Отговорност на сайтовете при събиране на лични данни - решение на Европейския съд

Европейският съд излезе с решение по дело C-40/17 Fashion ID GmbH & Co. KG/Verbraucherzentrale NRW eV. Делото касае следното:

Fashion ID, германско предприятие за онлайн продажба на модни дрехи, интегрира в уебсайта си фейсбук бутона „харесва ми“. Изглежда, че поради този факт, когато дадено лице посети уебсайта на Fashion ID, негови лични данни се предават на Facebook Ireland. Става ясно, че това се случва без знанието на посетителя и без значение дали същият е член на социалната мрежа Фейсбук и дали е натиснал фейсбук бутона „харесва ми“. 

Verbraucherzentrale NRW, действащо в обществена полза германско сдружение за защита на интересите на потребителите, упреква Fashion ID, че е предало на Facebook Ireland лични данни на посетителите на уебсайта му, без тяхното съгласие, от една страна, и в нарушение

на задълженията за предоставяне на информация, предвидени в разпоредбите за защита на личните данни, от друга страна.

Сезираният със спора Oberlandesgericht Düsseldorf (Висш областен съд Дюселдорф, Германия) иска от Съда да тълкува няколко разпоредби от старата Директива за защита на

данните от 1995 г.1 (която остава приложима към това дело, но считано от 25 май 2018 г. е заменена с Общия регламент за защита на данните от 2016 г.2 ). В постановеното днес решение 

Съдът уточнява най-напред, че старата Директива за защита на данните допуска сдруженията за защита на интересите на потребителите да бъдат оправомощавани да предявяват искове срещу предполагаемите извършители на посегателства срещу защитата на личните данни. 

Съдът отбелязва, че понастоящем новият Общ регламент за защита на данните изрично предвижда подобна възможност. По-нататък Съдът констатира, че Fashion ID изглежда не може да отговаря като администратор за обработването на лични данни, което Facebook Ireland извършва, след като данните са му предадени. Всъщност на пръв поглед е изключено Fashion ID да определя целите на тези операции и средствата за тях.

Fashion ID обаче може да отговаря като администратор съвместно с Facebook Ireland за операциите по събиране на въпросните данни и по тяхното разкриване чрез предаването им на Facebook Ireland, тъй като може да се приеме (освен ако при проверките, които Oberlandesgericht Düsseldorf следва да извърши, не се установи нещо различно), че Fashion ID и Facebook Ireland определят съвместно целите на тези операции и средствата за тях. 

Изглежда това, че Fashion ID е интегрирало в уебсайта си фейсбук бутона „харесва ми“, му позволява да оптимизира рекламата на своите стоки, правейки ги по-видими в социалната мрежа Фейсбук, когато посетител на уебсайта натисне този бутон. За да се възползва от посоченото търговско предимство, Fashion ID е интегрирало такъв бутон на своя уебсайт и с това изглежда се е съгласило, поне мълчаливо, лични данни на посетителите на сайта му да бъдат събирани и разкривани чрез предаване. Така тези операции по обработване явно се извършват в икономически интерес както на Fashion ID, така и на Facebook Ireland, което като насрещна престация за предоставеното на Fashion ID предимство получава и съответно може да разполага с тези данни за свои собствени търговски цели.

Съдът подчертава, че оператор на уебсайт като Fashion ID, който като (съвместен) администратор отговаря за някои операции по обработване на данни на посетителите на

сайта му, например за събирането на данни и предаването им на Facebook Ireland, трябва да предостави, в момента на събиране на данните, определена информация на тези посетители, като например за самоличността си и за целите на обработването. 

Съдът внася още уточнения във връзка с два от шестте предвидени в Директивата случаи на законно обработване на лични данни. Така, що се отнася до случая, в който съответното физическо лице е дало съгласието си, Съдът приема, че оператор на уебсайт като Fashion ID трябва да получи това съгласие предварително (само) за операциите, за които отговаря като (съвместен) администратор, а именно за събирането и предаването на данните. 

Що се отнася до случаите, в които обработването на данни е необходимо за реализацията на законни интереси, Съдът приема, че всеки от администраторите, а именно операторът на уебсайт и доставчикът на социална приставка, трябва със събирането и предаването на лични данни да преследват законни интереси, за да имат право да извършват тези операции.

Източник: Прессъобщение, Съд на Европейския съюз.

Обработка на лични данни в ЕС - решение на Европейския съд

Европейският съд излезе с решение по дело C‑230/14 Weltimmo s. r. o. срещу Nemzeti Adatvédelmi és Információszabadság Hatóság. Делото касае следното:

Weltimmo е дружество, регистрирано в Словакия, което е оператор на уебсайт за обяви за недвижими имоти на територията на Унгария. Във връзка с това посоченото дружество обработва личните данни на лицата, подали обявите. Последните се публикуват безплатно в продължение на един месец, като след това услугата става платена. В края на този срок много от подалите обяви лица изпращат по електронна поща искания техните обяви да бъдат свалени от уебсайта, като по същия повод личните им данни да бъдат заличени. Въпреки това Weltimmo не пристъпва към заличаването на тези данни, а фактурира на заинтересуваните лица цената на неговите услуги. Тъй като фактурираните суми не са заплатени, това дружество предоставя личните данни на съответните подали обяви лица на дружества за събиране на вземания. 

Тези подали обявите лица подават жалби пред унгарския надзорен орган. На основание член 2, параграф 1 от Закона относно информацията този орган смята, че е компетентен да разгледа жалбите, като приема, че събирането на съответните данни било извършено на територията на Унгария, както и че то съставлявало обработване на данни или техническа операция по обработването на данните на определени физически лица. Тъй като приема, че Weltimmo е нарушило Закона за информацията, посоченият орган му налага имуществена санкция в размер на десет милиона унгарски форинта (HUF) (около 32 000 EUR).
Вследствие на това Weltimmo сезира Съда по административни и трудови дела в Будапеща (Fővárosi Közigazgatási és Munkaügyi Bíróság), който приема, че обстоятелството, че това дружество няма седалище или клон в Унгария, не съставлявало валиден аргумент в полза на защитата, тъй като данните относно съответните унгарски недвижими имоти се предоставяли в Унгария, като там се и обработвали тези данни. Въпреки това този съд отменя решението на унгарският надзорен орган на други основания, като изтъква някои фактически неточности.
Weltimmo подава касационна жалба пред запитващата юрисдикция, като посочва, че не е необходимо допълнително поясняване на фактите, тъй като на основание член 4, параграф 1, буква a) от Директива 95/46 унгарският надзорен орган не бил компетентен в конкретния случай и не можел да приложи унгарското право към доставчик на услуги със седалище в друга държава членка. Weltimmo счита, че в съответствие с член 28, параграф 6 от Директива 95/46 този орган трябвало да поиска от компетентния по тези въпроси орган в Словакия да предприеме действия на територията на неговата компетентност.
Унгарският надзорен орган изтъква, че представителят на Weltimmo в Унгария бил унгарски гражданин; това бил един от собствениците на това дружество, който го представлявал в хода на административното и на последвалото го съдебно производство в тази държава членка. Този орган посочва в допълнение, че докато по всяка вероятност интернет сървърите на Weltimmo били инсталирани в Германия или в Австрия, собствениците на това дружество пребивавали в Унгария. Накрая според същия орган от член 28, параграф 6 от Директива 95/46 следвало, че при всички положения бил компетентен да предприеме действия, без значение какво е приложимото право.
Тъй като има съмнения относно определянето на приложимото право и относно правомощията, с които разполага унгарският надзорен орган с оглед на член 4, параграф 1 и член 28 от Директива 95/46, Върховният съд решава да спре производството по делото и да постави на Съда следните преюдициални въпроси:

„1)  Следва ли член 28, параграф 1 от Директива 95/46 да се тълкува в смисъл, че разпоредбите на националното право са приложими на територията на една държава членка спрямо администратор на данни, който е установен изключително в друга държава членка, управлява уебсайт за недвижими имоти и обяви, публикува и обяви за недвижими имоти, находящи се на територията на първата държава членка, чиито собственици изпращат личните си данни към техническо средство (сървър) за съхраняване и обработване на данни, което се намира във втората държава членка и принадлежи на лицето, което управлява уебсайта?

2) Следва ли член 4, параграф 1, буква а) от Директива 95/46 да се тълкува с оглед на съображения 18—20, член 1, параграф 2 и член 28, параграф 1 от тази директива в смисъл, че унгарският надзорен орган не може да прилага унгарския закон за защита на данните като национално право спрямо лице, което управлява уебсайт за недвижими имоти и обяви и е установено изключително в друга държава членка, дори когато то публикува обяви за недвижими имоти, находящи се на унгарска територия, чиито собственици вероятно изпращат от територията на Унгария данните за своите имоти към техническо средство (сървър) за съхраняване и обработване на данни, което се намира във втората държава членка и принадлежи на лицето, което управлява уебсайта?

3) От значение ли е за тълкуването въпросът дали услугата, предоставена от администратор, който управлява уебсайт, е насочена към територията на друга държава членка?

4) От значение ли е за тълкуването въпросът дали данните относно недвижимите имоти, находящи се на територията на тази друга държава членка, и личните данни на собствениците действително са прехвърлени от територията на тази държава членка?

5)  От значение ли е за тълкуването въпросът дали личните данни относно посочените имоти са лични данни на граждани на друга държава членка?

6)  От значение ли е за тълкуването обстоятелството, че собствениците на установеното в Словакия предприятие пребивават в Унгария?

7) Ако от отговора на предходните въпроси следва, че унгарският надзорен орган може да предприеме действия, но че трябва да прилага не само националното право, а правото на държавата членка по място на установяване, трябва ли член 28, параграф 6 от Директива 95/46 да се тълкува в смисъл, че съгласно правото на държавата членка по мястото на установяване унгарският орган за защита на данните може да упражни само правомощията, предвидени в член 28, параграф 3 от Директива 95/46, и че поради това не може да наложи глоба?

8) Може ли да се приеме, че понятието „adatfeldolgozás“ (технически операции по обработване на данни), използвано в текста [на унгарски език] на член 4, параграф 1, буква а), а също и на член 28, параграф 6 от Директива 95/46, е идентично съгласно терминологията на тази директива на понятието „adatkezelés“ (обработване на данни)?“.

Решението на съда:

1) Член 4, параграф 1, буква a) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни следва да се тълкува в смисъл, че допуска законодателството на дадена държава членка относно защитата на личните данни да бъде приложено в друга държава членка, различна от държавата по регистрацията на администратора на тези данни, доколкото последният упражнява на територията на тази държава членка, посредством постоянен обект, дори минимална ефективна и действителна дейност, в чийто контекст се извършва разглежданото обработване на данни.

За да определи, при обстоятелства като разглежданите в главното производство, дали конкретният случай е такъв, запитващата юрисдикция може по-специално да вземе предвид факта, че от една страна, дейността на администратора, в чийто контекст се извършва посоченото обработване на данни, се състои в експлоатирането на уебсайтове с обяви за недвижими имоти, намиращи се на територията на тази държава членка, и съставени на езика на тази държава членка, поради което тази дейност е предимно или изцяло насочена към посочената държава членка, и от друга страна, този администратор има представител в посочената държава членка, на когото е възложено да събира вземанията, произтичащи от тази дейност, както и да представлява администратора в административните и съдебните производства относно обработването на разглежданите данни;

За разлика от това е ирелевантен въпросът какво е гражданството на лицата, засегнати от това обработване.

2) В хипотеза, в която надзорният орган на дадена държава членка, сезиран с жалби в съответствие с член 28, параграф 4 от Директива 95/46, стигне до заключението, че към обработването на съответните лични данни следва да се приложи правото не на тази, а на друга държава членка, член 28, параграфи 1, 3 и 6 от тази директива следва да се тълкува в смисъл, че този надзорен орган може да упражнява възложените му в съответствие с член 28, параграф 3 от посочената директива ефективни правомощия за намеса само на територията на собствената си държава членка. Следователно този орган не може на основание на правото на тази държава членка да налага санкции на администратора на тези данни, който не е установен на тази територия, а на основание член 28, параграф 6 от същата директива следва да поиска намеса от страна на надзорния орган на държавата членка, чието право е приложимо.

3) Директива 95/46 следва да се тълкува в смисъл, че понятието „adatfeldolgozás“ (технически операции по обработване на данни), използвано в текста на унгарски на тази директива, и по-специално в член 4, параграф 1, буква а) и в член 28, параграф 6 от същата, следва да бъде разбирано в идентичен смисъл като термина „adatkezelés“ (обработване на данни).