Dėl duomenų valdytojo ir jo atsakomybės


Teisingumo Teismo (didžioji kolegija) 2018 m. birželio 5 d. sprendimas Nr. 62016CJ0210 dėl duomenų valdytojo ir jo atsakomybės

Faktinės bylos aplinkybės

Ginčas byloje kilo dėl „Facebook“ gerbėjų tinklalapių. Gerbėjų tinklalapiai – tai vartotojų paskyros, kurias per „Facebook“ gali konfigūruoti fiziniai asmenys arba įmonės. Šiuo tikslu gerbėjų tinklalapio autorius, užsiregistravęs „Facebook“, gali naudoti šio tinklo sukurtą platformą, siekdamas prisistatyti šio socialinio tinklo vartotojams ir gerbėjų tinklalapyje apsilankiusiems asmenims, taip pat skelbti įvairaus pobūdžio pranešimus žiniasklaidos ir nuomonės formavimo rinkoje. Gerbėjų tinklalapių administratoriai gali gauti anoniminius statistinius duomenis apie šių tinklalapių lankytojus, naudodami įrankį „Facebook Insight“, kurį „Facebook“ jiems suteikia nemokamai naudotis nekeičiamomis sąlygomis. Šie duomenys renkami naudojant slapukus, kurių kiekvienas turi unikalų naudotojo kodą; jie veikia dvejus metus ir „Facebook“ juos išsaugo gerbėjų tinklalapyje apsilankiusio asmens kompiuterio standžiajame diske arba bet kurioje kitoje laikmenoje. Naudotojo numeris, kurį galima susieti su „Facebook“ prisiregistravusių vartotojų prisijungimo duomenimis, gaunamas ir tvarkomas atidarant gerbėjų tinklalapius. Šiuo klausimu iš prašymo priimti prejudicinį sprendimą matyti, kad nei Wirtschaftsakademie, nei Facebook Ireland Ltd nepranešė apie slapukų išsaugojimo operaciją ir veikimą arba apie tolesnį duomenų tvarkymą, bent jau pagrindinėje byloje reikšmingu laikotarpiu.

Teismo išaiškinimas

Teismas pabrėžė, kad direktyvos 2 straipsnio d dalyje sąvoka „duomenų valdytojas“ apibrėžiama plačiai, kaip reiškianti tokį fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir būdus. Šios nuostatos tikslas – plačiai apibrėžti sąvoką „valdytojas“, kad būtų užtikrinta veiksminga ir visapusiška duomenų subjektų apsauga. Sąvoka „duomenų valdytojas“ apima subjektą, kuris „vienas ar drauge su kitais“ nustato asmens duomenų tvarkymo tikslus ir būdus, ši sąvoka nebūtinai reiškia vieną subjektą ir gali apimti kelis dalyvius tvarkant šiuos duomenis, kurių kiekvienam atitinkamai galioja duomenų apsaugai taikomos teisės normos. Nagrinėjamu atveju Facebook Inc., o ES atžvilgiu – Facebook Ireland, turi būti vertinami kaip pagrindiniai subjektai, nustatantys „Facebook“ naudotojų ir „Facebook“ esančiuose gerbėjų tinklalapiuose apsilankiusių asmenų asmens duomenų tvarkymo tikslus ir priemones, todėl juos apima sąvoka „duomenų valdytojas“.

Šiuo klausimu iš Teisingumo Teismui pateiktos informacijos matyti, kad gerbėjų tinklalapio sukūrimas „Facebook“ apima veiksmus, kuriais administratorius parenka nustatymus, atsižvelgdamas, be kita ko, į jo tikslinę auditoriją ir į veiklos valdymo ir skatinimo tikslus, o šie nustatymai turi įtakos asmens duomenų tvarkymui, siekiant parengti statistinę informaciją remiantis apsilankymais gerbėjų tinklalapyje. Administratorius gali, pasitelkdamas jam „Facebook“ suteiktus naudotis filtrus, nustatyti kriterijus, pagal kuriuos ši statistika turi būti rengiama, ir net nurodyti asmenų, kurių asmens duomenis panaudos „Facebook“, kategorijas. Todėl „Facebook“ esančio gerbėjų tinklalapio administratorius prisideda prie šio tinklalapio lankytojų asmens duomenų tvarkymo. Konkrečiai gerbėjų tinklalapio administratorius gali prašyti pateikti – taigi, ir prašyti, kad jie būtų tvarkomi, – demografinius duomenis apie jo tikslinę auditoriją, be kita ko, tendencijas, susijusias su jo tikslinės auditorijos amžiumi, lytimi, artimais santykiais ir profesine situacija, informaciją apie gyvenimo būdą ir interesų centrus, taip pat informaciją, susijusią su jo tinklalapio lankytojų pirkiniais ir elgesiu apsiperkant internete, juos labiausiai dominančių prekių ar paslaugų kategorijas, taip pat geografinius duomenis, leidžiančius gerbėjų tinklalapio administratoriui sužinoti, kur taikyti specialias nuolaidas ar organizuoti renginius, ir apskritai savo siūlomą informaciją panaudoti kuo tikslingiau.

Nors „Facebook“ parengta auditorijos statistinė informacija perduodama gerbėjų tinklalapio administratoriui tik anonimine forma, vis dėlto naudojant slapukus, kuriuos „Facebook“ įdiegia šiame tinklalapyje apsilankiusio asmens kompiuteryje arba bet kuriame kitame įrenginyje, šiai statistikai parengti prieš tai yra renkami ir apdorojami šių lankytojų asmens duomenys. Bet kuriuo atveju Direktyvoje 95/46 nereikalaujama, kad solidarios kelių ūkio subjektų atsakomybės už tą patį duomenų tvarkymą atveju kiekvienas jų turėtų prieigą prie atitinkamų asmens duomenų.