Ett revolutionerande förhandsbesked från EU domstolen i viktiga frågor om gemensamt personuppgiftsansvar och som utmanar One-stop-shop genom C-210/16 (Facebook) publicerades idag den 5 juni.

• För det första finner domstolen i sitt förhandsbesked på begäran från den lokala tillsynsmyndigheten i den tyska delstaten Schleswig-Holstein, att ett privat företag som är specialiserat på utbildning som administratör av en sk fanpage på Facebook, tillsammans med Facebook är registeransvarig (eller med GDPRs terminologi dataskyddsansvarig). Detta gäller bl a trots att administratören erhåller utfallet av den analys som Facebook har genomfört i form av anonymiserad data, då administratören har haft ett inflytande t ex över vilka uppgifter som analyseras.
• För det andra har tillsynsmyndigheten rätt att utöva tillsyn över Facebooks etableringsställe i Tyskland trots att etableringsstället enligt fördelningen av arbetsuppgifter inom Facebook-koncernen endast ansvarar för försäljning av reklamplats och annan marknadsföring och ansvaret för insamling och behandling av personuppgifter inom hela Europeiska unionen uteslutande ankommer på ett etableringsställe, i detta fall Facebook Irland.
• För det tredje är en tillsynsmyndighet, i detta fall i Tyskland, behörig att bedöma lagenlighet och ingripa mot en part som är ansvarig för personuppgiftsbehandlingen (Facebook Irland) och är etablerad i en annan medlemsstat utan att dessförinnan anmoda tillsynsmyndigheten i den andra medlemsstaten (Irland) att ingripa.

En närmare läsning av resonemanget i förhandsbesked rekommenderas.

Läs avgörandet här.

Maria Holmström Mellberg
maria.holmstrom.mellberg@dpforum.se