Domstolens dom (andra avdelningen) av den 29 juli 2019 (begäran om förhandsavgörande från Oberlandesgericht Düsseldorf - Tyskland) – Fashion ID GmbH & Co.KG mot Verbraucherzentrale NRW eV

(Mål C-40/17)(¹ )

(Begäran om förhandsavgörande – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46/EG – Artikel 2 d – Begreppet ’registeransvarig’ – Webbplatsoperatör har på sin webbplats integrerat ett socialt insticksprogram som tillåter överföring av webbplatsbesökarnas personuppgifter till tjänsteleverantören för detta program – Artikel 7 f – Uppgiftsbehandling som kan tillåtas – Beakta webbplatsoperatörens eller tjänsteleverantören till det sociala insticksprogrammets intresse – Artikel 2 h och artikel 7 a – Den registrerades samtycke – Artikel 10 – Informationsplikt till den registrerade – Nationell bestämmelse som ger konsumentskyddsorganisationer rätt att väcka talan)

Rättegångsspråk: tyska

Hänskjutande domstol

Oberlandesgericht Düsseldorf

Parter i målet vid den nationella domstolen

Klagande: Fashion ID GmbH & Co.KG

Motpart: Verbraucherzentrale NRW eV

ytterligare deltagare i rättegången: Facebook Ireland Ltd, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Domslut

Artiklarna 22–24 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att de inte utgör hinder för nationella bestämmelser som gör det möjligt för konsumentskyddsorganisationer att väcka talan mot den som påstås kränka skyddet av personuppgifter.

En webbplatsoperatör, såsom Fashion ID GmbH & Co. KG, som integrerar ett socialt insticksprogram på sin webbplats – som får webbplatsbesökarens webbläsare att begära innehåll från tjänsteleverantören till insticksprogrammet och, i detta syfte, översända besökarens personuppgifter till denna tjänsteleverantör – kan anses vara registeransvarig i den mening som avses i artikel 2 d i direktiv 95/46. Detta ansvar är dock begränsat till den behandling eller den gemensamma behandling av personuppgifter som den faktiskt bestämmer ändamålen och medlen för.

I en sådan situation som den i det nationella målet, där en webbplatsoperatör integrerar ett socialt insticksprogram på sin webbplats – som får webbplatsbesökarens webbläsare att begära innehåll från tjänsteleverantören till insticksprogrammet och, i detta syfte, översända besökarens personuppgifter till denna tjänsteleverantör – ska både webbplatsoperatören och tjänsteleverantören ha ett berättigat intresse i enlighet med artikel 7 f i direktiv 95/46, för att dessa behandlingar ska tillåtas.

Artikel 2 h och artikel 7 a i direktiv 95/46 ska tolkas så, att – i en sådan situation som den i det nationella målet, där en webbplatsoperatör integrerar ett socialt insticksprogram på sin webbplats – som får webbplatsbesökarens webbläsare att begära innehåll från tjänsteleverantören till insticksprogrammet och, i detta syfte, översända besökarens personuppgifter till denna tjänsteleverantör – det samtycke som enligt dessa bestämmelser ska inhämtas av webbplatsoperatören enbart omfattar den behandling eller den gemensamma behandling av personuppgifter som webbplatsoperatören faktiskt bestämmer ändamålen och medlen för. Dessutom ska artikel 10 i direktivet tolkas så, att – i en sådan situation – informationsplikten enligt artikeln även åligger webbplatsoperatören och att de uppgifter som webbplatsoperatören ska ge till den registrerade enbart omfattar den behandling eller den gemensamma behandling av personuppgifter som den faktiskt bestämmer ändamålen och medlen för.

____________

(¹ ) EUT C 112, 10.4.2017