EU:n tuomioistuimen tuomio Facebookin fanisivujen ylläpitäjän vastuusta yhdessä Facebookin kanssa sivun kävijöiden tietojen käsittelystä
7.6.2018 | OikeusuutisetEnnakkoratkaisupyyntö – Direktiivi 95/46/EY – Henkilötiedot – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Määräys, joka koskee sellaisen Facebook-sivun (fan page) poistamista käytöstä, joka mahdollistaa kyseisellä sivulla kävijöihin liittyvien tiettyjen tietojen keräämisen ja käsittelyn – 2 artiklan d alakohta – Henkilötietojen käsittelystä vastuussa oleva taho – 4 artikla – Sovellettava kansallinen oikeus – 28 artikla – Kansalliset valvontaviranomaiset – Mainittujen viranomaisten toimintavaltuudet
ylin hallintotuomioistuin, Saksa).
Ennakkoratkaisupyyntö
koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden
tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin
ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) tulkintaa.
Ennakkoratkaisupyyntö on esitetty asiassa, jossa asianosaisina ovat Unabhängiges
Landeszentrum für Datenschutz Schleswig-Holstein (Schleswig-Holsteinin
itsenäinen alueellinen tietosuojaviranomainen, Saksa; jäljempänä ULD) ja
Wirtschaftsakademie Schleswig-Holstein GmbH, joka on koulutusalaan
erikoistunut yksityisoikeudellinen yhtiö (jäljempänä
Wirtschaftsakademie), ja jossa on kyse ULD:n viimeksi mainitulle antaman
sellaisen määräyksen lainmukaisuudesta, jolla Wirtschaftsakademie on
määrätty poistamaan käytöstä fanisivunsa Facebook-nimisen verkkoyhteisön
(jäljempänä Facebook) sivustolta.
Unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:
1) Yksilöiden
suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta
liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston
direktiivin 95/46/EY 2 artiklan d alakohtaa on tulkittava siten, että
mainitussa säännöksessä tarkoitettu käsite ”rekisterinpitäjä” käsittää
verkkoyhteisössä olevan fanisivun hallinnoijan.
2) Direktiivin
95/46 4 ja 28 artiklaa on tulkittava siten, että silloin kun Euroopan
unionin ulkopuolelle sijoittautuneella yrityksellä on useita
toimipaikkoja eri jäsenvaltioissa, jäsenvaltion valvontaviranomainen on
toimivaltainen käyttämään sillä kyseisen direktiivin 28 artiklan
3 kohdan mukaan olevia toimivaltuuksia mainitun yrityksen kyseisen
jäsenvaltion alueella sijaitsevan toimipaikan osalta, vaikka konsernin
sisäisen tehtävänjaon mukaan yhtäältä kyseinen toimipaikka vastaa vain
mainospaikkojen myynnistä ja muusta markkinoinnista kyseisen
jäsenvaltion alueella ja toisaalta yksinomainen vastuu henkilötietojen
keräämisestä ja käsittelystä koko Euroopan unionin alueella on jonkin
toisen jäsenvaltion alueella sijaitsevalla toimipaikalla.
3) Direktiivin
95/46 4 artiklan 1 kohdan a alakohtaa ja 28 artiklan 3 ja 6 kohtaa on
tulkittava siten, että silloin, kun jäsenvaltion valvontaviranomainen
aikoo käyttää kyseisen jäsenvaltion alueelle sijoittautuneen elimen
suhteen kyseisen direktiivin 28 artiklan 3 kohdassa tarkoitettuja
toimintavaltuuksia sen vuoksi, että henkilötietojen käsittelystä
vastuussa oleva sivullinen, jonka kotipaikka on jossakin toisessa
jäsenvaltiossa, on rikkonut henkilötietojen suojaa koskevia sääntöjä,
kyseinen valvontaviranomainen on toimivaltainen arvioimaan viimeksi
mainitun jäsenvaltion valvontaviranomaiseen nähden itsenäisesti
mainittujen tietojen käsittelyn lainmukaisuutta ja voi käyttää
toimintavaltuuksiaan alueelleen sijoittautuneen elimen suhteen
pyytämättä ensin kyseisen toisen jäsenvaltion valvontaviranomaista
toimimaan.