Решение на Съда (голям състав) от 15 юни 2021 г. (преюдициално запитване от Hof van beroep te Brussel — Белгия — Facebook Ireland Limited, Facebook Inc., Facebook Belgium BVBA/Gegevensbeschermingsautoriteit
(Дело C-645/19)1
(Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Харта на основните права на Европейския съюз — Членове 7, 8 и 47 — Регламент (ЕС) 2016/679 — Трансгранично обработване на лични данни — Механизъм за „обслужване на едно гише“ — Лоялно и ефективно сътрудничество между надзорните органи — Компетентност и правомощия — Правомощие за иницииране на съдебно производство)
Език на производството: нидерландски
Запитваща юрисдикция
Hof van beroep te Brussel
Страни в главното производство
Жалбоподатели: Facebook Ireland Limited, Facebook Inc., Facebook Belgium BVBA
Ответник: Gegevensbeschermingsautoriteit
Диспозитив
Член 55, параграф 1 и членове 56—58, както и 60—66 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) във връзка с членове 7, 8 и 47 от Хартата на основните права на Европейския съюз трябва да се тълкуват в смисъл, че надзорен орган на държава членка, който по силата на националното законодателство, прието в изпълнение на член 58, параграф 5 от този регламент, има правомощието да довежда всички твърдени нарушения на посочения регламент до знанието на юрисдикция на тази държава членка и по целесъобразност да инициира съдебни производства, може да упражни това правомощие във връзка с трансгранично обработване на лични данни, при положение че по отношение на това обработване на данни той не е „водещият надзорен орган“ по смисъла на член 56, параграф 1 от същия регламент, доколкото става въпрос за едно от положенията, в които Регламент 2016/679 предоставя на този надзорен орган компетентност да приеме решение, в което се установява, че посоченото обработване нарушава съдържащите се в Регламента правила, както и при спазване на процедурите за сътрудничество и съгласуваност, предвидени в този регламент.
Член 58, параграф 5 от Регламент 2016/679 трябва да се тълкува в смисъл, че в случай на трансгранично обработване на данни упражняването на правомощието на надзорен орган на държава членка, различен от водещия надзорен орган, да инициира съдебно производство по смисъла на тази разпоредба, не изисква за трансграничното обработване на лични данни администраторът или обработващият лични данни, срещу когото е инициирано съдебното производство, да разполага с основно място на установяване или с друго място на установяване на територията на тази държава членка.
Член 58, параграф 5 от Регламент 2016/679 трябва да се тълкува в смисъл, че правомощието на надзорен орган на държава членка, различен от водещия надзорен орган, да довежда всички твърдени нарушения на този регламент до знанието на юрисдикция на тази държава и по целесъобразност да инициира съдебни производства по смисъла на тази разпоредба, може да бъде упражнено както по отношение на основното място на установяване на администратора, което се намира в държавата членка на този орган, така и по отношение на друго място на установяване на администратора, доколкото съдебният иск има за предмет обработване на данни в контекста на дейностите на мястото на установяване и доколкото посоченият орган е компетентен да упражни това правомощие в съответствие с изложеното в отговор на първия поставен въпрос.
Член 58, параграф 5 от Регламент 2016/679 трябва да се тълкува в смисъл, че когато надзорен орган на държава членка, който не е „водещият надзорен орган“ по смисъла на член 56, параграф 1 от този регламент, предяви иск преди 25 май 2018 г. с предмет трансгранично обработване на лични данни, а именно преди датата, на която посоченият регламент е станал приложим, този иск може да бъде поддържан от гледна точка на правото на Съюза въз основа на разпоредбите на Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни, която продължава да се прилага по отношение на нарушенията на предвидените в нея правила, които нарушения са извършени до датата, на която тази директива е отменена. Освен това посоченият иск може да бъде предявен от този орган за нарушенията, извършени след тази дата, на основание на член 58, параграф 5 от Регламент 2016/679, доколкото това е едно от положенията, при които по изключение този регламент предоставя на надзорен орган на държава членка, който не е „водещият надзорен орган“, компетентност да приеме решение, с което се установява, че съответното обработване на данни нарушава съдържащите се във въпросния регламент правила за защитата на правата на физическите лица във връзка с обработването на лични данни и при спазване на процедурите за сътрудничество и съгласуваност, предвидени в същия регламент, което запитващата юрисдикция следва да провери.
Член 58, параграф 5 от Регламент 2016/679 трябва да се тълкува в смисъл, че тази разпоредба има директен ефект, така че национален надзорен орган може да се позове на посочената разпоредба, за да инициира или продължи съдебно производство срещу частноправни субекти, дори тази разпоредба да не е била специално въведена в законодателството на съответната държава членка.
____________
1     ОВ C 406, 2.12.2019 г.