Wyrok Trybunału (druga izba) z dnia 29 lipca 2019 r. (wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Oberlandesgericht Düsseldorf – Niemcy) – Fashion ID GmbH & Co.KG / Verbraucherzentrale NRW eV
(Sprawa C-40/17)1
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46/WE – Artykuł 2 lit. d) – Pojęcie „administratora danych” – Operator witryny internetowej, który umieścił w niej wtyczkę społecznościową umożliwiającą ujawnianie dostawcy tej wtyczki danych osobowych osoby odwiedzającej witrynę – Artykuł 7 lit. f) – Legalność przetwarzania danych – Uwzględnienie interesu operatora witryny internetowej lub interesu dostawcy wtyczki społecznościowej – Artykuł 2 lit. h) i art. 7 lit. a) – Zgoda osoby, której dane dotyczą – Artykuł 10 – Przekazywanie informacji osobie, której dane dotyczą – Uregulowanie krajowe zezwalające stowarzyszeniom ochrony interesów konsumentów na występowanie przed sądem
Język postępowania: niemiecki
Sąd odsyłający
Oberlandesgericht Düsseldorf
Strony w postępowaniu głównym
Strona skarżąca: Fashion ID GmbH & Co.KG
Strona pozwana: Verbraucherzentrale NRW eV
przy udziale: Facebook Ireland Ltd, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Sentencja
Artykuły 22–24 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że nie stoją one na przeszkodzie uregulowaniu krajowemu zezwalającemu stowarzyszeniom ochrony interesów konsumentów na występowanie przed sądem przeciwko domniemanemu sprawcy naruszenia ochrony danych osobowych.
Operatora witryny internetowej, takiego jak Fashion ID GmbH & Co. KG, który umieszcza we wspomnianej witrynie wtyczkę społecznościową umożliwiającą przeglądarce osoby odwiedzającej tę witrynę pobieranie treści od dostawcy wspomnianej wtyczki i przekazywanie w tym celu temu dostawcy danych osobowych osoby odwiedzającej, można uznać za administratora danych w rozumieniu art. 2 lit. d) dyrektywy 95/46. Jego odpowiedzialność jest jednak ograniczona do operacji lub do zestawu operacji przetwarzania danych osobowych, której lub których cele i sposoby rzeczywiście on określa, mianowicie gromadzenia rozpatrywanych danych i ich ujawniania poprzez transmisję.
W sytuacji takiej jak rozpatrywana w postępowaniu głównym, w której operator witryny internetowej umieszcza we wspomnianej witrynie wtyczkę społecznościową umożliwiającą przeglądarce osoby odwiedzającej tę witrynę pobieranie treści od dostawcy wspomnianej wtyczki i przekazywanie w tym celu rzeczonemu dostawcy danych osobowych osoby odwiedzającej, jest konieczne, by w ramach tych operacji przetwarzania zarówno operator ten, jak i dostawca dążyli do realizacji uzasadnionych interesów w rozumieniu art. 7 lit. f) dyrektywy 95/46, aby operacje te były względem każdego z nich uzasadnione.
Artykuł 2 lit. h) i art. 7 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że w sytuacji takiej jak rozpatrywana w postępowaniu głównym, w której operator witryny internetowej umieszcza we wspomnianej witrynie wtyczkę społecznościową umożliwiającą przeglądarce osoby odwiedzającej tę witrynę pobieranie treści od dostawcy wspomnianej wtyczki i przekazywanie w tym celu rzeczonemu dostawcy danych osobowych osoby odwiedzającej, zgoda, o której mowa w tych przepisach, powinna zostać uzyskana przez tego operatora wyłącznie w odniesieniu do operacji lub do zestawu operacji przetwarzania danych osobowych, której lub których cele i sposoby wspomniany operator określa. Ponadto art. 10 tej dyrektywy należy interpretować w ten sposób, że w takiej sytuacji obowiązek informacyjny przewidziany w tym przepisie ciąży również na wspomnianym operatorze, przy czym jednak informacja, jaką ten ostatni musi przedstawić osobie, której dane dotyczą, powinna odnosić się wyłącznie do operacji lub do zestawu operacji przetwarzania danych osobowych, której lub których cele i sposoby on określa.
____________
1 Dz.U. C 112 z 10.4.2017.