Provozovatel internetových stránek, na kterých se nachází tlačítko Facebooku „to se mi líbí“, může být společně se společností Facebook považován za správce ve vztahu ke sběru osobních údajů návštěvníků jeho internetových stránek a jejich přenosu společnosti Facebook. Naopak není v zásadě odpovědný za následné zpracování těchto údajů samotnou společností Facebook.

Rozsudek Soudního dvora EU ze dne 29. 7. 2019 ve věci C-40/17, Fashion ID GmbH & Co. KG v. Verbraucherzentrale NRW eV.

Fashion ID, německý podnik, který prodává na internetu módní oblečení, umístil na svých internetových stránkách tlačítko Facebooku „to se mi líbí“. Toto umístění zřejmě způsobuje, že jestliže si návštěvník prohlíží internetové stránky Fashion ID, jsou osobní údaje tohoto návštěvníka předány společnosti Facebook Ireland. Je zřejmé, že k tomuto přenosu dochází, aniž si toho je uvedený návštěvník vědom, a nezávisle na tom, zda je členem sociální sítě Facebook či klikl na tlačítko Facebooku „to se mi líbí“.

Verbraucherzentrale NRW, německé veřejně prospěšné sdružení na ochranu zájmů spotřebitelů, vytýká společnosti Fashion ID, že předala společnosti Facebook Ireland osobní údaje návštěvníků svých internetových stránek za prvé bez jejich souhlasu a za druhé s porušením informačních povinností stanovených ustanoveními týkajícími se ochrany osobních údajů. Oberlandesgericht Düsseldorf (vrchní zemský soud v Düsseldorfu, Německo), který se sporem zabývá, žádá Soudní dvůr o výklad několika ustanovení bývalé směrnice z roku 1995 o ochraně údajů (která se použije na tuto věc a která byla nahrazena obecným nařízením z roku 2016 o ochraně údajů použitelným ode dne 25. května 2018).

Soudní dvůr EU v rozsudku nejprve upřesnil, že původní směrnice o ochraně údajů nebrání tomu, aby mohlo sdružení na ochranu zájmů spotřebitelů podat žalobu proti údajnému rušiteli ochrany osobních údajů. Soudní dvůr EU uvedl, že nové obecné nařízení o ochraně údajů takovou možnost nyní výslovně stanoví. Soudní dvůr EU dále konstatoval, že Fashion ID by se neměla považovat za správce ve vztahu k operacím zpracování osobních údajů vykonávaných společností Facebook Ireland, jakmile jí byly tyto údaje předány. Na první pohled se totiž jeví jako vyloučené, že společnost Fashion ID určuje účely a prostředky těchto operací. Společnost Fashion ID může být naopak považována za správce společně se společností Facebook Ireland ve vztahu ke sběru a přenosu dotčených údajů společnosti Facebook Ireland, jelikož lze mít za to (s výhradou ověření, které přísluší provést Oberlandesgericht Düsseldorf), že společnosti Fashion ID a Facebook Ireland společně určují účely a prostředky.

Umístění tlačítka Facebooku „to se mi líbí“ společností Fashion ID na jejích internetových stránkách jí podle všeho zejména umožňuje optimalizovat reklamu svých výrobků tím, že je činí viditelnějšími na sociální síti Facebook, když návštěvník jejích internetových stránek klikne na uvedené tlačítko. Zdá se, že aby Fashion ID mohla využít tuto obchodní výhodu, tato společnost umístěním takového tlačítka na svých internetových stránkách souhlasila, přinejmenším implicitně, se sběrem a přenosem osobních údajů návštěvníků jejích stránek. Tyto operace zpracování se tak zřejmě uskutečňovaly v hospodářském zájmu jak Fashion ID, tak Facebook Ireland, pro kterou skutečnost, že může disponovat těmito údaji pro své vlastní obchodní účely, představuje protiplnění za výhodu, kterou nabízí společnosti Fashion ID. Soudní dvůr EU zdůraznil, že provozovatel takových internetových stránek, jako je Fashion ID, jakožto (spolu)správce ve vztahu k určitým operacím zpracování údajů návštěvníků svých stránek, jako jsou sběr údajů a jejich předání společnosti Facebook Ireland, musí v okamžiku sběru poskytnout určité informace těmto návštěvníkům, jako např. svoji totožnost a účely zpracování.

Dále upřesnil dva ze šesti případů zákonného zpracování osobních údajů upraveného směrnicí. Pokud jde o případy, kdy subjekt údajů poskytne svůj souhlas, Soudní dvůr EU rozhodl, že provozovatel internetových stránek, jako je Fashion ID, musí získat tento souhlas předem (pouze) pro operace, za které je (spolu)odpovědný, a sice sběr a přenos údajů. Pokud jde o případy, kdy je zpracování údajů nezbytné pro dosažení oprávněného zájmu, Soudní dvůr EU rozhodl, že každý ze (spolu)správců, tj. provozovatel internetových stránek a poskytovatel pluginu pro propojení se sociální sítí, musí k tomu, aby byly tyto operace z jeho strany odůvodněné, sledovat sběrem a přenosem osobních údajů oprávněný zájem.

Rozhodnutí zpracovala JUDr. HANA RÝDLOVÁ.