W dniu 5 czerwca 2018 r. Trybunał Sprawiedliwości Unii Europejskiej  wydał wyrok w sprawie o sygnaturze akt C-210/16, w którym przesądził status zarządzającego fanpage’em na witrynach mediów społecznościowych. Trybunał uznał, że taka osoba wespół z Facebookiem jest współadministratorem danych osobowych w rozumieniu właściwych przepisów.

Orzeczenie wydano w sporze pomiędzy organem ochrony danych z landu Szlezwik-Holsztyn a niemiecką spółką Wirtschaftsakademie, która świadczy usługi kształcenia za pośrednictwem fanpage’a – specyficznej strony prowadzonej często przez przedsiębiorców na Facebooku. Firma ta korzystała z narzędzia „Facebook Insights”, które dostarcza dane statystyczne na temat osób odwiedzających stronę. Są one zanonimizowane, dlatego uznała, że sama nie przetwarza danych osobowych.

Według Trybunału Sprawiedliwości zarówno Facebook, jak i zarządzający, przetwarzają dane w określonych przez siebie celach. Facebook skupia się na działalności reklamowej (dostosowuje reklamy do aktywności użytkowników), natomiast zarządzający fanpage’em przetwarza dane na potrzeby statystyk i polepszenia odbioru treści, które zamieszcza na stronie, w tym na potrzeby kierowania ofert do potencjalnych odbiorców aktywnych na portalu.

Wyrok jest o tyle kontrowersyjny, że dotychczas panowało powszechne przekonanie, iż administratorem danych osobowych jest portal, któremu użytkownicy powierzają dane i jednocześnie wyrażają zgodę na takie przetwarzanie oraz godzą się z tym, że ich dane będą udostępniane innym użytkownikom i fanpage’om (w zależności od stopnia ustawień prywatności). Takie założenie miało sens, chociażby z tego względu, że właściciela portalu jest łatwo zidentyfikować oraz pociągnąć do odpowiedzialności w przypadku naruszenia bezpieczeństwa danych lub przekroczenia zakresu przetwarzania danych, na które wyrażono zgodę. Nadto zarządzającemu portalem jest też dużo łatwiej informować użytkowników o przetwarzaniu danych osobowych, kreując wygląd i treść strony, niż właścicielom fanpage’ów czy chociażby administratorom grup otwartych.

Trybunał Sprawiedliwości postanowił jednak, że w związku z tym, iż zarządzający fanpage’em może na podstawie statystyk dostarczanych przez Facebooka kierować ofertę do użytkowników w określonym obszarze geograficznym, przyczynia się on do przetwarzania danych osobowych. Zdaniem Trybunału użytkownik powinien uzyskać stosowną informację na ten temat oraz wyrazić zgodę na przetwarzanie danych w ten sposób.

Zgodnie z orzeczeniem zarówno Facebook, jak i zarządzający fanpage’em są jednakowo odpowiedzialni, choć nie w tym samym zakresie. Ponieważ podmioty te są zaangażowane w przetwarzanie w różnym stopniu oraz na odmiennym etapie tego przetwarzania, poziom odpowiedzialności każdego z nich należy oceniać przy uwzględnieniu wszystkich istotnych okoliczności sprawy.