Language of document :

Απόφαση του Δικαστηρίου (δεύτερο τμήμα) της 29ης Ιουλίου 2019 [αίτηση του Oberlandesgericht Düsseldorf (Γερμανία) για την έκδοση προδικαστικής αποφάσεως] – Fashion ID GmbH & Co.KG κατά Verbraucherzentrale NRW eV

(Υπόθεση C-40/17) 1

[Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Οδηγία 95/46/ΕΚ – Άρθρο 2, στοιχείο δ΄ – Έννοια του όρου «υπεύθυνος της επεξεργασίας» – Διαχειριστής ιστοσελίδας ο οποίος έχει ενσωματώσει σε αυτήν πρόσθετο μέσου κοινωνικής δικτύωσης (social plugin) το οποίο επιτρέπει τη διαβίβαση δεδομένων προσωπικού χαρακτήρα του χρήστη που την επισκέπτεται στον πάροχο του πρόσθετου αυτού – Άρθρο 7, στοιχείο στ΄ – Νόμιμη επεξεργασία δεδομένων – Λήψη υπόψη του συμφέροντος του διαχειριστή της ιστοσελίδας ή του συμφέροντος του παρόχου του ενσωματωμένου πρόσθετου μέσου κοινωνικής δικτύωσης – Άρθρο 2, στοιχείο η΄, και άρθρο 7, στοιχείο α΄ – Συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα – Άρθρο 10 – Ενημέρωση του προσώπου στο οποίο αναφέρονται τα δεδομένα – Εθνική κανονιστική ρύθμιση η οποία παρέχει στις ενώσεις προστασίας των καταναλωτών ενεργητική νομιμοποίηση για προσφυγή στη δικαιοσύνη]

Γλώσσα διαδικασίας: η γερμανική

Αιτούν δικαστήριο

Oberlandesgericht Düsseldorf

Διάδικοι στην υπόθεση της κύριας δίκης

Fashion ID GmbH & Co.KG

κατά

Verbraucherzentrale NRW eV

Διατακτικό

Τα άρθρα 22 έως 24 της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, έχουν την έννοια ότι δεν αντιτίθενται σε εθνική νομοθεσία η οποία επιτρέπει στις ενώσεις προστασίας των καταναλωτών να στρέφονται δικαστικώς κατά προσώπων τα οποία φέρονται ότι έχουν παραβεί την προστασία των δεδομένων προσωπικού χαρακτήρα.

Διαχειριστής ιστοσελίδας, όπως η Fashion ID GmbH & Co. KG, ο οποίος ενσωματώνει στην εν λόγω ιστοσελίδα πρόσθετο μέσου κοινωνικής δικτύωσης το οποίο δίνει στον φυλλομετρητή του επισκέπτη της ιστοσελίδας τη δυνατότητα να αντλήσει περιεχόμενο από τον πάροχο του εν λόγω πρόσθετου και προς τον σκοπό αυτό επιτρέπει να διαβιβάζονται στον πάροχο δεδομένα προσωπικού χαρακτήρα του επισκέπτη μπορεί να θεωρηθεί υπεύθυνος της επεξεργασίας, κατά την έννοια του άρθρου 2, στοιχείο δ΄, της οδηγίας 95/46. Η ευθύνη αυτή περιορίζεται μόνο στην πράξη ή στη σειρά πράξεων επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις οποίες αυτός καθορίζει πράγματι τους σκοπούς και τον τρόπο της επεξεργασίας, ήτοι στη συλλογή και την ανακοίνωση με διαβίβαση των επίμαχων δεδομένων.

Σε περίπτωση, όπως η επίμαχη στην υπόθεση της κύριας δίκης, όπου ο διαχειριστής ιστοσελίδας ενσωματώνει στην εν λόγω ιστοσελίδα πρόσθετο μέσου κοινωνικής δικτύωσης το οποίο δίνει στον φυλλομετρητή του επισκέπτη της ιστοσελίδας τη δυνατότητα να αντλήσει περιεχόμενο από τον πάροχο του πρόσθετου και προς τον σκοπό αυτό επιτρέπει να διαβιβάζονται στον πάροχο δεδομένα προσωπικού χαρακτήρα του επισκέπτη, είναι αναγκαίο τόσο ο διαχειριστής όσο και ο πάροχος να επιδιώκουν με τις εν λόγω πράξεις έννομο συμφέρον, κατά την έννοια του άρθρου 7, στοιχείο στ΄, της οδηγίας 95/46, προκειμένου οι πράξεις αυτές να είναι δικαιολογημένες ως προς καθέναν από αυτούς.

Το άρθρο 2, στοιχείο η΄, και το άρθρο 7, στοιχείο α΄, της οδηγίας 95/46 έχουν την έννοια ότι, σε περίπτωση, όπως η επίμαχη στην υπόθεση της κύριας δίκης, όπου ο διαχειριστής ιστοσελίδας ενσωματώνει στην εν λόγω ιστοσελίδα πρόσθετο μέσου κοινωνικής δικτύωσης το οποίο δίνει στον φυλλομετρητή του επισκέπτη της ιστοσελίδας τη δυνατότητα να αντλήσει περιεχόμενο από τον πάροχο του πρόσθετου και προς τον σκοπό αυτό επιτρέπει να διαβιβάζονται στον πάροχο δεδομένα προσωπικού χαρακτήρα του επισκέπτη, την συγκατάθεση κατά την έννοια των διατάξεων αυτών πρέπει να τη λάβει ο εν λόγω διαχειριστής μόνον όσον αφορά την πράξη ή τη σειρά πράξεων επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις οποίες αυτός καθορίζει πράγματι τους σκοπούς και τον τρόπο της επεξεργασίας. Περαιτέρω, το άρθρο 10 της ως άνω οδηγίας έχει την έννοια ότι, σε μια τέτοια περίπτωση, η υποχρέωση ενημέρωσης την οποία προβλέπει η διάταξη αυτή βαρύνει επίσης και τον εν λόγω διαχειριστή, η ενημέρωση όμως την οποία αυτός οφείλει να παράσχει στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα αφορά μόνον την πράξη ή τη σειρά πράξεων επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις οποίες ο ίδιος καθορίζει πράγματι τους σκοπούς και τον τρόπο της επεξεργασίας.

____________

1 ΕΕ C 112 της 10.4.2017.