Soudní dvůr EU: K otázkám odpovědnosti za zpracování údajů návštěvníků Facebooku

publikováno: 02.10.2018

Správce fanouškovské stránky na Facebooku nese spoluodpovědnost za zpracování údajů návštěvníků své stránky. Orgán pro ochranu údajů v členském státě, v němž má sídlo tento správce, může podle směrnice 95/461 zasáhnout jak proti tomuto správci, tak i proti provozovně Facebooku nacházející se v témže státě.

Rozsudek Soudního dvora EU ze dne 5. 6. 2018 ve věci C-210/16 Unabhängiges Landeszentrum für Datenschutz Schleswig- -Holstein v. Wirtschaftsakademie Schleswig- -Holstein GmbH 

Z odůvodnění: 

Německá společnost Wirtschaftsakademie Schleswig-Holstein vykonává specializovanou činnost v oblasti vzdělávání. Služby vzdělávání poskytuje mj. prostřednictvím fanouškovské stránky www.facebook.com/wirtschaftsakademie. Správci takových fanouškovských stránek, jako je Wirtschaftsakademie, mohou získávat anonymní statistické údaje o návštěvnících těchto stránek prostřednictvím funkce nazvané Facebook Insight, kterou jim zdarma poskytuje Facebook za nezměnitelných podmínek použití. Tyto údaje jsou shromažďovány za pomoci záznamových souborů (dále jen „soubory cookies“). Každý z těchto souborů obsahuje jedinečný kód uživatele, který je aktivní po dobu dvou let a Facebook jej ukládá na pevný disk počítače nebo jiný nosič návštěvníků fanouškovské stránky. Kód uživatele, který lze propojit s údaji o připojení uživatelů zaregistrovaných na Facebooku, je shromážděn a zpracován v okamžiku otevření fanouškovských stránek.

Rozhodnutím ze dne 3. 11. 2011 Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (Nezávislý zemský úřad pro ochranu údajů Šlesvicko-Holštýnska, Německo) v postavení orgánu dozoru pověřeného podle směrnice 95/46 o ochraně údajů vykonáváním dozoru nad uplatňováním ustanovení, která přijalo Německo podle této směrnice, na území spolkové země Šlesvicko-Holštýnsko, nařídil Wirtschaftsakademie, aby deaktivovala svou fanouškovskou stránku.

Unabhängiges Landeszentrum měl totiž za to, že Wirtschaftsakademie ani Facebook neinformovaly návštěvníky této fanouškovské stránky o tom, že Facebook shromažďuje prostřednictvím souborů cookies informace osobní povahy, které se jich týkají, a že následně tyto informace zpracovávají. Wirtschaftsakademie podala proti tomuto rozhodnutí žalobu k německým správním soudům, v níž tvrdila, že zpracování osobních údajů Facebookem jí nelze přičítat a že ani nezmocnila Facebook ke zpracování údajů, které by kontrolovala nebo které by mohla ovlivnit. Wirtschaftsakademie z toho dovozovala, že Unabhängiges Landeszentrum měl postupovat tak, že zasáhne přímo proti Facebooku, a nikoliv proti ní.

V tomto kontextu Bundesverwaltungsgericht (Spolkový správní soud) předložil Soudnímu dvoru EU žádost o výklad směrnice 95/46 o ochraně údajů.

Soudní dvůr EU v rozsudku nejprve konstatoval, že v projednávané věci nebylo zpochybňováno, že je třeba mít v případě americké společnosti Facebook, a co se Evropské unie týče, její irské pobočky Facebook Ireland, za to, že jsou „správci“ osobních údajů uživatelů Facebooku a osob, které navštívily fanouškovské stránky umístěné na Facebooku. Tyto společnosti totiž v rozhodné míře určují účel a prostředky zpracování těchto údajů.

Soudní dvůr EU dále konstatoval, že je třeba mít za to, že takový správce, jako je Wirtschaftsakademie, odpovídá společně se společností Facebook Ireland za zpracování dotčených údajů. Takový správce se totiž úkonem nastavení parametrů (mj. podle své cílové skupiny a cílů řízení a propagace svých činností) podílí na určení účelu a prostředků zpracování osobních údajů návštěvníků své fanouškovské stránky.

V tomto ohledu Soudní dvůr EU konkrétně uvedl, že správce fanouškovské stránky může zejména požádat o získání – a tudíž i o zpracování – demografických údajů, které se týkají jeho cílové skupiny, informací o stylu života, centrech zájmu jeho cílové skupiny a zeměpisných údajů, které umožňují správci fanouškovské stránky, aby získal informace o tom, kde nabídnout zvláštní slevy a organizovat události, a obecněji aby co nejlépe zaměřil svou nabídku informací.

Podle Soudního dvora EU skutečnost, že správce fanouškovské stránky používá platformu poskytovanou Facebookem, aby využíval souvisejících služeb, jej nezprošťuje od dodržování jeho povinností v oblasti ochrany osobních údajů.

Soudní dvůr EU zdůraznil, že uznání společné odpovědnosti provozovatele sociální sítě a správce fanouškovské stránky, jež je umístěna na této síti, v souvislosti se zpracováním osobních údajů návštěvníků této fanouškovské stránky přispívá v souladu s požadavky směrnice 95/46 o ochraně osobních údajů k zajištění úplnější ochrany práv, jež mají osoby, které navštíví fanouškovskou stránku. Soudní dvůr dále konstatoval, že Unabhängiges Landeszentrum má pravomoc, aby za účelem zajišťování dodržování pravidel v oblasti ochrany osobních údajů na německém území uplatnil nejen vůči Wirtschafts-akademie, ale rovněž i vůči společnosti Facebook Germany veškeré pravomoci, které má na základě vnitrostátních ustanovení, která směrnici 95/46 provádějí.

Platí totiž, že pokud podnik usazený mimo Unii (jako je americká společnost Facebook) má v různých členských státech více provozoven, je orgán dozoru členského státu oprávněn vykonat pravomoci, které jsou mu uděleny na základě směrnice 95/463 vůči provozovně tohoto podniku, která se nachází na území tohoto členského státu, přestože na základě rozdělení úkolů v rámci skupiny tato provozovna (v projednávané věci Facebook Germany) zajišťuje pouze prodej reklamního prostoru a jiné marketingové činnosti na území uvedeného členského státu, a přestože výlučná odpovědnost za shromaž­ďování a zpracování osobních údajů na celém území Evropské unie leží na provozovně, která se nachází v jiném členském státě (v projednávané věci Facebook Ireland).

Soudní dvůr EU dále uvedl, že pokud orgán dozoru členského státu (v projednávané věci Unabhängiges Landeszentrum v Německu) hodlá vykonat vůči subjektu usazenému na území tohoto členského státu (v projednávané věci Wirtschaftsakademie) pravomoci zasáhnout na základě směrnice 95/464 z důvodu porušení pravidel o ochraně osobních údajů, kterého se dopustila třetí osoba, která je správcem těchto údajů a má sídlo v jiném členském státě (v projednávané věci Facebook Ireland), má tento orgán dozoru pravomoc posoudit nezávisle na orgánu dozoru posledně uvedeného členského státu legalitu takového zpracování údajů a může vykonat pravomoci k zásahu vůči subjektu usazenému na vlastním území, aniž by předem vyzval orgán dozoru jiného členského státu k učinění zásahu. 

Rozhodnutí zpracovala JUDr. HANA RÝDLOVÁ.