Wyrok TSUE w sprawie wspólnej odpowiedzialności administratora fanpage’a i Facebooka za przetwarzanie danych osobowych

W dniu 5 czerwca 2018 r. Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok w sprawie C-210/16, w którym odpowiedział na pytanie prejudycjalne z zakresu wykładni Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.
Sprawa dotyczyła niemieckiej spółki prowadzącej działalność w dziedzinie edukacji za pośrednictwem swojego fanpage’a na portalu społecznościowym Facebook.

Spółka korzystała jednocześnie z danych statystycznych gromadzonych przy użyciu tzw. plików cookies, udostępnianych jej nieodpłatnie przez Facebook. Pliki te są instalowane na urządzeniach użytkowników fanpage’a w momencie odwiedzenia strony i umożliwiają Facebookowi gromadzenie i przetwarzanie danych osobowych. 

Na podstawie ww. dyrektywy niemiecki organ nadzorczy nakazał spółce dezaktywację fanpage’a z powodu nieinformowania swoich użytkowników o gromadzeniu ich danych przez Facebook. 

W wyniku skargi spółki, niemiecki Federalny Sąd Administracyjny zadał Trybunałowi pytania prejudycjalne dotyczące interpretacji przepisów ww. Dyrektywy. 
W uzasadnieniu wyroku Trybunał zaznaczył, co prawda, że poprzez sam fakt korzystania z portalu społecznościowego, takiego jak Facebook, jego użytkownik (tutaj niemiecka spółka) nie staje się współodpowiedzialny za przetwarzanie danych osobowych dokonywane przez ów portal. 

Niemniej jednak, administrator fanpage’a prowadzonego na Facebooku, tworząc taką stronę, dał Facebookowi możliwość zapisania plików cookies na urządzeniu (np.: komputerze) osoby odwiedzającej jego fanpage bez względu na to, czy osoba ta posiadała konto na Facebooku czy też nie.  

W związku z powyższym, zdaniem Trybunału administrator fanpage’a uczestniczy pośrednio w określaniu celów i sposobów przetwarzania danych osobowych poprzez ustalenie parametrów zależnych m.in. od użytkowników docelowych swojego fanpage’a oraz celów promocji jego działalności. 

W takim przypadku według Trybunału należy uznać, że administrator fanpage’a ponosi na poziomie Unii wspólną odpowiedzialność z Facebookiem za przetwarzanie danych w rozumieniu Dyrektywy 95/46.
Trybunał pokreślił ponadto, że odpowiedzialność administratora fanpage’a jest tym bardziej uzasadniona, gdy dochodzi do przetwarzania danych osobowych osób nieposiadających konta na Facebook’u, ponieważ samo wejście na fanpage’a przez te osoby skutkuje automatyczne przetworzeniem ich danych osobowych.

Jednocześnie Trybunał stwierdził, że organ nadzorczy danego państwa członkowskiego ma uprawnienia interwencyjne w stosunku do podmiotu mającego siedzibę na jego terytorium, również jeśli jest spółką zależną bądź oddziałem (w tym przypadku był to oddział Facebook Germany) i nawet z powodu naruszeń przepisów o ochronie danych osobowych popełnionych przez administrującą tymi danymi osobę trzecią mająca siedzibę w innym państwie członkowskim (w przedmiotowej sprawie spółka Facebook Ireland). 

Pełna treść wyroku TSUE pod poniższym linkiem:
https://bit.ly/2HtAugl