1. 

Поставените от Kúria (Върховен съд на Унгария) преюдициални въпроси са в основата на съдебен спор между Magyar Adatvédelmi és Információszabadság Hatóság (унгарския орган за защита на данните и свободата на информацията, наричан по-нататък „унгарският орган за защита на данните“) и регистрирано в Словакия предприятие, която управлява уебсайт за посредничество при сделки с недвижими имоти, на който се публикуват обяви за недвижими имоти, находящи се в Унгария.

2. 

Така настоящото дело отново предлага на Съда възможността да се произнесе относно приложимото към обработката на лични данни право съгласно член 4, параграф 1, буква а) от Директива 95/46/ЕО за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни ( 2 ), определянето на което вече е било обект на тълкуване с решение Google Spain и Google ( 3 ). Наред с това в настоящото производство се поставят нови въпроси както относно определянето на компетентния надзорен орган, така и по отношение на приложимото национално право и правомощията на този орган, по-конкретно — относно правомощието на същия да налага санкции.

3.

Директива 95/46 установява различни критерии за определяне на приложимото национално право по отношение на обработването на лични данни. В съображение 18 от същата се посочва, че „[…] с оглед да се гарантира, че лицата няма да бъдат лишени от защитата, която им се полага по силата на настоящата директива, всяко обработване на лични данни в Общността се извършва в съответствие със законодателството на една от държавите членки; [че] в тази връзка, […] обработването, извършено под ръководството на администратор, установен в дадена държава членка, се урежда от законодателството на тази държава“.

4.

От друга страна, в съображение 19 от Директива 95/46 се подчертава, че „[…] установяването на територията на държава членка предполага ефективно и действително упражняване на дейност [посредством постоянен обект]; […] че правната форма на подобно установяване, независимо дали става дума за обикновен клон или дъщерно дружество с правосубектност, не е решаващ фактор в това отношение […]“. В същото това съображение се посочва, че „когато на територията на няколко държави членки е установен един-единствен администратор, по-конкретно чрез дъщерни дружества, той трябва да гарантира, за да избегне всякакво заобикаляне на националните правила, че всеки от [неговите обекти] изпълнява задълженията, наложени му от националното законодателство по отношение на неговата дейност“.

5.

Член 4, параграф 1, буква а) от Директива 95/46, относим към настоящото производство, установява правилата за приложимото право относно обработването на данни и предвижда следното:

„1.   Всяка държава членка прилага националните разпоредби, които приема в съответствие с настоящата директива, по отношение на обработването на лични данни, когато:

[…]“.

6.

Член 28, параграфи 1, 3, 4 и 6, отнасящ се до компетентните надзорни органи за защита на данни, гласи:

„1.   Всяка държава членка предвижда, че на нейната територия един или повече държавни органи отговарят за контрола на прилагането на разпоредбите, приети от държавите членки, съгласно настоящата директива.

Тези органи се ползват с пълна независимост при упражняване на функциите, които са им възложени.

[…]

3.   В частност, на всеки орган са предоставени:

Решенията на надзорния орган, [които причиняват вреди], могат да бъдат обжалвани по съдебен ред.

4.   Всеки надзорен орган разглежда [искания], подадени от което и да е лице, от [сдружение], представляващо това лице, отнасящи се до защита на неговите права и свободи при обработването на лични данни. Лицето се уведомява за хода на [искането].

Всеки надзорен орган, в частност, разглежда [искания] за проверка на законосъобразността на обработването на данни, подадени от което и да е лице, когато се прилагат националните разпоредби, приети съгласно член 13 на настоящата директива. Във всички случаи лицето се уведомява за извършената проверка.

[…]

6.   Независимо от националното право, приложимо към въпросната обработка, всеки надзорен орган може да упражнява на територията на своята държава членка правомощията, предоставени в съответствие с параграф 3. От всеки орган може да бъде поискано да упражни своите правомощия от страна на орган от друга държава членка.

Надзорните органи си сътрудничат, доколкото е необходимо за изпълнението на техните функции, в частност, чрез обмен на полезна информация.

[…]“.

7.

Закон CXII от 2011 г. за правото на самоопределение в областта на информацията и свободата на информацията (2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011) (наричан по-нататък „Законът за информацията“) е национален нормативен акт, с който се транспонира Директива 95/46.

8.

Член 2 от Закона за информацията предвижда следното:

„(1)   Приложното поле на този закон обхваща всяко обработване на данни и технически действия по обработване на данни на територията на Унгария във връзка с данни за физически лица и с данни от публичен интерес или данни, достъпни поради наличието на общ интерес.

(2)   Този закон се прилага както за автоматизираното обработване на данни и автоматизираните технически действия по обработване на данни, така и за ръчното обработване на данни и ръчно извършваните технически действия по обработване на данни.

(3)   Разпоредбите на настоящия закон трябва да се прилагат, когато администратор, обработващ лични данни извън територията на Европейския съюз, възлага на подизпълнител, който има седалище, клон или обект, установен на територията на Унгария или още местоживеене или местопребиваване на тази територия, да извършва технически действия по обработване на данни, или използва средства, намиращи се на тази територия, освен ако тези средства са използвани само за целите на преминаване през територията на Европейския съюз. Администраторът трябва да посочи представител, установен на територията на Унгария“.

9.

Член 3 от Закона за информацията от своя страна предвижда, че по смисъла на този закон:

„(9)   „Администратор“ („adatkezelő“) е физическо или юридическо лице или образувание без правосубектност, което само или съвместно с други определя целите и средствата на обработване на данни, взема решения относно обработването на данни (включително използваните средства) и ги изпълнява лично или възлага изпълнението им на подизпълнител („adatfeldolgozó“);

(10)   „Обработване на данни“ („adatkezelés“) е всяка операция или съвкупност от операции, независимо от използваните средства, прилагани към личните данни, като събиране, запис, организиране, съхранение, промяна, използване, консултиране, употреба, предаване, публикуване, комбиниране или свързване, блокиране, изтриване или унищожаване, както и забраняване на друго използване на данните, фотографиране или аудиовизуално записване, записване на физически характеристики, които служат за идентифициране на лицата (например дактилоскопични отпечатъци или отпечатъци от длан, ДНК проби или заснемане на ириса);

(11)   „Предаване на данни“ е предоставянето на данни на разположение на трето лице;

[…]

(17)   „Технически действия по обработване на данни“ („adatfeldolgozás“) са действията по изпълнение на технически задачи, свързани с операциите по обработване на данни, независимо от използваните за тази цел методи и средства, както и мястото на извършване, при положение, че техническите задачи се отнасят до данните;

(18)   „Оператор на техническо обработване на данни („adatfeldolgozó“) е физическото или юридическото лице или образувание без правосубектност, което въз основа на договор, включително сключен в изпълнение на нормативно изискване, извършва технически действия по обработване на данни;

[…]“.

10.

Настоящото преюдициално запитване е отправено по повод касационна жалба, подадена пред Kúria срещу решение на Fővárosi Közigazgatási és Munkaügyi Bíróság (Столичен административен и трудов съд), постановено в административно съдебно производство в областта на защитата на личните данни по спор между дружеството Weltimmo s.r.o. (наричано по-нататък „Weltimmo“) и унгарския орган за защита на данните.

11.

Weltimmo е дружество със седалище в Словакия, което управлява уебсайт за посредничество при сделки с недвижими имоти. Дейността му се състои в управление на посочения уебсайт, на който се публикуват обяви за недвижими имоти, находящи се в Унгария. За първия месец на публикуването им тези обяви са безплатни за подалите ги лица, след което услугата става платена. Поради нежелание да ползват платената услуга след изтичане на гратисния период много от подалите обяви лица изпращат искания по електронна поща техните обяви и лични данни да бъдат заличени. Weltimmo обаче не взема предвид тези искания и фактурира предоставяните от него услуги. Тъй като не получава плащания по издадените фактури, Weltimmo предава личните данни на подалите обяви лица на дружества за събиране на вземания.

12.

По повод оплакванията на подавалите обяви лица унгарският орган за защита на данните приема, че е компетентен, че приложимо е националното законодателство (съгласно член 3, параграф 10 от Закона за информацията събирането на данни съставлява обработване на данни) и налага санкция в размер на десет милиона унгарски форинта (HUF). Weltimmo обжалва това решение пред Fővárosi Közigazgatási és Munkaügyi Bíróság, който, без да извършва преценка относно компетентността на органа за защита на данните или приложимото право, отменя административното решение, тъй като някои факти не са били изяснени в достатъчна степен.

13.

В касационната си жалба Weltimmo иска, наред с другото, да бъде постановено, че не е необходимо допълнително изясняване на фактите, тъй като съгласно член 4, параграф 1, буква а) от Директива 95/46 унгарският орган за защита на данните не е компетентен да образува производство и да прилага унгарското право спрямо доставчик на услуги, който е установен на територията на друга държава членка, като посочва, че съгласно член 28, параграф 6 от Директива 95/46 този орган е трябвало да поиска от компетентния в тази област словашки орган да предприеме действия срещу касатора.

14.

В подкрепа на своята компетентност и приложимостта на националния закон унгарският орган за защита на данните посочва в главното производство, че Weltimmo има „лице за контакт в Унгария“ — един от собствениците на това дружеството — който е унгарски гражданин и е представлявал същото както в административното, така и в съдебното производство. Посочва също така че собствениците на Weltimmo са лица, пребиваващи в Унгария. Във всеки случай същият орган счита, че разпоредбата на член 28, параграф 6 от Директива 95/46 му предоставя правомощия, независимо от приложимото право.

15.

При така описаната фактическа обстановка и приемайки, че относимите разпоредби от Директива 95/46 не са достатъчно ясни, с определение от 22 април 2014 г., постъпило в Съда на 12 май 2014 г., Kúriа отправя следните преюдициални въпроси:

16.

Писмени становища представят унгарското правителство, правителството на Словакия, правителството на Обединеното кралство, унгарският орган за защита на данните и Европейската комисия. На проведеното на 12 май 2015 г. съдебно заседание се явяват представителите на унгарското правителство, правителството на Словакия, полското правителство, унгарския орган за защита на данните и на Европейската комисия.

17.

Отправените от Kúria различни въпроси са свързани с два проблема, които, както се посочва и в представените в производството пред Съда писмени и устни становища, макар да са представени като взаимосвързани, трябва да бъдат разгледани поотделно; по-конкретно това са проблемът, свързан с приложимото право относно защитата на данни, и този относно определянето на компетентния надзорен орган. По тази причина ще структурирам становището си изключително в две части. На първо място, ще разгледам въпроса за приложимото право относно обработването на данни и в крайна сметка — въпросът относно „установяването“, засегнат във всеки един от първите шест въпроса. На следващо място, ще обсъдя въпроса за определянето на компетентния надзорен орган и неговите правомощия, като ще анализирам и проблема относно евентуалното несъответствие между компетентния надзорен орган и приложимото право (седми въпрос). Накрая ще разгледам терминологичния проблем, повдигнат с осмия преюдициален въпрос.

18.

С първите шест въпроса, които трябва да бъдат разгледани заедно, Kúria по същество иска да се установи дали член 4, параграф 1, буква а) и член 28, параграф 1 от Директива 95/46 могат да се тълкуват в смисъл, че при обстоятелства като тези по главното производство допускат прилагането на унгарския закон за защита на данните, както и че унгарският орган за защита на данните е компетентен да приложи този закон по отношение на лице, управляващо уебсайт, което е установено изключително в друга държава членка. В тази връзка Kúria поставя въпроса и за относимостта на редица специфични фактори като обстоятелството, че предоставяните от съответното предприятие услуги са насочени към територията на друга държава членка, мястото, от което данните за недвижимите имоти са качени, гражданството на засегнатите лица или фактът, че собствениците на предприятието имат местоживеене в Унгария.

19.

В първите два въпроса Kúria се позовава както на член 28, параграф 1, така и на член 4, параграф 1, буква а) от Директивата. Считам, че за да се отговори на поставените въпроси е напълно допустимо анализът на обхвата на първата от посочените разпоредби да бъде пропуснат. На практика член 28, параграф 1 се ограничава до това да установи, че „всяка държава членка предвижда, че на нейната територия един или повече държавни органи отговарят за контрола на прилагането на разпоредбите, приети от държавите членки, съгласно настоящата директива“. Считам, че тази разпоредба не е определяща за целите на установяване на приложимия закон. На първо място и от систематична гледна точка, член 28 е включен в глава VI на Директивата, с която се регламентират надзорните органи и работната група за защита на лицата при обработването на лични данни, а не въпросите относно приложимото право. На следващо място, самият текст на член 28, параграф 1 от Директивата не предлага никакъв допълнителен критерий за определяне на приложимото право относно обработването на данни. С други думи, тази разпоредба не съдържа никакъв елемент, тълкуването на който да доведе до различен отговор на въпроса относно определянето на приложимото право, произтичащ от установените в член 4 от Директивата критерии, която разпоредба регламентира именно въпроса относно приложимото право.

20.

Съсредоточавайки се върху член 4, параграф 1, буква а) от Директивата, като начало следва да се посочи, че както представените в хода на съдебното заседание становища, така и тези, представени в писмената фаза на производството, съвпадат по относимостта на посочената разпоредба за даване на отговор на въпросите, свързани с приложимото право, както и по отношение на особеното значение на определянето на мястото на установяване на Weltimmo.

21.

Проблемът относно приложимия закон при трансгранични случаи на обработване на данни е въпрос, който в международен аспект се обсъжда от десетилетия ( 4 ). Член 4 от Директивата, чиято цел е определянето на приложимото национално право, е първата разпоредба, с която се установява правило за определяне на приложимото в това отношение право ( 5 ). Посочената разпоредба установява няколко критерия за определяне на приложимостта на съответното национално право, с което Директивата е транспонирана, като по този начин косвено (чрез посочване на приложимостта на националните разпоредби) определя териториалния обхват на самата директива.

22.

Ето защо член 4, параграф 1, буква а) от Директива 95/46 е от особена важност в случаите, когато трябва да се реши въпросът относно приложимото право между държавите — членки на Съюза, текстът на който предвижда, че „всяка държава членка прилага националните разпоредби, които приема[ ( 6 ) ] в съответствие с настоящата директива, по отношение на обработването на лични данни, когато: а) обработването се извършва в контекста на дейностите на [установен] на територията на държавата членка [обект на администратора]“.

23.

По този начин член 4, параграф 1, буква а) играе двойна роля. От една страна, разпоредбата дава възможност правото на Съюза да бъде приложено посредством правото на някоя от държавите членки, когато обработването на данни се извършва „в контекста“ на дейностите на установен на тяхна територия обект, и то въпреки че „самото“ обработване на данни се извършва в трета държава (какъвто е случаят по делото Google Spain и Google ( 7 )). От друга страна, същата действа като правило, което определя приложимото между държавите членки право (какъвто е разглежданият случай). Във втората хипотеза член 4, параграф 1, буква а) от Директивата съставлява разпоредба, която определя приложимото право в качеството си на стълкновителна норма между законодателствата на различните държави членки.

24.

В тази връзка следва да се посочи, че запитващата юрисдикция формулира въпросите си по отношение на лице, управляващо уебсайт за обяви за недвижими имоти, което е установено изключително в друга държава членка — твърдение, което се оспорва от унгарския надзорен орган. Според Обединеното кралство е очевидно, че за приложимо трябва да бъде прието правото на държавата членка по мястото на установяване — която в случая е Словакия — поради което унгарският орган е лишен от възможността да прилага разпоредбите на своето национално право. Пак в тази връзка Комисията подчертава, че въпреки възможността да се признае приложимостта на унгарското право, ако бъде прието, че жалбоподателят е установен и на територията на Унгария, съгласно посоченото от Kúria в случая предприятието е установено изключително в друга държава членка.

25.

В това отношение, извън включената в текста на преюдициалните въпроси преценка на фактическата обстановка относно действителното място на установяване, отправените от Kúria от трети до шести въпроси навеждат на извода за известна несигурност от страна на запитващата юрисдикция по отношение на понятието за установяване по смисъла на Директивата като понятие, което не е чисто формално. Поради тази причина считам, че полезният отговор на първите шест въпроса изисква да се определят критериите, с които да се установи дали е налице обработване на данни, извършено „в контекста на дейностите на обект на администратора“, установен на унгарска територия по смисъла на член 4, параграф 1, буква а) от Директивата.

26.

Ето защо, за да се определи дали в настоящия случай е приложимото унгарското или словашкото право, следвайки възприетия в решението Google Spain и Google подход ( 8 ), преценката трябва да се извърши на два етапа. Първо, трябва да бъде изяснено дали Weltimmo е имало обект, установен на унгарска територия и второ — дали обработването на данни е извършено в контекста на дейностите на този обект. Въпреки това трябва да се посочи, че съгласно обстоятелствата по настоящото дело и за разлика от тези, които са в основата на делото Google Spain и Google, в случая няма спор дали обработването на данните е извършено в „контекста на дейностите на клона“. Определящият въпрос се състои именно в съществуването на обект, установен в Унгария и/или в Словакия. Предвид това анализът ми ще бъде съсредоточен основно върху този първи етап на преценката.

27.

По този въпрос унгарското правителство посочва в писменото си становище, че разликите в езиковите версии на разглежданата разпоредба са в подкрепа на тълкуване на понятието за установяване, по отношение на което обикновено препращане към предприятието по смисъла на дружественото право не би било достатъчно. Словашкото правителство, което също възприема едно неформално определение на понятието за установяване, посочва, че в конкретната хипотеза е подходящо да се обсъди практиката на Съда относно свободата на установяване. Унгарският орган за защита на данните също подкрепя становището за определение на понятието за установяване, при което юридическата форма не е определяща, и посочва, че в случая установяването може да се постига посредством представителя на Weltimmo в Унгария — г‑н Benkö. Това лице в действителност е представлявало посоченото дружество в административното производство и в първоинстанционното съдебно производството, осъществявало е контакт с подалите жалби засегнати лица и е вписано в словашкия дружествен регистър с адрес в Унгария. Освен това същият орган посочва в хода на съдебното заседание, че за целите на управление на текущите си дейности Weltimmo разполага с пощенска кутия в Унгария, както и че след направено неформално запитване словашкият орган за защита на данните е потвърдил липсата на реална дейност на дружеството в Словакия. Единствено полското правителство поддържа в хода на съдебното заседание, че като единствен обективен и доказуем елемент трябва да бъде взета предвид регистрацията на дружеството в държава членка.

28.

С оглед на изложеното е наложително да се разгледа съображение 19 от Директива 95/46, което е основният тълкувателен елемент за определяне на съдържанието на понятието за установяване по смисъла на същата. Всъщност в това съображение се изхожда от едно гъвкаво схващане на понятието, различно от формалистичния подход, съгласно който дадено дружество се счита за установено само на мястото, на което е регистрирано. Така, на първо място, посоченото съображение съдържа един критерий за ефективност и един елемент за трайност, предвиждайки, че „установяването на територията на държава членка предполага ефективно и действително упражняване на дейност [посредством постоянен обект] […]“. На второ място, същото предлага известна гъвкавост, като определя, че „правната форма на подобно установяване, независимо дали става дума за обикновен клон или дъщерно дружество с правосубектност, не е решаващ фактор в това отношение“.

29.

Това схващане на понятието за установяване съответства на даденото в практиката на Съда тълкуване на същото в други области на правото на Съюза. По-специално съгласно установената практика, съгласно която „понятието за установяване по смисъла на разпоредбите на Договора относно свободата на установяване предполага действителното упражняване на икономическа дейност посредством постоянен обект в посочената държава за неопределен срок“ ( 9 ), което „предполага действително установяване на съответното дружество в приемащата държава членка и действително упражняване от негова страна на икономическа дейност там“ ( 10 ).

30.

От друга страна, Становище 8/2010 относно приложимото право на работната група за защита на данните по член 29 (наричана по-нататък „работната група по член 29“) ( 11 ) се отнася до тълкуването на понятието за установяване като критерий за привързване за данъчни цели в сферата на ДДС ( 12 ). Практиката на Съда в тази област е изключително интересна — тъй като понятието за установяване играе ролята на критерий за привръзка за определяне на данъчната отговорност по дадено национално данъчно законодателство — и задълбочена по отношение на понятието за постоянен обект, който „се характеризира с достатъчно равнище на постоянство и има подходяща структура от гледна точка на човешките и техническите ресурси, за да може да получава и ползва услугите, доставени за собствените нужди на този обект“ ( 13 ). Освен това по отношение на понятието за установяване, залегнало както в обхвата на Римската конвенция ( 14 ), така и в Брюкселската конвенция ( 15 ), съдебната практика също застъпва един неформалистичен подход ( 16 ).

31.

Независимо от различията в контекста и приложното поле, в които се вписва практиката на Съда в посочените области и тази в разглеждания случай, при всички положения от значение е обстоятелството, че в правото на Съюза в различни области схващането на понятието за установяване се основава на действително упражняване на икономическата дейност и известна стабилност, което съвпада с насоките, съдържащи се в съображение 19 от Директива 95/46.

32.

От друга страна, отчитайки специфичния предмет на Директива 95/46, така както същият е очертан в член 1, параграф 1 от същата — да се „защитават основните права и свободи на физическите лица и в частност правото им на личен живот при обработването на лични данни“ — считам, че на тълкуване трябва да бъдат подложени както степента на стабилност на обекта, така и действителното упражняване на дейността, отчитайки специфичната природа на икономическата дейност и предоставяните в конкретния случай услуги.

33.

Както посочват унгарският орган за защита на данните и словашкото правителство и съобразно критериите, предоставени от работната група по член 29 ( 17 ), един представител би бил достатъчен, за да се приеме, че е налице постоянен обект, стига представителят да упражнява дейността в достатъчна степен трайно, при наличието на необходимите за предоставянето на конкретните услуги средства в съответната държава членка.

34.

Всъщност, както посочва генералният адвокат Jääskinen в заключението си по дело Google Spain и Google, при преценка на условията по член 4 от Директивата трябва да се вземе предвид бизнес моделът на въпросния стопански субект ( 18 ). Ето защо в случая е необходимо да се отчетат особеностите на предприятията, които работят изключително чрез интернет, чийто модел на дейност придава относително значение на понятието за постоянен обект, обвързвайки го със степента на наличност както на човешките, така и на материалните ресурси. На практика при определени условия един представител с трайно присъствие, оборудван само с преносим компютър, може да представлява структура, която е достатъчна за осъществяването на ефективна, действителна и в необходимата степен стабилна дейност. С оглед на тези съображения при преценката на посочените човешки и материални ресурси трябва внимателно да се отчитат характерните особености на предприятията, които предоставят услуги чрез интернет, предвид спецификите на всеки конкретен случай.

35.

Всъщност особеностите на търговските дейности, осъществявани чрез интернет, вече са вземани предвид при определяне на съдържанието на понятието за установяване в други актове на правото на Съюза. По-конкретно в съображение 19 от Директивата за електронната търговия ( 19 ) се посочва, че „[…] мястото на установяване на дружеството, предоставящо услуги чрез страница в Интернет не е мястото, където се намира технологията за поддръжка на страницата му или мястото откъдето страницата е достъпна, а мястото, където се извършва търговската дейност“. Работната група по член 29 е приела това определение за относимо за целите на тълкуването на член 4 от Директива 95/46 ( 20 ).

36.

Придържайки се към тези съображения и без да се поставя под въпрос обстоятелството, че Weltimmo е дружество, което формално е регистрирано в Словакия, може да се направи изводът, че не е изключено да е налице ефективно и действително упражняване на дейност от негова страна на територията на друга държава — в случая, Унгария — чрез постоянен обект, който може да се състои само от един представител. Това би означавало, че Weltimmo има обект, установен в Унгария по смисъла на член 4, параграф 1, буква а) от Директива 95/46.

37.

Различните допълнителни елементи, посочени в преюдициалните въпроси на Kúria — мястото на качване на данните, държавата членка, за която услугите са предназначени, гражданството на засегнатите лица или мястото на пребиваване на собствениците на дружеството — в случая нямат пряко и определящо значение за установяване на приложимото право ( 21 ). Всъщност тези допълнителни елементи не са посочени в Директивата като приложими критерии, които да допускат разграничаване от правилото, установено с член 4, параграф 1, буква а) ( 22 ).

38.

Въпреки това за целите на определяне на мястото на установяване някои от тези елементи биха могли при определени обстоятелства да бъдат признак за действителния и ефективен характер на дейността и по-конкретно при преценката дали обработването на данните е извършвано в контекста на дейността на обект на администратора.

39.

Така например, конкретно по отношение на втория от елементите — че обработването на данните за извършва в контекста на дейностите на обекта, установен на територията на държава членка — той трябва да се съобрази тълкуването, дадено в решение Google Spain и Google ( 23 ). Съгласно това тълкуване член 4, параграф 1, буква а) от Директива 95/46 „изисква не въпросното обработване на лични данни да се извършва „от“ самия съответен обект, а единствено то да се извършва „в контекста на дейностите“ му“ ( 24 ). Освен това — продължава Съдът — предвид целта на Директивата „последният израз не може да бъде тълкуван ограничително“ ( 25 ).

40.

Прилагането на този втори критерий е от съществено значение, в случай че запитващата юрисдикция приеме, че съгласно изложените критерии Weltimmo е установено на територията двете въпросни държави членки. При това положение, както словашкото правителство и Комисията посочват в писмените си становища, е необходимо да се прецени контекстът на дейностите, в който е извършено обработването, и по-конкретно — до каква степен същият е свързан с конкретно място на установяване ( 26 ). В това отношение работната група по член 29 посочва и други определящи елементи, свързани със системите за търсене, които могат да бъдат от полза, за да се установи дали обработването е извършено в контекста на дейностите на обекта: обстоятелството, че същият отговаря за връзките с потребителите, че участва в продажбата на реклама, насочена към жителите на тази държава или че отговаря пред съответните компетентни органи за защита на данните на потребителите ( 27 ).

41.

Тоест, за да се прецени дали в разглеждания случай унгарското право е приложимо спрямо дейността на Weltimmo в Унгария, трябва да бъде установено дали Weltimmo разполага с обект, установен в тази държава членка, в контекста на дейността на който да е извършено спорното обработване на данни. За тази цел трябва да се установи дали посоченият в акта за преюдициалното запитване представител разполага с постоянен обект, независимо от правната му форма, чрез който ефективно и действително извършва дейност, в контекста на която е осъществено спорното обработване на данни.

42.

В заключение, считам, че съвместният отговор на първите шест въпроса, поставени от Kúria, трябва да бъде в смисъл, че член 4, параграф 1, буква а) от Директива 95/46 не допуска възможност унгарският орган за защита на данните да приложи унгарското право спрямо администратор на данни, който е установен изключително в друга държава членка. За тази цел понятието за установяване трябва да се тълкува като наличие на постоянен обект, независимо от неговата правноорганизационна форма, чрез който дадена дейност се извършва ефективно и действително. Един представител може да се счита за постоянен обект, ако от наличието на човешки и материални ресурси, необходими за предоставяне на съответните услуги, е видно, че този обект има достатъчна степен на стабилност.

Други елементи, като мястото, от което данните са качени, гражданството на засегнатите лица, местоживеенето на собствениците на предприятието — администратор на данни, или обстоятелството, че предоставяната от този администратор услуга е предназначена за територията на друга държава членка, нямат пряко и определящо значение за установяване на приложимото право, независимо че същите могат да бъдат признак за действителния и ефективен характер на дейността за целите на определяне на мястото на установяване на обекта и особено при преценката дали обработването на данните е извършено в контекста на дейностите на този обект.

43.

Отправеният от Kúria до Съда седми преюдициален въпрос е следният: „ако от отговора на предходните въпроси следва, че унгарският орган за защита на данните може да предприеме действия, но че трябва да прилага не националното право, а правото на държавата членка по място на установяване, трябва ли член 28, параграф 6 от Директива 95/46 да се тълкува в смисъл, че съгласно правото на държавата членка по място на установяване унгарският орган за защита на данните може да упражни само правомощията, предвидени в член 28, параграф 3 от Директива 95/46, и че поради това не може да наложи глоба?“.

44.

Както е видно, този преюдициален въпрос би имал значение само ако запитващата юрисдикция прецени, че съгласно изложените по-горе критерии Weltimmo не разполага с обект, установен в Унгария, а е установено изключително в Словакия. Ето защо, за да се даде полезен отговор на този въпрос, трябва предварително да се обсъди възможността — тъй като това не следва изрично от отговора на предходните въпроси — надзорен орган на държава членка да може да упражнява правомощията си, включително в случаите, когато съгласно правилата на член 4, параграф 1, буква а) от Директивата приложимо е правото на друга държава членка. Евентуален положителен отговор на този въпрос би довел до необходимостта от последващо определяне на обхвата и съдържанието на правомощията на този орган.

45.

Следователно предварително се поставя въпросът дали член 4 представлява не само разпоредба, определяща приложимото право, но и правило за подсъдност, както и въпросът какво е значението на направените в член 28 уточнения относно компетентността на публичните органи. Всичко това в контекста на една значима реформа в правото на Съюза в сферата на защитата на данни ( 28 ).

46.

В представените пред Съда становища са застъпени различни тълкувания на член 28, параграфи 1, 3 и 6 от Директивата. Така унгарският орган за защита на данните защитава своето правомощие да наложи парична санкция дори в случаите, когато приложимо е правото на друга държава членка. Подобно е и становището на унгарското правителство, според което е очевидно, че статутът на надзорните органи и редът за упражняване на техните правомощия, предвидени в член 28 от Директивата, се регламентират от националното право на държавата, към която принадлежат тези органи, поради което налагането на санкции следва да се осъществява съобразно тяхното национално право.

47.

От своя страна Комисията счита, че надзорните органи на държава членка имат право да упражняват правомощията си по член 28, параграф 3 от Директивата, но съобразно член 28, параграфи 1 и 6 — само на територията на своята държава членка. И обратно — ако дадено правомощие може да бъде упражнено само на територията на друга държава членка, надзорният орган не би имал друг избор, освен да поиска административно сътрудничество от надзорния орган на тази държава членка. Така че надзорният орган на първата държава членка не би могъл да наложи санкция на администратор на данни, установен изключително в друга държава членка. Пак в този смисъл, според словашкото правителство, ако е приложимо словашкото право, по силата на член 28, параграфи 1 и 6 унгарският орган за защита на данните ще разполага с правомощията да извърши разследване и да разгледа подадените до него жалби съобразно собствените си процедурни правила, но ще трябва да отправи искане за сътрудничество до органа на държавата членка, чието право е приложимо, тъй като именно този надзорен орган следва да се произнесе относно евентуалното налагане на санкция. Полското правителство подчертава, че възможността материалното право на дадена държава членка да бъде прилагано от органите на друга държава членка не е предвидено в Директивата, като допълва, че ако законодателят е имал намерението да предвиди една толкова амбициозна възможност, в същата директива е щяло да се съдържат подробни разпоредби, определящи приложното ѝ поле. Накрая, правителството на Обединеното кралство счита, че тъй като е приложимо словашкото право, унгарският орган за защита на данните не разполага с правомощия.

48.

С оглед на изложеното впечатление прави разделението на позициите в представените становища, като само Обединеното кралство и Полша изглежда приемат за абсолютно необходимо съответствието между приложимото право и юрисдикцията на надзорния орган, така че определянето на приложимото право съобразно член 4, параграф 1, буква б) от Директивата би определило и компетентния надзорен орган ( 29 ).

49.

Както ще посоча по-нататък, според мен разглежданият сложен проблем трябва да се разреши чрез опит да се постигне баланс между конкретните цели на Директивата и принципите, от които се ръководи дейността на административните органи, упражняващи надзор.

50.

Повдигнатият с този преюдициален въпрос проблем поставя един друг въпрос от съществена важност — дали може да се приеме, че Директивата смекчава или дори отменя действието на правилото, съгласно което административните органи на държава членка по принцип действат съобразно със собственото си национално право и го прилагат. В действителност, що се отнася до правомощията на публичните органи и тъй като става въпрос за упражняване на правомощия съгласно публичното право, по-конкретно на ius puniendi, изглежда задължително да се изхожда от изискванията, произтичащи от териториалния суверенитет на държавата ( 30 ), от принципа на законност и в крайна сметка — от понятието за правова държава ( 31 ), които налагат необходимостта да е налице съвпадение между юрисдикцията на надзорния орган и приложимото право ( 32 ). В този смисъл упражняването на санкционните правомощия — което именно ни интересува в настоящия случай — по принцип не може да излиза извън законовите рамки, в които даден административен орган има право да действа съобразно националното си право ( 33 ). Отклонението от това правило изисква най-малкото специфично правно основание, което да допусне и регламентира приложното поле на публичното право на друга държава членка и освен това точно и ясно да позволява правните субекти да могат да предвидят с кое право следва да е съобразено тяхното поведение, както и съответните му последици ( 34 ).

51.

Във връзка с изложеното по-горе считам, че член 28, параграф 6, изречение първо, чийто текст предвижда, че „независимо от националното право, приложимо към въпросната обработка, всеки надзорен орган може да упражнява на територията на своята държава членка правомощията, предоставени в съответствие с параграф 3“, не съставлява разпоредба, която да води до толкова съществени последици ( 35 ). На практика тази разпоредба не установява никакво правило относно приложно поле, обхват или гаранции, които да позволяват прилагането от страна на административните органи на дадена държава членка на разпоредбите — по-конкретно, санкционни — на друга държава членка.

52.

Не считам, че член 28, параграф 1 от Директивата представлява достатъчно правно основание в подкрепа на това твърдение, включително поради твърдяното от унгарското правителство и унгарския орган за защита на данните обстоятелство, че в текста на разпоредбата, който гласи, че „всяка държава членка предвижда, че на нейната територия един или повече държавни органи отговарят за контрола на прилагането на разпоредбите, приети от държавите членки, съгласно настоящата директива“, е използвано множествено число ( 36 ).

53.

Независимо от изложеното посочените разпоредби допускат възможността да се стигне до известно несъответствие между компетентния орган и приложимото право. Във всеки случай същите допускат възможността надзорният орган на дадена държава членка да контролира упражняваните на нейната територия дейности, включително когато приложимо е правото на друга държава членка.

54.

Достигайки до тук, считам, че е възможно да бъде дадено тълкуване на член 28, параграфи 1, 3 и 6, което да бъде в съответствие с основните принципи, ръководещи упражняването на санкционните правомощия на административните органи. Това може да бъде осъществено посредством съпоставката на първото изречение на член 28, параграф 6 с второто изречение на същата разпоредба, което предвижда, че от органа, упражняващ правомощията на територията на своята държава членка, „може да бъде поискано да упражни своите правомощия от страна на орган от друга държава членка“, както и с алинея втора на посочената разпоредба, съгласно която „надзорните органи си сътрудничат, доколкото е необходимо за изпълнението на техните функции […]“.

55.

В този смисъл предоставените с член 28, параграф 6 правомощия на контролните органи, включително когато правото на тяхната държава членка не е приложимо, трябва да бъдат обект на едно систематично тълкуване, при което да се вземат предвид както наличието на ясно правило за сътрудничество между административните органи, така и обстоятелството, че даден орган може да бъде сезиран с искане да упражни правомощията си от друг орган. Всъщност преценката на разпоредбата в нейната цялост показва наличието на разделение на задачите между различните надзорни органи в рамките на съвместното сътрудничество и взаимопомощ.

56.

Обстоятелството, че приложимо е правото на дадена държава членка, не лишава надзорните органи на другите държави членки от възможността да предприемат действия, по-конкретно предвид обстоятелството, че в определени случаи, независимо от приложимостта на правото на друга държава членка съобразно критерия по член 4, параграф 1, буква а) от Директивата, може да са налице много други елементи на териториална привръзка като техническите средства или по-специално — засегнатите от обработването на данните лица. Всичко това налага за целите на ефективното приложение на Директивата местният орган да има правото да разследва и предприема някои мерки, включително преди определянето на приложимото право да е станало възможно.

57.

Казано по-точно, даден орган, който е сезиран с подадена до него индивидуална жалба или искане да предприеме определени действия, трябва да може да започне да упражнява правомощията си по разследване на своята територия. Това е несъмнено видно от член 28, параграф 4 от Директивата, който установява задължението за контролните органи да разглеждат исканията, подадени от което и да е лице, отнасящи се до защита на неговите права и свободи при обработването на лични данни. Същевременно този извод е в съответствие и с предвиденото в Конвенция 108 на Съвета на Европа от 1981 г. за защита на лицата при автоматизираната обработка на лични данни ( 37 ), в член 14 от която е предвидено, че ако дадено лице пребивава на територията на друга договаряща страна, същото „получава възможност да отправи молбата си чрез орган, назначен от тази страна“.

58.

Подобен подход вече може да отговори в достатъчна степен на опасението, изложено от унгарското правителство в хода на съдебното заседание, че ако унгарският орган за защита на данните не разполага с правомощия, установените в Директивата средства за защита биха били лишени от ефективност, тъй като заинтересованите лица ще трябва да се обръщат към чуждестранни органи на непознати за тях езици.

59.

В крайна сметка, независимо от приложимото материално право във всеки конкретен случай, надзорните органи разполагат с правомощията за разследване и намеса, предвидени в член 28, параграф 3 от Директивата, но само съгласно предвиденото в националното им законодателство и в рамките на териториалната им компетентност ( 38 ), при спазване на посочените в точка 50 от настоящото заключение принципи.

60.

Очевидно е, че възможността за действие на надзорния орган на дадена държава членка в случаите, когато е приложимо материалното право на друга държава членка, не е неограничена. В тази връзка трябва да се посочи, че продължава да бъде в сила принципът, съгласно който при упражняване на своите правомощия надзорният орган е обвързан от ограниченията, произтичащи от качеството му на субект на публичното право, подчинен на правото на собствената си държава членка, и че същият може да упражнява правомощията си единствено на собствената си територия. По-конкретно, евентуалната преценка за незаконосъобразност и също така евентуалното налагане на санкции за нарушения, свързани с незаконосъобразно обработване на данни, неизбежно трябва да бъдат извършени от органа на държавата членка, чието материално право относно обработването на данни е приложимо съгласно правилото по член 4, параграф 1, буква а) от Директивата.

61.

Ето защо, макар нищо да не пречи санкционното правомощие да се приеме за едно от правомощията по член 28, параграф 3 от Директивата (трето тире на този параграф се отнася до „правомощие[то на надзорния орган] да води съдебни дела, когато са нарушени националните разпоредби“), съгласно предвиденото в член 28, параграф 6 от Директивата задължение за сътрудничество трябва да бъде сезиран органът на държавата членка, чието право относно обработването на данни е приложимо, за да се пристъпи към евентуално установяване на нарушението съгласно приложимото право, както и към евентуалното налагане на санкции, въз основа на данните, които са събрани и съобразно случая прехвърлени от органа на първата държава членка.

62.

Това тълкуване не противоречи на изразеното в различни документи мнение на работната група по член 29. На първо място, видно от нейното Становище 8/2010 относно приложимото право, целта на член 28, параграф 6 е именно „да се преодолее евентуалната разлика между приложимото право и компетентността за извършване на надзор, която може да възникне в областта на защитата на данни във вътрешния пазар“ ( 39 ). Ето защо, макар в това становище изрично да се посочва, че „[…] когато е приложимо правото за защита на данните на друга държава членка, надзорният орган е в позицията изцяло да упражнява на своята територия всички правомощия, предоставени му чрез неговата национална правна система“, наред с това в същото са изразени и сериозни съмнения във връзка с разширяването на правомощията на надзорните органи в това отношение ( 40 ). Всъщност в резултат на последващо обсъждане, по настояване на Комисията, в своя доклад за практическото приложение на член 28, параграф 6 работната група по член 29 уточнява становището си по въпроса, свързан с несъответствието между приложимо право и юрисдикция ( 41 ). Работната група достига до извода, че при фактическо положение на несъответствие съответният орган трябва да приложи процесуалните и административни разпоредби на собствената си правна система, докато компетентна по материалноправните аспекти за защита на данните е държавата членка, чието право е приложимо ( 42 ).

63.

Изложените съображения се вписват в един особен юридически контекст, при който прилаганият акт на правото на Съюза е директива, което е позволило наличието на съществени различия в законодателствата на държавите членки, що се отнася най-вече до регламентацията и възможностите за налагане на санкции от страна на надзорните органи ( 43 ). Така несъответствието между компетентен орган и приложимо право трудно би могло да бъде съобразено с принципите на териториален суверенитет и на законност, ако липсват ясно правно основание и гаранции, които да осигуряват тясното сътрудничество при тълкуването на нарушенията и еквивалентността на санкциите ( 44 ), било при налагането на санкции съгласно правото на държавата на местния надзорен орган — които може и да не са предвидени в правовия ред на държавата, чието право е приложимо по отношение на обработването на данни, било при прилагането от страна на местния орган на санкционните норми на друга държава членка.

64.

Накрая, позоваването на унгарското правителство и унгарският надзорен орган на прилагането по аналогия на решението на Съда UPC DTH ( 45 ), да се обосноват санкционните правомощия на този орган в разглеждания случай, не води до различен извод. В това решение, което се отнася до тълкуването на определени актове от регулаторната рамка на електронните съобщения ( 46 ), Съдът постановява, че „процедурите по наблюдение на електронни съобщителни услуги […] са от правомощията на органите на държавата членка, в която пребивават получателите на посочените услуги“ ( 47 ).

65.

В отговор на посоченото твърдение освен обстоятелството, че това тълкуване се отнася до положение, свързано със свободното предоставяне на услуги, и същото се вписва в правна рамка, чиито цели и структура съществено се различават от обсъжданата в настоящото дело, достатъчно е да се посочи, че цитираното произнасяне на Съда е направено в случай, при който приложимото право изобщо не е било предмет на спор ( 48 ).

66.

С оглед на всичко изложено и при сега действащото право на Съюза считам, че на седмия от поставените от Kúria преюдициални въпроси трябва да се отговори по следния начин:

Ако националната юрисдикция установи, че съгласно правилото по член 4, параграф 1, буква а) от Директива 95/46 нейното национално право не е приложимо, член 28, параграф 6 от посочената директива трябва да се тълкува в смисъл, че налагането на санкции за нарушения, свързани с обработването на данни, е от компетентността на надзорния орган на държавата членка, чието право е приложимо, независимо от обстоятелството, че местният надзорен орган може да упражни на своя територия съвкупността от правомощия, изброени в член 28, параграф 3, по установения в националното му право ред.

67.

С осмия си преюдициален въпрос запитващата юрисдикция пита Съда следното: „Може ли да се приеме, че понятието„adatfeldolgozás“ [технически действия по обработване на данни], използвано в текста [на унгарски език] както на член 4, параграф 1, буква а), така и на член 28, параграф 6 от Директива 95/46, е идентично в терминологията на тази директива на понятието „adatkezelés“ [обработване на данни]?“.

68.

Във всички представени пред Съда становища се стига единодушно до извода, че посоченото в акта за преюдициално запитване терминологично различие е без значение.

69.

В Директива 95/46 систематично се използва само терминът „[adat]feldolgozás“, когато става въпрос за понятието за обработка на данни, както е дефинирано в член 2, буква б) от същата директива. Несъответствието между понятията „adatkezelés“ и „adatfeldolgozás“ ( 49 ) съществува само в Закона за информацията, където последният термин е определен като „действия по изпълнение на технически задачи, свързани с операциите по обработване на данни […]“ ( 50 ).

70.

Определението на понятието „[adat]feldolgozás“, съдържащо се в член 2, буква б) от Директивата, използвано както в член 4, параграф 1, буква а), така и в член 28, параграф 6, е много широко и включва всяка операция, прилагана по отношение на личните данни, независимо дали е извършена чрез автоматизирани процеси. Така това широко понятие за обработване включва и по-тясното понятие, отнасящо се до изпълнението на технически задачи, свързани с операциите по обработване на данни.

71.

Поради това предлагам на Съда да отговори на осмия преюдициален въпрос, както следва:

Понятието „adatfeldolgozás“, използвано в текста на унгарски език на член 4, параграф 1, буква а) и член 28, параграф 6 от Директива 95/46, трябва да бъде тълкувано в смисъл, че включва както обработването на данни в широк смисъл, така и изпълнението на технически задачи, свързани с операциите по обработване на данни.

72.

С оглед на изложените съображения, предлагам на Съда да отговори на поставените от Kúria въпроси, както следва: