EUROOPA KOHTU OTSUS (kolmas koda)

1. oktoober 2015 ( * )

„Eelotsusetaotlus — Füüsiliste isikute kaitse isikuandmete töötlemisel — Direktiiv 95/46/EÜ — Artikli 4 lõige 1 ja artikli 28 lõiked 1, 3 ja 6 — Vastutav töötleja, kes on ametlikult asutatud liikmesriigis — Isikuandmete kaitse õiguse kahjustamine, mis puudutab füüsilisi isikuid teises liikmesriigis — Kohaldatava õiguse ja pädeva järelevalveasutuse kindlaksmääramine — Järelevalveasutuse volituste teostamine — Sanktsioonide määramise pädevus”

Kohtuasjas C‑230/14,

mille ese on ELTL artikli 267 alusel Kúria (Ungari) 22. aprilli 2014. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 12. mail 2014, menetluses

Weltimmo s. r. o.

versus

Nemzeti Adatvédelmi és Információszabadság Hatóság,

EUROOPA KOHUS (kolmas koda),

koosseisus: koja president M. Ilešič, kohtunikud A. Ó Caoimh, C. Toader, E. Jarašiūnas ja C. G. Fernlund (ettekandja),

kohtujurist: P. Cruz Villalón,

kohtusekretär: ametnik I. Illéssy,

arvestades kirjalikus menetluses ja 12. märtsi 2015. aasta kohtuistungil esitatut,

arvestades seisukohti, mille esitasid:

—	Nemzeti Adatvédelmi és Információszabadság Hatóság, esindaja: A. Péterfalvi, keda abistas ügyvéd G. Dudás,

—	Ungari valitsus, esindajad: Z. Fehér, G. Koós ning A. Pálfy,

—	Poola valitsus, esindajad: B. Majczyna, M. Kamejsza ja M. Pawlicka,

—	Slovakkia valitsus, esindaja: B. Ricziová,

—	Ühendkuningriigi valitsus, M. Holt, keda abistas barrister J. Holmes,

—	Euroopa Komisjon, esindajad: A. Tokár, B. Martenczuk ning J. Vondung,

olles 25. juuni 2015. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,

on teinud järgmise

otsuse

Eelotsusetaotlus puudutab küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT L 281, lk 31; ELT eriväljaanne 13/15, lk 355) artikli 4 lõike 1 punkti a ja artikli 28 lõikeid 1, 3 ja 6.

Eelotsusetaotlus on esitatud Weltimmo s. r. o. (edaspidi „Weltimmo”), Slovakkias asuva äriühingu, ja Nemzeti Adatvédelmi és Információszabadság Hatóság (Ungari andmekaitse ja teabevahetuse amet; edaspidi „Ungari järelevalveasutus”) vahelises vaidluses, mille ese oli viimase poolt määratud trahv selle eest, et rikuti 2011. aasta seadust CXII teabealase enesemääramisõiguse ja teabevabaduse kohta (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény; edaspidi „info seadus”), millega võeti Ungari õiguskorda üle direktiiv 95/46.

Õiguslik raamistik

Liidu õigus

Direktiivi 95/46 põhjendused 3, 18 ja 19 on järgmised:

„(3)	sellise siseturu rajamine ja toimimine, kus on vastavalt artiklile [ELTL 26] tagatud kaupade, isikute, teenuste ja kapitali vaba liikumine, ei eelda mitte ainult isikuandmete vaba liikumist ühest liikmesriigist teise, vaid ka üksikisikute põhiõiguste kaitset;

[...]

(18)

tagamaks, et üksikisikud ei jää ilma kaitsest, millele neil on käesoleva direktiivi kohaselt õigus, peab igasugune isikuandmete töötlemine ühenduses toimuma ühe liikmesriigi õiguse kohaselt; seoses sellega peaks ühes liikmesriigis registreeritud vastutav töötleja andmeid töötlema vastavalt kõnealuse riigi õigusele;

(19)

registreerimine liikmesriigi territooriumil eeldab tegelikku ja tulemuslikku tegutsemist ning stabiilset asukohta; selles suhtes ei ole määravaks asutatud üksuse õiguslik vorm, tegemist võib olla lihtsalt filiaali või juriidilisest isikust tütarettevõtjaga; kui üks vastutav töötleja on registreeritud mitme liikmesriigi territooriumil, eelkõige tütarettevõtjate kaudu, peab ta tagama, et kõik ettevõtjad täidavad oma tegevuse suhtes kohaldatavast siseriiklikust õigusest tulenevaid kohustusi, et vältida võimalikku siseriiklikest eeskirjadest kõrvalehoidmist”.

Direktiivi 95/46 artikkel 2 sätestab:

„Käesolevas direktiivis kasutatakse järgmisi mõisteid:

[...]

isikuandmete töötlemine [feldolgozása] (edaspidi „töötlemine [feldolgozás]”) – iga isikuandmetega tehtav toiming või toimingute kogum, olenemata sellest, kas see on automatiseeritud või mitte, näiteks andmete kogumine, salvestamine, korrastamine, säilitamine, kohandamine või muutmine, väljavõtete tegemine, päringute teostamine, kasutamine, üleandmine, levitamine või muul moel kättesaadavaks tegemine, ühitamine või ühendamine, blokeerimine, kustutamine või hävitamine;

[...]”.

Direktiivi 95/46 artikli 4 lõike 1 punkt a sätestab:

„1. Iga liikmesriik kohaldab isikuandmete töötlemise suhtes käesoleva direktiivi kohaselt vastuvõetud siseriiklikke õigusnorme, kui:

töötlemine toimub liikmesriigi territooriumil paikneva vastutava töötleja asutuse tegevuse raames; kui sama vastutav töötleja on registreeritud mitme liikmesriigi territooriumil, peab ta võtma vajalikke meetmeid tagamaks, et kõik kõnealused asutused järgivad kohaldatavates siseriiklikes õigusnormides sätestatud kohustusi”.

Direktiivi 95/46 artikli 28 lõiked 1, 3 ja 6 on sõnastatud järgmiselt:

„1. Iga liikmesriik näeb ette ühe või mitu riigiasutust, et teostada järelevalvet tema territooriumil käesoleva direktiivi kohaselt vastuvõetud sätete kohaldamise üle.

Kõnealused asutused tegutsevad neile usaldatud ülesannete täitmisel täiesti sõltumatult.

[...]

3. Igal sellisel asutusel on eelkõige:

—	uurimisvolitused, näiteks volitused tutvuda töödeldavate andmetega ja koguda oma järelevalvekohustuse täitmiseks vajalikku teavet,

—

tõhusad sekkumisvolitused, näiteks avaldada artikli 20 kohaselt arvamust enne töötlemise alustamist ja tagada sellise arvamuse asjakohane avalikustamine, anda korraldus andmete sulgemiseks, kustutamiseks või hävitamiseks, keelata töötlemine ajutiselt või alaliselt, hoiatada vastutavat töötlejat või teha talle märkus või suunata küsimus liikmesriigi parlamenti või teistesse poliitilisse institutsioonidesse,

—	volitused osaleda kohtumenetlustes, kui käesoleva direktiivi kohaselt vastuvõetud siseriiklikke sätteid on rikutud, või juhtida kõnealustele rikkumistele õigusasutuste tähelepanu.

Kui järelevalveasutuse otsustega ei olda rahul, võib need edasi kaevata kohtusse.

[...]

6. Olenemata sellest, milliseid siseriiklikke õigusi kõnealuse töötlemise suhtes kohaldatakse, on iga järelevalveasutus pädev kasutama oma liikmesriigi territooriumil talle lõikega 3 antud volitusi. Teise liikmesriigi asutused võivad igalt järelevalveasutuselt taotleda, et see kasutaks oma volitusi.

Järelevalveasutused teevad üksteisega koostööd, kuivõrd see on vajalik nende ülesannete täitmiseks, eelkõige vahetades kasulikku teavet.”

Ungari õigus

7	Info seaduse § 2 lõige 1 näeb ette: „Käesolevat seadust kohaldatakse igasugusele andmete töötlemisele ja andmetöötlusele Ungari territooriumil, mis puudutab füüsiliste isikute andmeid või avalikku huvi puudutavaid andmeid või avalikust huvist tulenevalt avalikke andmeid.”

Info seaduse § 3 lõiked 10 ja 17 sisaldavad järgmisi määratlusi:

„10. andmete töötlemine: iga isikuandmetega tehtav toiming, eelkõige kogumine, salvestamine, korrastamine, säilitamine, muutmine, kasutamine, päringute teostamine, edastamine, avalikustamine, ristkasutamine, ühendamine, sulgemine, kustutamine või hävitamine, samuti andmete edasise kasutamise takistamine, foto-, heli- või piltsalvestise tegemine ning isiku tuvastamist võimaldavate biomeetriliste andmete (näiteks sõrmejälje‑ ja peopesajäljekujutis, geeniandmed ning silmaiirisekujutis) salvestamine või mitu eelnimetatud toimingut, sõltumata toimingute teostamise viisist;

[...]

17. andmetöötlus [adatfeldolgozás]: andmete töötlemise toimingutega seotud tehniliste ülesannete täitmine, olenemata toimingute teostamise viisist või vahenditest või nende teostamise kohast, tingimusel et tehnilised toimingud tehakse andmetega”.

Põhikohtuasi ja eelotsuse küsimused

Weltimmo on Slovakkias registreeritud äriühing, kes haldab veebilehte, millel ta avaldab Ungaris asuva kinnisvara kuulutusi. Selle käigus tegeleb ta ka reklaamijate isikuandmete töötlemisega. Need kuulutused on reklaamija jaoks esimesel kuul tasuta, pärast mida muutub teenus tasuliseks. Suur hulk reklaamijaid taotles e-posti teel oma vastavate kuulutuste, nagu ka oma isikuandmete kustutamist pärast selle tähtaja möödumist. Weltimmo aga neid ei kustutanud ning hakkas asjaomastele isikutele oma teenuste eest arveid esitama. Kuna neid arveid ei tasutud, edastas Weltimmo reklaamijate isikuandmed inkassofirmadele.

Reklaamijad esitasid kaebuse Ungari järelevalveasutusele. Viimane teatas, et tal on info seaduse § 2 lõike 1 alusel pädevus, kuna ta leidis, et asjaomaste andmete kogumine leidis aset Ungari territooriumil ning et tegemist on füüsilise isiku andmete töötlemisega või andmetöötlusega. Järeldades, et Weltimmo oli rikkunud info seadust, määras see järelevalveasutus nimetatud äriühingule trahvi suuruses kümme miljonit Ungari forintit (HUF) (ligikaudu 32000 eurot).

Weltimmo esitas seepeale kaebuse Fővárosi Közigazgatási és Munkaügyi Bíróság’ile (Budapesti haldus‑ ja töökohus), kes leidis, et selle äriühingu asukoha või asutuse puudumist Ungaris ei saa veenva kaitseargumendina arvesse võtta, kuna asjaomaseid Ungari kinnisasju puudutavate andmete edastamine ja töötlemine toimus Ungaris. Kõnesolev kohus tühistas Ungari järelevalveasutuse otsuse siiski muudel põhjustel, mis puudutasid teatavate asjaolude ebatäpsust.

Weltimmo pöördus kassatsioonkaebusega eelotsusetaotluse esitanud kohtusse, väites, et mingit täiendavat asjaolude selgitamist ei ole vaja, kuna vastavalt direktiivi 95/46 artikli 4 lõike 1 punktile a ei ole Ungari järelevalveasutus käesoleval juhul pädev asja menetlema ja kohaldama teises liikmesriigis asutatud teenuseosutaja suhtes Ungari õigust. Weltimmo märkis, et direktiivi 95/46 artikli 28 lõike 6 kohaselt oleks nimetatud asutus pidanud paluma Slovakkia selles valdkonnas pädevalt asutuselt, et see tegutseks tema asemel.

Ungari järelevalveasutus väitis, et Weltimmol on Ungaris Ungari kodakondsusega esindaja, st üks selle äriühingu omanikest, kes esindas äriühingut nii selles liikmesriigis toimunud haldus‑ kui ka kohtumenetluses. Järelevalveasutus lisas, et Weltimmo veebiserverid asusid tõenäoliselt Saksamaal või Austrias, kuid selle äriühingu omanikud elasid Ungaris. Lõpuks on järelevalveasutus seisukohal, et direktiivi 95/46 artikli 28 lõikest 6 tuleneb, et olenemata kohaldatavast õigusest oli tal igal juhul pädevus asja menetleda.

Olles kahtleval seisukohal selles suhtes, milline on kohaldatav õigus ja milline on Ungari järelevalveasutuse pädevus seoses direktiivi 95/46 artikli 4 lõikega 1 ja artikliga 28, otsustas Kúria menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:

„1.

Kas direktiivi 95/46 artikli 28 lõiget 1 saab tõlgendada nii, et ühe liikmesriigi territooriumil võib kohaldada selle liikmesriigi õigusnorme kinnisvarakuulutuste veebilehte haldava vastutava andmete töötleja suhtes, kelle asukoht on ainult teises liikmesriigis, kuid kes avaldab kuulutusi ka esimese liikmesriigi territooriumil asuva kinnisvara kohta, mille omanikud edastavad oma isikuandmed veebilehe haldaja andmehoidjale ja ‑töötlusvahendile (serverile), mis asub teises liikmesriigis?

Kas direktiivi 95/46 artikli 4 lõike 1 punkti a, koostoimes selle direktiivi põhjendustega 18–20, artikli 1 lõikega 2 ja artikli 28 lõikega 1, saab tõlgendada nii, et Ungari järelevalveasutus ei või sellise kinnisvarakuulutuste veebilehe haldaja suhtes, kelle asukoht on ainult teises liikmesriigis, kohaldada liikmesriigi õigusaktina Ungari andmekaitseseadust isegi siis, kui veebilehe haldaja avaldab kuulutusi Ungaris asuva kinnisvara kohta, mille omanikud suure tõenäosusega edastavad Ungari territooriumilt andmeid veebilehe haldaja teise liikmesriigi territooriumil asuvale andmehoidjale ja -töötlusvahendile (serverile)?

3.	Kas tõlgendamise seisukohast on oluline, et andmetöötluse eest vastutava veebilehe haldaja osutatav teenus on suunatud teise liikmesriigi territooriumile?

4.	Kas tõlgendamise seisukohast on oluline, et teise liikmesriigi territooriumil asuvat kinnisvara puudutavad andmed ja kinnisvara omanike isikuandmed sisestati tegelikult selle teise liikmesriigi territooriumil?

5.	Kas tõlgendamise seisukohast on oluline, et kinnisvaraga seotud isikuandmed on teise liikmesriigi kodanike isikuandmed?

6.	Kas tõlgendamise seisukohast on oluline, et Slovakkias asutatud äriühingu omanikud elasid Ungaris?

Juhul kui eespool esitatud küsimustele antud vastustest tuleneb, et Ungari järelevalveasutus võib asja menetleda, aga ei saa kohaldada oma siseriiklikku õigust, vaid peab kohaldama asukohajärgse liikmesriigi õigust, siis kas direktiivi 95/46 artikli 28 lõiget 6 tuleb tõlgendada nii, et Ungari järelevalveasutus võib kasutada ainult selle direktiivi artikli 28 lõikes 3 antud volitusi asukohajärgse liikmesriigi õiguse kohaselt ja seetõttu ei ole tal õigust trahvi määrata?

8.	Kas mõiste „adatfeldolgozás” [andmetöötlus], mida on kasutatud nii direktiivi 95/46 [ungarikeelse versiooni] artikli 4 lõike 1 punktis a kui ka artikli 28 lõikes 6, vastab selle direktiivi terminoloogias mõistele „adatkezelés” [andmete töötlemine]?”

Eelotsuse küsimuste analüüs

Sissejuhatavad märkused

15	Esmalt tuleb põhikohtuasja faktilise raamistikuga seoses viidata täiendavale teabele, mille Ungari järelevalveasutus esitas oma kirjalikes seisukohtades ja Euroopa Kohtus toimunud kohtuistungil.

Sellest teabest ilmneb esiteks, et Ungari asutus oli Slovakkia vastavalt asutuselt saanud mitteametlikult teada, et oma asukohas Slovakkias ei tegelenud Weltimmo mingi tegevusega. Lisaks oli Weltimmo mitmel korral muutnud oma asukohta ühest liikmesriigist teise. Teiseks oli Weltimmo arendanud kaks kinnisvarakuulutuste veebilehte, mis olid koostatud ainult ungari keeles. Ungaris oli ta avanud pangakonto oma nõuete sissenõudmiseks ja tal oli selles liikmesriigis oma igapäevase äritegevuse jaoks postkontori postkast. Kirjad võeti regulaarselt välja ja edastati Weltimmole e‑postiga. Kolmandaks pidid reklaamijad ise mitte üksnes kandma Weltimmo veebilehele andmeid oma kinnisvara kohta, vaid ka kustutama sellelt lehelt need andmed, mida nad ei soovinud seal enam hoida pärast eespool mainitud ühekuulise tähtaja möödumist. Seda, miks neid andmeid ei olnud saadud kustutada, põhjendas Weltimmo viitega IT‑juhtimise probleemile. Neljandaks oli Weltimmo äriühing, mille moodustasid vaid üks või kaks isikut. Tema esindaja Ungaris oli püüdnud rahuldamata nõuete lahendamist reklaamijatega läbi rääkida.

Järgmiseks, mis puudutab esitatud küsimuste sõnastust, siis kuigi eelotsusetaotluse esitanud kohus kasutab oma esimeses ja teises küsimuses väljendit „asukoht on ainult”, tuleneb eelotsusetaotlusest ning Ungari järelevalveasutuse esitatud kirjalikest ja suulistest seisukohtadest, et kuigi Weltimmo oli registreeritud Slovakkias ja seetõttu on tema asukoht äriühinguõiguse tähenduses selles liikmesriigis, on kaheldav, kas direktiivi 95/46 artikli 4 lõike 1 punkti a tähenduses on ta registreeritud ainult selles liikmesriigis. Paludes Euroopa Kohtul seda sätet tõlgendada, soovib eelotsusetaotluse esitanud kohus tegelikult teada, mida hõlmab selles sättes kasutatud mõiste „asutus”.

Lõpuks tuleb märkida, et esimeses ja teises küsimuses märgib eelotsusetaotluse esitanud kohus, et server, mida Weltimmo kasutas, asus Slovakkias, samas kui ühes teises eelotsusetaotluse lõigus mainib ta võimalust, et selle äriühingu serverid asusid Saksamaal või Austrias. Neil asjaoludel näib olevat asjakohane väita, et puudub selgus küsimuses, millises liikmesriigis selle äriühingu kasutatud üks või mitu serverit asusid.

Esimene kuni kuues küsimus

Oma esimesest kuni kuuenda küsimusega, mida tuleb käsitleda koos, soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas direktiivi 95/46 artikli 4 lõike 1 punkti a ja artikli 28 lõiget 1 tuleb tõlgendada nii, et niisugustel asjaoludel nagu põhikohtuasjas annavad nad liikmesriigi järelevalveasutusele õiguse kohaldada oma siseriiklikke andmekaitsealaseid õigusnorme vastutava andmete töötleja suhtes, kelle äriühing on registreeritud teises liikmesriigis ja kes haldab veebilehte, kus on esimeses liikmesriigis asuva kinnisvara kuulutused. Eelkõige soovib ta teada, kas on asjakohane, kui see liikmesriik oleks see:

—	kuhu vastutava andmete töötleja tegevus on suunatud;

—	kus asub asjaomane kinnisvara;

—	kust kinnisvaraomanike andmeid edastatakse;

—	mille kodanikud nad on, ja

—	kus selle äriühingu omanikud elavad.

Kohaldatava õiguse osas nimetab eelotsusetaotluse esitanud kohus täpsemalt Slovakkia ja Ungari õigust, kusjuures esimene on selle liikmesriigi oma, kus asjaomaste vastutav isikuandmete töötleja on registreeritud ja teine on selle liikmesriigi oma, millele viidatakse põhikohtuasjas käsitletaval veebilehel ja mille territooriumil nende kuulutuste esemeks olev kinnisvara asub.

21	Selles osas tuleb tunnistada, et direktiivi 95/46 I peatükis „Üldsätted” asuv artikkel 4 „Kohaldatav siseriiklik õigus” reguleerib just nimelt seda esitatud küsimust.

Direktiivi 95/46 artikkel 28 „Järelevalveasutus” keskendub aga selle asutuse rollile ja volitustele. Artikli 28 lõike 1 kohaselt teostab see asutus järelevalvet oma liikmesriigi territooriumil selle direktiivi kohaselt liikmesriikide vastuvõetud sätete kohaldamise üle. Nimetatud direktiivi artikli 28 lõike 6 kohaselt on iga järelevalveasutus pädev kasutama talle antud volitusi, olenemata sellest, milliseid siseriiklikke õigusi isikuandmete töötlemise suhtes kohaldatakse.

23	Seega tuleb selle vastutava töötleja suhtes kohaldatava õiguse kindlaksmääramiseks võtta arvesse mitte direktiivi 95/46 artiklit 28, vaid selle direktiivi artiklit 4.

24	Direktiivi 95/46 artikli 4 lõike 1 punkti a kohaselt kohaldab iga liikmesriik isikuandmete töötlemise suhtes käesoleva direktiivi kohaselt vastuvõetud siseriiklikke õigusnorme, kui töötlemine toimub liikmesriigi territooriumil paikneva vastutava töötleja asutuse tegevuse raames.

Kui võtta arvesse direktiivi 95/46 eesmärki, milleks on tagada isikuandmete töötlemisel füüsiliste isikute põhiõiguste ja -vabaduste ning eelkõige nende eraelu puutumatuse tõhus ja täielik kaitse, ei või väljendit „asutuse tegevuse raames” tõlgendada kitsalt (vt selle kohta kohtuotsus Google Spain ja Google, C‑131/12, EU:C:2014:317, punkt 53).

Selle eesmärgi saavutamiseks ja vältimaks seda, et isikud jääksid ilma selle direktiiviga tagatud kaitsest, on nimetatud direktiivi põhjenduses 18 kirjas, et igasugune isikuandmete töötlemine Euroopa Liidus peab toimuma ühe liikmesriigi õiguse kohaselt ja seoses sellega peaks ühes liikmesriigis registreeritud vastutav töötleja andmeid töötlema vastavalt kõnealuse riigi õigusele.

27	Liidu seadusandja nägi seega ette direktiivi 95/46 eriti laia territoriaalse kohaldamisala, mille ta kandis selle direktiivi artiklisse 4 (vt selle kohta kohtuotsus Google Spain ja Google, C‑131/12, EU:C:2014:317, punkt 54).

Esiteks tuleb seoses mõistega „asutus” meeles pidada, et direktiivi 95/46 põhjenduses 19 on märgitud, et registreerimine liikmesriigi territooriumil eeldab tegelikku ja tulemuslikku tegutsemist ning stabiilset asukohta, ning et selles suhtes ei ole määravaks asutatud üksuse õiguslik vorm, tegemist võib olla lihtsalt filiaali või juriidilisest isikust tütarettevõtjaga (kohtuotsus Google Spain ja Google, C‑131/12, EU:C:2014:317, punkt 48). Selles põhjenduses täpsustatakse lisaks, et kui üks vastutav töötleja on registreeritud mitme liikmesriigi territooriumil, peab ta tagama, et kõik ettevõtjad täidavad oma tegevuse suhtes kohaldatavast siseriiklikust õigusest tulenevaid kohustusi, et vältida võimalikku siseriiklikest eeskirjadest kõrvalehoidmist.

Nagu ka kohtujurist oma ettepaneku punktides 28 ja 32–34 sisuliselt märkis, tuleneb sellest mõiste „asutus” paindlik käsitus, eemaldudes formaalsest lähenemisviisist, mille alusel on ettevõtja asutatud ainult selles kohas, kus ta on registreeritud. Seega, määramaks kindlaks, kas andmete töötlemise eest vastutaval äriühingul on direktiivi 95/46 tähenduses asutus mõnes teises liikmesriigis kui see liikmesriik või kolmas riik, kus ta on registreeritud, tuleb tõlgendada nii asukoha stabiilsuse astet kui ka tegutsemise tegelikkust selles teises liikmesriigis, võttes arvesse kõnealuse majandustegevuse ja kõnealuste teenuste osutamise konkreetset laadi. See kehtib eriti nende ettevõtjate suhtes, kes tegelevad üksnes interneti teel teenuste osutamisega.

Selles osas tuleb muu hulgas tunnistada, võttes arvesse selle direktiiviga taotletud eesmärki, milleks on tagada eraelu puutumatuse tõhus ja täielik kaitse ning vältida igasugust siseriiklikest eeskirjadest kõrvalehoidmist, et teatavatel asjaoludel võib stabiilseks asukohaks piisata ainult ühe esindaja olemasolust, kui see tegutseb piisavalt stabiilselt, kasutades abivahendeid, mis on vajalikud asjaomaste konkreetsete teenuste osutamiseks, millega ta kõnealuses liikmesriigis tegeleb.

31	Lisaks tuleb selle eesmärgi saavutamiseks tunnistada, et mõiste „asutus” direktiivi 95/46 tähenduses laieneb tegelikule ja tulemuslikule, kas või minimaalsele tegevusele, mida teostatakse stabiilse asukoha kaudu.

Käesoleval juhul seisneb Weltimmo tegevus vähemalt selles, et ta haldab üht või mitut veebilehte, millel avaldatakse Ungaris asuva kinnisvara kuulutusi, mis on koostatud ungari keeles ning mis muutuvad pärast ühekuulise tähtaja möödumist tasuliseks. Seega tuleb tunnistada, et see äriühing tegutseb Ungaris tegelikult ja tulemuslikult.

Lisaks ilmneb muu hulgas Ungari järelevalveasutuse esitatud täpsustustest, et Weltimmol on Ungaris esindaja, kes on kantud Slovakkia äriregistrisse Ungaris asuva aadressiga ja kes püüdis rahuldamata nõuete lahendamist reklaamijatega läbi rääkida. See esindaja tegutses vahendajana äriühingu ja kaebuse esitajate vahel ning esindas äriühingut haldus‑ ja kohtumenetluses. Lisaks avas see äriühing Ungaris pangakonto oma nõuete sissenõudmiseks ja kasutab selle liikmesriigi territooriumil oma igapäevase äritegevuse jaoks postkontori postkasti. Need tegurid, mida eelotsusetaotluse esitanud kohus peab kontrollima, võivad niisuguses olukorras, nagu on käsitlusel põhikohtuasjas, kinnitada „asutuse” olemasolu direktiivi 95/46 artikli 4 lõike 1 punkti a tähenduses.

34	Teiseks on oluline teada, kas asjaomaste isikuandmete töötlemine toimus selle asutuse „tegevuse raames”.

35	Euroopa Kohus on juba otsustanud, et direktiivi 95/46 artikli 4 lõike 1 punkt a ei nõua, et kõnealuseid isikuandmeid ei töötleks mitte asjaomane asutus ise, vaid et see toimuks tema „tegevuse raames” (kohtuotsus Google Spain ja Google, C‑131/12, EU:C:2014:317, punkt 52).

36	Käesoleval juhul seisneb põhikohtuasjas kõne all olev töötlemine muu hulgas selles, et Weltimmo kinnisvarakuulutuste veebilehel avaldatakse kinnisvaraomanike isikuandmeid ning vajaduse korral kasutatakse neid andmeid kuulutuste eest arvete esitamisel ühekuulise tähtaja möödudes.

Selles osas tuleb meeles pidada, et täpsemalt internetiga seoses on Euroopa Kohtul juba olnud võimalus tõdeda, et toimingut, mis seisneb isikuandmete panemises veebilehele, tuleb pidada töötlemiseks direktiivi 95/46 artikli 2 punkti b tähenduses (kohtuotsused Lindqvist, C‑101/01, EU:C:2003:596, punkt 25, ja Google Spain ja Google, C‑131/12, EU:C:2014:317, punkt 26).

38	Pole kahtlust, et töötlemine toimus Weltimmo tegevuse raames Ungaris, mida on kirjeldatud käesoleva kohtuotsuse punktis 32.

Seetõttu, kui käesoleva kohtuotsuse punktis 33 viidatud kontroll, mille eelotsusetaotluse esitanud kohus peab läbi viima, et olenevalt olukorrast tuvastada vastutava töötleja asutus Ungaris, ei näita teisti, tuleb tunnistada, et see töötlemine viidi läbi selle asutuse tegevuse raames ning direktiivi 95/46 artikli 4 lõike 1 punkt a võimaldab niisuguses olukorras, nagu on käsitlusel põhikohtuasjas, kohaldada Ungari isikuandmekaitse alaseid õigusnorme.

40	Asjaolul, et kuulutuste esemeks oleva kinnisvara omanikud on Ungari kodanikud, ei ole aga mingit tähtsust kõnealusele andmete töötlemisele kohaldatava liikmesriigi õiguse kindlaksmääramisel.

Kõiki eeltoodud kaalutlusi arvesse võttes tuleb esimesest kuni kuuendale küsimusele vastata järgmiselt:

—

direktiivi 95/46 artikli 4 lõike 1 punkti a tuleb tõlgendada nii, et on lubatud kohaldada selle liikmesriigi isikuandmekaitse alaseid õigusnorme, mis ei ole liikmesriik, kus nende andmete töötlemise eest vastutav isik on registreeritud, tingimusel et kõnealusel isikul on selle liikmesriigi territooriumil stabiilne asukoht, mille kaudu ta tegutseb tegelikult ja tulemuslikult, kas või minimaalselt ning see töötlemine toimub selle tegevuse raames;

—

selleks et niisugustel asjaoludel, nagu on käsitlusel põhikohtuasjas, määrata kindlaks, kas see on nii, võib eelotsusetaotluse esitanud kohus eelkõige võtta ühelt poolt arvesse asjaolu, et nimetatud töötlemise eest vastutava isiku tegevus, mille raames töötlemine toimub, seisneb veebilehe haldamises, millel avaldatakse selle liikmesriigi territooriumil asuva kinnisvara kuulutusi, mis on koostatud selle riigi keeles ja on seega peamiselt või isegi tervikuna suunatud nimetatud liikmesriiki, ja teiselt poolt, et sellel vastutaval isikul on nimetatud liikmesriigis esindaja, kes nõuab välja sellest tegevustest tulenevaid nõudeid ja esindab teda kõnealuste andmete töötlemist puudutavates haldus‑ ja kohtumenetlustes.

—	see, millise riigi kodanikud on need isikud, keda see andmete töötlemine puudutab, ei oma aga mingit tähtsust.

Seitsmes küsimus

42	Seitsmes küsimus esitati vaid juhuks, kui Ungari järelevalveasutus leiab, et Weltimmo asutus direktiivi 95/46 artikli 4 lõike 1 punkti a tähenduses ei ole mitte Ungaris, vaid mõnes teises liikmesriigis, ja ta teostab tegevust, mille raames töödeldakse asjaomaseid isikuandmeid.

Selle küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas juhul, kui Ungari järelevalveasutus peaks jõudma järeldusele, et isikuandmete töötlemisele kohaldatav õigus ei ole mitte Ungari õigus, vaid mõne teise liikmesriigi õigus, tuleb direktiivi 95/46 artikli 28 lõikeid 1, 3 ja 6 tõlgendada nii, et see järelevalveasutus võib kasutada ainult selle direktiivi artikli 28 lõikes 3 antud volitusi asukohajärgse liikmesriigi õiguse kohaselt, ega või trahvi määrata.

44	Esiteks, mis puudutab järelevalveasutuse pädevust niisugusel juhul asja menetleda, siis tuleb märkida, et tulenevalt direktiivi 95/46 artikli 28 lõikest 4 vaatab iga järelevalveasutus läbi kõigi isikute esitatud avaldused nende õiguste ja vabaduste kaitse kohta seoses isikuandmete töötlemisega.

Järelikult, niisuguses olukorras, nagu on käsitlusel põhikohtuasjas, võivad Ungari järelevalveasutuse poole pöörduda niisugused isikud nagu põhikohtuasjas asjasse puutuvad kinnisvarareklaamijad, kes leiavad, et nende isikuandmeid on ebaseaduslikult töödeldud selles liikmesriigis, kus asub nende kinnisvara.

46	Teiseks tuleb uurida, millised on selle järelevalveasutuse volitused, arvestades direktiivi 95/46 artikli 28 lõikeid 1, 3 ja 6.

47	Selle direktiivi artikli 28 lõikest 1 ilmneb, et iga liikmesriigi poolt paika pandud järelevalveasutus teostab järelevalvet selle liikmesriigi territooriumil direktiivi 95/46 kohaselt vastuvõetud sätete kohaldamise üle.

Tulenevalt direktiivi 95/46 artikli 28 lõikest 3 on järelevalveasutustel eelkõige uurimisvolitused, näiteks volitused koguda oma järelevalvekohustuse täitmiseks vajalikku teavet, ja tõhusad sekkumisvolitused, näiteks volitus anda korraldus andmete sulgemiseks, kustutamiseks või hävitamiseks, või keelata töötlemine ajutiselt või alaliselt, või hoiatada vastutavat töötlejat või teha talle märkus.

Võttes arvesse selles sättes loetletud volituste mitteammendavat laadi, sekkumisvolituste tüüpi ning liikmesriikide kaalutlusruumi direktiivi 95/46 ülevõtmisel, tuleb tunnistada, et need sekkumisvolitused võivad hõlmata pädevust kehtestada andmete töötlemise eest vastutavale isikule sanktsioon, määrates talle vajaduse korral trahvi.

50	Järelevalveasutusele antud volitusi tuleb kasutada vastavalt oma liikmesriigi menetlusnormidele.

51	Direktiivi 95/46 artikli 28 lõigetest 1 ja 3 ilmneb, et iga järelevalveasutus kasutab oma liikmesriigi territooriumil kõiki oma volitusi, et tagada selle liikmesriigi territooriumil andmekaitsealaste eeskirjade järgimine.

Iga järelevalveasutuse volituste territoriaalset kohaldatavust kinnitatakse ka selle direktiivi artikli 28 lõikes 6, kus on sätestatud, et iga järelevalveasutus on pädev kasutama oma liikmesriigi territooriumil talle nimetatud direktiivi artikli 28 lõikega 3 antud volitusi, ja seda olenemata sellest, milliseid siseriiklikke õigusi kohaldatakse. Selle artikli 28 lõikes 6 täpsustatakse veel, et teise liikmesriigi asutused võivad igalt järelevalveasutuselt taotleda, et see kasutaks oma volitusi, ning järelevalveasutused teevad üksteisega koostööd, kuivõrd see on vajalik nende ülesannete täitmiseks, eelkõige vahetades kasulikku teavet.

See säte on vajalik selleks, et tagada isikuandmete vaba liikumine liidus, järgides samas füüsiliste isikute isikuandmete kaitse eeskirju, mis on ette nähtud direktiivis 95/46. Nimelt, kui niisugust sätet ei oleks olemas, oleks füüsilistel isikutel raske või isegi võimatu teostada oma õigust eraelu kaitsele juhul, kui vastutava isikuandmete töötleja suhtes oleks kohaldatav ühe liikmesriigi seadus, kuid ta rikuks füüsiliste isikute õigust sellele kaitsele mõnes teises liikmesriigis, eelkõige suunates oma tegevuse sellesse teise liikmesriiki, omamata seal asukohta selle direktiivi tähenduses.

Direktiivi 95/46 artikli 28 lõikest 6 ilmneb, et liikmesriigi järelevalveasutus, kes selle direktiivi artikli 28 lõike 4 alusel menetleb füüsiliste isikute kaebusi seoses neid puudutavate isikuandmete töötlemisega, võib vaadata kaebuse läbi sõltumata kohaldatavast õigusest, ja järelikult isegi siis, kui asjaomaste andmete töötlemisele on kohaldatav teise liikmesriigi õigus.

55	Sellisel juhul ei hõlma järelevalveasutuse volitused siiski tingimata kõiki neid volitusi, mis talle oma liikmesriigi õiguse kohaselt on antud.

Nimelt, nagu märgib kohtujurist oma ettepaneku punktis 50, ilmneb asjaomase liikmesriigi territoriaalsest suveräänsusest ning seaduslikkuse põhimõttest ja õigusriigi mõistest tulenevatest nõuetest, et karistamisõiguse teostamine ei tohi põhimõtteliselt toimuda väljaspool seaduslikke piire, mille raames on haldusasutusel lubatud tegutseda oma liikmesriigi õiguse kohaselt.

Seega, kui järelevalveasutus menetleb kaebust vastavalt direktiivi 95/46 artikli 28 lõikele 4, võib ta oma uurimisvolitusi täita, olenemata kohaldatavast õigusest ja isegi enne selle teadmist, millise liikmesriigi õigust tuleb kõnealuse töötlemise suhtes kohaldada. Siiski, kui ta jõuab järeldusele, et kohaldada tuleb teise liikmesriigi õigust, ei saa ta määrata sanktsioone väljaspool oma liikmesriigi territooriumi. Niisugusel juhul peab ta selle direktiivi artikli 28 lõikes 6 sätestatud lojaalse koostöö kohustust täites taotlema selle teise liikmesriigi järelevalveasutuselt, et see tuvastaks selle õiguse võimaliku rikkumise ja määraks sanktsiooni, kui kõnealune õigus seda võimaldab, tuginedes vajaduse korral teabele, mille esimese liikmesriigi järelevalveasutus talle edastas.

58	Niisugust taotlust menetleval järelevalveasutusel võib lojaalse koostöö raames olla vajalik viia läbi muid uurimisi, vastavalt teise liikmesriigi järelevalveasutuse juhtnööridele.

59	Siit järeldub, et niisuguses olukorras, nagu on käsitlusel põhikohtuasjas, kui kohaldada tuleb mõne muu liikmesriigi kui Ungari õigust, ei tohi Ungari järelevalveasutus teostada sanktsioonide määramise pädevust, mis tal Ungari õiguse alusel on.

Eeltoodud kaalutlustest järeldub, et seitsmendale küsimusele tuleb vastata, et juhul, kui liikmesriigi järelevalveasutus, kes menetleb kaebust vastavalt direktiivi 95/46 artikli 28 lõikele 4, jõuab järeldusele, et kõnealuste isikuandmete töötlemisele tuleb kohaldada mitte selle, vaid mõne teise liikmesriigi õigust, siis tuleb direktiivi 95/46 artikli 28 lõikeid 1, 3 ja 6 tõlgendada nii, et see järelevalveasutus tohib teostada nimetatud direktiivi artikli 28 lõike 3 alusel antud tõhusaid sekkumisvolitusi üksnes oma liikmesriigi territooriumil. Sellest tulenevalt ei saa ta selle liikmesriigi õiguse alusel määrata sanktsioone andmete töötlemise eest vastutavale isikule, kelle asukoht ei ole sellel territooriumil, vaid peab sama direktiivi artikli 28 lõike 6 alusel taotlema sekkumist selle liikmesriigi järelevalveasutuselt, kelle õigus on kohaldatav.

Kaheksas küsimus

Oma kaheksanda küsimusega soovib eelotsusetaotluse esitanud kohus, et Euroopa Kohus selgitaks, milline ulatus on mõistel „adatfeldolgozás”, mida kasutatakse eelkõige direktiivi 95/46 kohaldatavat õigust käsitleva artikli 4 lõike 1 punktis a ja selle direktiivi järelevalveasutuse pädevust käsitleva artikli 28 lõikes 6.

62	Direktiivi 95/46 ungarikeelsest versioonist tuleneb, et selle tekstis kasutatakse süstemaatiliselt mõistet „adatfeldolgozás”.

Eelotsusetaotluse esitanud kohus märgib, et info seadus kasutab – eelkõige järelevalveasutuse pädevust puudutavaid direktiivi 95/46 sätteid rakendavates sätetes – mõistet „adatkezelés”. Nagu ilmneb selle seaduse § 3 punktist 10, on selle mõiste tähendus palju laiem kui mõistel „adatfeldolgozás”, mis on määratletud nimetatud seaduse § 3 punktis 17, ja see hõlmab seda viimast mõistet.

Kuigi mõistel „adatfeldolgozás” selle tavatähenduses ja info seadusest tulenevas tähenduses on kitsam tähendus kui mõistel „adatkezelés”, tuleb siiski märkida, et direktiivi 95/46 ungarikeelne versioon määratleb mõiste „adatfeldolgozás” oma artikli 2 punktis b laialt, mis vastab mõistele „adatkezelés”.

Järelikult tuleb kaheksandale küsimusele vastata, et direktiivi 95/46 tuleb tõlgendada nii, et mõistet „adatfeldolgozás” (andmetöötlus), mida kasutatakse selle direktiivi ungarikeelses versioonis, täpsemalt selle artikli 4 lõike 1 punktis a ja artikli 28 lõikes 6, tuleb mõista samatähenduslikuna mõistega „adatkezelés” (andmete töötlemine).

Kohtukulud

66	Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse siseriiklik kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.

Esitatud põhjendustest lähtudes Euroopa Kohus (kolmas koda) otsustab:

Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikli 4 lõike 1 punkti a tuleb tõlgendada nii, et on lubatud kohaldada selle liikmesriigi isikuandmekaitse alaseid õigusnorme, mis ei ole liikmesriik, kus nende andmete töötlemise eest vastutav isik on registreeritud, tingimusel et kõnealusel isikul on selle liikmesriigi territooriumil stabiilne asukoht, mille kaudu ta tegutseb tegelikult ja tulemuslikult, kas või minimaalselt ning see töötlemine toimub selle tegevuse raames.

Selleks et niisugustel asjaoludel, nagu on käsitlusel põhikohtuasjas, määrata kindlaks, kas see on nii, võib eelotsusetaotluse esitanud kohus eelkõige võtta ühelt poolt arvesse asjaolu, et nimetatud töötlemise eest vastutava isiku tegevus, mille raames töötlemine toimub, seisneb veebilehe haldamises, millel avaldatakse selle liikmesriigi territooriumil asuva kinnisvara kuulutusi, mis on koostatud selle riigi keeles ja on seega peamiselt või isegi tervikuna suunatud nimetatud liikmesriiki, ja teiselt poolt, et sellel vastutaval isikul on nimetatud liikmesriigis esindaja, kes nõuab välja sellest tegevustest tulenevaid nõudeid ja esindab teda kõnealuste andmete töötlemist puudutavates haldus‑ ja kohtumenetlustes.

See, millise riigi kodanikud on need isikud, keda see andmete töötlemine puudutab, ei oma aga mingit tähtsust.

Juhul kui liikmesriigi järelevalveasutus, kes menetleb kaebust vastavalt direktiivi 95/46 artikli 28 lõikele 4, jõuab järeldusele, et kõnealuste isikuandmete töötlemisele tuleb kohaldada mitte selle, vaid mõne teise liikmesriigi õigust, siis tuleb direktiivi 95/46 artikli 28 lõikeid 1, 3 ja 6 tõlgendada nii, et see järelevalveasutus tohib teostada nimetatud direktiivi artikli 28 lõike 3 alusel antud tõhusaid sekkumisvolitusi üksnes oma liikmesriigi territooriumil. Sellest tulenevalt ei saa ta selle liikmesriigi õiguse alusel määrata sanktsioone andmete töötlemise eest vastutavale isikule, kelle asukoht ei ole sellel territooriumil, vaid peab sama direktiivi artikli 28 lõike 6 alusel taotlema sekkumist selle liikmesriigi järelevalveasutuselt, kelle õigus on kohaldatav.

3.	Direktiivi 95/46 tuleb tõlgendada nii, et mõistet „adatfeldolgozás” (andmetöötlus), mida kasutatakse selle direktiivi ungarikeelses versioonis, täpsemalt selle artikli 4 lõike 1 punktis a ja artikli 28 lõikes 6, tuleb mõista samatähenduslikuna mõistega „adatkezelés” (andmete töötlemine).

Allkirjad

( * ) Kohtumenetluse keel: ungari.