Sentencia del Tribunal de Justicia (Sala Segunda) de 29 de julio de 2019 (petición de decisión prejudicial planteada por el Oberlandesgericht Düsseldorf — Alemania) — Fashion ID GmbH & Co. KG / Verbraucherzentrale NRW eV
(Asunto C-40/17) 1
[Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva 95/46/CE — Artículo 2, letra d) — Concepto de «responsable del tratamiento» — Administrador de un sitio de Internet que incorporó en este un módulo social que permite comunicar los datos personales del visitante de ese sitio al proveedor de dicho módulo — Artículo 7, letra f) — Legitimación de los tratamientos de datos — Toma en consideración del interés del administrador del sitio de Internet o del interés del proveedor del módulo social — Artículos 2, letra h), y 7, letra a) — Consentimiento del interesado — Artículo 10 — Información del interesado — Normativa nacional que permite a las asociaciones de defensa de los intereses de los consumidores ejercitar acciones judiciales]
Lengua de procedimiento: alemán
Órgano jurisdiccional remitente
Oberlandesgericht Düsseldorf
Partes en el procedimiento principal
Demandante: Fashion ID GmbH & Co. KG
Demandada: Verbraucherzentrale NRW eV
con intervención de: Facebook Ireland Ltd, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Fallo
Los artículos 22 a 24 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, deben interpretarse en el sentido de que no se oponen a una normativa nacional que permita a las asociaciones de defensa de los intereses de los consumidores ejercitar acciones judiciales contra el presunto infractor de la protección de los datos personales.
El administrador de un sitio de Internet, como Fashion ID GmbH & Co. KG, que inserta en dicho sitio un módulo social que permite que el navegador del visitante de ese sitio solicite contenidos del proveedor de dicho módulo y transmita para ello a ese proveedor datos personales del visitante puede ser considerado responsable del tratamiento, en el sentido del artículo 2, letra d), de la Directiva 95/46. Sin embargo, esa responsabilidad se limita a la operación o al conjunto de las operaciones de tratamiento de datos personales cuyos fines y medios determina efectivamente, a saber, la recogida y la comunicación por transmisión de datos en cuestión.
En una situación como la del litigio principal, en la que el administrador de un sitio de Internet inserta en dicho sitio un módulo social que permite que el navegador del visitante de ese sitio solicite contenidos del proveedor de dicho módulo y transmita para ello a dicho proveedor datos personales del visitante, es necesario que el administrador y el proveedor persigan, cada uno de ellos, con esas operaciones de tratamiento, un interés legítimo, en el sentido del artículo 7, letra f), de la Directiva 95/46, para que estas queden justificadas.
Los artículos 2, letra h), y 7, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, en una situación como la del litigio principal, en la que el administrador de un sitio de Internet inserta en dicho sitio un módulo social que permite que el navegador del visitante de ese sitio solicite contenidos del proveedor de dicho módulo y transmita para ello a ese proveedor datos personales del visitante, el consentimiento mencionado en tales disposiciones debe ser solicitado por dicho administrador únicamente por lo que se refiere a la operación o al conjunto de las operaciones de tratamiento de datos personales cuyos fines y medios determina ese administrador. Además, el artículo 10 de la citada Directiva debe interpretarse en el sentido de que, en tal situación, la obligación de información establecida en esta disposición recae también sobre dicho administrador; no obstante, la información que este último debe comunicar al interesado debe referirse únicamente a la operación o al conjunto de las operaciones de tratamiento de datos personales cuyos fines y medios determina.
____________
1 DO C 112 de 10.4.2017.