Urząd Ochrony Danych Osobowych odnosi się do wyroku Trybunału Sprawiedliwości UE z 29 lipca 2019 r. w sprawie C-40/17* Fashion ID GmbH & Co.KG przeciwko Verbraucherzentrale NRW eV. Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożył Oberlandesgericht Düsseldorf.

Zdaniem UODO rozstrzygnięcie to jest istotne z punktu widzenia określenia ról podmiotów biorących udział w procesie przetwarzania danych osobowych.

Obowiązek informacyjny to podstawa

Urząd Ochrony Danych Osobowych przypomina podmiotom korzystającym z wtyczek społecznościowych Facebooka „Lubię to”, aby wypełniać wobec osób korzystających z witryn obowiązek informacyjny (art. 13 ogólnego rozporządzenia o ochronie danych ─ RODO). Osoba odwiedzająca taką witrynę musi wiedzieć, że operator przekazuje jej dane Facebookowi. Dane to informacje o adresie IP i identyfikatorze przeglądarki użytkownika.

Sklepy internetowe czy inne podmioty prowadzące działalność przez internet powinny uzupełnić klauzule informacyjne na swoich stronach internetowych, jeżeli dotychczas takich informacji nie zamieściły, a korzystają z wtyczki „Lubię to”. Obowiązek informacyjny powinien być spełniony przed gromadzeniem i przekazywaniem danych Facebookowi.

Użytkownik musi wiedzieć, co dzieje się z jego danymi

Kolejna istotna dla operatorów witryn kwestia, to konieczność dysponowania przesłanką do przetwarzania danych osobowych w zakresie przekazywania tych danych portalowi społecznościowemu Facebook (zgoda, prawnie uzasadniony interes).

Zgoda osoby, której dane dotyczą musi być uprzednia, a więc wyrażona przed rozpoczęciem gromadzenia i przekazywania danych.

Co więcej, klauzula zgody na przekazywanie danych Facebookowi powinna być sformułowana odrębnie od klauzul zgód na przetwarzanie danych osobowych w innych celach i powinna spełniać wszystkie przesłanki o których mowa w RODO.

Warto przypomnieć, że zgoda to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych (art. 4 pkt 11 RODO).

W myśl zaś motywu 43 RODO zgody nie uważa się za dobrowolną, jeżeli nie można jej wyrazić z osobna na różne operacje przetwarzania danych osobowych, mimo że w danym przypadku byłoby to właściwe.

Motyw 32 RODO stanowi, że zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele.

Jak orzekł Trybunał Sprawiedliwości w przypadkach, w których przetwarzanie jest konieczne do realizacji uzasadnionych interesów, każdy ze współadministratorów danych, mianowicie operator witryny internetowej i dostawca wtyczki społecznościowej, musi w ramach gromadzenia i przekazywania danych uzasadnić, dlaczego te operację są w jego działalności potrzebne.

Polityki bezpieczeństwa do przeglądu

Kolejna niezbędna czynność, to uwzględnienie przez wspomnianych operatorów w ich politykach bezpieczeństwa kwestii przekazywania danych osobowych Facebookowi w związku z korzystaniem z wtyczki „Lubię to”.

Warto zauważyć także, że podmioty będące współadministratorami powinny w przejrzysty sposób określić odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z RODO (art. 26 ust. 1 RODO). Jest to istotne w szczególności w odniesieniu do wykonywania przez osobę, której dane dotyczą, przysługujących jej praw, oraz ich obowiązków w odniesieniu do podawania informacji, o których mowa w art. 13 i 14 RODO.

Ponieważ operatorzy witryn internetowych wraz z dostawcą wtyczki społecznościowej (Facebook), w zakresie zbierania i transmisji danych Facebookowi, zostali uznani przez Trybunał Sprawiedliwości UE za współadministratoratorów danych osobowych osób odwiedzających te witryny muszą pamiętać o jeszcze jednej ważnej czynności. Powinni oni zapewnić, aby osoba, której dane dotyczą miała całkowitą pewność, do którego administratora danych się zwrócić, jeżeli zamierza wykonać prawo lub prawa przysługujące jej na mocy RODO (art. 26 ust. 2 RODO).

Wyrok TSUE C-40/17 z 29 lipca 2019 r. podstępny pod linkiem