30.9.2018, Praha
Sociální síť Facebook není již pouze nejrozšířenější sociální sítí, ale stále více se stává i platformou využívanou mnoha fyzickými, či právnickými osobami při propagaci jejich činnosti. V návaznosti na stále se zvyšující standard ochrany osobních údajů v Evropské Unii vydal Soudní dvůr EU dne 5.6.2018 rozsudek ve věci C-210/16, který by mohl do budoucna zásadně změnit podmínky využívání Facebooku jako propagační a reklamní platformy.
Dosud panoval všeobecný názor, že odpovědnost za údaje shromážděné o uživatelích Facebooku leží jen a pouze na společnosti Facebook Inc., respektive na její dceřiné společnosti sídlící v Irsku, Facebook Ireland Limited. Tyto společnosti totiž reálně sbírají informace o svých uživatelích, ukládají je a případně dále zpracovávají. Soudní dvůr EU ale v reakci na předběžnou otázku německého Spolkového správního soudu judikoval, že odpovědnost za ochranu osobních údajů uživatelů je podstatně širší, a může se snadno dotýkat i běžných uživatelů sociální sítě Facebook.
Je uživatel správcem a může být povinen chránit osobní údaje dalších uživatelů?
Stěžejní pro celý výše zmíněný rozsudek je směrnice 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů („směrnice 95/46“), jejímž hlavním cílem a účelem je zajistit vysokou úroveň ochrany soukromí fyzických osob, zejména v souvislosti se zpracováním osobních údajů. V souladu s tímto cílem směrnice 95/46 potom velmi široce definuje pojem „správce“, kterým rozumí fyzickou nebo právnickou osobu, orgán veřejné moci, agenturu, nebo jakýkoli jiný subjekt, který sám, nebo společně s jinými určuje účel a prostředky zpracování osobních údajů.
Společnost Facebook Inc., respektive v rámci EU společnosti Facebook Ireland Ltd., je zcela jistě subjektem, který definici správce naplňuje. Podle Soudního dvora EU ale není subjektem jediným, jak ostatně vyplývá ze samotného textu směrnice – „subjekt, který sám, nebo společně s jinými…“. V případě, že existuje více subjektů, které podléhají definici správce, na každého z nich se vztahují všechna použitelná ustanovení pro ochranu osobních údajů.
Správci zájmových stránek umístěných na Facebooku mohou získávat anonymní statistické údaje o návštěvnících těchto stránek, a to prostřednictvím funkce nazvané „Facebook Insight“, kterou jim zdarma poskytuje Facebook, a to za podmínek použití, které nejdou uživatelem nikterak alternovat. Tyto údaje jsou shromažďovány za pomoci záznamových souborů, z nichž každý obsahuje jedinečný kód uživatele, aktivní po dobu dvou let, který Facebook ukládá na pevný disk počítače nebo jiný nosič návštěvníka této stránky („soubory cookies“). Soubory cookies jsou od května 2018, tedy od účinnosti GDPR, zákonem definovány jako osobní údaj. Běžné internetové stránky v Evropě si musí souhlas uživatele se zpracováním souborů cookies vyžádat. Platforma Facebook ale nic takového nepožaduje.
Soudní dvůr uzavřel, že každá osoba, která hodlá vytvořit zájmovou stránku na Facebooku, vstupuje automaticky do smluvního vztahu se společností Facebook Ireland Ltd., a jejím vytvořením poté souhlasí s podmínkami používání této stránky, včetně celé související politiky v oblasti souborů cookies. Tím umožní společnosti Facebook Ireland Ltd. aby shromažďovala, prostřednictvím souborů cookies, informace o návštěvnících této zájmové stránky. Soudní dvůr proto zaujal jasné stanovisko, že každý zakladatel, provozovatel či správce zájmové stránky na Facebooku podléhá veškerým pravidlům ochrany osobních údajů stanovených evropským, či národním právem, a je vedle společnosti Facebook Ireland Ltd. spoluodpovědný za ochranu takto shromážděných údajů o návštěvnících jeho zájmové stránky. Bez významu je potom pro Soudní dvůr EU to, že běžný uživatel Facebooku, který si pouze založí zájmovou stránku, nebude zdaleka tím, kdo určuje účel a prostředky zpracování anonymních údajů, které získá. Důležité je, že by takový účel určit mohl, i přes to, že nikdy nebude schopen ovlivnit podmínky, za kterých mu budou takové informace poskytovány.
Na celé situaci nic nemění ani to, že směrnice 95/46 je právním předpisem již neplatným. Definice správce osobních údajů totiž zůstala stejná, a je proto použitelná i v rámci nové právní úpravy, reprezentované především nařízením GDPR.
Povinnosti uživatele na Facebooku platí i dle GDPR
Při využívání funkce Facebook Insight může správce zájmové stránky požádat Facebook o získání – a tudíž i zpracování demografických údajů, které se týkají jeho cílové skupiny (zejména se jedná o trendy, pokud jde o věk, pohlaví, osobní vztahy a povolání), informace o stylu života návštěvníků zájmové stránky, a to včetně informací týkajících se jejich nákupního chování, spolu s kategoriemi výrobků a služeb, o který mají největší zájem. Správce takové zájmové stránky proto získá o svých návštěvnících mnoho údajů, které podle Soudního dvora EU podléhají ochraně osobních údajů v souladu s GDPR, případně v souladu s národní úpravou. Tento přístup se může zdát paradoxní, jelikož všechny informace, které správce zájmové stránky touto cestou získá jsou anonymní, neobsahují žádná jména, žádné adresy, telefonní čísla a podobně, ale vzhledem k tomu, jak na soubory cookies nahlíží úprava GDPR je to novinka, se kterou se budou správci zájmových stránek muset dříve či později vypořádat.
Správce zájmové stránky bude muset nově na zájmové stránce zejména zveřejnit informaci, že zpracovává osobní údaje návštěvníků stránky, a že prostřednictvím platformy Facebook využívá souborů cookies. Taková informace může být poskytnuta buď přímo, nebo ve formě odkazu. Samotným získáním těchto údajů od společnosti Facebook Inc., popřípadě Facebook Ireland Ltd. se správce zájmové stránky dostává z pohledu evropského práva do pozice zpracovatele osobních údajů, podléhajícímu definici „správce“ ve smyslu směrnice 95/46.
Je nutné si rovněž uvědomit, že subjekty, o nichž jsou shromažďovány osobní údaje, mají dle GDPR široká oprávnění žádat zablokování, výmaz či zničení jejich osobních údajů, a mohou dokonce trvale zakázat jejich shromažďování. Subjekt, který je v pozici „správce“ dle směrnice 95/46, a není tím, kdo dané informace shromažďuje ze zákona, je potom povinen tento požadavek splnit a jeho splnění dostatečně prokázat.
Pro ty, kteří platformu zájmových stránek Facebooku využívají, to znamená i to, že mohou být snadno podrobeni dozoru a kontrole ze strany orgánů dozoru členského státu EU. Tím je v České republice Úřad pro ochranu osobních údajů („ÚOOÚ“), který má pravomoc dozorovat činnost a zasáhnout vůči subjektu, usazenému v České republice z důvodu porušení pravidel o ochraně osobních údajů, kterého se dopustila třetí osoba, jež je správcem těchto osobních údajů a má sídlo v jiném členském státě. Nezávisle na orgánu dozoru tohoto jiného členského státu pak může ÚOOÚ zasáhnout vůči českému subjektu, aniž by musel předem vyzvat k zásahu orgán dozoru v členském státě zmíněné třetí osoby.
Závěrem
I když se nám výše uvedený postoj Soudního dvora EU může zdát paradoxní a příliš formalistický, faktem zůstává, že problematika sociálních sítí se musela dříve nebo později promítnout i do oblasti ochrany osobních údajů.
Výše uvedený rozsudek je pravděpodobně pouze jedním z prvních náznaků toho, co můžeme očekávat v budoucnu. Soudní dvůr EU již několik let prosazuje vysoký standart práva na ochranu soukromí, se kterým úzce souvisí právě ochrana osobních údajů. S ohledem na vývoj evropské legislativy, která se neustále více a více zpřísňuje lze předpokládat, že v budoucnu se dočkáme ještě mnoha dalších omezení nejen na sociálních sítích, co se ochrany osobních údajů týče.
Pro více informací nás kontaktujte:
ECOVIS ježek, advokátní kancelář s.r.o.
Betlémské nám. 6
110 00 Praha 1
e-mail: mojmir.jezek@ecovislegal.cz
www.ecovislegal.cz
O ECOVIS ježek, advokátní kancelář s.r.o.:
Česká advokátní kancelář ECOVIS ježek se ve své praxi soustřeďuje především na obchodní právo, nemovitostní právo, vedení sporů, ale i financování a bankovní právo a poskytuje plnohodnotné poradenství ve všech oblastech, a tvoří tak alternativu pro klienty mezinárodních kanceláří. Mezinárodní rozměr poskytovaných služeb je zajištěn dosavadními zkušenostmi a prostřednictvím spolupráce s předními advokátními kancelářemi ve většině evropských zemí, USA a dalších jurisdikcích v rámci sítě ECOVIS působící v 75 zemích celého světa. Členové týmu advokátní kanceláře ECOVIS ježek mají dlouholeté zkušenosti z předních mezinárodních advokátních a daňových firem v poskytování právního poradenství nadnárodním korporacím, velkým českým společnostem, ale i středním firmám a individuálním klientům. Více informací na www.ecovislegal.cz.
Informace obsažené na této webové stránce jsou právnickou reklamou. Nepovažujte nic na této webové stránce za právní poradenství a nic na této webové stránce nepředstavuje vztah advokát-klient. Předtím, než začnete jednat o čemkoliv, o čem si na těchto stránkách přečtete, domluvte si právní konzultaci s námi. Dosavadní výsledky nejsou zárukou budoucích výsledků a předchozí výsledky neznamenají ani nepředpovídají budoucí výsledky. Každý případ je jiný a musí být posuzován podle vlastních okolností.
