18.7.2016   

FI

Euroopan unionin virallinen lehti

C 260/18

1)

Onko direktiivin 95/46/EY 2 artiklan d kohtaa tulkittava sitten, että sillä säännellään vastuuta tietosuojaloukkauksista lopullisesti ja tyhjentävästi, vai onko direktiivin 95/46/EY 24 artiklassa tarkoitettujen ”tarvittavien toimenpiteiden” ja direktiivin 95/46/EY 28 artiklan 3 kohdan toisessa luetelmakohdassa tarkoitettujen ”tehokkaiden toimintavaltuuksien” yhteydessä monitasoisissa tietojen toimittajien suhteissa mahdollinen myös sellaisen toimielimen vastuu, joka ei ole direktiivin 95/46/EY 2 artiklan d kohdassa tarkoitetulla tavalla vastuussa tietojen käsittelystä, valittaessa toimija tietojen toimittamista varten?

2)

Seuraako direktiivin 95/46/EY 17 artiklan 2 kohdassa säädetystä jäsenvaltioiden velvollisuudesta säätää rekisterinpitäjän lukuun tapahtuvan tietojenkäsittelyn yhteydessä, että rekisterinpitäjän ”on valittava henkilötietojen käsittelijä, joka antaa riittävät takeet käsittelyyn liittyvistä teknisistä ja organisatorisista turvatoimista”, vastakohtaispäätelmänä, että muissa käyttöön liittyvissä suhteissa, jotka eivät liity direktiivin 95/46/EY 17 artiklan 2 kohdan e alakohdassa tarkoitettuun tietojenkäsittelyyn rekisterinpitäjän lukuun, huolellista valintaa koskevaa velvollisuutta ei ole eikä sitä myöskään voida perustella kansallisella oikeudella?

3)

Onko silloin, kun Euroopan unionin ulkopuolelle sijoittautuneella emokonsernilla on eri jäsenvaltioissa oikeudellisesti itsenäisiä toimipaikkoja (tytäryhtiöitä), jäsenvaltion (esillä olevassa asiassa Saksan) valvontaviranomaisella direktiivin 95/46/EY 4 artiklan ja 28 artiklan 6 kohdan nojalla valtuudet käyttää direktiivin 95/46/EY 28 artiklan 3 kohdan nojalla siirrettyjä valtuuksia sen alueella sijaitsevaa toimipaikkaa vastaan myös silloin, kun tämä toimipaikka on yksin vastuussa myynnin edistämisestä kyseisen jäsenvaltioiden asukkaille kohdennetun mainonnan ja muiden markkinointitoimien avulla, kun taas toisessa jäsenvaltiossa (esillä olevassa asiassa Irlantiin) sijaitsevalla itsenäisellä toimipaikalla (tytäryhtiöllä) on konsernin sisäisen tehtävienjaon mukaan yksinomainen vastuu henkilötietojen keruusta ja käsittelystä koko Euroopan unionin alueella ja siten myös toisessa jäsenvaltiossa (esillä olevassa asiassa Saksassa), jos päätöksen tietojenkäsittelystä tosiasiallisesti tekee emokonserni?

4)

Onko direktiivin 95/46/EY 4 artiklan 1 kohdan a alakohtaa ja 28 artiklan 3 kohtaa tulkittava siten, että silloin kun rekisterinpitäjällä on toimipaikka jäsenvaltion (esillä olevassa asiassa Irlannin) alueella ja toisen jäsenvaltion (esillä olevassa asiassa Saksan) alueella toinen, oikeudellisesti itsenäinen toimipaikka, joka on vastuussa muun muassa mainostilan myynnistä ja jonka toiminta on kohdennettu kyseisen valtion asukkaille, toisessa jäsenvaltiossa (esillä olevassa asiassa Saksassa) toimivaltainen valvontaviranomainen voi osoittaa tietosuojalainsäädännön täytäntöön panemiseksi toimenpiteitä ja määräyksiä myös (esillä olevassa asiassa Saksassa sijaitsevalle) muulle toimipaikalle, joka konsernin sisäisen tehtävien- ja vastuunjaon mukaan ei ole vastuussa tietojenkäsittelystä, vai voiko toimenpiteitä ja määräyksiä osoittaa tällöin ainoastaan sen jäsenvaltion (esillä olevassa asiassa Irlannin) valvontaviranomainen, jonka alueelle konsernin sisällä vastuussa oleva toimielin on sijoittautunut?

5)

Onko direktiivin 95/46/EY 4 artiklan 1 kohdan a alakohtaa ja 28 artiklan 3 ja 6 kohtaa tulkittava siten, että silloin kun jäsenvaltion (esillä olevassa asiassa Saksan) valvontaviranomainen turvautuu alueellaan toimivaan henkilöön tai toimielimeen direktiivin 95/46/EY 28 artiklan 3 kohdan nojalla tietojenkäsittelyprosessiin osallistuvan sivullisen (esillä olevassa asiassa Facebookin) huolimattoman valinnan vuoksi, koska kyseinen sivullinen valvontaviranomaisen mukaan rikkoo tietosuojalainsäädäntöä, toimeen ryhtyvää valvontaviranomaista (esillä olevassa asiassa Saksaa) sitoo sen toisen jäsenvaltion (esillä olevassa asiassa Irlannin) valvontaviranomaisen tietosuojalainsäädännön mukainen arvio, jossa rekisterinpitäjän toimipaikka on, siten, että se ei saa suorittaa tästä poikkeavaa oikeudellista arviointia, vai saako toimeen ryhtyvä valvontaviranomainen (esillä olevassa asiassa Saksa) tutkia toiseen jäsenvaltioon (esillä olevassa asiassa Irlantiin) sijoittautuneen sivullisen suorittaman tietojenkäsittelyn laillisuuden itsenäisesti ennakkokysymyksenä oman toimintansa laillisuudesta?

6)

Mikäli toimeen ryhtyvä valvontaviranomainen (esillä olevassa asiassa Saksa) voi tehdä itsenäisesti tarkastuksen, onko direktiivin 95/46/EY 28 artiklan 6 kohdan toista virkettä tulkittava siten, että tämä valvontaviranomainen voi käyttää sille direktiivin 95/46/EY 28 artiklan 3 nojalla siirrettyjä tehokkaita toimintavaltuuksia sen alueelle sijoittautunutta henkilöä tai toimielintä vastaan toiseen jäsenvaltioon sijoittautuneen sivullisen tietosuojaloukkauksia koskevan yhteisvastuun vuoksi vasta sitten, kun se on ensin pyytänyt kyseisen toisen (esillä olevassa asiassa Irlannin) valvontaviranomaista käyttämään valtuuksiaan?