GDPR kohtaa ISS:n: Miten tuomioistuimet tulkitsevat rekisterinpitäjän rooleja

The intersection of the General Data Protection Regulation (GDPR) and Information Society Services (ISS) continues to present complex legal challenges, particularly around the concept of data controllership. The GDPR defines a controller as the entity that determines the purposes and means of processing personal data. Yet when digital platforms—many of which qualify as ISS—interact with users and third-party content providers, the lines of responsibility blur.

Recent case law from the Court of Justice of the European Union (CJEU) has significantly expanded the interpretation of joint controllership, placing new obligations on platform operators, website owners, and service providers engaged in collaborative data processing. Below, we explore key judgments and their implications for platform accountability.

Facebook Fan Page Case (C-210/16): The Birth of Joint Controllership

In Wirtschaftsakademie Schleswig-Holstein v Facebook Ireland, the CJEU held that an administrator of a Facebook Fan Page was a joint controller together with Facebook for the processing of visitor data. The administrator used Facebook Insights, a tool that provides anonymized statistics about user engagement.

Key Findings:

• Even though the page administrator could not access personal data directly, the CJEU found that it influenced the purposes and means of data processing by configuring the page and selecting target demographics.
• The decision introduced a broad and functional definition of joint controllership, emphasizing actual influence over data use, not just access.

Vaikutukset:

• Organizations embedding third-party services or analytics tools on their websites may be jointly liable for data processing.
• ISS providers offering configurable services (such as page customization, advertising preferences, or tracking settings) must assess joint responsibilities under Article 26 GDPR.

Fashion ID Case (C-40/17): Social Plugins and Shared Responsibility

In Fashion ID GmbH & Co. KG v Verbraucherzentrale NRW, the CJEU addressed whether a website that embeds a Facebook “Like” button is a joint controller for the transmission of personal data to Facebook.

Key Findings:

• The operator of a website is a joint controller for the collection and transmission of personal data (such as IP addresses and browser information) to Facebook.
• The operator is not a controller for subsequent processing carried out solely by Facebook.

Vaikutukset:

• This ruling highlights the granular nature of joint controllership, limited to specific stages of data processing.
• Websites using embedded tools must disclose data transfers in their privacy notices and, where required, obtain valid consent for third-party data collection.

Jehovan Todistajat Case (C-25/17): Offline Application of Joint Controllership

Although not focused on an ISS, the Jehovan Todistajat case further solidified the broad scope of joint controllership. Members of the religious community collected personal data during door-to-door preaching without formal documentation or centralized storage.

Key Findings:

• The religious community and individual members were joint controllers under GDPR, even without formal coordination or access to the full dataset.
• The Court emphasized the importance of common purposes in establishing controllership, even where technical means are fragmented.

Seuraamukset ISS:lle:

• Käyttäjätietojen keräämisessä yhteistyötä tekevät alustat ja tytäryhtiöt – jopa epävirallisesti – voivat olla yhteisvastuussa.
• Epäviralliset tai hajautetut käsittelyrakenteet tekevät ei suojaa yhteisvastuullisilta rekisterinpitäjän velvoitteilta.

Bundeskartellamt v Meta (Asia T-201/22): Kilpailu kohtaa GDPR:n

Vaikka asia on vielä oikeudellisessa kehitysvaiheessa, Saksan kilpailuviranomaisen Facebookia (nykyisin Meta) vastaan vireille panema juttu asettaa kyseenalaiseksi liiallinen tiedonkeräys käytännöt molemmissa GDPR ja kilpailulaki. EU-tuomioistuimen on selvennettävä, onko alustan ylivalta ja käyttäjän suostumus toimivat tietosuojaperiaatteiden mukaisesti.

Nouseva trendi:

• Tuomioistuimet ja sääntelyelimet kohtelevat yhä useammin laaja-alainen seuranta ja datan yhdistäminen eri palveluissa mahdollisesti loukkaavana tai laittomana, kun siihen ei liity tietoon perustuvaa, vapaaehtoista suostumusta.

Tärkeimmät huomiot IPT-palveluntarjoajille

1. Arvioi yhteisrekisterinpitäjyyttä ennakoivasti
   Kaikki yhteistyö, johon liittyy jaettuja työkaluja, laajennuksia tai analytiikkaominaisuuksia, voi luoda yhteisvastuita. Virallista järjestelyt ja selkeytä roolit sopimusten ja tietosuojakäytäntöjen avulla.
2. Segmentin käsittelyvaiheet
   Vastuu voi koskea vain tiettyjä käsittelyvaiheita. Määritä selkeästi, missä organisaatiosi aloittaa tai edistää tiedonkeruuta ja -siirtoa.
3. Läpinäkyvyyden ja suostumusmekanismien vahvistaminen
   Kolmannen osapuolen työkalujen upottaminen? Ilmoita niistä näkyvästi ja pyydä käyttäjän suostumus, kun laki sitä edellyttää – erityisesti markkinoinnin ja profiloinnin osalta.
4. Ota käyttöön yhteiset ohjaussopimukset (JCA)
   GDPR:n 26 artiklan mukaan yhteisten rekisterinpitäjien on määritettävä Yhteisrekisterinpitäjäsopimus, vastuiden jakaminen ja yhteyspisteen tarjoaminen rekisteröidyille.
5. Seuraa datasuojan ulkopuolisia oikeudellisia kehityskulkuja
   Yhteisvastuullisen valvojan ongelmat liittyvät nyt kilpailuoikeuteen, kuluttajansuojaan ja alustojen sääntelyyn. Ole tietoinen digitaalisiin palveluihin vaikuttavista laajemmista oikeudellisista suuntauksista.

Päätelmä

EUT:n kehittyvä oikeuskäytäntö on vakiinnuttanut sen, että Informaatioyhteiskunnan palvelut voivat jakaa rekisterinpitäjän vastuualueita verkkosivustojen ylläpitäjien, kumppaneiden ja jopa käyttäjien kanssa, riippuen datavuorovaikutuksen luonteesta. Lakiasiantuntijoille ja vaatimustenmukaisuustiimeille ei enää riitä, että alusta luokitellaan neutraaliksi isännäksi. Todellinen vaikutusvalta siihen, miten tietoja kerätään ja käytetään, on nyt ratkaiseva tekijä.

Sääntely-ympäristön monimutkaistuessa digipalvelusäädöksen, sähköisen viestinnän tietosuoja-asetuksen ja jatkuvan GDPR:n valvonnan myötä ISS-palveluntarjoajien on otettava käyttöön kokonaisvaltainen ja dokumentoitu lähestymistapa tietohallintaan ja rekisterinpitäjän vastuisiin.

Tarvitsetko apua tietojenkäsittelysuhteiden tarkastelussa tai GDPR:n mukaisten yhteisrekisterinpitäjäsopimusten laatimisessa? Tietosuojatiimimme neuvoo alustoja ja digitaalisten palvelujen tarjoajia kaikkialla EU:ssa laillisten ja avoimien tietokäytäntöjen rakentamisessa. Ota yhteyttä konsultaatiota varten.