Autori:

Po vydaní kontroverzného rozhodnutia vo veci Google Spain (v ktorom sa okrem tzv. „práva byť zabudnutý“ pojednávalo aj o aplikovateľnom práve) vydal Súdny dvor Európskej únie (SDEÚ) ďalšie dôležité – a zároveň opäť pomerne kontroverzné – rozhodnutie z 1. októbra 2015. Toto rozhodnutie je kľúčové pre určenie otázky, právo ktorého štátu (alebo štátov) je rozhodné pre spracovanie osobných údajov. Tento prípad má svoj pôvod v Maďarsku a zahŕňa slovenskú spoločnosť Weltimmo s.r.o. proti maďarskému úradu na ochranu osobných údajov (prípad C-230/14).

V dôsledku nedávneho rozruchu okolo rozsudku SDEÚ vo veci Schrems vs. Facebook, ktorým súd vyhlásil mechanizmus Safe Harbor za neplatný, a aj vzhľadom na to, že Weltimmo nie je celosvetovým hráčom na trhu, nezískal tento rozsudok (bohužiaľ) takú pozornosť, akú by si zaslúžil.

Vzhľadom na to, že otázka aplikovateľného práva je úzko spätá s definíciou „usadenia sa“ (angl. establishment), SDEÚ v tomto rozhodnutí definuje, čo sa myslí pod usadením pre potreby ochrany osobných údajov. Kontroverzne (avšak nie prekvapivo) dodáva, že táto definícia sa bude striktnejšie aplikovať pre internetové spoločnosti. Prípad Weltimmo v zásade rieši dve dôležité otázky:

- Ako je definované „byť usadený“ pre potreby práva ochrany osobných údajov?

- Ktorý orgán ochrany osobných údajov má právomoc ukladať sankcie?

Najmä nadnárodné spoločnosti riešia tieto otázky každý deň. Štruktúra a vnútorná organizácia spoločností, ktoré pôsobia v niekoľkých krajinách, často spôsobujú ťažkosti pri rozhodovaní o aplikovateľnom práve a zisťovaní, ktorý orgán má právomoc ukladať sankcie. Odpoveď na tieto otázky je ešte komplexnejšia pri internetových spoločnostiach, ktoré sú teoreticky schopné prevádzkovať svoj podnik prostredníctvom jediného laptopu.

Okolnosti prípadu

Menšia slovenská spoločnosť – Weltimmo – prevádzkovala webovú stránku, na ktorej uverejňovala inzeráty maďarských nehnuteľností. Reklamné služby boli inzerentom poskytované prvý mesiac bezplatne a následné uverejňovanie bolo spoplatnené. Niekoľko maďarských inzerentov kontaktovalo slovenskú spoločnosť prostredníctvom emailu a žiadalo o vymazanie inzerátov a ich osobných údajov pred skončením 1-mesačného bezplatného obdobia. Spoločnosť Weltimmo nevzala tieto žiadosti do úvahy a postúpila osobné údaje inzerentov, ktorí po mesiaci nezaplatili, exekútorom.

Inzerenti podali sťažnosť na maďarský úrad ochrany osobných údajov, ktorý na základe porušenia maďarského práva na ochranu osobných údajov uložil spoločnosti Weltimmo pokutu vo výške 10 miliónov forintov (približne 32.000 EUR).

Maďarský úrad na ochranu osobných údajov došiel k záveru, že na tento prípad sa aplikuje maďarské (a nie slovenské) právo ochrany osobných údajov, a to predovšetkým lebo: (i) spoločnosť Weltimmo získala osobné údaje na území Maďarska; a (ii) spoločnosť Weltimmo mala „maďarskú kontaktnú osobu“ (spoločníka, ktorý bol maďarským občanom s trvalým pobytom na území Maďarska), ktorý spoločnosť Weltimmo zastupoval v maďarských správnych konaniach.

Maďarský Najvyšší súd, ktorý v tejto veci konal, položil SDEÚ prejudiciálnu otázku, či maďarský úrad na ochranu osobných údajov správne aplikoval na prípad maďarské pravidlá ochrany osobných údajov a či bol oprávnený uložiť pokutu.

Široký výklad pojmu „usadenie sa“

Článok 4 ods. 1 písm. a) smernice 95/46/ES ustanovuje, že vnútroštátne právo na ochranu osobných údajov sa uplatní tam, kde sa spracovanie vykonáva v kontexte činností „usadenia sa“ prevádzkovateľa na území členského štátu. Keď je ten istý prevádzkovateľ „usadený“ na území niekoľkých členských štátov, musí prijať nevyhnutné opatrenia, aby zaistil, že každé z týchto jeho usídlení je v súlade s povinnosťami, ktoré predpisuje právo danej krajiny.

SDEÚ v tomto prípade interpretoval pojem „usadenie sa“ veľmi široko. Podľa jeho názoru je „usadenie sa“ definované: (i) mierou stability prevádzkarne; a (ii) skutočným výkonom činnosti v inom členskom štáte. SDEÚ ďalej uviedol, že pojem „usadenie sa“ „sa vzťahuje na každú, hoci aj minimálnu skutočnú a efektívnu činnosť, ktorá je vykonávaná prostredníctvom stálej prevádzkarne“. Takéto usídlenie sa však musí byť v „kontexte činností“ danej prevádzkarne.

S ohľadom na ponúkanie služieb výlučne prostredníctvom internetu SDEÚ rozhodol, že i prítomnosť jediného zástupcu môže za určitých okolností postačovať na to, aby prevádzkareň, ak bola kvalifikovaná ako dostatočne stabilná. SDEÚ ďalej príkladmo uviedol, že prevádzkovanie webovej stránky v miestnom jazyku členského štátu by bolo takýmto prípadom.

Orgán, ktorý je oprávnený uložiť sankcie

Ak sa spoločnosť nepovažuje za „usídlenú“ v členskom štáte, má podľa SDEÚ miestny úrad ochrany osobných údajov len obmedzené právomoci. Takýto úrad môže prípad prejednať a analyzovať ho, ale akákoľvek sankcia môže byť uložená jedine orgánom členského štátu, ktorého právo sa na daný prípad aplikuje. Otázkou však ostáva, ktorý orgán dozoru by mal byť považovaný za kompetentný orgán, ktorý môže uložiť sankciu, v prípade, že spoločnosť je usídlená v niekoľkých členských štátoch. Túto otázku SDEÚ nerieši.

Rozhodnutie rovnako neanalyzuje ako (a či vôbec) sú úrady na ochranu osobných údajov oprávnené zdieľať informácie medzi sebou a ako také zdieľanie môže fungovať, ak sa popri ochrane osobných údajov budú aplikovať dodatočné obmedzenia (ako napr. bankové tajomstvo).

Aké sú dôsledky rozhodnutia?

Tento široký výklad pojmu „byť usídlený“ by mohol, minimálne čo sa týka činností uskutočňovaných prostredníctvom internetu, vyústiť do aplikácie niekoľkých vnútroštátnych poriadkov v EÚ naraz, napr. v každej krajine, kde spoločnosť má spriaznenú osobu, organizačnú zložku alebo hoci len zamestnanca s prenosným počítačom (na stálom alebo prechodnom základe). Na dodržanie vyššie uvedeného by však bola nevyhnutná napr. registrácia na viacerých úradoch na ochranu osobných údajov (v každom členskom štáte, kde je spoločnosť usídlená a kde spracováva osobné údaje „v kontexte svojich činností“), čo môže byť pre viacero spoločností zaťažujúce.

Aplikácia lokálnych právnych predpisov by tiež viedla k vzniku právomoci miestnych orgánov ochrany osobných údajov na kontrolu činností vykonávaných prostredníctvom prevádzkarní. Nadnárodné spoločnosti by preto museli dodržiavať právne predpisy na ochranu osobných údajov v rámci niekoľkých krajín EÚ, pričom každá krajina môže mať svoje špecifické odlišnosti a osobitosti.

Toto rozhodnutie pravdepodobne príliš neprispieva k myšlienke jednotného digitálneho trhu. Je otázne, či je vôbec takto široký výklad potrebný, vzhľadom k tomu, že všetkým občanom EÚ sa poskytuje rovnaká minimálna ochrana osobných údajov, ktorá vyplýva zo smernice 95/46/ES.

Rovnako sa zdá, že SDEÚ nevzal do úvahy situáciu, kedy by v rámci korporátnej skupiny mohla určitá entita v inom členskom štáte byť v skutočnosti v pozícii „spracovateľa údajov“ pre inú entitu tejto skupiny, ktorá pôsobí ako „prevádzkovateľ“. Rozhodnutie Weltimmo pojmy „prevádzkovateľ“ a „spracovateľ“ ani nepoužíva.

Záver a praktické následky rozhodnutia

Veľká vďaka nášmu skvelému paraleglovi Rišovi Mackovi za pomoc s týmto (nie jednoduchým) prekladom.

Nemáte oprávnenie pridať názor. Prihláste sa prosím