—

Nemzeti Adatvédelmi és Információszabadság Hatóság ved A. Péterfalvi, som befuldmægtiget, bistået af ügyvéd G. Dudás

—

den ungarske regering ved M.Z. Fehér, G. Koós og A. Pálfy, som befuldmægtigede

—

den polske regering ved B. Majczyna, M. Kamejsza og M. Pawlicka, som befuldmægtigede

—

den slovakiske regering ved B. Ricziová, som befuldmægtiget

—

Det Forenede Kongeriges regering ved M. Holt, som befuldmægtiget, bistået af barrister J. Holmes

—

Europa-Kommissionen ved A. Tokár, B. Martenczuk og J. Vondung, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 4, stk. 1, litra a), og artikel 28, stk. 1, 3 og 6, i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem Weltimmo s. r. o. (herefter »Weltimmo«), der er et selskab med hjemsted i Slovakiet, og Nemzeti Adatvédelmi és Információszabadság Hatóság (national myndighed til beskyttelse af oplysninger og informationsfriheden, herefter »den ungarske tilsynsmyndighed«) vedrørende en bøde, der er blevet pålagt af sidstnævnte for overtrædelse af lov nr. CXII fra 2011 az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (lov om informationsmæssig selvbestemmelse og informationsfrihed, herefter »informationsloven«), hvorved direktiv 95/46 er blevet gennemført i ungarsk ret.

3

Følgende fremgår af 3., 18. og 19. betragtning til direktiv 95/46:

[...]

4

Artikel 2 i direktiv 95/46 bestemmer:

»I dette direktiv forstås ved:

[...]

[...]«

5

Artikel 4, stk. 1, litra a), i direktiv 95/46 bestemmer:

»1.   Medlemsstaterne anvender de nationale bestemmelser, de vedtager til gennemførelse af dette direktiv, på behandling af personoplysninger:

6

Følgende fremgår af artikel 28, stk. 1, 3 og 6, i direktiv 95/46:

»1.   Hver medlemsstat drager omsorg for, at der udpeges en eller flere offentlige myndigheder, der har til opgave på dens område at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv.

Disse myndigheder udøver i fuld uafhængighed de funktioner, der tillægges dem.

[...]

3.   Hver tilsynsmyndighed skal bl.a. kunne:

Afgørelser truffet af tilsynsmyndigheden, som går en involveret part imod, kan indbringes for en retsinstans.

[...]

6.   Den enkelte tilsynsmyndighed er, uanset hvilken national lov der måtte gælde for den pågældende behandling, kompetent til på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med stk. 3 i denne artikel. Myndigheden kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat.

Tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle alle nyttige oplysninger.«

7

Informationslovens § 2, stk. 1, bestemmer:

»Denne lovs anvendelsesområde omfatter enhver behandling og bearbejdning af data, som finder sted på Ungarns område, og som vedrører oplysninger om fysiske personer samt oplysninger af almen interesse eller oplysninger, som er tilgængelige af hensyn til den almene interesse.«

8

Informationslovens § 3, stk. 10 og 17, indeholder følgende definitioner:

»(10)   »behandling af oplysninger«: enhver operation eller række af operationer, som oplysningerne gøres til genstand for, uanset hvilken fremgangsmåde der anvendes, herunder navnlig indsamling, registrering, systematisering, opbevaring, ændring, brug, søgning, videregivelse, offentliggørelse, sammenstilling eller samkøring, blokering, sletning eller tilintetgørelse samt forhindring af anden anvendelse af oplysningerne, opfangning af fotografier, lyde eller billeder eller registrering af fysiske kendetegn, der tjener til identifikation af personer (f.eks. fingeraftryk, håndfladeaftryk, DNA-prøver eller digitalt irisbillede)

[...]

(17)   »bearbejdning af oplysninger« [»adatfeldolgozás«]: udførelse af tekniske opgaver i forbindelse med behandlingen af oplysninger, uanset hvilken metode og hvilket medie der anvendes i forbindelse hermed, og uanset hvor opgaverne udføres, så længe oplysningerne er genstand for de tekniske opgaver.«

9

Weltimmo, der er et selskab med hjemsted i Slovakiet, administrerer en internetside med annoncer for ejendomme beliggende i Ungarn. I den forbindelse behandler det annoncørernes personoplysninger. Annoncerne er gratis i en måned og skal betales efter dens udløb. Et betydeligt antal annoncører har via e-mail anmodet om sletning af deres annoncer efter udløbet af denne måned og ved samme lejlighed anmodet om sletning af deres personlige oplysninger. Weltimmo har imidlertid ikke foretaget en sådan sletning og har udstedt regninger til de berørte for sine tjenester. Som følge af den manglende betaling af de fakturerede beløb har selskabet videregivet de pågældende annoncørers personoplysninger til inkassofirmaer.

10

De nævnte annoncører indgav klager til den ungarske tilsynsmyndighed. Denne erklærede sig kompetent i henhold til informationslovens § 2, stk. 1, idet den fandt, at indsamling af de omhandlede oplysninger havde fundet sted på ungarsk område, og at indsamlingen udgjorde en behandling eller bearbejdning af oplysninger om fysiske personer. Da tilsynsmyndigheden fandt, at Weltimmo havde overtrådt informationsloven, pålagde den det pågældende selskab en bøde på 10 mio. ungarske forint (HUF) (ca. 32000 EUR).

11

Weltimmo anlagde herefter sag ved Fővárosi Közigazgatási és Munkaügyi Bíróság (forvaltnings- og arbejdsretten i Budapest), som var af den opfattelse, at den omstændighed, at selskabet ikke havde hjemsted eller var etableret i Ungarn, ikke udgjorde et gyldigt argument, idet leveringen af oplysningerne vedrørende de pågældende ungarske ejendomme og behandlingen af disse oplysninger havde fundet sted i Ungarn. Denne ret annullerede imidlertid den ungarske tilsynsmyndigheds afgørelse af andre grunde vedrørende en utilstrækkelig afklaring af visse af de faktiske omstændigheder.

12

Weltimmo iværksatte appel ved den forelæggende ret og gjorde gældende, at en yderligere afklaring af de faktiske omstændigheder ikke var nødvendig, idet den ungarske tilsynsmyndighed i det foreliggende tilfælde i henhold til artikel 4, stk. 1, litra a), i direktiv 95/46 ikke var kompetent og ikke kunne anvende ungarsk ret på en tjenesteyder, der var etableret i en anden medlemsstat. Weltimmo gjorde gældende, at denne myndighed i henhold til artikel 28, stk. 6, i direktiv 95/46 burde have anmodet den kompetente slovakiske myndighed på området om at overtage sagen.

13

Den ungarske tilsynsmyndighed gjorde gældende, at Weltimmo i Ungarn har en repræsentant med ungarsk statsborgerskab, nemlig en af selskabets ejere, som repræsenterer selskabet i forbindelse med de administrative og retslige sager i denne medlemsstat. Tilsynsmyndigheden tilføjede, at Weltimmos internetservere sandsynligvis er installeret i Tyskland eller Østrig, men at ejerne af selskabet har bopæl i Ungarn. Endelig anførte tilsynsmyndigheden, at den i henhold til artikel 28, stk. 6, i direktiv 95/46 under alle omstændigheder havde kompetence til at handle, uafhængigt af, hvilken ret der skulle finde anvendelse.

14

Da den ungarske højesteret er i tvivl om fastlæggelsen af, hvilken ret der finder anvendelse, og hvilke beføjelser den ungarske tilsynsmyndighed har i henhold til artikel 4, stk. 1, og artikel 28 i direktiv 95/46, har den besluttet at udsætte sagen og forelægge følgende præjudicielle spørgsmål for Domstolen:

15

For så vidt angår først den faktiske ramme for tvisten i hovedsagen skal nævnes visse supplerende oplysninger, der er blevet fremlagt af den ungarske tilsynsmyndighed i dennes skriftlige indlæg og under retsmødet for Domstolen.

16

Det fremgår af disse oplysninger for det første, at denne myndighed på uformel vis fra den tilsvarende slovakiske myndighed har erfaret, at Weltimmo ikke udøver nogen aktivitet på sit hjemsted i Slovakiet. Desuden har Weltimmo flere gange flyttet dette hjemsted fra en medlemsstat til en anden. For det andet har Weltimmo udviklet to websider med ejendomsannoncer, der udelukkende er udarbejdet på ungarsk. Selskabet har åbnet en bankkonto i Ungarn med henblik på opkrævningen af sine krav og har haft rådighed over en postboks i denne medlemsstat til de løbende forretninger. Posten er blevet afhentet jævnligt og sendt elektronisk til Weltimmo. For det tredje skal annoncørerne selv ikke alene indføre oplysningerne vedrørende deres ejendomme på Weltimmos webside, men også slette disse oplysninger fra websiden, såfremt de ikke ønsker, at oplysningerne fortsat figurerer på websiden efter udløbet af den ovenfor nævnte måned. Weltimmo har anført et problem med it-forvaltningen for at forklare, hvorfor denne sletning ikke havde kunnet udføres. For det fjerde er Weltimmo et selskab, der er sammensat af kun en eller to personer. Dets repræsentant i Ungarn har forsøgt at forhandle med annoncørerne om en ordning for de ubetalte krav.

17

For så vidt dernæst angår ordlyden af de forelagte spørgsmål, og selv om den forelæggende ret anvender udtrykket »udelukkende etableret« i det første og det andet spørgsmål, fremgår det af forelæggelsesafgørelsen og de skriftlige og mundtlige indlæg, der er afgivet af den ungarske tilsynsmyndighed, at selv om Weltimmo er registreret i Slovakiet og dermed er etableret i denne medlemsstat i selskabsretlig forstand, er der dog tvivl om, hvorvidt selskabet er »etableret« kun i denne medlemsstat som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46. Når den forelæggende ret anmoder Domstolen om en fortolkning af denne bestemmelse, ønsker den faktisk oplyst, hvad begrebet »etablering« i denne bestemmelse omfatter.

18

Endelig bemærkes det, at den forelæggende ret i det første og det andet spørgsmål regner med, at den af Weltimmo anvendte server er installeret i Slovakiet, mens retten et andet sted i forelæggelsesafgørelsen nævner muligheden for, at dette selskabs servere befinder sig i Tyskland eller Østrig. På den baggrund synes det hensigtsmæssigt at antage, at spørgsmålet om, i hvilken medlemsstat den eller de servere, der anvendes af det nævnte selskab, er installeret, ikke er afklaret.

19

Med det første til det sjette spørgsmål, der skal besvares samlet, ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 4, stk. 1, litra a), og artikel 28, stk. 1, i direktiv 95/46 skal fortolkes således, at disse bestemmelser under omstændigheder som de i hovedsagen omhandlede tillader en medlemsstats tilsynsmyndighed at anvende den nationale lovgivning om databeskyttelse på en registeransvarlig, hvis selskab er registreret i en anden medlemsstat, og som driver en internetside med ejendomsannoncer vedrørende ejendomme på den første af de to medlemsstaters område. Den forelæggende ret ønsker navnlig oplyst, om det er relevant, at denne medlemsstat er den:

20

For så vidt angår gældende ret har den forelæggende ret nærmere bestemt nævnt slovakisk ret og ungarsk ret, idet den første af disse er retten i den medlemsstat, hvor den, der er ansvarlig for behandlingen af de berørte personoplysninger, er registreret, og den anden er retten i den medlemsstat, som de internetsider, der er omhandlet i hovedsagen, sigter mod, og på hvis område de ejendomme, der er genstand for de offentliggjorte annoncer, befinder sig.

21

I den henseende må det konstateres, at artikel 4 i direktiv 95/46 med overskriften »Gældende national ret«, der indgår i dette direktivs kapitel 1, der har overskriften »Almindelige bestemmelser«, netop regulerer det forelagte spørgsmål.

22

Artikel 28 i direktiv 95/46 med overskriften »Tilsynsmyndighed« finder derimod anvendelse på denne myndigheds rolle og beføjelser. I henhold til artikel 28, stk. 1, har denne myndighed til opgave på dens område at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv. I overensstemmelse med det nævnte direktivs artikel 28, stk. 6, udøver tilsynsmyndigheden de beføjelser, den er blevet tillagt, uanset hvilken national lov der måtte gælde for behandlingen af personoplysningerne.

23

Det er derfor ikke i henhold til artikel 28 i direktiv 95/46, men i henhold til dettes artikel 4, at det skal afgøres, hvilken national ret der finder anvendelse på den pågældende registeransvarlige.

24

I henhold til artikel 4, stk. 1, litra a), i direktiv 95/46 anvender medlemsstaterne de nationale bestemmelser, de vedtager til gennemførelse af dette direktiv, på behandling af personoplysninger, der foretages som led i en virksomheds eller et organs aktiviteter inden for den medlemsstats område, hvor den registeransvarlige er etableret.

25

Henset til, at formålet med direktiv 95/46 er at sikre en effektiv og fuldstændig beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger, kan udtrykket »som led i en virksomheds eller et organs aktiviteter« ikke fortolkes indskrænkende (jf. i denne retning dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 53).

26

Med henblik på at opnå dette formål og for at forhindre, at en person unddrages den beskyttelse, der sikres ved dette direktiv, anføres det i 18. betragtning til det nævnte direktiv, at enhver behandling af personoplysninger inden for Den Europæiske Union skal være i overensstemmelse med lovgivningen i en af medlemsstaterne, og at enhver behandling af oplysninger med henblik herpå bør være underkastet lovgivningen i den medlemsstat, hvor den registeransvarlige, under hvis myndighed behandlingen udføres, er etableret.

27

Unionens lovgiver har således fastsat et særligt bredt territorialt anvendelsesområde for direktiv 95/46, hvilket er indskrevet i dettes artikel 4 (jf. i denne retning dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 54).

28

For så vidt angår for det første begrebet »etablering« bemærkes, at det af 19. betragtning til direktiv 95/46 fremgår, at ved etablering på en medlemsstats område forstås faktisk udøvelse af aktiviteter gennem en mere permanent struktur, og at den pågældende strukturs retlige form, hvad enten det blot er en filial eller et datterselskab med status som juridisk person, ikke har afgørende betydning i denne forbindelse (dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 48). Denne betragtning præciserer endvidere, at når en sådan registeransvarlig er etableret på flere medlemsstaters område, skal denne, navnlig for at undgå omgåelse, sikre sig, at hver enkelt struktur opfylder kravene i den gældende nationale lovgivning.

29

Deraf følger, således som generaladvokaten i det væsentlige har anført i punkt 28 og 32-34 i forslaget til afgørelse, en fleksibel forståelse af begrebet etablering, hvor der lægges afstand til enhver formalistisk tilgang, hvorefter en virksomhed alene vil kunne anses for at være etableret på det sted, hvor den er registreret. Med henblik på at fastslå, om et registeransvarligt selskab er etableret i en anden medlemsstat i den forstand, hvori begrebet anvendes i direktiv 95/46, end den medlemsstat eller det tredjeland, hvor det er registreret, bør der foretages en vurdering af, i hvor høj grad strukturen er permanent, og i hvilken grad der faktisk udøves aktiviteter i denne anden medlemsstat, idet der i den forbindelse skal tages hensyn til den specifikke karakter af de pågældende økonomiske aktiviteter og de pågældende tjenesteydelser. Dette gør sig navnlig gældende for virksomheder, der udelukkende udbyder tjenesteydelser på internettet.

30

I den henseende må det bl.a. – i lyset af det formål, der forfølges ved dette direktiv, om at sikre en effektiv og fuldstændig beskyttelse af retten til privatlivets fred og undgå omgåelse – antages, at tilstedeværelsen af en enkelt repræsentant under visse omstændigheder kan være tilstrækkeligt til at udgøre en permanent struktur, såfremt denne repræsentant optræder med en tilstrækkelig grad af stabilitet og under tilstedeværelse af de midler, der er nødvendige for at kunne levere de pågældende konkrete tjenesteydelser i den pågældende medlemsstat.

31

Det må desuden med henblik på at realisere det nævnte formål antages, at begrebet »etablering« som omhandlet i direktiv 95/46 omfatter enhver, selv minimal, reel og faktisk aktivitet, der udøves via en permanent struktur.

32

I det foreliggende tilfælde består den aktivitet, der udøves af Weltimmo i det mindste i drift af en eller flere internetsider med ejendomsannoncer vedrørende ejendomme i Ungarn, som er udarbejdet på ungarsk, og hvis annoncer skal betales fra udløbet af den første måned. Det må derfor fastslås, at dette selskab udøver en reel og faktisk aktivitet i Ungarn.

33

Endvidere fremgår det bl.a. af de præciseringer, som den ungarske tilsynsmyndighed har fremført, at Weltimmo råder over en repræsentant i Ungarn, der er nævnt i registret over slovakiske selskaber med adresse i Ungarn, og som har forsøgt at forhandle med annoncørerne om en ordning for de ubetalte krav. Denne repræsentant har været et kontaktled mellem dette selskab og klagerne og har repræsenteret selskabet under de administrative og retslige procedurer. Desuden har dette selskab åbnet en bankkonto i Ungarn med henblik på inddrivelsen af disse krav og anvender en postboks på denne medlemsstats område med henblik på administration af de løbende forretninger. På grundlag af disse oplysninger, som det tilkommer den forelæggende ret at undersøge, kan det i en situation som den, der er omhandlet i hovedsagen, fastslås, et der foreligger en »etablering« som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46.

34

Det skal for det andet afklares, om behandlingen af de pågældende personoplysninger er sket »som led i [denne virksomheds] aktiviteter«.

35

Domstolen har allerede fastslået, at artikel 4, stk. 1, litra a), i direktiv 95/46 ikke kræver, at den pågældende behandling af personoplysninger foretages »af« selve den berørte virksomhed, men udelukkende, at behandlingen foretages »som led i [virksomhedens] aktiviteter« (dom Google Spain og Google, C-131/12, EU:C:2014:317, præmis 52).

36

I det foreliggende tilfælde består den i hovedsagen omhandlede behandling navnlig i offentliggørelse på Weltimmos internetsider med ejendomsannoncer af personoplysninger vedrørende ejerne af disse ejendomme og i givet fald i anvendelsen af disse oplysninger til fakturering af annoncerne efter udløbet af den første måned.

37

Det bemærkes i den henseende, at navnlig hvad angår internettet har Domstolen allerede haft lejlighed til at fastslå, at en operation, der består i at lægge personoplysninger ud på en internetside, skal anses for en »behandling« som omhandlet i artikel 2, litra b), i direktiv 95/46 (domme Lindqvist, C-101/01, EU:C:2003:596, præmis 25, og Google Spain og Google, C-131/12, EU:C:2014:317, præmis 26).

38

Der er ingen tvivl om, at en sådan behandling har fundet sted i forbindelse med de i denne doms præmis 32 beskrevne aktiviteter, som Weltimmo har udøvet i Ungarn.

39

Med forbehold for de undersøgelser, der er nævnt i denne doms præmis 33, og som det tilkommer den forelæggende ret at foretage med henblik på i givet fald at fastslå, at den registeransvarlige er etableret i Ungarn, skal det derfor antages, at denne behandling blev foretaget som led i denne virksomheds aktiviteter, og at artikel 4, stk. 1, litra a), i direktiv 95/46 i en situation som den, der er omhandlet i hovedsagen, gør det muligt at anvende ungarsk ret vedrørende beskyttelse af personoplysninger.

40

Den omstændighed, at ejerne af de ejendomme, der er genstand for ejendomsannoncerne, har ungarsk statsborgerskab, har derimod ingen relevans med henblik på at afgøre, hvilken national ret der finder anvendelse på behandlingen af de i hovedsagen omhandlede oplysninger.

41

Under hensyn til de ovenstående bemærkninger skal det første til det sjette spørgsmål besvares som følger:

42

Det syvende spørgsmål forelægges alene for det tilfælde, at den ungarske tilsynsmyndighed skulle være af den opfattelse, at Weltimmo er etableret ikke i Ungarn, men i en anden medlemsstat, i den forstand, hvori udtrykket anvendes i artikel 4, stk. 1, litra a), i direktiv 95/46, og udøver aktiviteter, som led i hvilke der foretages en behandling af de berørte personoplysninger.

43

Med dette spørgsmål spørger den forelæggende ret nærmere bestemt, om artikel 28, stk. 1, 3 og 6, i direktiv 95/46 i et tilfælde, hvor den ungarske tilsynsmyndighed når frem til en konklusion om, at den ret, der finder anvendelse på behandlingen af personoplysninger, ikke er ungarsk ret, men en anden medlemsstats ret, skal fortolkes således, at denne tilsynsmyndighed alene kan udøve de beføjelser, der er fastsat i direktivets artikel 28, stk. 3, i overensstemmelse med denne anden medlemsstats ret, og ikke kan pålægge sanktioner.

44

Hvad angår for det første en tilsynsmyndigheds kompetence til at handle i et sådant tilfælde bemærkes, at enhver person i henhold til artikel 28, stk. 4, i direktiv 95/46 kan indgive en anmodning om beskyttelse af sine rettigheder og frihedsrettigheder til tilsynsmyndigheden i forbindelse med behandling af personoplysninger.

45

Følgelig kan den ungarske tilsynsmyndighed i en situation som den, der er omhandlet i hovedsagen, blive anmodet om beskyttelse af personer som de i hovedsagen omhandlede annoncører af ejendomme, som finder, at de er offer for en ulovlig behandling af deres personlige oplysninger i den medlemsstat, hvor disse ejendomme befinder sig.

46

For det andet skal det undersøges, hvilke beføjelser denne tilsynsmyndighed har i lyset af artikel 28, stk. 1, 3 og 6, i direktiv 95/46.

47

Det følger af dette direktivs artikel 28, stk. 1, at hver af medlemsstaternes tilsynsmyndigheder overvåger overholdelsen på den pågældende medlemsstats område af de bestemmelser, som medlemsstaten har vedtaget i henhold til direktiv 95/46.

48

I henhold til artikel 28, stk. 3, i direktiv 95/46 har disse tilsynsmyndigheder bl.a. beføjelse til at iværksætte undersøgelser, herunder beføjelse til at indsamle alle oplysninger, der er nødvendige for at varetage deres tilsynsopgaver, og gribe effektivt ind ved at beordre oplysninger blokeret, slettet eller tilintetgjort, midlertidigt eller definitivt at forbyde en behandling, udstede en advarsel til den registeransvarlige eller påtale en overtrædelse over for denne.

49

Henset til, at de opregnede beføjelser ikke er udtømmende, til den type af beføjelser til at gribe ind, der er nævnt i denne bestemmelse, og til medlemsstaternes skønsmargen med henblik på gennemførelsen af direktiv 95/46 må det antages, at disse beføjelser til at gribe ind kan omfatte beføjelsen til at sanktionere den registeransvarlige ved i givet fald at pålægge denne en bøde.

50

De beføjelser, der tillægges tilsynsmyndighederne, skal udføres i overensstemmelse med de processuelle regler i den medlemsstat, som beføjelserne vedrører.

51

Det fremgår af artikel 28, stk. 1 og 3, i direktiv 95/46, at hver tilsynsmyndighed udøver alle de beføjelser, som den er blevet tillagt på den medlemsstats område, som den henhører under, med henblik på at sikre overholdelsen på dette område af reglerne vedrørende beskyttelse af personoplysninger.

52

Denne territoriale anvendelse af hver tilsynsmyndigheds beføjelser bekræftes af direktivets artikel 28, stk. 6, der fastsætter, at den enkelte tilsynsmyndighed er kompetent til på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med direktivets artikel 28, stk. 3, og det er, uanset hvilken national lov der måtte gælde. Denne artikel 28, stk. 6, præciserer endvidere, at enhver myndighed kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat, og at tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle alle nyttige oplysninger.

53

Denne bestemmelse er nødvendig for at sikre den frie bevægelighed for personoplysninger i Unionen samtidig med, at det overvåges, at reglerne om beskyttelse af fysiske personers privatliv overholdes som fastsat i direktiv 95/46. Såfremt den nævnte bestemmelse nemlig ikke eksisterede i et tilfælde, hvor den registeransvarlige er underlagt loven i én medlemsstat, men overtræder retten til beskyttelse af fysiske personers privatliv i en anden medlemsstat, herunder ved at rette sin aktivitet mod denne anden medlemsstat uden dog at være etableret dér som omhandlet i direktivet, ville det være vanskeligt eller endog umuligt for disse personer at håndhæve deres ret til denne beskyttelse.

54

Det fremgår således af artikel 28, stk. 6, i direktiv 95/46, at en medlemsstats tilsynsmyndighed, som har modtaget en klage fra fysiske personer over behandlingen af personoplysninger om dem, på grundlag af direktivets artikel 28, stk. 4, kan undersøge denne klage uafhængigt af, hvilken ret der finder anvendelse, og følgelig selv om den ret, der finder anvendelse på behandlingen af de pågældende oplysninger, er en anden medlemsstats.

55

I et sådant tilfælde omfatter denne myndigheds beføjelser imidlertid ikke nødvendigvis alle dem, den er blevet tillagt i henhold til retten i den medlemsstat, som den henhører under.

56

Som generaladvokaten har bemærket i punkt 50 i forslaget til afgørelse, følger det nemlig af de krav, der udspringer af den berørte medlemsstats territoriale suverænitet, af legalitetsprincippet og af begrebet retsstat, at sanktionsbeføjelsen i princippet ikke kan udøves uden for de lovmæssige rammer, inden for hvilke en administrativ myndighed er bemyndiget til at handle i overensstemmelse med retten i den medlemsstat, den henhører under.

57

Når en tilsynsmyndighed har modtaget en klage i overensstemmelse med artikel 28, stk. 4, i direktiv 95/46, kan denne myndighed således udøve sin beføjelse til at iværksætte undersøgelser uafhængigt af, hvilken ret der finder anvendelse, og inden det er afklaret, hvilken national ret der finder anvendelse på den omhandlede behandling. Såfremt tilsynsmyndigheden når til den konklusion, at en anden medlemsstats ret finder anvendelse, kan den imidlertid ikke pålægge sanktioner uden for området for den medlemsstat, som den henhører under. I en sådan situation tilkommer det tilsynsmyndigheden, idet den udøver den forpligtelse til samarbejde, der er fastsat i direktivets artikel 28, stk. 6, at anmode tilsynsmyndigheden i den anden medlemsstat om at fastslå en eventuel overtrædelse af denne ret og pålægge sanktioner, hvis der deri er hjemmel til det, i givet fald med støtte i de oplysninger, som den førstnævnte tilsynsmyndighed har overført til tilsynsmyndigheden i den anden medlemsstat.

58

En tilsynsmyndighed, der har modtaget en sådan klage, kan i forbindelse med et sådant samarbejde foretage andre undersøgelser efter instruktion fra tilsynsmyndigheden i den anden medlemsstat.

59

Det følger heraf, at i en situation som den i hovedsagen omhandlede i et tilfælde, hvor den ret, der finder anvendelse, er en anden medlemsstats ret end Ungarns, kan den ungarske tilsynsmyndighed alene udøve de sanktionsbeføjelser, som ungarsk ret har tildelt den.

60

Det følger af de ovenstående bemærkninger, at det syvende spørgsmål skal besvares med, at i et tilfælde, hvor en medlemsstats tilsynsmyndighed, hvortil der er indbragt klager i henhold til artikel 28, stk. 4, i direktiv 95/46, konkluderer, at den ret, der finder anvendelse på behandlingen af de berørte personoplysninger, ikke er denne medlemsstats ret, men en anden medlemsstats ret, skal dette direktivs artikel 28, stk. 1, 3 og 6, fortolkes således, at denne tilsynsmyndighed alene kan udøve de beføjelser til at gribe effektivt ind, som er tillagt den i overensstemmelse med direktivets artikel 28, stk. 3, på den medlemsstats område, hvorunder den hører. Tilsynsmyndigheden kan derfor ikke på grundlag af denne medlemsstats ret pålægge en registeransvarlig, der behandler disse oplysninger, sanktioner, når denne ikke er etableret på medlemsstatens område, men skal i henhold til samme direktivs artikel 28, stk. 6, anmode tilsynsmyndigheden i den medlemsstat, hvis ret finder anvendelse, om at gribe ind.

61

Med det ottende spørgsmål anmoder den forelæggende ret Domstolen om at oplyse rækkevidden af begrebet »adatfeldolgozás« (bearbejdning af data), der anvendes især i artikel 4, stk. 1, litra a), i direktiv 95/46 om fastsættelsen af, hvilken ret der finder anvendelse, og i dette direktivs artikel 28, stk. 6, om tilsynsmyndighedens kompetence.

62

Det fremgår af direktiv 95/46 i den ungarske sprogversion, at dette systematisk anvender udtrykket »adatfeldolgozás«.

63

Den forelæggende ret har oplyst, at informationsloven navnlig i dennes bestemmelser vedrørende gennemførelsen af bestemmelserne i direktiv 95/46 om tilsynsmyndighedernes kompetence anvender udtrykket »adatkezelés« (behandling af oplysninger). Som det imidlertid fremgår af denne lovs § 3, stk. 10, har dette udtryk en bredere betydning end udtrykket »adatfeldolgozás« og omfatter dette sidstnævnte udtryk, der er defineret i den nævnte lovs § 3, stk. 17.

64

Selv om begrebet »adatfeldolgozás« efter den sædvanlige forståelse, og således som det fremgår af informationsloven, har en smallere betydning end begrebet »adatkezelés«, skal det dog bemærkes, at den ungarske version af direktiv 95/46 definerer udtrykket »adatfeldolgozás« i dettes artikel 2, litra b), bredt, svarende til udtrykket »adatkezelés«.

65

Det følger heraf, at det ottende spørgsmål skal besvares med, at direktiv 95/46 skal fortolkes således, at begrebet »adatfeldolgozás« (bearbejdning af data), der er anvendt i den ungarske version af dette direktiv, nærmere bestemt i dettes artikel 4, stk. 1, litra a), og artikel 28, stk. 6, skal forstås på samme måde som udtrykket »adatkezelés« (behandling af oplysninger).

66

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret: