Con respecto a esas operaciones de tratamiento de datos, el administrador de la página web debe facilitar a los usuarios la información mínima exigida y, cuando sea preciso, obtener su consentimiento antes de que los datos se recaben y transfieran.
Fashion ID es una empresa alemana de comercio electrónico dedicada a la venta de artículos de moda. Dicha empresa insertó en su página web un plug-in: el botón «Me gusta» de Facebook. De esta manera, cuando un usuario accede a la página web de Fashion ID, se transfiere a Facebook la información sobre la dirección IP del usuario y la secuencia del navegador. Dicha transferencia se realiza automáticamente cuando se carga la página web de Fashion ID, con independencia de que el usuario haya pulsado o no el botón «Me gusta» o de que tenga o no cuenta en Facebook.
Verbraucherzentrale NRW, una asociación alemana de defensa de los consumidores, ejercitó una acción de cesación contra Fashion ID, al considerar que el uso del botón «Me gusta» de Facebook infringía la normativa sobre protección de datos.
El Oberlandesgericht Düsseldorf (Tribunal Superior Regional de lo Civil y Penal de Düsseldorf, Alemania), que conoce del asunto, solicita que se interpreten diversas disposiciones de la derogada Directiva de Protección de Datos de 1995 [1] (la cual, aunque es aplicable a este asunto, ha sido sustituida por el nuevo Reglamento General de Protección de Datos de 2016, [2] que entró en vigor el 25 de mayo de 2018).
En sus conclusiones presentadas hoy, el Abogado General Michal Bobek propone al Tribunal de Justicia que declare, primero, que la Directiva no se opone a una normativa nacional que reconoce a las asociaciones de utilidad pública legitimación activa para demandar al presunto infractor de la legislación de protección de datos a fin de proteger los intereses de los consumidores.
A continuación, el Abogado General propone que el Tribunal de Justicia declare que, conforme a la Directiva de Protección de Datos, el administrador de una página web (como Fashion ID) que ha insertado en su página web un plug-in de un tercero (como el botón «Me gusta» de Facebook) que genera la recogida y transmisión de datos personales del usuario debe ser considerado corresponsable del tratamiento, conjuntamente con dicho tercero (en el presente asunto, Facebook Ireland).
[1] Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31).
[2] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE [Reglamento general de protección de datos (abreviado, RGPD)] (DO 2016, L 119, p. 1).
No obstante, esa responsabilidad (conjunta) del responsable del tratamiento debe limitarse a aquellas operaciones respecto de las cuales decide efectivamente de manera conjunta sobre los medios y los fines del tratamiento de los datos personales.
Ello significa que sobre un responsable (conjunto) del tratamiento recae la responsabilidad de la operación o de la serie de operaciones en relación con las cuales comparta o codetermine los fines y los medios en lo que respecte a una determinada operación de tratamiento. En cambio, esa persona no puede ser considerada responsable ni de las fases anteriores o posteriores de la cadena de tratamiento de los datos, los fines o medios de las cuales no esté en condiciones de determinar.
Atendiendo a los hechos del presente asunto, parece por tanto que Fashion ID y Facebook Ireland deciden conjuntamente sobre los medios y los fines del tratamiento de los datos en la fase de recogida y transmisión de los datos personales en cuestión. Sin perjuicio de la comprobación que debe llevar a cabo el órgano jurisdiccional nacional, tanto Facebook Ireland como Fashion ID parecen haber generado voluntariamente la fase de recogida y transmisión de los datos y, aunque no hay identidad, existe una unidad de fines: una finalidad comercial y publicitaria (la decisión de Fashion ID de insertar el botón «Me gusta» de Facebook en su página web parece estar inspirada por el deseo de aumentar la visibilidad de sus productos a través de dicha red social).
Por lo tanto, con respecto al proceso de tratamiento de los datos en la fase de recogida y transmisión de los datos personales, Fashion ID actúa como responsable de dicho tratamiento y, en esta medida, es responsable junto con Facebook Ireland.
En cuanto a la legitimidad del tratamiento de datos personales sin el consentimiento del usuario de la página web, 3 el Abogado General recuerda que dicho tratamiento es lícito conforme a la Directiva cuando se cumplen tres requisitos acumulativos: primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para satisfacer ese interés legítimo y, tercero, que no deban prevalecer los derechos y libertades fundamentales del interesado en la protección de los datos.
A este respecto, el Abogado General propone al Tribunal de Justicia que declare que el interés legítimo de ambos corresponsables (Fashion ID y Facebook Ireland) ha de tenerse en cuenta y ponderarse con los derechos de los usuarios de la página web.
El Abogado General también propone que se declare que el consentimiento del usuario de la página web ha de prestarse, en su caso, al administrador de ésta (Fashion ID) que ha insertado el contenido de un tercero. De igual manera, la obligación de facilitar al usuario de la página web la información mínima se impone al administrador de la misma (Fashion ID).
Los jueces del Tribunal de Justicia comienzan ahora sus deliberaciones sobre este asunto. La sentencia se dictará en un momento posterior.
NOTA: Las conclusiones del Abogado General no vinculan al Tribunal de Justicia. La función del Abogado General consiste en proponer al Tribunal de Justicia, con absoluta independencia, una solución jurídica al asunto del que se ocupa.
NOTA: La remisión prejudicial permite que los tribunales de los Estados miembros, en el contexto de un litigio del que estén conociendo, interroguen al Tribunal de Justicia acerca de la interpretación del Derecho de la Unión o sobre la validez de un acto de la Unión. El Tribunal de Justicia no resuelve el litigio nacional, y es el tribunal nacional quien debe resolver el litigio de conformidad con la decisión del Tribunal de Justicia. Dicha decisión vincula igualmente a los demás tribunales nacionales que conozcan de un problema similar.
