TSUE: operator witryny z wtyczką Facebooka jest współadministratorem danych

Sprawa dotyczy niemieckiego sklepu odzieżowego online Fashion ID. Na stronie zamieszczono wtyczkę społecznościową „Lubię to”, która automatycznie przenosiła klikającego w nią użytkownika na Facebooka. Co za tym idzie, na platformę Zuckerberga przenoszono dane użytkowników, bez ich wiedzy i zgody. Dane odwiedzających Fashion ID były przenoszone nawet w sytuacjach, kiedy nie klikali "Lubię to", a co więcej, nie posiadali konta na Facebooku.

Opisane praktyki sklepu zaskarżyło stowarzyszenie Verbraucherzentrale NRW, zajmujące się ochroną interesów konsumentów. Rozpatrujący sprawę sąd w Düsseldorfie zwrócił się do Trybunału Sprawiedliwości z pytaniami dotyczącymi oceny, kto w tym przypadku jest administratorem danych i odpowiada za realizację obowiązku informacyjnego wobec użytkowników. Warto dodać, że sprawa była rozpatrywana w oparciu o przepisy dotyczące danych osobowych z 1995 roku (czyli jeszcze sprzed wejścia RODO).

TSUE: prowadzący sklep to także administrator danych

Trybunał uznał, że administrator strony Fashion ID umieścił na niej przycisk „Lubię to” Facebooka ze świadomością, że posłuży do zbierania danych o użytkownikach. W ocenia sądu Facebook Ireland (administrator danych użytkowników serwisu w Europie) i Fashion ID wspólnie czerpią korzyści z gromadzenia danych o użytkownikach sklepu internetowego. Mogą bowiem wykorzystywać je np. do optymalizacji reklam.

Fashion ID zostało uznane za administratora danych użytkowników w świetle przepisów o ochronie tychże danych. Odpowiedzialność sklepu ogranicza się do gromadzenia danych osobowych użytkowników i ich ujawniania Facebookowi za pośrednictwem wtyczki "Lubię to". Na administratorze Fashion ID spoczywa obowiązek informacyjny oraz uzyskania zgody na zbieranie danych użytkownika.

TSUE wskazał także, że Facebook jest podmiotem masowo pozyskuje dane nieświadomych tego użytkowników, którzy niejednokrotnie nawet nie mają na platformie konta.  

- Trybunał w swoim rozumowaniu dąży do ochrony osoby, która wchodzi na stronę internetową sklepu. Wyrok wskazuje, że sklep umieszczając na swojej stronie wtyczkę portalu społecznościowego staje się współodpowiedzialny za dane, która ta wtyczka gromadzi i przesyła do tego portalu. Na pewno oznacza to, że sklepy powinny większą wagę przyłożyć do zrozumienia jak działają narzędzia zewnętrzne, z których korzystają na swoich stronach, do odpowiedniego informowania swoich użytkowników oraz do zbadania, czy zarówno sklep oraz portal mają podstawę prawną, aby przesyłać dane np. zgodę lub uzasadniony interes - tłumaczy konsekwencje wyroku mec. Magdalena Kogut-Czarkowska, liderka zespołu data privacy w kancelarii Baker McKenzie Krzyzowski i Wspólnicy.

Co musi administrator strony internetowej

Jakie obowiązki mają administratorzy stron internetowych w zakresie danych osobowych użytkowników? Mec. Magdalena Kogut-Czarkowska wskazuje, że z wyroku TSUE można wywnioskować, że przede wszystkim na administratorach ciąży obowiązek informacyjny.

 - Sklep musi powiadomić odwiedzających, że wizyta na stronie łączy się z przekazaniem ich danych portalom społecznościowym. Sklep nie musi jednak informować, co z danymi odwiedzającego będzie robił portal społecznościowy - wyjaśnia w rozmowie z portalem Wirtualnemedia.pl Kogut-Czarkowska.

- Mniej jasno Trybunał odnosi się do tego, czy użytkownik musi na to przekazanie wyrazić zgodę czy też można przekazywać dane w oparciu o tzw. uzasadniony interes. Z pewnością jednak, jeśli konieczne jest uzyskiwanie zgody, to za zebranie zgód odpowiada sklep i taka zgoda musi zostać zebrana zanim rozpocznie się przekazywanie danych - czyli w praktyce najczęściej przed rozpoczęciem korzystania ze strony - dodaje Kogut-Czarkowska.

W drugim kwartale br. Facebook zanotował wzrost wpływów o 27,6 proc. do 16,89 mld dolarów oraz 2,62 mld dolarów zysku netto (wobec 5,11 mld dolarów rok wcześniej). W minionym półroczy koncern odpisał 5 mld dolarów kary nałożonej przez FTC. Ma 2,41 mld użytkowników aktywnych miesięcznie i 1,59 mld codziennie. W ostatnich latach przybywa ich głównie poza Ameryką Północną i Europą, ale Facebook najwięcej zarabia na tych z USA i Kanady.