Sag C-230/14

Weltimmo s.r.o.

mod

Nemzeti Adatvédelmi és Információszabadság Hatóság

(anmodning om præjudiciel afgørelse indgivet af Kúria)

»Præjudiciel forelæggelse — beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger — direktiv 95/46/EF — artikel 4, stk. 1, og artikel 28, stk. 1, 3 og 6 — registeransvarlig, der er formelt etableret i en medlemsstat — krænkelse af retten til beskyttelse af personoplysninger vedrørende fysiske personer i en anden medlemsstat — fastlæggelse af den ret, der finder anvendelse, og den kompetente tilsynsmyndighed — udøvelse af tilsynsmyndighedens beføjelser — sanktionsbeføjelse«

Sammendrag – Domstolens dom (Tredje Afdeling) af 1. oktober 2015

Tilnærmelse af lovgivningerne — beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger — direktiv 95/46 — klage indgivet til en medlemsstats tilsynsmyndighed — tilsynsmyndighed, der konkluderer, at lovgivningen i en anden medlemsstat kan finde anvendelse på behandlingen af personoplysninger — den nævnte myndigheds beføjelse til at gribe ind — grænser

Der følger af 19. betragtning til direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger en fleksibel forståelse af begrebet etablering, hvor der lægges afstand til enhver formalistisk tilgang, hvorefter en virksomhed alene vil kunne anses for at være etableret på det sted, hvor den er registreret. Med henblik på at fastslå, om et registeransvarligt selskab er etableret i en anden medlemsstat i den forstand, hvori begrebet anvendes i direktiv 95/46, end den medlemsstat eller det tredjeland, hvor det er registreret, bør der foretages en vurdering af, i hvor høj grad strukturen er permanent, og i hvilken grad der faktisk udøves aktiviteter i denne anden medlemsstat, idet der i den forbindelse skal tages hensyn til den specifikke karakter af de pågældende økonomiske aktiviteter og de pågældende tjenesteydelser. Dette gør sig navnlig gældende for virksomheder, der udelukkende udbyder tjenesteydelser på internettet. (jf. præmis 29)

Artikel 4, stk. 1, litra a), i direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at den gør det muligt at anvende en anden medlemsstats lovgivning om beskyttelse af personoplysninger end den medlemsstats, hvor den registeransvarlige er registreret, for så vidt som denne via en permanent struktur på denne medlemsstats område udøver en, selv minimal, faktisk og reel aktivitet, som led i hvilken denne behandling foretages. Med henblik på at afgøre, om dette er tilfældet, kan den forelæggende ret bl.a. tage hensyn til den omstændighed dels, at den registeransvarliges aktivitet, som led i hvilken behandlingen finder sted, består i administration af internetsider med ejendomsannoncer, der vedrører ejendomme på denne medlemsstats område, og som er udformet på denne medlemsstats sprog, hvorfor internetsiden hovedsagelig eller fuldt ud er rettet mod denne medlemsstat, dels, at den registeransvarlige råder over en repræsentant i den nævnte medlemsstat, som skal inddrive de krav, der er opstået som følge af denne aktivitet, og repræsentere den registeransvarlige i forbindelse med de administrative og retslige procedurer vedrørende behandlingen af de berørte oplysninger. Derimod har det ingen relevans, hvilket statsborgerskab de personer har, der er berørt af denne behandling af personoplysninger. (jf. præmis 41 og domskonkl. 1)

I et tilfælde, hvor en medlemsstats tilsynsmyndighed, hvortil der er indbragt klager i henhold til artikel 28, stk. 4, i direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, konkluderer, at den ret, der finder anvendelse på behandlingen af de berørte personoplysninger, ikke er denne medlemsstats ret, men en anden medlemsstats ret, skal dette direktivs artikel 28, stk. 1, 3 og 6, fortolkes således, at denne tilsynsmyndighed alene kan udøve de beføjelser til at gribe effektivt ind, som er tillagt den i overensstemmelse med direktivets artikel 28, stk. 3, på den medlemsstats område, hvorunder den hører. Tilsynsmyndigheden kan derfor ikke på grundlag af denne medlemsstats ret pålægge en registeransvarlig, der behandler disse oplysninger, sanktioner, når denne ikke er etableret på medlemsstatens område, men skal i henhold til samme direktivs artikel 28, stk. 6, anmode tilsynsmyndigheden i den medlemsstat, hvis ret finder anvendelse, om at gribe ind. Det følger nemlig af de krav, der udspringer af den berørte medlemsstats territoriale suverænitet, af legalitetsprincippet og af begrebet retsstat, at sanktionsbeføjelsen i princippet ikke kan udøves uden for de lovmæssige rammer, inden for hvilke en administrativ myndighed er bemyndiget til at handle i overensstemmelse med retten i den medlemsstat, den henhører under. (jf. præmis 56 og 60 samt domskonkl. 2)