Asia C-210/16

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

vastaan

Wirtschaftsakademie Schleswig-Holstein GmbH

(Ennakkoratkaisupyyntö – Bundesverwaltungsgericht)

Ennakkoratkaisupyyntö – Direktiivi 95/46/EY – Henkilötiedot – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Määräys, joka koskee sellaisen Facebook-sivun (fan page) poistamista käytöstä, joka mahdollistaa kyseisellä sivulla kävijöihin liittyvien tiettyjen tietojen keräämisen ja käsittelyn – 2 artiklan d alakohta – Henkilötietojen käsittelystä vastuussa oleva taho – 4 artikla – Sovellettava kansallinen oikeus – 28 artikla – Kansalliset valvontaviranomaiset – Mainittujen viranomaisten toimintavaltuudet

Tiivistelmä – Unionin tuomioistuimen tuomio (suuri jaosto) 5.6.2018

Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 2 artiklan d alakohtaa on tulkittava siten, että mainitussa säännöksessä tarkoitettu käsite ”rekisterinpitäjä” käsittää verkkoyhteisössä olevan fanisivun hallinnoijan. Vaikkei pelkkä Facebookin kaltaisen verkkoyhteisön käyttäminen tee Facebookin käyttäjästä yhteisvastuullista rekisterinpitäjää kyseisen yhteisön suorittaman henkilötietojen käsittelyn osalta, on sitä vastoin todettava, että Facebookissa olevan fanisivun hallinnoija tarjoaa tällaisen sivun perustamalla Facebookille mahdollisuuden sijoittaa evästeitä fanisivullaan käyneen henkilön tietokoneelle tai mille hyvänsä muulle laitteelle riippumatta siitä, onko kyseisellä henkilöllä Facebook-tiliä vai ei. Näissä olosuhteissa on katsottava, että Facebookissa olevan fanisivun hallinnoija, kuten Wirtschaftsakademie, osallistuu valitsemalla parametrit muun muassa kohdeyleisönsä ja toimintansa hallinnoinnin tai edistämisen tavoitteiden mukaan fanisivullaan kävijöiden henkilötietojen käsittelyn tarkoituksen ja keinojen määrittämiseen. Tästä syystä mainittua hallinnoijaa on nyt käsiteltävässä tapauksessa pidettävä direktiivin 95/46 2 artiklan d alakohdassa tarkoitettuna rekisterinpitäjänä unionissa yhdessä Facebook Irelandin kanssa. Se seikka, että fanisivun hallinnoija käyttää Facebookin tarjoamaa alustaa hyödyntääkseen tähän liittyviä palveluja, ei nimittäin vapauta sitä sen henkilötietojen suojaa koskevien velvollisuuksien noudattamisesta. Näin ollen se, että tunnustetaan verkkoyhteisön ylläpitäjän ja kyseisessä verkkoyhteisössä olevan fanisivun hallinnoijan yhteinen vastuu kyseisellä fanisivulla kävijöiden henkilötiedoista, edistää direktiivin 95/46 vaatimusten mukaisesti niiden oikeuksien kattavamman suojan varmistamista, joita kyseisellä fanisivulla kävijöillä on. (ks. 35, 39, 40, 42 ja 44 kohta sekä tuomiolauselman 1 kohta)

Direktiivin 95/46 4 ja 28 artiklaa on tulkittava siten, että silloin kun Euroopan unionin ulkopuolelle sijoittautuneella yrityksellä on useita toimipaikkoja eri jäsenvaltioissa, jäsenvaltion valvontaviranomainen on toimivaltainen käyttämään sillä kyseisen direktiivin 28 artiklan 3 kohdan mukaan olevia toimivaltuuksia mainitun yrityksen kyseisen jäsenvaltion alueella sijaitsevan toimipaikan osalta, vaikka konsernin sisäisen tehtävänjaon mukaan yhtäältä kyseinen toimipaikka vastaa vain mainospaikkojen myynnistä ja muusta markkinoinnista kyseisen jäsenvaltion alueella ja toisaalta yksinomainen vastuu henkilötietojen keräämisestä ja käsittelystä koko Euroopan unionin alueella on jonkin toisen jäsenvaltion alueella sijaitsevalla toimipaikalla. (ks. 64 kohta sekä tuomiolauselman 2 kohta)