Решение на Съда (втори състав) от 29 юли 2019 г. (преюдициално запитване от Oberlandesgericht Düsseldorf — Германия) — Fashion ID GmbH & Co.KG/Verbraucherzentrale NRW eV

(Дело C-40/17)¹

(Преюдициално запитване — Защита на физическите лица при обработването на лични данни — Директива 95/46/ЕО — Член 2, буква г) — Понятието „администратор“ — Оператор на уебсайт, интегрирал в него социална приставка, която дава възможност лични данни на посетителя на този сайт да бъдат разкривани на доставчика на тази приставка — Член 7, буква е) — Законосъобразност на обработването на данни — Вземане предвид на интересите на оператора на уебсайта или на тези на доставчика на социалната приставка — Член 2, буква з) и член 7, буква a) — Съгласие на съответното физическо лице — Член 10 — Информиране на съответното физическо лице — Национална правна уредба, съгласно която сдруженията за защита на интересите на потребителите притежават активна процесуална легитимация)

Език на производството: немски

Запитваща юрисдикция

Oberlandesgericht Düsseldorf

Страни в главното производство

Жалбоподател: Fashion ID GmbH & Co.KG

Ответник: Verbraucherzentrale NRW eV

в присъствието на: Facebook Ireland Ltd, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Диспозитив

Членове 22—24 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни трябва да се тълкуват в смисъл, че допускат национална правна уредба, която позволява на сдруженията за защита на интересите на потребителите да предявяват искове срещу предполагаемите извършители на посегателства срещу защитата на личните данни.

Оператор на уебсайт като Fashion ID GmbH & Co. KG, който интегрира в сайта си социална приставка, даваща възможност на браузъра на посетителя на този сайт да извиква съдържание, което е на доставчика на тази приставка, и за целта да предава на този доставчик лични данни на посетителя, може да се счита за администратор по смисъла на член 2, буква г) от Директива 95/46. Тази администраторска отговорност обаче е ограничена — само за операцията или набора от операции по обработване на лични данни, чиито цели и средства той действително определя, а именно събирането на въпросните данни и разкриването им чрез предаване.

В случай като разглеждания в главното производство, при който операторът на уебсайт интегрира в сайта си социална приставка, даваща възможност на браузъра на посетителя на този сайт да извиква съдържание, което е на доставчика на тази приставка, и за целта да предава на този доставчик лични данни на посетителя, е необходимо и операторът, и доставчикът да преследват с тези операции по обработване законни интереси по смисъла на член 7, буква е) от Директива 95/46, за да имат право да извършват въпросните операции.

Член 2, буква з) и член 7, буква a) от Директива 95/46 трябва да се тълкуват в смисъл, че в случай като разглеждания в главното производство, при който операторът на уебсайт интегрира в сайта си социална приставка, даваща възможност на браузъра на посетителя на този сайт да извиква съдържание, което е на доставчика на тази приставка, и за целта да предава на този доставчик лични данни на посетителя, този оператор трябва да получи визираното в тези разпоредби съгласие само за операцията или набора от операции по обработване на лични данни, чиито цели и средства той действително определя. Освен това член 10 от тази директива трябва да се тълкува в смисъл, че в такъв случай предвиденото в този член задължение за предоставяне на информация е в тежест и на въпросния оператор, като обаче информацията, която той дължи на съответното физическо лице, се отнася само до операцията или набора от операции по обработване на лични данни, чиито цели и средства този оператор действително определя.

____________

¹ ОВ C 112, 10.4.2017 г.