Προστασία προσωπικών δεδομένων (Υπόθεση C-210/16)

Προστασία προσωπικών δεδομένων (Υπόθεση C-210/16)

Απόφαση του Δικαστηρίου της ΕΕ (τμήμα μείζονος συνθέσεως), της 5ης Ιουνίου 2018, στην υπόθεση C-210/16, με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Bundesverwaltungsgericht (Ανώτατο Ομοσπονδιακό Διοικητικό Δικαστήριο, Γερμανία) με απόφαση της 25ης Φεβρουαρίου 2016, η οποία περιήλθε στο Δικαστήριο στις 14 Απριλίου 2016, στο πλαίσιο της δίκης Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein κατά Wirtschaftsakademie Schleswig-Holstein GmbH.

Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών. Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ανεξάρτητης περιφερειακής αρχής προστασίας δεδομένων του Schleswig-Holstein, Γερμανία) (στο εξής: ULD) και της Wirtschaftsakademie Schleswig-Holstein GmbH, εταιρίας ιδιωτικού δικαίου ειδικευμένης στον τομέα της εκπαιδεύσεως (στο εξής: Wirtschaftsakademie), με αντικείμενο τη νομιμότητα διαταγής που εξέδωσε η ULD έναντι της εν λόγω εταιρίας να απενεργοποιήσει τη σελίδα της (fan page, στο εξής: σελίδα) που φιλοξενείται στον ιστότοπο του μέσου κοινωνικής δικτυώσεως Facebook.

Το Δικαστήριο της ΕΕ αποφάνθηκε ότι:

1) Κατ’ ορθή ερμηνεία του άρθρου 2, στοιχείο δʹ, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, η έννοια «υπεύθυνος της επεξεργασίας», όπως ορίζεται με τη διάταξη αυτή, καλύπτει και τον διαχειριστή σελίδας που φιλοξενείται σε μέσο κοινωνικής δικτυώσεως.

2) Τα άρθρα 4 και 28 της οδηγίας 95/46 έχουν την έννοια ότι, όταν μια επιχείρηση εγκατεστημένη εκτός της Ευρωπαϊκής Ένωσης διαθέτει πλείονες εγκαταστάσεις εντός διαφόρων κρατών μελών, η αρχή ελέγχου ενός κράτους μέλους δύναται αρμοδίως να ασκήσει τις εξουσίες που της παρέχει το άρθρο 28, παράγραφος 3, της οδηγίας αυτής, έναντι εγκαταστάσεως της ως άνω επιχειρήσεως ευρισκόμενης στο έδαφος του κράτους μέλους αυτού, μολονότι, δυνάμει της ενδοομιλικής κατανομής δραστηριοτήτων, αφενός, η εγκατάσταση αυτή είναι επιφορτισμένη αποκλειστικώς με την πώληση διαφημιστικού χώρου και με άλλες δραστηριότητες μάρκετινγκ στο έδαφος του εν λόγω κράτους μέλους και, αφετέρου, αποκλειστικώς υπεύθυνη για τη συλλογή και την επεξεργασία δεδομένων προσωπικού χαρακτήρα, σε ολόκληρο το έδαφος της Ευρωπαϊκής Ένωσης, είναι εγκατάσταση ευρισκόμενη σε άλλο κράτος μέλος.

3) Το άρθρο 4, παράγραφος 1, στοιχείο αʹ, και το άρθρο 28, παράγραφοι 3 και 6, της οδηγίας 95/46 έχουν την έννοια ότι, σε περίπτωση που η αρχή ελέγχου κράτους μέλους προτίθεται να ασκήσει έναντι φορέα εγκατεστημένου στο έδαφος του κράτους μέλους αυτού τις εξουσίες παρεμβάσεως που προβλέπονται στο άρθρο 28, παράγραφος 3, της οδηγίας αυτής, λόγω παραβάσεως των κανόνων περί προστασίας των δεδομένων προσωπικού χαρακτήρα από τρίτο υπεύθυνο της επεξεργασίας των δεδομένων αυτών που έχει την έδρα του σε άλλο κράτος μέλος, η εν λόγω αρχή ελέγχου είναι αρμόδια να εκτιμήσει, αυτοτελώς σε σχέση με την αρχή ελέγχου του τελευταίου αυτού κράτους μέλους, τη νομιμότητα της προαναφερθείσας επεξεργασίας δεδομένων και δύναται να ασκήσει τις εξουσίες παρεμβάσεως που διαθέτει έναντι του φορέα που είναι εγκατεστημένος στο έδαφος της δικαιοδοσίας της χωρίς προηγουμένως να καλέσει την αρχή ελέγχου του άλλου κράτους μέλους να παρέμβει.

Δεδομένα προσωπικού χαρακτήρα – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων αυτών – Διαταγή για την απενεργοποίηση σελίδας στο Facebook (fan page) μέσω της οποίας είναι δυνατή η συλλογή και η επεξεργασία ορισμένων δεδομένων που αφορούν τους επισκέπτες της σελίδας αυτής