
   
               18.7.2016   
            
            
               PT
            
            
               Jornal Oficial da União Europeia
            
            
               C 260/18
            
         Pedido de decisão prejudicial apresentado pelo Bundesverwaltungsgericht (Alemanha) em 14 de abril de 2016 – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein/Wirtschaftsakademie Schleswig-Holstein GmbH
   (Processo C-210/16)
   (2016/C 260/24)
   Língua do processo: alemão
   
      Órgão jurisdicional de reenvio
   
   Bundesverwaltungsgericht
   
      Partes no processo principal
   
   
      Recorrido e recorrente: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
   
      Recorrente e recorrida: Wirtschaftsakademie Schleswig-Holstein GmbH
   
      Interveniente: Facebook Ireland Limited
   
      Participante: Vertreter des Bundesinteresses beim Bundesverwaltungsgericht
   
      Questões prejudiciais
   
   
               1)
            
            
               Deve o artigo 2.o, alínea d) da Diretiva 95/46/CE (1) ser interpretado no sentido de que regula de modo taxativo e exaustivo a responsabilidade pela violação da proteção de dados, ou, no âmbito das «medidas adequadas» a que se refere o artigo 24.o da Diretiva 95/46/CE e dos «poderes efetivos de intervenção» referidos no artigo 28.o, n.o 3, segundo travessão, da mesma diretiva, nas relações de prestação de informações em diversas etapas, pode ser imputada a responsabilidade a um organismo que não é responsável pelo tratamento dos dados, na aceção do artigo 2.o, alínea d), da Diretiva 95/46/CE, pela escolha do operador que assegurará a sua oferta de informação?
            
         
               2)
            
            
               Resulta «a contrario sensu» da obrigação que incumbe aos Estados-Membros por força do artigo 17.o, n.o 2, da Diretiva 95/46/CE, de, em caso de tratamento por sua conta, estabelecerem que o responsável pelo tratamento «deverá escolher um subcontratante que ofereça garantias suficientes em relação às medidas de segurança técnica e de organização do tratamento a efetuar», que, no caso de outras relações contratuais de utilização, não relacionadas com o tratamento de dados subcontratado, na aceção do artigo 2.o, alínea e) da Diretiva 95/46/CE, não há nem pode ser fundada no direito nacional qualquer obrigação de escolha diligente?
            
         
               3)
            
            
               Nos casos em que uma sociedade-mãe de um grupo, sediada fora da União Europeia, detém estabelecimentos juridicamente independentes (filiais) em diversos Estados-Membros, a autoridade de controlo de um Estado-Membro (neste caso, a Alemanha), nos termos do artigo 4.o e do artigo 28.o, n.o 6, da Diretiva 95/46/CE, também pode exercer os poderes que lhe são atribuídos pelo artigo 28.o, n.o 3, da Diretiva 95/46/CE em relação ao estabelecimento situado no seu próprio território, quando este estabelecimento só é responsável pela promoção das vendas de publicidade e outras medidas de marketing orientadas para os residentes neste Estado-Membro, ao passo que o estabelecimento independente (filial) situado noutro Estado-Membro (neste caso, a Irlanda), de acordo com a distribuição interna das funções do grupo, é a única responsável pela recolha e tratamento de dados pessoais em todo o território da União Europeia e, portanto, também no outro Estado-Membro (neste caso, a Alemanha), e quando a decisão sobre o tratamento dos dados é efetivamente tomada pela sociedade-mãe do grupo?
            
         
               4)
            
            
               Devem o artigo 4.o, n.o 1, alínea a), e o artigo 28.o, n.o 3, da Diretiva 95/46/CE ser interpretados no sentido de que, nos casos em que o responsável pelo tratamento tem um estabelecimento situado no território de um Estado-Membro (neste caso, a Irlanda) e há outro estabelecimento juridicamente independente no território de outro Estado-Membro (neste caso, a Alemanha), que é responsável, nomeadamente, pela venda de espaços publicitários e cuja atividade se orienta para os residentes deste Estado, a autoridade de controlo competente deste outro Estado-Membro (neste caso, a Alemanha) também pode tomar medidas e dirigir ordens a fim de garantir o direito à proteção de dados ao outro estabelecimento (neste caso, na Alemanha) que, nos termos da distribuição interna de funções e responsabilidades do grupo, não é responsável pelo tratamento de dados, ou essas medidas e ordens só podem ser decretadas pela autoridade de controlo do Estado-Membro (neste caso, a Irlanda) em cujo território se encontra sediado o organismo responsável dentro do grupo?
            
         
               5)
            
            
               Devem o artigo 4.o, n.o 1, alínea a) e o artigo 28.o, n.os 3 e 6 da Diretiva 95/46/CE ser interpretados no sentido de que, nos casos em que a autoridade de controlo de um Estado-Membro (neste caso, a Alemanha) intervém junto de uma pessoa ou de um serviço, nos termos do artigo 28.o, n.o 3, da Diretiva 95/46/CE, por não ter tido o cuidado necessário na seleção de um terceiro envolvido no processo de tratamento de dados (neste caso, a Facebook), porquanto este terceiro infringe a legislação relativa à proteção de dados, a autoridade de controlo que intervém (neste caso, a Alemanha) está vinculada à apreciação da autoridade de controlo da proteção de dados do outro Estado-Membro, no qual o terceiro responsável pelo tratamento de dados tem a sua sede (neste caso, a Irlanda), não podendo fazer qualquer apreciação jurídica divergente daquela, ou pode a autoridade de controlo que intervém (neste caso, a Alemanha) examinar ela própria a legalidade do tratamento de dados pelo terceiro estabelecido no outro Estado-Membro (neste caso, a Irlanda) como questão prévia à sua própria ação?
            
         
               6)
            
            
               Na medida em que a autoridade de controlo que intervém (neste caso, a Alemanha) possa proceder a uma verificação autónoma: deve o artigo 28.o, n.o 6, segundo período, da Diretiva 95/46/CE ser interpretado no sentido de que esta autoridade de controlo só pode exercer os poderes efetivos de intervenção que lhe são atribuídos pelo artigo 28.o, n.o 3, da Diretiva 95/46/CE contra uma pessoa ou um serviço estabelecido no seu território que seja corresponsável pela violação da proteção de dados cometida por um terceiro estabelecido no outro Estado-Membro, se tiver pedido previamente à autoridade de controlo deste outro Estado-Membro (neste caso, a Irlanda) que exercesse os seus poderes?
            
         
      (1)  Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO L 281, p. 31).
   