24

En estas circunstancias, el Bundesverwaltungsgericht (Tribunal Supremo de lo Contencioso-Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales: «1) ¿Debe interpretarse el artículo 2, letra d), de la Directiva [95/46] en el sentido de que regula taxativa y exhaustivamente la responsabilidad por las infracciones en materia de protección de datos, o bien, en el ámbito de las “medidas adecuadas” a que se refiere el artículo 24 de [esta Directiva] y de los “poderes efectivos de intervención” mencionados en el artículo 28, apartado 3, segundo guion, de [dicha Directiva], en las relaciones en cadena de proveedores de información también puede incurrir en responsabilidad una entidad que no sea responsable del tratamiento de los datos, en el sentido del artículo 2, letra d), de [la mencionada Directiva], por la elección del operador para ofrecer su información? 2) ¿De la obligación impuesta por el artículo 17, apartado 2, de la Directiva [95/46] a los Estados miembros de establecer que, en caso de que se encargue el tratamiento de los datos, el responsable del tratamiento deberá “elegir un encargado del tratamiento que reúna garantías suficientes en relación con las medidas de seguridad técnica y de organización de los tratamientos que deban efectuarse” se deduce, a sensu contrario, que en otras relaciones de uso que no suponen un tratamiento de datos mediante un encargado del tratamiento en el sentido del artículo 2, letra e), de [esta Directiva] no existe tal obligación de elección diligente y tampoco la puede imponer el Derecho nacional? 3) En los casos en que una sociedad matriz establecida fuera de la Unión mantenga establecimientos jurídicamente independientes (filiales) en diversos Estados miembros, ¿la autoridad de control de un Estado miembro (en este caso, Alemania) es también competente con arreglo al artículo 4 y al artículo 28, apartado 6, de la Directiva [95/46] para ejercer los poderes que le otorga el artículo 28, apartado 3, de [esta Directiva] contra el establecimiento situado en su territorio, aunque dicho establecimiento solo tenga funciones de promoción y venta de espacios publicitarios así como relativas a otras medidas de marketing dirigidas a los habitantes de ese Estado miembro, mientras que, conforme al reparto de funciones dentro del grupo, corresponde al establecimiento independiente (filial) situado en otro Estado miembro (en este caso, Irlanda) la responsabilidad exclusiva relativa a la obtención y al tratamiento de los datos personales en todo el territorio de la Unión Europea y, por lo tanto, también en el otro Estado miembro (en este caso, Alemania), cuando en realidad la decisión sobre el tratamiento de los datos la toma la sociedad matriz? 4) ¿Deben interpretarse los artículos 4, apartado 1, y 28, apartado 3, de la Directiva [95/46] en el sentido de que, en los casos en que el responsable del tratamiento disponga de un establecimiento en el territorio de un Estado miembro (en este caso, Irlanda) y de otro establecimiento jurídicamente independiente en el territorio de otro Estado miembro (en este caso, Alemania), el cual se ocupa, en particular, de la venta de espacios publicitarios, y cuya actividad está dirigida a los habitantes de dicho Estado, la autoridad de control competente en ese otro Estado miembro (en este caso, Alemania) puede adoptar medidas y dictar órdenes para la ejecución del Derecho aplicable en materia de protección de datos, incluso contra el otro establecimiento (en este caso, sito en Alemania) que, conforme al reparto interno de funciones y responsabilidades dentro del grupo, no es responsable del tratamiento de los datos, o solo puede decretar tales medidas y órdenes la autoridad de control del Estado miembro (en este caso, Irlanda) en cuyo territorio tiene su domicilio la entidad responsable dentro del grupo? 5) ¿Deben interpretarse los artículos 4, apartado 1, letra a), y 28, apartados 3 y 6, de la Directiva [95/46] en el sentido de que, en los casos en que la autoridad de control de un Estado miembro (en este caso, Alemania) se dirige con arreglo al artículo 28, apartado 3, de [esta Directiva] contra una persona o entidad que opera en su territorio porque esta no ha elegido diligentemente al tercero implicado en el proceso de tratamiento de datos (en este caso, Facebook), dado que dicho tercero infringe el Derecho aplicable en materia de protección de datos, la autoridad de control que actúa (en este caso, Alemania) se halla vinculada a la valoración a efectos del Derecho aplicable en materia de protección de datos realizada por la autoridad de control del otro Estado miembro, donde tiene su establecimiento el tercero responsable del tratamiento de datos (en este caso, Irlanda), de manera que no puede realizar ninguna valoración jurídica diferente, o bien la autoridad de control que actúa (en este caso, Alemania) puede verificar de forma autónoma la legalidad del tratamiento de los datos realizado por el tercero establecido en el otro Estado miembro (en este caso, Irlanda) como cuestión incidental respecto de su propia actuación? 6) En el caso de que la autoridad de control que actúa (en este caso, Alemania) pueda efectuar una verificación de forma autónoma, ¿debe interpretarse el artículo 28, apartado 6, segunda frase, de la Directiva [95/46] en el sentido de que esta autoridad de control solo puede ejercer los poderes efectivos de intervención que le atribuye el artículo 28, apartado 3, de [esta] Directiva contra una persona o entidad establecidas en su territorio por corresponsabilidad en las infracciones en materia de protección de los datos cometidas por un tercero establecido en otro Estado miembro si, previamente, ha pedido a la autoridad de control del otro Estado miembro (en este caso, Irlanda) que ejercite sus poderes?»