HvJEU: Beheerder internetsite met vind-ik-leukknop samen met Facebook verantwoordelijk voor verzamelen persoonsgegevens bezoekers

Fashion ID, een Duitse onlinehandelaar in modekleding, heeft op haar internetsite de vind-ik-leukknop van Facebook geplaatst. Dit heeft kennelijk tot gevolg dat de persoonsgegevens van bezoekers die de internetsite van Fashion ID raadplegen, worden doorgezonden aan Facebook Ireland. Deze gegevens blijken te worden doorgezonden zonder dat die bezoekers zich daarvan bewust zijn en ongeacht of zij al dan niet lid zijn van het sociaal netwerk Facebook of op de vind-ik-leukknop hebben geklikt.

De Verbraucherzentrale NRW, een Duitse vereniging van algemeen nut die consumentenbelangen behartigt, verwijt Fashion ID persoonsgegevens van de bezoekers van haar internetsite aan Facebook Ireland te hebben doorgezonden zonder de toestemming van die bezoekers en in strijd met de verplichtingen die in de bepalingen inzake de bescherming van persoonsgegevens zijn neergelegd met betrekking tot het verstrekken van informatie.

Het Oberlandesgericht Düsseldorf (hoogste rechterlijke instantie van de deelstaat NoordrijnWestfalen, Düsseldorf, Duitsland), waarbij de zaak aanhangig is, verzoekt het Hof van Justitie om uitlegging van verschillende bepalingen van de oude richtlijn gegevensbescherming van 1995 (1) (die op deze zaak van toepassing blijft, maar met ingang van 25 mei 2018 is vervangen door de algemene verordening gegevensbescherming van 2016) (2).

In zijn arrest van vandaag verduidelijkt het Hof om te beginnen dat de oude richtlijn gegevensbescherming er niet aan in de weg staat dat aan verenigingen die consumentenbelangen behartigen, het recht wordt verleend om in rechte op te treden tegen degene van wie wordt vermoed dat hij inbreuk maakt op de bescherming van persoonsgegevens. Het Hof merkt op dat de nieuwe algemene verordening gegevensbescherming thans uitdrukkelijk in die mogelijkheid voorziet.

Vervolgens stelt het Hof vast dat Fashion ID kennelijk niet kan worden geacht verantwoordelijk te zijn voor de verwerking van gegevens die door Facebook Ireland wordt uitgevoerd nadat haar de gegevens in kwestie zijn doorgezonden. Op het eerste gezicht is het namelijk uitgesloten dat Fashion ID het doel van en de middelen voor deze verwerking vaststelt.

Daarentegen kan Fashion ID worden geacht samen met Facebook Ireland verantwoordelijk te zijn voor de verzameling van de gegevens in kwestie en de doorzending ervan aan Facebook Ireland, aangezien er (onder voorbehoud van de door het Oberlandesgericht Düsseldorf te verrichten verificaties) van kan worden uitgegaan dat Fashion ID en Facebook Ireland samen het doel van deze verrichtingen en de middelen ervoor vaststellen. (3)

Dat Fashion ID de vind-ik-leukknop van Facebook op haar internetsite heeft geplaatst, stelt haar namelijk kennelijk in staat om de reclame voor haar producten te optimaliseren door de zichtbaarheid ervan op het sociaal netwerk Facebook te vergroten wanneer een bezoeker van de internetsite van Fashion ID op die knop klikt. Het verkrijgen van dit commerciële voordeel is zo te zien de reden waarom Fashion ID, door die knop op haar internetsite te plaatsen, op zijn minst impliciet heeft ingestemd met het verzamelen van de persoonsgegevens van de bezoekers van haar site en het doorzenden ervan. Deze handelingen worden dan ook verricht in het economische belang van zowel Fashion ID als Facebook Ireland, waarvoor het feit dat zij voor haar eigen commerciële doeleinden over die gegevens kan beschikken, de tegenprestatie vormt voor het aan Fashion ID verschafte voordeel.

Het Hof benadrukt dat de beheerder van een internetsite zoals Fashion ID, die (mede)verantwoordelijk is voor bepaalde verwerkingen van gegevens van de bezoekers van haar site, zoals het verzamelen van deze gegevens en het doorzenden ervan aan Facebook Ireland, op het ogenblik waarop die gegevens worden verzameld, bepaalde informatie moet verstrekken aan die bezoekers, bijvoorbeeld zijn identiteit en de doeleinden van de verwerking.

Het Hof verduidelijkt tevens twee van de zes in de richtlijn genoemde gevallen waarin de verwerking van persoonsgegevens rechtmatig is

Zo oordeelt het Hof dat in het geval waarin de betrokkene zijn toestemming heeft verleend, de beheerder van een internetsite, zoals Fashion ID, deze toestemming vooraf (enkel) dient te verkrijgen voor de handelingen waarvoor hij (mede)verantwoordelijk is, te weten het verzamelen en doorzenden van de gegevens.

Wat betreft de gevallen waarin de gegevensverwerking noodzakelijk is voor de behartiging van een gerechtvaardigd belang, oordeelt het Hof dat elke voor de verwerking verantwoordelijke, te weten de beheerder van een internetsite en de aanbieder van een social plug-in, met het verzamelen en doorzenden van de persoonsgegevens een gerechtvaardigd belang moet behartigen om deze handelingen te kunnen rechtvaardigen.

(1) Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31).
(2) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 2016, L 119, blz. 1).
(3) Ter herinnering: in het arrest van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein (C-210/16, zie ook CP 81/18), heeft het Hof geoordeeld dat de beheerder van een fanpagina op Facebook samen met Facebook verantwoordelijk is voor de verwerking van de gegevens van de bezoekers van zijn pagina.

Zie ECLI:EU:C:2019:629