EU-Domstolen: Facebook og indehaveren af en fanside er fælles data­ansvarlige

EU-Domstolen statuerer i ny dom et fælles dataansvar mellem Facebook og indehaveren af en fanside på Facebook. Dommen er afsagt efter det nu ophørte persondatadirektiv, men det må forventes, at den også vil få stor betydning under den nugældende databeskyttelsesforordning.


Sagen kort

Den tyske datatilsynsmyndighed i Schleswig-Holsten havde påbudt aktør A at deaktivere sin fanside på Facebook. Baggrunden for påbuddet om deaktivering var, at hverken Facebook eller aktør A havde taget højde for oplysningspligten, idet de besøgende på fansiden ikke var blevet informerede om, at der på den pågældende fanside blev indsamlet personoplysninger via cookies.

Aktør A klagede over påbuddet med begrundelse om, at det alene var Facebook, der indhentede oplysningerne, og at det alene var Facebook, der havde installeret de pågældende cookies.

Denne klage blev afvist, hvorefter sagen blev indbragt for den tyske forvaltningsdomstol af aktør A. Forvaltningsdomstolen gav aktør A medhold i den begrundelse, at det udelukkende er Facebook, der træffer afgørelse om formålet med og hjælpemidlerne til indsamling og behandling af data.

At aktør A modtog anonymiserede, statistiske oplysninger fra Facebook kunne, ifølge den tyske forvaltningsdomstol, ikke føre til et andet resultat, end at alene Facebook var at betragte som dataansvarlig. Sagen blev herefter anket videre i det tyske domstolssystem, indtil den endte ved den tyske forbundsdomstol i forvaltningsretlige sager, Bundesverwaltungsgericht, som forelagde EU-Domstolen en række spørgsmål.

Centralt, i forhold til denne nyhed, er spørgsmålet om, hvorledes aktør A, der opretter en fanside på Facebook, skal betragtes som fælles dataansvarlig med Facebook.


Præmisser og resultat

I sin vurdering af, hvorvidt der foreligger et fælles dataansvar, inddrager EU-Domstolen de faktuelle omstændigheder, der udspiller sig ved oprettelsen af en fanside på Facebook. I præmis 36 fremhæver EU-Domstolen blandt andet, at når en administrator, som aktør A, opretter en fanside på Facebook, vælger denne en række indstillinger, som har betydning for målgruppen. Disse indstillinger er eksempelvis relaterede til reklame og indsamling af oplysninger, som administratoren senere får glæde af i form af statistikker fra Facebook.

Aktør A har således en medbestemmelse, når det kommer til, hvilke persongrupper reklamerne på fansiden skal henvende sig til, og hvilke data der skal indsamles med henblik på at modtage statistikker fra Facebook.

I forlængelse af overstående konkluderer EU-Domstolen, at administratoren bag en fanside på Facebook er med til at bestemme, "til hvilket formål og med hvilke hjælpemidler der foretages behandling af personoplysninger om brugerne af fansiden, ved at foretage indstillinger afhængigt af bl.a. målgruppen samt målene for forvaltning af og reklame for sine aktiviteter", jf. dommens præmis 39. Det forhold, at administratoren alene benytter det set-up, som Facebook har udviklet og løbende kontrollerer i forhold til målretning af reklame og statistiske opgørelser, ændrer, ifølge EU-Domstolen, ikke på, at der er tale om fælles dataansvar.

EU-Domstolen anfører dog afslutningsvis, at et fælles dataansvar ikke nødvendigvis indebærer, at de fælles dataansvarlige har et lige stort ansvar. Således kan der påhvile aktør 1 et større ansvar, end det der påhviler aktør 2, desuagtet parternes fælles dataansvar. Den enkelte aktørs ansvarsniveau skal vurderes under hensyntagen til samtlige relevante omstændigheder i sagen.

I den konkrete sag blev resultatet, at aktør A og Facebook blev anset som fælles dataansvarlige. Dette indebar, at fansiden skulle deaktiveres, hvis ikke aktør A sammen med Facebook overholdt det dagældende persondatadirektiv.

 

Datatilsynets bemærkninger

Foranlediget af dommen har Datatilsynet udgivet en nyhed om dets fortolkning af sagen, og hvad dommen betyder for danske administratorer af fansider på Facebook.

Datatilsynet opstiller en række forskellige punkter, som administratoren af fansiden skal være opmærksom på som følge af dommen. Det fremhæves blandt andet, at man som administrator af en Facebook-side skal sørge for at indgå aftale med Facebook om et fælles dataansvar, som bl.a. skal indeholde en regulering af ansvarsfordelingen. Herudover fremgår det, at de besøgende på fansiden skal orienteres om behandlingen af deres personoplysninger og have adgang til at udøve deres rettigheder. Datatilsynet afslutter med at antage, at Facebook aktivt vil medvirke til at finde en løsning på de udfordringer, der er forbundet med et fælles dataansvar.


Kromann Reumerts bemærkninger

Indledningsvis skal det bemærkes, at dommen er afsagt efter det dagældende persondatadirektiv 95/46. Idet den nugældende artikel 26 i databeskyttelsesforordningen i vidt omfang er en videreførelse af dagældende ret (Justitsministeriets Betænkning, 1. del, side 424), må dommen tillige antages at få betydning fremover.

EU-Domstolens afgørelse i sagen giver ganske god mening ud fra en juridisk betragtning. Når dommen alligevel synes at komme som en stor overraskelse for mange, skyldes dette formentlig, at de praktiske konsekvenser af dommen umiddelbart virker uoverskuelige. Et stort antal virksomheder, kunstnere, politikere mv. har en fanside på Facebook, som de administrerer, og disse aktører skal nu forholde sig til et muligt fælles dataansvar med Facebook, herunder eventuelle krav om etablering af en aftale med Facebook om fordelingen af fælles dataansvar m.v.

I Kromann Reumert vil vi følge op på eventuelle yderligere bidrag til fortolkningen af dommens betydning, ligesom vi følger eventuelle udtalelser fra Facebook om sagen.

Læs EU-Domstolens dom her.

 



 

---