Július végén hirdetett ítéletet az Európai Bíróság a Fashion ID-ügy néven elhíresült ügyben (C-40/17. sz.), amely az adatkezelő fogalmának értelmezésével és a közös adatkezelés kérdésével foglalkozott. Az alapvetően tisztázandó kérdést az jelentette, hogy a weboldal üzemeltetőjének és a Facebooknak miként alakul a szerepe a Facebook "Tetszik" ("Like") gombjának elhelyezése és a "Tetszik" gomb használatához kapcsolódó adatkezelések tekintetében.
Emlékezetes, hogy tavaly nyáron a C-210/16. sz., Wirtschaftsakademie Schleswig‑Holstein-ügyben a Facebook rajongói oldalak (fan page) kapcsán hozott a Bíróság olyan ítéletet, amely kimondta, hogy a rajongói oldal üzemeltetője és a Facebook közös adatkezelőnek minősülnek: "az „adatkezelő” [...] fogalma kiterjed a valamely közösségi hálózaton fenntartott rajongói oldal adminisztrátorára."
Az ügy
A Fashion ID egy online divatruha‑értékesítő vállalkozás, amely elhelyezte honlapján a Facebook által biztosított "Tetszik" kiegészítő modult (egyszerűbben fogalmazva: a "Like" gombot). "Ha a honlap üzemeltetője ilyen harmadik félhez tartozó tartalmakat kíván megjeleníteni, akkor honlapján a külső tartalomra mutató hivatkozást helyez el. Amikor az említett honlap látogatójának böngészője ilyen hivatkozást talál, lekéri a külső tartalmat, és a kívánt helyen megjeleníti azt a honlapon. Ehhez a böngésző továbbítja a külső szolgáltató szerverére az említett látogató számítógépének IP‑címét és a böngésző műszaki adatait ahhoz, hogy a szerver megállapíthassa, milyen formátumban kell erre a címre rendelkezésre bocsátani a tartalmat. A böngésző ezek mellett a kért tartalomról is küld információkat. A honlapján külső tartalmat kínáló honlap‑üzemeltető nem tudja befolyásolni azt, hogy a böngésző milyen adatokat továbbít, és hogy a külső szolgáltató mit csinál ezekkel az adatokkal, például hogy tárolja és felhasználja‑e azokat." (lásd ítélet 26. pont)
A Facebook "Like" használata esetén, "[...] ha egy látogató megtekinti a Fashion ID honlapját, akkor – abból következően, hogy a honlapon fent van az említett gomb – a személyes adatait továbbítják a Facebook Irelandnek. Ez a továbbítás az említett látogató tudomása nélkül megy végbe, függetlenül attól, hogy tagja‑e a Facebook közösségi hálózatnak, vagy hogy rákattintott‑e a Facebook „Tetszik” gombra." (lásd ítélet 27. pont)
Az ügyben - annak tisztázásán túl, hogy közhasznú szervezetek felléphetnek-e az érintettek érdekei védelmében - a feltett kérdések alapvetően arra vonatkoztak, hogy a Fashion ID‑hoz hasonló olyan honlap‑üzemeltető, aki személyes adatok gyűjtését lehetővé tévő közösségi modult helyez el a honlapon, "adatkezelőnek minősíthető‑e, ha nincs befolyása az említett modul szolgáltatójának továbbított adatok kezelésére." A kérdések kiterjedtek arra is, hogy amennyiben a Fashion ID‑t nem lehet adatkezelőnek minősíteni, akkor ellentétes-e az irányelvvel (az ügy még GDPR alkalmazandóvá válása előtt indult, így a 95/46 irányelv értelmezésén alapul) az olyan nemzeti szabályozás, amely gyakorlatilag harmadik személy polgári jogi felelősségét írja elő a személyes adatokhoz fűződő jogok megsértése esetén (a kérdést előterjesztő bíróság szerint ugyanis a német nemzeti jog szerint meg lehet állapítani a Fashion ID mint „zavaró” („Störer”) felelősségét). Kérdés tett fel az előterjesztő bíróság arra vonatkozóan is, hogy kinek a jogos érdekétől függ az elvégzendő érdekmérlegelés. Továbbá tisztázandó volt, hogy kinek a részére kell megadni a hozzájárulást és kit terhel a tájékoztatási kötelezettség (az kiterjed-e a honlap fenntartójára is, aki harmadik fél tartalmát beillesztette).
Adatkezelőnek minősül-e a honlap üzemeltetője a "Tetszik" gomb elhelyezése kapcsán?
Az adatkezelői minőség vizsgálata kapcsán a Bíróság rögzítette, hogy az „adatkezelő” fogalmának tág meghatározása azt a célt szolgálja, hogy ezáltal biztosított legyen az érintettek hatékony és teljes védelme.
Szintén leszögezte a Bíróság (a korábbi gyakorlatával összhangban), hogy "[...] annak, hogy ugyanazon adatkezelés tekintetében több szereplő e rendelkezés értelmében együttes felelősséget viseljen, nem előfeltétele, hogy mindegyik adatkezelő hozzáférjen az érintett személyes adatokhoz" (lásd ítélet 69. pont). Ez viszont nem jelenti azt, hogy ugyanazon adatkezelés tekintetében az egyes szereplőkre azonos felelősség hárulna (lásd ítélet 70. pont).
Összefoglalóan tehát megállapítja a Bíróság, hogy "a Fashion ID‑hoz hasonló olyan honlap‑üzemeltető, aki a honlap látogatójának böngészője számára a közösségi modul szolgáltatója által biztosított tartalom elérését és ehhez a látogató személyes adatainak e szolgáltató részére való továbbítását lehetővé tévő közösségi modult helyez el a honlapon, [...] adatkezelőnek minősíthető." Az adatkezelői minőség csak arra az adatkezelési "műveletre vagy műveletcsoportra vonatkozik, amelynek céljait és módját ténylegesen ő határozza meg, azaz a szóban forgó adatok gyűjtésére és továbbítás általi közlésére." (ítélet 85. pont)
A jogos érdeket firtató kérdésre azt a választ adta a Bíróság, hogy mind a honlap‑üzemeltető, mind a közösségi modul szolgáltatója esetében is fenn kell állnia a modul elhelyezéséhez kapcsolódóan a jogos érdeknek ahhoz, hogy arra tekintettel jogszerűnek lehessen minősíteni az adatkezelést (ítélet 97. pont).
