—

Nemzeti Adatvédelmi és Információszabadság Hatóság, edustajanaan A. Péterfalvi, avustajanaan ügyvéd G. Dudás,

—

Unkarin hallitus, asiamiehinään M. Z. Fehér, G. Koós ja A. Pálfy,

—

Puolan hallitus, asiamiehinään B. Majczyna, M. Kamejsza ja M. Pawlicka,

—

Slovakian hallitus, asiamiehenään B. Ricziová,

—

Yhdistyneen kuningaskunnan hallitus, asiamiehinään M. Holt, avustajanaan barrister J. Holmes,

—

Euroopan komissio, asiamiehinään A. Tokár, B. Martenczuk ja J. Vondung,

1

Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL L 281, s. 31) 4 artiklan 1 kohdan a alakohdan ja 28 artiklan 1, 3 ja 6 kohdan tulkintaa.

2

Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Slovakiaan sijoittautunut yhtiö Weltimmo s. r. o. (jäljempänä Weltimmo) ja Nemzeti Adatvédelmi és Információszabadság Hatóság (tietosuojasta ja tiedonvälityksen vapaudesta vastaava kansallinen virasto, jäljempänä Unkarin valvontaviranomainen) ja jossa on kyse sakosta, jonka viimeksi mainittu määräsi henkilötietoihin liittyvästä määräämisoikeudesta ja tiedonvälityksen vapaudesta vuonna 2011 annetun lain nro CXII (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII törvény, jäljempänä tietosuojalaki), jolla direktiivi 95/46 saatettiin osaksi Unkarin oikeusjärjestystä, rikkomisesta.

3

Direktiivin 95/46 johdanto-osan 3, 18 ja 19 perustelukappaleessa todetaan seuraavaa:

– –

4

Direktiivin 95/46 2 artiklassa säädetään seuraavaa:

”Tässä direktiivissä tarkoitetaan

– –

– –”

5

Direktiivin 95/46 4 artiklan 1 kohdan a alakohdassa säädetään seuraavaa:

”1.   Kunkin jäsenvaltion on sovellettava henkilötietojen käsittelyyn kansallisia säännöksiä, jotka se antaa tämän direktiivin mukaisesti, jos

6

Direktiivin 95/46 28 artiklan 1, 3 ja 6 kohdassa säädetään seuraavaa:

”1.   Kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen.

Näiden viranomaisten on hoidettava tehtäviään itsenäisesti.

– –

3.   Kullakin valvontaviranomaisella on erityisesti oltava:

Valvontaviranomaisten päätöksistä, jotka antavat aihetta valituksiin, voi valittaa tuomioistuimeen.

– –

6.   Riippumatta kyseessä olevaan käsittelyyn sovellettavasta kansallisesta oikeudesta valvontaviranomainen on toimivaltainen käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat 3 kohdan mukaisesti. Toisen jäsenvaltion viranomainen voi pyytää valvontaviranomaista käyttämään valtuuksiaan.

Valvontaviranomaisten on oltava yhteistyössä keskenään siinä määrin kuin on tarpeen tehtäviensä suorittamiseksi, erityisesti vaihtamalla hyödyllisiä tietoja.”

7

Tietosuojalain 2 §:n 1 momentissa säädetään seuraavaa:

”Tätä lakia on sovellettava kaikkeen Unkarin alueella tapahtuvaan luonnollisten henkilöiden henkilötietojen ja yleisen edun mukaisten tietojen tai tietojen, jotka ovat julkisia yleisen edun vuoksi, käsittelyyn ja muokkaamiseen.”

8

Tietosuojalain 3 §:n 10 ja 17 momenttiin sisältyvät seuraavat määritelmät:

”10.   ’tietojen käsittelyllä’ [tarkoitetaan] kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin millä tahansa menettelyllä, kuten tietojen kerääminen, tiedon haku, tallentaminen, järjestäminen, säilyttäminen, muuttaminen, käyttö, kysely, luovuttaminen, julkinen ilmaiseminen, yhteensovittaminen tai yhdistäminen, suojaaminen, poistaminen tai tuhoaminen, sekä tietojen muun hyväksikäytön estäminen, valokuvien, ääni- tai kuvatallenteiden käsittely taikka sellaisten fyysisten tunnusmerkkien (esimerkiksi sormen- tai kämmenenjälkien, DNA-näytteiden tai silmän värikalvon kuvan) tallentaminen, joita voidaan käyttää henkilöiden tunnistamisessa;

– –

17.   ’tietojen muokkaamisella [adatfeldolgozás]’ [tarkoitetaan] tietojen käsittelyyn liittyvien teknisten tehtävien suorittamista siitä riippumatta, millä menetelmällä tai välineellä taikka missä nämä tehtävät suoritetaan, edellyttäen, että nämä tekniset tehtävät kohdistuvat tietoihin.”

9

Weltimmo on Slovakiassa rekisteröity yhtiö, joka pitää yllä internetsivustoa, jolla se julkaisee Unkarissa sijaitsevia kiinteistöjä koskevia ilmoituksia. Tässä yhteydessä se käsittelee myös ilmoittajien henkilötietoja. Ilmoitukset ovat maksuttomia ensimmäisen kuukauden ajan, mutta sen jälkeen palvelusta tulee maksullinen. Useat ilmoittajat ovat tämän ajan päätyttyä pyytäneet sähköpostitse ilmoituksensa ja samalla omien henkilötietojensa poistamista. Weltimmo ei kuitenkaan ole poistanut tietoja, vaan on laskuttanut asianomaisia palveluistaan. Laskujen jäätyä maksamatta Weltimmo on välittänyt asianomaisten ilmoittajien henkilötiedot perintätoimistoille.

10

Kyseiset ilmoittajat kantelivat Unkarin valvontaviranomaiselle. Se totesi olevansa toimivaltainen tietosuojalain 2 §:n 1 momentin nojalla ja katsoi, että tietojen kerääminen oli tapahtunut Unkarin alueella ja että kyse oli luonnollisiin henkilöihin liittyvien tietojen käsittelystä tai muokkaamisesta. Kyseinen valvontaviranomainen katsoi, että Weltimmo oli rikkonut tietosuojalakia, ja määräsi sille 10 miljoonan Unkarin forintin (HUF) (noin 32000 euroa) suuruisen sakon.

11

Weltimmo saattoi sitten asian käsiteltäväksi Fővárosi Közigazgatási és Munkaügyi Bíróságiin (Budapestin hallinto- ja työtuomioistuin), joka katsoi, että se, ettei kyseisen yhtiön kotipaikka ole Unkarissa eikä sillä ole siellä toimipaikkaa, ei ole pätevä puolustusargumentti, koska kyseessä olevia unkarilaisia kiinteistöjä koskevien tietojen toimittaminen sekä näiden tietojen käsittely tapahtui Unkarissa. Kyseinen tuomioistuin kuitenkin kumosi Unkarin valvontaviranomaisen päätöksen muilla perusteilla, jotka liittyivät siihen, ettei tiettyjä tosiseikkoja ollut selvitetty riittävällä tavalla.

12

Weltimmo teki kassaatiovalituksen ennakkoratkaisua pyytäneeseen tuomioistuimeen ja katsoo, ettei lisäselvitysten esittäminen tosiseikoista ole tarpeen, koska Unkarin valvontaviranomainen ei käsiteltävässä asiassa ole direktiivin 95/46 4 artiklan 1 kohdan a alakohdan nojalla toimivaltainen käsittelemään asiaa eikä soveltamaan Unkarin oikeutta toiseen jäsenvaltioon sijoittautuneeseen palvelujentarjoajaan. Weltimmo väitti, että direktiivin 95/46 28 artiklan 6 kohdan mukaisesti kyseisen viranomaisen olisi pitänyt pyytää alalla toimivaltaista Slovakian viranomaista toimimaan sen sijasta.

13

Unkarin valvontaviranomainen toteaa, että Weltimmolla on Unkarissa edustaja, joka on Unkarin kansalainen, eli yksi yhtiön omistajista, joka edusti Weltimmoa sekä hallinnollisessa menettelyssä että tuomioistuinmenettelyssä tässä jäsenvaltiossa. Se tuo lisäksi esille, että Weltimmon internetpalvelimet sijaitsevat todennäköisesti joko Saksassa tai Itävallassa, mutta että yhtiön omistajat asuivat Unkarissa. Kyseisen viranomaisen mukaan direktiivin 95/46 28 artiklan 6 kohdasta seuraa, että se on joka tapauksessa toimivaltainen sovellettavasta oikeudesta riippumatta.

14

Koska ylimmän oikeusasteen tuomioistuin on epävarma sovellettavasta lainsäädännöstä ja Unkarin valvontaviranomaisen toimivallasta direktiivin 95/46 4 artiklan 1 kohdan ja 28 artiklan kannalta, se päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

15

Ensiksi pääasian tosiseikoista on syytä mainita joukko lisätietoja, jotka Unkarin valvontaviranomainen on esittänyt kirjallisissa huomautuksissaan ja unionin tuomioistuimen istunnossa.

16

Näistä seikoista käy ensiksi ilmi, että kyseinen viranomainen sai epävirallisesti tietää Slovakian vastaavalta viranomaiselta, että Weltimmo ei harjoita mitään toimintaa kotipaikassaan Slovakiassa. Weltimmo on lisäksi useaan otteeseen vaihtanut kotipaikkaansa valtiosta toiseen. Toiseksi Weltimmo on luonut kiinteistöilmoituksille kaksi verkkosivustoa, jotka on laadittu vain unkarin kielellä. Se on avannut Unkarissa pankkitilin saatavien perimistä varten ja sillä on juoksevia asioita varten käytettävissään postilokero tässä jäsenvaltiossa. Posti on säännöllisesti noudettu ja lähetetty Weltimmolle sähköisesti. Kolmanneksi ilmoittajien oli itse paitsi syötettävä kiinteistöjään koskevat tiedot Weltimmon sivustolle myös poistettava tiedot sivustolta, jos ne eivät halunneet, että tiedot säilyvät sivustolla pidempään kuin edellä mainitun kuukauden määräajan. Selityksenä sille, että tietoja ei ollut saatu poistetuksi, Weltimmo oli vedonnut ongelmaan tietotekniikan hallinnoinnissa. Neljänneksi Weltimmo on vain yhden tai kahden henkilön muodostama yhtiö. Sen edustaja Unkarissa oli pyrkinyt neuvottelemaan ilmoittajien kanssa maksamattomien laskujen hoitamisesta.

17

Esitettyjen kysymysten sanamuodosta on tämän jälkeen todettava, että vaikka ennakkoratkaisua pyytänyt tuomioistuin käyttää ensimmäisessä ja toisessa kysymyksessään sanoja ”sijoittautunut yksinomaan”, ennakkoratkaisupyynnöstä ja Unkarin valvontaviranomaisen esittämistä kirjallisista ja suullisista huomautuksista käy ilmi, että vaikka Weltimmo on rekisteröity Slovakiassa ja se on näin ollen sijoittautunut tähän jäsenvaltioon yhtiöoikeudellisessa merkityksessä, on epävarmaa, onko se ”sijoittautunut” ainoastaan tähän jäsenvaltioon direktiivin 95/46 4 artiklan 1 kohdan a alakohdassa tarkoitetulla tavalla. Kun ennakkoratkaisua pyytänyt tuomioistuin kysyy tämän säännöksen tulkinnasta, se haluaa itse asiassa tietää, mitä tässä säännöksessä käytetty toimipaikan käsite kattaa.

18

On todettava lopuksi, että ennakkoratkaisua pyytänyt tuomioistuin esittää ensimmäisessä ja toisessa kysymyksessä, että Weltimmon käyttämä palvelin sijaitsee Slovakiassa, kun taas eräässä toisessa ennakkoratkaisupyynnön kappaleessa se mainitsee, että on mahdollista, että tämän yhtiön palvelimet sijaitsevat Saksassa tai Itävallassa. Näin ollen on syytä katsoa, että kysymystä siitä, missä jäsenvaltiossa yhtiön käyttämä palvelin tai sen käyttämät palvelimet sijaitsevat, ei ole ratkaistu.

19

Ennakkoratkaisua pyytänyt tuomioistuin kysyy ensimmäisellä, toisella, kolmannella, neljännellä, viidennellä ja kuudennella kysymyksellään, joita on syytä tarkastella yhdessä, onko direktiivin 95/46 4 artiklan 1 kohdan a alakohtaa ja 28 artiklan 1 kohtaa tulkittava siten, että pääasiassa kyseessä olevan kaltaisissa olosuhteissa jäsenvaltion valvontaviranomaisen on niiden nojalla mahdollista soveltaa kansallista tietosuojalainsäädäntöään rekisterinpitäjään, jonka yhtiö on rekisteröity eräässä toisessa jäsenvaltiossa ja joka ylläpitää kiinteistöilmoitusten internetsivustoa, joka koskee kiinteistöjä, jotka sijaitsevat näistä kahdesta valtiosta ensimmäisessä. Se kysyy erityisesti, onko sillä merkitystä, että tämä valtio on se,

20

Siltä osin kuin kyse on sovellettavasta oikeudesta, ennakkoratkaisua pyytänyt tuomioistuin mainitsee erityisesti Slovakian ja Unkarin oikeuden, joista ensimmäinen on sen jäsenvaltion oikeus, jossa asianomaisten henkilötietojen rekisterinpitäjä on rekisteröity, ja toinen sen jäsenvaltion oikeus, jota pääasiassa kyseessä olevat verkkosivustot koskevat ja jonka alueella julkaistuissa ilmoituksissa tarkoitetut kiinteistöt sijaitsevat.

21

On todettava, että direktiivin 95/46 4 artiklassa, jonka otsikko on ”Sovellettava kansallinen oikeus” ja joka sisältyy direktiivin I lukuun, jonka otsikko on ”Yleiset säännökset”, säännellään nimenomaan esitettyä kysymystä.

22

Direktiivin 95/46 28 artikla, jonka otsikko on ”Valvontaviranomainen”, koskee sen sijaan tämän viranomaisen tehtävää ja valtuuksia. Mainitun 28 artiklan 1 kohdan nojalla se valvoo jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella. Direktiivin 28 artiklan 6 kohdan mukaan valvontaviranomainen käyttää sille kuuluvia valtuuksia riippumatta henkilötietojen käsittelyyn sovellettavasta kansallisesta oikeudesta.

23

Kyseisen käsittelyn rekisterinpitäjään sovellettavaa kansallista oikeutta ei siis ole määritettävä direktiivin 95/46 28 artiklan vaan sen 4 artiklan perusteella.

24

Direktiivin 95/46 4 artiklan 1 kohdan a alakohdan mukaan kunkin jäsenvaltion on sovellettava henkilötietojen käsittelyyn kansallisia säännöksiä, jotka se antaa tämän direktiivin mukaisesti, jos käsittely suoritetaan kyseisen jäsenvaltion alueella sijaitsevassa rekisterinpitäjän toimipaikassa tapahtuvan toiminnan yhteydessä.

25

Kun otetaan huomioon direktiivin 95/46 tavoite, joka on turvata yksilöille henkilötietojen käsittelyssä heidän perusoikeuksiensa ja ‑vapauksiensa ja erityisesti heidän yksityisyyttä koskevan oikeutensa tehokas ja kattava suoja, ilmaisua ”toimipaikassa tapahtuvan toiminnan yhteydessä” ei voida tulkita suppeasti (ks. vastaavasti tuomio Google Spain ja Google, C-131/12, EU:C:2014:317; 53 kohta).

26

Jotta tämä tavoite saavutettaisiin ja jotta yksilö ei jäisi vaille tämän direktiivin mukaisesti taattavaa suojaa, direktiivin johdanto-osan 18 perustelukappaleessa todetaan, että kaiken Euroopan unionissa tapahtuvan henkilötietojen käsittelyn on tapahduttava jonkin jäsenvaltion lainsäädännön mukaisesti; näin ollen tietyssä maassa toimivan rekisterinpitäjän vastuulla oleva tietojenkäsittely olisi suoritettava kyseisen valtion lainsäädännön mukaisesti.

27

Unionin lainsäätäjä on näin ollen säätänyt direktiivin 95/46 erityisen laajasta alueellisesta soveltamisalasta, jonka se on vahvistanut direktiivin 4 artiklassa (ks. vastaavasti tuomio Google Spain ja Google, C-131/12, EU:C:2014:317, 54 kohta).

28

Ensiksi toimipaikan käsitteestä on palautettava mieleen, että direktiivin 95/46 johdanto-osan 19 perustelukappaleessa todetaan, että rekisterinpitäjän sijoittautuminen jonkin jäsenvaltion alueelle edellyttää tosiasiallista toimintaa ja kiinteää toimipaikkaa ja ettei oikeudellisella muodolla ole merkitystä, olkoon kyseessä sitten pelkkä sivuliike tai tytäryhtiö, jolla on oikeushenkilöllisyys (tuomio Google Spain ja Google, C-131/12, EU:C:2014:317, 48 kohta). Tässä perustelukappaleessa täsmennetään lisäksi, että jos sama rekisterinpitäjä on sijoittautunut usean jäsenvaltion alueelle, sen on mahdollisten väärinkäytösten estämiseksi varmistettava, että kaikki yritykset täyttävät niiden toimintaan sovellettavan kansallisen oikeuden velvoitteet.

29

Tästä seuraa, kuten julkisasiamies on todennut ratkaisuehdotuksensa 28 ja 32–34 kohdassa, sijoittautumisen käsitteen joustava tulkinta, joka poikkeaa siitä muodollisesta näkökannasta, jonka mukaan yritys on sijoittautunut yksinomaan siihen paikkaan, jossa se on rekisteröitynyt. Niinpä sen määrittämiseksi, onko yhtiöllä, joka on tietojen rekisterinpitäjä, direktiivissä 95/46 tarkoitettu toimipaikka jossakin muussa jäsenvaltiossa kuin siinä jäsenvaltiossa tai kolmannessa maassa, jossa se on rekisteröity, on arvioitava sekä toimipaikan kiinteää luonnetta että taloudellisen toiminnan tosiasiallista harjoittamista tässä toisessa jäsenvaltiossa ottamalla huomioon kyseisen taloudellisen toiminnan ja kyseisten palveluiden erityinen luonne. Näin on etenkin sellaisten yritysten osalta, jotka käyttävät palvelujen tarjoamisessa yksinomaan internetiä.

30

Erityisesti tämän direktiivin sen tavoitteen valossa, joka on tehokkaan ja kattavan yksityiselämän suojelun varmistaminen ja mahdollisten väärinkäytösten estäminen, on katsottava, että yksi ainoa edustaja voi tietyissä olosuhteissa riittää perusteeksi katsoa, että kiinteä toimipaikka on olemassa, jos kyseinen edustaja toimii riittävän pysyvällä tavalla asianomaisten konkreettisten palveluiden tarjoamiseksi tarvittavin välinein kyseisessä jäsenvaltiossa.

31

Jotta tämä tavoite toteutettaisiin, on lisäksi katsottava, että direktiivissä 95/46 tarkoitettu sijoittautumisen käsite ulottuu kaikkeen aitoon ja todelliseen, vaikka vähäiseenkin, toimintaan, jota harjoitetaan kiinteän toimipaikan avulla.

32

Käsiteltävässä asiassa Weltimmon harjoittama toiminta koostuu ainakin siitä, että se ylläpitää yhtä tai useampaa internetsivustoa, jotka koskevat Unkarissa sijaitsevia kiinteistöjä koskevia kiinteistöilmoituksia, jotka on laadittu unkarin kielellä ja joilla olevista ilmoituksista tulee maksullisia kuukauden määräajan päätyttyä. On siis todettava, että tämä yhtiö harjoittaa aitoa ja todellista toimintaa Unkarissa.

33

Unkarin valvontaviranomaisen esittämistä täsmennyksistä käy lisäksi ilmi, että Weltimmolla on Unkarissa edustaja, joka mainitaan Slovakian yritysrekisterissä Unkarissa sijaitsevan osoitteen kera ja joka oli pyrkinyt neuvottelemaan ilmoittajien kanssa maksamattomien laskujen hoitamisesta. Kyseinen henkilö on toiminut välittäjänä yhtiön ja kanteluja tehneiden henkilöiden välillä ja edustanut yhtiötä hallinnollisessa menettelyssä ja tuomioistuinmenettelyssä. Yhtiö on lisäksi avannut Unkarissa pankkitilin saatavien perimistä varten ja sillä on juoksevia asioita varten käytettävissään postilokero tässä jäsenvaltiossa. Nämä seikat, jotka ennakkoratkaisua pyytäneen tuomioistuimen on tarkistettava, ovat omiaan osoittamaan pääasiassa kyseessä olevan kaltaisessa tilanteessa direktiivin 95/46 4 artiklan 1 kohdan a alakohdassa tarkoitetun toimipaikan olemassaolon.

34

Toiseksi on selvitettävä, onko asianomainen henkilötietojen käsittely toteutettu tämän toimipaikan ”toiminnan yhteydessä”.

35

Unionin tuomioistuin on jo katsonut, että direktiivin 95/46 4 artiklan 1 kohdan a alakohdassa ei edellytetä, että kyseessä oleva toimipaikka itse ”suorittaa” kyseessä olevan henkilötietojen käsittelyn, vaan yksinomaan, että se suoritetaan kyseisessä toimipaikassa tapahtuvan ”toiminnan yhteydessä” (tuomio Google Spain ja Google, C-131/12, EU:C:2014:317, 52 kohta).

36

Pääasiassa kyseessä oleva käsittely muodostuu erityisesti siitä, että Weltimmon kiinteistöilmoituksia käsittävillä internetsivustoilla julkaistaan näiden kiinteistöjen omistajien henkilötietoja, ja tarvittaessa siitä, että näitä tietoja käytetään ilmoitusten laskutukseen kuukauden ajanjakson päätyttyä.

37

Tältä osin on muistettava, että unionin tuomioistuimella on erityisesti internetin osalta ollut jo tilaisuus todeta, että toimenpide, jolla henkilötiedot on laitettu internetsivulle, on direktiivin 95/46 2 artiklan b alakohdassa tarkoitettua käsittelyä (tuomio Lindqvist, C-101/01, EU:C:2003:596, 25 kohta ja tuomio Google Spain ja Google, C-131/12, EU:C:2014:317, 26 kohta).

38

Ei ole epäilystä siitä, että käsittely tapahtui edellä 32 kohdassa kuvatun kaltaisen toiminnan yhteydessä, jota Weltimmo harjoittaa Unkarissa.

39

Edellä 33 kohdassa mainittuja tarkastuksia, jotka ennakkoratkaisua pyytäneen tuomioistuimen on tarvittaessa tehtävä sen selvittämiseksi, onko rekisterinpitäjällä toimipaikka Unkarissa, koskevin varauksin on siis katsottava, että tämä käsittely on toteutettu tämän toimipaikan toiminnan yhteydessä ja että direktiivin 95/46 4 artiklan 1 kohdan a alakohdan nojalla on pääasiassa kyseessä olevan kaltaisessa tilanteessa mahdollista soveltaa henkilötietojen suojaa koskevaa Unkarin oikeutta.

40

Sillä, että kiinteistöilmoitusten kohteena olevien kiinteistöjen omistajat ovat Unkarin kansalaisia, ei sen sijaan ole mitään merkitystä määritettäessä, mitä kansallista oikeutta pääasiassa kyseessä olevaan tietojenkäsittelyyn sovelletaan.

41

Kaiken edellä olevan perusteella ensimmäiseen, toiseen, kolmanteen, neljänteen, viidenteen ja kuudenteen kysymykseen on vastattava seuraavasti:

42

Seitsemäs kysymys on esitetty vain sen varalta, että Unkarin valvontaviranomainen katsoo, että Weltimmolla ei ole Unkarissa mutta kylläkin jossakin toisessa jäsenvaltiossa direktiivin 95/46 4 artiklan 1 kohdan a alakohdassa tarkoitettu toimipaikka, joka harjoittaa toimintaa, jonka yhteydessä asianomaisten henkilötietojen käsittely suoritetaan.

43

Ennakkoratkaisua pyytänyt tuomioistuin haluaa tällä kysymyksellään selvittää ennen kaikkea, onko siinä tapauksessa, että Unkarin valvontaviranomainen tulee siihen tulokseen, että henkilötietojen käsittelyyn ei sovelleta Unkarin oikeutta vaan jonkin toisen jäsenvaltion oikeutta, direktiivin 95/46 28 artiklan 1, 3 ja 6 kohtaa tulkittava siten, että tämä viranomainen voi käyttää vain kyseisen direktiivin 28 artiklan 3 kohdassa säädettyjä toimivaltuuksia tämän toisen jäsenvaltion oikeuden mukaisesti, eikä voi määrätä seuraamuksia.

44

Valvontaviranomaisen toimivallasta tällaisessa tapauksessa on ensiksi todettava, että direktiivin 95/46 28 artiklan 4 kohdan mukaan kuka tahansa henkilö voi esittää valvontaviranomaiselle oikeuksiensa ja vapauksiensa suojelua henkilötietojen käsittelyn osalta koskevan vaateen.

45

Näin ollen pääasiassa kysymyksessä olevan kaltaisessa tilanteessa asian voivat saattaa Unkarin valvontaviranomaisen käsiteltäväksi henkilöt, kuten pääasiassa kiinteistöilmoitusten ilmoittajat, jotka katsovat, että heidän henkilötietojaan on käsitelty laittomasti jäsenvaltiossa, jossa he omistavat nämä kiinteistöt.

46

On toiseksi tutkittava, mitkä tämän valvontaviranomaisen valtuudet ovat direktiivin 95/46 28 artiklan 1, 3 ja 6 kohdan valossa.

47

Direktiivin 28 artiklan 1 kohdasta seuraa, että jäsenvaltioiden direktiivin 95/46 mukaisesti toteuttamien toimenpiteiden soveltamista tämän jäsenvaltion alueella valvoo kukin jäsenvaltion asettama valvontaviranomainen.

48

Direktiivin 95/46 28 artiklan 3 kohdan nojalla näillä valvontaviranomaisilla on erityisesti tutkintavaltuudet, kuten valtuudet kerätä kaikki valvontatehtävänsä suorittamiseksi tarvittavat tiedot, ja tehokkaat toimintavaltuudet, kuten valtuudet määrätä tietojen suojaamisesta, poistamisesta tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti taikka valtuudet antaa rekisterinpitäjälle huomautus tai varoitus.

49

Kun otetaan huomioon se, että tämä valtuuksien luettelo ei ole tyhjentävä, ja kyseisessä säännöksessä mainitut toimivaltuuksien tyypit sekä jäsenvaltioilla direktiivin 95/46 täytäntöönpanon osalta oleva liikkumavara, on katsottava, että näihin toimintavaltuuksiin voi kuulua seuraamusten määrääminen tietojen rekisterinpitäjälle siten, että sille tarvittaessa määrätään sakko.

50

Valvontaviranomaisten on käytettävä niille myönnettyjä toimivaltuuksia jäsenvaltionsa prosessioikeuden mukaisesti.

51

Direktiivin 95/46 28 artiklan 1 ja 3 kohdasta seuraa, että valvontaviranomaiset käyttävät kaikkia niille annettuja toimivaltuuksia jäsenvaltionsa alueella sen varmistamiseksi, että tällä alueella noudatetaan tietosuojaa koskevia sääntöjä.

52

Tämä valvontaviranomaisten toimivaltuuksien alueellinen soveltaminen vahvistetaan direktiivin 28 artiklan 6 kohdassa, jossa säädetään, että valvontaviranomainen on toimivaltainen käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat 3 kohdan mukaisesti, ja näin on riippumatta sovellettavasta kansallisesta oikeudesta. Kyseisessä 28 artiklan 6 kohdassa täsmennetään myös, että toisen jäsenvaltion viranomainen voi pyytää valvontaviranomaista käyttämään valtuuksiaan ja että valvontaviranomaisten on oltava yhteistyössä keskenään siinä määrin kuin on tarpeen tehtäviensä suorittamiseksi, erityisesti vaihtamalla hyödyllisiä tietoja.

53

Tämä säännös on tarpeen, jotta varmistetaan henkilötietojen vapaa liikkuvuus unionissa siten, että samalla varmistetaan direktiivissä 95/46 vahvistettujen luonnollisten henkilöiden yksityiselämän suojaa koskevien sääntöjen noudattaminen. Tällaisen säännöksen puuttuessa tilanteessa, jossa henkilötietojen rekisterinpitäjä olisi jonkin jäsenvaltion lainsäädännön alainen mutta loukkaisi luonnollisten henkilöiden yksityiselämän suojaa toisessa jäsenvaltiossa esimerkiksi kohdistamalla toimintansa tähän toiseen jäsenvaltioon olematta kuitenkaan sinne sijoittautunut direktiivissä tarkoitetulla tavalla, näiden henkilöiden olisi vaikeaa tai jopa mahdotonta puolustaa oikeuttaan tähän suojaan.

54

Direktiivin 95/46 28 artiklan 6 kohdasta siis seuraa, että jäsenvaltion valvontaviranomainen, jonka käsiteltäväksi luonnolliset henkilöt saattavat heitä koskevien henkilötietojen käsittelyä koskevan valituksen direktiivin 28 artiklan 4 kohdan perusteella, voi tutkia tämän valituksen sovellettavasta oikeudesta riippumatta ja näin ollen myös silloin, kun asianomaisten tietojen käsittelyyn sovelletaan jonkin toisen jäsenvaltion oikeutta.

55

Joka tapauksessa tässä tilanteessa kyseisen viranomaisen valtuuksiin eivät välttämättä kuulu kaikki sille jäsenvaltionsa oikeuden mukaisesti annetut valtuudet.

56

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 50 kohdassa, asianomaisen jäsenvaltion alueelliseen itsemääräämisoikeuteen, laillisuusperiaatteeseen ja oikeusvaltion käsitteeseen perustuvista vaatimuksista johtuu, että rankaisuvallan käyttö ei voi tapahtua lähtökohtaisesti niiden lainmukaisten rajojen ulkopuolella, joiden rajoissa hallintoviranomaisella on jäsenvaltionsa oikeuden mukaisesti valtuudet toimia.

57

Kun valvontaviranomaiselle tehdään kantelu direktiivin 95/46 28 artiklan 4 kohdan mukaisesti, kyseinen viranomainen voi käyttää tutkintavaltuuksiaan riippumatta sovellettavasta kansallisesta oikeudesta ja jopa ennen kuin tiedetään, mitä kansallista oikeutta kyseessä olevaan käsittelyyn sovelletaan. Jos se kuitenkin tulee siihen tulokseen, että jonkin toisen jäsenvaltion oikeutta sovelletaan, se ei voi määrätä seuraamuksia jäsenvaltionsa alueen ulkopuolella. Tällaisessa tilanteessa sen on direktiivin 28 artiklan 6 kohdassa säädetyn yhteistyövelvollisuuden mukaisesti pyydettävä tämän toisen jäsenvaltion valvontaviranomaista toteamaan mahdollinen tämän oikeuden rikkominen ja määräämään seuraamuksia, jos kyseinen oikeus sen mahdollistaa, ja nojauduttava tarvittaessa ensimmäisen jäsenvaltion valvontaviranomaisen sille toimittamiin tietoihin.

58

Valvontaviranomainen, jonka käsiteltäväksi on saatettu tällainen kantelu, voi tämän yhteistyön puitteissa joutua suorittamaan muita tutkimuksia toisen jäsenvaltion valvontaviranomaisen antamien ohjeiden mukaan.

59

Tästä seuraa, että pääasiassa kyseessä olevan kaltaisessa tilanteessa siinä tapauksessa, että sovellettaisiin jonkin muun jäsenvaltion kuin Unkarin oikeutta, Unkarin valvontaviranomainen ei voisi käyttää sille Unkarin oikeudessa annettuja seuraamuksia koskevia valtuuksia.

60

Edellä esitetyn perusteella seitsemänteen kysymykseen on vastattava, että siinä tapauksessa, että jäsenvaltion valvontaviranomainen, jonka käsiteltäväksi on saatettu kanteluja direktiivin 95/46 28 artiklan 4 kohdan mukaisesti, tulee siihen tulokseen, että asianomaisten henkilötietojen käsittelyyn ei ole sovellettava tämän jäsenvaltion vaan jonkin toisen jäsenvaltion oikeutta, direktiivin 95/46 28 artiklan 1, 3 ja 6 kohtaa on tulkittava siten, että tämä valvontaviranomainen voi käyttää sille kyseisen direktiivin 28 artiklan 3 kohdassa annettuja tehokkaita toimintavaltuuksia vain jäsenvaltionsa alueella. Se ei siis voi määrätä seuraamuksia tämän jäsenvaltion oikeuden perusteella näiden tietojen rekisterinpitäjälle, joka ei ole sijoittautunut tälle alueelle, vaan sen on saman direktiivin 28 artiklan 6 kohdan nojalla pyydettävä sen jäsenvaltion valvontaviranomaista, jonka oikeutta sovelletaan, toimimaan asiassa.

61

Ennakkoratkaisua pyytänyt tuomioistuin kysyy kahdeksannella kysymyksellään unionin tuomioistuimelta käsitteen ”adatfeldolgozás” (tietojen muokkaaminen) ulottuvuudesta. Käsitettä käytetään erityisesti direktiivin 95/46 sovellettavan kansallisen oikeuden määrittämistä koskevan 4 artiklan 1 kohdan a alakohdassa ja valvontaviranomaisen toimivaltaa koskevan 28 artiklan 6 kohdassa.

62

Direktiivin 95/46 unkarinkielisestä versiosta käy ilmi, että siinä käytetään systemaattisesti sanaa ”adatfeldolgozás”.

63

Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että tietosuojalaissa ja erityisesti sen niissä säännöksissä, joilla pannaan täytäntöön valvontaviranomaisen toimivaltaa koskevat direktiivin 95/46 säännökset, käytetään sanaa ”adatkezelés” (tietojen käsittely). Kuten lain 3 §:n 10 momentista käy ilmi, tällä sanalla on laajempi merkitys kuin lain 3 §:n 17 momentissa määritellyllä sanalla ”adatfeldolgozás”, ja se kattaa tämän viimeksi mainitun sanan.

64

Vaikka käsitteellä ”adatfeldolgozás” on tavanomaisen merkityksensä ja tietosuojalaista ilmenevän perusteella suppeampi merkitys kuin käsitteellä ”adatkezelés”, on kuitenkin todettava, että direktiivin 95/46 unkarinkielisen version 2 artiklan b alakohdassa määritellään sana ”adatfeldolgozás” laajasti sanaa ”adatkezelés” vastaavasti.

65

Kahdeksanteen kysymykseen on siis vastattava, että direktiiviä 95/46 on tulkittava siten, että direktiivin unkarinkielisessä versiossa ja erityisesti sen 4 artiklan 1 kohdan a alakohdassa ja 28 artiklan 6 kohdassa käytetty käsite ”adatfeldolgozás” (tietojen muokkaaminen) on ymmärrettävä samalla tavoin kuin sana ”adatkezelés” (tietojen käsittely).

66

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (kolmas jaosto) on ratkaissut asian seuraavasti: