Source: http://www.abi-expert.pl/wydania/lipiecwrzesien-2018/art,2137,wlasciciel-fanpagea-na-portalu-spolecznosciowym-jako-administrator.html
Timestamp: 2018-12-14 05:16:32
Legal References Found: art. 2
 art. 17
 art. 24
 art. 28
 art. 4
 art. 28

Document Content:
14-09-2018 Autor: Marcin Górski
Czy tworząc swój firmowy fanpage na portalu społecznościowym, stajemy się administratorem danych? Odpowiedzi twierdzącej na to pytanie udzielił ostatnio Trybunał Sprawiedliwości UE (dalej: TS). Ma ona istotne znaczenie dla każdego podmiotu, który taki fanpage prowadzi. Zauważmy, że z takiego kanału marketingowego czy komunikacyjnego korzysta wiele podmiotów, zarówno przedsiębiorców, jak i organów publicznych. Warto więc poznać stanowisko TS.
Wyrokiem z 5 czerwca 2018 r. w sprawie C-210/16 Unab­hängiges Landeszentrum für Datenschutz Schleswig-Holstein (dalej: ULD) przeciwko Wirtschaftsakademie Schleswig-Holstein GmbH TS przesądził, że administrator fanpage’a na portalu społecznościowym (w sprawie chodziło o Facebook) jest administratorem danych w rozumieniu przepisów o ochronie danych osobowych. A na gruncie dotychczas obowiązującej dyrektywy 95/46/WE oddział przedsiębiorstwa (grupy) z siedzibą poza UE (takiego jak Facebook) podlega organowi nadzorczemu państwa, w którym jest położony, niezależnie od podziału zadań w obrębie danej grupy, nawet wtedy, gdy naruszenia przepisów o ochronie danych dopuściła się osoba trzecia niemająca siedziby w danym państwie.
Wyrok TS nie tylko wyjaśnia wątpliwości rysujące się w odniesieniu do odpowiedzialności podmiotów korzystających jako właściciele fanpage’ów prowadzonych przez najpotężniejszy chyba współcześnie koncern medialny, jakim jest Facebook. Wyrok TS istotnie wzmacnia też mechanizm ochrony danych osobowych.
Stan faktyczny i postępowanie przed organami niemieckimi
Niemiecka spółka Wirtschaftsakademie z siedzibą w landzie Szlezwik-Holsztyn prowadziła działalność gospodarczą w zakresie edukacji za pomocą profilu (fanpage’a) na portalu społecznościowym Facebook. Zanonimizowane dane o osobach odwiedzających fanpage są zbierane przez Facebook za pomocą plików szpiegujących cookies i pozwalają administratorowi fanpage’a (czyli „właścicielowi” fanpage’a) poznać statystyki dotyczące odwiedzających (bez poznawania szczegółowo danych osobowych poszczególnych użytkowników). Zbiór danych w postaci niepowtarzalnych kodów użytkowników pozwala na powiązanie informacji o odwiedzeniu fanpage’a z danymi właścicieli profili społecznościowych. Użytkownicy nie byli jednak informowani o takim sposobie działania plików cookies i przetwarzaniu ich danych.
Organ nadzorczy landu Szlezwik-Holsztyn, odpowiedzialny za nadzór nad ochroną danych osobowych, czyli ULD wydał w 2011 r. decyzję skierowaną do Wirtschaftsakademie, nakazującą dezaktywację fanpage’a pod rygorem grzywny administracyjnej. Powodem wydania decyzji było to, że ani Wirtschaftsakademie, ani Facebook nie poinformowali użytkowników fanpage’a o tym, iż Facebook gromadził za pomocą plików cookies dotyczące ich dane osobowe, które następnie były przetwarzane.
Decyzję tę zakwestionowała Wirtschaft­s­­­akademie, argumentując, że nie była odpowiedzialna za przetwarzanie danych dokonywane przez Facebook.
Odwołanie oddalono, podnosząc, że stworzywszy swój fanpage, Wirtschafts­akademie wniosła aktywny i dobrowolny wkład w gromadzenie przez Facebook danych osobowych dotyczących osób odwiedzających tego fanpage’a, z których to danych korzystała dzięki statystykom udostępnianym przez ten portal społecznościowy. Ukarana spółka zaskarżyła jednak decyzję administracyjną do sądu administracyjnego. Sądy administracyjne w dwóch instancjach podzieliły jej stanowisko, odpowiednio uchylając decyzję i następnie oddalając apelację ULD od tego wyroku. ULD wywiodła następnie skargę rewizyjną do Federalnego Sądu Administracyjnego RFN, twierdząc, że naruszenie popełnione przez Wirtschaft­sakademie polega na tym, iż powierzyła ona niewłaściwemu dostawcy, nieprzestrzegającemu prawa właściwego w zakresie ochrony danych, realizację, hosting i prowadzenie strony internetowej.
Kwestia prejudycjalna
Federalny Sąd Administracyjny zdecydował się zadać TS pytania prejudycjalne, które sprowadzały się – w ujęciu TS – do rozwiązania następujących wątpliwości interpretacyjnych:
Czy art. 2 lit. d, art. 17 ust. 2, art. 24 i art. 28 ust. 3 tiret drugie dyrektywy 95/46/WE należy interpretować w ten sposób, że umożliwiają one uwzględnienie odpowiedzialności podmiotu, jako administratora fanpage’a prowadzonego na stronie portalu społecznościowego, w przypadku naruszenia przepisów dotyczących ochrony danych osobowych ze względu na decyzję tego podmiotu o korzystaniu z tego portalu społecznościowego w celu upowszechniania swojej oferty informacyjnej?
Czy art. 4 i 28 dyrektywy 95/46/WE należy interpretować w ten sposób, że w przypadku, gdy przedsiębiorstwo z siedzibą poza UE ma kilka oddziałów w różnych państwach członkowskich, organ nadzorczy państwa członkowskiego może wykonywać uprawnienia przyznane mu przez art. 28 ust. 3 tej dyrektywy w stosunku do oddziału znajdującego się na terytorium tego państwa członkowskiego, nawet jeżeli zgodnie z podziałem zadań w obrębie grupy, po pierwsze, ów oddział jest wyłącznie odpowiedzialny za sprzedaż przestrzeni reklamowej i inne działania marketingowe na terytorium rzeczonego państwa członkowskiego, a po drugie, wyłączną odpowiedzialność za gromadzenie i przetwarzanie danych osobowych ponosi w zakresie całego terytorium UE oddział położony w innym państwie członkowskim, lub czy do organu nadzorczego tego ostatniego państwa członkowskiego należy wykonywanie tych uprawnień w stosunku do drugiego oddziału?