Wtyczka Facebook’a „lubię to” jest bardzo popularnym widżetem zamieszczanym na witrynach internetowych. Możliwość wyrażenia swoistej pozytywnej opinii czy też uznania dla prezentowanej treści udostępniania jest użytkownikom dużych i małych witryn WWW.
Mogłoby się zdawać, iż tak niewielki powszechny przycisk, nie ma istotnego znacznie dla przetwarzania danych osobowych użytkowników portalu internetowego na którym zamieszczono przedmiotową wtyczkę.
Tymczasem jak wynika z lektury Opinii Rzecznika Generalnego TSUE w sprawie C – 40/17 Fashion ID GmbH & Co. KG przeciwko Verbraucherzentrale NRW e.V. przy udziale Facebook Ireland Limited, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, zamieszczenie tego przycisku prowadzi do powstania stosunku współadministrowania danymi osobowymi użytkowników takiego portalu pomiędzy jego właścicielem a Facebookiem.
Działanie niewidocznego dla użytkownika mechanizmu wtyczki jest następujące – przeglądarka użytkownika, który trafia na stronę internetową na której zamieszono facebookowy przycisk „lubię to” automatycznie przesyła informacje dotyczącej jego adresu IP i identyfikatora przeglądarki do Facebook’a. Informacje te następnie są przekazywane Facebookowi bez konieczności kliknięcia omawianego przycisku „lubię to”. Ponadto co do zasady z chwilą wyświetlenia strony internetowej na której dostępny jest przycisk „lubię to” Faccebook zapisuje na urządzeniu użytkownika różnego rodzaju pliki cookies. Faccebook pobiera te dane od użytkownika niezależnie od tego czy jest posiada on konto w prowadzonym przez niego serwisie społecznościowym.
W ocenie Rzecznika Generalnego TSUE osoba, która umieszcza na swojej stronie internetowej wtyczkę osoby trzeciej skutkującą gromadzeniem i przekazywaniem danych osobowych użytkownika jest administratorem danych w rozumieniu art. 2 lit. a dyrektywy 95/46 (podlegająca rozstrzygnięciu sprawa obejmuje stan prawny przed wejściem w życie RODO, lecz z uwagi na zbieżność regulacji uznać należy, iż wnioski Rzecznika Generalnego TSUE są aktualne także na gruncie RODO).
Współodpowiedzialność podmiotu, do którego należy portal jest jednak ograniczona do tych operacji przetwarzania danych, w przypadku których skutecznie współokreśla on sposoby i cele przetwarzania.
W przedmiocie podstawy przetwarzania danych osobowych warto odnotować, iż Rzecznik Generalny TSUE a priori nie wykluczył podstawy z art. 7 lit f dyrektywy 95/46 (uzasadnionego interesu administratora lub osoby trzeciej, bądź odbiorcy danych, co odpowiada aktualnemu uregulowaniu art. 6 ust. 1 lit. f RODO), przy czym na potrzeby możliwości przetwarzania danych osobowych w oparciu o powyższą podstawę koniecznie jest uwzględnienie uzasadnionych interesów obu współadministratorów, wyważonych względem praw osób których dane dotyczą.
W przypadku zaś braku istnienia takiego interesu warunkiem przetwarzania danych osobowych użytkownika strony internetowej dla potrzeb przycisku „lubię to”, właściciel witryny zobowiązany jest otrzymać zgodę osoby, której dane dotyczą. Zgoda taka musi zostać wyrażona przed rozpoczęciem gromadzenia i przekazywania tych danych. Na właścicielu portal internetowego zamieszczającego wtyczkę „lubię to” spoczywają także stosowne obowiązki informacyjne, które zdaniem Rzecznika Generalnego TSUE powinny odpowiadać zakresowi współodpowiedzialności operatora tego serwisu w odniesieniu do gromadzenia i przekazywania danych osobowych.
Istotna dla kształtowania procesu współadministrowania danymi osobowymi może okazać się uwaga Rzecznika Generalnego TSUE zawarta w pkt. 87 i 88 opinii zgodnie z którymi wprowadzenie właściwego systemu współadministrowania może przerodzić się w spore wyzwanie, nie można bowiem zapominać, iż zgodnie z art. 26 ust. 1 RODO na współadministratorach ciąży obowiązek uzgodnienia zasad współadministrowania danymi osobowymi.
Na stanowisko TSUE w przedmiotowej kwestii przyjdzie jeszcze poczekać, tym niemniej uwzględniając treść opinii Rzecznika Generalnego TSUE rekomendowanym działaniem dla operatorów witryn internetowych korzystających z widżetu „lubię to” lub innego o zbliżonym sposobie działanie jest dokonanie przeglądu stosowanych polityk prywatności oraz obowiązków informacyjnych i uzupełnienie ich o wnioski płynące z opinii Rzecznika Generalnego TSUE.