Správce fanouškovské stránky na Facebooku nese spolu s FB odpovědnost za zpracování údajů návštěvníků své stránky


publikováno: 05.06.2018

Německá společnost Wirtschaftsakademie Schleswig-Holstein vykonává specializovanou činnost v oblasti vzdělávání. Služby vzdělávání poskytuje mimo jiné prostřednictvím fanouškovské stránky[1] umístěné na Facebooku na adrese www.facebook.com/wirtschaftsakademie. Správci takových fanouškovských stránek, jako je Wirtschaftsakademie, mohou získávat anonymní statistické údaje o návštěvnících těchto stránek prostřednictvím funkce nazvané Facebook Insight, kterou jim zdarma poskytuje Facebook za nezměnitelných podmínek použití. Tyto údaje jsou shromažďovány za pomoci záznamových souborů (dále jen „soubory cookies“). Každý z těchto souborů obsahuje jedinečný kód uživatele, který je aktivní po dobu dvou let a Facebook jej ukládá na pevný disk počítače nebo jiný nosič návštěvníků fanouškovské stránky. Kód uživatele, který lze propojit s údaji o připojení uživatelů zaregistrovaných na Facebooku, je shromážděn a zpracován v okamžiku otevření fanouškovských stránek.

Rozhodnutím ze dne 3. listopadu 2011 Unabhängiges Landeszentrum für Datenschutz SchleswigHolstein (nezávislý zemský úřad pro ochranu údajů Šlesvicko-Holštýnska, Německo) v postavení orgánu dozoru pověřeného podle směrnice 95/46 o ochraně údajů vykonáváním dozoru nad uplatňováním ustanovení, která přijalo Německo podle této směrnice, na území spolkové země Šlesvicko-Holštýnsko, nařídil Wirtschaftsakademie, aby deaktivovala svou fanouškovskou stránku.

Unabhängiges Landeszentrum měl totiž za to, že Wirtschaftsakademie ani Facebook neinformovaly návštěvníky této fanouškovské stránky o tom, že Facebook shromažďuje prostřednictvím souborů cookies informace osobní povahy, které se jich týkají, a že následně tyto informace zpracovávají. Wirtschaftsakademie podala proti tomuto rozhodnutí žalobu k německým správním soudům, v níž tvrdila, že zpracování osobních údajů Facebookem jí nelze přičítat a že ani nezmocnila Facebook ke zpracování údajů, které by kontrolovala nebo které by mohla ovlivnit. Wirtschaftsakademie z toho dovozovala, že Unabhängiges Landeszentrum měl postupovat tak, že zasáhne přímo proti Facebooku, a nikoliv proti ní.

V tomto kontextu Bundesverwaltungsgericht (Spolkový správní soud) předložil Soudnímu dvoru žádost o výklad směrnice 95/46 o ochraně údajů.

Soudní dvůr v rozsudku nejprve konstatoval, že v projednávané věci nebylo zpochybňováno, že je třeba mít v případě americké společnosti Facebook, a co se Evropské unie týče, její irské pobočky Facebook Ireland, za to, že jsou „správci“ osobních údajů uživatelů Facebooku a osob, které navštívily fanouškovské stránky umístěné na Facebooku. Tyto společnosti totiž v rozhodné míře určují účel a prostředky zpracování těchto údajů.

Soudní dvůr dále konstatoval, že je třeba mít za to, že takový správce, jako je Wirtschaftsakademie, odpovídá společně se společností Facebook Ireland za zpracování dotčených údajů. Takový správce se totiž úkonem nastavení parametrů (mimo jiné podle své cílové skupiny a cílů řízení a propagace svých činností), podílí na určení účelu a prostředků zpracování osobních údajů návštěvníků své fanouškovské stránky. V tomto ohledu Soudní dvůr konkrétně uvedl, že správce fanouškovské stránky může zejména požádat o získání – a tudíž i o zpracování – demografických údajů, které se týkají jeho cílové skupiny (zejména trendů, pokud jde o věk, pohlaví, osobních vztahy a povolání), informací o stylu života centrech zájmu jeho cílové skupiny (včetně informací týkajících se nákupů a nákupního chování online návštěvníků jeho stránky a o kategoriích výrobků nebo služeb, o něž mají největší zájem), a zeměpisných údajů, které umožňují správci fanouškovské stránky, aby získal informace o tom, kde nabídnout zvláštní slevy a organizovat události, a obecněji aby co nejlépe zaměřil svou nabídku informací.

Podle Soudního dvora skutečnost, že správce fanouškovské stránky používá platformu poskytovanou Facebookem, aby využíval souvisejících služeb, jej nezprošťuje od dodržování jeho povinností v oblasti ochrany osobních údajů.

Soudní dvůr zdůraznil, že uznání společné odpovědnosti provozovatele sociální sítě a správce fanouškovské stránky, jež je umístěna na této síti, v souvislosti se zpracováním osobních údajů návštěvníků této fanouškovské stránky přispívá v souladu s požadavky směrnice 95/46[2] o ochraně osobních údajů k zajištění úplnější ochrany práv, jež mají osoby, které navštíví fanouškovskou stránku. Soudní dvůr dále konstatoval, že Unabhängiges Landeszentrum má pravomoc, aby za účelem zajišťování dodržování pravidel v oblasti ochrany osobních údajů na německém území uplatnil nejen vůči Wirtschaftsakademie, ale rovněž i vůči společnosti Facebook Germany veškeré pravomoci, které má na základě vnitrostátních ustanovení, která směrnici 95/46[3] provádějí.

Platí totiž, že pokud podnik usazený mimo Unii (jako je americká společnost Facebook) má v různých členských státech více provozoven, je orgán dozoru členského státu oprávněn vykonat pravomoci, které jsou mu uděleny na základě směrnice 95/463 vůči provozovně tohoto podniku, která se nachází na území tohoto členského státu, přestože na základě rozdělení úkolů v rámci skupiny tato provozovna (v projednávané věci Facebook Germany) zajišťuje pouze prodej reklamního prostoru a jiné marketingové činnosti na území uvedeného členského státu, a přestože výlučná odpovědnost za shromažďování a zpracování osobních údajů na celém území Evropské unie leží na provozovně, která se nachází v jiném členském státě (v projednávané věci Facebook Ireland).

Soudní dvůr dále uvedl, že pokud orgán dozoru členského státu (v projednávané věci Unabhängiges Landeszentrum v Německu) hodlá vykonat vůči subjektu usazenému na území tohoto členského státu (v projednávané věci Wirtschaftsakademie) pravomoci zasáhnout na základě směrnice 95/464 z důvodu porušení pravidel o ochraně osobních údajů, kterého se dopustila třetí osoba, která je správcem těchto údajů a má sídlo v jiném členském státě (v projednávané věci Facebook Ireland), má tento orgán dozoru pravomoc posoudit nezávisle na orgánu dozoru posledně uvedeného členského státu legalitu takového zpracování údajů a může vykonat pravomoci k zásahu vůči subjektu usazenému na vlastním území, aniž by předem vyzval orgán dozoru jiného členského státu k učinění zásahu.

Zdroj: Soudní dvůr EU. 



[1] Fanouškovské stránky jsou uživatelskými účty, které mohou jednotlivci nebo podniky nastavit na Facebooku. Poté, co se autor fanouškovské stránky zaregistruje u Facebooku, může za tímto účelem využít platformu provozovanou Facebookem k tomu, aby se prezentoval uživatelům této sociální sítě a osobám, které tuto stránku navštíví, a šířil na mediálním trhu názory a sdělení všeho druhu. 

[2] Konkrétně čl. 28 odst. 3 směrnice. 

[3] Zejména pravomoc nařídit blokování, výmaz nebo zničení údajů nebo dočasně nebo trvale zakázat zpracování (čl. 28 odst. 3 směrnice 95/46).