Ostatnia burza wywołana przepisami rozporządzenia Parlamentu Europejskiego i rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/W (zwanego potocznie RODO) wywołała wiele pytań i dyskusji w zakresie odpowiedzialności z tytułu przetwarzania danych osobowych – także w serwisach społecznościowych.

Z punktu widzenia podmiotów prowadzących funpage na Facebooku istotnego znaczenia nabrała kwestia czy taki podmiot przetwarza dane osobowe osób odwiedzających stronę jako administrator tych danych. W takim wypadku ponosi on pełną odpowiedzialność za naruszenie przepisów o ochronie danych osobowych na jego funpage’u, a także musi wypełnić obowiązki przewidziane przepisami RODO.

Na powyższe pytanie w niedawnym wyroku odpowiedział Trybunał Sprawiedliwości Unii Europejskiej (Wyrok w sprawie C-210/16 Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein / Wirtschaftsakademie Schleswig-Holstein GmbH). Trybunał uznał, że nie tylko Facebook, ale także administrator funpage’a jest odpowiedzialny za przetwarzanie danych osobowych na swojej stronie jako ich administrartor.

Co prawda orzeczenie zapadło na gruncie wykładni dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu danych, ale jest w pełni aktualne również na gruncie RODO.

Sprawa rozstrzygnięta w wyroku dotyczyła niemieckiej spółki Wirtschaftsakademie Schleswig-Holstein, która świadczy usługi kształcenia za pośrednictwem fanpage’a na Facebooku.

W listopadzie 2011 roku miejscowy organ ds. ochrony danych nakazał spółce dezaktywację jej fanpage’a. Powodem było, że ani właściciel profilu ani Facebook nie informowali osób odwiedzających o tym, że Facebook gromadził za pomocą plików cookies dotyczące ich dane osobowe oraz że następnie przetwarzano te informacje.

Spółka wniosła skargę na tę decyzję do niemieckich sądów administracyjnych, podnosząc, że nie można jej przypisać przetwarzania danych osobowych dokonywanego przez Facebooka oraz że nie powierzyła ona również Facebookowi przetwarzania danych, które byłoby przez nią kontrolowane lub na które mogłaby wywierać wpływ. Spółka podnosiła, że organ powinien był podjąć działania bezpośrednio przeciwko Facebookowi, a nie przeciwko niej.

W omawianym orzeczeniu Trybunał w Luksemburgu nie miał wątpliwości, że amerykańska spółka Facebook oraz, jeśli chodzi o Unię, zależna od niej irlandzka spółka Facebook Ireland muszą zostać uznane za „administratorów” danych osobowych użytkowników Facebooka oraz osób, które odwiedziły fanpage’e prowadzone na Facebooku. Spółki te określają bowiem w pierwszej kolejności cele i sposoby przetwarzania tych danych osobowych.

Trybunał stwierdził jednak, że także administrator fanpage’a, ponosi na poziomie Unii wspólną odpowiedzialność z Facebook Ireland za przetwarzanie danych. Jak bowiem wyjaśniono, taki administrator uczestniczy, podejmując działania polegające na ustaleniu parametrów (zależnych w szczególności od jego użytkowników docelowych, jak również od celów w zakresie zarządzania lub promocji jego działalności), w określeniu celów i sposobów przetwarzania danych osobowych osób odwiedzających jego fanpage’a.

Administratorzy fanpage’ów mogą uzyskać anonimowe dane statystyczne dotyczące osób odwiedzających te strony za pomocą funkcji „Facebook Insights” udostępnionej im nieodpłatnie przez Facebooka stosownie do niepodlegających zmianie warunków korzystania. Dane te są gromadzone dzięki plikom szpiegującym (zwanym „plikami cookies”), z których każdy zawiera niepowtarzalny kod użytkownika; są one aktywne przez dwa lata i zapisywane przez Facebooka na twardym dysku komputera lub na każdym innym nośniku osób odwiedzających fanpage’a. Kod użytkownika, który można powiązać z danymi połączenia użytkowników zarejestrowanych na Facebooku, zostaje pobrany i przetworzony w chwili otwarcia fanpage’ów.

TSUE wskazał, że administrator fanpage’a może zwrócić się o udzielenie (w formie zanonimizowanej) – a zatem o przetworzenie – danych demograficznych dotyczących jego użytkowników docelowych (między innymi tendencji w zakresie wieku, płci, stanu cywilnego i statusu zawodowego), informacji na temat stylu życia i zainteresowań jego użytkowników docelowych (w tym informacji dotyczących zakupów i zachowań w zakresie zakupów w sieci osób odwiedzających jego stronę oraz kategorii produktów lub usług, które najbardziej ich interesują), jak również danych geograficznych, które pozwalają administratorowi fanpage’a ustalić, gdzie należy przeprowadzić specjalne promocje lub zorganizować wydarzenia, a bardziej ogólnie, jak najlepiej ukierunkować swą ofertę informacyjną.

Zdaniem Trybunału okoliczność, iż administrator fanpage’a korzysta z platformy oferowanej przez Facebooka i z usług na niej dostępnych, nie zwalnia go z jego obowiązków w dziedzinie ochrony danych osobowych.

Mając na uwadze powyższy wyrok uznać należy, że administrator fanpage’a musi spełnić obowiązek informacyjny zgodnie z wymogami z art. 13 RODO, tj. w szczególności poinformować użytkownika o celu, sposobie i kategoriach przetwarzanych danych.