El administrador de una página web que ha insertado el plug-in de un tercero es corresponsable de esa fase del tratamient o de datos

Fashion ID es una empresa alemana de comercio electrónico dedicada a la venta de artículos de moda. Dicha empresa insertó en su página web un plug-in : el botón «Me gusta» de Facebook. De esta manera, cuando un usuario accede a la página web de Fashion ID, se transfiere a Facebook la información sobre la dirección IP del usuario y la secuencia del navegador. Dicha transferencia se realiza automáticamente cuando se carga la página web de Fashion ID, con independencia de que el usuario haya pulsado o no el botón «Me gusta» o de que tenga o no cuenta en Facebook.

Verbraucherzentrale NRW, una asociación alemana de defensa de los consumidores, ejercitó una acción de cesación contra Fashion ID, al considerar que el uso del botón «Me gusta» de Facebook infringía la normativa sobre protección de datos.

El Oberlandesgericht Düsseldorf (Tribunal Superior Regional de lo Civil y Penal de Düsseldorf, Alemania), que conoce del asunto, solicita que se interpreten diversas disposiciones de la derogada Directiva de Protecci ón de Datos de 1995 (la cual, aunque es aplicable a este asunto,  ha sido sustituida por el nuevo Reglamento General de Protección de Datos de 2016, que entró en vigor el 25 de mayo de 2018).

En sus conclusiones, el Abogado General Micha Bobek propone al Tribunal de Justicia que declare, primero, que la Directiva no se opone a una normativa nacional que reconoce a las asociaciones de utilidad pública legitimación activa para demandar al presunto infractor de la legislación de protección de datos a fin de proteger los intereses de los consumidores.

A continuación, el Abogado General propone que el Tribunal de Justicia declare que, conforme a la Directiva de Protección de Datos, el administrador de una página web (como Fashion ID) que ha in sertado en su página web un plug-in de un tercero (como el botón «Me gusta» de Facebook) que genera la recogida y transmisión de datos personales del usuario debe ser considerado corresponsable del tratamiento, conjuntamente con dicho tercero (en el presente asunto, Facebook Ireland).

No obstante, esa responsabilidad (conjunta) del responsable del tratamiento debe limitarse a aquellas operaciones respecto de las cuales decide efectivamente de manera conjunta sobre los medios y los fines del tratamiento de l os datos personales.

Ello significa que sobre un responsable (conjunto) del tratamiento recae a responsabilidad de la operación o de la serie de operaciones en relación con las cuales comparta o codetermine los fines y los medios en lo que respecte a una determinada operación de tratamiento. En cambio, esa persona no puede ser considerada responsable ni de las fases anteriores o posteriores de la cadena de tratamiento de los datos, los fines o medios de las cuales no esté en condiciones de determinar.

Atendiendo a los hechos del presente asunto, parece por tanto que Fashion ID y Facebook Ireland deciden conjuntamente sobre los medios y los fines del tratamiento de los datos en la fase de recogida y transmisión de los datos personales en cuestión. Sin perjuicio de la comprobación que debe llevar a cabo el órgano jurisdiccional nacional, tanto Facebook Ireland como Fashion ID parecen haber generado voluntariamente la fase de recogida y transmisión de los datos y, aunque no hay identidad, existe una unidad de fines: una finalidad comercial y publicitaria (la decisión de Fashion ID de insertar el botón «Me gusta» de Facebook en su página web parece estar inspirada por el deseo de aumentar la visibilidad de sus productos a través de dicha red social).

Por lo tanto,con respecto al proceso de tratamiento de los datos en la fase de recogida y transmisión de los datos personales, Fashion ID actúa como responsable de dicho tratamiento y, en esta medida, es responsable junto con Facebook Ireland.

En cuanto a la legitimidad del tratamiento de datos personales sin el consentimiento del usuario de la página web, el Abogado General recuerda que dicho tratamiento es lícito conforme a la Directiva cuando se cumplen tres requisitos acumulativos: primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para satisfacer ese interés legítimo y, tercero, que no deban prevalecer los derechos y libertades fundamentales del interesado en la protección de los datos.

A este respecto, el Abogado General propone al Tribunal de Justicia que declare que el interés legítimo de ambos corresponsables (Fashion ID y Facebook Ireland) ha de tenerse en cuenta y ponderarse con los derechos de los usuarios de la página web.

El Abogado General también propone que se declare que el consentimiento del usuario de la página web ha de prestarse, en su caso, al administrador deésta (Fashion ID) que ha insertado el contenido de un tercero. De igual manera, la obligación de facilitar al usuario de la página web la información mínima se impone al administrador de la misma (Fashion ID).

Los jueces del Tribunal de Justicia comienzan ahora sus deliberaciones sobre este asunto. La sentencia se dictar á en un momento posterior.