HvJ EU, 05-06-2018, nr. C-210/16

De tiende, achttiende, negentiende en zesentwintigste overweging van richtlijn 95/46 luiden als volgt:

Artikel 1 van richtlijn 95/46, met het opschrift ‘Onderwerp van de richtlijn’, bepaalt:

Artikel 2 van die richtlijn, met het opschrift ‘Definities’, luidt als volgt:

Artikel 4 van die richtlijn, met het opschrift ‘Toepasselijk nationaal recht’, bepaalt in lid 1:

Artikel 17 van richtlijn 95/46, met het opschrift ‘Beveiliging van de verwerking’, bepaalt in de leden 1 en 2:

Artikel 24 van die richtlijn, met het opschrift ‘Sancties’, luidt:

Artikel 28 van deze richtlijn, met het opschrift ‘Toezichthoudende overheid’, luidt als volgt:

§ 3, lid 7, van het Bundesdatenschutzgesetz (federale wet inzake gegevensbescherming), in de versie die van toepassing is op de feiten in het hoofdgeding (hierna: ‘BDSG’), luidt als volgt:

§ 11 BDSG, met het opschrift ‘Verkrijging, verwerking of gebruik van persoonsgegevens door tussenkomst van een derde verwerker’, luidt als volgt:

§ 38, lid 5, BDSG bepaalt:

§ 12 van het Telemediengesetz (wet op de elektronische media), van 26 februari 2007 (BGBl. 2007 I, blz. 179; hierna: ‘TMG’), luidt als volgt:

Met zijn eerste en tweede vraag, die gezamenlijk moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of artikel 2, onder d), artikel 17, lid 2, artikel 24 en artikel 28, lid 3, tweede streepje, van richtlijn 95/46 aldus moeten worden uitgelegd dat zij toestaan een lichaam, in zijn hoedanigheid van beheerder van een fanpagina die op een sociaal netwerk is opgeslagen, in geval van schending van de regels inzake de bescherming van persoonsgegevens verantwoordelijk te houden als gevolg van de keuze om voor de verspreiding van zijn informatieaanbod gebruik te maken van dit sociale netwerk.

Ter beantwoording van deze vragen zij eraan herinnerd dat richtlijn 95/46, zoals volgt uit artikel 1 en uit de tiende overweging ervan, met betrekking tot de verwerking van persoonsgegevens een hoog niveau van bescherming van de grondrechten en vrijheden van natuurlijke personen, en vooral van hun privéleven, beoogt te waarborgen (arrest van 11 december 2014, Ryneš, C-212/13, EU:C:2014:2428, punt 27 en aldaar aangehaalde rechtspraak).

In overeenstemming met deze doelstelling geeft artikel 2, onder d), van deze richtlijn een ruime uitlegging aan het begrip ‘voor de verwerking verantwoordelijke’, waarmee wordt gedoeld op de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

Immers, zoals het Hof reeds heeft geoordeeld, bestaat het doel van deze bepaling erin via een ruime omschrijving van het begrip ‘verantwoordelijke’ een doeltreffende en volledige bescherming van de betrokkenen te verzekeren (arrest van 13 mei 2014, Google Spain en Google, C-131/12, EU:C:2014:317, punt 34).

Aangezien, zoals uitdrukkelijk is bepaald in artikel 2, onder d), van richtlijn 95/46, het begrip ‘voor de verwerking verantwoordelijke’ doelt op het lichaam dat ‘alleen of tezamen met anderen’, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, verwijst dit begrip bovendien niet noodzakelijkerwijs naar een enkel lichaam en kan het betrekking hebben op meerdere deelnemers aan deze verwerking, die dan ieder onder de bepalingen op het gebied van gegevensbescherming vallen.

In het onderhavige geval moeten Facebook Inc. en, wat de Unie betreft, Facebook Ireland worden beschouwd als degenen die primair het doel van en de middelen voor de verwerking van de persoonsgegevens van de Facebookgebruikers en van de personen die de fanpagina's op Facebook bezoeken vaststellen en dus onder het begrip ‘voor de verwerking verantwoordelijke’ in de zin van artikel 2, onder d), van richtlijn 95/46 vallen, hetgeen in deze zaak niet wordt betwijfeld.

Ter beantwoording van de gestelde vragen moet niettemin worden onderzocht of en in welke mate de beheerder van een fanpagina op Facebook, zoals Wirtschaftsakademie, in het kader van deze fanpagina bijdraagt aan de vaststelling, gezamenlijk met Facebook Ireland en Facebook Inc., van het doel van en de middelen voor de verwerking van de persoonsgegevens van de bezoekers van die fanpagina en dus mede kan worden beschouwd als ‘voor de verwerking verantwoordelijke’ in de zin van artikel 2, onder d), van richtlijn 95/46.

In dat verband blijkt dat eenieder die een fanpagina op Facebook wil aanmaken, voor de opening van een dergelijke pagina een specifieke overeenkomst met Facebook Ireland sluit en daarbij instemt met de gebruiksvoorwaarden van deze pagina, met inbegrip van het bijbehorende cookiebeleid, hetgeen door de nationale rechter moet worden nagegaan.

Zoals blijkt uit het aan het Hof overgelegde dossier, worden de gegevensverwerkingen die in het hoofdgeding aan de orde zijn hoofdzakelijk uitgevoerd door het plaatsen, door Facebook, op de computer of op ieder ander apparaat van de personen die de fanpagina hebben bezocht, van cookies die tot doel hebben informatie op de webbrowsers op te slaan en gedurende twee jaar actief blijven indien ze niet worden gewist. Uit het dossier komt tevens naar voren dat Facebook, in de praktijk, de informatie die in cookies is opgeslagen met name ontvangt, opslaat en verwerkt bij het bezoek van een persoon aan ‘de Facebook-[diensten], waaronder [de] website en apps [van Facebook] of als [iemand] andere websites en apps bezoekt die gebruikmaken van Facebook-[diensten]’. Daarenboven kunnen ook andere entiteiten, zoals partners van Facebook of zelfs derden, ‘cookies op de Facebook-[diensten] gebruiken om [rechtstreeks aan dit sociale netwerk] en de bedrijven die adverteren op Facebook [diensten] te verlenen’.

Deze verwerkingen van persoonsgegevens hebben met name tot doel om enerzijds Facebook in staat te stellen het advertentiesysteem dat zij via haar netwerk verspreidt te verbeteren en anderzijds de beheerder van de fanpagina in staat te stellen om met het oog op het beheer van de promotie voor zijn activiteit statistieken te verkrijgen die Facebook aan de hand van bezoeken aan deze pagina heeft opgesteld, waardoor hij bijvoorbeeld te weten kan komen wat het profiel is van de bezoekers die zijn fanpagina appreciëren of zijn applicaties gebruiken, zodat hij hun relevantere content kan aanbieden en functiemogelijkheden kan ontwikkelen die hen mogelijk meer interesseren.

Ofschoon een Facebook-gebruiker door het loutere gebruik van een sociaal netwerk als Facebook niet medeverantwoordelijk wordt voor een verwerking van persoonsgegevens door dit netwerk, moet daarentegen wel worden opgemerkt dat de beheerder van een fanpagina op Facebook het netwerk door het aanmaken van een dergelijke pagina de mogelijkheid biedt cookies te plaatsen op de computer of op ieder ander apparaat van degene die de fanpagina heeft bezocht, ongeacht of deze persoon een Facebookaccount heeft.

In dit verband blijkt uit de aan het Hof overgelegde gegevens dat de beheerder van een fanpagina op Facebook bij het aanmaken van een dergelijke pagina instellingen moet vastleggen naargelang van met name zijn doelpubliek en van doelstellingen voor het beheer of de promotie van zijn activiteiten, hetgeen van invloed is op de verwerking van persoonsgegevens met het oog op het opstellen van statistieken op basis van bezoeken aan de fanpagina. Deze beheerder kan, met behulp van filters die hem door Facebook ter beschikking worden gesteld, criteria vaststellen aan de hand waarvan deze statistieken moeten worden opgesteld en zelfs de categorieën personen aanwijzen wier persoonsgegevens door Facebook zullen worden geëxploiteerd. Dientengevolge draagt de beheerder van een fanpagina op Facebook bij aan de verwerking van persoonsgegevens van de bezoekers van zijn pagina.

Meer bepaald kan de beheerder van de fanpagina verzoeken om ontvangst — en dus de verwerking — van demografische gegevens met betrekking tot zijn doelgroep, met name trends op het gebied van leeftijd, geslacht, liefdesleven, en beroep, informatie over de levensstijl en de interesses van zijn doelgroep, alsmede informatie over de aankopen en het online-aankoopgedrag van de bezoekers van zijn pagina, de categorieën producten of diensten die deze groep het meest interesseren, alsook geografische gegevens die de beheerder van de fanpagina aangeven waar hij speciale promotieactiviteiten kan verrichten of evenementen kan organiseren en waarmee hij meer in het algemeen zijn informatieaanbod beter kan richten.

Ofschoon de door Facebook opgestelde bezoekersstatistieken slechts geanonimiseerd aan de beheerder van de fanpagina worden doorgegeven, zijn deze statistieken niettemin opgesteld op basis van de voorafgaande verkrijging door middel van cookies die door Facebook zijn geplaatst op de computer of op ieder ander apparaat van degenen die deze pagina hebben bezocht, en op basis van de verwerking van de persoonsgegevens van deze bezoekers voor deze statistische doeleinden. In ieder geval vereist richtlijn 95/46 niet dat, wanneer meerdere ondernemers gezamenlijk voor dezelfde verwerking verantwoordelijk zijn, elk van hen toegang heeft tot de betrokken persoonsgegevens.

In deze omstandigheden moet worden geoordeeld dat de beheerder van een fanpagina op Facebook, zoals Wirtschaftsakademie, door het vastleggen van instellingen naargelang van, met name, zijn doelpubliek en van doelstellingen voor het beheer of de promotie van zijn activiteiten, deelneemt aan de vaststelling van het doel van en de middelen voor de verwerking van de persoonsgegevens van de bezoekers van zijn fanpagina. Hiervoor moet deze beheerder, in casu, worden aangemerkt als verantwoordelijke binnen de Unie, gezamenlijk met Facebook Ireland, voor deze verwerking, in de zin van artikel 2, onder d), van richtlijn 95/46.

Het feit dat een beheerder van een fanpagina gebruikmaakt van het door Facebook beschikbaar gestelde platform om van de bijbehorende diensten te profiteren kan hem namelijk niet ontslaan van de naleving van zijn verplichtingen op het gebied van bescherming van persoonsgegevens.

Overigens moet worden benadrukt dat de fanpagina's op Facebook ook kunnen worden bezocht door personen die geen Facebookgebruiker zijn en dus geen gebruikersaccount op dit sociale netwerk hebben. In dat geval is de verantwoordelijkheid van de beheerder van de fanpagina ten aanzien van de verwerking van de persoonsgegevens van deze personen nog groter, omdat louter door het raadplegen van de fanpagina door deze bezoekers automatisch de verwerking van hun persoonsgegevens in werking wordt gesteld.

In deze omstandigheden draagt de erkenning van een gezamenlijke verantwoordelijkheid van de exploitant van het sociale netwerk en de beheerder van een fanpagina die op dit netwerk is geplaatst in verband met de verwerking van de persoonsgegevens van de bezoekers van deze fanpagina bij aan de waarborging van een vollediger bescherming van de rechten van de personen die een fanpagina bezoeken, overeenkomstig de vereisten van richtlijn 95/46.

Niettemin moet worden benadrukt dat, zoals de advocaat-generaal in de punten 75 en 76 van zijn conclusie heeft opgemerkt, het bestaan van een gezamenlijke verantwoordelijkheid zich niet noodzakelijkerwijs uit in een gelijkwaardige verantwoordelijkheid van de verschillende ondernemers die betrokken zijn bij de verwerking van persoonsgegevens. Deze ondernemers kunnen juist in verschillende stadia en in verschillende maten bij deze verwerking betrokken zijn, zodat het niveau van verantwoordelijkheid van elk van hen moet worden beoordeeld in het licht van alle relevante omstandigheden van het geval.

Gelet op het voorgaande moet op de eerste en de tweede vraag worden geantwoord dat artikel 2, onder d), van richtlijn 95/46 aldus moet worden uitgelegd dat het begrip ‘voor de verwerking verantwoordelijke’ in de zin van deze bepaling de beheerder van een op een sociaal netwerk geplaatste fanpagina omvat.

Met zijn derde en vierde vraag, die gezamenlijk samen moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of de artikelen 4 en 28 van richtlijn 95/46 aldus moeten worden uitgelegd dat, wanneer een buiten de Unie gevestigde onderneming meerdere vestigingen in verschillende lidstaten heeft, de toezichthoudende autoriteit van een lidstaat bevoegd is tot uitoefening van haar bevoegdheden uit hoofde van artikel 28, lid 3, van deze richtlijn, ten aanzien van een vestiging op het grondgebied van die lidstaat terwijl, krachtens de verdeling van taken binnen de groep, deze vestiging uitsluitend is belast met de verkoop van advertentieruimte en andere marketingactiviteiten op het grondgebied van die lidstaat, en de exclusieve verantwoordelijkheid voor de verkrijging en de verwerking van persoonsgegevens, voor het gehele grondgebied van de Unie, berust bij een vestiging in een andere lidstaat, dan wel dat het aan de toezichthoudende autoriteit van de laatstgenoemde lidstaat is, deze bevoegdheden ten aanzien van tweede vestiging uit te oefenen.

Het ULD en de Italiaanse regering hebben twijfels over de ontvankelijkheid van deze vragen, omdat zij niet relevant zijn voor de beslechting van het hoofdgeding. Het bestreden besluit is immers gericht tot Wirtschaftsakademie en dus niet tot Facebook Inc., noch tot een van haar op het grondgebied van de Unie gevestigde dochterondernemingen.

In dit verband zij eraan herinnerd dat het in het kader van de in artikel 267 VWEU ingestelde samenwerking tussen het Hof en de nationale rechterlijke instanties uitsluitend een zaak is van de nationale rechter aan wie het geschil is voorgelegd en die de verantwoordelijkheid draagt voor de te geven rechterlijke beslissing, om, gelet op de bijzonderheden van de zaak, zowel de noodzaak van een prejudiciële beslissing voor het wijzen van zijn vonnis als de relevantie van de vragen die hij aan het Hof stelt, te beoordelen. Wanneer de vragen dus betrekking hebben op de uitlegging van Unierecht, is het Hof in beginsel verplicht daarop te antwoorden (arrest van 6 september 2016, Petruhhin, C-182/15, EU:C:2016:630, punt 19 en aldaar aangehaalde rechtspraak).

In casu moet worden opgemerkt dat de verwijzende rechter stelt dat hij een antwoord van het Hof op de derde en de vierde prejudiciële vraag noodzakelijk acht voor de beslechting van het hoofdgeding. Hij licht namelijk toe dat, mocht worden vastgesteld dat, in het licht van dit antwoord, het ULD de gestelde schendingen van het recht op bescherming van de persoonsgegevens kon verhelpen door het vaststellen van een maatregel tegen Facebook Germany, een dergelijke omstandigheid zou kunnen aantonen dat in het bestreden besluit blijk was gegeven van een onjuiste beoordeling, omdat dit ten onrechte jegens Wirtschaftsakademie was vastgesteld.

Bijgevolg zijn de derde en de vierde vraag ontvankelijk.

Ter beantwoording van deze vragen moet er vooraf aan worden herinnerd dat krachtens artikel 28, leden 1 en 3, van richtlijn 95/46, elke toezichthoudende autoriteit alle bevoegdheden uitoefent die haar zijn toegekend op het grondgebied van haar eigen lidstaat, teneinde op dat grondgebied de eerbiediging van de regels inzake gegevensbescherming te waarborgen (zie in die zin arrest van 1 oktober 2015, Weltimmo, C-230/14, EU:C:2015:639, punt 51).

De vraag welk nationaal recht van toepassing is op de verwerking van persoonsgegevens wordt geregeld door artikel 4 van richtlijn 95/46. Volgens artikel 4, lid 1, onder a), past elke lidstaat zijn nationale, ter uitvoering van deze richtlijn vastgestelde bepalingen toe op de verwerking van persoonsgegevens indien de verwerking plaatsvindt in het kader van de activiteiten van een vestiging op het grondgebied van de lidstaat van de voor de verwerking verantwoordelijke. Deze bepaling benadrukt dat wanneer dezelfde verantwoordelijke een vestiging heeft op het grondgebied van verscheidene lidstaten, hij de nodige maatregelen dient te treffen om ervoor te zorgen dat elk van die vestigingen voldoet aan de verplichtingen die worden opgelegd door de toepasselijke nationale wetgeving.

Aldus volgt uit een gecombineerde lezing van deze bepaling en van artikel 28, leden 1 en 3, van richtlijn 95/46 dat, wanneer het nationale recht van de lidstaat waaronder de toezichthoudende autoriteit ressorteert van toepassing is op grond van artikel 4, lid 1, onder a), van deze richtlijn, omdat de betrokken verwerking wordt verricht in het kader van de activiteiten van een vestiging van de voor de verwerking verantwoordelijke op het grondgebied van die lidstaat, deze toezichthoudende autoriteit alle bevoegdheden die haar krachtens dit recht worden verleend kan uitoefenen jegens die vestiging, los van de vraag of de voor de verwerking verantwoordelijke ook vestigingen in andere lidstaten bezit.

Om vast te stellen of een toezichthoudende autoriteit, in omstandigheden als die van het hoofdgeding, ten aanzien van een op het grondgebied van de lidstaat waaronder zij ressorteert gelegen vestiging bevoegd is tot uitoefening van de bevoegdheden die haar krachtens het nationale recht zijn toegekend, moet worden nagegaan of de twee voorwaarden van artikel 4, lid 1, onder a), van richtlijn 95/46 zijn vervuld, namelijk, ten eerste, of het ‘een vestiging […] van de voor de verwerking verantwoordelijke’ in de zin van deze bepaling betreft, en ten tweede, of deze verwerking wordt verricht ‘in het kader van de activiteiten’ van die vestiging in de zin van diezelfde bepaling.

Wat in de eerste plaats de voorwaarde betreft dat de verantwoordelijke voor de verwerking van persoonsgegevens moet beschikken over een vestiging op het grondgebied van de lidstaat waaronder de betrokken toezichthoudende autoriteit ressorteert, dient eraan te worden herinnerd dat, volgens de negentiende overweging van richtlijn 95/46, de vestiging op het grondgebied van een lidstaat het effectief en daadwerkelijk uitoefenen van activiteiten door een vaste vestiging veronderstelt en dat de rechtsvorm van een dergelijke vestiging, of het nu gaat om een bijkantoor of om een dochteronderneming met rechtspersoonlijkheid, niet doorslaggevend is (arrest van 1 oktober 2015, Weltimmo, C-230/14, EU:C:2015:639, punt 28 en aldaar aangehaalde rechtspraak).

In casu staat vast dat Facebook Inc., als verantwoordelijke voor de verwerking van persoonsgegevens samen met Facebook Ireland, een vaste vestiging heeft in Duitsland, namelijk Facebook Germany, gelegen in Hamburg, en dat deze laatste onderneming in die lidstaat daadwerkelijk en effectief werkzaamheden verricht. Zij is bijgevolg een ‘vestiging’ in de zin van artikel 4, lid 1, onder a), van richtlijn 95/46.

Wat in de tweede plaats de voorwaarde betreft dat de verwerking van persoonsgegevens wordt verricht ‘in het kader van de activiteiten’ van de vestiging, moet allereerst in herinnering worden gebracht dat, gelet op de door richtlijn 95/46 nagestreefde doelstelling een doeltreffende en volledige bescherming te waarborgen van de fundamentele rechten en vrijheden van natuurlijke personen, met name het recht op eerbiediging van de persoonlijke levenssfeer, de uitdrukking ‘in het kader van de activiteiten van een vestiging’ niet restrictief mag worden uitgelegd (arrest van 1 oktober 2015, Weltimmo, C-230/14, EU:C:2015:639, punt 25 en aldaar aangehaalde rechtspraak).

Vervolgens moet worden benadrukt dat artikel 4, lid 1, onder a), van richtlijn 95/46 niet vereist dat de betrokken verwerking van persoonsgegevens wordt verricht ‘door’ de betrokken vestiging zelf, maar enkel dat deze wordt verricht ‘in het kader van de activiteiten’ ervan (arrest Google Spain en Google, C-131/12, EU:C:2014:317, punt 52).

In casu blijkt uit de verwijzingsbeslissing en uit de schriftelijke opmerkingen van Facebook Ireland dat Facebook Germany is belast met de promotie en de verkoop van advertentieruimte en andere op de inwoners van Duitsland gerichte marketingactiviteiten uitvoert.

Zoals in de punten 33 en 34 van het onderhavige arrest in herinnering is gebracht, heeft de verwerking van persoonsgegevens die in het hoofdgeding aan de orde is, verricht door Facebook Inc. samen met Facebook Ireland en bestaande in het verkrijgen van dergelijke gegevens via cookies op de computers of ander apparaten van de bezoekers van de fanpagina op Facebook, onder meer tot doel dit sociale netwerk in staat te stellen zijn advertentiesysteem te verbeteren om zijn mededelingen doelgerichter te verspreiden.

Aangezien ten eerste een sociaal netwerk als Facebook een groot deel van zijn inkomsten genereert door middel van met name de advertenties op webpagina's die door gebruikers zijn aangemaakt en worden bezocht en ten tweede de vestiging van Facebook in Duitsland tot doel heeft te zorgen voor de promotie en de verkoop van advertentieruimte die de door Facebook geboden diensten rendabel moeten maken, dienen, zoals de advocaat-generaal in punt 94 van zijn conclusie heeft opgemerkt, de activiteiten van deze vestiging te worden geacht onlosmakelijk te zijn verbonden met de in het hoofdgeding aan de orde zijnde verwerking van persoonsgegevens, waarvoor Facebook Inc., tezamen met Facebook Ireland, de verantwoordelijke is. Derhalve moet een dergelijke verwerking worden beschouwd als verricht ‘in het kader van de activiteiten’ van een vestiging van de voor de verwerking verantwoordelijke, in de zin van artikel 4, lid 1, onder a), van richtlijn 95/46 (zie in die zin arrest van 13 mei 2014, Google Spain en Google, C-131/12, EU:C:2014:317, punten 55 en 56).

Hieruit volgt dat, aangezien de Duitse wetgeving krachtens artikel 4, lid 1, onder a), van richtlijn 95/46, van toepassing is op de verwerking van persoonsgegevens die in het hoofdgeding aan de orde is, de Duitse toezichthoudende autoriteit overeenkomstig artikel 28, lid 1, van deze richtlijn bevoegd was dit recht op die verwerking toe te passen.

Bijgevolg was die toezichthoudende autoriteit bevoegd om alle bevoegdheden waarover zij krachtens de Duitse omzettingsbepalingen van artikel 28, lid 3, van richtlijn 95/46 beschikt, ten aanzien van Facebook Germany aan te wenden teneinde de eerbiediging van de regels inzake de bescherming van persoonsgegevens op het Duitse grondgebied te verzekeren.

Verder dient nog te worden gepreciseerd dat de omstandigheid die de verwijzende rechter in zijn derde vraag benadrukt, namelijk dat de keuzestrategieën met betrekking tot de verkrijging en de verwerking van persoonsgegevens inzake personen die op het grondgebied van de Unie wonen, worden vastgesteld door een moedermaatschappij die in een derde land is gevestigd, zoals in dit geval Facebook Inc., niet afdoet aan de bevoegdheid van de toezichthoudende autoriteit van een lidstaat ten aanzien van een op het grondgebied van deze lidstaat gelegen vestiging van de voor de verwerking van deze gegevens verantwoordelijke.

Gelet op het voorgaande dient op de derde en de vierde vraag te worden geantwoord dat de artikelen 4 en 28 van richtlijn 95/46 aldus moeten worden uitgelegd dat, wanneer een buiten de Unie gevestigde onderneming meerdere vestigingen in verschillende lidstaten heeft, de toezichthoudende autoriteit van een lidstaat bevoegd is tot uitoefening van haar bevoegdheden uit hoofde van artikel 28, lid 3, van deze richtlijn ten aanzien van een vestiging van deze onderneming die is gelegen op het grondgebied van die lidstaat, ook al is deze vestiging, ingevolge de taakverdeling binnen de groep, uitsluitend belast met de verkoop van advertentieruimte en andere marketingactiviteiten op het grondgebied van die lidstaat, en berust de exclusieve verantwoordelijkheid voor de verkrijging en de verwerking van persoonsgegevens, voor het gehele grondgebied van de Unie, bij een vestiging die is gelegen in een andere lidstaat.

Met zijn vijfde en zesde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of artikel 4, lid 1, onder a), en artikel 28, leden 3 en 6, van richtlijn 95/46 aldus moeten worden uitgelegd dat wanneer de toezichthoudende autoriteit van een lidstaat voornemens is de bevoegdheden tot ingrijpen als bedoeld in artikel 28, lid 3, van deze richtlijn uit te oefenen ten aanzien van een lichaam dat gevestigd is op het grondgebied van deze lidstaat wegens inbreuken op de regels betreffende de bescherming van persoonsgegevens die zijn begaan door een derde die voor de verwerking van deze gegevens verantwoordelijk is en waarvan de zetel zich in een andere lidstaat bevindt, deze toezichthoudende autoriteit bevoegd is de wettigheid van een dergelijke verwerking van gegevens autonoom ten opzichte van de toezichthoudende autoriteit van die laatste lidstaat te beoordelen, en haar bevoegdheden tot ingrijpen ten aanzien van het op haar grondgebied gevestigde lichaam kan uitoefenen zonder eerst de toezichthoudende autoriteit van de andere lidstaat te verzoeken op te treden.

Ter beantwoording van deze vragen zij eraan herinnerd dat, zoals blijkt uit het antwoord op de eerste en de tweede prejudiciële vraag, artikel 2, onder d), van richtlijn 95/46 aldus moet worden uitgelegd dat het, in omstandigheden als die van het hoofdgeding, toestaat een lichaam als Wirtschaftsakademie in zijn hoedanigheid van beheerder van een fanpagina op Facebook verantwoordelijk te houden in geval van inbreuk op de regels inzake de bescherming van persoonsgegevens.

Hieruit volgt dat, overeenkomstig artikel 4, lid 1, onder a), en artikel 28, leden 1 en 3, van richtlijn 95/46, de toezichthoudende autoriteit van de lidstaat op het grondgebied waarvan dit lichaam gevestigd is, bevoegd is haar nationale recht toe te passen en aldus jegens dat lichaam alle bevoegdheden uit te oefenen die haar krachtens dit nationale recht zijn toegekend overeenkomstig artikel 28, lid 3, van deze richtlijn.

Zoals bepaald in artikel 28, lid 1, tweede alinea, van die richtlijn, oefenen de nationale toezichthoudende autoriteiten die zijn belast met het toezicht op de toepassing op hun grondgebied van de ter uitvoering van deze richtlijn door hun lidstaat vastgestelde bepalingen, de hun opgedragen taken in volledige onafhankelijkheid uit. Dit vereiste vloeit tevens voor uit het primaire Unierecht, met name uit artikel 8, lid 3, van het Handvest van de grondrechten van de Europese Unie en artikel 16, lid 2, VWEU (zie in die zin arrest van 6 oktober 2015, Schrems, C-362/14, EU:C:2015:650, punt 40).

Bovendien bevat richtlijn 95/46, ofschoon de toezichthoudende autoriteiten op grond van artikel 28, lid 6, tweede alinea, ervan onderling samenwerken voor zover zulks noodzakelijk is voor de uitvoering van hun taken, met name door de uitwisseling van alle nuttige inlichtingen, geen enkel prioriteitscriterium voor het optreden van de toezichthoudende autoriteiten ten opzichte van elkaar en verplicht zij een toezichthoudende autoriteit van een lidstaat niet het standpunt te volgen dat in voorkomend geval is geuit door de toezichthoudende autoriteit van een andere lidstaat.

Zo verplicht niets een op grond van het nationale recht bevoegde toezichthoudende autoriteit, de oplossing te volgen die in een vergelijkbare situatie door een andere toezichthoudende autoriteit is gekozen.

In dit verband moet eraan worden herinnerd dat, aangezien de nationale toezichthoudende autoriteiten ingevolge artikel 8, lid 3, van het Handvest van de grondrechten en artikel 28 van richtlijn 95/46 belast zijn met het toezicht op de naleving van de regels van de Unie op het gebied van de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens, elk van hen bevoegd is om na te gaan of bij een verwerking van persoonsgegevens op het grondgebied van de lidstaat waaronder zij ressorteert, de vereisten van richtlijn 95/46 worden nageleefd (zie in die zin arrest van 6 oktober 2015, Schrems, C-362/14, EU:C:2015:650, punt 47).

Daar artikel 28 van richtlijn 95/46 alleen al op grond van de aard ervan van toepassing is op elke verwerking van persoonsgegevens, zelfs in het geval van een beslissing van een toezichthoudende autoriteit van een andere lidstaat, is een nationale toezichthoudende autoriteit waartoe een persoon zich heeft gewend met een verzoek met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van op hem betrekking hebbende persoonsgegevens, verplicht om in volledige onafhankelijkheid te onderzoeken of de verwerking van die gegevens in overeenstemming is met de vereisten van die richtlijn (zie in die zin arrest van 6 oktober 2015, Schrems, C-362/14, EU:C:2015:650, punt 57).

Hieruit volgt dat, in casu, het ULD volgens het systeem van richtlijn 95/46 bevoegd was om autonoom ten opzichte van de beoordelingen door de Ierse toezichthoudende autoriteit de wettigheid van de verwerking van gegevens aan de orde in het hoofdgeding te toetsen.

Bijgevolg dient op de vijfde en de zesde vraag te worden geantwoord dat artikel 4, lid 1, onder a), en artikel 28, leden 3 en 6, van richtlijn 95/46 aldus moeten worden uitgelegd dat wanneer de toezichthoudende autoriteit van een lidstaat voornemens is de bevoegdheden tot ingrijpen als bedoeld in artikel 28, lid 3, van deze richtlijn uit te oefenen ten aanzien van een lichaam dat gevestigd is op het grondgebied van deze lidstaat wegens inbreuken op de regels betreffende de bescherming van persoonsgegevens die zijn begaan door een derde die voor de verwerking van deze gegevens verantwoordelijk is en waarvan de zetel zich in een andere lidstaat bevindt, deze toezichthoudende autoriteit bevoegd is de wettigheid van een dergelijke verwerking van gegevens autonoom ten opzichte van de toezichthoudende autoriteit van die laatste lidstaat te beoordelen en haar bevoegdheden tot ingrijpen ten aanzien van het op haar grondgebied gevestigde lichaam kan uitoefenen zonder eerst de toezichthoudende autoriteit van de andere lidstaat te verzoeken op te treden.