CONCLUZIILE AVOCATULUI GENERAL

PEDRO CRUZ VILLALÓN

prezentate la 25 iunie 2015 ( 1 )

Cauza C‑230/14

Weltimmo s.r.o.

împotriva

Nemzeti Adatvédelmi és Információszabadság Hatóság

[cerere de decizie preliminară formulată de Kúria (Ungaria)]

„Protecția datelor cu caracter personal — Directiva 95/46/CE — Articolul 4 alineatul (1) și articolul 28 alineatele (1), (3) și (6) — Operator de date stabilit pe teritoriul altui stat membru — Stabilirea dreptului aplicabil și a autorității de supraveghere competente — Competențele autorității de supraveghere — Competența de sancționare — Noțiunea «prelucrare de date»”

1. Întrebările preliminare adresate de Kúria (Curtea Supremă a Ungariei) își au originea într‑un litigiu dintre Magyar Adatvédelmi és Információszabadság Hatóság (denumită în continuare „Autoritatea maghiară pentru protecția datelor”) și o întreprindere, înregistrată în Slovacia, care administrează o „pagină de internet” de intermedieri imobiliare pe care sunt promovate imobile situate în Ungaria.

2. În aceste condiții, prezenta cauză oferă din nou Curții oportunitatea să se pronunțe cu privire la stabilirea dreptului aplicabil prelucrării datelor în conformitate cu articolul 4 alineatul (1) litera (a) din Directiva 95/46/CE privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date ( 2 ), care a fost interpretat deja în Hotărârea Google Spain și Google ( 3 ). În plus, prezenta cauză ridică probleme noi atât în ceea ce privește stabilirea autorității de control competente, cât și în ceea ce privește dreptul național pe care îl aplică autoritatea respectivă și competențele acesteia, în special competența de a aplica sancțiuni.

I – Cadrul normativ

A – Dreptul Uniunii

3. Directiva 95/46 prevede diferite criterii pentru stabilirea legii aplicabile prelucrării datelor personale. În considerentul (18) al directivei se arată că „[…] pentru a garanta că persoanele nu sunt private de protecția la care au dreptul în conformitate cu prezenta directivă, orice prelucrare a datelor cu caracter personal în Comunitate trebuie efectuată în conformitate cu legislația unuia dintre statele membre; […] în acest sens, prelucrarea efectuată sub responsabilitatea unui operator stabilit într‑un stat membru se supune legislației statului respectiv”.

4. Pe de altă parte, conform considerentului (19) al Directivei 95/46, „[…] stabilirea pe teritoriul unui stat membru presupune exercitarea efectivă și reală a unei activități într‑o formă de instalare stabilă; întrucât forma juridică a stabilirii, fie că este doar sucursală, fie că este filială cu personalitate juridică, nu este factorul determinant în această privință […]”. În același considerent se arată că „dacă un singur operator are sediul pe teritoriul mai multor state membre, în special prin intermediul filialelor, acesta trebuie să se asigure, pentru a evita orice eludare a reglementărilor de drept intern, că fiecare sediu îndeplinește obligațiile prevăzute de dreptul intern aplicabil activităților sale”.

5. Articolul 4 alineatul (1) litera (a) din Directiva 95/46, relevant pentru prezentul litigiu, constituie norma privind dreptul aplicabil prelucrării datelor și prevede că: „(1) Fiecare stat membru aplică dispozițiile de drept intern pe care le adoptă în temeiul prezentei directive pentru prelucrarea datelor cu caracter personal atunci când: (a) prelucrarea este efectuată în cadrul activităților operatorului cu sediul pe teritoriul statului membru; dacă același operator este stabilit pe teritoriul mai multor state membre, acesta trebuie să ia măsurile necesare pentru a se asigura că fiecare din sedii respectă obligațiile prevăzute în dreptul intern aplicabil; […]”

6. Articolul 28, care reprezintă dispoziția privind autoritățile de supraveghere în ceea ce privește protecția datelor, prevede următoarele la alineatele (1), (3), (4) și (6): „(1) Fiecare stat membru prevede [că] una sau mai multe autorități publice [sunt] responsabile de supravegherea aplicării pe teritoriul său a dispozițiilor adoptate de statele membre în temeiul prezentei directive. Aceste autorități acționează în condiții de independență deplină în exercitarea atribuțiilor cu care sunt învestite. […] (3) Fiecare autoritate este, în special, învestită cu: — competențe de investigare, cum ar fi cea de acces la datele care fac obiectul unei prelucrări și cea de a colecta toate informațiile necesare pentru îndeplinirea îndatoririlor de supraveghere; — competențe efective de intervenție, cum ar fi, de exemplu, competența de a emite avize înainte de începerea prelucrării, în conformitate cu articolul 20, și de a asigura publicarea adecvată a acestor avize sau de a ordona blocarea, ștergerea sau distrugerea datelor, de a impune interdicția temporară sau definitivă de prelucrare, de a avertiza sau de a admonesta operatorul sau de a sesiza parlamentele naționale sau alte instituții politice; — competența de a acționa în justiție, în cazul încălcării dispozițiilor de drept intern adoptate în temeiul prezentei directive sau de a sesiza autoritățile judecătorești asupra acestor încălcări. Deciziile autorităților de supraveghere care dau naștere unor plângeri pot face obiectul unei acțiuni în justiție. (4) Fiecare autoritate de supraveghere poate fi sesizată de orice persoană sau de orice asociație care o reprezintă printr‑o cerere de protecție a drepturilor și libertăților sale în ceea ce privește prelucrarea datelor cu caracter personal. Persoana vizată este informată despre soluția dată plângerii sale. Fiecare autoritate de supraveghere poate fi sesizată printr‑o plângere depusă de orice persoană cu privire la legalitatea prelucrării datelor, atunci când se aplică dispozițiile de drept intern adoptate în temeiul articolului 13 din prezenta directivă. Persoana este informată, în orice caz, că s‑a efectuat o verificare. […] (6) Fiecare autoritate de supraveghere are competența, indiferent de dreptul intern aplicabil prelucrării în cauză, să exercite pe teritoriul statului membru din care provin competențele conferite în conformitate cu alineatul (3). Fiecare autoritate este chemată să își exercite competențele la cererea unei autorități a unui alt stat membru. Autoritățile de supraveghere cooperează în măsura necesară îndeplinirii îndatoririlor lor, în special prin schimburi de informații utile. […]”

B – Dreptul maghiar

7. Legea nr. CXII din 2011 privind autodeterminarea în domeniul informației și al libertății de informare (2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011, denumită în continuare „Legea Info”) constituie norma națională de transpunere a Directivei 95/46.

8. Articolul 2 din Legea Info prevede următoarele: „(1) Domeniul de aplicare al acestei legi cuprinde atât prelucrarea, cât și procesarea pe teritoriul Ungariei a datelor referitoare la persoane fizice, precum și de interes public sau care sunt accesibile din motive de interes public. (2) Această lege este aplicabilă atât în cazul prelucrării, cât și al procesării de date, efectuate atât prin mijloace complet sau parțial automate, cât și manual. (3) Dispozițiile acestei legi trebuie aplicate atunci când operatorul de date care prelucrează date cu caracter personal în afara teritoriului Uniunii Europene împuternicește, în vederea procesării de date, o persoană care are domiciliul social sau o unitate, o filială, domiciliul privat sau reședința pe teritoriul Ungariei, sau care utilizează un mijloc situat pe acest teritoriu, cu excepția cazului în care aceste mijloace sunt folosite numai în vederea tranzitului pe teritoriul Uniunii Europene. Un astfel de operator de date trebuie să desemneze un reprezentant pe teritoriul Ungariei.”

9. La rândul său, articolul 3 din Legea Info prevede că, în sensul aplicării prezentei legi: „(9) «operator» («adatkezelő») înseamnă persoana fizică sau juridică sau entitatea fără personalitate juridică care, singură sau împreună cu altele, stabilește scopul prelucrării datelor cu caracter personal, ia decizii cu privire la respectiva prelucrare (inclusiv cu privire la mijloacele folosite în acest scop) și le pune în aplicare în mod direct sau prin intermediul unei persoane împuternicite de către operator pentru procesarea datelor («adatfeldolgozó»); (10) «prelucrarea datelor cu caracter personal» («adatkezelés») înseamnă orice operațiune sau serie de operațiuni care se efectuează asupra datelor, indiferent de mijlocul utilizat, cum ar fi, în special, colectarea, captarea, înregistrarea, organizarea, stocarea, modificarea, utilizarea, solicitarea, transmiterea, publicarea, alăturarea ori combinarea, blocarea, ștergerea sau distrugerea, precum și [pentru] a împiedica utilizarea cu alt scop a datelor, captarea fotografiilor, a sunetelor și a imaginilor sau înregistrarea caracteristicilor fizice folosite pentru identificarea persoanelor (de exemplu, amprente digitale sau ale palmei, mostre de ADN sau imagini ale irisului); (11) «transmiterea datelor» înseamnă punerea la dispoziția unui anumit terț a datelor; […] (17) «operațiuni tehnice de prelucrare» («adatfeldolgozás») înseamnă executarea de sarcini tehnice referitoare la operațiunile de prelucrare a datelor, indiferent de metoda și de mijlocul utilizate pentru efectuarea respectivelor operațiuni, precum și indiferent de locul în care se desfășoară, cu condiția ca sarcinile tehnice să fie executate pe baza datelor; (18) «persoană împuternicită de către operator pentru procesarea datelor» («adatfeldolgozó») înseamnă persoana fizică sau juridică sau entitatea fără personalitate juridică care, în temeiul unui contract – inclusiv contractele încheiate în virtutea legii –, procesează date; […]”

II – Situația de fapt și procedura din litigiul principal

10. Prezenta cerere de decizie preliminară este formulată cu ocazia unui recurs introdus în fața Kúria împotriva hotărârii pronunțate de Fővárosi Közigazgatási és Munkaügyi Bíróság (Tribunalul Administrativ și pentru Litigii de Muncă din Budapesta) în cadrul procedurii de contencios administrativ în domeniul protecției datelor, desfășurată între societatea Weltimmo s.r.o. (denumită în continuare „Weltimmo”) și Autoritatea maghiară pentru protecția datelor.

11. Weltimmo este o societate care administrează o pagină de internet de intermedieri imobiliare, cu sediul social în Slovacia. Activitatea sa constă în administrarea respectivei pagini de internet, pe care publică anunțuri privind imobile situate în Ungaria. Autorii anunțurilor beneficiază de gratuitate pentru publicarea acestora în prima lună, ulterior serviciul fiind contra cost. Mulți dintre autorii anunțurilor au solicitat, pe cale electronică, eliminarea respectivelor anunțuri, precum și a datelor acestora cu caracter personal, întrucât nu doreau să treacă la serviciul cu plată după prima lună. Cu toate acestea, Weltimmo nu a dat curs solicitărilor respective și a facturat contravaloarea serviciilor. Ca urmare a neachitării facturilor, Weltimmo a transmis datele cu caracter personal ale autorilor anunțurilor către societăți de recuperare a creanțelor.

12. Ca urmare a plângerilor formulate de autorii anunțurilor, Autoritatea maghiară pentru protecția datelor a constatat că este competentă și că legea națională este aplicabilă (în temeiul articolului 3 alineatul 10 din Legea Info, colectarea de date constituie o prelucrare de date) și a aplicat reclamantei o amendă în cuantum de 10 milioane HUF. Decizia respectivă a fost atacată de Weltimmo în fața instanței administrative și pentru litigii de muncă din Budapesta, care, deși nu a pus la îndoială competența autorității pentru protecția datelor și nici legea aplicabilă, a anulat decizia administrativă ca urmare a faptului că unele elemente privind situația de fapt nu au fost clarificate suficient.

13. În cadrul recursului formulat, Weltimmo a solicitat, printre altele, să se constate că nu se impune clarificarea suplimentară a situației de fapt, deoarece, conform articolului 4 alineatul (1) litera (a) din Directiva 95/46, Autoritatea maghiară pentru protecția datelor nu are competența de a soluționa proceduri și de a aplica dreptul maghiar unui prestator de servicii stabilit într‑un alt stat membru, susținând în acest sens că, în conformitate cu articolul 28 alineatul (6) din Directiva 95/46, autoritatea respectivă ar fi trebuit să solicite autorității slovace omoloage să dispună măsurile necesare față de reclamantă.

14. În vederea justificării competenței sale și a aplicabilității legislației maghiare, Autoritatea maghiară pentru protecția datelor susține, în procedura principală, că Weltimmo are o „persoană de legătură de origine maghiară” – unul dintre proprietarii întreprinderii, de origine maghiară –, care a reprezentat‑o atât în cursul procedurii administrative, cât și în cursul procedurii judiciare naționale. De asemenea, autoritatea menționată arată că proprietarii Weltimmo au reședința în Ungaria. În orice caz, în opinia acestei autorități, articolul 28 alineatul (6) din Directiva 95/46 stabilește competența în favoarea sa, indiferent de dreptul aplicabil.

III – Întrebările preliminare și procedura în fața Curții

15. În acest context, întrucât a considerat că dispozițiile relevante ale Directivei 95/46 nu sunt suficient de clare, Kúria, prin decizia din 22 aprilie 2014, care a fost înregistrată pe rolul Curții la 12 mai 2014, a adresat următoarele întrebări preliminare: „1) Articolul 28 alineatul (1) din Directiva 95/46 […] trebuie interpretat în sensul că legislația națională a unui stat membru se poate aplica pe teritoriul unui prim stat membru în privința unui operator de date stabilit exclusiv în al doilea stat membru, care administrează o pagină de internet de anunțuri imobiliare privind, printre altele, bunuri imobile situate pe teritoriul primului stat membru, ai căror proprietari comunică datele lor cu caracter personal către un instrument (server) de stocare și de procesare de date care aparține administratorului paginii de internet și care se află în al doilea stat membru? 2) În lumina considerentelor (18)-(20), a articolului 1 alineatul (2) și a articolului 28 alineatul (1) din Directiva 95/46, articolul 4 alineatul (1) litera (a) din această directivă poate fi interpretat în sensul că [Autoritatea pentru protecția datelor] nu poate aplica legislația maghiară referitoare la protecția datelor, în calitatea sa de drept național, în privința administratorului unei pagini de internet de anunțuri imobiliare care este stabilit exclusiv în alt stat membru nici în cazul în care acesta publică anunțuri imobiliare privind, printre altele, bunuri imobile situate în Ungaria, ai căror proprietari, după toate probabilitățile, comunică datele de pe teritoriul maghiar către un instrument (server) de stocare și procesare de date care aparține administratorului paginii de internet și care se află în al doilea stat membru? 3) Este relevant în scopul interpretării faptul că serviciul prestat de operatorul care administrează pagina de internet se adresează teritoriului altui stat membru? 4) Este relevant în scopul interpretării faptul că datele referitoare la bunurile imobile situate pe teritoriul altui stat membru și datele cu caracter personal ale proprietarilor respectivelor imobile au fost descărcate efectiv de pe teritoriul respectivului stat membru? 5) Este relevant în scopul interpretării faptul că datele cu caracter personal referitoare la respectivele bunuri imobile reprezintă date cu caracter personal ale cetățenilor unui alt stat membru? 6) Este relevant în scopul interpretării faptul că proprietarii întreprinderii cu sediul în Slovacia au reședința în Ungaria? 7) Dacă răspunsurile la întrebările anterioare sunt în sensul că autoritatea maghiară pentru protecția datelor este competentă, însă nu poate aplica dreptul național, ci este obligată să aplice dreptul statului membru în care este stabilită societatea, articolul 28 alineatul (6) din Directiva 95/46 trebuie interpretat în sensul că autoritatea maghiară pentru protecția datelor poate să exercite doar competențele prevăzute la articolul 28 alineatul (3) din această directivă, în conformitate cu legislația statului membru în care este stabilită societatea, și că, prin urmare, nu este competentă să aplice o amendă? 8) Noțiunea «adatfeldolgozás» [operațiuni tehnice de prelucrare de date], utilizată atât la articolul 4 alineatul (1) litera (a), cât și la articolul 28 alineatul (6) din [versiunea în limba maghiară] a Directivei 95/46 poate fi considerată identică cu noțiunea «adatkezelés» [prelucrare de date], folosită în terminologia directivei?”

16. Au formulat observații scrise guvernul maghiar, guvernul slovac, guvernul Regatului Unit, Autoritatea maghiară pentru protecția datelor și Comisia Europeană. În cadrul ședinței care a avut loc la 12 martie 2015 s‑au prezentat guvernul maghiar, guvernul slovac, guvernul polonez, Autoritatea maghiară pentru protecția datelor și Comisia Europeană.

IV – Analiză

17. Întrebările preliminare formulate de Kúria vizează două probleme care, deși sunt prezentate ca interdependente, trebuie analizate separat – după cum reiese, de asemenea, din observațiile scrise și orale prezentate în cadrul procedurii în fața Curții – și anume, problema privind legea aplicabilă prelucrării de date și problema privind stabilirea autorității de supraveghere competente. Din acest motiv, ne vom structura raționamentul în două secțiuni. În primul rând, vom aborda problema legii aplicabile prelucrării de date și, în final, pe cea privind „sediul”, analizând primele șase întrebări împreună. În al doilea rând, vom examina problema privind stabilirea autorității de supraveghere și competențele acesteia – analizând, de asemenea, posibila disociere dintre autoritatea de supraveghere competentă și legea aplicabilă – (a șaptea întrebare). În ultimul rând, ne vom concentra asupra problemei terminologice ridicate în cadrul celei de a opta întrebări preliminare.

A – Cu privire la legea aplicabilă prelucrării de date și la noțiunea de sediu (primele șase întrebări preliminare)

18. Prin intermediul primelor șase întrebări preliminare, pe care le vom analiza împreună, Kúria dorește să afle, în esență, dacă articolul 4 alineatul (1) litera (a) și articolul 28 alineatul (1) din Directiva 95/46 pot fi interpretate în sensul că, în circumstanțe precum cele din litigiul principal, permit aplicarea legii maghiare privind protecția datelor, precum și că autoritatea maghiară pentru protecția datelor este cea care aplică respectiva lege unui administrator al unei pagini de internet stabilit exclusiv pe teritoriul altui stat membru. În acest sens, Kúria dorește să afle, în plus, care sunt efectele unor factori specifici precum acela că serviciile respectivei întreprinderi se adresează teritoriului altui stat membru, locul în care au fost prelucrate datele referitoare la imobile, cetățenia persoanelor afectate și faptul că proprietarii întreprinderii au domiciliul în Ungaria.

19. În cuprinsul primelor două întrebări, Kúria a făcut referire atât la articolul 28 alineatul (1), cât și la articolul 4 alineatul (1) litera (a), ambele din Directiva 95/46. Totuși, pentru a răspunde întrebărilor adresate de aceasta, considerăm că este perfect posibil să renunțăm la analiza domeniului de aplicare al primei dispoziții menționate. Astfel, articolul 28 alineatul (1) se limitează la stabilirea faptului că „fiecare stat membru prevede una sau mai multe autorități publice care să fie responsabile de supravegherea aplicării pe teritoriul său a dispozițiilor adoptate de statele membre în temeiul prezentei directive”. În opinia noastră, această dispoziție este irelevantă pentru stabilirea legii aplicabile. În primul rând, din punct de vedere sistematic, articolul 28 este inclus în capitolul VI din directivă, care reglementează autoritățile de supraveghere, precum și grupurile de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, iar nu problema privind legea aplicabilă. În al doilea rând, formularea literală a articolului 28 alineatul (1) din directivă nu oferă niciun criteriu suplimentar în vederea stabilirii legii aplicabile prelucrării de date. În concluzie, dispoziția respectivă nu conține niciun element a cărui interpretare să conducă la un alt răspuns în ceea ce privește problema stabilirii legii aplicabile decât cel care rezultă din criteriile prevăzute la articolul 4 din directiva respectivă, în cuprinsul căruia este reglementată, în mod specific, problema menționată anterior.

20. Concentrându‑ne în continuare pe articolul 4 alineatul (1) litera (a) din directivă, este oportun să începem prin a menționa că atât în observațiile orale prezentate în cursul ședinței, cât și în cele din cadrul procedurii scrise se subliniază relevanța acestei dispoziții în ceea ce privește răspunsul la întrebările privind legea aplicabilă, precum și importanța determinării locului de stabilire al Weltimmo.

21. Problema legii aplicabile în situații transfrontaliere privind prelucrarea datelor reprezintă un aspect controversat de mai multe decenii pe plan internațional ( 4 ). Articolul 4 din directivă, care vizează stabilirea dreptului național aplicabil, este prima normă prin care s‑a reușit reglementarea unei reguli privind stabilirea dreptului aplicabil în acest domeniu ( 5 ). Dispoziția respectivă prevede mai multe criterii pentru a determina dacă dreptul național adoptat în vederea transpunerii directivei este aplicabil, reglementând astfel, în mod indirect (prin stabilirea aplicabilității respectivelor norme naționale), domeniul teritorial de aplicare al directivei înseși.

22. Așadar, articolul 4 alineatul (1) litera (a) din Directiva 95/46, care prevede că „fiecare stat membru aplică dispozițiile de drept intern pe care le[ ( 6 ) ] adoptă în temeiul prezentei directive pentru prelucrarea datelor cu caracter personal atunci când: (a) prelucrarea este efectuată în cadrul activităților operatorului cu sediul pe teritoriul statului membru”, are o importanță deosebită în ceea ce privește situațiile în care prezintă relevanță problema legii aplicabile între statele membre ale Uniunii.

23. Astfel, articolul 4 alineatul (1) litera (a) din directivă are un dublu rol. Pe de o parte, permite aplicarea dreptului Uniunii prin intermediul dreptului unuia dintre statele membre în situațiile în care prelucrarea datelor are loc exclusiv „în cadrul” activităților unui sediu aflat pe teritoriul acestuia, chiar dacă prelucrarea „propriu‑zisă” a datelor este efectuată într‑un stat terț (astfel cum s‑a întâmplat în cauza Google Spain și Google) ( 7 ). Pe de altă parte, dispoziția respectivă are rolul de normă prin care se stabilește legea aplicabilă între statele membre (acesta fiind aspectul dezbătut în prezenta cauză). În această a doua situație, articolul 4 alineatul (1) litera (a) din directivă constituie dispoziția care stabilește legea aplicabilă, reprezentând norma de conflict între legislațiile statelor membre.

24. În acest sens, trebuie menționat că întrebările adresate de instanța națională vizează un administrator al unei pagini de internet pe care se publică anunțuri imobiliare, stabilit exclusiv pe teritoriul altui stat membru, susținere contestată de autoritatea maghiară de supraveghere. Potrivit Regatului Unit, este evident că trebuie să se rețină că legea aplicabilă în prezenta cauză este cea a statului membru gazdă, în acest caz Slovacia, autoritatea maghiară neavând posibilitatea să aplice dispozițiile dreptului său național. În aceeași ordine de idei, Comisia subliniază că, indiferent dacă se acceptă aplicarea legii maghiare în situația în care se constată că reclamanta este stabilită, de asemenea, pe teritoriul maghiar, Kúria a arătat că, în acest caz, întreprinderea este stabilită exclusiv pe teritoriul altui stat membru.

25. În această privință, în plus față de aprecierea situației de fapt privind locul de stabilire, redată în cuprinsul întrebărilor preliminare, a treia-a șasea întrebare adresate de Kúria permit anticiparea unei anumite incertitudini din partea instanței de trimitere în ceea ce privește noțiunea de sediu, în sensul directivei, drept noțiune care nu are, probabil, un caracter pur formal. Din acest motiv, considerăm că, în vederea oferirii unui răspuns util la primele șase întrebări, este necesar să stabilim criteriile care să ne permită să apreciem dacă s‑a efectuat o prelucrare a datelor „în cadrul activităților operatorului cu sediul” pe teritoriul maghiar, în sensul articolului 4 alineatul (1) litera (a) din directivă.

26. Prin urmare, pentru a stabili, în prezenta cauză, dacă legislația aplicabilă este cea maghiară sau, dimpotrivă, cea slovacă, este necesar să efectuăm o analiză în două etape, conform metodei aplicate în Hotărârea Google Spain și Google ( 8 ). Astfel, în primul rând, trebuie să determinăm dacă Weltimmo dispunea de un sediu pe teritoriul Ungariei, iar în al doilea rând, dacă prelucrarea datelor a avut loc în cadrul activităților respectivului sediu. Cu toate acestea, trebuie subliniat că în circumstanțele din prezenta cauză, spre deosebire de cele din cauza Google Spain și Google, nu este în discuție problema dacă prelucrarea datelor a avut loc „în cadrul activităților unui sediu”. Aspectul determinant este chiar cel referitor la existența sau la inexistența unui sediu în Ungaria și/sau în Slovacia. Prin urmare, analiza noastră se concentrează, în principal, pe această primă etapă a analizei.

27. În ceea ce privește acest aspect, guvernul maghiar a arătat în observațiile sale scrise că diversele versiuni lingvistice ale acestei dispoziții sprijină o interpretare a noțiunii de sediu care este posibil să nu corespundă cu simpla referire la „sediu” în sensul dreptului societăților. Guvernul slovac, care este, de asemenea, în favoarea unei concepții neformaliste a noțiunii de sediu, arată că, în acest context, se impune raportarea la jurisprudența Curții în materia libertății de stabilire. De asemenea, autoritatea maghiară pentru protecția datelor susține o concepție a noțiunii de sediu în care forma juridică nu are relevanță și arată că sediul poate fi format din reprezentantul în Ungaria al Weltimmo, în acest caz, domnul Benkö. De fapt, acesta a reprezentat întreprinderea respectivă în cadrul procedurii administrative și a celei de contencios administrativ în fața primei instanțe, a intrat în contact cu persoanele afectate care au formulat plângerile și este înscris în registrul slovac al societăților cu o adresă din Ungaria. În plus, autoritatea maghiară a arătat în cadrul ședinței că Weltimmo deține o căsuță poștală în Ungaria pentru administrarea afacerilor curente și că, în urma unei consultări informale cu autoritatea slovacă pentru protecția datelor, aceasta i‑a confirmat că întreprinderea nu desfășoară nicio activitate efectivă pe teritoriul Slovaciei. Guvernul polonez este singurul care, în cadrul observațiilor orale prezentate în ședință, a insistat asupra necesității considerării înmatriculării societății într‑un stat membru drept singurul element obiectiv și verificabil.

28. Acestea fiind spuse, se impune să facem referire la considerentul (19) al Directivei 95/46, care constituie un element de interpretare fundamental în ceea ce privește determinarea conținutului noțiunii de sediu, în sensul aceleiași directive. Astfel, considerentul menționat sugerează o concepție suplă a noțiunii, îndepărtându‑se de o abordare formalistă, conform căreia o întreprindere este stabilită exclusiv în locul în care este înmatriculată. Astfel, în primul rând, prin formularea „stabilirea pe teritoriul unui stat membru presupune exercitarea efectivă și reală a unei activități într‑o formă de instalare stabilă […]”, considerentul respectiv face referire la un criteriu de efectivitate și la un element de permanență. În al doilea rând, oferă o flexibilitate considerabilă, întrucât, conform acestuia, „forma juridică a stabilirii, fie că este doar sucursală, fie că este filială cu personalitate juridică, nu este factorul determinant în această privință”.

29. Această concepție a noțiunii de sediu este în acord cu interpretarea atribuită respectivei noțiuni în jurisprudența Curții în alte domenii ale dreptului Uniunii. Astfel, potrivit unei jurisprudențe constante, „noțiunea de sediu, în sensul dispozițiilor tratatului referitoare la libertatea de stabilire, implică exercitarea efectivă a unei activități economice într‑o formă de instalare stabilă în statul membru gazdă pentru o durată nedeterminată” ( 9 ), ceea ce „presupune o implantare reală a societății în cauză în acest stat și exercitarea unei activități economice efective pe teritoriul acestuia” ( 10 ).

30. Pe de altă parte, Avizul 8/2010 al Grupului de lucru pentru protecția datelor instituit în temeiul articolului 29 (denumit în continuare „Grupul de lucru instituit în temeiul articolului 29” ( 11 )) face referire la interpretarea noțiunii de sediu drept criteriu de legătură în scopuri fiscale în materie de TVA ( 12 ). Jurisprudența Curții în această materie prezintă un interes deosebit – întrucât noțiunea de sediu este utilizată drept criteriu de legătură pentru aplicarea legislației fiscale naționale – și aprofundează noțiunea de sediu fix, care „[…] trebuie să se caracterizeze printr‑un grad suficient de permanență și o structură adecvată ca resurse umane și tehnice care îi permit să primească și să utilizeze serviciile care sunt furnizate pentru necesitățile proprii ale sediului respectiv” ( 13 ). În plus, noțiunea de sediu, folosită atât în domeniul Convenției de la Roma ( 14 ), cât și în cel al Convenției de la Bruxelles ( 15 ), promovează, de asemenea, o concepție neformalistă ( 16 ).

31. Fără a lua în considerare diferența evidentă de contexte și de obiective dintre domeniile din care fac parte jurisprudența Curții pronunțată în materiile la care s‑a făcut referire anterior și prezenta cauză, este, totuși, relevant faptul că dreptul Uniunii promovează, în diverse domenii, o concepție a noțiunii de sediu întemeiată pe efectivitatea exercitării activităților economice și pe un anumit grad de stabilitate, în acord cu indicațiile care reies, de asemenea, din considerentul (19) al Directivei 95/46.

32. Pe de altă parte, având în vedere obiectivul specific al Directivei 95/46 – astfel cum este prevăzut la articolul 1 alineatul (1) – de „a asigura protejarea drepturilor și libertăților fundamentale ale persoanei și în special a dreptului la viața privată în ceea ce privește prelucrarea datelor cu caracter personal”, considerăm că se impune atât evaluarea gradului de stabilitate a formei de instalare, cât și efectivitatea desfășurării de activități, ținând seama de natura specifică a activităților economice și a prestărilor de servicii în cauză.

33. Prin urmare, potrivit Autorității maghiare pentru protecția datelor și guvernului slovac și având în vedere, de asemenea, criteriile oferite de Grupul de lucru instituit în temeiul articolului 29 ( 17 ), este suficientă existența unui singur agent pentru a considera că o formă de instalare este stabilă dacă acesta acționează în statul membru în cauză cu un grad suficient de stabilitate prin intermediul mijloacelor necesare pentru prestarea serviciilor concrete în discuție în statul membru în cauză.

34. Astfel, după cum a arătat avocatul general Jääskinen în concluziile prezentate în cauza Google Spain și Google, atunci când se analizează condițiile prevăzute la articolul 4 din Directiva 95/46 ( 18 ), trebuie să se țină seama de modelul comercial al entității în cauză. Prin urmare, este necesar ca în acest context să se analizeze particularitatea întreprinderilor care își desfășoară activitatea exclusiv pe internet, al căror model comercial imprimă un caracter relativ noțiunii de formă de instalare fizică fixă, determinând, de asemenea, atât amploarea resurselor umane, cât și pe cea a mijloacelor materiale. Prin urmare, în anumite circumstanțe, un agent cu o prezență durabilă, echipat cel puțin cu un laptop, poate constitui o structură suficientă pentru a putea desfășura o activitate efectivă, reală și suficient de stabilă. În lumina acestor considerații, este necesar ca, la momentul evaluării respectivelor resurse umane și mijloace tehnice, să se verifice temeinic specificitățile întreprinderilor care oferă servicii pe internet, ținându‑se seama de particularitățile fiecărui caz concret.

35. Specificitatea activităților economice prestate pe internet a fost deja avută în vedere pentru a stabili conținutul noțiunii de sediu în alte instrumente de drept al Uniunii. În special, Directiva privind comerțul electronic ( 19 ) prevede în considerentul (19) că „[…] în cazul unei societăți care furnizează servicii prin intermediul unui site de internet, loc[ul] de stabilire nu este acela în care se află tehnologia care susține site‑ul, nici cel în care site‑ul este accesibil, ci acela unde se desfășoară activitatea economică”. Grupul de lucru instituit în temeiul articolului 29 a considerat că această definiție este relevantă pentru interpretarea articolului 4 din Directiva 95/46 ( 20 ).

36. Având în vedere aceste considerații și fără a contesta că Weltimmo este o societate înmatriculată în mod formal în Slovacia, se poate concluziona că nu este exclus ca aceasta să își exercite activitatea în mod efectiv și real pe teritoriul altui stat, în prezenta cauză, în Ungaria, într‑o formă de instalare stabilă, care poate fi asigurată de un singur agent. În acest caz, Weltimmo ar deține un sediu în Ungaria, în sensul articolului 4 alineatul (1) litera (a) din Directiva 95/46.

37. Diverșii factori suplimentari indicați de Kúria în cadrul întrebărilor preliminare – locul în care au fost prelucrate datele, statul membru căruia i se adresează serviciile, cetățenia persoanelor afectate sau locul de reședință al proprietarilor întreprinderilor – nu au, în această privință, un efect direct și determinant asupra stabilirii dreptului aplicabil ( 21 ). De fapt, elementele respective nu figurează în directivă drept criterii relevante care permit derogarea de la criteriul prevăzut de articolul 4 alineatul (1) litera (a) ( 22 ).

38. Totuși, unii dintre acești factori pot constitui, în anumite circumstanțe, indicii ale caracterului real și efectiv al activității – în scopul determinării locului de stabilire – și în special pentru a aprecia dacă prelucrarea datelor s‑a efectuat în cadrul operațiunilor unui sediu al responsabilului cu prelucrarea.

39. Astfel, în special în ceea ce privește cel de al doilea element – acela că prelucrarea datelor este efectuată în cadrul activităților sediului situat într‑un stat membru – se impune să facem referire la interpretarea oferită de Curte în Hotărârea Google Spain și Google ( 23 ). Conform acesteia, articolul 4 alineatul (1) litera (a) din Directiva 95/46 „nu impune ca prelucrarea datelor cu caracter personal în discuție să fie efectuată «de» însuși sediul în cauză, ci doar ca ea să fie efectuată «în cadrul activităților» acestuia” ( 24 ). În plus – continuă Curtea –, având în vedere obiectivul Directivei, „această expresie nu poate primi o interpretare restrictivă” ( 25 ).

40. Aplicarea acestui al doilea criteriu este deosebit de importantă în cazul în care instanța de trimitere apreciază că Weltimmo are sediul – conform criteriilor enumerate anterior – în cele două state membre în cauză. În acest caz, după cum arată guvernul slovac și Comisia în cuprinsul observațiilor scrise, trebuie să se aibă în vedere exact activitățile în cadrul cărora s‑a efectuat prelucrarea și în special în ce măsură sunt asociate cu un anumit sediu ( 26 ). De asemenea, Grupul de lucru instituit în temeiul articolului 29 a indicat alte elemente determinante în acest sens cu privire la motoarele de căutare, acestea putând să se dovedească utile pentru a stabili dacă activitățile se desfășoară în cadrul sediului: faptul că sediul este responsabil pentru relațiile cu utilizatorii, că participă la vânzarea de publicitate adresată locuitorilor acestui stat sau că răspunde în fața autorităților competente ale unui stat membru cu privire la datele utilizatorilor ( 27 ).

41. În definitiv, pentru a stabili, în prezenta cauză, dacă dreptul maghiar este aplicabil activității desfășurate de Weltimmo în Ungaria, trebuie să se determine dacă întreprinderea dispune de un sediu în statul membru respectiv și dacă prelucrarea de date contestată a fost efectuată în contextul activităților din cadrul acestuia. În acest sens, ar trebui să se stabilească dacă agentul la care face referire decizia de trimitere dispune de o formă de instalare stabilă, indiferent de forma sa juridică, prin intermediul căreia își desfășoară în mod efectiv și real activitatea și în cadrul căreia s‑a efectuat prelucrarea de date contestată.

42. În concluzie, considerăm că trebuie să oferim un răspuns comun la primele șase întrebări adresate de Kúria, în sensul că articolul 4 alineatul (1) litera (a) din Directiva 95/46 nu permite Autorității maghiare pentru protecția datelor să aplice dreptul maghiar unui operator de date stabilit exclusiv pe teritoriul altui stat membru. Astfel, noțiunea de sediu trebuie interpretată drept existența unei forme de instalare stabile, indiferent de forma juridică a acesteia, prin intermediul căreia se desfășoară în mod efectiv și real o activitate. Un singur agent poate fi considerat o formă de instalare stabilă dacă prezintă suficientă stabilitate prin raportare la resursele umane și la mijloacele tehnice necesare pentru prestarea serviciilor concrete în cauză. Alte elemente precum locul în care au fost prelucrate datele, cetățenia persoanelor afectate, domiciliul proprietarilor întreprinderii responsabile cu prelucrarea datelor sau faptul că serviciul prestat de întreprinderea respectivă se adresează teritoriului altui stat membru nu au relevanță directă și determinantă pentru stabilirea legii aplicabile, chiar dacă pot constitui indicii cu privire la caracterul real și efectiv al activității – în scopul determinării locului de stabilire – și în special pentru a stabili dacă prelucrarea datelor a avut loc în cadrul operațiunilor respectivului sediu.

B – Cu privire la autoritatea de supraveghere competentă și la posibila disociere dintre dreptul aplicabil și autoritatea competentă (a șaptea întrebare preliminară)

43. Prin intermediul celei de a șaptea întrebări preliminare, Kúria solicită Curții să stabilească, „[în cazul în care] răspunsurile la întrebările anterioare sunt în sensul că Autoritatea maghiară pentru protecția datelor poate soluționa procedura, însă nu poate aplica dreptul național, ci este obligată să aplice dreptul statului membru gazdă, [dacă] articolul 28 alineatul (6) din Directiva privind protecția datelor trebuie interpretat în sensul că Autoritatea maghiară pentru protecția datelor poate să exercite doar competențele prevăzute la articolul 28 alineatul (3) din Directiva privind protecția datelor, în conformitate cu legislația statului membru gazdă, și că, prin urmare, nu este competentă să aplice o amendă”.

44. După cum se observă, această întrebare preliminară este relevantă doar în cazul în care instanța de trimitere consideră că, în conformitate cu criteriile enumerate anterior, Weltimmo nu dispune de un sediu în Ungaria, ci este stabilită exclusiv în Slovacia. Pentru a putea oferi un răspuns util prezentei întrebări preliminare, trebuie, așadar, să avem în vedere, cu caracter preliminar – întrucât acest aspect nu reiese expres din răspunsul oferit la întrebările anterioare –, posibilitatea ca o autoritate de supraveghere dintr‑un stat membru să acționeze inclusiv atunci când, conform criteriilor prevăzute la articolul 4 alineatul (1) litera (a) din directivă, este aplicabil dreptul altui stat membru. Un răspuns afirmativ la această întrebare ar conduce, în al doilea rând, la necesitatea determinării întinderii și a conținutului competențelor respectivei autorități.

45. Prin urmare, cu titlu preliminar, se ridică întrebarea dacă articolul 4, referitor la legea aplicabilă, constituie, pe lângă o normă de stabilire a legii aplicabile, o normă privind jurisdicția și, în acest caz, dacă precizările oferite în cuprinsul articolului 28 cu privire la competența autorităților publice sunt relevante, toate acestea în contextul unei reforme profunde a dreptului Uniunii în materia protecției datelor ( 28 ).

46. Observațiile prezentate în fața Curții propun diferite interpretări ale alineatelor (1), (3) și (6) ale articolului 28 din directivă. Astfel, Autoritatea maghiară pentru protecția datelor susține că este competentă să aplice sancțiuni pecuniare, inclusiv în cazul în care este aplicabilă legislația altui stat membru. În același sens se pronunță și guvernul maghiar, potrivit căruia este evident că modalitățile statutare și procedurale privind exercitarea competențelor autorităților de supraveghere menționate la articolul 28 alineatul (3) din directivă sunt reglementate de dreptul național al statului în care acestea au sediul, astfel încât sancțiunile trebuie să se aplice în conformitate cu dreptul național respectiv.

47. La rândul său, Comisia consideră că autoritățile de supraveghere dintr‑un stat membru au dreptul să exercite competențele prevăzute la articolul 28 alineatul (3) din directivă, cu condiția să le poată exercita pe propriul teritoriu național, în conformitate cu articolul 28 alineatele (1) și (6). Dacă, dimpotrivă, o competență nu ar putea fi exercitată decât pe teritoriul altui stat membru, aceste autorități nu ar avea altă opțiune decât să solicite cooperarea administrativă a autorității de supraveghere din statul membru amintit. Prin urmare, autoritatea de supraveghere a primului stat membru nu ar putea să aplice o sancțiune unui operator de date stabilit exclusiv în alt stat membru. În același sens, guvernul slovac consideră că, dacă ar fi aplicabil dreptul slovac, Autoritatea maghiară pentru protecția datelor ar avea competența, conform articolului 28 alineatele (3) și (6), să investigheze și să examineze plângerile cu care este sesizată, acționând în conformitate cu propriile reguli de procedură, însă ar trebui să adreseze o cerere de cooperare autorității din statul membru a cărui lege este aplicabilă, întrucât aceasta din urmă este cea care ar trebui să ia o decizie cu privire la eventuala aplicare a unei sancțiuni. Polonia subliniază că posibilitatea aplicării dreptului material al unui stat membru de către autoritățile altui stat membru nu este prevăzută de directivă, susținând că, în ipoteza în care legiuitorul ar fi dorit să prevadă o posibilitate atât de ambițioasă, directiva ar conține dispoziții specifice care să definească domeniul său de aplicare. În ultimul rând, guvernul Regatului Unit consideră că Autoritatea maghiară pentru protecția datelor nu este competentă, având în vedere că dreptul aplicabil este cel slovac.

48. Având în vedere aspectele anterioare, se impune să subliniem pozițiile divergente prezentate în cadrul observațiilor prezentate, dintre care doar cele ale Regatului Unit și ale Poloniei par să fie în sensul unei concordanțe absolut necesare între dreptul aplicabil și jurisdicția autorității de supraveghere – astfel încât, prin stabilirea dreptului aplicabil în conformitate cu articolul 4 alineatul (1) litera (b) din directivă, s‑ar determina, de asemenea, autoritatea de supraveghere competentă ( 29 ).

49. Astfel cum vom arăta în continuare, considerăm că problema complexă cu care ne confruntăm trebuie soluționată prin încercarea de a concilia obiectivele particulare ale directivei cu principiile care reglementează modul în care acționează autoritățile administrative de supraveghere.

50. La baza problemei ridicate prin prezenta întrebare preliminară se află o chestiune de fond majoră, și anume, aceea dacă se poate susține că directiva diminuează sau chiar anulează validitatea regulii conform căreia autoritățile administrative ale unui stat acționează, în principiu, în conformitate și cu aplicarea dreptului național propriu. Astfel, în ceea ce privește competența autorităților publice și fiind, așadar, vorba despre exercitarea competențelor de drept public, în special a celei de ius puniendi, este obligatoriu să pornim de la cerințele derivate din suveranitatea teritorială a statului ( 30 ), din principiul legalității și, în final, din noțiunea de stat de drept ( 31 ), în temeiul cărora ar fi necesar ca jurisdicția autorității de supraveghere să coincidă cu legea aplicabilă ( 32 ). În acest sens, exercitarea competenței sancționatorii – care ne preocupă în mod special în prezenta cauză – nu poate avea loc, ca regulă de principiu, în afara limitelor legale în care autoritatea administrativă este autorizată să acționeze în conformitate cu dreptul său național ( 33 ). O disociere de respectiva regulă pare să necesite, cel puțin, un temei legal specific care să autorizeze și să delimiteze aplicarea dreptului public al altui stat membru și care, în plus, să permită subiectelor de drept să prevadă cu precizie și cu claritate care este dreptul aplicabil acțiunilor lor, precum și consecințelor acestora ( 34 ).

51. În concordanță cu cele menționate anterior, considerăm că articolul 28 alineatul (6) prima teză, care prevede că „fiecare autoritate de supraveghere are competența, indiferent de dreptul intern aplicabil prelucrării în cauză, să exercite pe teritoriul statului membru din care provin competențele conferite în conformitate cu alineatul (3)”, nu constituie o dispoziție suficientă pentru a conduce la o asemenea consecință ( 35 ). Dispoziția respectivă nu conține, astfel, nicio referire la domeniul de aplicare, la întinderea sau la garanțiile care ar permite aplicarea de către autoritățile administrative ale unui stat membru a dispozițiilor – în special a celor sancționatorii – din alt stat.

52. În opinia noastră, nici articolul 28 alineatul (1) din directivă nu constituie un temei legal suficient al acestei susțineri care se bazează pe simpla împrejurare, invocată de guvernul maghiar și de Autoritatea maghiară pentru protecția datelor, că dispoziția menționată utilizează pluralul atunci când stabilește că „fiecare stat membru prevede ca una sau mai multe autorități publice să fie responsabile de supravegherea aplicării pe teritoriul său a dispozițiilor adoptate de statele membre în temeiul prezentei directive” ( 36 ).

53. Cu toate acestea, dispozițiile respective indică posibilitatea producerii unei anumite disocieri între autoritatea competentă și dreptul aplicabil. În orice caz, admitem că este posibil ca autoritatea dintr‑un stat membru să supravegheze activitățile exercitate pe teritoriul său inclusiv și atunci când este aplicabilă legislația unui alt stat membru.

54. În acest punct, considerăm că este posibilă concilierea unei interpretări a articolului 28 alineatele (1), (3) și (6) cu principiile de bază care reglementează exercitarea competenței administrative sancționatorii. Aceasta ar fi facilitată prin analizarea în comun a articolului 28 alineatul (6) primul paragraf prima teză cu a doua teză a aceluiași paragraf, care prevede că autoritatea care exercită competențele pe teritoriul propriului stat membru „este chemată să își exercite competențele la cererea unei autorități a unui alt stat membru”, și cu al doilea paragraf al aceleiași dispoziții, care prevede că „autoritățile de supraveghere cooperează în măsura necesară îndeplinirii îndatoririlor lor […]”.

55. În acest sens, posibilitatea de a acționa, pe care o prevede articolul 28 alineatul (6), în favoarea autorităților de supraveghere, inclusiv atunci când dreptul statului membru din care provin acestea nu este aplicabil, trebuie să facă obiectul unei interpretări sistematice care să țină seama atât de existența unui mandat clar de cooperare între autoritățile administrative, cât și de împrejurarea că una dintre autorități poate fi nevoită să își exercite competențele prin intermediul alteia. O apreciere globală a acestei dispoziții indică, astfel, o divizare a sarcinilor între diferitele autorități de control, în contextul cooperării și al asistenței reciproce.

56. Faptul că legislația aplicabilă este cea a unui stat membru nu privează autoritățile de supraveghere din alte state membre de posibilitatea de a acționa, mai ales având în vedere că, în anumite situații, în pofida faptului că este aplicabil dreptul altui stat membru, conform criteriului prevăzut la articolul 4 alineatul (1) litera (a) din directivă, pot exista multe alte elemente de legătură cu teritoriul precum mijloacele tehnice sau în special persoanele afectate de prelucrarea datelor. În consecință, în scopul aplicării efective a directivei, ar fi necesar ca autoritatea națională să aibă posibilitatea să investigheze și să adopte anumite măsuri, inclusiv înainte de a fi posibilă stabilirea dreptului aplicabil.

57. Concret, o autoritate de supraveghere care are obligația de a acționa în temeiul unei plângeri sau al unei cereri individuale adresate acesteia trebuie să aibă posibilitatea să utilizeze competențele proprii de investigare pe teritoriul său. Aceasta rezultă cu certitudine din articolul 28 alineatul (4) din directivă, care prevede obligația autorităților de supraveghere de a primi sesizări de la orice persoană printr‑o cerere de protecție a drepturilor și a libertăților acesteia în ceea ce privește prelucrarea datelor cu caracter personal. În același timp, această apreciere este în acord cu dispozițiile Convenției 108 a Consiliului Europei din [28 ianuarie] 1981 pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal ( 37 ), care prevede la articolul 14 că, în cazul în care o persoană are reședința pe teritoriul altei părți contractante, aceasta „trebuie să aibă posibilitatea să își prezinte cererea prin intermediul autorității desemnate de către acea parte”.

58. Această abordare poate constitui un răspuns adecvat în ceea ce privește preocuparea manifestată de guvernul maghiar în cursul ședinței, care a arătat că, în cazul în care Autoritatea maghiară pentru protecția datelor nu are competență, efectivitatea mijloacelor prevăzute de directivă ar fi diminuată dacă persoanele interesate ar fi obligate să se adreseze autorităților din alte state în altă limbă decât cea cunoscută.

59. În definitiv, indiferent de dreptul material aplicabil în cazul lor, autoritățile de supraveghere dispun de competențele de investigare și de intervenție prevăzute la alineatul (3) al articolului 28 din directivă, însă doar în condițiile reglementate de dreptul lor național, cu respectarea domeniului de aplicare teritorial ( 38 ), și în conformitate cu principiile indicate la punctul 50 din prezentele concluzii.

60. Astfel, în mod evident, competența autorității de supraveghere dintr‑un stat membru de a acționa nu este nelimitată atunci când este aplicabilă legea materială a altui stat membru. În acest punct, trebuie subliniat că este valabil în continuare principiul conform căruia, în cadrul exercitării competențelor atribuite, autoritatea de supraveghere trebuie să acționeze cu respectarea limitelor care rezultă din calitatea sa de subiect de drept public, supus legii propriului stat membru, putând să își exercite competențele doar pe teritoriul acestui stat. În special, eventuala constatare a nelegalității și, de asemenea, eventuala aplicare de sancțiuni pentru încălcările rezultate din prelucrarea nelegală a datelor vor trebui realizate, în mod inevitabil, de autoritatea din statul membru al cărui drept material este aplicabil în privința prelucrării de date, în conformitate cu criteriul prevăzut de articolul 4 alineatul (1) litera (a) din directivă.

61. Prin urmare, deși nimic nu împiedică aprecierea competenței de a impune sancțiuni drept una dintre competențele prevăzute de articolul 28 alineatul (3) din directivă (care, la a treia liniuță, face referire la „competența de a acționa în justiție, în cazul încălcării”, a autorităților de supraveghere), având în vedere obligația de cooperare prevăzută la articolul 28 alineatul (6) din directivă, se impune sesizarea autorității din statul membru ale cărui legi sunt aplicabile prelucrării de date, în vederea eventualei stabiliri a încălcării în conformitate cu legea aplicabilă, precum și a eventualei aplicări de sancțiuni, în temeiul informațiilor colectate și, după caz, transmise de autoritatea din primul stat membru.

62. Această interpretare nu contrazice opinia exprimată în diverse documente de Grupul de lucru instituit în temeiul articolului 29. În primul rând, conform Avizului 8/2010 cu privire la dreptul aplicabil, emis de acesta, scopul articolului 28 alineatul (6) este exact de a „elimina eventuala diferență dintre dreptul aplicabil și competența autorității de supraveghere care poate exista în domeniul protecției datelor în cadrul pieței interne” ( 39 ). În acest sens, deși respectivul aviz prevede expres că, „[…] dacă este aplicabil dreptul altui stat membru privind protecția datelor, autoritatea de supraveghere poate exercita pe teritoriul său toate competențele atribuite de sistemul juridic național al acesteia”, în cuprinsul său se ridică îndoieli importante cu privire la extinderea competențelor autorităților de supraveghere în acest domeniu ( 40 ). Astfel, ca urmare a reflecțiilor ulterioare ale Grupului de lucru instituit în temeiul articolului 29, la cererea Comisiei, acesta și‑a exprimat poziția cu privire la problema disocierii dintre dreptul aplicabil și jurisdicție în raportul său cu privire la implementarea practică a articolului 28 alineatul (6) ( 41 ). În situația concretă a disocierii, grupul de lucru concluzionează că autoritatea trebuie să aplice dispozițiile procedurale și administrative din propriul sistem juridic, în timp ce aspectele [de drept] material privind protecția datelor revin statului membru a cărui legislație este aplicabilă ( 42 ).

63. Considerațiile anterioare fac parte dintr‑un context juridic particular, în care instrumentul de intervenție al dreptului Uniunii este reprezentat de o directivă, ceea ce a permis o libertate de acțiune considerabilă în favoarea legislațiilor statelor membre strict în ceea ce privește reglementarea și posibilitățile de sancționare ale autorităților de supraveghere ( 43 ). Astfel, în lipsa unui temei legal clar și a garanțiilor prin care se asigură strânsa cooperare în ceea ce privește interpretarea încălcărilor și echivalența sancțiunilor ( 44 ), ar fi dificil de conciliat cu cerințele care derivă din principiile suveranității teritoriale și legalității faptul că disocierea dintre autoritatea competentă și dreptul aplicabil ar conduce fie la aplicarea de sancțiuni în conformitate cu dreptul statului în care are sediul autoritatea națională de supraveghere – care pot să nu fie prevăzute în ordinea juridică a statului a cărui legislație se aplică prelucrării de date –, fie la aplicarea de către o autoritate națională a legislației de sancționare a altui stat membru.

64. În sfârșit, aplicarea prin analogie a Hotărârii Curții pronunțate în cauza UPC DTH ( 45 ), solicitată de guvernul maghiar și de Autoritatea maghiară de supraveghere pentru a justifica competența acesteia din urmă în ceea ce privește aplicarea de sancțiuni în prezenta cauză, nu conduce la o concluzie diferită. În hotărârea menționată, referitoare la interpretarea anumitor instrumente specifice cadrului de reglementare al comunicațiilor electronice ( 46 ), Curtea a statuat că „procedurile de supraveghere referitoare la servicii de comunicații electronice […] sunt de competența autorităților statului membru în care locuiesc destinatarii respectivelor servicii” ( 47 ).

65. Drept răspuns la această susținere, este suficient să arătăm că, independent de faptul că interpretarea respectivă se referă la o situație privind libera prestare a serviciilor și se limitează la un cadru juridic ale cărui obiective și structură sunt extrem de diferite de cel din prezenta cauză, cel mai relevant este că aceste considerații au fost formulate într‑o situație în care nu era în discuție dreptul aplicabil ( 48 ).

66. Pentru toate aceste motive, având în vedere stadiul actual al dreptului Uniunii, considerăm ca la cea de a șaptea întrebare preliminară adresată de Kúria trebuie să se răspundă după cum urmează: În cazul în care instanța națională stabilește că dreptul său național nu este aplicabil în conformitate cu criteriul prevăzut la articolul 4 alineatul (1) litera (a) din Directiva 95/46, articolul 28 alineatul (6) din această directivă trebuie interpretat în sensul că aplicarea de sancțiuni pentru încălcări privind prelucrarea datelor revine în sarcina autorității de supraveghere din statul membru al cărui drept este aplicabil, indiferent care este autoritatea națională de supraveghere care poate exercita totalitatea competențelor menționate la articolul 28 alineatul (3) pe teritoriul său și în conformitate cu modalitățile prevăzute de dreptul său național.

C – Cu privire la noțiunea „prelucrare ” de date (a opta întrebare preliminară)

67. Prin intermediul celei de a opta întrebări preliminare, instanța de trimitere solicită Curții să răspundă la următoarea întrebare: „Noțiunea «adatfeldolgozás» [procesare de date], utilizată atât la articolul 4 alineatul (1) litera (a), cât și la articolul 28 alineatul (6) din [versiunea în limba maghiară] a Directivei privind protecția datelor, poate fi considerată identică cu noțiunea «adatkezelés» [prelucrare de date], folosită în terminologia directivei?”

68. În toate observațiile prezentate în fața Curții se concluzionează că diferența terminologică indicată în decizia de trimitere este lipsită de orice efecte.

69. Directiva 95/46 utilizează în mod sistematic în cuprinsul dispozițiilor sale doar termenul „[adat]feldolgozás” pentru a face referire la noțiunea de prelucrare de date, astfel cum este definită la articolul 2 litera (b) din directivă. Doar în Legea Info poate fi observată disocierea dintre noțiunile „adatkezelés” și „adatfeldolgozás” ( 49 ), aceasta din urmă fiind definită drept „executarea de sarcini tehnice referitoare la operațiunile de prelucrare a datelor […]” ( 50 ).

70. Or, definiția noțiunii „[adat]feldolgozás”, prevăzută la articolul 2 litera (b) din directivă și utilizată atât în articolul 4 alineatul (1) litera (a), cât și în articolul 28 alineatul (6) este foarte amplă și include orice operațiune care se efectuează asupra datelor cu caracter personal, prin mijloace automate sau neautomate. Astfel, această noțiune amplă de prelucrare ar include noțiunea mai limitată a exercitării de sarcini tehnice cu privire la operațiunile de prelucrare a datelor.

71. În consecință, propunem Curții să răspundă la a opta întrebare preliminară după cum urmează: Noțiunea „adatfeldolgozás” utilizată la articolul 4 alineatul (1) litera (a) și la articolul 28 alineatul (6) din versiunea în maghiară a Directivei 95/46 trebuie interpretată în sensul că include atât prelucrarea de date în sens larg, cât și executarea de sarcini tehnice cu privire la operațiunile de prelucrare a datelor.

V – Concluzie

72. Având în vedere considerațiile anterioare, propunem Curții să răspundă la întrebările preliminare adresate după cum urmează: „1) Articolul 4 alineatul (1) litera (a) din Directiva 95/46 împiedică Autoritatea maghiară pentru protecția datelor să aplice legea maghiară unui operator de date stabilit exclusiv pe teritoriul altui stat membru. În acest sens, noțiunea de sediu trebuie interpretată drept existența unei forme de instalare stabile, indiferent de forma juridică a acesteia, prin intermediul căreia se desfășoară în mod efectiv și real o activitate. Un singur agent poate fi considerat o formă de instalare stabilă dacă prezintă suficientă stabilitate prin raportare la resursele umane și la mijloacele tehnice necesare pentru prestarea serviciilor concrete în cauză. Alte elemente precum locul în care au fost prelucrate datele, cetățenia persoanelor afectate, domiciliul proprietarilor întreprinderii responsabile cu prelucrarea datelor sau faptul că serviciul prestat de întreprinderea respectivă se adresează teritoriului altui stat membru nu au relevanță directă și determinantă pentru stabilirea legii aplicabile, chiar dacă pot constitui indicii cu privire la caracterul real și efectiv al activității – în scopul determinării locului de stabilire – și în special pentru a stabili dacă prelucrarea datelor a avut loc în cadrul operațiunilor respectivului sediu. 2) În cazul în care instanța națională stabilește că dreptul său național nu este aplicabil în conformitate cu criteriul prevăzut la articolul 4 alineatul (1) litera (a) din Directiva 95/46, articolul 28 alineatul (6) din această directivă trebuie interpretat în sensul că aplicarea de sancțiuni pentru încălcări privind prelucrarea datelor revine în sarcina autorității de supraveghere din statul membru al cărui drept este aplicabil, indiferent care este autoritatea națională de supraveghere care poate exercita totalitatea competențelor menționate la articolul 28 alineatul (3) pe teritoriul său și în conformitate cu modalitățile prevăzute de dreptul său național. 3) Noțiunea «adatfeldolgozás» utilizată la articolul 4 alineatul (1) litera (a) și la articolul 28 alineatul (6) din versiunea în maghiară a Directivei 95/46 trebuie interpretată în sensul că include atât prelucrarea de date în sens larg, cât și executarea de sarcini tehnice cu privire la operațiunile de prelucrare a datelor.”

( 1 ) Limba originală: spaniola.

( 2 ) Directiva Parlamentului European și a Consiliului din 24 octombrie 1995 (JO L 281, p. 31, Ediție specială, 13/vol. 17, p. 10).

( 3 ) C‑131/12, EU:C:2014:317.

( 4 ) A se vedea în special Rigaux, F. „La loi applicable à la protection des individus à l’égard du traitement automatisé des données à caractère personnel”, în Revue critique de droit international privé, 1980, p. 443-478.

( 5 ) Bygrave, L., „Determining applicable law pursuant to European Data Protection Legislation”, în Computer Law and Security Report, nr. 16, 2000, p. 252.

( 6 ) Există o mică eroare în versiunea spaniolă a acestei dispoziții, întrucât verbul este la singular. Acest aspect pare a fi confirmat de celelalte versiuni lingvistice „each Member State shall apply the national provisions it adopts pursuant to this Directive […]”, „chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive” etc.

( 7 ) C‑131/12, EU:C:2014:317.

( 8 ) C‑131/12, EU:C:2014:317, punctele 48-50.

( 9 ) A se vedea Hotărârea Factortame și alții, C‑221/89, EU:C:1991:320, punctul 20, și Hotărârea Comisia/Regatul Unit, C‑246/89, EU:C:1991:375, punctul 21.

( 10 ) Hotărârea Cadbury Schweppes și Cadbury Schweppes Overseas, C‑196/04, EU:C:2006:544, punctul 54.

( 11 ) Avizul cu privire la dreptul aplicabil, emis la 16 decembrie 2010, 0836-02/10/ES, WP 179.

( 12 ) Astfel, respectivul aviz face referire la Hotărârea Berkholz, C‑168/84, EU:C:1985:299, punctul 18, și la Hotărârea Lease Plan, C‑390/96, EU:C:1998:206, care vizează interpretarea articolului 9 alineatul (1) din A șasea directivă 77/388/CEE a Consiliului din 17 mai 1977 privind armonizarea legislațiilor statelor membre referitoare la impozitele pe cifra de afaceri – sistemul comun al taxei pe valoarea adăugată: baza unitară de evaluare (JO L 145, p. 1).

( 13 ) Hotărârea Welmory, C‑605/12, EU:C:2014:2298, punctul 58, cu privire la interpretarea articolului 44 din Directiva 2006/112/CE a Consiliului din 28 noiembrie 2006 privind sistemul comun al taxei pe valoarea adăugată (JO L 347, p. 1, Ediție specială, 09/vol. 3, p. 7), în versiunea modificată prin Directiva 2008/8/CE a Consiliului din 12 februarie 2008 (JO L 44, p. 11). A se vedea de asemenea Hotărârea Planzer Luxembourg, C‑73/06, EU:C:2007:397, punctul 54 și jurisprudența citată.

( 14 ) Convenția privind legea aplicabilă obligațiilor contractuale, deschisă spre semnare la Roma la 19 iunie 1980 (JO L 266, p. 1, textul consolidat în JO 2007, L 347, p. 3).

( 15 ) Convenția de la Bruxelles din 27 septembrie 1968 privind competența judiciară și executarea hotărârilor în materie civilă și comercială (JO L 299, p. 32, textul consolidat în JO 1998, C 27, p. 1).

( 16 ) Arătând că „noțiunea de sucursală, de agenție sau de altă unitate implică un centru al operațiunilor care se manifestă în mod permanent către exterior ca o extensie a entității‑mamă, dotat cu o conducere și echipat din punct de vedere material pentru a putea negocia afaceri cu terții […]” (Hotărârea Somafer, C‑33/78, EU:C:1978:205, punctul 12, și Hotărârea Blanckaert & Willems, C‑139/80, EU:C:1981:70, punctul 11) și insistând că „[…] termenul «sediu» privește orice structură stabilă a unei întreprinderi. În consecință, nu numai filialele și sucursalele, ci și alte unități precum birourile unei întreprinderi ar putea constitui sedii în sensul articolului 6 alineatul (2) litera (b) din Convenția de la Roma, chiar dacă nu sunt dotate cu personalitate juridică” (Hotărârea Voogsgeerd, C‑384/10, EU:C:2011:842, punctul 54).

( 17 ) Avizul 8/2010, p. 14.

( 18 ) C‑131/12, EU:C:2013:424, punctul 65.

( 19 ) Directiva 2000/31/CE a Parlamentului European și a Consiliului din 8 iunie 2000 privind apropierea legislațiilor statelor membre referitoare la etichetarea și prezentarea produselor alimentare, precum și la publicitatea acestora (JO L 178, p. 1, Ediție specială, 15/vol. 6, p. 9).

( 20 ) A se vedea Documentul de lucru privind aplicarea internațională a legislației comunitare cu privire la protecția datelor în domeniul prelucrării datelor personale pe internet prin intermediul unor site‑uri web stabilite în afara UE, WP 56, 5035/01/ES/Final, 30 mai 2002, p. 8.

( 21 ) Observațiile prezentate în fața Curții diferă în ceea ce privește luarea în considerare a acestor factori. În timp ce Autoritatea maghiară pentru protecția datelor apreciază că aceste elemente sunt relevante, Regatul Unit susține că niciunul dintre factorii enumerați nu este relevant, întrucât articolul 4 alineatul (1) din directivă nu face referire la niciunul dintre aceștia. Comisia Europeană se pronunță în sens similar. În opinia guvernului maghiar, sunt relevante doar faptul că serviciile se adresează teritoriului unui stat membru și locul în care datele au fost colectate în sistemul informatic. Guvernul slovac consideră că nici locul din care se comunică datele, nici cetățenia persoanelor afectate, nici reședința proprietarilor întreprinderii nu sunt relevante pentru stabilirea dreptului național aplicabil.

( 22 ) În acest sens se pronunță și Grupul de lucru instituit în temeiul articolului 29, arătând că „cetățenia sau locul obișnuit de reședință al persoanelor vizate, precum și locația fizică a datelor cu caracter personal nu au un caracter determinant [pentru stabilirea dreptului aplicabil]” (Avizul 8/2010, p. 10). A se vedea de asemenea punctele 55-58 din Concluziile avocatului general Jääskinen prezentate în cauza Google Spain și Google, C‑131/12, EU:C:2013:424.

( 23 ) C‑131/12, EU:C:2014:317, punctele 48-50.

( 24 ) Ibidem, punctul 52.

( 25 ) Ibidem, punctul 53.

( 26 ) A se vedea de asemenea în această privință Avizul 8/2010 al Grupului de lucru instituit în temeiul articolului 29.

( 27 ) Avizul 1/2008 privind aspecte de protecție a datelor legate de motoarele de căutare, emis la 4 aprilie 2008, WP 148, 00737/ES.

( 28 ) Propunere de regulament al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date, COM(2012) 11 final.

( 29 ) În rest, doctrina este divizată în această privință. Unii autori consideră articolul 4 din directivă drept normă relevantă, de asemenea, pentru stabilirea jurisdicției (de exemplu, Bing, J., „Data Protection, Jurisdiction and the Choice of Law”, în Privacy Law & Policy Reporter, 1999), în timp ce alții susțin contrariul. A se vedea, de exemplu, Swire, P. P., „Of Elephants, Mice and Privacy: International Choice of Law and the Internet”, în The International Lawyer, 1998, p. 991). Cu privire la această dezbatere, a se vedea de asemenea Kuner, C., „Data Protection Law and International Jurisdiction on the Internet (Part 1)”, în International Journal of Law and Information Technology, nr. 18, 2010, p. 176.

( 30 ) În considerentul (21) al directivei se arată expres că aceasta „nu aduce atingere normelor de teritorialitate aplicabile în materie penală”. În opinia noastră, aceeași constatare poate fi aplicată și în ceea ce privește sancțiunile administrative.

( 31 ) Al cărei element central poate fi definit în sensul că toate autoritățile publice, la toate nivelurile, „must exercise the powers conferred on them reasonably, in good faith, for the purpose for which the powers were conferred and without exceeding the limits of such powers”, Lord Bingham, „The Rule of Law”, în The Cambridge Law Journal, nr. 66, 2007, p. 78.

( 32 ) Conform doctrinei, „ca urmare a caracterului predominant administrativ sau juridic‑public al regimului de supraveghere, există o strânsă legătură între legea aplicabilă și autoritatea competentă pentru sancționarea eventualelor încălcări”, Miguel Asensio, P. A., Derecho Privado de Internet, a 4‑a ediție, Madrid, 2011, p. 333. Doctrina s‑a exprimat în același sens cu privire la competențele autorităților de supraveghere în domeniul concurenței, arătând că, în materie de acțiuni publice, aplicabilitatea normei determină competența autorității care trebuie să o aplice. A se vedea de exemplu Basedow, J. „Antitrust or Competition Law, International”, în Wolfrum, R. (ed.), Max Planck Encyclopedia of Public International Law, 2009.

( 33 ) A se vedea în acest sens Rigaux: „On ne conçoit guère que les autorités administratives, les commissions de contrôle […] les organes de surveillance soumettent les fichiers du secteur privé à d’autres normes de conduite et qu’ils obéissent eux‑mêmes à d’autres règles de fonctionnement qu’à celles qui sont contenues dans la lex fori”, op. cit., p. 469.

( 34 ) C. Ohler, „Die Kollisionsordnung des allgemeinen Verwaltungsrechts”, Mohr Siebeck, 2005, p. 109 și 314.

( 35 ) Sublinierea noastră.

( 36 ) Sublinierea noastră. Cu privire la această dezbatere, a se vedea Damman U. și Simitis S., „EG‑Datenschutzrichtlinie”, în Nomos Verlagsgesellschaft, Baden‑Baden, 1997, p. 306.

( 37 ) (ETS 108), la care au aderat toate statele membre. Conform considerentului (11) al directivei, aceasta clarifică și extinde protecția oferită de respectiva convenție.

( 38 ) Cu privire la acest aspect, Damman U. și Simitis S., op. cit., p. 313.

( 39 ) Avizul 8/2010 cu privire la dreptul aplicabil, p. 29.

( 40 ) Astfel, pe de o parte, Avizul 8/2010 al Grupului de lucru instituit în temeiul articolului 29, potrivit căruia conținutul cooperării dintre autoritățile de supraveghere nu acoperă numai schimbul de informații, ci, de asemenea, „soluționarea plângerilor transfrontaliere, colectarea de probe pentru alte autorități de protecție a datelor sau aplicarea de sancțiuni” (p. 31). Totuși, în acest aviz, se ridică îndoieli cu privire la domeniul de aplicare al competențelor care trebuie exercitate de fiecare autoritate pentru protecția datelor: „în special, în ce măsură poate exercita autoritatea pentru protecția datelor corespunzătoare locului de stabilire competențele sale cu privire la aplicarea principiilor materiale și la sancțiuni? Exercitarea competențelor acestora ar trebui să se limiteze la verificare situației de fapt? Poate adopta măsuri provizorii de executare sau chiar măsuri definitive? Poate interpreta dispozițiile dreptului aplicabil sau aceasta este prerogativa autorității pentru protecția datelor din statul membru a cărui lege este aplicabilă? […]” (p. 30).

( 41 ) Advice paper on the practical implementation of the Article 28(6) of the Directive 95/46/EC, Ref. Ares (2011)444105, din 20 aprilie 2011.

( 42 ) Ibidem, p. 31. În acest sens, este foarte ilustrativ exemplul nr. 10 indicat în aviz, conform căruia, în ipoteza în care dreptul german se aplică unei prelucrări de date efectuate în Regatul Unit, „autoritatea de supraveghere din Regatul Unit trebuie să aibă competența să efectueze inspecții în cadrul incintelor din Regatul Unit și să formuleze constatările care trebuie comunicate autorității germane de supraveghere. Autoritatea germană de supraveghere ar trebui să aibă posibilitatea să aplice o sancțiune operatorului de date stabilit în Germania, în temeiul concluziilor stabilite de autoritatea de supraveghere din Regatul Unit”.

( 43 ) Considerentul (9) al directivei confirmă acest aspect. A se vedea în acest sens documentul întocmit de Agenția pentru Drepturi Fundamentale a Uniunii Europene, Data Protection in the European Union: the role of National Data Protection Authorities, 2010, în care sunt indicate diversele competențe ale autorităților de supraveghere din statele membre.

( 44 ) În acest sens, sunt evidente relevanța și caracterul inovator ale dreptului Uniunii în materia protecției datelor în spațiul administrativ european. Anticipând, putem afirma că propunerea privind viitorul Regulament general privind protecția datelor presupune o reformă profundă în acest domeniu, în special în ceea ce privește punerea în aplicare a unui sistem amplu și elaborat de cooperare, relaționare și repartizare a responsabilităților între diversele autorități de supraveghere.

( 45 ) C‑475/12, EU:C:2014:285.

( 46 ) În special, Directiva 2002/20/CE a Parlamentului European și a Consiliului din 7 martie 2002 privind autorizarea rețelelor și serviciilor de comunicații electronice (JO L 108, p. 21, Ediție specială, 13/vol. 35, p. 183), în versiunea modificată prin Directiva 2009/140/CE a Parlamentului European și a Consiliului din 25 noiembrie 2009 (Directiva privind autorizarea) (JO L 337, p. 37) și Directiva 2002/21/CE a Parlamentului European și a Consiliului din 7 martie 2002 privind un cadru de reglementare comun pentru rețelele și serviciile de comunicații electronice (JO L 108, p. 33, Ediție specială, 13/vol. 35, p. 195), în versiunea modificată prin Directiva 2009/140.

( 47 ) Hotărârea UPC DTH, C‑475/12, EU:C:2014:285, punctul 88.

( 48 ) Astfel, sancțiunea aplicată în respectiva cauză se întemeia pe refuzul societății în cauză de a comunica informații Autorității naționale de comunicații. Curtea a statuat că, „în temeiul articolului 11 alineatul (1) litera (b) din Directiva privind autorizarea […] autoritățile naționale pot solicita întreprinderilor informațiile proporționale și justificate în mod obiectiv pentru a le permite să verifice respectarea condițiilor privind protecția consumatorilor în cazul în care acestea primesc o plângere sau efectuează o anchetă din proprie inițiativă”, ibidem, punctul 85.

( 49 ) În directivă apare doar un termen derivat din noțiunea „adatkezelés”, care se referă la operatorul de date.

( 50 ) Articolul 3 alineatul 17 din Legea Info. Alineatul 10 al articolului 3 din Legea Info definește noțiunea „adatkezelés” în mod larg, aceasta fiind, în esență, identică cu noțiunea de prelucrare de date, definită la articolul 2 litera (b) din directivă.