Conclusiones nº C-40/17 de Tribunal de Justicia, 19 de Diciembre de 2018

Fecha de Resolución:19 de Diciembre de 2018
Emisor:Tribunal de Justicia
Número de Resolución:C-40/17
RESUMEN

Procedimiento prejudicial - Directiva 95/46/CE - Protección de los datos personales de los usuarios de una página web - Legitimación activa de una asociación de consumidores - Responsabilidad del operador de una página web - Transferencia de datos personales a un tercero - Plug-in insertado - Botón «Me gusta» de Facebook - Interés legítimo - Consentimiento del interesado - Obligación de facilitar ... (ver resumen completo)

 
EXTRACTO GRATUITO

«Procedimiento prejudicial - Directiva 95/46/CE - Protección de los datos personales de los usuarios de una página web - Legitimación activa de una asociación de consumidores - Responsabilidad del operador de una página web - Transferencia de datos personales a un tercero - Plug-in insertado - Botón «Me gusta» de Facebook - Interés legítimo - Consentimiento del interesado - Obligación de facilitar información»

  1. Introducción

    1. Fashion ID GmbH & Co. KG es una empresa de comercio electrónico dedicada a la venta de artículos de moda. En su página web insertó un plug-in: el botón «Me gusta» de Facebook. De esta manera, cuando un usuario accede a la página web de Fashion ID, se transfiere a Facebook la información sobre la dirección IP del usuario y la secuencia del navegador. Dicha transferencia se realiza automáticamente cuando se carga la página web de Fashion ID, con independencia de si el usuario ha clicado o no el botón «Me gusta» o de si tiene o no cuenta en Facebook.

    2. Verbraucherzentrale NRW eV, una asociación alemana de protección de los intereses de los consumidores, ejercitó una acción de cesación contra Fashion ID, al considerar que el uso de dicho plug-in infringía la normativa sobre protección de datos.

    3. El Oberlandesgericht Düsseldorf (Tribunal Superior Regional de lo Civil y Penal de Düsseldorf, Alemania), que conoce del asunto, solicita la interpretación de diversas disposiciones de la Directiva 95/46/CE. (2) Con carácter preliminar, el órgano jurisdiccional remitente desea saber si la mencionada Directiva permite que la legislación nacional reconozca a una asociación de consumidores legitimación activa para ejercer una acción como la del presente litigio. En cuanto al fondo del asunto, la cuestión fundamental que se plantea es si Fashion ID debe tener la consideración de «responsable del tratamiento» con respecto al tratamiento de datos de que se trata y, en caso afirmativo, cómo han de cumplirse concretamente en tal situación las obligaciones individuales que impone la Directiva 95/46. ¿Los intereses legítimos de qué personas han de ser tenidos en cuenta en la ponderación que exige el artículo 7, letra f), de la Directiva 95/46? ¿Está obligada Fashion ID a informar del tratamiento a los interesados? ¿Es también Fashion ID quien debe recabar el consentimiento informado de los interesados a este respecto?

  2. Marco jurídico

    1. Derecho de la Unión

      Directiva 95/46

      1. El objetivo de la Directiva 95/46 se establece en su artículo 1, cuyo apartado 1 presenta el siguiente tenor: «Los Estados miembros garantizarán [...] la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales». De conformidad con el apartado 2 del mismo artículo, «los Estados miembros no podrán restringir ni prohibir la libre circulación de datos personales entre los Estados miembros por motivos relacionados con la protección garantizada en virtud del apartado 1».

      2. El artículo 2 contiene las siguientes definiciones:

        a) “datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social;

        b) “tratamiento de datos personales” (“tratamiento”): cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción;

        [...]

        d) “responsable del tratamiento”: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario;

        [...]

        h) “consentimiento del interesado”: toda manifestación de voluntad, libre, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernan.»

        6. El artículo 7 establece los criterios que han de cumplirse para que el tratamiento de datos sea legítimo: «Los Estados miembros dispondrán que el tratamiento de datos personales solo pueda efectuarse si:

        a) el interesado ha dado su consentimiento de forma inequívoca, o

        [...]

        f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.

      3. El artículo 10 determina la información mínima que debe facilitarse al interesado:

        Los Estados miembros dispondrán que el responsable del tratamiento o su representante deberán comunicar a la persona de quien se recaben los datos que le conciernan, por lo menos la información que se enumera a continuación, salvo si la persona ya hubiera sido informada de ello:

        a) la identidad del responsable del tratamiento y, en su caso, de su representante;

        b) los fines del tratamiento de que van a ser objeto los datos;

        c) cualquier otra información tal como:

        - los destinatarios o las categorías de destinatarios de los datos,

        - el carácter obligatorio o no de la respuesta y las consecuencias que tendría para la persona interesada una negativa a responder,

        - la existencia de derechos de acceso y rectificación de los datos que la conciernen,

        en la medida en que, habida cuenta de las circunstancias específicas en que se obtengan los datos, dicha información suplementaria resulte necesaria para garantizar un tratamiento de datos leal respecto del interesado.

      4. El capítulo III de la Directiva 95/46 versa sobre los recursos judiciales, responsabilidad y sanciones. Los artículos 22 a 24, comprendidos en dicho capítulo, disponen lo siguiente:

        Artículo 22

        Recursos

        Sin perjuicio del recurso administrativo que pueda interponerse, en particular ante la autoridad de control mencionada en el artículo 28, y antes de acudir a la autoridad judicial, los Estados miembros establecerán que toda persona disponga de un recurso judicial en caso de violación de los derechos que le garanticen las disposiciones de Derecho nacional aplicables al tratamiento de que se trate.

        Artículo 23

        Responsabilidad

        1. Los Estados miembros dispondrán que toda persona que sufra un perjuicio como consecuencia de un tratamiento ilícito o de una acción incompatible con las disposiciones nacionales adoptadas en aplicación de la presente Directiva tenga derecho a obtener del responsable del tratamiento la reparación del perjuicio sufrido.

        El responsable del tratamiento podrá ser eximido parcial o totalmente de dicha responsabilidad si demuestra que no se le puede imputar el hecho que ha provocado el daño.

        Artículo 24

        Sanciones

        Los Estados miembros adoptarán las medidas adecuadas para garantizar la plena aplicación de las disposiciones de la presente Directiva y determinarán, en particular, las sanciones que deben aplicarse en caso de incumplimiento de las disposiciones adoptadas en ejecución de la presente Directiva.

    2. Derecho alemán

      Ley contra la Competencia Desleal

      1. El artículo 3, apartado 1, de la Gesetz gegen den unlauteren Wettbewerb (Ley contra la Competencia Desleal; en lo sucesivo, «UWG») prohíbe las prácticas comerciales desleales.

      2. El artículo 8, apartados 1 y 3, punto 3, de la UWG establece que las prácticas comerciales desleales pueden dar lugar a una orden de cesación o a una orden de prohibición a instancias de alguna de las «entidades habilitadas» que se enumeran en la Unterlassungsklagengesetz (Ley relativa a la Acción de Cesación) o en la lista de la Comisión Europea elaborada con arreglo al artículo 4, apartado 3, de la Directiva 2009/22/CE, relativa a las acciones de cesación en materia de protección de los intereses de los consumidores. (3) Ley relativa a la Acción de Cesación

      3. El artículo 2, apartados 1 y 2, punto 11, de la Ley relativa a la Acción de Cesación establece lo siguiente:

        (1) Quien infrinja las normas de protección de los consumidores (leyes de protección de los consumidores), excepto al aplicar o recomendar condiciones generales de contratación, podrá ser objeto de una orden de cesación y de una orden de prohibición, en aras de la protección de los consumidores.

        (2) A efectos del presente artículo, se entenderá en particular por “leyes de protección de los consumidores”:

        […]

        11. las disposiciones que definen la licitud:

        a) de la recogida de datos personales de un consumidor por parte de una empresa, o

        b) del tratamiento o la utilización de datos personales relativos a un consumidor que hayan sido recabados por una empresa,

        si los datos se recaban, tratan o utilizan con fines publicitarios, de estudios de mercado y opinión, de explotación de una entidad de información crediticia, de elaboración de perfiles de personalidad y de uso, de tráfico de datos de contacto y de otros tipos de datos o con fines comerciales similares.

        Ley relativa a determinados servicios de comunicación e información electrónicos

      4. El artículo 2, apartado 1, de la Telemediengesetz (Ley relativa a determinados servicios de...

Para continuar leyendo

SOLICITA TU PRUEBA