Orgán pre ochranu osobných údajov v členskom štáte, v ktorom má tento správca svoje sídlo, môže podľa smernice 95/461 konať tak proti tomuto správcovi, ako aj proti dcérskej spoločnosti Facebook so sídlom v tomto istom štáte. Nemecká spoločnosť Wirtschaftsakademie Schleswig-Holstein sa špecializuje na oblasť vzdelávania. Ponúka vzdelávacie služby najmä prostredníctvom fanúšikovskej stránky umiestnenej na Facebooku na adrese www.facebook.com/wirtschaftsakademie. (pozn. Fanúšikovské stránky sú užívateľské účty, ktoré si môžu na sociálnej sieti Facebook vytvoriť najmä jednotlivci alebo podniky.)
Správcovia fanúšikovských stránok, ako je Wirtschaftsakademie, môžu získavať anonymné štatistické údaje o návštevníkoch týchto stránok prostredníctvom funkcie s názvom Facebook Insight, ktorú im bezodplatne poskytuje spoločnosť Facebook za nezmenených podmienok užívania. Tieto údaje sa zbierajú prostredníctvom skrytých súborov („súbory cookies“), pričom každý z týchto súborov obsahuje jedinečný kód užívateľa, ktorý je aktívny počas obdobia dvoch rokov a spoločnosť Facebook ho ukladá na pevnom disku počítača alebo na inom zariadení návštevníkov fanúšikovskej stránky. Kód užívateľa, ktorý možno uviesť do súvislosti s údajmi o pripojení užívateľov zaregistrovaných na Facebooku, sa zbiera a spracúva pri otvorení fanúšikovských stránok.
Rozhodnutím z 3. novembra 2011 Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (nezávislý orgán spolkovej krajiny Šlezvicko-Holštajnsko pre ochranu údajov, Nemecko) v postavení dozorného orgánu v zmysle smernice 95/46 o ochrane údajov, ktorý dozerá na uplatňovanie ustanovení, ktoré prijalo Nemecko podľa tejto smernice na území spolkovej krajiny Šlezvicko-Holštajnsko, nariadil spoločnosti Wirtschaftsakademie, aby deaktivovala svoju fanúšikovskú stránku. Podľa Unabhängiges Landeszentrum totiž ani Wirtschaftsakademie, ani spoločnosť Facebook neinformovali návštevníkov fanúšikovskej stránky, že spoločnosť Facebook zbiera ich osobné údaje pomocou súborov cookies a že tieto údaje následne spracováva. Wirtschaftsakademie podala proti tomuto rozhodnutiu žalobu na nemecké správne súdy, pričom tvrdila, že jej nemožno pripísať spracovanie osobných údajov, ktoré vykonáva spoločnosť Facebook, a že sociálnu sieť Facebook ani nepoverila, aby uskutočňovala spracovanie osobných údajov, ktoré kontroluje alebo môže ovplyvniť.
Wirtschaftsakademie z toho vyvodila, že Unabhängiges Landeszentrum mal konať priamo proti spoločnosti Facebook, a nie voči nej.
V tejto súvislosti Bundesverwaltungsgericht (Spolkový správny súd, Nemecko) požiadal Súdny dvor o výklad smernice 95/46 o ochrane údajov (Smernica Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355)).
Táto smernica bola s účinnosťou od 25. mája 2018 zrušená nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov alebo "GDPR") (Ú. v. L 119, 2016, s. 1 ).
Na tento účel môže autor fanúšikovskej stránky po svojom zaregistrovaní sa na Facebooku používať platformu prevádzkovanú spoločnosťou Facebook na to, aby sa prezentoval užívateľom tejto sociálnej siete, ako aj osobám, ktoré túto stránku navštevujú, a šíril na mediálnom trhu akéhokoľvek informácie a názory.
Súdny dvor vo svojom dnešnom rozsudku na úvod uvádza, že v tejto veci je nesporné, že americkú spoločnosť Facebook, a pokiaľ ide o Úniu, jej írsku dcérsku spoločnosť Facebook Ireland treba považovať za „prevádzkovateľov“ spracovania osobných údajov užívateľov Facebooku, ako aj osôb, ktoré navštívili fanúšikovské stránky umiestnené na Facebooku. Tieto spoločnosti totiž určujú predovšetkým účely a prostriedky spracovania týchto údajov.
Súdny dvor ďalej konštatuje, že správcu, ako je Wirtschaftsakademie, treba v rámci Únie považovať za zodpovedného za spracovanie dotknutých údajov spolu so spoločnosťou Facebook Ireland. Takýto správca sa totiž svojím nastavením parametrov (okrem iného podľa svojej cieľovej skupiny, ako aj cieľov riadenia alebo podpory svojich činností) podieľa na určení účelov a prostriedkov spracovania osobných údajov návštevníkov svojej fanúšikovskej stránky.
Súdny dvor v tejto súvislosti najmä uvádza, že správca fanúšikovskej stránky môže požiadať o získanie (v anonymizovanej podobe) – a teda o spracovanie – demografických údajov, ktoré sa týkajú jeho cieľovej skupiny (najmä tendencií týkajúcich sa veku, pohlavia, rodinného stavu a povolania), informácií o životnom štýle a záujmoch jeho cieľovej skupiny (vrátane informácií o nákupoch návštevníkov jeho stránky, a ich nákupoch cez internet, ako aj kategóriách výrobkov alebo služieb, ktoré ich najviac zaujímajú), a geografických údajov, ktoré umožňujú správcovi fanúšikovskej stránky zistiť, kde má ponúkať špeciálne akcie a organizovať podujatia, a všeobecne čo najlepšie zamieriť svoju ponuku informácií.
Podľa Súdneho dvora skutočnosť, že správca fanúšikovskej stránky využíva platformu, ktorú ponúka spoločnosť Facebook, aby mal prospech zo služieb, ktoré sú s ňou spojené, ho totiž nezbavuje jeho povinností v oblasti ochrany osobných údajov. Súdny dvor zdôrazňuje, že uznanie spoločnej zodpovednosti prevádzkovateľa sociálnej siete a správcu fanúšikovskej stránky umiestnenej na tejto sieti v súvislosti so spracovaním osobných údajov návštevníkov tejto fanúšikovskej stránky prispieva v súlade s požiadavkami smernice 95/46 o ochrane údajov k zaručeniu lepšej ochrany práv osôb, ktoré navštevujú fanúšikovskú stránku
Súdny dvor navyše konštatuje, že Unabhängiges Landeszentrum je na účely zabezpečenia dodržiavania pravidiel v oblasti ochrany osobných údajov na nemeckom území oprávnený uplatniť všetky právomoci, ktoré má podľa vnútroštátnych ustanovení, ktorými sa preberá smernica 95/46, nielen voči spoločnosti Wirtschaftsakademie, ale aj voči spoločnosti Facebook Germany.
Pokiaľ má totiž podnik so sídlom mimo Únie (ako je americká spoločnosť Facebook) niekoľko prevádzkarní v rôznych členských štátoch, dozorný orgán členského štátu je oprávnený vykonávať právomoci, ktoré mu zveruje smernica 95/46, voči prevádzkarni tohto podniku nachádzajúcej sa na území tohto členského štátu, hoci na jednej strane na základe rozdelenia úloh v rámci firemnej skupiny je táto prevádzkareň (v tejto veci spoločnosť Facebook Germany) zodpovedná len za prenájom reklamných priestorov a iné marketingové činnosti na území dotknutého členského štátu a na druhej strane výlučnú zodpovednosť za zber a spracovanie osobných údajov na celom území Únie má prevádzkareň, ktorá sa nachádza v inom členskom štáte (v tejto veci spoločnosť Facebook Ireland).
Súdny dvor ešte spresňuje, že keď dozorný orgán jedného členského štátu (v tejto veci Unabhängiges Landeszentrum v Nemecku) má v úmysle vykonať voči subjektu usadenému na území tohto členského štátu (v tejto veci Wirtschaftsakademie) intervenčné právomoci uvedené v smernici 95/464 z dôvodu porušení pravidiel týkajúcich sa ochrany osobných údajov, ktorých sa dopustila tretia osoba zodpovedná za spracovanie týchto údajov, ktorá má svoje sídlo v inom členskom štáte (v tejto veci spoločnosť Facebook Ireland), je tento dozorný orgán oprávnený nezávisle od dozorného orgánu tohto posledného uvedeného členského štátu (Írsko) posúdiť zákonnosť takéhoto spracovania údajov a môže vykonávať svoje intervenčné právomocivoči subjektu usadenému na svojom území bez toho, aby predtým požiadal dozorný orgániného členského štátu, aby zasiahol.
Zdroj: CVRIA
