Arrest van het Hof (Tweede kamer) van 29 juli 2019 (verzoek om een prejudiciële beslissing, ingediend door het Oberlandesgericht Düsseldorf - Duitsland) – Fashion ID GmbH & Co. KG / Verbraucherzentrale NRW eV
(Zaak C-40/17)1
(Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 95/46/EG – Artikel 2, onder d) – Begrip „voor de verwerking verantwoordelijke” – Beheerder van een internetsite die daarin een social plug-in heeft geïntegreerd die ervoor zorgt dat de persoonsgegevens van de bezoeker van die site worden verstrekt aan de aanbieder van die plug-in – Artikel 7, onder f) – Toelaatbaarheid van gegevensverwerking – Inaanmerkingneming van het belang van de beheerder van de internetsite dan wel van de aanbieder van de social plug-in – Artikel 2, onder h), en artikel 7, onder a) – Toestemming van de betrokkene – Artikel 10 – Informatieverstrekking aan de betrokkene – Nationale regeling op grond waarvan verenigingen die consumentenbelangen behartigen, in rechte mogen optreden)
Procestaal: Duits
Verwijzende rechter
Oberlandesgericht Düsseldorf
Partijen in het hoofdgeding
Verzoekende partij: Fashion ID GmbH & Co. KG
Verwerende partij: Verbraucherzentrale NRW eV
in tegenwoordigheid van: Facebook Ireland Ltd, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Dictum
De artikelen 22, 23 en 24 van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens moeten aldus worden uitgelegd dat zij niet in de weg staan aan een nationale regeling op grond waarvan verenigingen die consumentenbelangen behartigen, in rechte mogen optreden tegen degene van wie wordt vermoed dat hij inbreuk maakt op de bescherming van persoonsgegevens.
De beheerder van een internetsite, zoals Fashion ID GmbH & Co. KG, die op deze site een social plug-in invoegt die ervoor zorgt dat de browser van een bezoeker van die site content van de aanbieder van die plug-in opvraagt en daartoe persoonsgegevens van de bezoeker aan deze aanbieder doorzendt, kan worden geacht voor de verwerking verantwoordelijk te zijn in de zin van artikel 2, onder d), van richtlijn 95/46. Deze verantwoordelijkheid is evenwel beperkt tot de bewerking of het geheel van bewerkingen op het gebied van de verwerking van persoonsgegevens waarvan respectievelijk waarvoor hij daadwerkelijk het doel en de middelen vaststelt, te weten het verzamelen en door middel van doorzending verstrekken van de gegevens in kwestie.
In een situatie als die welke in het hoofdgeding aan de orde is, waarin de beheerder van een internetsite op deze site een social plug-in invoegt die ervoor zorgt dat de browser van de bezoeker van die site content van de aanbieder van die plug-in opvraagt en daartoe persoonsgegevens van de bezoeker aan deze aanbieder doorzendt, zijn deze verwerkingshandelingen ten aanzien van die beheerder en die aanbieder enkel gerechtvaardigd indien elk van hen daarmee een gerechtvaardigd belang behartigt in de zin van artikel 7, onder f), van richtlijn 95/46.
Artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46 moeten aldus worden uitgelegd dat in een situatie als die welke in het hoofdgeding aan de orde is, waarin de beheerder van een internetsite op deze site een social plug-in invoegt die ervoor zorgt dat de browser van een bezoeker van die site content van de aanbieder van die plug-in opvraagt en daartoe persoonsgegevens van de bezoeker aan deze aanbieder doorzendt, de op grond van die bepalingen vereiste toestemming enkel door die beheerder moet worden verkregen voor de bewerking of het geheel van bewerkingen op het gebied van de verwerking van persoonsgegevens waarvan respectievelijk waarvoor hij het doel en de middelen vaststelt. Daarnaast moet artikel 10 van die richtlijn aldus worden uitgelegd dat ook de daarin neergelegde verplichting tot informatieverstrekking in een dergelijke situatie rust op die beheerder, zij het dat de door hem aan de betrokkene te verstrekken informatie enkel betrekking dient te hebben op de bewerking of het geheel van bewerkingen op het gebied van de verwerking van persoonsgegevens waarvan respectievelijk waarvoor hij daadwerkelijk het doel en de middelen vaststelt.
____________
1 PB C 112 van 10.4.2017.