CJEU认定网站和嵌入的第三方代码成为共同数据控制者（DPO沙龙出品）
欧洲时间7月29日，欧盟最高司法机关——欧洲法院（Court of Justice of the European Union）作出判决，认定：网站运营商在其网站上嵌入Facebook的“点赞”按钮（"Like" button）并将访问者个人数据收集、传输给Facebook，其与Facebook一同构成数据的共同控制者（joint controllers）。就该判决，欧洲法院发布了新闻公告，DPO社群成员第一时间全文翻译了公告，请见下文。
这是一个非常重要的判决。因为在GDPR中，关于“共同控制者”是这么规定的：
当两个或多个数据控制者共同决定数据处理的目的和方式，它们将被认定为共同数据控制者。他们应以透明的方式，决定各自遵守《条例》应承担的责任和义务，特别是在数据主体行使权利方面，以及在向数据主体提供信息方面的各自分工。上述分工应与合同的形式予以固定，合同中还应明确可供数据主体的联系的渠道和人员。
上述分工应恰当地反映共同数据控制者各自与数据主体的关系及角色。共同数据控制者内部的关系应向数据主体公开。
不论共同数据控制者内部作出何种安排和分工，数据主体就共同数据控制者中的任何一方提出《条例》规定的权利诉求。
换言之，当被认定为共同控制者，同为控制者的各方应当针对个案的具体情形，一同决定向数据主体告知的内容和告知的形式。而不能简单地通过格式合同，将告知的责任推到某一方中去。
在本案中，页面运营者决定嵌入Facebook提供的“点赞”按钮，访问该页面的个人用户（无论是否Facebook用户，也无论是否其点击了“点赞”按钮）其个人数据会被传输至Facebook。页面运营者辩称的“点赞”按钮由Facebook提供，“点赞”按钮收集哪些信息、如何收集信息，页面运营者无法知情也无法决定。但在欧洲法院看来，这样的辩解站不住脚。既然是页面运营者引入了Facebook，在数据收集和传输阶段，其与Facebook构成共同数据控制者。
回想到APP中嵌入的SDK，如何履行向用户明示收集个人信息的“目的、方式和范围”并取得用户同意，显然欧盟的司法和监管机构均不认同通过某一方的格式合同条款就能搞定。也就是说，是网页运营者决定嵌入Facebook的“点赞”按钮，是APP决定嵌入某个SDK，这样的决定就导致至少在数据收集和传输者两个动作中，两者构成了共同的数据控制者。因此“点赞”按钮和SDK收集个人信息的类型、方式、频率等，网页运营者和APP都很难推脱说没有任何责任。【请见：第十五期DPO沙龙纪实：SDK非洪水猛兽，但如果“作恶”乱收集信息，谁来管？】
事实上，法国个人数据监管机构CNIL已经在对四款SDK的整改要求中，已经提出了这样的要求，SDK应当与宿主APP合作，一同设计向用户告知并取得同意的界面。【请见：英法两国对 AdTech和广告类SDK的监管案例分析，以及英国ICO《广告技术和实时竞价的更新报告》中译文（DPO社群出品）】以下贴出CNIL在SDK整改后认为合规的告知和同意界面。
总的来说，当出于商业目的或营利目的，APP或网站决定引入第三方，这个决定就会导致至少在数据收集和传输阶段，双方构成了共同数据控制者。既然双方是共同数据控制者，则第三方不能通过格式合同将取得同意的责任，一刀切地推到宿主那。而宿主也不能简单地说，第三方收集哪些信息是第三方的事情，自己没有任何责任。以下是CJEU就该判决发布的新闻公告的全文翻译：
欧洲法院
第99/19号新闻公告
2019年7月29日，卢森堡
判决文书编号C-40/17
FashionID GmbH & Co. KG v Verbraucherzentrale NRW eV
网站运营商在其网站上嵌入Facebook的点赞按钮并将访问者个人数据收集、传输给Facebook，其与Facebook一同构成数据的共同控制者
不过，网站运营商原则上对Facebook随后对该个人数据的单独处理不承担控制者的责任。
Fashion ID是德国一家网上服装销售商，在其网站上嵌入了Facebook的“点赞（Like）”按钮。当访问者访问其网站时，不论该访问者是否拥有Facebook社交账号或者是否点击“点赞”按钮，该访问者的个人数据均在访问者不知情的情况下被传输至Facebook 公司。
Verbraucherzentrale NRW作为德国一家消费者保护公共服务协会认为Fashion ID向Facebook公司传输访问者个人数据的行为一方面没有取得访问者的同意，另一方面违反了个人数据保护法律要求的告知义务，并对Fashion ID提起诉讼。
审理该争议的德国杜鲁尔多夫高级地区法院（The Oberlandesgericht Düsseldorf）请求欧洲法院对该案适用的前《95数据保护指令》（2018年5月28日后被《通用数据保护条例》替代）中的若干条款进行解释。
法院在今天公布的判决中作出以下认定：
（1）前数据保护指令并未排除消费者保护协会对侵犯个人数据保护义务的主体提起诉讼或辩护的权利。新的《通用数据保护条例》更是明确了这种可能性。
（2）本案中的数据的收集和处理进程可以分为两个阶段：Fashion ID收集并传输给Facebook公司阶段和传输后Facebook公司独立处理数据阶段。
就第一个阶段而言，FashionID和Facebook共同决定了数据收集和处理的目的和方式（据德国杜鲁尔多夫高级地区法院现有调查所确定的相关细节），因此可以认定Fashion ID就本案中第一阶段的数据的收集和传输行为与Facebook一同构成共同控制者；
就第二个阶段而言，当Facebook接收到数据并进行独立处理，法院认为此时不应再将FashionID视为数据的共同控制者，因为在数据开始收集之时Fashion ID并不能决定Facebook对这部分数据处理的目的和方式。
法院认为，Fashion ID在其网站中嵌入Facebook点赞按钮的目的是使得其商品在Facebook上更容易被看到，从而优化其宣传效果。因此，Fashion ID至少含蓄地同意收集和传输个人数据，以便从这种商业优势中获益。对该等数据的收集并传输给Facebook公司的行为是合乎FashionID和Facebook双方的经济利益的。Fashion ID 将数据收集并传输给Facebook供其自行进一步处理即为FashionID获得商业上好处的对价。
法院明确表示，像Fashion ID这样的网站运营商，作为数据（共同）控制者在处理其网站访问者的个人数据时（如收集并传输给Facebook），须在收集时向访问者提供特定信息，包括收集者和第三方的身份以及处理的目的。
法院同样就95指令中规定的处理数据的六种合法依据中与本案情形相关的两种依据的适用提供参考意见。该两种依据分别为获得信息主体的同意以及证明处理对于追求的正当利益是必要的。
如果采用获得信息主体的同意这一依据，法院认为像FashionID这样的网站运营商须单独对其作为数据（共同）控制者阶段的数据的收集和传输获得数据主体的事先同意。
如果采用证明处理对于追求的正当利益是必要的这一依据，法院认为，共同控制者，即网站运营商和社交插件提供者均须证明通过数据的收集和使用追求的是正当利益。
数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已经超过200人。关于DPO社群和沙龙更多的情况如下：
DPO社群成果
线下沙龙实录见：
线上沙龙见：
时评见：
DPO社群成员观点