C-40/17 Fashion ID GmbH & Co.KG proti Verbraucherzentrale NRW eV.

1. Články 22 až 24 smernice Európskeho parlamentu a Rady 95/46/[ES] z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov sa majú vykladať v tom zmysle, že nebránia vnútroštátnej právnej úprave, ktorá združeniam na ochranu záujmov spotrebiteľov priznáva aktívnu legitimáciu na konanie proti údajnému pôvodcovi zásahu do ochrany osobných údajov.

2. Správcu internetovej stránky, akým je Fashion ID GmbH & Co. KG, ktorý umiestni na uvedenej stránke modul sociálnej siete umožňujúci prehliadaču návštevníka tejto stránky vyžiadať si obsah od dodávateľa uvedeného modulu a na tento účel prenesie tomuto dodávateľovi osobné údaje návštevníka, možno považovať za prevádzkovateľa v zmysle článku 2 písm. d) smernice 95/46. Táto zodpovednosť prevádzkovateľa je však obmedzená na operáciu alebo všetky operácie spracovania osobných údajov, pri ktorých skutočne určuje účely a prostriedky, t. j. operácie zberu a prenosu predmetných údajov.

3. V situácii, o akú ide vo veci samej, v ktorej správca internetovej stránky umiestni na danej stránke modul sociálnej siete umožňujúci prehliadaču návštevníka tejto stránky vyžiadať si obsah od dodávateľa uvedeného modulu a na tento účel prenesie tomuto dodávateľovi osobné údaje návštevníka, je potrebné, aby tak tento správca, ako aj dodávateľ sledovali týmito operáciami spracovania legitímny záujem v zmysle článku 7 písm. f) smernice 95/46, aby tieto operácie boli z jeho odôvodnené.

4. Článok 2 písm. h) a článok 7 písm. a) smernice 95/46 sa majú vykladať v tom zmysle, že v situácii, o akú ide vo veci samej, v ktorej správca internetovej stránky umiestni na danej stránke modul sociálnej siete umožňujúci prehliadaču návštevníka tejto stránky vyžiadať si obsah od dodávateľa uvedeného modulu a na tento účel prenesie tomuto dodávateľovi osobné údaje návštevníka, musí uvedený správca alebo dodávateľ získať súhlas podľa týchto ustanovení len s ohľadom na operáciu alebo všetky operácie spracovania osobných údajov, pri ktorých tento správca určuje účely a prostriedky. Okrem toho článok 10 tejto smernice sa má vykladať v tom zmysle, že v takejto situácii informačná povinnosť stanovená v tomto ustanovení spočíva aj na uvedenom správcovi, pričom informácia, ktorú musí tento správca poskytnúť dotknutej osobe, sa musí týkať len operácie alebo všetkých operácií spracovania osobných údajov, pri ktorých tento správca určuje účely a prostriedky.