Subskrybuj nas na Youtube
Zła wiadomość dla firm prowadzących fanpage,e. Korzystając z dostarczanych przez Facebook narzędzi do śledzenia ruchu na stronie, same stają się administratorami danych osobowych i podlegają pod RODO.
Takie są konsekwencje wczorajszego wyroku Trybunału Sprawiedliwości Unii Europejskiej. Uznał on, że choć to Facebook zapisuje pliki cookies na komputerach użytkowników, to firmę prowadzącą swój fanpage w tym serwisie również należy uznać za administratora danych osobowych. Musi więc ona informować osoby odwiedzające jej stronę o przetwarzaniu ich danych.
Sprawa dotyczy niemieckiej spółki Wirtschaftsakademie, która świadczy usługi kształcenia za pośrednictwem fanpage’a – specyficznej strony prowadzonej często przez przedsiębiorców na Facebooku. Firma ta korzystała z narzędzia „Facebook Insights”, które dostarcza dane statystyczne na temat osób odwiedzających stronę. Są one zanonimizowane, dlatego uznała, że sama nie przetwarza danych osobowych.
Regionalny organ ds. ochrony danych kraju związkowego Szlezwik-Holsztyn (Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, dalej ULD) uznał jednak, że firma prowadząca fanpage,a jest administratorem danych. A ponieważ nie informowała wchodzących na stronę o gromadzeniu ich danych osobowych za pomocą plików cookies, nakazał dezaktywację fanpage’a.
Federalny sąd administracyjny, do którego ostatecznie trafiła ta sprawa, postanowił poprosić o pomoc w jej rozstrzygnięciu TSUE. Główne pytanie dotyczyło tego, czy przedsiębiorca prowadzący fanpage,a może być uznany za administratora danych osobowych, czy też jest nim jedynie Facebook.
W wydanym wczoraj wyroku trybunał opowiedział się za szeroką interpretacją definicji administratora danych osobowych i uznał, że jest nim nie tylko sam Facebook, ale też firma prowadząca w tym serwisie swój fanpage, jeśli korzysta z dostarczanych narzędzi do śledzenia ruchu użytkowników.
„Administrator fanpage’a prowadzonego na Facebooku, tworząc taką stronę, daje Facebookowi możliwość zapisania plików cookies na komputerze lub na każdym innym urządzeniu osoby odwiedzającej jego fanpage’a bez względu na to, czy osoba ta posiada konto na Facebooku czy też nie” – podkreślono w uzasadnieniu wyroku.
Zdaniem trybunału nie ma znaczenia, że to Facebook zarządza plikami cookies, a firma otrzymuje jedynie zanonimizowane dane. „Nie zmienia to faktu, że sporządzanie tych statystyk opiera się na wcześniejszym gromadzeniu, za pomocą plików cookies instalowanych przez Facebook na komputerach odwiedzających tę stronę, i na przetwarzaniu danych osobowych tych osób w celach statystycznych” – zaznaczył TSUE.
Wyrok wydano na podstawie przepisów dyrektywy 95/46, która została uchylona przez rozporządzenie o ochronie danych osobowych 2016/679, czyli RODO. Znajdzie on jednak zastosowanie także w nowym stanie prawnym. Zarówno dyrektywa, jak i RODO uznają bowiem za administratora każdego, kto „samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych”. Jak wyjaśnił TSUE, firma prowadząca fanpage,a uczestniczy w ustalaniu celów i sposobów przetwarzania danych, bo ustawia parametry dotyczące pozyskiwanych statystyk i określa cele dotyczące promocji jej działalności. Może np. pobrać dane demograficzne dotyczące jego użytkowników docelowych, takie jak wiek, płeć, stan cywilny, status zawodowy czy informacje na temat stylu życia i zainteresowań.
Wyrok oznacza, że tysiące, jeśli nie dziesiątki tysięcy polskich firm prowadzących swe fanpage,e zostały właśnie administratorami danych ze wszystkimi związanymi z tym obowiązkami. Przede wszystkim muszą w jakiś sposób informować osoby wchodzące na ich strony o przetwarzaniu ich danych.
– W przypadku niedociągnięć w wykorzystaniu technologii śledzących oraz specyficznego kontekstu późniejszego wykorzystania danych, sprawą może zająć się Urząd Ochrony Danych Osobowych i skontrolować również działania podejmowane przez administratorów fanpage,a. Wyrok ten będzie miał duże znaczenie w marketingu, także politycznym – komentuje dr Łukasz Olejnik, badacz i konsultant cyberbezpieczeństwa i prywatności.
ORZECZNICTWO
Wyrok TSUE z 5 czerwca 2018 r., sprawa nr C-210/16