Sodišče Evropske unije (»SEU«) je dne 29. 7. 2019 sprejelo sodbo, s katero je potrdilo široko razlago pojma »upravljavec« v smislu zakonodaje EU o varstvu osebnih podatkov.
V obravnavanem primeru je SEU presojalo ravnanje družbe Fashion ID GmbH & Co. KG (»Fashion ID«), nemškega podjetja, ki se ukvarja s spletno prodajo oblačil, ki je na svoje spletno mesto vstavilo socialni vtičnik „všeč mi je“ socialnega omrežja Facebook (‘Facebookov gumb „všeč mi je“’). Posledica te vstavitve naj bi bila, da so bili osebni podatki obiskovalca spletnega mesta Fashion ID posredovani družbi Facebook Ireland Ltd (»Facebook Ireland«), in sicer, ne da bi bil navedeni obiskovalec s tem seznanjen ter ne glede na to, ali je član družabnega omrežja Facebook in ali je kliknil na Facebookov gumb „všeč mi je“.
SEU je v omenjeni sodbi ugotovilo, da se upravljavec spletnega mesta, kot je Fashion ID, ki na svojo spletno stran vstavi socialni vtičnik, ki brskalniku obiskovalca tega spletnega mesta omogoča, da zahteva vsebine ponudnika navedenega vtičnika in da temu ponudniku v ta namen posreduje osebne podatke obiskovalca, lahko šteje za »upravljavca«, in sicer skupaj s ponudnikom socialnega vtičnika, v konkretnem primeru Facebook Ireland, ter četudi Fashion ID kot upravljavec spletnega mesta sam nima dostopa do osebnih podatkov, ki se posredujejo Facebook Ireland kot ponudniku socialnega vtičnika. Kot je v obravnavanem primeru ugotovilo SEU, je namreč Fashion ID z vstavitvijo takega socialnega vtičnika na svoje spletno mesto odločilno vplival na zbiranje in posredovanje osebnih podatkov obiskovalcev navedenega spletnega mesta v korist Facebook Ireland, do česar ne bi prišlo, če Fashion ID navedenega vtičnika ne bi vstavil. Ob tem pa velja izpostaviti, da se po mnenju SEU upravljavec spletnega mesta, kot je Fashion ID, ne more šteti za odgovornega za postopke obdelave podatkov, ki jih izvaja Facebook Ireland po tem, ko so mu preneseni.
SEU je obenem poudarilo, da ima upravljavec spletnega mesta, kot je Fashion ID, kot (so)odgovoren za nekatere postopke obdelave podatkov obiskovalcev njegovega mesta, kot je zbiranje podatkov in njihov prenos Facebook Ireland, tudi določene obveznosti. Upravljavec spletnega mesta mora tako pridobiti (predhodno) privolitev posameznika, na katerega se nanašajo osebni podatki, ob zbiranju pa mu zagotoviti določene informacije, kot je na primer njegova identiteta in namen obdelave. Te obveznosti pa so omejene na postopke ali nize postopkov obdelave osebnih podatkov, za katere dejansko določa namene in sredstva, in sicer zbiranje in posredovanje s prenosom zadevnih podatkov.
Glede na omenjeno sodbo SEU so torej tudi upravljavci spletnih mest, ki na svoje spletno mesto vstavijo socialni vtičnik, kot je vtičnik „všeč mi je“ socialnega omrežja Facebook, zavezani k spoštovanju zakonodaje EU ter izpolnjevanju obveznosti, ki jim jo slednja nalaga.
