Source: https://www.codexisuno.cz/8f7
Timestamp: 2020-07-11 08:58:49+00:00

Document:
Věc C-40/17: Rozsudek Soudního dvora (druhého senátu) ze dne 29. července 2019. Fashion ID GmbH & Co.KG v. Verbraucherzentrale NRW eV. Žádost o rozhodnutí o předběžné otázce podaná Oberlandesgericht Düsseldorf.
Věc C-40/17
Rozsudek Soudního dvora (druhého senátu) ze dne 29. července 2019. Fashion ID GmbH & Co.KG v. Verbraucherzentrale NRW eV. Žádost o rozhodnutí o předběžné otázce podaná Oberlandesgericht Düsseldorf.
Věc C-40/17: Stanovisko
Tisková zpráva č. 99/2019
Řízení o předběžné otázce - Ochrana fyzických osob v souvislosti se zpracováním osobních údajů - Směrnice 95/46/ES - Článek 2 písm. d) - Pojem ‚správce‘ - Provozovatel internetových stránek, který do nich začlenil sociální modul, jež umožňuje sdělovat osobní údaje návštěvníka těchto stránek poskytovateli uvedeného modulu - Článek 7 písm. f) - Oprávněné zpracování údajů - Zohlednění zájmu provozovatele internetové sítě nebo zájmu poskytovatele sociálního modulu - Článek 2 písm. h) a článek 7 písm. a) - Souhlas subjektu údajů - Článek 10 - Informování subjektu údajů - Vnitrostátní právní úprava, která umožňuje aktivní legitimaci sdružení na ochranu zájmů spotřebitelů.
Ve věci C-40/17,
- za Fashion ID GmbH & Co. KG C.-M. Althausem a J. Nebelem, Rechtsanwälte,
- za Verbraucherzentrale NRW eV K. Krusem, C. Rempem a S. Meyerem, Rechtsanwälte,
- za Facebook Ireland Ltd H.-G. Kamannem, C. Schwedlerem a M. Braunem, Rechtsanwälte, jakož i I. Perego, avvocatessa,
- za Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen U. Merger, jako zmocněnkyní,
- za německou vládu, původně T. Henzem a J. Möllerem, dále J. Möllerem, jako zmocněnci,
- za belgickou vládu P. Cottinem a L. Van den Broeck, jako zmocněnci,
- za italskou vládu G. Palmieri, jako zmocněnkyní, ve spolupráci s P. Gentilim, avvocato dello Stato,
- za rakouskou vládu původně C. Pesendorfer a následně G. Kunnertem, jako zmocněnci,
- za Evropskou komisi H. Krämerem a H. Kranenborgem, jako zmocněnci,
"[V]zhledem k tomu, že předmětem vnitrostátních právních předpisů o zpracování osobních údajů je chránit základní práva a svobody, zejména právo na soukromí uznaného [uznané] v článku 8 Evropské úmluvy o ochraně lidských práv a základních svobod [podepsané v Římě dne 4. listopadu 1950] i v obecných zásadách práva [Unie]; že z tohoto důvodu sblížení těchto právních předpisů nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany v [Unii];".
"1. Členské státy zajišťují v souladu s touto směrnicí ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů.
2. Členské státy nemohou omezit ani zakázat volný pohyb osobních údajů mezi členskými státy z důvodů ochrany zajištěné podle odstavce 1."
a) 'osobními údaji' veškeré informace o identifikované nebo identifikovatelné [fyzické] osobě (subjekt údajů); identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity;
b) 'zpracováním osobních údajů' ('zpracování') jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace;
d) 'správcem' fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů; jsou-li účel a prostředky zpracování určeny právními a správními předpisy na úrovni jednotlivých států či [Unie], je možné určit správce nebo zvláštní kritéria pro jeho určení právem jednotlivých států nebo [Unie];
f) 'třetí osobou' fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt jiný než subjekt údajů, než správce, než zpracovatel a než osoby přímo podléhající správci nebo zpracovateli, které jsou oprávněny ke zpracování údajů;
g) 'příjemcem' fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, kterým jsou údaje sdělovány, ať se jedná či nikoli o třetí osobu; orgány, které mohou získávat údaje v rámci zvláštního šetření, však nejsou považovány za příjemce;
h) 'souhlasem subjektu údajů' jakýkoli svobodný, výslovný a vědomý projev vůle, kterým subjekt údajů dává své svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování."
8 Článek 10 téže směrnice, nadepsaný "Informování v případě shromažďování údajů od subjektu údajů", zní:
"Členské státy stanoví, že správce nebo jeho zástupce musí poskytnout osobě, od které získává údaje, které se jí týkají, alespoň dále uvedené informace, ledaže s nimi subjekt údajů již byl seznámen:
v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů vůči subjektu údajů, s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány."
"Aniž je tím dotčena možnost opravného prostředku ve správním řízení, který je možno podat, zejména orgánu dozoru uvedenému v článku 28, stanoví všechny členské státy, že každá osoba má právo v případě porušení práv, jež jí jsou zaručeny vnitrostátními předpisy, které se uplatní na dotčené zpracování, předložit věc soudu."
"1. Členské státy stanoví, že kdokoli, kdo byl poškozen neoprávněným zpracováním nebo jinou činností neslučitelnou s vnitrostátními předpisy přijatými k provedení této směrnice, má právo na náhradu utrpěné škody od správce.
2. Správce může být částečně nebo zcela zbaven této odpovědnosti, pokud prokáže, že za vznik škody neodpovídá."
"Členské státy přijmou vhodná opatření, kterými zajistí uplatňování ustanovení této směrnice, a zejména určí sankce, které se uplatní v případě porušení předpisů přijatých na základě této směrnice."
13 Článek 5 odst. 3 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 (Úř. věst. 2009, L 337, s. 11) (dále jen "směrnice 2002/58") stanoví:
"Členské státy zajistí, aby uchovávání informací nebo získávání přístupu k již uchovávaným informacím bylo v koncovém zařízení účastníka nebo uživatele povoleno pouze pod podmínkou, že dotčený účastník či uživatel poskytl svůj souhlas poté, co mu byly poskytnuty jasné a úplné informace v souladu se směrnicí [95/46], mimo jiné o účelu zpracování. To nebrání technickému ukládání nebo takovému přístupu, jehož jediným účelem je provedení přenosu sdělení prostřednictvím sítě elektronických komunikací, nebo je-li to nezbytně nutné k tomu, aby mohl poskytovatel služeb informační společnosti poskytovat služby, které si účastník nebo uživatel výslovně vyžádal."
14 Článek 1 odst. 1 směrnice Evropského parlamentu a Rady 2009/22/ES ze dne 23. dubna 2009 o žalobách na zdržení se jednání v oblasti ochrany zájmů spotřebitelů (Úř. věst. 2009, L 110, s. 30), ve znění nařízení Evropského parlamentu a Rady (EU) č. 524/2013 ze dne 21. května 2013 (Úř. věst. 2013, L 165, s. 1) (dále jen "směrnice 2009/22"), stanoví:
"Cílem této směrnice je sbližování právních a správních předpisů členských států týkajících se žalob na zdržení se jednání ve smyslu článku 2, kterými jsou chráněny kolektivní zájmy spotřebitelů v působnosti akty Unie uvedenými v příloze I, aby se tak zajistilo řádné fungování vnitřního trhu."
"1. Členské státy určí soudy nebo správní orgány příslušné k tomu, aby rozhodly o žalobách podaných oprávněnými subjekty ve smyslu článku 3, které jsou zaměřeny na:
"Tato směrnice nebrání členským státům přijímat nebo ponechat v platnosti ustanovení, která poskytují oprávněným subjektům, jakož i jiným dotčeným osobám na vnitrostátní úrovni rozsáhlejší oprávnění podávat návrhy na zahájení řízení."
"1. Subjekt údajů má právo pověřit neziskový subjekt, organizaci nebo sdružení, jež byly řádně založeny v souladu s právem některého členského státu, jejichž statutární cíle jsou ve veřejném zájmu a jež vyvíjejí činnost v oblasti ochrany práv a svobod subjektů údajů ohledně ochrany jejich osobních údajů, aby jeho jménem podal stížnost, uplatnil práva uvedená v článcích 77, 78 a 79 a, pokud tak stanoví právo členského státu, uplatnil právo na odškodnění podle článku 82.
2. Členské státy mohou stanovit, že jakýkoliv subjekt, organizace nebo sdružení uvedené v odstavci 1 tohoto článku má bez ohledu na pověření od subjektu údajů právo podat v daném členském státě stížnost u dozorového úřadu příslušného podle článku 77 a vykonávat práva uvedená v článcích 78 a 79, pokud se domnívá, že v důsledku zpracování byla porušena práva subjektu údajů podle tohoto nařízení."
18 Ustanovení § 3 odst. 1 Gesetz gegen den unlauteren Wettbewerb (zákon na ochranu proti nekalé hospodářské soutěži), ve znění použitelném na spor v původním řízení (dále jen "UWG") uvádí:
"Protiprávní obchodní praktiky jsou zakázány."
"Nekalého jednání se dopustí ten, kdo jedná v rozporu s právním předpisem, který je určen zejména ke stanovení pravidel chování na trhu v zájmu jeho účastníků, jestliže porušení právního předpisu může citelně narušit zájmy spotřebitelů, jiných účastníků trhu nebo soutěžitelů."
"(1) Tomu, kdo uplatňuje obchodní praktiku, která je podle § 3 nebo § 7 protiprávní, lze uložit povinnost ukončení porušování práv a existuje-li nebezpečí opakování, zdržení se dalšího protiprávního jednání. Nárok domáhat se zdržení se jednání vzniká již tehdy, když existuje hrozba takovéto protiprávní obchodní praktiky ve smyslu § 3 nebo § 7.
"(1) Proti každému, kdo poruší právní předpisy na ochranu spotřebitele (zákony o ochraně spotřebitele) jinak než za uplatnění nebo doporučení všeobecných prodejních podmínek, může být podána žaloba na zdržení se jednání v zájmu ochrany spotřebitele. [...]
pokud jsou tyto údaje shromažďovány, zpracovávány nebo používány za účelem reklamy, průzkumu trhu nebo veřejného mínění, provozování informační agentury, vytváření osobnostních nebo uživatelských profilů, obchodování s adresami, cíleného obchodování s daty nebo k podobným komerčním účelům."
22 Ustanovení § 12 odst. 1 Telemediengesetz (zákon o službách elektronických informací a komunikací, dále jen "TMG") zní takto:
"Poskytovatel služeb může shromažďovat a využívat osobní údaje za účelem poskytování služeb elektronických informací a komunikací pouze tehdy, pokud to dovoluje tento zákon nebo jiný právní předpis, který se výslovně týká služeb elektronických informací a komunikací, nebo pokud s tím uživatel souhlasil."
"Poskytovatel služeb uživatele na začátku využívání těchto služeb uživatele všeobecně srozumitelnou formou poučí o způsobu, rozsahu a účelech shromažďování a používání osobních údajů, jakož i o zpracovávání jeho údajů ve státech, které nespadají do oblasti působnosti směrnice [95/46], pokud tak neučinil již dříve. V případě automatizovaného postupu, který umožňuje pozdější identifikaci uživatele a připravuje shromažďování nebo využívání osobních údajů, musí být uživatel poučen na začátku tohoto postupu. Uživatel musí mít možnost stálého přístupu k obsahu tohoto poučení."
"Poskytovatel služeb může shromažďovat a využívat osobní údaje uživatele, pouze pokud je to nezbytné k tomu, aby bylo umožněno a vyúčtováno použití služeb elektronických informací a komunikací (údaje o použití). Údaji o použití jsou zejména
3. údaje týkající se služeb elektronických informací a komunikací využitých uživatelem."
25 Fashion ID, podnik, který prodává na internetu módní oblečení, začlenil do svých internetových stránek sociální modul "to se mi líbí" sociální sítě Facebook (dále jen "tlačítko Facebooku 'to se mi líbí' ").
26 Z předkládacího rozhodnutí vyplývá, že vlastností internetu je umožnit prohlížeči návštěvníka internetových stránek prezentovat obsahy z různých zdrojů. Například fotografické snímky, videozáznamy, aktuality, jakož i tlačítko "to se mi líbí" Facebooku dotčené v projednávané věci mohou být součástí internetových stránek a objevovat se na nich. Chce-li provozovatel do svých internetových stránek začlenit tyto obsahy náležející třetí straně (externí obsahy), umístí na stánky odkaz na externí obsah. Ve chvíli, kdy prohlížeč návštěvníka těchto stránek otevře takový odkaz, vyžádá si prohlížeč externí obsah a umístí ho na určené místo v rámci zobrazení internetových stránek. Prohlížeč za tímto účelem zašle serveru externího poskytovatele IP adresu počítače tohoto návštěvníka, jakož i technické informace o prohlížeči, tak aby server mohl určit, v jakém formátu má příslušný obsah na tuto adresu odeslat. Prohlížeč dále předá informace týkající se požadovaného obsahu. Provozovatel internetových stránek, který nabízí obsah tím, že ho začlení do těchto stránek, nemůže ovlivnit údaje, jaké prohlížeč předává ani jak s nimi externí poskytovatel naloží, především zda se rozhodne je uložit a využít.
27 Pokud jde konkrétně o tlačítko Facebooku "to se mi líbí", z předkládacího rozhodnutí podle všeho vyplývá, že když si návštěvník prohlíží internetové stránky společnosti Fashion ID, jsou osobní údaje tohoto návštěvníka z důvodu skutečnosti, že do těchto stránek začlenila uvedené tlačítko, předány společnosti Facebook Ireland. Je zřejmé, že k tomuto předání dochází, aniž si je uvedený návštěvník vědom této skutečnosti a nezávisle na tom, zda je členem sociální sítě Facebook či zda klikl na tlačítko Facebooku "to se mi líbí".
35 Předkládající soud má v prvé řadě pochybnosti, pokud jde o otázku, zda směrnice 95/46 přiznává veřejně prospěšným sdružením aktivní legitimaci na ochranu zájmů poškozených osob. Je toho názoru, že článek 24 této směrnice nebrání sdružením, aby měla aktivní legitimaci, jelikož podle tohoto článku přijmou členské státy všechna "vhodná opatření" k zajištění plného uplatňování uvedené směrnice. Předkládající soud tak má za to, že vnitrostátní právní úprava, která umožňuje sdružením podávat žaloby v zájmu spotřebitelů, může představovat takové vhodné opatření.
37 Dále se táže, zda provozovatel internetových stránek, jako je Fashion ID, která na tyto stránky umístila sociální modul, který umožňuje sběr osobních údajů, může být považován za správce ve smyslu čl. 2 písm. d) směrnice 95/46, přestože tento provozovatel nemá žádný vliv na zpracování údajů předaných poskytovateli tohoto modulu. Předkládající soud odkazuje v tomto ohledu na věc, ve které byl vydán rozsudek ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein (C-210/16, EU:C:2018:388), který se týká podobné otázky.
38 Podpůrně v případě, že se Fashion ID nemá považovat za správce, se předkládající soud táže, zda tato směrnice vyčerpávajícím způsobem upravuje tento pojem tak, že brání vnitrostátní právní úpravě, která stanoví občanskoprávní odpovědnost za škodu způsobenou třetí osobou v případě porušení práv na ochranu údajů. Předkládající soud totiž tvrdí, že je možné uvažovat o odpovědnosti Fashion ID na tomto právním základě vnitrostátního práva jakožto "rušitele" ("Störer").
39 Pokud musí být Fashion ID považována za správce nebo přinejmenším za odpovědnou jakožto "rušitel" za případné porušení ochrany údajů společností Facebook Ireland, předkládající soud se dotazuje, zda zpracování osobních údajů dotčených v původním řízení je zákonné a zda povinnost informovat subjekt údajů na základě článku 10 směrnice 95/46 spočívá na společnosti Fashion ID, nebo Facebook Ireland.
"1) Brání ustanovení článků 22, 23 a 24 směrnice [95/46] vnitrostátní právní úpravě, která vedle intervenčních pravomocí orgánů pro ochranu údajů a možností subjektu údajů podávat žaloby přiznává veřejně prospěšným sdružením na ochranu zájmů spotřebitelů pravomoc zahájit v případě porušování těchto zájmů postup proti jejich porušovateli?
2) Je v takovém případě, o jaký se jedná v projednávané věci, kdy určitá osoba začlení do svých internetových stránek programový kód, v jehož důsledku je prohlížeč uživatele instruován, aby žádal obsahy od třetí osoby a za tímto účelem předával této třetí osobě osobní údaje, osoba, která tento programový kód začlenila do svých internetových stránek, 'správcem' ve smyslu čl. 2 písm. d) směrnice [95/46], i když tato osoba sama nemůže toto zpracování údajů ovlivnit?
3) V případě záporné odpovědi na druhou otázku: Musí být čl. 2 písm. d) směrnice [95/46] vykládán v tom smyslu, že odpovědnost je v něm upravena s konečnou platností tak, že brání občanskoprávnímu řízení s třetí osobou, která sice není 'správcem', ale založila důvod ke zpracování údajů, které nemůže ovlivnit?
4) Co lze v takové situaci, jaká nastala v projednávané věci, považovat za 'oprávněné zájmy' při vážení zájmů v souvislosti s čl. 7 písm. f) směrnice [95/46]? Je to zájem na vkládání obsahů poskytnutých třetí osobou, nebo zájem této třetí osoby?
6) Týká se povinnost poskytnutí informací, kterou stanoví článek 10 směrnice [95/46], v takové situaci, jaká nastala v projednávané věci, i provozovatele internetových stránek, který do nich začlenil předmětný obsah poskytnutý třetí osobou, a založil tak důvod ke zpracování osobních údajů touto třetí osobou?"
47 Nicméně žádné ustanovení uvedené směrnice neukládá členským státům povinnost stanovit - ani je výslovně neopravňuje ke stanovení - ve svém vnitrostátním právu možnost sdružení zastupovat takovou osobu nebo z vlastní iniciativy podat žalobu proti údajnému rušiteli ochrany osobních údajů.
49 Podle článku 288 třetího pododstavce SFEU mají totiž členské státy při provádění směrnice povinnost zajistit úplnou účinnost směrnice, přičemž mají široký prostor pro uvážení, co se týče volby způsobů a prostředků určených k jejímu provedení. Tato volnost nemá žádný dopad na povinnost uloženou všem členským státům přijmout veškerá opatření nezbytná k zajištění plné účinnosti dotyčné směrnice v souladu s cílem, který sleduje (rozsudky ze dne 6. října 2010, Base a další, C-389/08, EU:C:2010:584, body 24 a 25, jakož i ze dne 22. února 2018, Porras Guisado, C-103/16, EU:C:2018:99, bod 57).
50 V tomto ohledu je třeba připomenout, že jedním s cílů, kterými je vedena směrnice 95/46, je zajistit účinnou a úplnou ochranu základních práv a svobod fyzických osob, zejména práva na soukromí ve vztahu ke zpracování osobních údajů (v tomto smyslu viz rozsudky ze dne 13. května 2014, Google Spain a Google, C-131/12, EU:C:2014:317, bod 53, jakož i ze dne 27. září 2017, Puškár, C-73/16, EU:C:2017:725, bod 38). Její desátý bod odůvodnění upřesňuje, že sblížení vnitrostátních právních předpisů použitelných v dané oblasti nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany v Unii (rozsudky ze dne 6. listopadu 2003, Lindqvist, C-101/01, EU:C:2003:596, bod 95; ze dne 16. prosince 2008, Huber, C-524/06, EU:C:2008:724, bod 50, a ze dne 24. listopadu 2011, Asociacion Nacional de Establecimientos Financieros de Crédito, C-468/10 a C-469/10, EU:C:2011:777, bod 28).
54 Směrnice 95/46 zajisté vede k harmonizaci vnitrostátních právních předpisů, které se týkají ochrany osobních údajů, která je v zásadě úplná (v tomto smyslu viz rozsudky ze dne 24. listopadu 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 a C-469/10, EU:C:2011:777, bod 29, a ze dne 7. listopadu 2013, IPI, C-473/12, EU:C:2013:715, bod 31).
55 Soudní dvůr měl tak za to, že článek 7 uvedené směrnice stanoví taxativní a omezující výčet případů, kdy lze zpracování osobních údajů považovat za zákonné, a že členské státy nemohou doplnit nové zásady pro oprávněné zpracování osobních údajů, obsažené v uvedeném článku, ani upravovat další požadavky, které by pozměnily dosah některé ze šesti zásad zakotvených v tomto článku (rozsudky ze dne 24. listopadu 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 a C-469/10, EU:C:2011:777, body 30 a 32, jakož i ze dne 19. října 2016, Breyer, C-582/14, EU:C:2016:779, bod 57).
56 Soudní dvůr nicméně rovněž upřesnil, že směrnice 95/46 obsahuje pravidla, která jsou poměrně obecná, vzhledem k tomu, že mají být uplatňována v řadě velmi rozličných situací. Tato pravidla se vyznačují jistou pružností a v mnoha případech ponechávají na členských státech, aby upravily podrobnosti nebo si vybraly z daných možností, takže členské státy disponují v mnoha ohledech prostorem pro uvážení při provádění uvedené směrnice do vnitrostátního práva (v tomto smyslu viz rozsudky ze dne 6. listopadu 2003, Lindqvist, C-101/01, EU:C:2003:596, body 83, 84 a 97, jakož i ze dne 24. listopadu 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 a C-469/10, EU:C:2011:777, bod 35).
57 Tak je to v případě článků 22 až 24 směrnice 95/46, které jsou, jak uvedl generální advokát v bodě 42 svého stanoviska, formulována velmi obecně a neprovádí úplnou harmonizaci vnitrostátní ustanovení týkajících se soudních opravných prostředků, které by mohly být použity proti údajnému rušiteli ochrany osobních údajů (obdobně viz rozsudek ze dne 26. října 2017, I, C-195/16, EU:C:2017:815, body 57 a 58).
58 Obzvláště, i když článek 22 této směrnice ukládá povinnost pro všechny členské státy, aby stanovily, že každá osoba má právo v případě porušení práv, jež jí jsou zaručeny vnitrostátními předpisy, které se uplatní na dotčené zpracování osobních údajů, předložit věc soudu, uvedená směrnice neobsahuje žádné ustanovení konkrétně upravující podmínky, za kterých lze tento opravný prostředek uplatnit (v tomto smyslu viz rozsudek ze dne 27. září 2017, Puškár, C-73/16, EU:C:2017:725, body 54 a 55).
59 Dále článek 24 směrnice 95/46 stanoví, že členské státy přijmou "vhodná opatření", kterými zajistí úplné uplatňování ustanovení této směrnice, aniž taková opatření definuje. Přitom stanovení možnosti sdružení na ochranu zájmů spotřebitelů podat žalobu proti údajnému rušiteli ochrany osobních údajů se jeví jako vhodné opatření ve smyslu tohoto ustanovení, které jak bylo uvedeno v bodě 51 tohoto rozsudku, přispívá k dosažení cílů uvedené směrnice v souladu s judikaturou Soudního dvora (v tomto ohledu viz rozsudek ze dne 6. listopadu 2003, Lindqvist, C-101/01, EU:C:2003:596, bod 97).
65 V tomto ohledu je třeba připomenout, že v souladu s cílem sledovaným směrnicí 95/46, kterým je zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů, čl. 2 písm. d) této směrnice definuje pojem "správce" velmi široce jako fyzickou nebo právnickou osobu, orgán veřejné moci, agenturu nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů (v tomto smyslu viz rozsudek ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, body 26 a 27).
66 Jak již totiž Soudní dvůr rozhodl, cílem tohoto ustanovení je prostřednictvím široké definice pojmu "správce" zajistit účinnou a úplnou ochranu subjektů údajů (rozsudky ze dne 13. května 2014, Google Spain a Google, C-131/12, EU:C:2014:317, bod 34, jakož i ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, bod 28).
67 Dále vzhledem k tomu, že se pojmem "správce" rozumí subjekt, který "sám nebo společně s jinými" určuje účel a prostředky zpracování osobních údajů, jak je výslovně stanoveno v čl. 2 písm. d) směrnice 95/46, neodkazuje tento pojem nutně na jediný subjekt a může mířit na více subjektů, které se na tomto zpracování podílejí, a tudíž se na každého z nich vztahují použitelná ustanovení pro ochranu údajů (v tomto smyslu viz rozsudky ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, bod 29, a ze dne 10. července 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, bod 65).
68 Soudní dvůr měl rovněž za to, že fyzickou nebo právnickou osobu, která vykonává pro své vlastní účely vliv na zpracování osobních údajů, a v důsledku toho se podílí na určování účelu a prostředků tohoto zpracování, lze považovat za správce ve smyslu čl. 2 písm. d) směrnice 95/46 (rozsudek ze dne 10. července 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, bod 68).
69 Kromě toho předpokladem společné odpovědnosti několika subjektů za totéž zpracování na základě tohoto ustanovení není, že každý z nich má přístup k dotčeným osobním údajům (v tomto smyslu viz rozsudek ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, bod 38, a ze dne 10. července 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, bod 69).
70 Vzhledem k tomu, že cílem čl. 2 písm. d) směrnice 95/46 je prostřednictvím široké definice pojmu "správce" zajistit účinnou a úplnou ochranu subjektů údajů, z existence společné odpovědnosti nelze nezbytně dovozovat, že by jednotlivé subjekty měly ve vztahu k témuž zpracovávání osobních údajů nést nezbytně stejný díl odpovědnosti. Naopak tyto subjekty mohou být zapojeny v různých fázích tohoto zpracování a v různé míře, takže míru odpovědnosti každého z nich je třeba hodnotit s přihlédnutím ke všem relevantním okolnostem projednávané věci (v tomto smyslu viz rozsudek ze dne 10. července 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, bod 66).
71 V tomto ohledu je třeba zaprvé uvést, že čl. 2 písm. b) směrnice 95/46 definuje "zpracování osobních údajů" jako "jakýkoli úkon nebo soubor úkonů, které jsou prováděny s osobními údaji pomocí automatizovaných postupů či bez nich, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, nahlížení, používání, sdělování prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnávání či kombinování, jakož i blokování, výmaz nebo znehodnocení údajů".
73 Zadruhé z definice pojmu "správce" uvedené v čl. 2 písm. d) směrnice 95/46, jak byla připomenuta v bodě 65 tohoto rozsudku, vyplývá, že pokud více subjektů definuje společně účely a prostředky zpracování osobních údajů, podílí se na tomto zpracování jako správce.
75 V projednávané věci, s výhradou ověření, které přísluší provést předkládajícímu soudu, ze spisu, kterým disponuje Soudní dvůr, vyplývá, že Fashion ID tím, že začlenila na své internetové stránky tlačítko Facebooku "to se mi líbí", uvedená společnost pravděpodobně dala společnosti Facebook Ireland možnost získat osobní údaje návštěvníků jejích internetových stránek, protože taková možnost se aktivuje v okamžiku zobrazení uvedených stránek, a to nezávisle na skutečnosti, zda jsou tito návštěvníci členy sociální sítě Facebook, klikli na tlačítko "to se mi líbí" Facebooku, nebo zda vůbec věděli o takové operaci.
76 S ohledem na tyto informace je třeba konstatovat, že operace zpracování osobních údajů, při kterých dokáže Fashion ID společně se společností Facebook Ireland určovat účely a prostředky jsou, pokud jde o definici pojmu "zpracování osobních údajů" uvedenou v čl. 2 písm. b) směrnice 95/46, sběr a přenos osobních údajů návštěvníků jejích internetových stránek. Naopak s ohledem na uvedené informace, se na první pohled jeví vyloučeno, že Fashion ID určuje účely a prostředky následných operací zpracování osobních údajů, které provádí Facebook Ireland poté, co jsou jí předány, takže Fashion ID nemůže být považována za správce ve vztahu k těmto operacím ve smyslu tohoto čl. 2 písm. d).
77 Pokud jde o prostředky použité pro účely sběru a přenosu určitých osobních údajů návštěvníků internetových stránek Fashion ID, z bodu 75 tohoto rozsudku vyplývá, že tato společnost umístila na své internetové stránky tlačítko Facebooku "to se mi líbí", které Facebook Ireland dala k dispozici provozovatelům internetových stránek, přičemž si byla vědoma, že toto tlačítko slouží jako nástroj pro sběr a přenos osobních údajů návštěvníků těchto stránek bez ohledu na to, zda jsou či nejsou členy sociální sítě Facebook.
80 Pokud jde o účel uvedených operací zpracování osobních údajů, zdá se, že umístění tlačítka "to se mi líbí" Facebooku společností Fashion ID na své internetové stránky jí umožňuje optimalizovat reklamu svých výrobků tím, že je učiní viditelnější na sociální síti Facebook, když návštěvník jejích internetových stránek klikne na uvedené tlačítko. Zdá se, že aby Fashion ID mohla využít tuto obchodní výhodu sestávající z takové zdokonalené reklamy svých výrobků, tato společnost umístěním takového tlačítka na svých internetových stránkách souhlasila, přinejmenším implicitně, se sběrem a přenosem osobních údajů návštěvníků stránek, přičemž tyto operace zpracování se uskutečňovaly v hospodářském zájmu jak Fashion ID, tak Facebook Ireland, pro kterou skutečnost, že může disponovat těmito údaji pro své vlastní obchodní účely, představuje protiplnění za výhodu, kterou nabízí společnosti Fashion ID.
83 Navíc je třeba zdůraznit, že takové internetové stránky, jako jsou stránky Fashion ID, jsou navštěvovány jak osobami, kteří jsou členy sociální sítě Facebook a mají na této sociální síti účet, tak osobami, které takový účet nemají. V tomto posledně uvedeném případě se odpovědnost provozovatele internetových stránek, jako je Fashion ID, pokud jde o zpracování osobních údajů těchto osob, jeví ještě důležitější, protože pouhé zobrazení těchto stránek, které obsahují tlačítko Facebooku "to se mi líbí", zřejmě spouští zpracování jejich osobních údajů společností Facebook Ireland (v tomto smyslu viz rozsudek ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, bod 41).
93 V tomto ohledu je třeba úvodem připomenout, že podle ustanovení kapitoly II směrnice 95/46, nadepsané "Obecné podmínky pro zákonnost zpracování osobních údajů", s výhradou výjimek, které připouští článek 13 této směrnice, musí jakékoli zpracování osobních údajů zejména odpovídat některé ze zásad pro oprávněné zpracování údajů uvedených v článku 7 uvedené směrnice (v tomto smyslu viz rozsudky ze dne 13. května 2014, Google Spain a Google, C-131/12, EU:C:2014:317, bod 71, a ze dne 1. října 2015, Bara a další, C-201/14, EU:C:2015:638, bod 30).
95 Uvedený čl. 7 písm. f) směrnice tedy stanoví tři kumulativní podmínky pro to, aby bylo zpracování osobních údajů zákonné, a to zaprvé sledování oprávněného zájmu správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, zadruhé nezbytnost zpracování osobních údajů pro uskutečnění sledovaných oprávněných zájmů a zatřetí podmínku, že nemají přednost základní práva a svobody osoby, na kterou se vztahuje ochrana údajů (rozsudek ze dne 4. května 2017, Rigas satiksme, C-13/16, EU:C:2017:336, bod 28).
104 V tomto ohledu ze znění tohoto ustanovení vyplývá, že správce nebo jeho zástupce musí poskytnout osobě, od které získává údaje, alespoň informace uvedené v tomto ustanovení. Tato informace podle všeho tedy musí být správcem poskytnuta okamžitě, a sice v okamžiku sběru údajů (v tomto smyslu viz rozsudky ze dne 7. května 2009, Rijkeboer, C-553/07, EU:C:2009:293, bod 68, a ze dne 7. listopadu 2013, IPI, C-473/12, EU:C:2013:715, bod 23).
ROZSUDEK Právní rámec Unijní právo Německé právo Spor v původním řízení a předběžné otázky K předběžným otázkám K první otázce K druhé otázce K třetí otázce Ke čtvrté otázce K páté a šesté otázce K nákladům řízení Z těchto důvodů Soudní dvůr (druhý senát) rozhodl takto:
62017CJ0040

References: § 3
 § 3
 § 7
 § 3
 § 7
 § 12
 soud 
 soud 
 čl. 2
 soud 
 soud 
 soud 
 soud 
 čl. 2
 čl. 2
 čl. 7
 čl. 2
 čl. 2
 čl. 2
 čl. 2
 čl. 2
 čl. 2
 čl. 2
 čl. 2
 čl. 7