Fashion ID, немецкий интернет-магазин одежды, разместил на своем веб-сайте кнопку Facebook «Мне нравится». Следствием встраивания этой кнопки является то, что, когда посетитель обращается к сайту Fashion ID, его личные данные передаются в Facebook Ireland. Похоже, что эта передача происходит без уведомления посетителя независимо от того, имеет ли он или она профиль в социальной сети Facebook или нажал кнопку «Мне нравится».
Немецкая ассоциация Verbraucherzentrale NRW, которой поручено защищать интересы потребителей, раскритиковала Fashion ID за передачу персональных данных посетителей своего сайта Facebook в Ирландии, во-первых, без их согласия и, во-вторых, в нарушение обязанностей по информированию, касающихся защиты персональных данных.
Oberlandesgericht Düsseldorf (Высший региональный суд, Дюссельдорф, Германия), который рассматривает спор, просил Суд ЕС истолковать некоторые положения Директивы о защите данных 1995 года (которая остается применима к этому случаю, но была заменена новым Общим регламентом о защите данных (GDPR) от 2016 года, вступившим в силу с 25 мая 2018 года).
В своем решении Суд ЕС, во-первых, считает, что прежняя Директива о защите данных не препятствует предоставлению ассоциациям по защите прав потребителей права инициировать судебное разбирательство против лица, предположительно ответственного за нарушение в сфере защиты персональных данных. Суд отмечает, что новый Общий регламент о защите данных прямо предусматривает такую возможность.
Во-вторых, Суд считает, что Fashion ID не может считаться контролером в отношении операций, связанных с обработкой данных, выполняемой Facebook Ireland после того, как эти данные были переданы последней — для Fashion ID остается невозможным определить цели и средства операций по обработке переданных персональных данных соцсетью. В отличие от этого, Fashion ID может считаться контролером совместно с Facebook Ireland в отношении операций, связанных со сбором и разглашением путем передачи в Facebook Ireland рассматриваемых данных, поскольку можно сделать вывод (при условии проведения надлежащего исследования, которое должен сделать национальный суд), что Fashion ID и Facebook Ireland совместно определяют средства и цели этих операций. Аналогичные выводы были сделаны Судом ЕС и в деле C-210/16 Wirtschaftsakademie Schleswig-Holstein, где было установлено, что администратор фан-страницы в Facebook несет совместную ответственность с Facebook за обработку данных, относящихся к посетителям его страницы.
Как указывает Суд ЕС, похоже, что Fashion ID добавляет кнопку Facebook «Мне нравится» на свой веб-сайт, что позволяет оптимизировать рекламу своих товаров, делая их более заметными в социальной сети Facebook, когда посетитель веб-сайта нажимает на эту кнопку. Причина, по которой Fashion ID, по-видимому, дала согласие, по крайней мере неявно, на сбор и раскрытие информации путем передачи личных данных посетителей своего веб-сайта, заключается в том, чтобы извлечь выгоду из этого коммерческого преимущества. Таким образом, эти операции обработки, по-видимому, выполняются в экономических интересах как Fashion ID, так и Facebook Ireland.
Суд разъясняет, что оператор веб-сайта, такого как Fashion ID, является совместным контролером в отношении определенных операций, связанных с обработкой данных посетителей его веб-сайта, таких как сбор этих данных и их передача в Facebook Ирландия, должен предоставить посетителям определенную информацию, такую как, например, цели обработки информации.
Суд также предоставил дополнительную информацию по двум из шести случаев, предусмотренных в Директиве, в которых обработка персональных данных может считаться законной. Что касается дела, в котором субъект данных дал свое согласие, Суд считает, что оператор такого веб-сайта, как Fashion ID, должен получить это предварительное согласие (исключительно) в отношении операций, для которых он является совместным контролером, а именно — о сборе и передаче данных.
Таким образом, оператор веб-сайта, на котором есть кнопка Facebook «Мне нравится», может совместно с Facebook управлять сбором и передачей в Facebook персональных данных посетителей своего веб-сайта. Однако обработка этих данных в таком случае осуществляется только соцсетью Facebook. Такая позиция была сформирована Судом ЕС в деле C-40/17 «Fashion ID GmbH & Co. KG v Verbraucherzentrale NRW eV».
