Priopćenje za medije br. 81/18
U Luxembourgu 5. lipnja 2018.
Presuda u predmetu C-210/16
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein/ Wirtschaftsakademie Schleswig-Holstein GmbH
Njemačko društvo Wirtschaftsakademie Schleswig-Holstein specijalizirano je u području obrazovanja. Ono pruža usluge osposobljavanja posredstvom stranice obožavatelja2 koja se nalazi na Facebooku, na adresi www.facebook.com/wirtschaftsakademie.
Administratori stranica obožavatelja, poput društva Wirtschaftsakademie, mogu dobiti anonimne statističke podatke o njihovim posjetiteljima s pomoću alata Facebook Insight, koji im Facebook besplatno stavlja na raspolaganje u okviru uvjeta korištenja koji se ne mogu mijenjati. Ti se podaci prikupljaju zahvaljujući tekstualnim datotekama (u daljnjem tekstu: kolačići) koje sadržavaju jedinstveni identifikacijski broj, koje su aktivne tijekom dvije godine i koje Facebook pohranjuje na tvrdom disku računala ili na nekom drugom mediju posjetitelja stranice obožavatelja. Identifikacijski broj, koji se može povezati s podacima o spajanju registriranih korisnika na Facebook, prikuplja se i obrađuje u trenutku otvaranja stranica obožavatelja.
Odlukom od 3. studenoga 2011. Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (neovisno regionalno tijelo za zaštitu podataka savezne zemlje Schleswig-Holstein, Njemačka) – u svojstvu nadzornog tijela zaduženog da na području savezne zemlje Schleswig-Holstein (Njemačka) nadzire, u skladu s Direktivom 95/46 o zaštiti podataka, provedbu propisa koje je Njemačka na temelju nje donijela – naložio je društvu Wirtschaftsakademie da deaktivira svoju stranicu obožavatelja. Naime, prema mišljenju Unabhängiges Landeszentruma, ni Wirtschaftsakademie ni Facebook nisu obavještavali posjetitelje stranice obožavatelja o tome da potonji s pomoću kolačića prikuplja njihove osobne podatke i da ih potom obrađuje.
Wirtschaftsakademie podnio je protiv te odluke tužbu njemačkom upravnom sudu ističući da mu se ne mogu pripisati Facebookovi postupci obrade osobnih podataka te da spomenutu društvenu mrežu nije zadužio da provodi obradu podataka koju bi nadzirao ili na koju bi mogao utjecati. Wirtschaftsakademie iz toga zaključuje da je Unabhängiges Landeszentrum morao postupati izravno protiv Facebooka, a ne protiv njega.
U tim je okolnostima Bundesverwaltungsgericht (Savezni upravni sud, Njemačka) zatražio od Suda da protumači Direktivu 95/46 o zaštiti podataka.
U današnjoj presudi Sud najprije napominje da se ovom predmetu nije dovodilo u pitanje to da američko društvo Facebook i, kada je riječ o Uniji, njegovo irsko društvo kći Facebook Ireland treba smatrati „nadzornicima obrade” osobnih podataka Facebookovih korisnika i posjetitelja stranica obožavatelja koje se nalaze na toj društvenoj mreži. Naime, spomenuta društva ponajprije utvrđuju svrhu i načine obrade tih podataka.
Nadalje, Sud zaključuje da na području Unije administratora poput društva Wirtschaftsakademie treba smatrati suodgovornim s Facebookom Ireland za obradu podataka o kojoj je riječ.
Naime, administrator utvrđivanjem postavki (s obzirom, među ostalim, na svoju ciljanu publiku i ciljeve upravljanja svojim aktivnostima odnosno ciljeve njihove promidžbe) sudjeluje u utvrđivanju svrhe i načina obrade osobnih podataka posjetitelja svoje stranice obožavatelja. U tom pogledu Sud osobito ističe činjenicu da administrator stranice obožavatelja može zatražiti da mu se (u anonimiziranom obliku) dostave – i, prema tome, obrade – demografski podaci o njegovoj ciljanoj publici (osobito trendovi u pogledu dobi, spola, statusa ljubavne veze i zanimanja), informacije o stilu života i interesima njegove ciljane publike (uključujući informacije o kupnjama posjetitelja njegove stranice i o njihovu ponašanju prilikom kupnje putem interneta te o kategorijama proizvoda ili usluga koje ciljanu publiku najviše zanimaju) kao i zemljopisni podaci koji administratoru stranice obožavatelja omogućuju da dozna gdje nuditi posebne promocije ili organizirati događanja te, općenito, kako na najbolji mogući način usmjeriti svoju ponudu informacija.
Prema mišljenju Suda, to što administrator stranice obožavatelja upotrebljava platformu koju nudi Facebook i koristi se pripadajućim uslugama, ne može ga osloboditi obveza koje ima u području zaštite osobnih podataka.
Sud naglašava da prihvaćanje zajedničke odgovornosti operatera društvene mreže i administratora stranice obožavatelja koja se na njoj nalazi u vezi s obradom osobnih podataka posjetitelja te stranice pridonosi osiguravanju potpunije zaštite prava posjetitelja stranice obožavatelja, u skladu sa zahtjevima Direktive 95/46 o zaštiti podataka.
Nadalje, Sud zaključuje da Unabhängiges Landeszentrum može – ne samo u odnosu na Wirtschaftsakademie nego i u odnosu na Facebook Germany – izvršavati sve ovlasti kojima raspolaže na temelju nacionalnih odredbi kojima se prenosi Direktiva 95/46, kako bi se na njemačkom državnom području osiguralo poštovanje pravila u području zaštite osobnih podataka.
Naime, kada poduzetnik sa sjedištem izvan Unije (poput američkog društva Facebook) ima nekoliko poslovnih nastana u različitim državama članicama, nadzorno tijelo jedne države članice ima pravo izvršavati ovlasti koje su mu dodijeljene Direktivom 95/463 u odnosu na poslovni nastan tog poduzetnika koji se nalazi na njezinu području iako je, u skladu s raspodjelom zadataka unutar grupe, s jedne strane, taj poslovni nastan (u predmetnom slučaju Facebook Germany) odgovoran samo za prodaju oglašivačkog prostora i druge marketinške djelatnosti na tom državnom području, dok je, s druge strane, za prikupljanje i obradu osobnih podataka na cijelom području Unije isključivo odgovoran poslovni nastan koji se nalazi u drugoj državi članici (u predmetnom slučaju Facebook Ireland).
Sud usto pojašnjava da je nadzorno tijelo jedne države članice (u predmetnom slučaju Unabhängiges Landeszentrum u Njemačkoj) – kada namjerava izvršavati ovlasti za posredovanje propisane Direktivom 95/464 u odnosu na tijelo sa sjedištem na svojem državnom području (u predmetnom slučaju Wirtschaftsakademie), zbog povreda pravila o zaštiti osobnih podataka što ih je počinio nadzornik njihove obrade, treća osoba sa sjedištem u drugoj državi članici (u predmetnom slučaju Facebook Ireland) – nadležno ocjenjivati zakonitost te obrade neovisno o nadzornom tijelu potonje države članice (Irska) te može izvršavati svoje ovlasti za posredovanje u odnosu na tijelo sa sjedištem na svojem državnom području bez prethodnog pozivanja na intervenciju nadzornog tijela druge države članice.
_______________________
^ 1 Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.). Ta direktiva stavljena je izvan snage s učinkom od 25. svibnja 2018. Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016.o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1.).
^ 2 Stranice obožavatelja (Fan Page) korisnički su računi kojima na Facebooku mogu upravljati pojedinci ili poduzetnici. Da bi to učinio, autor spomenute stranice, nakon što se registrirao na Facebooku, može se poslužiti platformom koju je ta društvena mreža pripremila kako bi se predstavila svojim korisnicima i osobama koje posjećuju stranicu obožavatelja te objavljivala obavijesti svih vrsta na tržištu medija i javnog mnijenja.
^ 3 Konkretno, članak 28. stavak 3. Direktive 95/46.
^ 4 Osobito ovlast da naredi blokiranje, brisanje ili uništavanje podataka odnosno da privremeno ili konačno zabrani obradu (članak 28. stavak 3. Direktive 95/46).