Julkisasiamiehen ratkaisuehdotus tietosuojaa koskevassa asiassa
20.12.2018 | OikeusuutisetEnnakkoratkaisupyyntö – Direktiivi 95/46/EY – Verkkosivuston käyttäjien henkilötietojen suojelu – Kuluttajansuojayhdistyksen asiavaltuus nostaa kanne – Verkkosivuston ylläpitäjän vastuu – Henkilötietojen siirtäminen sivulliselle – Verkkosivulle liitetty lisäosa – Facebookin Tykkää-painike – Oikeutettu intressi – Rekisteröidyn suostumus – Velvollisuus toimittaa tietoja
Ennakkoratkaisupyynnön on oli tehnyt Oberlandesgericht Düsseldorf (osavaltion ylioikeus, Düsseldorf, Saksa)
1. Fashion
ID GmbH & Co. KG harjoittaa muotituotteiden verkkokauppaa. Se
liitti verkkosivustolleen lisäosan (plug-in): Facebookin
Tykkää-painikkeen. Tämän seurauksena on niin, että kun käyttäjä tulee
Fashion ID:n verkkosivustolle, tietoja käyttäjän IP-osoitteesta ja
selainketjusta siirretään Facebookille. Siirtäminen tapahtuu
automaattisesti, kun Fashion ID:n verkkosivusto on latautunut,
riippumatta siitä, onko käyttäjä napsauttanut Tykkää-painiketta ja onko
hänellä Facebook-tili.
2. Saksalainen
kuluttajansuojayhdistys Verbraucherzentrale NRW e.V. nosti kanteen,
jossa se vaati kieltomääräystä Fashion ID:tä vastaan sillä perusteella,
että kyseisen lisäosan käytöllä rikotaan tietosuojalainsäädäntöä.
3. Asiaa
käsittelevä Oberlandesgericht Düsseldorf (osavaltion ylioikeus,
Düsseldorf, Saksa) pyytää unionin tuomioistuinta tulkitsemaan useita
direktiivin 95/46
säännöksiä. Alustavana kysymyksenä ennakkoratkaisua pyytänyt
tuomioistuin tiedustelee, voidaanko kyseisen direktiivin nojalla
kansallisessa lainsäädännössä antaa kuluttajayhdistykselle asiavaltuus
nostaa käsiteltävässä asiassa kyseessä olevan kaltainen kanne. Kun
tarkastellaan asiakysymystä, keskeinen esille tuleva kysymys on se, onko
Fashion ID:tä pidettävä tietojenkäsittelyn osalta ”rekisterinpitäjänä”
ja, jos on, miten direktiivissä 95/46 asetettujen yksittäisten
velvollisuuksien on tarkasti ottaen täytyttävä tällaisessa tapauksessa.
Keiden oikeutettua intressiä on tarkasteltava direktiivin 95/46
7 artiklan f alakohdassa edellytettävässä intressien punninnassa? Onko
Fashion ID:llä velvollisuus ilmoittaa rekisteröidyille
tietojenkäsittelystä? Ja onko myös Fashion ID:n saatava rekisteröityjen
tietoinen suostumus tietojenkäsittelyyn?
Julkisasiamiehen ratkaisuehdotus
Julkisasiamies ehdottaa, että unionin tuomioistuin vastaa
Oberlandesgericht Düsseldorfin esittämiin ennakkoratkaisukysymyksiin
seuraavasti:
Yksilöiden suojelusta
henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta
24.10.1995 annettu Euroopan parlamentin ja neuvoston direktiivi 95/46/EY
ei ole esteenä kansalliselle lainsäädännölle, jossa myönnetään
yleishyödyllisille yhdistyksille asiavaltuus panna vireille
oikeudenkäynti tietosuojalainsäädännön väitettyä rikkojaa vastaan
kuluttajien etujen suojaamiseksi.
Henkilöä, joka
on liittänyt verkkosivustolleen sivullisen lisäosan, joka aiheuttaa
käyttäjän henkilötietojen keräämisen ja siirtämisen (ja jonka kyseinen
sivullinen on tarjonnut), on pidettävä direktiivin 95/46 2 artiklan
d alakohdassa tarkoitettuna rekisterinpitäjänä. Tämän rekisterinpitäjän
(yhteis)vastuu rajoittuu kuitenkin niihin toimintoihin, joiden osalta se
tosiasiallisesti osallistuu henkilötietojen käsittelyn keinoista ja
tarkoituksesta päättämiseen.
Sen arvioimiseksi,
onko henkilötietoja mahdollista käsitellä direktiivin 95/46 7 artiklan
f alakohdassa määritettyjen edellytysten mukaisesti, on otettava
huomioon molempien kyseessä olevien yhteisrekisterinpitäjien oikeutettu
intressi, ja niitä on punnittava suhteessa rekisteröityjen oikeuksiin.
Direktiivin
95/46 7 artiklan a alakohdan mukainen rekisteröidyn suostumus on
annettava verkkosivuston ylläpitäjälle, joka on liittänyt
verkkosivustolleen sivullisen sisältöä. Direktiivin 95/46 10 artiklaa on
tulkittava siten, että siinä säädettyä velvollisuutta toimittaa tietoja
rekisteröidylle sovelletaan myös tällaiseen verkkosivuston
ylläpitäjään. Direktiivin 95/46 7 artiklan a alakohdan mukainen
rekisteröidyn suostumus on annettava ja saman direktiivin 10 artiklassa
tarkoitetut tiedot on toimitettava ennen tietojen keräämistä ja
siirtämistä. Näiden velvollisuuksien laajuus vastaa kuitenkin kyseisen
rekisterinpitäjän yhteisvastuuta henkilötietojen keräämisestä ja
siirtämisestä.