TSUE: strona zamieszczająca facebookowy przycisk „Lubię to” jest współodpowiedzialna za przetwarzanie danych osobowych

W grudniu pisaliśmy o opinii rzecznika generalnego M. Bobka, w której stwierdzono, że strona internetowa zamieszczająca facebookowy przycisk „Lubię to” powinna być współodpowiedzialna za przetwarzanie danych osobowych swoich użytkowników. W tym tygodniu Trybunał Sprawiedliwości potwierdził główne tezy tej opinii.

Orzeczenie w sprawie C-40/17 zostało wydane na gruncie niemieckiego pytania prejudycjalnego. Mimo że przedmiotem interpretacji były przepisy nieobowiązującej już dyrektywy o ochronie danych osobowych z 1995 r., to wydaje się, że podstawowe założenia TSUE mogą być z powodzeniem zastosowane także w odniesieniu do obecnie obowiązujących przepisów RODO. 

Fashion ID to spółka zajmująca się sprzedażą modnej odzieży online, która umieściła w swojej witrynie internetowej przycisk „Lubię to” serwisu Facebook. Trybunał stwierdził, że wydaje się, iż wskutek tego umieszczenia, gdy osoba odwiedzająca przegląda witrynę internetową spółki, dane osobowe tej osoby są przekazywane spółce Facebook Ireland. Wydaje się również, że to przekazywanie następuje bez świadomości tego ze strony wspomnianej osoby odwiedzającej i niezależnie od okoliczności, czy jest ona członkiem serwisu społecznościowego Facebook lub czy kliknęła na przycisk „Lubię to”. 

W konsekwencji Trybunał zauważył, że Fashion ID nie można uznać za administratora w odniesieniu do operacji przetwarzania danych dokonywanych przez Facebook Ireland po przekazaniu tych danych tej ostatniej spółce. Wydaje się bowiem prima facie wykluczone, by spółka określała cele i sposoby tych operacji. Natomiast Fashion ID można uznać za administratora, wspólnie z Facebook Ireland, w odniesieniu do operacji gromadzenia rozpatrywanych danych i ich ujawniania poprzez transmisję spółce Facebook Ireland. W szczególności zaś wydaje się, że umieszczenie przez spółkę facebookowego przycisku „Lubię to” w jej witrynie internetowej pozwala jej na optymalizację reklamy jej produktów poprzez uczynienie ich bardziej widocznymi w serwisie społecznościowym Facebook, gdy osoba odwiedzająca jej witrynę internetową klika na wspomniany przycisk. To właśnie po to, aby skorzystać z tej korzyści handlowej, Fashion ID, umieszczając taki przycisk w swojej witrynie internetowej – jak się zdaje – wyraziła zgodę, przynajmniej w sposób dorozumiany, na gromadzenie danych osobowych osób odwiedzających jej witrynę internetową i ich ujawnianie poprzez transmisję. Zatem te operacje przetwarzania wydają się dokonywane w interesie gospodarczym zarówno spółki Fashion ID, jak i spółki Facebook Ireland, dla której możliwość dysponowania tymi danymi we własnych celach komercyjnych stanowi rekompensatę za korzyść zaoferowaną Fashion ID. 

Trybunał podkreślił ponadto, że operator witryny internetowej taki jak Fashion ID, jako współadministrator w odniesieniu do niektórych operacji przetwarzania danych osób odwiedzających jego witrynę, takich jak gromadzenie danych i ich przekazywanie Facebook Ireland, musi przekazać w momencie gromadzenia danych pewne informacje tym osobom odwiedzającym, na przykład na temat swojej tożsamości i celów przetwarzania danych.