Hotărârea Curții (Camera a doua) din 29 iulie 2019 (cerere de decizie preliminară formulată de Oberlandesgericht Düsseldorf - Germania) – Fashion ID GmbH & Co.KG/Verbraucherzentrale NRW eV
(Cauza C-40/17)1
[Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Directiva 95/46/CE – Articolul 2 litera (d) – Noțiunea de „operator” – Administrator al unui site internet care a inclus în acesta un modul social care permite ca datele cu caracter personal ale vizitatorului acestui site să îi fie comunicate furnizorului modulului menționat – Articolul 7 litera (f) – Legitimitatea prelucrării datelor – Luarea în considerare a interesului administratorului site-ului internet sau a celui al furnizorului modulului social – Articolul 2 litera (h) și articolul 7 litera (a) – Consimțământul persoanei vizate – Articolul 10 – Informarea persoanei vizate – Reglementare națională care permite asociațiilor pentru protecția intereselor consumatorilor să introducă acțiuni în justiție]
Limba de procedură: germana
Instanța de trimitere
Oberlandesgericht Düsseldorf
Părțile din procedura principală
Reclamantă: Fashion ID GmbH & Co.KG
Pârât: Verbraucherzentrale NRW eV
cu participarea: Facebook Ireland Ltd, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Dispozitivul
Articolele 22-24 din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretate în sensul că nu se opun unei reglementări naționale care permite asociațiilor pentru apărarea intereselor consumatorilor să introducă acțiuni în justiție împotriva autorului prezumat al unei atingeri aduse protecției datelor cu caracter personal.
Administratorul unui site internet precum Fashion ID GmnH & Co. KG, care inserează pe site-ul menționat un modul social care permite browser-ului vizitatorului acestui site să solicite conținuturi de la furnizorul modulului menționat și să transmită în acest scop acestui furnizor date cu caracter personal ale vizitatorului, poate fi considerat operator, în sensul articolului 2 litera (d) din Directiva 95/46. Această calitate de operator este însă limitată la operațiunea sau la ansamblul operațiunilor de prelucrare de date cu caracter personal cărora el le stabilește efectiv scopurile și mijloacele, și anume colectarea și dezvăluirea prin transmitere a datelor în cauză.
Într-o situație precum cea în discuție în litigiul principal, în care administratorul unui site internet inserează pe site-ul menționat un modul social care permite browser-ului vizitatorului acestui site să solicite conținuturi de la furnizorul modulului menționat și să transmită în acest scop acestui furnizor date cu caracter personal ale vizitatorului, este necesar ca acest administrator și acest vizitator să urmărească, fiecare, prin intermediul acestor operațiuni de prelucrare, un interes legitim, în sensul articolului 7 litera (f) din Directiva 95/46, pentru ca acestea să fie justificate în ceea ce îl privește.
Articolul 2 litera (h) și articolul 7 litera (a) din Directiva 95/46 trebuie interpretate în sensul că, într-o situație precum cea în discuție în litigiul principal, în care administratorul unui site internet inserează pe site-ul menționat un modul social care permite browser-ului vizitatorului acestui site să solicite conținuturi de la furnizorul modulului menționat și să transmită în acest scop acestui furnizor date cu caracter personal ale vizitatorului, consimțământul prevăzut de aceste dispoziții trebuie să fie obținut de acest administrator numai în ceea ce privește operațiunea sau ansamblul de operațiuni de prelucrare a datelor cu caracter personal cărora administratorul menționat le stabilește scopurile și mijloacele. În plus, articolul 10 din această directivă trebuie interpretat în sensul că, într-o astfel de situație, obligația de informare prevăzută de această dispoziție incumbă și administratorului menționat, informația pe care acesta din urmă are obligația să o furnizeze persoanei vizate netrebuind să privească însă decât operațiunea sau ansamblul de operațiuni de prelucrare a datelor cu caracter personal cărora el le stabilește scopurile și mijloacele.
____________
1 JO C 112, 10.4.2017.