Fashion ID, una empresa alemana de comercio electrónico que se dedica a la venta de prendas de vestir, insertó en su sitio de Internet el botón «me gusta» de Facebook. Dicha inserción parece tener como consecuencia que, cuando un visitante consulta el sitio de Internet de Fashion ID, se transmiten a Facebook Ireland datos personales de ese visitante. Parece ser que esa transmisión se efectúa sin que dicho visitante sea consciente de ello y con independencia de si es miembro de la red social Facebook o de si clicó en el botón «me gusta».

Verbraucherzentrale NRW, asociación alemana de utilidad pública de defensa de los intereses de los consumidores, reprocha a Fashion ID haber transmitido a Facebook Ireland datos de carácter personal de los visitantes de su sitio de Internet, por un lado, sin el consentimiento de estos últimos y, por otro, incumpliendo las obligaciones de información establecidas en las disposiciones relativas a la protección de los datos personales.

El Oberlandesgericht Düsseldorf (Tribunal Superior Regional de lo Civil y Penal de Düsseldorf, Alemania), que conoce del litigio, solicita al Tribunal de Justicia la interpretación de varias disposiciones de la Directiva sobre protección de datos de 1995   (que resulta aplicable a este asunto y que fue derogada por el Reglamento general de protección de datos de 2016   aplicable desde el 25 de mayo de 2018).

En su sentencia de hoy, el Tribunal de Justicia precisa, en primer lugar, que la antigua Directiva sobre protección de datos no se opone a que se permita a las asociaciones de defensa de los intereses de los consumidores ejercitar acciones judiciales contra el presunto infractor de la protección de los datos personales. El Tribunal de Justicia destaca que el Reglamento general de protección de datos establece ahora expresamente tal posibilidad.

El Tribunal de Justicia señala, en segundo lugar, que no parece que pueda considerarse a Fashion ID responsable de las operaciones de tratamiento de datos efectuadas por Facebook Ireland tras su transmisión a esta última. En efecto, queda excluido, de primeras, que Fashion ID determine los fines y los medios de esas operaciones.

En cambio, Fashion ID puede ser considerada responsable junto con Facebook Ireland de las operaciones de recogida y de comunicación por transmisión a Facebook Ireland de los datos en cuestión, dado que puede considerarse (sin perjuicio de las comprobaciones que debe efectuar el Oberlandesgericht Düsseldorf) que Fashion ID y Facebook Ireland determinan, conjuntamente, sus medios y sus fines.  

En particular, parece que la inserción por Fashion ID del botón «me gusta» de Facebook en su sitio de Internet le permite optimizar la publicidad para sus productos al hacerlos más visibles en la red social Facebook cuando un visitante de su sitio de Internet clica en dicho botón. Es para poder beneficiarse de esta ventaja comercial por lo que Fashion ID, al insertar tal botón en su sitio de Internet, parece haber consentido, al menos implícitamente, la recogida y la comunicación por transmisión de datos personales de los visitantes de su sitio. Por lo tanto, dichas operaciones de tratamiento parecen efectuarse en interés económico tanto de Fashion ID como de Facebook Ireland, para quien el hecho de poder disponer de esos datos para sus propios fines comerciales constituye la contrapartida de la ventaja ofrecida a Fashion ID.

El Tribunal de Justicia subraya que el administrador de un sitio de Internet como Fashion ID, como corresponsable de determinadas operaciones de tratamiento de datos de los visitantes de su sitio, como la recogida de datos y su transmisión a Facebook Ireland, debe comunicar, en el momento en el que se recaban esos datos, determinada información a dichos visitantes, como, por ejemplo, su identidad y los fines del tratamiento.

El Tribunal de Justicia aporta asimismo precisiones a dos de los seis casos de tratamiento lícito de datos personales, previstos en la Directiva.

Así, por lo que se refiere al caso en el que el interesado ha dado su consentimiento, el Tribunal de Justicia declara que el administrador de un sitio de Internet como Fashion ID debe solicitar dicho consentimiento previamente (únicamente) para las operaciones de las que es corresponsable, a saber, la recogida y la transmisión de datos.
Por lo que respecta a los casos en los que el tratamiento de datos es necesario para la satisfacción de un interés legítimo, el Tribunal de Justicia declara que cada uno de los corresponsables del tratamiento, es decir, el administrador del sitio de Internet y el proveedor del módulo social, debe perseguir, con la recogida y la transmisión de datos personales, un interés legítimo para que dichas operaciones queden justificadas.