24

Nestas condições, o Bundesverwaltungsgericht (Tribunal Administrativo Federal) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais: «1) Deve o artigo 2.o, alínea d), da Diretiva [95/46] ser interpretado no sentido de que regula de modo taxativo e exaustivo a responsabilidade pela violação da proteção de dados, ou, no âmbito das “medidas adequadas” a que se refere o artigo 24.o [desta diretiva] e dos “poderes efetivos de intervenção” referidos no artigo 28.o, n.o 3, segundo travessão, da mesma diretiva, nas relações de prestação de informações em diversas etapas, pode ser imputada a responsabilidade a um organismo que não é responsável pelo tratamento dos dados, na aceção do artigo 2.o, alínea d), da [referida diretiva], pela escolha do operador que assegurará a sua oferta de informação? 2) Resulta a contrario sensu da obrigação que incumbe aos Estados‑Membros por força do artigo 17.o, n.o 2, da Diretiva [95/46], de, em caso de tratamento [em regime de subcontratação], estabelecerem que o responsável pelo tratamento “deverá escolher um subcontratante que ofereça garantias suficientes em relação às medidas de segurança técnica e de organização do tratamento a efetuar”, que, no caso de outras […] utilizações, não relacionadas com o tratamento de dados subcontratado, na aceção do artigo 2.o, alínea e)[, desta diretiva], não há nem pode ser fundada no direito nacional qualquer obrigação de escolha diligente? 3) Nos casos em que uma sociedade‑mãe de um grupo, sediada fora da União Europeia, detém estabelecimentos juridicamente independentes (filiais) em diversos Estados‑Membros, a autoridade de controlo de um Estado‑Membro (neste caso, a Alemanha), nos termos do artigo 4.o e do artigo 28.o, n.o 6, da Diretiva [95/46], também pode exercer os poderes que lhe são atribuídos pelo artigo 28.o, n.o 3, [desta diretiva] em relação ao estabelecimento situado no seu próprio território, quando este estabelecimento só é responsável pela promoção das vendas de publicidade e outras medidas de marketing orientadas para os residentes neste Estado‑Membro, ao passo que o estabelecimento independente (filial) situado noutro Estado‑Membro (neste caso, a Irlanda), de acordo com a distribuição interna das funções do grupo, é a única responsável pela recolha e tratamento de dados pessoais em todo o território da União […] e, portanto, também no outro Estado‑Membro (neste caso, a Alemanha), e quando a decisão sobre o tratamento dos dados é efetivamente tomada pela sociedade‑mãe do grupo? 4) Devem o artigo 4.o, n.o 1, alínea a), e o artigo 28.o, n.o 3, da Diretiva [95/46] ser interpretados no sentido de que, nos casos em que o responsável pelo tratamento tem um estabelecimento situado no território de um Estado‑Membro (neste caso, a Irlanda) e há outro estabelecimento juridicamente independente no território de outro Estado‑Membro (neste caso, a Alemanha), que é responsável, nomeadamente, pela venda de espaços publicitários e cuja atividade se orienta para os residentes deste Estado, a autoridade de controlo competente deste outro Estado‑Membro (neste caso, a Alemanha) também pode tomar medidas e dirigir injunções a fim de garantir o direito à proteção de dados ao outro estabelecimento (neste caso, na Alemanha) que, nos termos da distribuição interna de funções e responsabilidades do grupo, não é responsável pelo tratamento de dados, ou essas medidas e ordens só podem ser decretadas pela autoridade de controlo do Estado‑Membro (neste caso, a Irlanda) em cujo território se encontra sediado o organismo responsável dentro do grupo? 5) Devem o artigo 4.o, n.o 1, alínea a), e o artigo 28.o, n.os 3 e 6, da Diretiva [95/46] ser interpretados no sentido de que, nos casos em que a autoridade de controlo de um Estado‑Membro (neste caso, a Alemanha) intervém junto de uma pessoa ou de um serviço, nos termos do artigo 28.o, n.o 3, [desta diretiva], por não ter tido o cuidado necessário na seleção de um terceiro envolvido no processo de tratamento de dados (neste caso, o Facebook), porquanto este terceiro infringe a legislação relativa à proteção de dados, a autoridade de controlo que intervém (neste caso, a Alemanha) está vinculada à apreciação da autoridade de controlo da proteção de dados do outro Estado‑Membro, no qual o terceiro responsável pelo tratamento de dados tem a sua sede (neste caso, a Irlanda), não podendo fazer qualquer apreciação jurídica divergente daquela, ou pode a autoridade de controlo que intervém (neste caso, a Alemanha) examinar ela própria a legalidade do tratamento de dados pelo terceiro estabelecido no outro Estado‑Membro (neste caso, a Irlanda) como questão prévia à sua própria ação? 6) Na medida em que a autoridade de controlo que intervém (neste caso, a Alemanha) possa proceder a uma verificação autónoma: deve o artigo 28.o, n.o 6, segundo período, da Diretiva [95/46] ser interpretado no sentido de que esta autoridade de controlo só pode exercer os poderes efetivos de intervenção que lhe são atribuídos pelo artigo 28.o, n.o 3, [desta diretiva] contra uma pessoa ou um serviço estabelecido no seu território que seja corresponsável pela violação da proteção de dados cometida por um terceiro estabelecido no outro Estado‑Membro, se tiver pedido previamente à autoridade de controlo deste outro Estado‑Membro (neste caso, a Irlanda) que exercesse os seus poderes?»