PRESUDA SUDA (drugo vijeće)
29. srpnja 2019.(*)
„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46/EZ – Članak 2. točka (d) – Pojam ‚voditelj obrade’ – Upravitelj internetske stranice koji je u nju integrirao dodatak za društvenu mrežu koji omogućava otkrivanje osobnih podataka posjetitelja te stranice pružatelju navedenog dodatka – Članak 7. točka (f) – Zakonitost obrade podataka – Uzimanje u obzir interesa upravitelja internetske stranice ili interesa pružatelja dodatka za društvenu mrežu – Članak 2. točka (h) i članak 7. točka (a) – Privola ispitanika – Članak 10. – Podaci koji se daju ispitaniku – Nacionalni propis kojim se udrugama za zaštitu interesa potrošača dodjeljuje aktivna legitimacija za pokretanje postupka pred sudom”
U predmetu C‑40/17,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Oberlandesgericht Düsseldorf (Visoki zemaljski sud u Düsseldorfu, Njemačka), odlukom od 19. siječnja 2017., koju je Sud zaprimio 26. siječnja 2017., u postupku
Fashion ID GmbH & Co. KG
protiv
Verbraucherzentrale NRW eV,
uz sudjelovanje:
Facebook Ireland Ltd,
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein‑Westfalen,
SUD (drugo vijeće),
u sastavu: K. Lenaerts, predsjednik Suda, u svojstvu predsjednika drugog vijeća, A. Prechal, C. Toader, A. Rosas (izvjestitelj) i M. Ilešič, suci,
nezavisni odvjetnik: M. Bobek,
tajnik: D. Dittert, načelnik odjela,
uzimajući u obzir pisani postupak i nakon rasprave održane 6. rujna 2018.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Fashion ID GmbH & Co. KG, C.-M. Althaus i J. Nebel, Rechtsanwälte,
– za Verbraucherzentrale NRW eV, K. Kruse, C. Rempe i S. Meyer, Rechtsanwälte,
– za Facebook Ireland Ltd, H.-G. Kamann, C. Schwedler i M. Braun, Rechtsanwälte, te I. Perego, avvocatessa,
– za Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein‑Westfalen, U. Merger, u svojstvu agenta,
– za njemačku vladu, u početku T. Henze i J. Möller, a zatim J. Möller, u svojstvu agenata,
– za belgijsku vladu, P. Cottin i L. Van den Broeck, u svojstvu agenata,
– za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju P. Gentilija, avvocato dello Stato,
– za austrijsku vladu, u početku C. Pesendorfer, a zatim G. Kunnert, u svojstvu agenata,
– za poljsku vladu, B. Majczyna, u svojstvu agenta,
– za Europsku komisiju, H. Krämer i H. Kranenborg, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 19. prosinca 2018.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članaka 2., 7., 10. i 22. do 24. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.).
2 Zahtjev je upućen u okviru spora između društva Fashion ID GmbH & Co. KG i udruge Verbraucherzentrale NRW eV u pogledu toga što je društvo Fashion ID na svoju internetsku stranicu umetnulo dodatak za društvenu mrežu društva Facebook Ireland Ltd.
Pravni okvir
Pravo Unije
3 Direktiva 95/46 stavljena je izvan snage i zamijenjena s učinkom od 25. svibnja 2018. Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 2016., L 119, str. 1. i ispravak SL 2018., L 127, str. 2.). Međutim, uzimajući u obzir datum nastanka činjenica u glavnom postupku, ta direktiva primjenjuje se na taj postupak.
4 U uvodnoj izjavi 10. Direktive 95/46 utvrđuje se:
„ (10) [B]udući da je cilj nacionalnog zakonodavstva u vezi obrade osobnih podataka zaštititi temeljna prava i slobode, posebno pravo na privatnost koje je priznato u članku 8. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda[, potpisane u Rimu 4. studenoga 1950.] te u općim načelima prava [Unije]; budući da iz tog razloga usklađivanje tih zakona ne smije dovesti do bilo kakvog smanjenja zaštite koju pružaju, nego naprotiv moraju težiti tome da osiguraju visoku razinu zaštite u [Uniji].”
5 Člankom 1. Direktive 95/46 predviđa se:
„1. U skladu s ovom direktivom, države članice štite temeljna prava i slobode fizičkih osoba, a posebno njihova prava na privatnost u vezi s obradom osobnih podataka.
2. Države članice ne ograničavaju ni zabranjuju slobodni prijenos osobnih podataka između država članica iz razloga povezanih sa zaštitom osiguranom u stavku 1. ovog članka.”
6 Člankom 2. te direktive određuje se:
„U smislu ove Direktive:
(a) ‚osobni podaci’ znači bilo koji podaci koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi (‚osoba čiji se podaci obrađuju’) [(‚ispitanik’)]; osoba koja se može utvrditi je osoba čiji je identitet moguće utvrditi, izravno ili neizravno, a posebno navođenjem identifikacijskog broja ili jednog ili više činitelja značajnih za njegov fizički, fiziološki, mentalni, gospodarski, kulturni ili socijalni identitet;
(b) ,obrada osobnih podataka' (,obrada') znači bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje;
[…]
(d) ‚nadzornik’ [‚voditelj obrade’] znači fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo koje samo ili zajedno s drugima utvrđuje svrhu i načine obrade osobnih podataka; kada su svrha i načini obrade utvrđeni nacionalnim zakonodavstvom ili pravom [Unije], nadzornik [voditelj obrade] ili posebna mjerila za njegovo imenovanje mogu se utvrditi nacionalnim zakonodavstvom ili pravom [Unije];
[…]
(f) ‚treća stranka’ znači bilo koja fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo osim osobe čiji se podaci obrađuju [ispitanika], nadzornika [voditelja obrade], obrađivača i osoba koje su na temelju izravne ovlasti nadzornika [voditelja obrade] ili obrađivača ovlaštene obrađivati podatke;
(g) ‚primatelj’ znači fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo kojem se podaci otkrivaju, bilo da je treća strana ili ne; međutim, tijela koja dobivaju podatke u okviru posebnog upita ne smatraju se primateljima;
(h) ‚suglasnost osobe čiji se podaci obrađuju’ [‚privola ispitanika’] znači svaka dobrovoljno dana, posebna i informirana izjava volje, kojom osoba čiji se podaci obrađuju [ispitanik] daje svoju suglasnost [privolu] da se obrade osobni podaci koji se na nju [njega] odnose.”
7 Člankom 7. navedene direktive utvrđuje se:
„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:
(a) je osoba čiji se podaci obrađuju [ispitanik] nedvosmisleno dala [dao] svoju suglasnost [privolu];
ili
[…]
(f) je obrada potrebna u svrhe zakonitog interesa koji ima nadzornik [voditelj obrade] ili treća stranka ili stranke kojima se podaci otkrivaju, osim kada su ti podaci podređeni interesu za temeljna prava i slobode osobe čiji se podaci obrađuju [ispitanika] koja [koji] zahtijeva zaštitu na temelju članka 1. stavka 1. ove Direktive.”
8 Člankom 10. iste direktive, naslovljenim „Podaci u slučajevima prikupljanja podataka od osobe čiji se podaci obrađuju [ispitanika]”, navodi se:
„Države članice propisuju da nadzornik [voditelj obrade] ili njegov zastupnik moraju dati osobi čiji se podaci obrađuju, a od koje [ispitaniku od kojeg] se prikupljaju podaci, barem sljedeće podatke, osim u slučaju da ih već ima:
(a) identitet nadzornika [voditelja obrade] i njegova zastupnika, ako ga ima;
(b) svrhu obrade podataka;
(c) bilo koje daljnje podatke kao što su
– primatelji ili vrste primatelja podataka,
– jesu li odgovori na pitanja obvezni ili dobrovoljni te moguće posljedice u slučaju da se ne odgovori na pitanja,
– postojanje prava na pristup podacima i prava na ispravljanje podataka koji se na nju [njega] odnose
ako su takvi daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci obrađuju, osigurati poštenu obradu u odnosu na osobu čiji se podaci obrađuju [ispitanika].”
9 Članak 22. Direktive 95/46 glasi:
„Ne dovodeći u pitanje pravne lijekove u upravnom postupku koji se mogu propisati, među ostalim, pred nadzornim tijelom iz članka 28. ove Direktive, prije upućivanja sudskom tijelu države članice utvrđuju pravo svake osobe na pravni lijek za slučaj kršenja prava koje joj je osigurano nacionalnim pravom koje se primjenjuje na tu obradu.”
10 Člankom 23. te direktive utvrđuje se:
„1. Država članica propisuje da svaka osoba koja je pretrpjela štetu kao rezultat nezakonitog postupka obrade ili bilo kojeg djela koje je nespojivo s odredbama nacionalnog prava donesenim u skladu s ovom Direktivom ima pravo od nadzornika [voditelja obrade] zahtijevati naknadu štete.
2. Nadzornik [Voditelj obrade] se može u cijelosti ili djelomično izuzeti od ove odgovornosti ako dokaže da nije odgovoran za slučaj koji je doveo do štete.”
11 Člankom 24. navedene direktive predviđa se:
„Države članice donose odgovarajuće mjere kako bi osigurale potpunu provedbu odredbi ove direktive i posebno propisuju sankcije koje se nameću u slučaju kršenja odredbi donesenih u skladu s ovom direktivom.”
12 Člankom 28. iste direktive određuje se:
„1. Svaka država članica osigurava da je jedno ili više javnih tijela na njenom području odgovorno za nadzor primjene odredbi koje su donijele države članice u skladu s ovom Direktivom.
Ta tijela u provedbi funkcija koje su im povjerene djeluju potpuno neovisno.
[…]
3. Svako tijelo posebno ima:
[…]
– ovlast za sudjelovanje u sudskim postupcima ako su prekršene nacionalne odredbe donesene u skladu s ovom direktivom ili za upoznavanje sudskih tijela s tim kršenjima.
[…]
4. Svako nadzorno tijelo razmatra zahtjeve koje podnese bilo koja osoba ili bilo koja udruga koja zastupa tu osobu, u vezi zaštite njezinih prava i sloboda u odnosu na obradu osobnih podataka. Tu osobu se izvještava o ishodu tog zahtjeva.
[…]”
13 Člankom 5. stavkom 3. Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.), kako je izmijenjena Direktivom 2009/136/Europskog parlamenta i Vijeća od 25. studenoga 2009. (SL 2009., L 337, str. 11.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 224. i ispravci SL 2018., L 74, str. 11. i SL 2017., L 162, str. 56.), predviđa se:
„Države članice osiguravaju da je pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi pretplatnika ili korisnika, dozvoljeno samo pod uvjetom da je dotični pretplatnik ili korisnik dao svoj pristanak [svoju privolu], nakon što je iscrpno i razumljivo, u skladu s Direktivom [95/46], između ostalog obaviješten o namjeni postupka obrade. Navedeno ne sprečava nikakav oblik tehničke pohrane ili pristupa samo u svrhu izvršavanja prijenosa komunikacije putem elektroničke komunikacijske mreže ili ako je to strogo potrebno, kako bi operator usluge informacijskog društva mogao pružiti uslugu koju je izričito zatražio pretplatnik ili korisnik.”
14 Člankom 1. stavkom 1. Direktive 2009/22/EZ Europskog parlamenta i Vijeća od 23. travnja 2009. o sudskim nalozima za zaštitu interesa potrošača (SL 2009., L 110, str. 30.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 15., svezak 1., str. 269.), kako je izmijenjena Uredbom (EU) br. 524/2013 Europskog parlamenta i Vijeća od 21. svibnja 2013. (SL 2013., L 165, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 15., svezak 28., str. 202.), propisuje se:
„Cilj je ove Direktive uskladiti zakone i druge propise država članica koji se odnose na postupke za dobivanje sudskog naloga iz članka 2. s ciljem zaštite kolektivnih interesa potrošača obuhvaćenih aktima Unije iz Priloga I., radi osiguravanja neometanog funkcioniranja unutarnjeg tržišta.”
15 Člankom 2. te direktive predviđa se:
„1. Države članice određuju sudove ili upravna tijela nadležna za odlučivanje u postupcima koje pokreću kvalificirani subjekti u smislu članka 3. tražeći:
(a) izdavanje naloga, s primjerenom ekspeditivnošću, prema potrebi i u skraćenom postupku, za prestanak ili zabranu svih povreda;
[…]”
16 Člankom 7. navedene direktive propisuje se:
„Ova Direktiva ne sprečava države članice da donesu ili ostave na snazi odredbe na temelju kojih se kvalificiranim subjektima i drugim predmetnim osobama dodjeljuju veća prava za pokretanje postupka na nacionalnoj razini.”
17 Članak 80. Uredbe br. 2016/679 glasi:
„1. Ispitanik ima pravo ovlastiti neprofitno tijelo, organizaciju ili udruženje, koje je pravilno osnovano u skladu s pravom države članice, u čijem se statutu navode ciljevi od javnog interesa te je aktivno u području zaštite prava i sloboda ispitanika s obzirom na zaštitu njegovih osobnih podataka, da podnesu pritužbu u njegovo ime i da ostvaruju prava iz članaka 77., 78. i 79. u njegovo ime te da ostvaruju pravo na naknadu iz članka 82. u ime ispitanika ako je to predviđeno pravom države članice.
2. Države članice mogu predvidjeti da svako tijelo, organizacija ili udruženje iz stavka 1. ovog članka, neovisno o mandatu ispitanika, ima pravo u toj državi članici podnijeti pritužbu nadzornom tijelu nadležnom u skladu s člankom 77. i ostvarivati prava iz članaka 78. i 79. ako smatra da su uslijed obrade osobnih podataka prekršena prava ispitanika iz ove Uredbe.”
Njemačko pravo
18 Člankom 3. stavkom 1. Gesetz gegen den unlauteren Wettbewerba (Zakon o sprečavanju nepoštenog tržišnog natjecanja), u verziji primjenjivoj na spor u glavnom postupku (u daljnjem tekstu: UWG), propisuje se:
„Nepoštena poslovna praksa nezakonita je.”
19 Članak 3.a UWG‑a glasi:
„Tko povrijedi zakonsku odredbu čiji je cilj, među ostalim, uređenje ponašanja na tržištu u interesu njegovih sudionika, čini akt nepoštenog tržišnog natjecanja ako povreda može znatno nepovoljno utjecati na interese potrošača, drugih sudionika na tržištu ili konkurenata.”
20 Člankom 8. UWG‑a određuje se:
„(1) U slučaju nezakonite poslovne prakse na temelju članka 3. ili članka 7., može se naložiti trenutačni prestanak povrede (zabrana) i, u slučaju da postoji opasnost od ponavljanja povrede, prestanak povrede ubuduće (suzdržavanje). Pravo na prestanak ubuduće (suzdržavanje) nastaje čim postoji opasnost od povrede članka 3. ili 7.
[…]
(3) Nositelji prava dodijeljenih stavkom 1. su sljedeći:
[…]
3. kvalificirani subjekti koji pokažu da su uvršteni na popis kvalificiranih subjekata iz članka 4. Unterlassungsklagegesetza [(Zakon o tužbama za propuštanje)] ili na popis Europske komisije iz članka 4. stavka 3. Direktive [2009/22];
[…]”
21 Člankom 2. Zakona o tužbama za propuštanje predviđa se:
„(1) U slučaju povrede pravila o zaštiti potrošača (Zakon o zaštiti potrošača), na način koji ne uključuje upotrebu ili preporuku općih uvjeta, može se naložiti prestanak povrede ubuduće i trenutačni prestanak povrede u interesu zaštite potrošača. […]
(2) U smislu ove odredbe, ‚zakoni o zaštiti potrošača’ osobito znače:
[…]
11. pravila kojima se definira zakonitost
(a) prikupljanja osobnih podataka potrošača od strane poduzetnika ili
(b) obrade ili korištenja osobnih podataka koje je o potrošaču prikupio poduzetnik,
ako se podaci prikupljaju, obrađuju ili se njima koristi za potrebe oglašavanja, istraživanja tržišta i javnog mnijenja, vođenja kreditne agencije, pripreme profila osobnosti i korisničkih navika, ostalog trgovanja podacima ili za slične poslovne potrebe.”
22 Članak 12. stavak 1. Telemediengesetza (Zakon o elektroničkim medijima, u daljnjem tekstu: TMG) glasi:
„Pružatelj usluga može osobne podatke prikupljati i njima se koristiti u svrhu pružanja elektroničkih medija samo ako se ovim zakonom ili drugim pravnim instrumentom koji se izričito odnosi na elektroničke medije to dopušta ili ako je korisnik za to dao privolu.”
23 Člankom 13. stavkom 1. TMG‑a utvrđuje se:
„Pružatelj usluga dužan je korisnika prije početka uporabe obavijestiti, u općenito razumljivom obliku, o prirodi, opsegu i svrsi prikupljanja i uporabe osobnih podataka te o obradi njegovih podataka u državama na koje se [Direktiva 95/46] ne primjenjuje, osim ako je korisnik o tome već bio obaviješten. Korisnika se, u slučaju automatiziranog postupka koji omogućuje naknadnu identifikaciju korisnika te kojim se prikupljanje i korištenje osobnih podataka pripremaju, mora obavijestiti prije tog postupka. Sadržaj tih informacija korisniku mora u svakom trenutku biti dostupan.”
24 Člankom 15. stavkom 1. TMG‑a određuje se:
„Pružatelj usluga smije prikupljati osobne podatke korisnika i njima se koristiti samo u mjeri u kojoj je to potrebno za omogućavanje korištenja i obračuna telekomunikacijskih usluga (podaci o korištenju). Podacima o korištenju posebno se smatraju:
1. informacije kojima se omogućuje identifikacija korisnika,
2. informacije o početku, završetku i opsegu svakog korištenja i
3. informacije o elektroničkim medijima koje korisnik upotrebljava.”
Glavni postupak i prethodna pitanja
25 Društvo Fashion ID, poduzetnik koji se bavi internetskom prodajom modnih artikala, na svoju internetsku stranicu umetnulo je dodatak za društvenu mrežu „Sviđa mi se” društvene mreže Facebook (u daljnjem tekstu: Facebookova tipka „Sviđa mi se”).
26 Iz odluke kojom se upućuje zahtjev proizlazi da je internetu svojstveno to da prilikom posjećivanja internetske stranice preglednik omogućava prikaz sadržaja iz različitih izvora. Tako se, primjerice, s internetskom stranicom mogu povezati i na njoj se mogu nalaziti fotografije, videozapisi, aktualnosti te Facebookova tipka „Sviđa mi se”, o kojoj je riječ u ovom predmetu. Ako upravitelj internetske stranice želi umetnuti te vanjske sadržaje, on na tu stranicu stavlja poveznicu prema vanjskom sadržaju. Kad preglednik posjetitelja navedene stranice otvori tu poveznicu, on traži vanjski sadržaj i umeće ga na željeno mjesto prikazivanja na stranici. U tu svrhu preglednik poslužitelju vanjskog pružatelja šalje podatke o IP adresi računala navedenog posjetitelja i tehničke podatke o pregledniku kako bi poslužitelj mogao odrediti format pod kojim se sadržaj dostavlja na tu adresu. Usto, preglednik šalje podatke o željenom sadržaju. Upravitelj internetske stranice koji nudi vanjski sadržaj umećući ga na tu stranicu ne može utvrditi koje podatke preglednik prenosi ni što vanjski pružatelj s tim podacima čini, osobito ne može utvrditi je li ih odlučio pohraniti i njima se koristiti.
27 Čini se da iz odluke kojom se upućuje zahtjev proizlazi da se, posebno u odnosu na Facebookovu tipku „Sviđa mi se”, posjećivanjem internetske stranice društva Fashion ID posjetiteljevi osobni podaci prenose društvu Facebook Ireland jer ta stranica integrira navedenu tipku. Taj se prijenos odvija a da pritom navedeni posjetitelj toga nije svjestan i neovisno o tome je li on član društvene mreže Facebook i je li kliknuo na Facebookovu tipku „Sviđa mi se”.
28 Verbraucherzentrale NRW, neprofitna udruga za zaštitu interesa potrošača, društvu Fashion ID prigovara da je društvu Facebook Ireland prenijelo osobne podatke posjetitelja svoje internetske stranice, s jedne strane, bez njihove privole i, s druge strane, povredom obveza obavješćivanja predviđenih odredbama koje se odnose na zaštitu osobnih podataka.
29 Udruga Verbraucherzentrale NRW podnijela je Landgerichtu Düsseldorf (Zemaljski sud u Düsseldorfu, Njemačka) tužbu za propuštanje protiv društva Fashion ID kako bi ono prestalo s tom praksom.
30 Odlukom od 9. ožujka 2016. Landgericht Düsseldorf (Zemaljski sud u Düsseldorfu) djelomično je prihvatio zahtjeve udruge Verbraucherzentrale NRW, nakon što joj je, na temelju članka 8. stavka 3. točke 3. UWG‑a, priznao aktivnu procesnu legitimaciju.
31 Društvo Fashion ID podnijelo je sudu koji je uputio zahtjev, Oberlandesgerichtu Düsseldorf (Visoki zemaljski sud u Düsseldorfu, Njemačka), žalbu protiv te odluke. U žalbenom postupku društvo Facebook Ireland nastupilo je kao intervenijent u potporu društvu Fashion ID. Udruga Verbraucherzentrale NRW podnijela je, sa svoje strane, protužalbu čiji je cilj proširiti nalog izrečen društvu Fashion ID prvostupanjskom presudom.
32 Društvo Fashion ID pred sudom koji je uputio zahtjev tvrdi da odluka Landgerichta Düsseldorf (Zemaljski sud u Düsseldorfu) nije u skladu s Direktivom 95/46.
33 S jedne strane, društvo Fashion ID tvrdi da se člancima 22. do 24. navedene direktive pravna sredstva predviđaju samo u korist ispitanika i nadležnih nadzornih tijela. Posljedično, tužba koju je udruga Verbraucherzentrale NRW podnijela ne može biti dopuštena jer ta udruga nema u okviru Direktive 95/46 aktivnu procesnu legitimaciju za pokretanje postupka pred sudom.
34 S druge strane, društvo Fashion ID smatra da je Landgericht Düsseldorf (Zemaljski sud u Düsseldorfu) pogrešno presudio da je ono voditelj obrade, u smislu članka 2. točke (d) Direktive 95/46, s obzirom na to da ono nema nikakav utjecaj na podatke koji se posjetiteljevim preglednikom prenose s njegove internetske stranice ni na to hoće li se i, ovisno o slučaju, kako će se društvo Facebook Ireland njima koristiti.
35 Sud koji je uputio zahtjev ponajprije dvoji o tome dodjeljuje li se Direktivom 95/46 neprofitnim udrugama aktivna legitimacija za pokretanje postupka pred sudom radi obrane interesa oštećenih osoba. Smatra da se članku 24. te direktive ne protivi to da udruga bude stranka u sudskom postupku, s obzirom na to da, u skladu s tim člankom, države članice donose „odgovarajuće mjere” kako bi osigurale potpunu provedbu navedene direktive. Stoga sud koji je uputio zahtjev smatra da nacionalni propis koji udrugama dopušta da podnesu tužbu u interesu potrošača može predstavljati takvu odgovarajuću mjeru.
36 Navedeni sud u tom pogledu ističe da se člankom 80. stavkom 2. Uredbe 2016/679, kojom je stavljena izvan snage i zamijenjena Direktiva 95/46, izričito ovlašćuje takva udruga na podnošenje tužbe, što prema njegovu mišljenju potvrđuje da se takav postupak nije protivio toj direktivi.
37 Osim toga, pita se može li se upravitelj internetske stranice, poput društva Fashion ID, koji na tu stranicu umetne dodatak za društvenu mrežu koji omogućava prikupljanje osobnih podataka, smatrati voditeljem osobnih podataka, u smislu članka 2. točke (d) Direktive 95/46, premda on nema nikakav utjecaj na obradu podataka koji su preneseni pružatelju navedenog dodatka za društvenu mrežu. Sud koji je uputio zahtjev u tom se pogledu poziva na predmet u kojem je donesena presuda od 5. lipnja 2018., Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388), koji se odnosi na slično pitanje.
38 Podredno, u slučaju da društvo Fashion ID ne treba smatrati voditeljem obrade, sud koji je uputio zahtjev pita se uređuje li ta direktiva navedeni pojam iscrpno, na takav način da joj se protivi to da se nacionalnim propisom predviđa građanska odgovornost treće osobe koja povrijedi prava na zaštitu podataka. Naime, sud koji je uputio zahtjev tvrdi da društvo Fashion ID može po toj osnovi nacionalnog prava biti odgovorno kao „neizravni počinitelj povrede” („Störer”).
39 Ako društvo Fashion ID treba smatrati voditeljem obrade ili ako je ono barem odgovorno kao „neizravni počinitelj povrede” za eventualne povrede zaštite osobnih podataka društva Facebook Ireland, sud koji je uputio zahtjev pita se je li obrada osobnih podataka o kojoj je riječ u glavnom postupku zakonita i je li obveza obavješćivanja ispitanika na temelju članka 10. Direktive 95/46 na strani društva Fashion ID ili društva Facebook Ireland.
40 Stoga, s jedne strane, s obzirom na uvjete zakonitosti obrade podataka, kako su predviđeni člankom 7. točkom (f) Direktive 95/46, sud koji je uputio zahtjev pita se treba li u situaciji poput one u glavnom postupku uzeti u obzir zakonit interes upravitelja internetske stranice ili pružatelja dodatka za društvenu mrežu.
41 S druge strane, navedeni sud se pita na kome su obveze dobivanja privole i obavješćivanja ispitanika u situaciji poput one u glavnom postupku. Sud koji je uputio zahtjev smatra da pitanje na kome je obveza obavješćivanja ispitanika, kako je predviđena člankom 10. Direktive 95/46, ima osobitu važnost jer svako umetanje vanjskih sadržaja na internetsku stranicu u načelu dovodi do obrade osobnih podataka, čiji su opseg i svrha, međutim, nepoznati onomu tko te sadržaje umeće, odnosno dotičnom upravitelju internetske stranice. Stoga taj upravitelj ne može pružiti traženu obavijest u mjeri u kojoj je to dužan učiniti, što znači da obvezivanje upravitelja da obavijesti ispitanike u praksi dovodi do zabrane umetanja vanjskih sadržaja.
42 U tim je okolnostima Oberlandesgericht Düsseldorf (Visoki zemaljski sud u Düsseldorfu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Protivi li se uređenju u člancima 22., 23. i 24. Direktive [95/46] nacionalni propis koji, pored ovlasti intervencije koje imaju tijela za zaštitu osobnih podataka i mogućnosti podnošenja tužbe za ispitanika, u slučajevima povrede ovlašćuje neprofitne udruge za zaštitu interesa potrošača da pokrenu postupak protiv osobe koja je počinila povredu?
U slučaju negativnog odgovora na prvo pitanje:
2. Je li u slučaju kao što je ovaj, u kojem je netko na svoju internetsku stranicu umetnuo programski kod, zbog kojeg korisnikov preglednik zahtijeva sadržaj od treće stranke i u tu svrhu prenosi osobne podatke trećoj stranci, onaj tko je umetnuo programski kod ‚voditelj obrade’ u smislu članka 2. točke (d) Direktive [95/46], kada on sam ne može utjecati na tu obradu podataka?
3. U slučaju negativnog odgovora na drugo pitanje: treba li članak 2. točku (d) Direktive [95/46] tumačiti na način da iscrpno uređuje odgovornost na način da mu se protive građanskopravni zahtjevi protiv treće stranke koja, iako nije ‚voditelj obrade’, ipak uzrokuje postupak obrade podataka, a da na njega ne utječe?
4. Čiji ‚zakonit interes’ treba uzeti u obzir prilikom odvagivanja prema članku 7. točki (f) Direktive [95/46] u okolnostima kao u predmetnom slučaju? Interes umetanja sadržaja trećih stranaka ili interes trećih stranaka?
5. Kome se mora dati privola iz članka 7. točke (a) i članka 2. točke (h) Direktive [95/46] u okolnostima kao u predmetnom slučaju?
6. Odnosi li se obveza obavješćivanja ispitanika iz članka 10. Direktive 95/46/EZ u situaciji kao u predmetnom slučaju i na upravitelja stranice koji je umetnuo sadržaj treće stranke i tako prouzročio postupak obrade osobnih podataka od strane treće stranke?”
O prethodnim pitanjima
Prvo pitanje
43 Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članke 22. do 24. Direktive 95/46 tumačiti na način da im se protivi nacionalni propis kojim se udrugama za zaštitu interesa potrošača dodjeljuje aktivna procesna legitimacija za pokretanje postupka pred sudom protiv navodnog počinitelja povrede zaštite osobnih podataka.
44 Uvodno valja podsjetiti na to da, u skladu s člankom 22. Direktive 95/46, države članice utvrđuju pravo svake osobe na pravni lijek za slučaj kršenja prava koja su joj osigurana nacionalnim odredbama koje se primjenjuju na obradu o kojoj je riječ.
45 Člankom 28. stavkom 3. trećim podstavkom Direktive 95/46 utvrđuje se da nadzorno tijelo, koje je u skladu s člankom 28. stavkom 1. te direktive na državnom području dotičnih država članica odgovorno za nadzor primjene odredbi koje su one donijele u skladu s navedenom direktivom, među ostalim, ima ovlast za sudjelovanje u sudskim postupcima ako su prekršene nacionalne odredbe donesene u skladu s istom direktivom ili za upoznavanje sudskih tijela s tim kršenjima.
46 Člankom 28. stavkom 4. Direktive 95/46 predviđa se da nadzorno tijelo razmatra zahtjeve koje podnese udruga koja zastupa ispitanika, u smislu članka 2. točke (a) te direktive, u vezi sa zaštitom njegovih prava i sloboda u odnosu na obradu osobnih podataka.
47 Međutim, nijednom odredbom navedene direktive ne nalaže se državama članicama obveza niti ih se izričito ovlašćuje da u svojem nacionalnom pravu predvide mogućnost da u sudskom postupku udruga zastupa takvu osobu ili da na vlastitu inicijativu podnese tužbu protiv navodnog počinitelja povrede zaštite osobnih podataka.
48 No to ne znači da se Direktivi 95/46 protivi nacionalni propis kojim se udrugama za zaštitu potrošača dodjeljuje aktivna procesna legitimacija za pokretanje postupka pred sudom protiv navodnog počinitelja takve povrede.
49 Naime, u skladu s člankom 288. trećim stavkom UFEU‑a, države članice su prilikom prenošenja direktive dužne osigurati njezin puni učinak, pri čemu raspolažu širokom marginom prosudbe u vezi s izborom načina i sredstava za osiguravanje njezine provedbe. Ta sloboda ne utječe na obvezu svake države članice kojoj je direktiva upućena da poduzme sve mjere potrebne za osiguravanje punog učinka predmetne direktive u skladu s njezinim ciljem (presude od 6. listopada 2010., Base i dr., C 389/08, EU:C:2010:584, t. 24. i 25. i od 22. veljače 2018., Porras Guisado, C‑103/16, EU:C:2018:99, t. 57.).
50 U tom pogledu valja podsjetiti na to da je jedan od glavnih ciljeva Direktive 95/46 osiguravanje učinkovite i potpune zaštite temeljnih prava i sloboda pojedinaca, osobito prava na privatan život, u vezi s obradom osobnih podataka (vidjeti u tom smislu presude od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 53. i od 27. rujna 2017., Puškár, C‑73/16, EU:C:2017:725, t. 38.). Njezinom uvodnom izjavom 10. pojašnjava se da usklađivanje nacionalnih zakonodavstava koja su u ovom području primjenjiva ne smije dovesti do smanjenja zaštite koju pružaju, nego, naprotiv, mora težiti tomu da osigura visoku razinu zaštite u Uniji (presude od 6. studenoga 2003., Lindqvist, C‑101/01, EU:C:2003:596, t. 95.; od 16. prosinca 2008., Huber, C‑524/06, EU:C:2008:724, t. 50. i od 24. studenoga 2011., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10, EU:C:2011:777, t. 28.).
51 Činjenica da je država članica u svojem nacionalnom propisu predvidjela mogućnost da udruga za zaštitu interesa potrošača podnese tužbu protiv navodnog počinitelja povrede zaštite osobnih podataka, pak, nikako nije takve prirode da može naštetiti njezinim ciljevima, nego, naprotiv, doprinosi njihovu ostvarenju.
52 Međutim, društva Fashion ID i Facebook Ireland tvrde da je, s obzirom na to da je Direktiva 95/46 pristupila potpunom usklađivanju nacionalnih odredbi koje se odnose na zaštitu osobnih podataka, isključeno svako ovlaštenje na podnošenje tužbe koje njome nije izričito previđeno. Članci 22., 23. i 28. Direktive 95/46 ograničavaju se, pak, na predviđanje radnji ispitanika i nadzornih tijela za zaštitu podataka.
53 Međutim, tu argumentaciju nije moguće prihvatiti.
54 Točno je da Direktiva 95/46 provodi u načelu potpuno usklađivanje nacionalnih zakonodavstava koja se odnose na zaštitu osobnih podataka (vidjeti u tom smislu presude od 24. studenoga 2011., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10, EU:C:2011:777, t. 29. i od 7. studenoga 2013., IPI, C‑473/12, EU:C:2013:715, t. 31.).
55 Stoga je Sud smatrao da se člankom 7. navedene direktive predviđa iscrpan i taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom te da države članice ne mogu ni dodati nova načela tom članku u pogledu zakonitosti obrade osobnih podataka ni predvidjeti dodatne zahtjeve koji bi značili izmjenu dosega nekog od šest načela predviđenih u navedenom članku (presude od 24. studenoga 2011., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10, EU:C:2011:777, t. 30. i 32. i od 19. studenoga 2016., Breyer, C‑582/14, EU:C:2016:779, t. 57.).
56 Međutim, Sud je pojasnio i da Direktiva 95/46 sadržava pravila koja su relativno općenita, s obzirom na to da se ona mora primjenjivati na velik broj vrlo različitih situacija. Tim pravilima svojstvena je određena prilagodljivost i u mnogim slučajevima državama članicama prepuštaju odluku o utvrđivanju pojedinosti ili odabir među mogućnostima na takav način da one u mnogim aspektima raspolažu manevarskim prostorom za prenošenje navedene direktive (vidjeti u tom smislu presude od 6. studenoga 2003., Lindqvist, C‑101/01, EU:C:2003:596, t. 83., 84. i 97. i od 24. studenoga 2011., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10, EU:C:2011:777, t. 35.).
57 To je slučaj članaka 22. do 24. Direktive 95/46, koji su, kao što je to nezavisni odvjetnik istaknuo u točki 42. svojeg mišljenja, vrlo općenito sročeni i ne provode iscrpno usklađivanje nacionalnih odredbi koje se odnose na pravna sredstva koja se mogu podnijeti protiv navodnog počinitelja povrede zaštite osobnih podataka (vidjeti analogijom presudu od 26. listopada 2017., I, C‑195/16, EU:C:2017:815, t. 57. i 58.).
58 Konkretnije, iako se člankom 22. te direktive državama članicama nalaže da predvide pravo svake osobe na pravni lijek za slučaj kršenja prava koja su joj osigurana nacionalnim odredbama koje se primjenjuju na obradu osobnih podataka o kojoj je riječ, navedena direktiva ne sadržava nijednu odredbu kojom su posebno uređene pretpostavke pod kojima se može ostvarivati pravo na taj pravni lijek (vidjeti u tom smislu presudu od 27. rujna 2017., Puškár, C‑73/16, EU:C:2017:725, t. 54. i 55.).
59 Usto, člankom 24. Direktive 95/46 propisuje se da države članice donose „odgovarajuće mjere” kako bi osigurale potpunu provedbu njezinih odredbi a da se njime takve mjere ne definiraju. Međutim, očito je da činjenica da se udruzi za zaštitu interesa potrošača dopušta da podnese tužbu protiv navodnog počinitelja povrede zaštite osobnih podataka može predstavljati odgovarajuću mjeru u smislu te odredbe, koja, kao što je to istaknuto u točki 51. ove presude, doprinosi ostvarenju ciljeva navedene direktive, u skladu sa sudskom praksom Suda (vidjeti u tom pogledu presudu od 6. studenoga 2003., Lindqvist, C‑101/01, EU:C:2003:596, t. 97.).
60 Osim toga, suprotno onomu što tvrdi društvo Fashion ID, nije točno da to što je država članica u svojem nacionalnom propisu predvidjela takvu mogućnost može povrijediti neovisnost s kojom nadzorna tijela moraju provoditi funkcije koje su im povjerene u skladu sa zahtjevima iz članka 28. Direktive 95/46, s obzirom na to da ta mogućnost ne može utjecati ni na slobodu odlučivanja tih nadzornih tijela ni njihovu slobodu djelovanja.
61 Usto, premda je točno da se Direktiva 95/46 ne nalazi među aktima navedenima u Prilogu I. Direktivi 2009/22, ipak ostaje činjenica da, prema članku 7. te potonje direktive, ona nije u tom pogledu provela iscrpno usklađivanje.
62 Konačno, činjenica da Uredba 2016/679, koja je stavila izvan snage i zamijenila Direktivu 95/46 i koja se primjenjuje od 25. svibnja 2018., u članku 80. stavku 2. izričito ovlašćuje države članice da udrugama za zaštitu interesa potrošača dodijele aktivnu procesnu legitimaciju da pokrenu postupak pred sudom protiv navodnog počinitelja povrede zaštite osobnih podataka nikako ne podrazumijeva da im države članice nisu mogle dodijeliti to pravo prema režimu Direktive 95/46, nego, naprotiv, potvrđuje da njezino tumačenje u ovoj presudi odražava volju zakonodavca Unije.
63 S obzirom na sva prethodna razmatranja, na prvo pitanje valja odgovoriti da članke 22. do 24. Direktive 95/46 treba tumačiti na način da im se ne protivi nacionalni propis kojim se udrugama za zaštitu interesa potrošača dodjeljuje aktivna procesna legitimacija za pokretanje postupka pred sudom protiv navodnog počinitelja povrede zaštite osobnih podataka.
Drugo pitanje
64 Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita može li se upravitelj internetske stranice, poput društva Fashion ID – koji na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja tog dodatka i prenošenje u tu svrhu tom pružatelju posjetiteljevih osobnih podataka – smatrati voditeljem obrade u smislu članka 2. točke (d) Direktive 95/46, premda taj upravitelj nema nikakav utjecaj na obradu podataka koji su tako preneseni navedenom pružatelju.
65 U tom pogledu valja podsjetiti na to da, u skladu s ciljem Direktive 95/46 da jamči visoku razinu zaštite temeljnih prava i sloboda fizičkih osoba, a posebno njihova prava na privatan život u vezi s obradom osobnih podataka, članak 2. točka (d) te direktive široko definira pojam „voditelj obrade”, tako da on obuhvaća fizičku ili pravnu osobu, javno tijelo, agenciju ili bilo koje drugo tijelo koje samo ili zajedno s drugima utvrđuje svrhu i načine obrade osobnih podataka (vidjeti u tom smislu presudu od 5. lipnja 2018., Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, t. 26. i 27.).
66 Naime, kao što je to Sud već presudio, cilj je te odredbe da širokom definicijom pojma „voditelj obrade” osigura učinkovitu i potpunu zaštitu ispitanika (presude od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 34. i od 5. lipnja 2018., Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, t. 28.).
67 Usto, s obzirom na to da – kao što se to izričito predviđa člankom 2. točkom (d) Direktive 95/46 – pojam „voditelj obrade” obuhvaća tijelo koje „samo ili zajedno s drugima” utvrđuje svrhu i načine obrade osobnih podataka, taj pojam ne upućuje nužno na jedno tijelo te se može odnositi na više sudionika u obradi, pri čemu svaki od njih podliježe odredbama koje se primjenjuju u području zaštite podataka (vidjeti u tom smislu presude od 5. lipnja 2018., Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, t. 29. i od 10. srpnja 2018., Jehovan todistajat, C‑25/17, EU:C:2018:551, t. 65.).
68 Sud je također smatrao da se fizička ili pravna osoba koja u vlastite svrhe utječe na obradu osobnih podataka i stoga sudjeluje u utvrđivanju svrha i načina te obrade može smatrati voditeljem obrade u smislu članka 2. točke (d) Direktive 95/46 (presuda od 10. srpnja 2018., Jehovan todistajat, C‑25/17, EU:C:2018:551, t. 68.).
69 Osim toga, tom se odredbom ne zahtijeva da u slučaju postojanja zajedničke odgovornosti više subjekata za istu obradu svaki od njih ima pristup osobnim podacima o kojima je riječ (vidjeti u tom smislu presude od 5. lipnja 2018., Wirtschaftsakademie Schleswig Holstein, C‑210/16, EU:C:2018:388, t. 38. i od 10. srpnja 2018., Jehovan todistajat, C‑25/17, EU:C:2018:551, t. 69.).
70 Imajući navedeno na umu, s obzirom na to da je cilj članka 2. točke (d) Direktive 95/46 da širokom definicijom pojma „voditelj obrade” osigura učinkovitu i potpunu zaštitu ispitanika, postojanje zajedničke odgovornosti ne znači nužno jednaku odgovornost različitih subjekata uključenih u istu obradu osobnih podataka. Naprotiv, ti subjekti mogu biti uključeni u obradu osobnih podataka u različitim fazama i stupnjevima, tako da razinu odgovornosti svakog od njih valja procjenjivati vodeći računa o svim relevantnim okolnostima predmetnog slučaja (vidjeti u tom smislu presudu od 10. srpnja 2018., Jehovan todistajat, C‑25/17, EU:C:2018:551, t. 66.).
71 U tom pogledu valja navesti, s jedne strane, da se u članku 2. točki (b) Direktive 95/46 „obrada osobnih podataka” definira kao „bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje”.
72 Iz te definicije proizlazi da obradu osobnih podataka mogu činiti jedan ili više postupaka, pri čemu se svaki od njih odnosi na jednu od različitih faza od kojih se obrada osobnih podataka može sastojati.
73 S druge strane, iz definicije pojma „voditelj obrade”, koji se nalazi u članku 2. točki (d) Direktive 95/46, kako se na njega podsjeća u točki 65. ove presude, proizlazi da, kad više subjekata zajedno utvrđuje svrhu i načine obrade osobnih podataka, oni u toj obradi sudjeluju kao voditelji obrade.
74 Iz toga slijedi, kao što je to u točki 101. svojeg mišljenja istaknuo nezavisni odvjetnik, da je očito da fizička ili pravna osoba može biti voditelj obrade u smislu članka 2. točke (d) Direktive 95/46 zajedno s drugima samo u odnosu na postupke obrade osobnih podataka čiju svrhu i načine zajednički utvrđuje. Nasuprot tomu i ne dovodeći u pitanje moguću građansku odgovornost predviđenu u tom pogledu nacionalnim pravom, ta fizička ili pravna osoba ne može se smatrati voditeljem obrade u smislu navedene odredbe u odnosu na postupke koji su raniji ili kasniji u odnosu na lanac obrade čiju svrhu i načine ne utvrđuje.
75 U ovom slučaju, podložno provjerama koje mora provesti sud koji je uputio zahtjev, iz spisa kojim Sud raspolaže proizlazi kako se čini da je, umetanjem na svoju internetsku stranicu Facebookove tipke „Sviđa mi se”, društvo Fashion ID omogućilo društvu Facebook Ireland da dobije osobne podatke posjetitelja njegove internetske stranice, pri čemu puko posjećivanje takve stranice dovodi do takve mogućnosti, i to neovisno o tome jesu li ti posjetitelji članovi društvene mreže Facebook i jesu li kliknuli na Facebookovu tipku „Sviđa mi se” ili čak jesu li svjesni takvog postupka.
76 Vodeći računa o tim informacijama, valja utvrditi da su postupci obrade osobnih podataka čiju svrhu i načine može utvrditi društvo Fashion ID, zajedno s društvom Facebook Ireland, u pogledu definicije pojma „obrada osobnih podataka” koja se nalazi u članku 2. točki (b) Direktive 95/46, prikupljanje i otkrivanje prijenosom osobnih podataka posjetitelja njegove internetske stranice. Nasuprot tomu, u pogledu navedenih informacija čini se da je a priori isključeno da društvo Fashion ID utvrđuje svrhu i načine kasnijih postupaka obrade osobnih podataka koje provodi društvo Facebook Ireland, nakon što su mu ti podaci preneseni, na način da se društvo Fashion ID ne može smatrati voditeljem obrade u odnosu na te postupaka u smislu članka 2. točke (d).
77 Kad je riječ o načinima prikupljanja i otkrivanja prijenosom određenih osobnih podataka posjetitelja njegove internetske stranice, iz točke 75. ove presude proizlazi da je društvo Fashion ID, čini se, na svoju internetsku stranicu umetnulo Facebookovu tipku „Sviđa mi se” koju je društvo Facebook Ireland stavilo na raspolaganje upraviteljima internetskih stranica, iako je bilo svjesno da ona služi kao sredstvo za prikupljanje i prijenos osobnih podataka posjetitelja te stranice, neovisno o tome jesu li oni članovi društvene mreže Facebook.
78 Osim toga, umetnuvši takav dodatak za društvenu mrežu na svoju internetsku stranicu, društvo Fashion ID ima odlučujući utjecaj na prikupljanje i prijenos osobnih podataka posjetitelja navedene stranice u korist pružatelja navedenog dodatka, u ovom slučaju društva Facebook Ireland, do kojih ne bi došlo da nije bilo umetanja navedenog dodatka.
79 U tim okolnostima i podložno provjerama koje u tom pogledu mora provesti sud koji je uputio zahtjev, treba smatrati da društva Facebook Ireland i Fashion ID zajedno utvrđuju načine provođenja postupaka prikupljanja i otkrivanja prijenosom osobnih podataka posjetitelja internetske stranice društva Fashion ID.
80 U odnosu na svrhu navedenih postupaka obrade osobnih podataka, čini se da društvo Fashion ID umetanjem Facebookove tipke „Sviđa mi se” na svoju internetsku stranicu optimira promidžbu svojih proizvoda tako da ih čini vidljivijima na društvenoj mreži Facebook kad posjetitelj njegove internetske stranice klikne na navedenu tipku. Čini se da je društvo Fashion ID radi ostvarivanja te komercijalne prednosti – koja se sastoji u takvoj povećanoj promidžbi njegovih proizvoda – umetanjem takve tipke na svoju internetsku stranicu barem implicitno pristalo na prikupljanje i otkrivanje prijenosom osobnih podataka posjetitelja svoje stranice, s obzirom na to da su ti postupci obrade izvršeni u gospodarskom interesu i društva Fashion ID i društva Facebook Ireland, za koje činjenica da može raspolagati tim podacima za vlastite poslovne svrhe predstavlja protučinidbu za prednost danu društvu Fashion ID.
81 U takvim okolnostima može se smatrati, podložno provjerama koje mora provesti sud koji je uputio zahtjev, da društva Fashion ID i Facebook Ireland zajedno utvrđuju svrhu postupaka prikupljanja i otkrivanja prijenosom osobnih podataka o kojima je riječ u glavnom postupku.
82 Štoviše, kao što to proizlazi iz sudske prakse na koju se podsjeća u točki 69. ove presude, okolnost da upravitelj internetske stranice, poput društva Fashion ID, nema sâm pristup osobnim podacima prikupljenima i prenesenima pružatelju dodatka za društvenu mrežu s kojim zajedno utvrđuje načine i svrhu obrade osobnih podataka ne sprečava mogućnost da on ima svojstvo „voditelja obrade” u smislu članka 2. točke (d) Direktive 95/46.
83 Konačno, valja naglasiti da internetsku stranicu poput one društva Fashion ID posjećuju i osobe koje su članovi društvene mreže Facebook i koje stoga imaju račun na toj društvenoj mreži i one koje na njoj nemaju račun. U tom potonjem slučaju odgovornost upravitelja internetske stranice, poput društva Fashion ID, za obradu osobnih podataka tih osoba pokazuje se još važnijom jer puko posjećivanje takve stranice, koja sadržava Facebookovu tipku „Sviđa mi se”, čini se, dovodi do obrade njihovih osobnih podataka koju provodi društvo Facebook Ireland (vidjeti u tom smislu presudu od 5. lipnja 2018., Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, t. 41.).
84 Posljedično, očito je da se društvo Fashion ID može smatrati voditeljem obrade u smislu članka 2. točke (d) Direktive 95/46 zajedno s društvom Facebook Ireland u odnosu na postupke prikupljanja i otkrivanja prijenosom osobnih podataka posjetitelja svoje internetske stranice.
85 S obzirom na prethodna razmatranja, na drugo pitanje valja odgovoriti da se upravitelj internetske stranice, poput društva Fashion ID – koji na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu tom pružatelju posjetiteljevih osobnih podataka – može smatrati voditeljem obrade u smislu članka 2. točke (d) Direktive 95/46. Međutim, ta je odgovornost ograničena na postupak ili skup postupaka obrade osobnih podataka čiju svrhu i načine stvarno utvrđuje, odnosno na prikupljanje i otkrivanje prijenosom podataka o kojima je riječ.
Treće pitanje
86 Uzevši u obzir odgovor na drugo pitanje, na treće pitanje nije potrebno odgovoriti.
Četvrto pitanje
87 Svojim četvrtim pitanjem sud koji je uputio zahtjev u biti pita treba li u situaciji poput one u glavnom postupku – u kojoj upravitelj internetske stranice na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu tom pružatelju posjetiteljevih osobnih podataka – uzeti u obzir u svrhu primjene članka 7. točke (f) Direktive 95/46 zakonit interes koji taj upravitelj želi postići ili zakonit interes koji navedeni pružatelj želi postići.
88 Uvodno valja istaknuti da, prema Komisijinu mišljenju, to pitanje nije relevantno za rješenje spora u glavnom postupku, s obzirom na to da privola ispitanika, koja se traži člankom 5. stavkom 3. Direktive 2002/58, nije prikupljena.
89 U tom pogledu valja utvrditi da se člankom 5. stavkom 3. te potonje direktive predviđa da države članice moraju osigurati da je pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi pretplatnika ili korisnika dopušteno samo pod uvjetom da je dotični pretplatnik ili korisnik dao svoj pristanak, nakon što je iscrpno i razumljivo, u skladu s Direktivom 95/46, obaviješten, među ostalim, o svrsi obrade.
90 Sud koji je uputio zahtjev dužan je provjeriti pristupa li, u situaciji poput one u glavnom postupku, pružatelj dodatka za društvenu mrežu, poput društva Facebook Ireland, a kao što to tvrdi Komisija, preko upravitelja te stranice pohranjenim podacima na terminalnoj opremi, u smislu članka 5. stavka 3. Direktive 2002/58, posjetitelja internetske stranice.
91 U takvim okolnostima i s obzirom na to da sud koji je uputio zahtjev, čini se, smatra da podaci preneseni društvu Facebook Ireland u ovom slučaju čine osobne podatke u smislu Direktive 95/46, koji se, osim toga, ne ograničavaju nužno na podatke pohranjene na terminalnoj opremi, što taj sud mora istražiti, Komisijina razmatranja ne dovode u pitanje relevantnost četvrtog prethodnog pitanja, koje se odnosi na moguću zakonitost obrade podataka o kojoj je riječ u glavnom postupku, za rješenje spora u glavnom postupku, kao što je to istaknuo i nezavisni odvjetnik u točki 115. svojeg mišljenja.
92 Posljedično, valja ispitati koji zakonit interes treba uzeti u obzir u svrhu primjene članka 7. točke (f) te direktive na obradu tih podataka.
93 U tom pogledu najprije valja podsjetiti na to da, u skladu s odredbama glave II. Direktive 95/46, naslovljene „Opća pravila o zakonitosti obrade osobnih podataka”, osim odstupanja predviđenih u članku 13. te direktive, svaka obrada osobnih podataka mora, među ostalim, biti u skladu s jednim od načela koja se odnose na zakonitost obrade podataka, navedenih u članku 7. navedene direktive (vidjeti u tom smislu presude od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 71. i od 1. listopada 2015., Bara i dr., C‑201/14, EU:C:2015:638, t. 30.).
94 U skladu s člankom 7. točkom (f) Direktive 95/46, čije je tumačenje sud koji je uputio zahtjev zatražio, obrada osobnih podataka zakonita je ako je potrebna u svrhe zakonitog interesa koji ima voditelj obrade ili treća stranka ili stranke kojima se podaci otkrivaju, osim kada su ti podaci podređeni interesu za temeljna prava i slobode ispitanika koji zahtijeva zaštitu na temelju članka 1. stavka 1. Direktive 95/46.
95 Dakle, navedenim člankom 7. točkom (f) predviđena su tri kumulativna uvjeta zakonitosti obrade osobnih podataka, odnosno, kao prvo, da je svrha obrade zakonit interes voditelja obrade ili treće stranke odnosno stranaka kojima se podaci otkrivaju, kao drugo, da je obrada osobnih podataka potrebna za ostvarenje tog zakonitog interesa i, kao treće, da interes ili temeljna prava i slobode ispitanika ne prevladavaju nad tim zakonitim interesom (presuda od 4. svibnja 2017., Rīgas satiksme, C‑13/16, EU:C:2017:336, t. 28.).
96 Budući da je, imajući u vidu odgovor na drugo pitanje, očito da se u situaciji poput one o kojoj je riječ u glavnom postupku upravitelj internetske stranice – koji na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu tom pružatelju posjetiteljevih osobnih podataka – može smatrati voditeljem obrade, zajedno s tim pružateljem, u odnosu na postupke obrade osobnih podataka posjetitelja svoje internetske stranice, a ti su postupci prikupljanje i otkrivanje prijenosom, svaki od tih voditelja obrade mora težiti zakonitom interesu, u smislu članka 7. točke (f) Direktive 95/46 kako bi ti postupci u tom pogledu bili opravdani.
97 S obzirom na prethodna razmatranja, na četvrto pitanje valja odgovoriti da u situaciji poput one u glavnom postupku – u kojoj upravitelj internetske stranice na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu tom pružatelju posjetiteljevih osobnih podataka – i taj upravitelj i taj pružatelj moraju tim postupcima željeti postići zakonit interes u smislu članka 7. točke (f) Direktive 95/46, kako bi oni u tom pogledu bili opravdani.
Peto i šesto pitanje
98 Svojim petim i šestim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti želi znati, s jedne strane, treba li članak 2. točku (h) i članak 7. točku (a) Direktive 95/46 tumačiti na način da u situaciji poput one o kojoj je riječ u glavnom postupku – u kojoj upravitelj internetske stranice na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu navedenom pružatelju posjetiteljevih osobnih podataka – privolu iz tih odredbi treba prikupiti navedeni upravitelj ili taj pružatelj i, s druge strane, treba li članak 10. te direktive tumačiti na način da je u takvoj situaciji obveza obavješćivanja predviđena u toj odredbi na strani tog upravitelja.
99 Kao što to proizlazi iz odgovora na drugo pitanje, upravitelj internetske stranice koji na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu navedenom pružatelju osobnih podataka navedenog posjetitelja može se smatrati voditeljem obrade u smislu članka 2. točke (d) Direktive 95/46, unatoč tomu što je ta odgovornost ograničena na postupak ili skup postupaka obrade osobnih podataka čiju on svrhu i načine stvarno utvrđuje.
100 Stoga je očito da se obveze koje, u skladu s Direktivom 95/46, može imati taj voditelj obrade – poput obveze prikupljanja privole ispitanika iz članka 2. točke (h) i članka 7. točke (a) te direktive i obveze obavješćivanja predviđene u njezinu članku 10. – moraju odnositi na postupak ili skup postupaka obrade osobnih podataka čiju svrhu i načine on stvarno utvrđuje.
101 U ovom slučaju, iako se upravitelj internetske stranice koji na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu navedenom pružatelju osobnih podataka navedenog posjetitelja može smatrati voditeljem obrade, zajedno s tim pružateljem, u odnosu na postupke prikupljanja i otkrivanja prijenosom osobnih podataka tog posjetitelja, njegova obveza prikupljanja privole ispitanika iz članka 2. točke (h) i članka 7. točke (a) Direktive 95/46 i njegova obveza obavješćivanja, predviđena u njezinu članku 10., odnose se samo na te postupke. Nasuprot tomu, te obveze ne obuhvaćaju postupke koji uključuju obradu osobnih podataka u drugim fazama koji se odvijaju prije ili poslije tih postupaka koji uključuju, prema potrebi, obradu osobnih podataka o kojoj je riječ.
102 Kad je riječ o privoli iz članka 2. točke (h) i članka 7. točke (a) Direktive 95/46, očito je da je ispitanik mora dati prije prikupljanja i otkrivanja prijenosom svojih podataka. U tim je okolnostima na upravitelju internetske stranice, a ne na pružatelju dodatka za društvenu mrežu, da prikupi tu privolu, s obzirom na to da posjećivanje te internetske stranice dovodi do postupka obrade osobnih podataka. Naime, kao što je to istaknuo nezavisni odvjetnik u točki 132. svojeg mišljenja, prava ispitanika ne bi bila učinkovito i pravodobno zaštićena ako bi se privola dala samo zajedničkom voditelju obrade koji se kasnije uključuje u obradu, odnosno pružatelju navedenog dodatka. Međutim, privola koju je potrebno dati upravitelju odnosi se samo na postupak ili skup postupaka obrade osobnih podataka čiju svrhu i načine taj upravitelj stvarno utvrđuje.
103 Isto vrijedi i za obvezu obavješćivanja predviđenu člankom 10. Direktive 95/46.
104 U tom pogledu iz teksta te odredbe proizlazi da voditelj obrade ili njegov zastupnik mora dati osobi od koje se prikupljaju podaci barem podatke iz navedene odredbe. Stoga proizlazi da taj podatak voditelj obrade treba dati odmah, odnosno u trenutku prikupljanja podataka (vidjeti u tom smislu presude od 7. svibnja 2009., Rijkeboer, C‑553/07, EU:C:2009:293, t. 68. i od 7. studenoga 2013., IPI, C‑473/12, EU:C:2013:715, t. 23.).
105 Iz toga slijedi da je u situaciji poput one u glavnom postupku obveza obavješćivanja, predviđena člankom 10. Direktive 95/46, i na strani upravitelja internetske stranice, pri čemu se podaci koje on mora dati ispitaniku moraju odnositi samo na postupak ili skup postupaka obrade osobnih podataka čiju svrhu i načine taj upravitelj stvarno utvrđuje.
106 S obzirom na prethodna razmatranja, na peto i šesto pitanje valja odgovoriti da članak 2. točku (h) i članak 7. točku (a) Direktive 95/46 treba tumačiti na način da u situaciji poput one o kojoj je riječ u glavnom postupku – u kojoj upravitelj internetske stranice na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu navedenom pružatelju posjetiteljevih osobnih podataka – privolu iz tih odredbi treba prikupiti taj upravitelj jedino u odnosu na postupak ili skup postupaka obrade osobnih podataka čiju svrhu i načine taj upravitelj stvarno utvrđuje. Usto, članak 10. te direktive treba tumačiti na način da u takvoj situaciji obveza obavješćivanja predviđena tom odredbom postoji i na strani navedenog upravitelja, pri čemu se podaci koje on mora dati ispitaniku moraju odnositi samo na postupak ili skup postupaka obrade osobnih podataka čiju svrhu i načine taj upravitelj utvrđuje.
Troškovi
107 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (drugo vijeće) odlučuje:
1. Članke 22. do 24. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka treba tumačiti na način da im se ne protivi nacionalni propis kojim se udrugama za zaštitu interesa potrošača dodjeljuje aktivna procesna legitimacija za pokretanje postupka pred sudom protiv navodnog počinitelja povrede zaštite osobnih podataka.
2. Upravitelj internetske stranice, poput društva Fashion ID GmbH & Co. KG – koji na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu tom pružatelju posjetiteljevih osobnih podataka – može se smatrati voditeljem obrade u smislu članka 2. točke (d) Direktive 95/46. Međutim, ta je odgovornost ograničena na postupak ili skup postupaka obrade osobnih podataka čiju svrhu i načine stvarno utvrđuje, odnosno na prikupljanje i otkrivanje prijenosom podataka o kojima je riječ.
3. U situaciji poput one u glavnom postupku – u kojoj upravitelj internetske stranice na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu tom pružatelju posjetiteljevih osobnih podataka – i taj upravitelj i taj pružatelj moraju tim postupcima željeti postići zakonit interes u smislu članka 7. točke (f) Direktive 95/46, kako bi oni u tom pogledu bili opravdani.
4. Članak 2. točku (h) i članak 7. točku (a) Direktive 95/46 treba tumačiti na način da u situaciji poput one o kojoj je riječ u glavnom postupku – u kojoj upravitelj internetske stranice na navedenu stranicu umeće dodatak za društvenu mrežu koji pregledniku posjetitelja te stranice omogućava zahtijevanje sadržaja pružatelja navedenog dodatka i prenošenje u tu svrhu navedenom pružatelju posjetiteljevih osobnih podataka – privolu iz tih odredbi treba prikupiti taj upravitelj jedino u odnosu na postupak ili skup postupaka obrade osobnih podataka čiju svrhu i načine taj upravitelj stvarno utvrđuje. Usto, članak 10. te direktive treba tumačiti na način da u takvoj situaciji obveza obavješćivanja predviđena tom odredbom postoji i na strani navedenog upravitelja, pri čemu se podaci koje on mora dati ispitaniku moraju odnositi samo na postupak ili skup postupaka obrade osobnih podataka čiju svrhu i načine taj upravitelj utvrđuje.
Potpisi