Skrbnik strani oboževalcev na Facebooku je za obdelavo podatkov obiskovalcev njegove strani odgovoren solidarno z družbo Facebook
Sodba je bila izdana 5.6.2018
V zadevi C‑210/16, katere predmet je bil predlog za sprejetje predhodne odločbe na podlagi 267. člena Pogodbe o delovanju Evropske unije, ki ga je vložilo Bundesverwaltungsgericht (nemško zvezno upravno sodišče), je v postopku Unabhängiges Landeszentrum für Datenschutz Schleswig‑Holstein proti Wirtschaftsakademie Schleswig‑Holstein GmbH, ob udeležbi Facebook Ireland Ltd in Vertreter des Bundesinteresses beim Bundesverwaltungsgericht, odločal veliki senat Sodišča Evropske unije, predlog sprejel in izdal sodbo z razlago določenih členov takrat veljavne Direktive 95/46.
Dejansko stanje
Dejansko stanje je bilo sledeče, nemška družba Wirtschaftsakademie Schleswig-Holstein je specializirana na področju izobraževanja. Storitve izobraževanja ponuja med drugim prek strani oboževalcev, ki gostuje na družabnem omrežju Facebook. Skrbniki strani oboževalcev, kot je Wirtschaftsakademie, lahko s funkcijo, ki se imenuje Facebook Insight in ki jim jo pod nespremenljivimi pogoji uporabe brezplačno zagotavlja Facebook, pridobijo anonimne statistične podatke o obiskovalcih teh strani. Ti podatki se zbirajo s piškotki, od katerih vsak vsebuje edinstveno kodo uporabnika, ki so aktivni dve leti in jih Facebook shrani na trdi disk računalnika ali na kateri koli drugi nosilec podatkov obiskovalcev strani oboževalcev. Koda uporabnika, ki jo je mogoče povezati s podatki o povezavi uporabnikov, registriranih na Facebooku, se zbere in obdela ob odprtju strani oboževalcev.
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (neodvisni organ dežele Schleswig-Holstein za varstvo podatkov, Nemčija) je kot nadzorni organ, ki je na podlagi v postopku še uporabljive Direktive 95/46 o varstvu podatkov na ozemlju zvezne dežele Schleswig-Holstein odgovoren za spremljanje uporabe predpisov, ki jih je Nemčija sprejela v skladu s to direktivo, z odločbo z dne 3. novembra 2011 družbi Wirtschaftsakademie odredil, naj svojo stran oboževalcev izklopi. Po mnenju Unabhängiges Landeszentrum namreč niti družba Wirtschaftsakademie niti družba Facebook obiskovalcev strani oboževalcev ni obvestila o tem, da je družba Facebook s piškotki zbirala osebne podatke v zvezi z njimi, in da sta ti družbi nato te podatke obdelovali.
Družba Wirtschaftsakademie je pri nemških upravnih sodiščih zoper to odločbo vložila tožbo, v kateri je trdila, da ji ni mogoče pripisati odgovornosti za obdelavo osebnih podatkov, ki jo je izvajala družba Facebook, in da družbi Facebook tudi ni naročila, naj izvaja obdelavo podatkov, nad katero bi imela nadzor ali na katero bi lahko vplivala. Družba Wirtschaftsakademie iz tega sklepa, da bi moral Unabhängiges Landeszentrum ukrepati neposredno proti družbi Facebook, ne pa proti njej.
V teh okoliščinah je Bundesverwaltungsgericht (nemško zvezno upravno sodišče) pri Sodišču vložilo predlog za razlago Direktive 95/46 o varstvu podatkov. Sodišče je v sodbi najprej ugotovilo, da v obravnavanem primeru ni sporno, da je treba ameriško družbo Facebook in, kar zadeva Unijo, njeno hčerinsko družbo Facebook Ireland šteti za „upravljavki“ osebnih podatkov uporabnikov Facebooka in oseb, ki so obiskale strani oboževalcev, ki gostujejo na Facebooku. Zlasti ti družbi namreč določata namene in sredstva obdelave teh podatkov.
Sodišče je tudi ugotovilo, da je treba za skrbnika, kot je družba Wirtschaftsakademie, šteti, da je v Uniji z družbo Facebook Ireland solidarno odgovoren za obdelavo zadevnih podatkov Tak skrbnik namreč z izbiro nastavitev (med drugim glede na svojo ciljno javnost in cilje upravljanja oziroma pospeševanja svojih dejavnosti) sodeluje pri določanju namena in sredstev obdelave osebnih podatkov obiskovalcev njegove strani oboževalcev. Natančneje, Sodišče je v zvezi s tem poudarilo, da skrbnik strani oboževalcev lahko zahteva, da prejme (v anonimizirani obliki) – in s tem, da se obdelajo – demografske podatke o svoji ciljni javnosti (zlasti trende glede starosti, spola, statusa in poklica), informacije o življenjskem slogu in središčih interesov svoje ciljne javnosti (vključno z informacijami o spletnih nakupih in vedenju obiskovalcev njegove strani pri spletnem nakupovanju in o kategorijah izdelkov ali storitev, ki jih najbolj zanimajo) ter geografske podatke, ki skrbniku strani oboževalcev omogočajo, da ve, kje izvesti posebne promocije ali organizirati dogodke, ter splošneje, da čim bolj ciljno naravna svojo ponudbo informacij.
Glede prvega predhodnega vprašanja in razlage 2(d) člena Direktive 95/46 je Sodišče presodilo, da skrbnik strani oboževalcev zaradi tega, ker uporablja platformo, ki je vzpostavljena s Facebookom, zaradi koriščenja z njo povezanih storitev, ne more biti oproščen spoštovanja svojih obveznosti glede varstva osebnih podatkov. Sodišče je poudarilo, da priznanje solidarne odgovornosti upravljavca družabnega omrežja in skrbnika strani oboževalcev, ki gostuje na tem omrežju, v zvezi z obdelavo osebnih podatkov obiskovalcev te strani oboževalcev prispeva k zagotavljanju popolnejšega varstva pravic, ki jih imajo osebe, ki obiščejo stran obiskovalcev, v skladu z zahtevami Direktive 95/46 o varstvu podatkov.
Sodišče je poleg tega ugotovilo, da je Unabhängiges Landeszentrum zato pristojen, da zaradi zagotavljanja spoštovanja pravil s področja varstva osebnih podatkov na ozemlju Nemčije, ne samo v zvezi z družbo Wirtschaftsakademie, temveč tudi v zvezi z družbo Facebook Germany izvaja vsa pooblastila, ki jih ima na podlagi nacionalnih določb, s katerimi je prenesena Direktiva 95/46.
Sedež zunaj EU
Kadar ima podjetje s sedežem zunaj Unije (kot je ameriška družba Facebook) več poslovnih enot v različnih državah članicah, lahko namreč nadzorni organ države članice pooblastila, ki so mu podeljena z Direktivo 95/46, izvaja v zvezi s poslovno enoto tega podjetja, ki je na ozemlju te države članice, čeprav je na podlagi delitve nalog v skupini na eni strani ta poslovna enota (v obravnavanem primeru Facebook Germany) zadolžena samo za prodajo oglasnega prostora in druge ukrepe trženja na ozemlju zadevne države članice, na drugi strani pa je za zbiranje in obdelavo osebnih podatkov za celotno ozemlje Unije izključno odgovorna poslovna enota, ki je v drugi državi članici (v obravnavanem primeru Facebook Ireland). Tako namreč izhaja iz razlage 4. in 28. člena Direktive 95/46.
Sodišče je še pojasnilo v tretji točki, da je člene 4(1)(a) ter 28(3) in (6) Direktive 95/46 treba razlagati tako, da je nadzorni organ države članice (v obravnavanem primeru Unabhängiges Landeszentrum v Nemčiji), kadar namerava v zvezi z organom s sedežem na ozemlju te države članice (v obravnavanem primeru družba Wirtschaftsakademie) izvajati pooblastila za posredovanje iz Direktive 95/46 zaradi kršitev pravil v zvezi z varstvom osebnih podatkov, ki jih je storila tretja oseba, ki je odgovorna za obdelavo teh podatkov in ki ima sedež v drugi državi članici (v obravnavanem primeru Facebook Ireland), pristojen za to, da neodvisno od nadzornega organa drugonavedene države članice (Irska) opravi presojo zakonitosti take obdelave podatkov, in lahko svoja pooblastila za posredovanje izvaja v zvezi z organom s sedežem na njegovem ozemlju, ne da bi nadzorni organ druge države članice predhodno pozval, naj posreduje.
Vir: sodba
Pripravila Katarina Emeršič Polić