiekviena priežiūros institucija nagrinėja bet kurio asmens pateiktus skundus dėl jo teisių ir laisvių apsaugos tvarkant asmens duomenis.
45
Todėl esant pagrindinėje byloje nagrinėjamai situacijai į Vengrijos priežiūros instituciją gali kreiptis asmenys, kaip antai pagrindinėje byloje aptariami nekilnojamojo turto skelbėjai, manantys, kad nukentėjo neteisėtai tvarkant jų asmens duomenis valstybėje narėje, kur yra jų turtas.
46
Antra, reikia išnagrinėti, kokius įgaliojimus turi ši priežiūros institucija atsižvelgiant į Direktyvos 95/46 28 straipsnio 1, 3 ir 6 dalis.
47
Iš šios direktyvos 28 straipsnio 1 dalies matyti, kad kiekviena valstybėje narėje įsteigta priežiūros institucija tos valstybės narės teritorijoje prižiūri, kaip laikomasi nuostatų, kurias vadovaudamosi Direktyva 95/46 priėmė valstybės narės.
48
Pagal Direktyvos 95/46 28 straipsnio 3 dalį šios priežiūros institucijos turi, be kita ko, įgaliojimus tirti, pavyzdžiui, surinkti visą informaciją, reikalingą jos priežiūros funkcijoms atlikti, ir įgaliojimus veiksmingai įsikišti, pavyzdžiui, nurodyti blokuoti, ištrinti arba sunaikinti duomenis, laikinai arba visiškai uždrausti juos tvarkyti, įspėti arba papeikti duomenų valdytoją.
49
Atsižvelgiant į tai, kad taip išvardytų įgaliojimų sąrašas nėra baigtinis ir į šioje nuostatoje nurodytų įgaliojimų veiksmingai įsikišti rūšis, taip pat į valstybių narių diskreciją perkeliant Direktyvą 95/46 į vidaus teisę, konstatuotina, kad šie įgaliojimai veiksmingai įsikišti gali apimti ir įgaliojimus bausti duomenų valdytoją, prireikus – skirti jam baudą.
50
Priežiūros institucijoms suteikti įgaliojimai turi būti įgyvendinami laikantis jų valstybės narės proceso teisės nuostatų.
51
Iš Direktyvos 95/46 28 straipsnio 1 ir 3 dalių matyti, kad kiekviena priežiūros institucija įgyvendina visus jai suteiktus įgaliojimus, savo valstybės narės teritorijoje siekdama užtikrinti asmens duomenų apsaugos taisyklių laikymąsi.
52
Šį kiekvienos priežiūros institucijos įgaliojimų teritorinį taikymą patvirtina šios direktyvos 28 straipsnio 6 dalis, kurioje numatyta, kad kiekviena priežiūros institucija yra kompetentinga savo valstybės narės teritorijoje naudotis pagal tos pačios direktyvos 28 straipsnio 3 dalį jai suteiktais įgaliojimais, nesvarbu, kokios valstybės teisė taikytina. Šio 28 straipsnio 6 dalyje taip pat paaiškinama, kad kiekviena priežiūros institucija gali būti kitos valstybės narės institucijos paprašyta pasinaudoti įgaliojimais ir kad priežiūros institucijos tarpusavyje bendradarbiauja tiek, kiek tai reikalinga jų pareigoms vykdyti, ypač keisdamosi visa naudinga informacija.
53
Ši nuostata būtina siekiant užtikrinti laisvą asmens duomenų judėjimą Sąjungoje, kartu prižiūrint, kad būtų laikomasi Direktyvoje 95 numatytų taisyklių dėl fizinių asmenų privataus gyvenimo apsaugos. Iš tiesų, jeigu nebūtų šios nuostatos, tuo atveju, kai asmens duomenų valdytojui taikomas vienos valstybės narės įstatymas, bet jis pažeidžia fizinių asmenų privataus gyvenimo apsaugos teisę kitoje valstybėje narėje, be kita ko, skirdamas savo veiklą šiai kitai valstybei narei, tačiau ten neįsisteigdamas, kaip tai suprantama pagal šią direktyvą, būtų sunku, ar netgi neįmanoma, tiems asmenims įgyvendinti savo teisę į šią apsaugą.
54
Tad iš Direktyvos 95/46 28 straipsnio 6 dalies matyti, kad vienos valstybės narės priežiūros institucija, į kurią kreipiasi fiziniai asmenys su skundu dėl su jais susijusių asmens duomenų tvarkymo, remdamasi šios direktyvos 28 straipsnio 4 dalimi gali nagrinėti šį skundą, nesvarbu, kokia teisė taikytina, taigi, netgi jei tvarkant atitinkamus asmens duomenis taikytina kitos valstybės narės teisė.
55
Vis dėlto tokiu atveju šios institucijos įgaliojimai nebūtinai apima visus tuos, kurie jai suteikti pagal jos valstybės narės teisę.
56
Kaip generalinis advokatas nurodė savo išvados 50 punkte, iš tiesų su valstybės narės teritorijos suverenumu susiję reikalavimai, teisėtumo principas ir teisinės valstybės sąvoka lemia, kad įgaliojimų taikyti sankcijas įgyvendinimas iš principo negali peržengti teisės aktuose nustatytų ribų, kurių neperžengdama administracinė institucija yra įgaliota veikti paisydama savo valstybės narės teisės.
57
Todėl kai priežiūros institucija gauna skundą, pagal Direktyvos 95/46 28 straipsnio 4 dalį ji gali įgyvendinti savo tyrimo įgaliojimus, nesvarbu, kokia teisė taikytina, ir netgi anksčiau, nei sužino, kokia nacionalinė teisė taikytina atitinkamam tvarkymui. Vis dėlto padariusi išvadą, kad taikytina kitos valstybės narės teisė, ji negali skirti sankcijų už savo valstybės narės teritorijos ribų. Esant tokiai situacijai, ji, vykdydama šios direktyvos 28 straipsnio 6 dalyje numatytą bendradarbiavimo pareigą, privalo prašyti šios kitos valstybės narės priežiūros institucijos konstatuoti šios teisės pažeidimą ir taikyti sankcijas, jeigu pagal ją galima tai daryti, remdamasi perduota informacija.
58
Vykstant šiam bendradarbiavimui skundą gavusiai priežiūros institucijai gali prireikti atlikti papildomus tyrimus remiantis kitos valstybės narės priežiūros institucijos nurodymais.
59
Tuo remiantis darytina išvada, kad esant tokiai situacijai, kaip nagrinėjamoji pagrindinėje byloje, darant prielaidą, jog taikytina kitos nei Vengrija valstybės narės teisė, Vengrijos priežiūros institucija galėtų įgyvendinti tik tuos įgaliojimus taikyti sankcijas, kurie jai suteikiami pagal Vengrijos teisę.
60
Iš to, kas išdėstyta, matyti, kad į septintąjį klausimą reikia atsakyti: kai vienos valstybės narės priežiūros institucija, gavusi skundą pagal Direktyvos 95/46 28 straipsnio 4 dalį, padaro išvadą, kad tvarkant asmens duomenis taikytina ne šios, bet kitos valstybės narės teisė, direktyvos 28 straipsnio 1, 3 ir 6 dalys turi būti aiškinamos taip, kad ši priežiūros institucija gali įgyvendinti pagal minėtos direktyvos 28 straipsnio 3 dalį jai suteiktus įgaliojimus veiksmingai įsikišti tik savo valstybės narės teritorijoje. Todėl ji negali remdamasi tos valstybės narės teise taikyti sankcijų šių duomenų valdytojui, neįsisteigusiam toje teritorijoje, bet vadovaudamasi tos pačios direktyvos 28 straipsnio 6 dalimi privalo kreiptis į valstybės narės, kurios teisė taikytina, priežiūros instituciją, kad ši imtųsi veiksmų.
Dėl aštuntojo klausimo
61
Aštuntuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės Teisingumo Teismo teiraujasi dėl sąvokos „adatfeldolgozás“ (duomenų apdorojimo operacijos), konkrečiai vartojamos Direktyvos 95/46 4 straipsnio, kuriame reglamentuojama taikytina teisė, 1 dalies a punkte ir šios direktyvos 28 straipsnio, kuriame apibrėžiamos priežiūros institucijos įgaliojimai, 6 dalyje, reikšmės.
62
Iš Direktyvos 95/46 versijos vengrų kalba matyti, kad sąvoka „adatfeldolgozás“ vartojama sistemingai.
63
Prašymą priimti prejudicinį sprendimą pateikęs teismas nurodo, kad Informacijos laisvės įstatyme, ypač jo nuostatose, skirtose Direktyvos 95/46 nuostatoms dėl priežiūros institucijų įgaliojimų įgyvendinti, vartojama sąvoka „adatkezelés“ („duomenų tvarkymas“). Tačiau, kaip matyti iš šio įstatymo 3 straipsnio 10 punkto, šios sąvokos reikšmė platesnė nei minėto įstatymo 3 straipsnio 17 punkte apibrėžtos sąvokos „adatfeldolgozás“, ir ji apima pastarąją.
64
Nors sąvoka „adatfeldolgozás“, remiantis jos įprasta reikšme ir kaip matyti iš Informacijos laisvės įstatymo, yra siauresnė nei sąvoka „adatkezelés“, vis dėlto pažymėtina, kad Direktyvos 95/46 2 straipsnio b punkto versijoje vengrų kalba sąvoka „adatfeldolgozás“ apibrėžta plačiai ir atitinka sąvoką „adatkezelés“.
65
Tuo remiantis darytina išvada, kad į aštuntąjį klausimą reikia atsakyti: šios direktyvos versijoje vengrų kalba, konkrečiai jos 4 straipsnio 1 dalies a punkte ir 28 straipsnio 6 dalyje, vartojamą sąvoką „adatfeldolgozás“ (duomenų apdorojimo operacijos) reikia suprasti kaip tapačią sąvokai „adatkezelés“ („duomenų tvarkymas“).
Dėl bylinėjimosi išlaidų
66
Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.
Remdamasis šiais motyvais, Teisingumo Teismas (trečioji kolegija) nusprendžia:
1.
1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 4 straipsnio 1 dalies a punktą reikia aiškinti taip, kad pagal jį leidžiama taikyti kitos nei ta, kur asmens duomenų valdytojas registruotas, valstybės narės teisės aktus dėl asmens duomenų apsaugos, jeigu šis valdytojas per nuolatinį vienetą tos valstybės narės teritorijoje veiksmingai ir realiai vykdo bent minimalią veiklą, kurios pagrindu atliekamas šis tvarkymas.
Siekiant nustatyti, ar taip yra pagrindinėje byloje nagrinėjamomis aplinkybėmis, prašymą priimti prejudicinį sprendimą pateikęs teismas, gali, be kita ko, atsižvelgti į tai, kad, pirma, duomenų valdytojo veikla, kurią vykdydamas jis tvarkė duomenis, yra eksploatuoti tos valstybės narės teritorijoje esančio nekilnojamojo turto skelbimų interneto svetaines, kurios parengtos tos valstybės kalba, todėl ji iš esmės ar net visiškai skirta minėtai valstybei narei, ir, antra, kad šis duomenų valdytojas turi atstovą minėtoje valstybėje narėje, įgaliotą išieškoti iš šios veiklos kilusius reikalavimus ir atstovauti per administracinį ir teismo procesus dėl atitinkamų duomenų tvarkymo.
Tačiau su šiuo duomenų tvarkymu susijusių asmenų pilietybė neturi reikšmės.
)2.
Kai vienos valstybės narės priežiūros institucija, gavusi skundą pagal Direktyvos 95/46 28 straipsnio 4 dalį, padaro išvadą, kad tvarkant asmens duomenis taikytina ne šios, bet kitos valstybės narės teisė, direktyvos 28 straipsnio 1, 3 ir 6 dalys turi būti aiškinamos taip, kad ši priežiūros institucija gali įgyvendinti pagal minėtos direktyvos 28 straipsnio 3 dalį jai suteiktus įgaliojimus veiksmingai įsikišti tik savo valstybės narės teritorijoje. Todėl ji negali remdamasi tos valstybės narės teise taikyti sankcijų šių duomenų valdytojui, neįsisteigusiam toje teritorijoje, bet vadovaudamasi tos pačios direktyvos 28 straipsnio 6 dalimi privalo kreiptis į valstybės narės, kurios teisė taikytina, priežiūros instituciją, kad ši imtųsi veiksmų.
3.
Direktyva 95/46 aiškintina taip: šios direktyvos versijoje vengrų kalba, konkrečiai jos 4 straipsnio 1 dalies a punkte ir 28 straipsnio 6 dalyje, vartojamą sąvoką „adatfeldolgozás“ (duomenų apdorojimo operacijos) reikia suprasti kaip tapačią sąvokai „adatkezelés“ („duomenų tvarkymas“).
Parašai.
(
*
)   Proceso kalba: vengrų.