Persondata-dom er godt nyt for danske e-handelsfirmaer
07. november 2016
En afgørelse fra EU-Domstolen bekræfter det såkaldte etableringslandsprincip. Princippet betyder, at en virksomhed etableret i Danmark ikke er underlagt persondatareglerne i et andet EU-land, som virksomheden retter sine online-aktiviteter imod, hvis virksomheden ikke er etableret i landet. Dommen er dermed godt nyt for danske e-handelsvirksomheder, som udbyder sine tjenester til forbrugere i andre EU-lande.
Sagen, som EU-Domstolen har taget stilling til, drejede sig om en række vilkår i Amazon EU Sárls almindelige forretningsbetingelser. De er ifølge den østrigske forbrugerorganisation VKI urimelige i henhold til østrigsk ret, og VKI anlagde derfor et søgsmål ved de østrigske domstole for at få disse vilkår dømt ulovlige.
Amazon EU, der er del af den amerikanske Amazon-koncern, med hjemsted i Luxembourg, havde ikke noget forretningssted i Østrig. De Østrigske forbrugere kunne handle med Amazon via den tysksprogede hjemmeside (www.amazon.de). Når forbrugerne foretog et køb fra denne hjemmeside, var handlen underlagt Amazon EU's almindelige forretningsbetingelser, der bl.a. indeholdt vilkår om, at Amazon EU under visse omstændigheder havde ret til at foretage behandling og udveksling af forbrugernes personoplysninger.
Den østrigske højesteret har i forbindelse med sagen bl.a. spurgt EU-Domstolen om art. 4, stk. 1, litra a) i persondatadirektivet skal fortolkes således, at behandling af personoplysninger, der foretages af en e-handelsvirksomhed, er undergivet loven i den medlemsstat, som virksomhedens aktiviteter tager sigte på.
Domstolen fastslog indledningsvist, at en behandling af persondata foretaget som led i en virksomheds aktiviteter reguleres af loven i den medlemsstat, hvor virksomheden er beliggende, dvs. etableret.
En anden medlemsstats regler om behandling af persondata gælder kun for virksomheden, hvis virksomheden også anses for at være etableret i denne medlemsstat, og den konkrete behandling af persondata foretages som led i virksomhedens aktiviteter i landet.
Det blev fremhævet af Domstolen, at det ikke er nødvendigt for at anse en virksomhed for at være etableret i en medlemsstat, at virksomheden har et datterselskab eller en filial i den pågældende medlemsstat. Omvendt understregede Domstolen, at det ikke er tilstrækkeligt, at der er adgang til den pågældende virksomheds websted fra denne medlemsstat.
Domstolen anførte, at begrebet "virksomhed" omfatter enhver, selv minimal, reel og faktisk aktivitet, der udøves via en permanent struktur. Der skal derfor foretages en konkret vurdering af, i hvor høj grad strukturen er permanent, og i hvilken grad der faktisk udøves aktiviteter i den pågældende medlemsstat.
I forhold til betingelsen om, at persondatabehandlingen skal være sket "som led i" virksomhedens aktiviteter, understregede Domstolen, at dette ikke indebærer et krav om, at den pågældende behandling af personoplysninger skal foretages af virksomheden selv, så længe behandlingen sker som led i virksomhedens aktiviteter. En virksomhed er derfor ikke underlagt persondatareglerne i et land som virksomheden retter sine online-aktiviteter imod, hvis virksomheden ikke kan anses for at være etableret i dette land, eller hvis behandlingen af personoplysninger ikke foretages som led i etableringens aktiviteter i dette land.
Dommen er således gode nyheder for danske e-handelsvirksomheder, der ønsker at anvende dansk persondataret på aftaler, der er indgået elektronisk med forbrugere i andre EU-lande.
Amazon EU, der er del af den amerikanske Amazon-koncern, med hjemsted i Luxembourg, havde ikke noget forretningssted i Østrig. De Østrigske forbrugere kunne handle med Amazon via den tysksprogede hjemmeside (www.amazon.de). Når forbrugerne foretog et køb fra denne hjemmeside, var handlen underlagt Amazon EU's almindelige forretningsbetingelser, der bl.a. indeholdt vilkår om, at Amazon EU under visse omstændigheder havde ret til at foretage behandling og udveksling af forbrugernes personoplysninger.
Den østrigske højesteret har i forbindelse med sagen bl.a. spurgt EU-Domstolen om art. 4, stk. 1, litra a) i persondatadirektivet skal fortolkes således, at behandling af personoplysninger, der foretages af en e-handelsvirksomhed, er undergivet loven i den medlemsstat, som virksomhedens aktiviteter tager sigte på.
EU-Domstolens afgørelse
Inden for EU reguleres en e-handelsvirksomheds behandling af personoplysninger af persondatalovgivningen i den medlemsstat, som denne virksomheds aktiviteter tager sigte på, kun hvis virksomheden er etableret i denne medlemsstat, og behandlingen af personoplysninger foretages som led i aktiviteterne i medlemsstaten. Det står klart efter EU-Domstolens dom af 28. juli 2016 i Amazon-sagen.Domstolen fastslog indledningsvist, at en behandling af persondata foretaget som led i en virksomheds aktiviteter reguleres af loven i den medlemsstat, hvor virksomheden er beliggende, dvs. etableret.
En anden medlemsstats regler om behandling af persondata gælder kun for virksomheden, hvis virksomheden også anses for at være etableret i denne medlemsstat, og den konkrete behandling af persondata foretages som led i virksomhedens aktiviteter i landet.
Det blev fremhævet af Domstolen, at det ikke er nødvendigt for at anse en virksomhed for at være etableret i en medlemsstat, at virksomheden har et datterselskab eller en filial i den pågældende medlemsstat. Omvendt understregede Domstolen, at det ikke er tilstrækkeligt, at der er adgang til den pågældende virksomheds websted fra denne medlemsstat.
Domstolen anførte, at begrebet "virksomhed" omfatter enhver, selv minimal, reel og faktisk aktivitet, der udøves via en permanent struktur. Der skal derfor foretages en konkret vurdering af, i hvor høj grad strukturen er permanent, og i hvilken grad der faktisk udøves aktiviteter i den pågældende medlemsstat.
I forhold til betingelsen om, at persondatabehandlingen skal være sket "som led i" virksomhedens aktiviteter, understregede Domstolen, at dette ikke indebærer et krav om, at den pågældende behandling af personoplysninger skal foretages af virksomheden selv, så længe behandlingen sker som led i virksomhedens aktiviteter. En virksomhed er derfor ikke underlagt persondatareglerne i et land som virksomheden retter sine online-aktiviteter imod, hvis virksomheden ikke kan anses for at være etableret i dette land, eller hvis behandlingen af personoplysninger ikke foretages som led i etableringens aktiviteter i dette land.
Dommen er således gode nyheder for danske e-handelsvirksomheder, der ønsker at anvende dansk persondataret på aftaler, der er indgået elektronisk med forbrugere i andre EU-lande.
