JULKISASIAMIEHEN RATKAISUEHDOTUS

PEDRO CRUZ VILLALÓN

25 päivänä kesäkuuta 2015 ( 1 )

Asia C‑230/14

Weltimmo s.r.o.

vastaan

Nemzeti Adatvédelmi és Információszabadság Hatóság

Ennakkoratkaisupyyntö – Kúria (Unkari)

”Henkilötietojen suoja — Direktiivi 95/46/EY — 4 artiklan 1 kohta ja 28 artiklan 1, 3 ja 6 kohta — Toisen jäsenvaltion alueelle sijoittautunut rekisterinpitäjä — Sovellettavan oikeuden ja toimivaltaisen valvontaviranomaisen määrittäminen — Valvontaviranomaisen valtuudet — Rankaisuvalta — Tietojen käsittelyn käsite”

1. Kúrian (Unkarin ylin tuomioistuin) esittämän ennakkoratkaisupyynnön taustalla on riita-asia, jossa ovat vastakkain Magyar Adatvédelmi és Információszabadság Hatóság, jäljempänä Unkarin tietosuojaviranomainen, ja Slovakiassa rekisteröity yritys, joka ylläpitää kiinteistönvälitykseen käytettävää internetsivustoa, jolla julkaistaan ilmoituksia Unkarissa sijaitsevista kiinteistöistä.

2. Unionin tuomioistuin saa siis nyt tilaisuuden ottaa jälleen kantaa tietojen käsittelyyn sovellettavan oikeuden määrittämiseen yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46/EY ( 2 ) 4 artiklan 1 kohdan a alakohdan mukaisesti, jota se on jo tulkinnut tuomiossa Google Spain ja Google. ( 3 ) Nyt käsiteltävässä asiassa esitetään lisäksi täysin uudet kysymykset, jotka koskevat toimivaltaisen valvontaviranomaisen määrittämistä sekä kyseisen viranomaisen soveltamaa kansallista oikeutta ja viranomaisen toimintavaltuuksia, erityisesti seuraamusten määräämistä koskevaa valtuutta.

I Asiaa koskevat oikeussäännöt

A Unionin oikeus

3. Direktiivissä 95/46 säädetään erilaisia perusteita henkilötietojen käsittelyyn sovellettavan lainsäädännön määrittämiseksi. Sen johdanto-osan 18 perustelukappaleessa todetaan, että ”jotta yksilö ei jäisi vaille tämän direktiivin mukaisesti taattavaa tietosuojaa, kaiken yhteisössä tapahtuvan henkilötietojen käsittelyn on tapahduttava jonkin jäsenvaltion lainsäädännön mukaisesti; näin ollen tietyssä maassa toimivan rekisterinpitäjän vastuulla oleva tietojenkäsittely olisi suoritettava kyseisen valtion lainsäädännön mukaisesti”.

4. Toisaalta direktiivin 95/46 johdanto-osan 19 perustelukappaleessa todetaan, että ”sijoittautuminen jonkin jäsenvaltion alueelle edellyttää tosiasiallista toimintaa ja kiinteää toimipaikkaa; tässä suhteessa ei oikeudellisella muodolla ole merkitystä, olkoon kyseessä sitten pelkkä sivuliike tai tytäryhtiö, jolla on oikeushenkilöllisyys – –”. Samassa perustelukappaleessa todetaan vielä, että ”jos sama rekisterinpitäjä on sijoittautunut usean jäsenvaltion alueelle, erityisesti tytäryhtiönsä kautta, kyseisen rekisterinpitäjän on mahdollisten väärinkäytösten estämiseksi varmistettava, että kaikki yritykset täyttävät niiden toimintaan sovellettavan kansallisen oikeuden velvoitteet”.

5. Direktiivin 95/46 4 artiklan 1 kohdassa, jonka a alakohta on olennainen nyt käsiteltävän asian kannalta, säädetään tietojen käsittelyyn sovellettavasta oikeudesta seuraavaa: ”1. Kunkin jäsenvaltion on sovellettava henkilötietojen käsittelyyn kansallisia säännöksiä, jotka se antaa tämän direktiivin mukaisesti, jos a) käsittely suoritetaan kyseisen jäsenvaltion alueella sijaitsevassa rekisterinpitäjän toimipaikassa tapahtuvan toiminnan yhteydessä; jos sama rekisterinpitäjä on sijoittautunut usean jäsenvaltion alueelle, sen on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että kussakin toimipaikassa noudatetaan sovellettavan kansallisen oikeuden mukaisia velvoitteita, – –”.

6. Direktiivin 28 artikla koskee tietosuoja-alan valvontaviranomaisia, ja sen 1, 3, 4 ja 6 kohdassa säädetään seuraavaa: ”1. Kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen. Näiden viranomaisten on hoidettava tehtäviään itsenäisesti. – – 3. Kullakin valvontaviranomaisella on erityisesti oltava: — tutkintavaltuudet, kuten valtuudet saada käsiteltäviä tietoja ja kerätä kaikki valvontatehtävänsä suorittamiseksi tarvittavat tiedot, — tehokkaat toimintavaltuudet, kuten esimerkiksi valtuudet 20 artiklan mukaisesti antaa lausuntoja ennen käsittelyn toteuttamista ja varmistaa näiden lausuntojen asianmukainen julkistaminen taikka valtuudet määrätä tietojen suojaamisesta, poistamisesta tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti taikka valtuudet antaa rekisterinpitäjälle huomautus tai varoitus taikka valtuudet saattaa asioita käsiteltäväksi kansalliselle parlamentille tai muille poliittisille elimille, — valtuudet olla asianosaisena oikeudenkäynnissä, jos tämän direktiivin mukaisesti toteutettuja kansallisia toimenpiteitä rikotaan, tai valtuudet saattaa nämä rikkomukset lainkäyttöviranomaisten tietoon. Valvontaviranomaisten päätöksistä, jotka antavat aihetta valituksiin, voi valittaa tuomioistuimeen. 4. Kuka tahansa henkilö tai häntä edustava yhdistys voi esittää valvontaviranomaiselle oikeuksiensa ja vapauksiensa suojelua henkilötietojen käsittelyn osalta koskevan vaateen. Rekisteröidylle ilmoitetaan vaateen seurauksista. Kuka tahansa henkilö voi erityisesti esittää valvontaviranomaiselle vaateen käsittelyn laillisuuden tarkastamisesta sovellettaessa tämän direktiivin 13 artiklan mukaisesti toteutettuja kansallisia toimenpiteitä. Joka tapauksessa henkilölle on ilmoitettava, että tarkastus on suoritettu. – – 6. Riippumatta kyseessä olevaan käsittelyyn sovellettavasta kansallisesta oikeudesta valvontaviranomainen on toimivaltainen käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat 3 kohdan mukaisesti. Toisen jäsenvaltion viranomainen voi pyytää valvontaviranomaista käyttämään valtuuksiaan. Valvontaviranomaisten on oltava yhteistyössä keskenään siinä määrin kuin on tarpeen tehtäviensä suorittamiseksi, erityisesti vaihtamalla hyödyllisiä tietoja. – –”

B Unkarin oikeus

7. Henkilötietoihin liittyvästä määräämisoikeudesta ja tiedonvälityksen vapaudesta vuonna 2011 annettu laki CXII (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény; jäljempänä tietosuojalaki) on direktiivin 95/46 kansallinen täytäntöönpanosäädös.

8. Tietosuojalain 2 §:ssä säädetään seuraavaa: ”(1) Tätä lakia on sovellettava kaikkeen Unkarin alueella tapahtuvaan luonnollisten henkilöiden henkilötietojen ja yleisen edun mukaisten tietojen tai tietojen, jotka ovat julkisia yleisen edun vuoksi, käsittelyyn ja muokkaamiseen. (2) Tätä lakia on sovellettava kokonaan tai osittain automaattiseen taikka manuaaliseen tietojen käsittelyyn ja muokkaamiseen. (3) Tätä lakia on sovellettava, jos Euroopan unionin alueen ulkopuolella henkilötietoja käsittelevä rekisterinpitäjä on antanut tietojen muokkaamisen sellaisen henkilötietojen muokkaajan tehtäväksi, jonka kotipaikka, toimipaikka, tytäryhtiö tai asuin- taikka olinpaikka on Unkarin alueella taikka jos tällainen rekisterinpitäjä käyttää Unkarin alueella olevia välineitä, paitsi jos kyseisiä välineitä käytetään ainoastaan tiedonsiirtoon Euroopan unionin alueen kautta. Tällaisen rekisterinpitäjän on nimettävä Unkarin alueelle edustaja.”

9. Tietosuojalain 3 §:ssä säädetään puolestaan, että kyseisessä laissa tarkoitetaan ”(9) rekisterinpitäjällä (adatkezelő) luonnollista tai oikeushenkilöä, taikka oikeushenkilöllisyyttä vailla olevaa yksikköä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoituksen, tekee käsittelyä koskevat päätökset (käytettävä keinot mukaan lukien) ja panee ne täytäntöön itse tai henkilötietojen muokkaajan (adatfeldolgozó) välityksellä; (10) tietojen käsittelyllä (adatkezelés) kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin millä tahansa menettelyllä, kuten tietojen kerääminen, tiedon haku, tallentaminen, järjestäminen, säilyttäminen, muuttaminen, käyttö, kysely, luovuttaminen, julkinen ilmaiseminen, yhteensovittaminen tai yhdistäminen, suojaaminen, poistaminen tai tuhoaminen, sekä tietojen muun hyväksikäytön estäminen, valokuvien, ääni- tai kuvatallenteiden käsittely taikka sellaisten fyysisten tunnusmerkkien (esimerkiksi sormen- tai kämmenenjälkien, DNA-näytteiden tai silmän kehäkalvon kuvan) tallentaminen, joita voidaan käyttää henkilöiden tunnistamisessa; (11) tietojen siirtämisellä tietojen saattamista kolmannen henkilön käyttöön; – – (17) tietojen muokkaamisella (adatfeldolgozás) tietojen käsittelyyn liittyvien teknisten tehtävien suorittamista siitä riippumatta, millä menetelmällä tai välineellä taikka missä nämä tehtävät suoritetaan, edellyttäen, että nämä tekniset tehtävät kohdistuvat tietoihin; (18) tietojen muokkaajalla (adatfeldolgozó) luonnollista henkilöä tai oikeushenkilöä taikka oikeushenkilöllisyyttä vailla olevaa yksikköä, joka suorittaa tietojen muokkaamista sopimuksen – mukaan lukien lain nojalla tehdyt sopimukset – perusteella; – –”.

II Tosiseikat ja pääasian käsittely

10. Käsiteltävä ennakkoratkaisupyyntö on esitetty ylimääräistä muutoksenhakua koskevassa asiassa, jossa Kúriaan on valitettu Fővárosi Közigazgatási és Munkaügyi Bíróságin antamasta tuomiosta tietosuojaan liittyvässä hallintolainkäyttöasiassa, jossa asianosaisina ovat Weltimmo s.r.o., jäljempänä Weltimmo, ja Unkarin tietosuojaviranomainen.

11. Weltimmo on yritys, jonka kotipaikka on Slovakiassa ja joka pitää yllä kiinteistönvälitykseen käytettävää internetsivustoa. Sen toiminta koostuu mainitun internetsivuston ylläpitämisestä, ja sivustolla julkaistaan Unkarissa sijaitsevia kiinteistöjä koskevia ilmoituksia. Ilmoitukset ovat ilmoittajalle maksuttomia ensimmäisen kuukauden ajan, mutta sen jälkeen palvelusta tulee maksullinen. Huomattavan monet ilmoittajat ovat pyytäneet sähköpostitse ilmoituksensa ja omien henkilötietojensa poistamista, sillä he eivät ole halunneet käyttää maksullista palvelua ensimmäisen kuukauden jälkeen. Weltimmo ei ole noudattanut pyyntöjä, vaan on laskuttanut tämän jälkeen palveluistaan. Laskujen jäätyä maksamatta Weltimmo on välittänyt ilmoittajien henkilötiedot perintätoimistoille.

12. Ilmoittajien tekemiin kanteluihin vastatessaan Unkarin tietosuojaviranomainen totesi olevansa toimivaltainen ja vahvisti, että kansallista lakia voitiin soveltaa (tietosuojalain 3 §:n 10 momentin nojalla, sillä tietojen kerääminen on tietojen käsittelyä) sekä määräsi 10 miljoonan Unkarin forintin suuruisen sakon. Weltimmo haki muutosta hallintopäätökseen Fővárosi Közigazgatási és Munkaügyi Bíróságissa, joka kumosi kyseisen hallintopäätöksen sen vuoksi, ettei tiettyjä tosiseikkoja ollut selvitetty riittävällä tavalla; se ei kuitenkaan kyseenalaistanut tietosuojaviranomaisen toimivaltaa eikä sovellettavaa lakia.

13. Weltimmo vaatii kassaatiovalituksessaan muun muassa toteamaan, ettei lisäselvitysten esittäminen tosiseikoista ole tarpeen, koska Unkarin tietosuojaviranomainen ei ole direktiivin 95/46 4 artiklan 1 kohdan a alakohdan nojalla toimivaltainen käsittelemään asiaa eikä soveltamaan Unkarin oikeutta toiseen jäsenvaltioon sijoittautuneeseen palvelujentarjoajaan, ja tuo tässä yhteydessä esille erityisesti sen, että direktiivin 95/46 28 artiklan 6 kohdan mukaisesti tietosuojaviranomaisen olisi pitänyt pyytää Slovakian vastaavaa viranomaista toimimaan valittajaa vastaan.

14. Unkarin tietosuojaviranomainen pyrkii perustelemaan pääasiassa toimivaltaansa ja Unkarin lainsäädännön soveltamista esittämällä, että Weltimmolla on unkarilainen yhteyshenkilö, yksi omistajista, joka on Unkarin kansalainen ja joka on edustanut Weltimmoa sekä hallinnollisessa menettelyssä että tuomioistuinmenettelyssä. Se tuo lisäksi esille, että Weltimmon omistajat asuvat Unkarissa. Tietosuojaviranomainen pitää itseään direktiivin 95/46 28 artiklan 6 kohdan nojalla joka tapauksessa toimivaltaisena sovellettavasta oikeudesta riippumatta.

III Ennakkoratkaisukysymykset ja asian käsittely unionin tuomioistuimessa

15. Kúrian näkemyksen mukaan direktiivin 95/46 asiaankuuluvat säännökset eivät ole riittävän selkeitä, joten se esitti 22.4.2014 tekemässään päätöksessä, joka saapui unionin tuomioistuimeen 12.5.2014, seuraavat ennakkoratkaisukysymykset: ”1) Onko – – direktiivin 95/46 – – 28 artiklan 1 kohtaa tulkittava siten, että jäsenvaltion kansallista oikeutta voidaan sen alueella soveltaa sellaiseen henkilötietoja käsittelevään rekisterinpitäjään, joka on sijoittautunut yksinomaan toiseen jäsenvaltioon ja joka harjoittaa internetsivustollaan kiinteistönvälitystoimintaa julkaisten siellä ilmoituksia myös ensin mainitun jäsenvaltion alueella sijaitsevista kiinteistöistä, joiden omistajat ovat luovuttaneet henkilötietonsa internetsivuston pitäjän toisessa jäsenvaltiossa sijaitsevalle välineelle (palvelimelle), jolle tiedot tallennetaan ja jossa niitä muokataan? 2) Onko tietosuojadirektiivin 4 artiklan 1 kohdan a alakohtaa sen 18–20 perustelukappaleen, 1 artiklan 2 kohdan ja 28 artiklan 1 kohdan valossa tulkittava siten, ettei Unkarin [tietosuojaviranomainen] voi soveltaa kansallisena oikeutena Unkarin tietosuojalainsäädäntöä sellaiseen kiinteistönvälitystä internetsivustollaan harjoittavaan henkilöön, joka on sijoittautunut yksinomaan toiseen jäsenvaltioon, silloinkaan, kun tämä julkaisee ilmoituksia myös Unkarissa sijaitsevista kiinteistöistä ja kun näiden omistajat ovat – luultavasti Unkarin alueelta käsin – luovuttaneet kiinteistöjä koskevat tiedot internetsivuston pitäjän toisessa jäsenvaltiossa sijaitsevalle välineelle (palvelimelle), jolle tiedot tallennetaan ja jossa niitä muokataan? 3) Onko tulkinnan kannalta merkitystä sillä, että internetsivustoa hoitava rekisterinpitäjä kohdistaa palvelunsa toisen jäsenvaltion alueelle? 4) Onko tulkinnan kannalta merkitystä sillä, että yhden jäsenvaltion alueella sijaitsevia kiinteistöjä koskevat tiedot ja niiden omistajien henkilötiedot todellisuudessa ladattiin toisen jäsenvaltion alueella? 5) Onko tulkinnan kannalta merkitystä sillä, että näihin kiinteistöihin liittyvät henkilötiedot ovat toisen jäsenvaltion kansalaisten henkilötietoja? 6) Onko tulkinnan kannalta merkitystä sillä, että Slovakiaan sijoittautuneen yrityksen omistajat asuvat Unkarissa? 7) Jos edellä oleviin kysymyksiin annettavista vastauksista seuraa, että tietosuojaviranomainen voi käsitellä asian mutta että se ei voi soveltaa kansallista oikeutta vaan sen on sovellettava sijoittautumisjäsenvaltion oikeutta, onko tietosuojadirektiivin 28 artiklan 6 kohtaa tulkittava siten, että Unkarin tietosuojaviranomainen voi käyttää vain tietosuojadirektiivin 28 artiklan 3 kohdassa säädettyjä valtuuksia sijoittautumisjäsenvaltion lainsäädännön mukaisesti, eikä sillä tämän vuoksi ole oikeutta määrätä sakkoa? 8) Voidaanko tietosuojadirektiivin [unkarinkielisen version] 4 artiklan 1 kohdan a alakohdassa ja sen 28 artiklan 6 kohdassa oleva käsite adatfeldolgozás (henkilötietojen muokkaaminen) rinnastaa tietosuojadirektiivin terminologiassa käsitteeseen adatkezelés (henkilötietojen käsittely)?”

16. Kirjallisia huomautuksia ovat esittäneet Unkarin hallitus, Slovakian hallitus, Yhdistyneen kuningaskunnan hallitus, Unkarin tietosuojaviranomainen ja Euroopan komissio. Suulliseen käsittelyyn, joka pidettiin 12.3.2015, osallistuivat Unkarin hallitus, Slovakian hallitus, Puolan hallitus, Unkarin tietosuojaviranomainen ja Euroopan komissio.

IV Arviointi

17. Kúrian esittämät ennakkoratkaisukysymykset koskevat kahta ongelmaa, joita on käsiteltävä erikseen, vaikka niillä väitetäänkin olevan yhteys toisiinsa, mikä käy ilmi myös unionin tuomioistuimen menettelyn aikana esitetyistä kirjallisista ja suullisista huomautuksista: tietojen käsittelyyn sovellettavaa lakia ja toimivaltaisen viranomaisen määrittämistä. Jäsennän näin ollen arviointini kahteen osaan. Käsittelen ensin kysymystä tietojen käsittelyyn sovellettavasta laista ja siten sijoittautumisesta tutkimalla kuusi ensimmäistä kysymystä yhdessä. Toiseksi tarkastelen kysymystä toimivaltaisen valvontaviranomaisen ja sen valtuuksien määrittämisestä ja analysoin samalla mahdollisuutta erottaa toimivaltainen valvontaviranomainen ja sovellettava laki toisistaan (seitsemäs kysymys). Lopuksi käsittelen kahdeksannessa ennakkoratkaisukysymyksessä esitettyä terminologiaan liittyvää ongelmaa.

A Tietojen käsittelyyn sovellettava laki ja sijoittautumisen käsite (kuusi ensimmäistä ennakkoratkaisukysymystä)

18. Kuudessa ensimmäisessä ennakkoratkaisukysymyksessään, jotka on tutkittava yhdessä, Kúria tiedustelee lähinnä, voidaanko direktiivin 95/46 4 artiklan 1 kohdan a alakohtaa ja 28 artiklan 1 kohtaa tulkita siten, että niiden mukaan pääasian kaltaisissa olosuhteissa voidaan soveltaa Unkarin tietosuojalakia ja Unkarin tietosuojaviranomainen on toimivaltainen soveltamaan kyseistä lakia yksinomaan toiseen jäsenvaltioon sijoittautuneeseen internetsivuston ylläpitäjään. Tässä yhteydessä Kúria tiedustelee lisäksi erilaisten tapaukseen liittyvien yksittäisten seikkojen merkityksestä, joita ovat kyseisen yrityksen palveluiden suuntaaminen toisen jäsenvaltion alueelle, kiinteistöihin liittyvien tietojen lataamispaikka, rekisteröityjen kansallisuus ja yritysten omistajien asuminen Unkarissa.

19. Kúria viittaa kahdessa ensimmäisessä kysymyksessään sekä direktiivin 28 artiklan 1 kohtaan että 4 artiklan 1 kohdan a alakohtaan. Kysymyksiin vastattaessa on kuitenkin nähdäkseni täysin mahdollista jättää ensin mainitun säännöksen ulottuvuus analysoimatta. Direktiivin 28 artiklan 1 kohdassa säädetään nimittäin ainoastaan, että ”kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen”. Kyseisellä säännöksellä ei siis ole nähdäkseni merkitystä sovellettavaa lakia määritettäessä. Ensinnäkin systematiikan kannalta on todettava, että 28 artikla on sijoitettu direktiivin VI lukuun, jossa säädetään valvontaviranomaisista sekä tietosuojatyöryhmästä, ei sovellettavasta lainsäädännöstä. Toiseksi direktiivin 28 artiklan 1 kohdan varsinaiseen sanamuotoon ei sisälly mitään muita tietojen käsittelyyn sovellettavan lain määrittämisen perusteita. Kyseiseen säännökseen ei siis sisälly mitään sellaista, jonka tulkinnan perustella voitaisiin päätyä toisenlaiseen vastaukseen sen kysymyksen osalta, joka koskee sovellettavan lain määrittämistä mainitun direktiivin 4 artiklassa, jossa säännellään nimenomaan sovellettavan lain kysymystä, ilmaistujen perusteiden mukaisesti.

20. Direktiivin 4 artiklan 1 kohdan a alakohtaa käsiteltäessä on aluksi todettava, että sekä suullisen käsittelyn että kirjallisen menettelyn aikana esitetyissä huomautuksissa on tuotu esille, että kyseinen säännös on olennainen vastattaessa sovellettavaa lakia koskeviin kysymyksiin ja että on erityisen tärkeää määrittää Weltimmon sijoittautumispaikka.

21. Tietojen käsittelyyn rajatylittävissä tilanteissa sovellettavaa lakia koskeva ongelma on ollut kansainvälisesti paljon kiistelty kysymys kymmenien vuosien ajan. ( 4 ) Direktiivin 4 artikla, joka koskee sovellettavan kansallisen oikeuden määrittämistä, on ollut ensimmäinen oikeussääntö, jossa sovellettavan oikeuden määrittämistä koskeva sääntö on onnistuttu vahvistamaan tässä yhteydessä. ( 5 ) Mainitussa säännöksessä vahvistetaan erilaisia perusteita sen määrittämiseksi, voidaanko soveltaa direktiivin täytäntöönpanosta annettua kansallista oikeutta, ja näin siinä säädetään välillisesti (kyseisten kansallisten oikeussääntöjen sovellettavuuden toteamisen kautta) varsinaisen direktiivin alueellisesta soveltamisalasta.

22. Direktiivin 95/46 4 artiklan 1 kohdan a alakohdalla, jonka mukaan ”kunkin jäsenvaltion on sovellettava henkilötietojen käsittelyyn kansallisia säännöksiä, jotka se antaa[ ( 6 )] tämän direktiivin mukaisesti, jos a) käsittely suoritetaan kyseisen jäsenvaltion alueella sijaitsevassa rekisterinpitäjän toimipaikassa tapahtuvan toiminnan yhteydessä”, on siis erityisen suuri merkitys tilanteissa, joissa unionin jäsenvaltioiden välillä sovellettavaa lakia koskeva kysymys on olennainen.

23. Direktiivin 4 artiklan 1 kohdan a alakohdalla on näin ollen kaksi tehtävää: Yhtäältä se tekee mahdolliseksi unionin oikeuden soveltamisen jäsenvaltion oikeuden välityksellä, kun tietojen käsittely suoritetaan yksinomaan jäsenvaltion alueella sijaitsevassa toimipaikassa tapahtuvan toiminnan yhteydessä, ja näin erityisesti silloin, kun tietojen varsinainen käsittely suoritetaan kolmannessa valtiossa (mistä oli kyse tuomiossa Google Spain ja Google). ( 7 ) Toisaalta kyseisessä säännöksessä määritetään jäsenvaltioiden välillä sovellettava laki (mistä on kyse nyt tarkasteltavassa kysymyksessä). Tässä jälkimmäisessä tilanteessa direktiivin 4 artiklan 1 kohdan a alakohta on lainvalintasääntö, jonka avulla määritetään sovellettava laki eri jäsenvaltioiden lainsäädäntöjen välillä.

24. Tässä yhteydessä on tuotava esille, että ennakkoratkaisua pyytänyt tuomioistuin muotoilee kysymyksensä niin, että ne koskevat kiinteistönvälitysilmoituksiin käytettävien internetsivujen ylläpitäjää, joka on sijoittautunut yksinomaan toiseen jäsenvaltioon; Unkarin valvontaviranomainen kuitenkin kiistää tämän viimeksi mainitun seikan. Yhdistyneen kuningaskunnan mukaan on ilmeistä, että nyt käsiteltävässä asiassa on sovellettava sijoittautumisjäsenvaltion, tässä tapauksessa Slovakian, lakia eikä Unkarin viranomaisella ole mahdollisuutta soveltaa oman kansallisen oikeutensa säännöksiä. Komissio asettuu samalle kannalle ja korostaa sitä seikkaa, että Kúria on todennut yrityksen olevan tässä tapauksessa sijoittautunut yksinomaan toiseen jäsenvaltioon, ja näin riippumatta siitä, että Unkarin lain soveltaminen voitaisiin hyväksyä, jos valittajan katsottaisiin olevan sijoittautunut myös Unkarin alueelle.

25. Tosiasiallista sijoittautumispaikkaa koskeviin ennakkoratkaisukysymyksiin liittyvien tosiseikkojen arvioinnin lisäksi Kúrian tässä yhteydessä esittämät kolmas, neljäs, viides ja kuudes ennakkoratkaisukysymys paljastavat ennakkoratkaisua pyytäneen tuomioistuimen olevan tässä yhteydessä hieman epävarma direktiivissä tarkoitetusta sijoittautumisen käsitteestä, joka ei välttämättä ole täysin muodollinen. Näin ollen katson, että kuuteen ensimmäiseen ennakkoratkaisukysymykseen annettavassa hyödyllisessä vastauksessa on määritettävä perusteet sen toteamiseksi, onko tietojen käsittelyä suoritettu Unkarin alueella sijaitsevassa ”rekisterinpitäjän toimipaikassa tapahtuvan toiminnan yhteydessä” direktiivin 4 artiklan 1 kohdan a alakohdassa tarkoitetulla tavalla.

26. Sen selvittämiseksi, onko nyt käsiteltävässä asiassa sovellettava Unkarin vai päinvastoin Slovakian lainsäädäntöä, on tarpeen suorittaa kaksivaiheinen tutkimus tuomiossa Google Spain ja Google ( 8 ) sovellettua menetelmää noudattaen. Ensin on siis selvitettävä, oliko Weltimmolla toimipaikka Unkarin alueella, ja toiseksi on selvitettävä, onko tietojen käsittely suoritettu kyseisessä toimipaikassa tapahtuneen toiminnan yhteydessä. On kuitenkin syytä tuoda esille, että nyt käsiteltävän asian olosuhteissa ei ole riitautettu kysymystä siitä, onko tietojen käsittely suoritettu toimipaikassa tapahtuneen toiminnan yhteydessä, toisin kuin tuomiossa Google Spain ja Google. Ratkaiseva kysymys on varsinaisesti se, onko toimipaikkaa olemassa Unkarissa ja/tai Slovakiassa. Näin ollen keskityn analyysissani pääasiassa tutkimuksen ensimmäiseen vaiheeseen.

27. Unkarin hallitus totesi tästä kysymyksestä kirjallisissa huomautuksissaan, että kyseisen säännöksen eri kielitoisinnot tukevat sellaista sijoittautumisen käsitteen tulkintaa, jossa ei viitata sijoittautumiseen pelkästään yhtiöoikeudellisessa merkityksessä. Slovakian hallitus ymmärtää sijoittautumisen käsitteen niin ikään ei-muodolliselta kannalta ja tuo esille, että tässä yhteydessä on tärkeää viitata sijoittautumisvapautta koskevaan unionin tuomioistuimen oikeuskäytäntöön. Myös Unkarin tietosuojaviranomainen puoltaa sijoittautumisen käsitteen tulkitsemista niin, ettei oikeudellinen muoto ole määräävä tekijä, ja toteaa, että sijoittautumisen voidaan katsoa tapahtuvan tässä tapauksessa Weltimmoa Unkarissa edustavan Benkön kautta. Kyseinen henkilö on nimittäin edustanut mainittua yritystä hallintolainkäyttöasiassa ensimmäisessä oikeusasteessa, hän on ollut yhteydessä valituksia esittäneisiin henkilöihin ja hänet on merkitty Slovakian yritysrekisteriin Unkarissa sijaitsevalla osoitteella. Tietosuojaviranomainen toi suullisessa käsittelyssä lisäksi esille, että Weltimmolla on postilokero Unkarissa juoksevien asioiden hoitamista varten ja että Slovakian tietosuojaviranomainen oli vahvistanut epävirallisessa kuulemisessa, ettei yrityksellä ollut tosiasiallista toimintaa Slovakiassa. Ainoastaan Puolan hallitus painotti suullisessa käsittelyssä esittämissään huomautuksissa, että yksinomaan jäsenvaltion yritysrekisteri on otettava huomioon ainoana puolueettomana ja todennettavissa olevana tekijänä.

28. Tämän tultua todetuksi on viitattava direktiivin 95/46 johdanto-osan 19 perustelukappaleeseen, joka on tulkinnan kannalta erittäin tärkeä kyseisessä direktiivissä tarkoitetun sijoittautumisen käsitteen sisältöä määritettäessä. Kyseisessä perustelukappaleessa viitataan nimittäin käsitteen joustavaan tulkintaan, joka poikkeaa siitä muodollisesta näkökannasta, jonka mukaan yritys on sijoittautunut yksinomaan siihen paikkaan, jossa se on rekisteröitynyt. Kyseiseen perustelukappaleeseen sisältyvät ensinnäkin tehokkuusvaatimus ja eräänlainen pysyvyys, sillä siinä todetaan, että ”sijoittautuminen jonkin jäsenvaltion alueelle edellyttää tosiasiallista toimintaa ja kiinteää toimipaikkaa – –”. Toiseksi siinä jätetään huomattava joustonvara todettaessa, että ”tässä suhteessa ei oikeudellisella muodolla ole merkitystä, olkoon kyseessä sitten pelkkä sivuliike tai tytäryhtiö, jolla on oikeushenkilöllisyys”.

29. Tällainen käsitys sijoittautumisen käsitteestä vastaa tulkintaa, jonka unionin tuomioistuin on omaksunut oikeuskäytännössään muilla unionin oikeuden aloilla. Vakiintuneen oikeuskäytännön mukaan etenkin ”sijoittautumisvapautta koskevissa perustamissopimuksen määräyksissä tarkoitettu sijoittautumisen käsite merkitsee pysyväisluonteista taloudellisen toiminnan tosiasiallista harjoittamista tässä jäsenvaltiossa sijaitsevasta kiinteästä toimipaikasta käsin”, ( 9 ) mikä ”edellyttää – – kyseessä olevan yhtiön todellista asettautumista vastaanottajana olevaan jäsenvaltioon ja taloudellisen toiminnan tosiasiallista harjoittamista siellä”. ( 10 )

30. Toisaalta 29 artiklan mukaisen tietosuojatyöryhmän, jäljempänä tietosuojatyöryhmä, lausunnossa 8/2010 ( 11 ) viitataan sijoittautumisen käsitteen tulkintaan liityntäperusteena arvonlisäverotuksen alalla. ( 12 ) Tällä alalla annettu unionin tuomioistuimen oikeuskäytäntö on erityisen kiinnostava – sijoittautumisen käsitettä käytetään liityntäperusteena määritettäessä kansallisen verolainsäädännön alaisuutta – ja siinä syvennetään pysyvän sijoittautumisen käsitettä siten, että sillä ”on oltava riittävä pysyvyysaste sekä henkilöstöresurssien ja teknisten resurssien osalta soveltuva rakenne, jonka avulla se pystyy vastaanottamaan ja käyttämään sen omia tarpeita varten suoritettavia palveluja”. ( 13 ) Lisäksi sijoittautumisen käsitettä tulkitaan sekä Rooman yleissopimuksen ( 14 ) että Brysselin yleissopimuksen ( 15 ) yhteydessä niin ikään ei-muodolliselta kannalta. ( 16 )

31. Edellä mainituilla aloilla annetun unionin tuomioistuimen oikeuskäytännön soveltamisala on asiayhteydeltään ja tavoitteiltaan hyvin erilainen kuin nyt käsiteltävä asia, mutta tästä huolimatta on joka tapauksessa merkittävää, että unionin oikeudessa korostetaan eri aloilla sijoittautumisen käsitettä koskevan tulkinnan yhteydessä taloudellisen toiminnan tosiasiallista harjoittamista ja tietyn asteista pysyvyyttä, mikä vastaa myös direktiivin 95/46 johdanto-osan 19 perustelukappaleessa esitettyjä näkökohtia.

32. Kun toisaalta otetaan huomioon direktiivin 95/46 erityinen tavoite, sellaisena kuin se on esitetty direktiivin 1 artiklan 1 kohdassa, jonka mukaan ”henkilötietojen käsittelyssä [on] turvattava yksilöille heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen”, on sekä toimipaikan kiinteää luonnetta että taloudellisen toiminnan tosiasiallista harjoittamista tulkittava ottamalla huomioon kyseisen taloudellisen toiminnan ja kyseisten palveluiden erityinen luonne.

33. Kuten Unkarin tietosuojaviranomainen ja Slovakian hallitus siis toteavat, ja seurattaessa tietosuojatyöryhmän esittämiä perusteita, ( 17 ) yksi ainoa edustaja riittää perusteeksi katsoa, että kiinteä toimipaikka on olemassa, jos kyseinen edustaja toimii riittävän pysyvällä tavalla siten, että paikalla on kyseisten konkreettisten palveluiden tarjoamiseksi tarvittavat välineet kyseisessä jäsenvaltiossa.

34. Kuten julkisasiamies Jääskinen toteaa ratkaisuehdotuksessaan Google Spain ja Google, kyseisen toimijan liiketoimintamalli on otettava huomioon direktiivin 95/45 4 artiklan edellytyksiä arvioitaessa. ( 18 ) Tätä varten tässä on arvioitava yksinomaan internetin välityksellä toimivien yritysten erityistä luonnetta, sillä niiden liiketoimintamallissa pysyvän fyysisen toimipaikan käsitteestä tulee suhteellinen, ja tämä liiketoimintamalli vaikuttaa myös henkilöresurssien ja aineellisten resurssien määrään. Tietyissä olosuhteissa on nimittäin niin, että pysyvä edustaja, jolla ei ole juuri muita välineitä kuin kannettava tietokone, voi muodostaa riittävän rakenteen ja pystyä harjoittamaan tosiasiallista toimintaa riittävän pysyvällä tavalla. Näin ollen henkilöresursseja ja teknisiä resursseja arvioitaessa on internetin kautta palveluja tarjoavan yrityksen erityisiä ominaisuuksia tarkasteltava huolellisesti ja samalla on otettava huomioon kunkin konkreettisen tilanteen erityiset olosuhteet.

35. Internetin välityksellä harjoitettavan taloudellisen toiminnan erityinen luonne on nimittäin otettu huomioon määritettäessä sijoittautumisen käsitettä muissa unionin oikeuteen kuuluvissa oikeussäännöissä. Erityisesti sähköisestä kaupankäynnistä annetun direktiivin ( 19 ) johdanto-osan 19 perustelukappaleessa todetaan, että ”kun kyseessä on Internet-sivuston välityksellä palveluja tarjoava yritys, sijoittautumispaikka ei ole siellä, missä sivustoa tukeva teknologia sijaitsee tai missä sivusto on saatavilla, vaan paikka, jossa yritys harjoittaa taloudellista toimintaansa”. Tietosuojatyöryhmä on pitänyt tätä määritelmää olennaisena direktiivin 95/46 4 artiklaa tulkittaessa. ( 20 )

36. Näiden seikkojen perusteella voidaan todeta kyseenalaistamatta sitä, että Weltimmo on muodollisesti Slovakiassa rekisteröity yritys, ettei voida sulkea pois sitä, että kyseinen yritys harjoittaa tosiasiallisesti toimintaansa toisen jäsenvaltion, tässä tapauksessa Unkarin, alueella sijaitsevan kiinteän toimipaikan välityksellä ja että tällaisen toimipaikan muodostaa yksi ainoa edustaja. Mikäli näin olisi, Weltimmolla olisi direktiivin 95/46 4 artiklan 1 kohdan a alakohdassa tarkoitettu toimipaikka Unkarissa.

37. Kúrian ennakkoratkaisukysymyksissään esille ottamat erilaiset ylimääräiset seikat – paikka, josta käsin tiedot on ladattu; jäsenvaltio, johon palvelut on suunnattu; rekisteröityjen kansallisuus tai yrityksen omistajien asuinpaikka – eivät vaikuta tässä yhteydessä välittömästi ratkaisevalla tavalla sovellettavan oikeuden määrittämiseen. ( 21 ) Kyseisiä seikkoja ei nimittäin ole mainittu direktiivissä olennaisina perusteina, joiden nojalla 4 artiklan 1 kohdan a alakohdassa säädetystä perusteesta voitaisiin poiketa. ( 22 )

38. Edellä todetusta huolimatta monet tällaiset tekijät voisivat tietyissä olosuhteissa osoittaa toiminnan tosiasiallisen luonteen (sijoittautumispaikkaa määritettäessä) erityisesti selvitettäessä, onko tietojen käsittely suoritettu jossakin rekisterinpitäjän toimipaikassa tapahtuvan toiminnan yhteydessä.

39. Erityisesti jälkimmäisen seikan osalta – tietojen käsittely suoritetaan jäsenvaltiossa sijaitsevassa toimipaikassa tapahtuvan toiminnan yhteydessä – on viitattava tuomiossa Google Spain ja Google vahvistettuun tulkintaan. ( 23 ) Sen mukaan direktiivin 95/46 4 artiklan 1 kohdan a alakohdassa ei ”edellytetä, että kyseessä oleva toimipaikka itse ’suorittaa’ kyseessä olevan henkilötietojen käsittelyn vaan yksinomaan että se suoritetaan kyseisessä toimipaikassa tapahtuvan ’toiminnan yhteydessä’“. ( 24 ) Lisäksi tuomioistuin jatkaa kiinnittäen huomiota direktiivin tavoitteeseen, että ”viimeksi mainittua ilmaisua ei voida tulkita suppeasti”. ( 25 )

40. Tämän jälkimmäisen perusteen soveltaminen on erityisen merkityksellistä siinä tapauksessa, että ennakkoratkaisua pyytänyt tuomioistuin katsoo edellä esitettyjä perusteita soveltaen, että Weltimmo on sijoittautunut kyseisiin kahteen jäsenvaltioon. Kuten Slovakian hallitus ja komissio tuovat kirjallisissa huomautuksissaan esille, tällöin on otettava huomioon nimenomaan se toiminta, jonka yhteydessä tietojen käsittely on suoritettu, sekä erityisesti tämän toiminnan yhteys toimipaikkaan. ( 26 ) Tietosuojatyöryhmä on ottanut esille muitakin tältä kannalta määrääviä seikkoja hakukoneiden osalta, ja näistä voi olla hyötyä määritettäessä, sijoittuuko kyseinen toiminta toimipaikan yhteyteen: toimipaikka vastaa suhteista käyttäjiin, toimipaikka osallistuu kyseisen valtion asukkaille kohdistettujen mainosten myyntiin tai toimipaikka vastaa käyttäjätiedoista jäsenvaltion toimivaltaisille viranomaisille. ( 27 )

41. Määritettäessä nyt käsiteltävässä asiassa, voidaanko Unkarin oikeutta soveltaa Weltimmon toimintaan Unkarissa, on selvitettävä, onko Weltimmolla käytettävissä Unkarissa toimipaikka, jonka toiminnan yhteydessä riidanalainen tietojen käsittely on tapahtunut. Tätä varten on selvitettävä, onko ennakkoratkaisupyyntöpäätöksessä mainitulla edustajalla käytössä sellainen kiinteä toimipaikka, toimipaikan oikeudellisesta muodosta riippumatta, jonka kautta edustaja harjoittaa tosiasiallista toimintaa, jonka yhteydessä riidanalainen tietojen käsittely on tapahtunut.

42. Näin ollen katson, että Kúrian esittämiin kuuteen ensimmäiseen kysymykseen yhdessä on vastattava siten, että direktiivin 95/46 4 artiklan 1 kohdan a alakohta on esteenä sille, että Unkarin tietosuojaviranomainen soveltaa Unkarin lakia yksinomaan toiseen jäsenvaltioon sijoittautuneeseen rekisterinpitäjään. Tässä yhteydessä sijoittautumisen käsitettä on tulkittava siten, että se merkitsee sellaisen kiinteän toimipaikan olemassaoloa – toimipaikan oikeudellisesta muodosta riippumatta –, jonka kautta harjoitetaan tosiasiallista toimintaa. Yhden ainoan edustajan voidaan katsoa muodostavan kiinteän toimipaikan, jos kyseisten konkreettisten palveluiden tarjoamiseen tarvittavat henkilöresurssit ja tekniset resurssit ovat olemassa. Muut seikat, kuten paikka, josta käsin tiedot on ladattu; rekisteröityjen kansallisuus; rekisterinpitäjänä toimivan yrityksen omistajien kotipaikka, tai se seikka, että rekisterinpitäjän tarjoama palvelu on suunnattu toisen jäsenvaltion alueelle, eivät ole välittömästi olennaisia eivätkä ratkaisevia sovellettavan lain vahvistamisen kannalta, vaikka niillä voidaankin osoittaa toiminnan tosiasiallinen luonne – sijoittautumispaikkaa määritettäessä – erityisesti, kun selvitetään, onko tietojen käsittely suoritettu kyseisessä toimipaikassa harjoitetun toiminnan yhteydessä.

B Toimivaltainen valvontaviranomainen sekä sovellettavan oikeuden ja toimivaltaisen viranomaisen mahdollinen toisistaan erottaminen (seitsemäs ennakkoratkaisukysymys)

43. Seitsemännessä kysymyksessä Kúria tiedustelee unionin tuomioistuimelta seuraavaa: ”Jos edellä oleviin kysymyksiin annettavista vastauksista seuraa, että tietosuojaviranomainen voi käsitellä asian mutta että se ei voi soveltaa kansallista oikeutta vaan sen on sovellettava sijoittautumisjäsenvaltion oikeutta, onko tietosuojadirektiivin 28 artiklan 6 kohtaa tulkittava siten, että Unkarin tietosuojaviranomainen voi käyttää vain tietosuojadirektiivin 28 artiklan 3 kohdassa säädettyjä valtuuksia sijoittautumisjäsenvaltion lainsäädännön mukaisesti, eikä sillä tämän vuoksi ole oikeutta määrätä sakkoa?”

44. Kuten nähdään, kyseisellä ennakkoratkaisukysymyksellä on merkitystä ainoastaan siinä tapauksessa, että ennakkoratkaisua pyytänyt tuomioistuin toteaa edellä esitettyjen periaatteiden mukaisesti, ettei Weltimmolla ole toimipaikkaa Unkarissa, vaan se on sijoittautunut yksinomaan Slovakiaan. Jotta nyt tarkasteltavaan kysymykseen voidaan antaa hyödyllinen vastaus, on pohdittava etukäteen sitä mahdollisuutta – sillä tämä ei käy nimenomaisesti ilmi aiempiin kysymyksiin annetusta vastauksesta – voiko jäsenvaltion valvontaviranomainen toimia myös siinä tapauksessa, että direktiivin 4 artiklan 1 kohdan a alakohdan perusteiden nojalla on sovellettava toisen jäsenvaltion oikeutta. Jos kysymykseen vastataan myöntävästi, on seuraavaksi selvitettävä kyseisen viranomaisen toimivallan laajuus ja sisältö.

45. Ensin on siis pohdittava, onko sovellettavaa lakia koskeva 4 artikla paitsi säännös, jonka perusteella sovellettava laki määräytyy, myös toimivallan ratkaiseva säännös ja, jos on, mikä on tällöin viranomaisten toimivaltaan liittyvien 28 artiklassa annettujen täsmennysten arvo. Kaikkea tätä on tarkasteltava tilanteessa, johon liittyy laajuudeltaan merkittävä unionin oikeuden tietosuoja-alaa koskeva uudistus. ( 28 )

46. Unionin tuomioistuimessa esitetyissä huomautuksissa esitetään erilaisia tulkintoja direktiivin 28 artiklan 1, 3 ja 6 kohdasta. Unkarin tietosuojaviranomainen väittää olevansa toimivaltainen määräämään sakkorangaistuksen myös silloin, jos on sovellettava toisen jäsenvaltion lainsäädäntöä. Myös Unkarin hallitus on samalla kannalla, ja sen mukaan on ilmeistä, että direktiivin 28 artiklan 3 kohdassa lueteltujen valvontaviranomaisten valtuuksien käyttämiseen liittyvää asemaa ja menettelyä säännellään sen valtion kansallisessa oikeudessa, jossa kyseisellä viranomaisella on kotipaikka, joten sanktiot on määrättävä sen oman valtion kansallisen oikeuden mukaisesti.

47. Komissio katsoo puolestaan, että jäsenvaltion valvontaviranomaisilla on oikeus käyttää direktiivin 28 artiklan 3 kohdassa lueteltuja valtuuksia silloin, kun ne pystyvät käyttämään niitä omalla alueellaan 28 artiklan 1 ja 6 kohdan mukaisesti. Jos jotain valtuutta voidaan sen sijaan käyttää ainoastaan toisen jäsenvaltion alueella, viranomaisella ei ole muuta mahdollisuutta kuin pyytää kyseisen jäsenvaltion valvontaviranomaista hallinnolliseen yhteistyöhön. Ensimmäisen jäsenvaltion valvontaviranomainen ei voisi siis määrätä sanktiota yksinomaan toiseen jäsenvaltioon sijoittautuneelle rekisterinpitäjälle. Slovakian hallitus katsoo vastaavasti, että jos olisi sovellettava Slovakian oikeutta, Unkarin tietosuojaviranomaisella olisi 28 artiklan 3 ja 6 kohdan perusteella toimivalta suorittaa tutkimus ja tutkia sille tehtyjä valituksia toimimalla omien menettelysääntöjensä mukaisesti, mutta sen olisi esitettävä yhteistyöpyyntö sen jäsenvaltion toimivaltaiselle viranomaiselle, jonka lakia sovelletaan, sillä kyseisen valvontaviranomaisen pitäisi tehdä päätös mahdollisesta sanktion määräämisestä. Puola korostaa, ettei direktiivissä säädetä jäsenvaltion viranomaisen mahdollisuudesta soveltaa toisen jäsenvaltion aineellista oikeutta, ja vetoaa siihen, että jos lainsäätäjä olisi halunnut säätää niin kunnianhimoisesta mahdollisuudesta, direktiiviin sisältyisi täsmällisiä säännöksiä, joissa määritetään tällaisen mahdollisuuden soveltamisala. Yhdistyneen kuningaskunnan hallitus arvioi vielä, ettei Unkarin tietosuojaviranomainen ole toimivaltainen, koska asiassa on sovellettava Slovakian oikeutta.

48. Edellä esitetyn perusteella huomio kiinnittyy esitetyissä huomautuksissa ilmi tulleisiin erilaisiin kantoihin, joista ainoastaan Yhdistyneen kuningaskunnan ja Puolan kantana vaikuttaa olevan sovellettavan oikeuden ja valvontaviranomaisen tuomiovallan ehdoton yhtenäisyys siten, että sovellettavan oikeuden määrittäminen direktiivin 4 artiklan 1 kohdan b alakohdan mukaisesti ratkaisisi myös toimivaltaisen valvontaviranomaisen. ( 29 )

49. Kuten esitän jäljempänä, nyt käsiteltävä monitahoinen kysymys on ratkaistava pyrkimällä sovittamaan yhteen direktiivin erityiset tavoitteet sekä valvontaviranomaisten toimintaa koskevat periaatteet.

50. Tarkasteltavassa ennakkoratkaisukysymyksessä esille noussut ongelma korostaa yhtä koko alan kattavaa erityisen tärkeää kysymystä: onko myönnettävä, että direktiivillä lievennetään sääntöä tai jopa poiketaan säännöstä, jonka mukaan valtion hallintoviranomaiset toimivat lähtökohtaisesti oman kansallisen oikeutensa mukaisesti ja soveltavat sitä. Kun kyseessä on julkisen vallan, etenkin rankaisuvallan, käyttö, viranomaisten toimivallan osalta lähtökohdaksi on nimittäin otettava ehdottomasti valtion alueelliseen itsemääräämisoikeuteen, ( 30 ) laillisuusperiaatteeseen ja oikeusvaltion käsitteeseen ( 31 ) perustuvat vaatimukset, joiden perusteella valvontaviranomaisen toimivallan on välttämätöntä vastata sovellettavaa lakia. ( 32 ) Näin ollen rankaisuvallan käyttö, josta nyt käsiteltävässä asiassa on erityisesti kyse, ei voi tapahtua lähtökohtaisesti niiden lainmukaisten rajojen ulkopuolella, joiden rajoissa hallintoviranomaisella on kansallisen oikeuden mukaisesti valtuudet toimia. ( 33 ) Kyseisestä säännöstä poikkeaminen vaikuttaisi edellyttävän vähintään erityistä oikeudellista perustaa, jossa annetaan valtuudet soveltaa toisen jäsenvaltion julkisoikeutta ja rajataan tätä soveltamista ja jossa lisäksi tehdään selvästi ja täsmällisesti mahdolliseksi se, että oikeussubjektit voivat tietää, mitä oikeutta niiden menettelyyn sovelletaan ja mitkä ovat kyseisen menettelyn seuraukset. ( 34 )

51. Edellä todetun mukaisesti 28 artiklan 6 kohdan ensimmäinen virke, jonka sanamuoto on seuraava: ”riippumatta kyseessä olevaan käsittelyyn sovellettavasta kansallisesta oikeudesta valvontaviranomainen on toimivaltainen käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat 3 kohdan mukaisesti”, ei riitä nähdäkseni aiheuttamaan näin merkittävää seurausta. ( 35 ) Kyseisessä säännöksessä ei nimittäin täsmennetä mitenkään soveltamisalaa, ulottuvuutta eikä takeita, joiden perusteella jäsenvaltion hallintoviranomaiset voisivat saada mahdollisuuden soveltaa toisen jäsenvaltion säännöksiä, etenkään rangaistussäännöksiä.

52. Direktiivin 28 artiklan 1 kohta ei ole nähdäkseni myöskään riittävä oikeudellinen perusta tätä varten yksin silläkään perusteella, johon Unkarin hallitus ja Unkarin tietosuojaviranomainen vetoavat, että säännöksessä käytetään monikkoa seuraavasti: ”kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen”. ( 36 )

53. Edellä esitetystä huolimatta kyseisissä säännöksissä viitataan siihen mahdollisuuteen, että toimivaltainen viranomainen ja sovellettava oikeus voivat olla jossain määrin erilliset. Joka tapauksessa niissä annetaan jäsenvaltion viranomaiselle mahdollisuus valvoa alueellaan harjoitettua toimintaa myös silloin, kun on sovellettava toisen jäsenvaltion lainsäädäntöä.

54. Tässä kohti voidaan nähdäkseni sovittaa yhteen 28 artiklan 1, 3 ja 6 kohdan tulkinta ja hallintoviranomaisen sanktioiden määräämistä koskevan valtuuden käyttöön liittyvät perusperiaatteet. Tätä varten on tarkasteltava yhdessä 28 artiklan 6 kohdan ensimmäisen alakohdan ensimmäistä ja toista virkettä, jonka mukaan ”toisen jäsenvaltion viranomainen voi pyytää valvontaviranomaista [joka käyttää valtuuksiaan oman jäsenvaltionsa alueella] käyttämään valtuuksiaan”, sekä saman kohdan toista alakohtaa, jonka mukaan ”valvontaviranomaisten on oltava yhteistyössä keskenään siinä määrin kuin on tarpeen tehtäviensä suorittamiseksi – –”.

55. Tässä yhteydessä 28 artiklan 6 kohdassa valvontaviranomaisille annettua mahdollisuutta toimia myös silloin, kun niiden oman jäsenvaltion oikeutta ei sovelleta, on tulkittava systemaattisesti siten, että siinä otetaan huomioon sekä selkeä kehotus hallintoviranomaisten väliseen yhteistyöhön että se seikka, että viranomainen voi pyytää toista viranomaista käyttämään valtuuksiaan. Kun kyseistä säännöstä arvioidaan kokonaisuutena, voidaan nimittäin havaita eri valvontaviranomaisten välinen tehtävänjako yhteistyön ja keskinäisen avunannon yhteydessä.

56. Se seikka, että sovellettavaksi tulee yhden jäsenvaltion lainsäädäntö, ei vie muiden jäsenvaltioiden viranomaisilta mahdollisuutta toimia etenkään ottaen huomioon, että tietyissä tilanteissa, vaikka 4 artiklan 1 kohdan a alakohdassa säädetyn perusteen mukaan olisi sovellettava toisen jäsenvaltion oikeutta, voi olla olemassa monia muita alueeseen yhdistäviä tekijöitä, kuten teknisiä välineitä tai erityisesti henkilöitä, joita koskevia tietoja on käsitelty. Kaiken tämän perusteella direktiivin tehokkaan soveltamisen takaamiseksi on välttämätöntä, että paikallinen viranomainen voi tehdä tutkimuksia ja toteuttaa tiettyjä toimenpiteitä myös jo ennen kuin sovellettava oikeus on saatu määritettyä.

57. Käytännössä valvontaviranomaisella, joka toimii sille esitetyn yksittäisen vaatimuksen tai pyynnön perusteella, on siis oltava valtuudet käyttää tutkintavaltaansa omalla alueellaan. Tämä on direktiivin 28 artiklan 4 kohdan perusteella kiistatonta, sillä kyseisessä kohdassa säädetään valvontaviranomaisten velvollisuudesta käsitellä vaateet, joita kuka tahansa henkilö voi esittää sille oikeuksiensa ja vapauksiensa suojelemiseksi henkilötietojen käsittelyn osalta. Tämä päätelmä on myös yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä vuonna 1981 tehdyn Euroopan neuvoston yleissopimuksen nro 108 ( 37 ) mukainen, sillä yleissopimuksen 14 artiklassa määrätään, että jos henkilö asuu toisen sopimuspuolen alueella, ”hänelle on annettava mahdollisuus esittää pyyntönsä tuon sopimuspuolen nimeämän viranomaisen välityksellä”.

58. Tämän perusteella Unkarin hallituksen suullisessa käsittelyssä esittämään huoleen voidaan vastata riittävällä tavalla jo tässä vaiheessa toteamalla, että jos Unkarin tietosuojaviranomainen ei olisi toimivaltainen, direktiivissä säädettyjen oikeussuojakeinojen vaikutus heikkenisi, jos asianomaiset henkilöt joutuisivat ottamaan yhteyttä ulkomaisiin viranomaisiin vierailla kielillä.

59. Valvontaviranomaisilla on nimittäin sovellettavasta kansallisesta aineellisesta oikeudesta riippumatta omalla toiminta-alueellaan direktiivin 28 artiklan 3 kohdassa vahvistetut tutkinta- ja toimintavaltuudet, joita säännellään kuitenkin yksinomaan niiden oman valtion kansallisella oikeudella, ( 38 ) tämän ratkaisuehdotuksen 50 kohdassa mainittuja periaatteita noudattaen.

60. On siis ilmeistä, että jäsenvaltion valvontaviranomaisen toimintavaltuudet ovat rajalliset, kun sovellettavaksi tulee toisen jäsenvaltion aineellinen oikeus. Tässä on syytä todeta, että edelleen pätee periaate, jonka mukaan valvontaviranomaisen on valtuuksiaan käyttäessään noudatettava niitä rajoituksia, jotka koskevat sitä oman jäsenvaltionsa julkisoikeuden alaisena oikeussubjektina, ja valvontaviranomainen voi käyttää valtuuksiaan ainoastaan omalla alueellaan. Erityisesti lainvastaisuuden arviointi ja niin ikään mahdollisten sanktioiden määrääminen laittomaan tietojen käsittelyyn perustuvista rikkomuksista kuuluvat väistämättä sen jäsenvaltion viranomaiselle, jonka aineellista oikeutta sovelletaan tietojen käsittelyyn direktiivin 4 artiklan 1 kohdan a alakohdassa säädetyn perusteen mukaisesti.

61. Näin ollen vaikka sanktioiden määräämistä koskevaa valtaa voidaan pitää yhtenä direktiivin 28 artiklan 3 kohdassa tarkoitettuna valtuutena (kohdan kolmannessa luetelmakohdassa mainitaan valvontaviranomaisten ”valtuudet olla asianosaisena oikeudenkäynnissä”, kun kyse on rikkomisesta) ja kun huomioon otetaan direktiivin 28 artiklan 6 kohdassa vahvistettu yhteistyövelvollisuus, on sen jäsenvaltion viranomaista, jonka lainsäädäntöä tietojen käsittelyyn sovelletaan, pyydettävä määrittämään mahdollinen rikkomus sovellettavan lain mukaisesti sekä määräämään mahdolliset sanktiot toisen jäsenvaltion viranomaisen keräämien ja tarvittaessa toimittamien tietojen perusteella.

62. Tällainen tulkinta ei ole vastoin tietosuojatyöryhmän eri asiakirjoissa ilmaisemaa kantaa. Kuten ensinnäkin sen sovellettavasta lainsäädännöstä antamassa lausunnossa 8/2010 todetaan, 28 artiklan 6 kohdalla pyritään nimenomaisesti ”kuromaan umpeen sovellettavan lain ja valvontaviranomaisen välinen kuilu, joka saattaa ilmaantua tietosuojan alalla [sisämarkkinoilla]”. ( 39 ) Tässä yhteydessä vaikka lausunnosta käy nimenomaisesti ilmi, että ”valvontaviranomainen pystyy täysimääräisesti käyttämään omalla alueellaan kaikkia niitä valtuuksia, jotka sille kuuluvat sen kansallisen oikeusjärjestelmän mukaisesti – – silloin, kun sovelletaan toisen jäsenvaltion tietosuojalainsäädäntöä”, siinä ilmaistaan myös merkittäviä epäilyksiä valvontaviranomaisten toimivaltuuksien ulottuvuudesta tällä alalla. ( 40 ) Tietosuojatyöryhmä nimittäin täsmensi lausuntonsa jälkeen komissiossa käytyjen keskustelujen perusteella kantaansa sovellettavan oikeuden ja toimivallan erottamista koskevaan kysymykseen 28 artiklan 6 kohdan käytännön täytäntöönpanoa koskevassa asiakirjassa. ( 41 ) Tietosuojatyöryhmän mukaan on niin, että kun sovellettava oikeus ja toimivalta on erotettu toisistaan tosiasiallisessa tilanteessa, viranomaisen on sovellettava oman oikeusjärjestelmänsä menettelyllisiä ja hallinnollisia säännöksiä, kun taas tietosuojaa koskevat aineelliset näkökohdat kuuluvat sille jäsenvaltiolle, jonka lainsäädäntöä sovelletaan. ( 42 )

63. Edellä esitetyt näkökohdat sijoittuvat siihen erityiseen oikeudelliseen asiayhteyteen, jossa unionin oikeuden väline on direktiivi, minkä johdosta jäsenvaltioiden lainsäädännöissä on voitu säilyttää laaja liikkumavara, joka koskee erityisesti valvontaviranomaisten sääntelyä ja mahdollisuutta määrätä sanktioita. ( 43 ) Kun ei ole olemassa selkeää oikeudellista perustaa eikä takeita, joilla varmistettaisiin tiivis yhteistyö rikkomusten tulkinnassa ja sanktioiden vastaavuudessa, ( 44 ) alueellisen itsemääräämisoikeuden periaatteeseen ja laillisuusperiaatteeseen liittyvät vaatimukset eivät siis ole oikein yhteensovitettavissa sen seikan kanssa, että toimivaltaisen viranomaisen ja sovellettavan oikeuden erottaminen johtaisi joko sanktioiden määräämiseen paikallisen valvontaviranomaisen valtion oikeuden mukaisesti – vaikkei vastaavista sanktioista välttämättä säädetä sen valtion oikeusjärjestyksessä, jonka lainsäädäntöä tietojen käsittelyyn sovelletaan – tai siihen, että paikallinen viranomainen käyttäisi toisen jäsenvaltion sanktioiden määräämistä koskevaa oikeutta.

64. Johtopäätös on sama huolimatta siitä, että Unkarin hallitus ja tietosuojaviranomainen vetoavat tuomion UPC DTH ( 45 ) analogiseen soveltamiseen perustellakseen tietosuojaviranomaisen valtuuksia määrätä sanktioita nyt käsiteltävässä asiassa. Mainittu tuomio koskee sähköisen viestinnän sääntelyjärjestelmään liittyvien tiettyjen säädösten tulkintaa, ( 46 ) ja siinä todetaan, että ”sähköisiä viestintäpalveluja koskevien valvontamenettelyjen toimittaminen kuuluu sen jäsenvaltion viranomaisille, jossa kyseisten palvelujen vastaanottajat asuvat”. ( 47 )

65. Tähän väitteeseen vastaamiseksi riittää, kun todetaan – riippumatta siitä, että kyseinen tulkinta koskee palveluiden vapaata tarjoamista ja sijoittuu sellaiseen oikeudelliseen kehykseen, jonka tavoitteet ja rakenne eroavat selvästi nyt käsiteltävästä asiasta – että olennaisinta on, että nämä huomautukset esitettiin tilanteessa, jossa ei kiistelty sovellettavasta oikeudesta. ( 48 )

66. Kaiken tämän perusteella katson unionin oikeuden nykytilanteessa, että Kúrian esittämään seitsemänteen ennakkoratkaisukysymykseen on vastattava seuraavasti: Jos ennakkoratkaisua pyytänyt tuomioistuin tulee siihen tulokseen, ettei sen kansallista oikeutta voida soveltaa direktiivin 95/45 4 artiklan 1 kohdan a alakohdassa säädetyn perusteen mukaisesti, mainitun direktiivin 28 artiklan 6 kohtaa on tulkittava siten, että sanktioiden määrääminen tietojen käsittelyyn liittyvistä rikkomuksista on sen jäsenvaltion valvontaviranomaisen tehtävä, jonka oikeutta sovelletaan, riippumatta siitä, että paikallinen valvontaviranomainen voi käyttää kaikkia 28 artiklan 3 kohdassa lueteltuja valtuuksia omalla alueellaan kansallisessa oikeudessa määritellyllä tavalla.

C Tietojen käsittelyn käsite (kahdeksas ennakkoratkaisukysymys)

67. Kahdeksannessa ennakkoratkaisukysymyksessään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee unionin tuomioistuimelta: ”Voidaanko tietosuojadirektiivin [unkarinkielisen version] 4 artiklan 1 kohdan a alakohdassa ja sen 28 artiklan 6 kohdassa oleva käsite adatfeldolgozás [henkilötietojen muokkaaminen] rinnastaa tietosuojadirektiivin terminologisessa järjestelmässä käsitteeseen adatkezelés [henkilötietojen käsittely]?”

68. Kaikissa unionin tuomioistuimessa esitetyissä huomautuksissa oltiin yksimielisiä siitä, ettei ennakkoratkaisupyynnössä esille otetulla terminologisella erolla ole merkitystä.

69. Direktiivin 95/46 säännöksissä käytetään järjestelmällisesti ainoastaan käsitettä ”[adat]feldolgozás” viitattaessa tietojen käsittelyn käsitteeseen, sellaisena kuin se on määritetty direktiivin 2 artiklan b alakohdassa. Käsitteet ”adatkezelés” ja ”adatfeldolgozás” on erotettu toisistaan ainoastaan Unkarin tietosuojalaissa, ( 49 ) jonka mukaan viimeksi mainitulla tarkoitetaan ”tietojen käsittelyyn liittyvien teknisten tehtävien suorittamista – –”. ( 50 )

70. Direktiivin 2 artiklan b alakohtaan sisältyvän käsitteen ”[adat]feldolgozás” määritelmä, jota käytetään sekä 4 artiklan 1 kohdan a alakohdassa että 28 artiklan 6 kohdassa, on hyvin laaja ja sisältää minkä tahansa henkilötietoja koskevan toimen, joka voidaan toteuttaa automaattisten menettelyiden avulla tai muulla tavalla. Tietojen käsittelyn laajaan käsitteeseen sisältyy siis suppeampi tietojen käsittelyyn liittyvien teknisten tehtävien suorittamisen käsite.

71. Näin ollen ehdotan, että unionin tuomioistuin vastaisi kahdeksanteen kysymykseen seuraavasti: Direktiivin unkarinkielisen toisinnon 4 artiklan 1 kohdan a alakohdassa ja 28 artiklan 6 kohdassa käytettyä käsitettä ”adatfeldolgozás” on tulkittava siten, että siihen sisältyvät sekä tietojen käsittely käsitteen laajassa merkityksessä että tietojen käsittelyyn liittyvien teknisten tehtävien suorittaminen.

V Ratkaisuehdotus

72. Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Kúrian esittämiin ennakkoratkaisukysymyksiin seuraavasti: 1) Direktiivin 95/46 4 artiklan 1 kohdan a alakohta on esteenä sille, että Unkarin tietosuojaviranomainen soveltaa Unkarin lakia yksinomaan toiseen jäsenvaltioon sijoittautuneeseen rekisterinpitäjään. Tässä yhteydessä sijoittautumisen käsitettä on tulkittava siten, että se merkitsee sellaisen kiinteän toimipaikan olemassaoloa – toimipaikan oikeudellisesta muodosta riippumatta –, jonka kautta harjoitetaan tosiasiallista toimintaa. Yhden ainoan edustajan voidaan katsoa muodostavan kiinteän toimipaikan, jos kyseisten konkreettisten palveluiden tarjoamiseen tarvittavat henkilöresurssit ja tekniset resurssit ovat olemassa. Muut seikat, kuten paikka, josta käsin tiedot on ladattu; rekisteröityjen kansallisuus; rekisterinpitäjänä toimivan yrityksen omistajien kotipaikka, tai se seikka, että rekisterinpitäjän tarjoama palvelu on suunnattu toisen jäsenvaltion alueelle, eivät ole välittömästi olennaisia eivätkä ratkaisevia sovellettavan lain vahvistamisen kannalta, vaikka niillä voidaankin osoittaa toiminnan tosiasiallinen luonne – sijoittautumispaikkaa määritettäessä – erityisesti, kun selvitetään, onko tietojen käsittely suoritettu kyseisessä toimipaikassa harjoitetun toiminnan yhteydessä. 2) Jos ennakkoratkaisua pyytänyt tuomioistuin tulee siihen tulokseen, ettei sen kansallista oikeutta voida soveltaa direktiivin 95/46 4 artiklan 1 kohdan a alakohdassa säädetyn perusteen mukaisesti, mainitun direktiivin 28 artiklan 6 kohtaa on tulkittava siten, että sanktioiden määrääminen tietojen käsittelyyn liittyvistä rikkomuksista on sen jäsenvaltion valvontaviranomaisen tehtävä, jonka oikeutta sovelletaan, riippumatta siitä, että paikallinen valvontaviranomainen voi käyttää kaikkia 28 artiklan 3 kohdassa lueteltuja valtuuksia omalla alueellaan kansallisessa oikeudessa määritellyllä tavalla. 3) Direktiivin 95/46 unkarinkielisen toisinnon 4 artiklan 1 kohdan a alakohdassa ja 28 artiklan 6 kohdassa käytettyä käsitettä ”adatfeldolgozás” on tulkittava siten, että siihen sisältyvät sekä tietojen käsittely käsitteen laajassa merkityksessä että tietojen käsittelyyn liittyvien teknisten tehtävien suorittaminen.

( 1 ) Alkuperäinen kieli: espanja.

( 2 ) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettu Euroopan parlamentin ja neuvoston direktiivi (EYVL L 281, s. 31).

( 3 ) C-131/12, EU:C:2014:317.

( 4 ) Ks. kaikkien osalta Rigaux, F., ”La loi applicable à la protection des individus à l’égard du traitement automatisé des données à caractère personnel”, Revue critique de droit international privé, 1980, s. 443–478.

( 5 ) Bygrave, L., ”Determining applicable law pursuant to European Data Protection Legislation”, Computer Law and Security Report, nro 16, 2000, s. 252.

( 6 ) Säännöksen espanjankielisessä toisinnossa on pieni virhe, sillä predikaatti on yksikössä. Tämä vahvistuu muita kielitoisintoja tarkasteltaessa: ”each Member State shall apply the national provisions it adopts pursuant to this Directive – –”, ”chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive” jne.

( 7 ) C-131/12, EU:C:2014:317.

( 8 ) C-131/12, EU:C:2014:317, 48–50 kohta.

( 9 ) Ks. tuomio Factortame ym. (C-221/89, EU:C:1991:320, 20 kohta) ja tuomio komissio v. Yhdistynyt kuningaskunta (C-246/89, EU:C:1991:375, 21 kohta).

( 10 ) Tuomio Cadbury Schweppes ja Cadbury Schweppes Overseas (C-196/04, EU:C:2006:544, 54 kohta).

( 11 ) Sovellettavasta lainsäädännöstä 16.12.2010 annettu lausunto 0836-02/10/FI, WP 179.

( 12 ) Kyseisessä lausunnossa viitataan nimittäin tuomioon Berkholz (168/84, EU:C:1985:299, 18 kohta) ja tuomioon Lease Plan (C-390/96, EU:C:1998:206), jotka koskivat jäsenvaltioiden liikevaihtoverolainsäädännön yhdenmukaistamisesta – yhteinen arvonlisäverojärjestelmä: yhdenmukainen määräytymisperuste – 17.5.1977 annetun kuudennen neuvoston direktiivin 77/388/ETY (EYVL L 145, s. 1) 9 artiklan 1 kohdan tulkintaa.

( 13 ) Tuomio Welmory (C-605/12, EU:C:2014:2298), jonka 58 kohdassa tulkitaan yhteisestä arvonlisäverojärjestelmästä 28.11.2006 annetun neuvoston direktiivin 2006/112/EY 44 artiklaa (EUVL L 347, s. 1), sellaisena kuin se on muutettuna 12.2.2008 annetulla neuvoston direktiivillä 2008/8/EY (EUVL L 44, s. 11). Ks. myös tuomio Planzer Luxembourg (C-73/06, EU:C:2007:397, 54 kohta oikeuskäytäntöviittauksineen).

( 14 ) Roomassa 19.6.1980 allekirjoitettu sopimusvelvoitteisiin sovellettavaa lakia koskeva yleissopimus (EYVL L 266, s. 1).

( 15 ) Tuomioistuimen toimivaltaa sekä tuomioiden täytäntöönpanoa yksityisoikeuden alalla koskeva 27.9.1968 tehty Brysselin yleissopimus (EYVL 1972, L 299, s. 32; konsolidoitu versio EYVL 1998, C 27, s. 1).

( 16 ) Oikeuskäytännössä on todettu, että ”sivuliikkeen, agentuurin tai muun toimipaikan käsite tarkoittaa yrityksen ulkopuolella emoyhtiön jatkeena pysyvästi esiintyvää liiketoimintakeskusta, jolla on oma johto ja sellaiset aineelliset valmiudet, että se voi käydä liikeneuvotteluja ulkopuolisten kanssa – –” (tuomio Somafer, 33/78, EU:C:1978:205, 12 kohta ja tuomio Blanckaert & Willems, 139/80, EU:C:1981:70, 11 kohta), ja painotettu, että ”– – sana ’toimipaikka’ tarkoittaa kaikenlaisia yrityksen kiinteitä rakenteita. Näin ollen Rooman yleissopimuksen 6 artiklan 2 kohdan b alakohdassa tarkoitettuja toimipaikkoja voivat olla tytäryhtiöiden ja sivuliikkeiden lisäksi muut yksiköt, kuten yrityksen toimistot, vaikka ne eivät olisikaan oikeushenkilöitä.” (tuomio Voogsgeerd, C-384/10, EU:C:2011:842, 54 kohta).

( 17 ) Lausunto 8/2010, s. 14.

( 18 ) C-131/12, EU:C:2013:424, 65 kohta.

( 19 ) Tietoyhteiskunnan palveluja, erityisesti sähköistä kaupankäyntiä, sisämarkkinoilla koskevista tietyistä oikeudellisista näkökohdista 8.6.2000 annettu Euroopan parlamentin ja neuvoston direktiivi 2000/31/EY, (EYVL L 178, s. 1).

( 20 ) Ks. valmisteluasiakirja EU:n tietosuojalainsäädännön kansainvälisestä soveltamisesta EU:n ulkopuolisten www-sivustojen suorittamaan henkilötietojen käsittelyyn Internetissä, WP 56, 5035/01/FI/lopullinen, 30.5.2002, s. 8.

( 21 ) Unionin tuomioistuimessa esitetyt huomautukset eroavat toisistaan näihin seikkoihin suhtautumisen osalta. Unkarin tietosuojaviranomainen katsoo, että kyseiset seikat ovat olennaisia, mutta Yhdistyneen kuningaskunnan näkemyksen mukaan yksikään esille otetuista tekijöistä ei ole olennainen, sillä direktiivin 4 artiklan 1 kohdassa ei mainita niistä yhtäkään. Euroopan komissio asettuu samalle kannalle. Unkarin hallituksen mukaan olennaista on ainoastaan se, että palvelut on suunnattu yhden jäsenvaltion alueelle, sekä paikka, jossa tiedot on ladattu tietojärjestelmään. Slovakian hallituksen mukaan sovellettavaa kansallista oikeutta määritettäessä olennaista ei ole paikka, josta käsin tietoja välitetään, eikä myöskään rekisteröityjen kansallisuus eikä yrityksen omistajien asuinpaikka.

( 22 ) Tietosuojatyöryhmä esittää samaa todetessaan, että ”rekisteröityjen kansallisuudella tai asuinpaikalla tai henkilötietojen fyysisellä sijainnilla ei ole merkitystä [sovellettavaa lainsäädäntöä määritettäessä]”. Lausunto 8/2010, s. 10. Ks. samoin julkisasiamies Jääskisen ratkaisuehdotuksen Google Spain ja Google (C-131/12, EU:C:2013:424) 55–58 kohta.

( 23 ) C-131/12, EU:C:2014:317, 48–50 kohta.

( 24 ) Ibidem, tuomion 52 kohta.

( 25 ) Ibidem, tuomion 53 kohta.

( 26 ) Ks. tässä myös tietosuojatyöryhmän lausunto 8/2010.

( 27 ) Hakukoneisiin liittyvistä tietosuojakysymyksistä 4.4.2008 annettu lausunto 1/2008, WP 148, 00737/FI.

( 28 ) Ehdotus Euroopan parlamentin ja neuvoston asetus yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (COM(2012) 11 final).

( 29 ) Näkemykset vaikuttavat jakaantuneen myös oikeuskirjallisuudessa. Osa pitää direktiivin 4 artiklaa säännöksenä, jonka perusteella myös toimivalta määräytyy (esim. Bing, J., ”Data Protection, Jurisdiction and the Choice of Law”, Privacy Law & Policy Reporter, 1999), mutta toiset ovat päinvastaisella kannalla. Ks. esimerkiksi Swire, P. P., ”Of Elephants, Mice and Privacy: International Choice of Law and the Internet”, The International Lawyer, 1998, s. 991. Ks. niin ikään kyseisestä keskustelusta Kuner, C., ”Data Protection Law and International Jurisdiction on the Internet (Part 1)”, International Journal of Law and Information Technology, nro 18, 2010, s. 176.

( 30 ) Direktiivin johdanto-osan 21 perustelukappaleessa ilmoitetaan nimenomaisesti, ettei direktiivillä ”rajoiteta alueperiaatetta koskevien sääntöjen soveltamista rikosasioissa”. Sama pätee nähdäkseni myös hallinnollisiin sanktioihin.

( 31 ) Käsitteen ydin voidaan määritellä siten, että kaikkien julkisten viranomaisten on käytettävä kaikilla tasoilla niille annettuja valtuuksia järkevästi ja vilpittömästi siinä tarkoituksessa, johon valtuudet on myönnetty, ja niitä ylittämättä (ks. Lord Bingham, ”The Rule of Law”, The Cambridge Law Journal, nro 66, 2007, s. 78).

( 32 ) Oikeuskirjallisuudessa on tuotu esille, että valvontajärjestelmän lähinnä hallinnollinen tai juridinen ja julkinen luonne on johtanut siihen, että sovellettavan lain ja mahdollisista rikkomuksista sanktioiden määräämiseen toimivaltaisen viranomaisen välillä on läheinen korrelaatio (ks. Miguel Asensio, P. A., Derecho Privado de Internet, 4. painos, Madrid, 2011, s. 333). Oikeuskirjallisuudessa on todettu analogisesti valvontaviranomaisten toimivallasta toimivaltuuksien alalla, että julkisen toiminnan yhteydessä oikeussäännön sovellettavuus määrittää sen viranomaisen toimivallan, jonka on sovellettava kyseistä oikeussääntöä. Ks. esimerkiksi Basedow, J., ”Antitrust or Competition Law, International”, teoksessa Wolfrum, R. (toim.), Max Planck Encyclopedia of Public International Law, 2009.

( 33 ) Em. Rigaux on todennut vastaavasti seuraavaa: ”On ne conçoit guère que les autorités administratives, les commissions de contrôle […] les organes de surveillance soumettent les fichiers du secteur privé à d’autres normes de conduite et qu’ils obéissent eux-mêmes à d’autres règles de fonctionnement qu’à celles qui sont contenues dans la lex fori”, s. 469.

( 34 ) Ohler, C., Die Kollisionsordnung des allgemeinen Verwaltungsrechts, Mohr Siebeck, 2005, s. 109 ja s. 314.

( 35 ) Kursivointi tässä.

( 36 ) Kursivointi tässä. Ks. tästä pohdinnasta Damman U. ja Simitis S., EG-Datenschutzrichtlinie, Nomos Verlagsgesellschaft, Baden-Baden, 1997, s. 306.

( 37 ) (ETS 108), jonka sopimuspuolia kaikki jäsenvaltiot ovat. Direktiivin johdanto-osan 11 perustelukappaleen mukaan direktiivillä täsmennetään ja laajennetaan kyseisen yleissopimuksen suojaa.

( 38 ) Ks. tästä kysymyksestä em. teos Damman U. ja Simitis S., s. 313.

( 39 ) Lausunto 8/2010 sovellettavasta lainsäädännöstä, s. 26.

( 40 ) Tietosuojatyöryhmän lausunnossa 8/2010 tuodaankin yhtäältä esille, ettei valvontaviranomaisten välinen yhteistyö pidä sisällään ainoastaan tietojenvaihtoa, vaan siihen sisältyvät myös ”rajatylittävien valitusten käsitteleminen, todisteiden kerääminen muita tietosuojaviranomaisia varten tai sanktioiden määrääminen” (s. 28). Lausunnossa ilmaistaan kuitenkin epäilys kunkin tietosuojaviranomaisen käyttämien valtuuksien soveltamisalasta: ”Erityisesti on määritettävä, kuinka laajalti sijaintipaikan tietosuojaviranomainen voi käyttää valtuuksiaan sovellettaessa aineellisoikeudellisia periaatteita ja sanktioita. Pitäisikö sen valtuudet rajoittaa tosiseikkojen tarkistamiseen, voiko se toteuttaa väliaikaisia tai jopa lopullisia täytäntöönpanotoimenpiteitä? Voiko se antaa oman tulkintansa sovellettavan lain säännöksistä, vai onko tämä sen jäsenvaltion tietosuojaviranomaisen etuoikeus, jonka lakia sovelletaan? – –” (s. 27).

( 41 ) Advice paper on the practical implementation of the Article 28(6) of the Directive 95/46/EC, Ref. Ares (2011)444105, 20.4.2011.

( 42 ) Ibidem. s. 31. Tässä yhteydessä lausuntoon sisältyvä esimerkki nro 10 on hyvin kuvaava: sellaisessa hypoteettisessa tilanteessa, jossa Yhdistyneessä kuningaskunnassa tapahtuvaan tietojen käsittelyyn sovelletaan Saksan lakia, ”Yhdistyneen kuningaskunnan tietosuojaviranomaisen on voitava tarkastaa Yhdistyneessä kuningaskunnassa sijaitsevat tilat ja tehdä päätelmiä toimitettavaksi Saksan tietosuojaviranomaiselle. Saksan tietosuojaviranomaisen pitäisi voida määrätä sanktio Saksaan sijoittautuneelle rekisterinpitäjälle Yhdistyneen kuningaskunnan tietosuojaviranomaisen päätelmien nojalla”.

( 43 ) Tämä tunnustetaan direktiivin johdanto-osan yhdeksännessä perustelukappaleessa. Ks. tässä yhteydessä Euroopan unionin perusoikeusviraston laatima asiakirja Data Protection in the European Union: the role of National Data Protection Authorities, 2010, jossa luetellaan jäsenvaltioiden valvontaviranomaisten erilaiset valtuudet.

( 44 ) Tässä mielessä tietosuojaa koskeva unionin oikeus on kiistatta merkityksellinen ja innovatiivinen eurooppalaisessa hallintoympäristössä. Tuleva yleistä tietosuoja-asetusta koskeva ehdotus johtaa alan laajuudeltaan merkittävään muutokseen, joka liittyy erityisesti monitahoisen ja pitkälle kehitetyn yhteistyö- ja vastuunjakojärjestelmän käyttöönottoon eri valvontaviranomaisten välillä.

( 45 ) C-475/12, 30.4.2014, EU:C:2014:285.

( 46 ) Erityisesti sähköisiä viestintäverkkoja ja -palveluja koskevista valtuutuksista 7.3.2002 annettu Euroopan parlamentin ja neuvoston direktiivi 2002/20/EY (EYVL L 108, s. 21; valtuutusdirektiivi), sellaisena kuin se on muutettuna 25.11.2009 annetulla Euroopan parlamentin ja neuvoston direktiivillä 2009/140/EY (EUVL L 337, s. 37), ja sähköisten viestintäverkkojen ja -palvelujen yhteisestä sääntelyjärjestelmästä 7.3.2002 annettu Euroopan parlamentin ja neuvoston direktiivi 2002/21/EY (EYVL L 108, s. 33), sellaisena kuin se on muutettuna direktiivillä 2009/140.

( 47 ) Tuomio UPC DTH, C-475/12, EU:C:2014:285, 88 kohta.

( 48 ) Asiassa määrätty sanktio johtui siitä, että kyseinen yritys oli kieltäytynyt antamasta tietoja kansalliselle viestintäviranomaiselle. Unionin tuomioistuin totesi, että ”valtuutusdirektiivin 11 artiklan 1 kohdan b alakohdan – – mukaan kansalliset viranomaiset voivat vaatia yrityksiltä tietoja, jotka ovat asiaankuuluvia ja objektiivisesti perusteltavissa, voidakseen tarkastaa, että kuluttajansuojaa koskevia ehtoja noudatetaan, jos asiasta on tehty valitus tai jos ne aloittavat tutkinnan omasta aloitteestaan” (ibidem., tuomion 85 kohta).

( 49 ) Direktiivissä on ainoastaan yksi käsitteestä ”adatkezelés” johdettu sana kohdassa, jossa viitataan rekisterinpitäjään.

( 50 ) Tietosuojalain 3 §:n 17 momentti. Tietosuojalain 3 §:n 10 momentissa määritellään käsite ”adatkezelés” laajasti, ja määritelmä vastaa olennaisilta osin direktiivin 2 artiklan b alakohdassa annettua tietojen käsittelyn määritelmää.