W dniu 29 lipca 2019 r. Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok, w którym orzekł, że operator witryny internetowej, zamieszczając na swojej stronie internetowej wtyczkę „Lubię to”, może się stać (wspólnie ze spółką Facebook Ireland) administratorem danych.

Orzeczenie zapadło na kanwie stanu faktycznego, w którym niemieckie stowarzyszenie użyteczności publicznej Verbraucherzentrale NRW e.V., zajmujące się ochroną konsumentów, zarzuciło internetowemu sprzedawcy artykułów odzieżowych – Fashion ID GmbH & Co. KG, że przekazywanie Facebook Ireland danych osobowych osób odwiedzających stronę internetową Fashion ID wyposażoną we wtyczkę „Lubię to”, odbywa się bez uprzedniego pozyskania zgody od tych osób oraz z naruszeniem obowiązków informacyjnych.

Wyższy sąd krajowy w Düsseldorfie (Niemcy) rozpatrując spór, zwrócił się do TSUE o wykładnię przepisów dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. 1995, L 281, s.31) („Dyrektywa 95/46”). Trybunał Sprawiedliwości podkreślił, iż mimo że przedmiotowa dyrektywa już nie obowiązuje, to z uwagi na datę wystąpienia okoliczności faktycznych przedmiotowego sporu ma ona do niego zastosowanie.

TSUE przyjął, iż – z zastrzeżeniem ustaleń, których przeprowadzenie należy do sądu odsyłającego, tj. wyższego sądu krajowego w Düsseldorfie – poprzez umieszczenie w swojej witrynie internetowej wtyczki „Lubię to” serwisu Facebook, Fashion ID umożliwiła spółce Facebook Ireland uzyskiwanie danych osobowych osób odwiedzających jej witrynę internetową i to niezależnie od tego, czy użytkownik kliknął przycisk „Lubię to” lub czy jest posiadaczem konta na portalu Facebook.

W wydanym wyroku TSUE zaznaczył, że Fashion ID można uznać za administratora, wspólnie z Facebookiem, jednakże wyłącznie w odniesieniu do operacji gromadzenia danych osobowych i ich ujawniania poprzez transmisję spółce Facebook Ireland. Według stanowiska Trybunału, operatora witryny internetowej nie można natomiast uznać za administratora, jeśli chodzi o późniejsze operacje przetwarzania danych osobowych dokonywane przez spółkę Facebook Ireland już po przekazaniu jej tych danych.

Jak wskazał Trybunał – uzasadniając swoje stanowisko w zakresie wspólnych dla Fashion ID i spółki Facebook Ireland celów omawianych operacji przetwarzania danych – wydaje się, że umieszczenie przez Fashion ID przycisku „Lubię to” Facebooka w witrynie internetowej pozwala jej na optymalizację reklamy swoich produktów poprzez uczynienie ich bardziej widocznymi w serwisie społecznościowym Facebook, gdy osoba odwiedzająca witrynę internetową Fashion ID klika na wspomniany przycisk. To właśnie po to, aby skorzystać z tej korzyści handlowej, Fashion ID, umieszczając taki przycisk w swojej witrynie internetowej, wyraziła – jak się zdaje – zgodę, przynajmniej w sposób dorozumiany, na gromadzenie danych osobowych osób odwiedzających jej witrynę internetową i ich ujawnianie spółce Facebook Ireland. Te operacje przetwarzania wydają się więc być dokonywanymi w interesie gospodarczym zarówno Fashion ID, jak i spółki Facebook Ireland, dla której możliwość dysponowania tymi danymi we własnych celach komercyjnych stanowi rekompensatę za korzyść zaoferowaną Fashion ID.

Pomimo, iż w uzasadnieniu przedmiotowego wyroku TSUE odniósł się również do kwestii realizacji przez operatora witryny oraz spółkę Facebook Ireland uzasadnionych interesów w rozumieniu art. 7 lit. f) Dyrektywy 95/46, a także wyrażania przez użytkownika zgody, o której mowa w art. 7 lit. a) tej dyrektywy, Trybunał nie rozstrzygał jednak wprost która z ww. podstaw prawnych przetwarzania (zgoda, czy uzasadnione interesy) znajduje zastosowanie do przetwarzania danych osobowych użytkowników odwiedzających witryny wyposażone w przycisk Facebooka „Lubię to”.

Linia orzecznicza Trybunału Sprawiedliwości w zakresie wspólnego z Facebookiem administrowania danymi osobowymi przez operatorów stron internetowych czy właścicieli fanpage’y, wydaje się być jednolita. TSUE zajmował już bowiem tożsame stanowisko w podobnych sprawach, orzekając m.in. w wyroku z dnia 5 czerwca 2018 r. w sprawie C-210/16, iż administrator fanpage’a prowadzonego na Facebooku ponosi z Facebookiem wspólną odpowiedzialność za przetwarzanie danych osób odwiedzających tego fanpage’a.

Najnowsze orzeczenie Trybunał Sprawiedliwości Unii Europejskiej może więc dla operatorów witryn internetowych, wyposażonych w przycisk Facebooka „Lubię to”, skutkować koniecznością realizacji obowiązków przewidzianych w Dyrektywie 95/46, które są co do zasady zbieżne z obowiązkami nałożonymi przepisami RODO. Należą do nich w szczególności:

  1. obowiązek posiadania podstawy prawnej do gromadzenia i przekazywania danych osobowych spółce Facebook Ireland,
  2. konieczność spełnienia obowiązku informacyjnego względem osób odwiedzających taką stronę internetową.

Wyrok TSUE z dnia 29 lipca 2019 r. w sprawie C-40/17