–

za Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, P. Wassermann, Rechtsanwalt,

–

za Planet49 GmbH, M. Jaschinski, J. Viniol i T. Petersen, Rechtsanwälte,

–

za njemačku vladu, J. Möller, u svojstvu agenta,

–

za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju F. De Luce, avvocato dello Stato,

–

za portugalsku vladu, L. Inez Fernandes, M. Figueiredo, L. Medeiros i C. Guerra, u svojstvu agenata,

–

za Europsku komisiju, G. Braun, H. Kranenborg i P. Costa de Oliveira, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 2. točke (f) i članka 5. stavka 3. Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 113., svezak 52., str. 111.), kako je izmijenjena Direktivom 2009/136/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009. (SL 2009., L 337, str. 11.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 224. i ispravak SL 2017., L 162, str. 56. i SL 2018., L 74, str. 11.) (u daljnjem tekstu: Direktiva 2002/58), u vezi s člankom 2. točkom (h) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) i člankom 6. stavkom 1. točkom (a) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46 (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravak SL 2018., L 127, str. 2.).

2

Zahtjev je upućen u okviru spora između Bundesverbanda der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Savez organizacija i udruga potrošača – Savez organizacija potrošača, Njemačka) (u daljnjem tekstu: Savez) i društva Planet49 GmbH, koje nudi internetske igre, vezano uz privolu sudionikâ u nagradnoj igri koju je organiziralo to društvo u pogledu dostavljanja njihovih osobnih podataka sponzorima i partnerima tog društva kao i pohranjivanja informacija i pristupa informacijama pohranjenima na terminalnoj opremi tih korisnika.

3

U članku 1. Direktive 95/46 predviđa se:

„1.   U skladu s ovom Direktivom, države članice štite temeljna prava i slobode fizičkih osoba, a posebno njihova prava na privatnost u vezi s obradom osobnih podataka.

2.   Države članice ne ograničavaju ni zabranjuju slobodni prijenos osobnih podataka između država članica iz razloga povezanih sa zaštitom osiguranom u stavku 1. ovog članka.”

4

Člankom 2. te direktive određuje se:

„U smislu ove Direktive:

[…]

5

U članku 7. navedene direktive navodi se:

„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:

[…]”

6

U skladu s člankom 10. iste direktive:

„Države članice propisuju da nadzornik ili njegov zastupnik moraju dati osobi čiji se podaci obrađuju, a od koje se prikupljaju podaci, barem sljedeće podatke, osim u slučaju da ih već ima:

ako su takvi daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci prikupljaju, osigurati poštenu obradu u odnosu na osobu čiji se podaci obrađuju.”

7

U uvodnim izjavama 17. i 24. Direktive 2002/58 navodi se:

[…]

8

Članak 1. Direktive 2002/58 predviđa:

„1.   Direktiva osigurava usklađenost nacionalnih odredbi koje su potrebne kako bi se osigurala odgovarajuća razina zaštite osnovnih prava i sloboda, a posebno prava na privatnost i povjerljivost, s obzirom na obradu osobnih podataka u području elektroničkih komunikacija, te kako bi se osiguralo slobodno kretanje takvih podataka i elektroničke komunikacijske opreme i usluga u [Europskoj uniji].

2.   Odredbe ove Direktive pojašnjavaju i nadopunjuju Direktivu [95/46] u svrhe spomenute u stavku 1. […]”

9

U članku 2. te direktive određuje se:

„Definicije iz Direktive [95/46] i Direktive 2002/21/EZ Europskog parlamenta i Vijeća od 7. ožujka 2002. o zajedničkom regulatornom okviru za elektroničke komunikacijske mreže i usluge (Okvirna direktiva) [(SL 2002., L 108, str. 33.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 49., str. 25.)] primjenjuju se osim ako nije drukčije određeno.

Sljedeće definicije se također primjenjuju:

[…]

[…]”

10

Članak 5. stavak 3. navedene direktive predviđa:

„Države članice osiguravaju da je pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi pretplatnika ili korisnika, dozvoljeno samo pod uvjetom da je dotični pretplatnik ili korisnik dao svoj pristanak, nakon što je iscrpno i razumljivo, u skladu s Direktivom [95/46], između ostalog obaviješten o namjeni postupka obrade. Navedeno ne sprečava nikakav oblik tehničke pohrane ili pristupa samo u svrhu izvršavanja prijenosa komunikacije putem elektroničke komunikacijske mreže ili ako je to strogo potrebno, kako bi operator usluge informacijskog društva mogao pružiti uslugu koju je izričito zatražio pretplatnik ili korisnik.”

11

U uvodnoj izjavi 32. Uredbe 2016/679 navodi se:

„Privola bi se trebala davati jasnom potvrdnom radnjom kojom se izražava dobrovoljan, poseban, informiran i nedvosmislen pristanak ispitanika na obradu osobnih podataka koji se odnose na njega, poput pisane izjave, uključujući elektroničku, ili usmene izjave. To bi moglo obuhvaćati označivanje polja kvačicom pri posjetu internetskim stranicama, biranje tehničkih postavaka usluga informacijskog društva ili drugu izjavu ili ponašanje koje jasno pokazuje u tom kontekstu da ispitanik prihvaća predloženu obradu svojih osobnih podataka. Šutnja, unaprijed kvačicom označeno polje ili manjak aktivnosti stoga se ne bi smjeli smatrati privolom. Privola bi trebala obuhvatiti sve aktivnosti obrade koje se obavljaju u istu svrhu ili svrhe. Kada obrada ima višestruke svrhe, privolu bi trebalo dati za sve njih. Ako se privola ispitanika treba dati nakon zahtjeva upućenog elektroničkim putem, taj zahtjev mora biti jasan, jezgrovit i ne smije nepotrebno ometati upotrebu usluge za koju se upotrebljava.”

12

Člankom 4. te uredbe određuje se:

„Za potrebe ove Uredbe:

[…]

[…]”

13

Člankom 6. navedene uredbe predviđa se:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]”

14

U članku 7. stavku 4. iste uredbe navodi se:

„Kada se procjenjuje je li privola bila dobrovoljna, u najvećoj mogućoj mjeri uzima se u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora.”

15

U skladu s člankom 13. stavcima 1. i 2. Uredbe 2016/679:

„1.   Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:

[…]

[…]

2.   Osim informacija iz stavka 1., voditelj obrade u trenutku kada se osobni podaci prikupljaju pruža ispitaniku sljedeće dodatne informacije potrebne kako bi se osigurala poštena i transparentna obrada:

[…]”

16

Člankom 94. te uredbe određuje se:

„1.   Direktiva [95/46] stavlja se izvan snage s učinkom od 25. svibnja 2018.

2.   Upućivanja na direktivu koja je stavljena izvan snage tumače se kao upućivanja na ovu Uredbu. Upućivanja na Radnu skupinu o zaštiti pojedinaca s obzirom na obradu osobnih podataka osnovanu člankom 29. Direktive [95/46] tumače se kao upućivanja na Europski odbor za zaštitu podataka osnovan ovom Uredbom.”

17

U skladu s člankom 307. stavkom 1. prvom rečenicom Bürgerliches Gesetzbucha (Građanski zakonik, u daljnjem tekstu: BGB), „[o]dredbe općih uvjeta poslovanja ništetne su ako neopravdano i protivno načelu savjesnosti i poštenja dovode u nepovoljniji položaj stranku koja je sklopila ugovor s korisnikom”.

18

Člankom 307. stavkom 2. točkom 1. BGB‑a određuje se da će se, u slučaju dvojbe, „smatrati da postoji neopravdano dovođenje u nepovoljniji položaj ako odredba nije u skladu s temeljnim idejama zakonskog uređenja od kojeg odstupa”.

19

Člankom 12. Telemediengesetza (Zakon o elektroničkim medijima) od 26. veljače 2007. (BGBl. 2007. I, str. 179.), u tekstu koji se primjenjuje u sporu iz glavnog postupka (u daljnjem tekstu: TMG), određuje se:

„(1)   Pružatelj usluga može prikupljati i koristiti osobne podatke radi stavljanja na raspolaganje elektroničkim medijima samo ako je to dopušteno ovim zakonom ili drugim pravnim instrumentom koji se izričito odnosi na elektroničke medije ili ako je na to pristao korisnik.

(2)   Pružatelj usluga može koristiti osobne podatke prikupljene radi stavljanja na raspolaganje elektroničkim medijima u druge svrhe samo ako je to dopušteno ovim zakonom ili drugim pravnim instrumentom koji se izričito odnosi na elektroničke medije ili ako je na to pristao korisnik.

(3)   Osim ako nije drukčije propisano, važeće zakonodavstvo kojim se uređuje zaštita osobnih podataka treba primijeniti čak i ako podaci nisu predmet automatske obrade.”

20

U skladu s člankom 13. stavkom 1. TMG‑a, pružatelj usluga mora korisnika prije početka korištenja u općerazumljivom obliku obavijestiti o načinu, opsegu i svrsi prikupljanja i korištenja osobnih podataka, ako ga o tome već nije prethodno obavijestio. U automatiziranim postupcima koji omogućuju naknadnu identifikaciju korisnika i pripremaju prikupljanje ili korištenje osobnih podataka korisnik treba biti obaviješten na početku tog postupka.

21

U skladu s člankom 15. stavkom 3. TMG‑a, pružatelj usluga može za potrebe oglašavanja, istraživanja tržišta ili prilagođavanja potrebama elektroničkih medija izraditi korisničke profile upotrebom pseudonima, pod uvjetom da se korisnik, koji je obaviješten da ima pravo tomu se usprotiviti, tomu ne protivi.

22

Prema definiciji iz članka 3. stavka 1. Bundesdatenschutzgesetza (Savezni zakon o zaštiti podataka) od 20. prosinca 1990. (BGBl. 1990. I, str. 2954.), u verziji primjenjivoj u glavnom postupku (u daljnjem tekstu: BDSG), „osobni podaci su pojedinačne informacije o osobnim ili stvarnim odnosima fizičke osobe čiji je identitet poznat ili se može odrediti (u daljnjem tekstu: ispitanik)”.

23

Prema definiciji koju članak 3. stavak 3. BDSG‑a daje za taj pojam, prikupljanje je pribavljanje podataka o ispitaniku.

24

Članak 4. bis stavak 1. prva rečenica BDSG‑a, kojim se prenosi članak 2. točka (h) Direktive 95/46, određuje da je privola valjana samo ako se temelji na slobodnoj odluci dotične osobe.

25

Dana 24. rujna 2013. društvo Planet49 organiziralo je nagradnu igru na internetskoj stranici www.dein‑macbook.de.

26

Internetski korisnici koji su željeli sudjelovati u toj igri morali su unijeti svoj poštanski broj, čime su bili preusmjereni na internetsku stranicu na kojoj je trebalo upisati svoje ime i adresu. Ispod polja u kojima je trebalo ispuniti adresu navodile su se dvije napomene, a uz njih su stajala polja za označavanje kvačicom. Prva napomena, uz koju polje (u daljnjem tekstu: prvo polje za označavanje kvačicom) nije bilo unaprijed označeno kvačicom, glasila je ovako:

„Suglasan sam da me sponzori i partneri mogu poštom, telefonom, elektroničkom ili SMS porukom obavještavati o ponudama iz svojeg područja poslovanja. Njih mogu ovdje sam odrediti, u protivnom će ih izabrati organizator. Pristanak mogu u svakom trenutku povući. Više informacija o tome ovdje.”

27

Druga napomena, uz koju je polje (u daljnjem tekstu: drugo polje za označavanje kvačicom) bilo unaprijed označeno kvačicom, glasila je ovako:

„Suglasan sam da se na mene primijeni usluga web‑analize Remintrex. Organizator nagradne igre [Planet49] stoga će nakon izvršene registracije za nagradnu igru postaviti svoje kolačiće uz pomoć kojih će putem Remintrexa moći koristiti moja pregledavanja interneta i posjete internetskim stranicama oglašivačkih partnera te pružati ciljane oglase prema mojim interesima. Kolačiće mogu u svakom trenutku izbrisati. Pročitajte više ovdje.”

28

Sudjelovanje u nagradnoj igri bilo je moguće tek nakon što je barem prvo polje bilo označeno kvačicom.

29

Elektronička poveznica uz riječi „sponzori i partneri” i „ovdje”, koja je postavljena u napomeni pokraj prvog polja za označavanje kvačicom, preusmjeravala je na popis od 57 poduzeća uz koja su se navodile njihove adrese, oglašavano područje poslovanja i način komuniciranja koji će se koristiti za oglašavanje (elektronička pošta, pošta ili telefon). Iza naziva svakog poduzeća navodila se podcrtana riječ „odjavi”. Ispred popisa stajala se sljedeća napomena:

„Ako kliknem na poveznicu ‚odjavi’, odlučio sam da se navedenom partneru/sponzoru ne može dati suglasnost za oglašavanje. Ako ne odjavim nijednog ili ne odjavim dovoljno partnera/sponzora, društvo Planet49 odabrat će za mene po slobodnoj ocjeni partnere/sponzore (najviše 30 partnera/sponzora).”

30

Aktiviranjem elektroničke poveznice postavljene u napomeni uz drugo polje za označavanje kvačicom, uz riječ „ovdje”, pojavljuju se sljedeće informacije:

„Kolačići postavljeni pod nazivima ceng_cache, ceng_etag, ceng_png i gcr male su datoteke koje na Vaš tvrdi disk pohranjuje preglednik kojim se koristite, a preko njih se dijeli određeni broj informacija koje omogućuju oglašavanje koje je učinkovitije i bolje prilagođeno korisniku. Kolačići sadržavaju određeni slučajnim odabirom utvrđen broj (ID) koji je istodobno povezan s Vašim registracijskim podacima. Ako nakon toga posjetite stranicu oglašivačkog partnera koji je registriran na Remintrexu (je li registriran vidjet ćete iz izjave o zaštiti podataka oglašivačkog partnera), Remintrex će pomoću ondje uključenog iFramea automatski prepoznati da ste Vi (odnosno korisnik s pohranjenim ID‑om) posjetili stranicu, koji Vas je proizvod zanimao i je li eventualno došlo do sklapanja ugovora.

Na temelju privole za oglašavanje koju ste dali prilikom registracije za nagradnu igru, [Planet49] može zatim odrediti da Vam se dostavljaju promidžbene poruke ovisno o interesima koje ste izrazili na stranici oglašivačkog partnera. Naravno, ako povučete privolu za oglašavanje, više nećete dobivati poruke elektroničkom poštom.

Informacije prenesene putem kolačića koriste se isključivo za potrebe oglašavanja proizvoda oglašivačkog partnera. Informacije se prikupljaju, pohranjuju i koriste zasebno za svakog oglašivačkog partnera. Korisnički profili ni u kojem se slučaju ne sastavljaju za potrebe više oglašivačkih partnera. Različiti oglašivački partneri ne dobivaju nikakve osobne podatke.

Ako više ne želite koristiti kolačiće, u bilo kojem ih trenutku možete izbrisati preko svojeg preglednika. Upute možete pronaći u postavkama [‚pomoć’] svojeg preglednika.

Preko kolačića se ne mogu pokretati programi ni prenijeti virusi.

Naravno, svoju privolu možete u svakom trenutku povući. O povlačenju možete obavijestiti pisanim putem [Planet49] [adresa]. Međutim, dovoljno je poslati i običnu elektroničku poruku našoj službi za korisnike [adresa elektroničke pošte].”

31

Iz odluke kojom se upućuje zahtjev razvidno je da su kolačići datoteke koje pružatelj internetske stranice postavlja na računalo korisnika te stranice i kojima može iznova pristupiti kada korisnik ponovno posjeti stranicu, radi olakšavanja korištenja interneta ili transakcija ili prikupljanja informacija o korisnikovim navikama.

32

U okviru bezuspješne opomene, Savez, koji je uvršten na popis subjekata koji imaju aktivnu procesnu legitimaciju na temelju članka 4. Gesetza über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (Zakon o postupcima povodom tužbe za prestanak povrede potrošačkih i drugih prava) od 26. studenoga 2001. (BGBl. 2001. I, str. 3138.), tvrdio je da izjave o suglasnosti koje je Planet49 tražio putem prvog i drugog polja za označavanje kvačicom nisu ispunjavale uvjete propisane odredbama članka 307. BGB‑a u vezi s člankom 7. stavkom 2. točkom 2. Gesetza gegen den unlauteren Wettbewerb (Zakon o suzbijanju nepoštenog tržišnog natjecanja) od 3. srpnja 2004. (BGBl. 2004. I, str. 1414.), u verziji primjenjivoj u glavnom postupku, i članka 12. i sljedećih TMG‑a.

33

Savez je podnio tužbu pred Landgerichtom Frankfurt am Main (Zemaljski sud u Frankfurtu na Majni, Njemačka) zahtijevajući od društva Planet49 da, u bitnome, prestane zahtijevati takve izjave o suglasnosti i da mu se naloži plaćanje iznosa od 214 eura uvećanog za kamate koje teku od 15. ožujka 2014.

34

Landgericht Frankfurt am Main (Zemaljski sud u Frankfurtu na Majni) tu je tužbu djelomično prihvatio.

35

Nakon što je Planet49 podnio žalbu pred Oberlandesgerichtom Frankfurt am Main (Visoki zemaljski sud u Frankfurtu na Majni, Njemačka), taj je sud zaključio da zahtjev Saveza – da Planet49 prestane u ugovore o nagradnoj igri koje sklapa s potrošačima uključivati napomenu poput one navedene u točki 27. ove presude, čije je drugo polje bilo unaprijed označeno kvačicom – nije osnovan zato što je, s jedne strane, korisnik znao da postoji mogućnost uklanjanja kvačice s tog polja i što je, s druge strane, ono bilo predstavljeno tipografski dovoljno jasno te je pružalo informacije o načinima korištenja kolačića, pri čemu nije bilo potrebno otkrivati identitet trećih osoba koje mogu imati pristup prikupljenim informacijama.

36

Bundesgerichtshof (Savezni vrhovni sud, Njemačka), pred kojim je Savez pokrenuo revizijski postupak, smatra da ishod spora u glavnom postupku ovisi o tumačenju povezanih odredbi članka 5. stavka 3. i članka 2. točke (f) Direktive 2002/58, članka 2. točke (h) Direktive 95/46 i članka 6. stavka 1. točke (a) Uredbe 2016/679.

37

Dvojeći o valjanosti, u kontekstu tih odredbi, privole koju je Planet49 pribavio od korisnikâ internetske stranice www.dein‑macbook.de korištenjem drugog polja za označavanje kvačicom kao i o opsegu obveze informiranja iz članka 5. stavka 3. Direktive 2002/58, Bundesgerichtshof (Savezni vrhovni sud) odlučio je prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

38

Uvodno treba ispitati primjenjuju li se Direktiva 95/46 i Uredba 2016/679 na činjenice iz glavnog postupka.

39

Direktiva 95/46 s učinkom od 25. svibnja 2018. stavljena je izvan snage i zamijenila ju je Uredba 2016/679, u skladu s člankom 94. stavkom 1. te uredbe.

40

To se dogodilo nakon posljednje rasprave koja je održana pred sudom koji je uputio zahtjev, dakle 14. srpnja 2017., kao i nakon što je taj sud pokrenuo postupak pred Sudom upućivanjem zahtjeva za prethodnu odluku.

41

Međutim, sud koji je uputio zahtjev naveo je da – imajući u vidu stupanje na snagu Uredbe 2016/679 dana 25. svibnja 2018., na koju se, uostalom, odnosi dio prvog pitanja – tu uredbu vjerojatno treba uzeti u obzir u trenutku donošenja odluke u glavnom postupku. Nadalje, kao što je to njemačka vlada navela na raspravi pred Sudom, nije isključeno da se, imajući u vidu da je cilj postupka koji je Savez pokrenuo prekid budućeg ponašanja društva Planet49, Uredba 2016/679 u glavnom postupku primjenjuje ratione temporis zbog nacionalne sudske prakse o mjerodavnoj pravnoj situaciji u području tužbi za prestanak povrede, što treba provjeriti sud koji je uputio zahtjev (vidjeti, u pogledu deklaratorne tužbe, presudu od 16. siječnja 2019., Deutsche Post, C‑496/17, EU:C:2019:26, t. 38.).

42

U tim okolnostima, imajući u vidu činjenicu da, u skladu s člankom 94. stavkom 2. Uredbe 2016/679, upućivanja u Direktivi 2002/58 na Direktivu 95/46 treba shvatiti kao upućivanja na tu uredbu, u konkretnom slučaju nije isključeno da se Direktiva 2002/58 primjenjuje zajedno s Direktivom 95/46 ili s Uredbom 2016/679, ovisno o naravi zahtjevâ Saveza i konkretnom razdoblju.

43

Na postavljena pitanja stoga treba odgovoriti i na temelju Direktive 95/46 i na temelju Uredbe 2016/679.

44

Prvim pitanjem pod (a) i (c) sud koji je uputio zahtjev u biti pita treba li članak 2. točku (f) i članak 5. stavak 3. Direktive 2002/58, u vezi s člankom 2. točkom (h) Direktive 95/46 i člankom 6. stavkom 1. točkom (a) Uredbe 2016/679, tumačiti na način da je privola koja je predviđena tim odredbama valjano dana ako se pohranjivanje informacija ili pristup informacijama već pohranjenima na terminalnoj opremi korisnika internetske stranice, putem kolačića, dopušta poljem koje je unaprijed označeno kvačicom, a koju korisnik mora ukloniti da bi odbio dati svoju privolu.

45

Uvodno treba istaknuti da, prema informacijama navedenima u odluci kojom se upućuje zahtjev, kolačići koji mogu biti postavljeni na terminalnoj opremi korisnika koji sudjeluje u nagradnoj igri u organizaciji društva Planet49 sadržavaju broj koji se dodjeljuje registracijskim podacima tog korisnika, koji mora upisati svoje ime i adresu u obrazac za sudjelovanje u toj igri. Sud koji je uputio zahtjev dodaje da se povezivanjem tog broja i tih podataka personaliziraju pohranjeni podaci preko kolačića kad se korisnik koristi internetom, tako da prikupljanje tih podataka preko kolačića spada u obradu osobnih podataka. Planet49 potvrdio je te navode te je u svojim pisanim očitovanjima naglasio da privola koja odgovara drugom polju za označavanje kvačicom ima za cilj dopustiti prikupljanje i obradu osobnih podataka, a ne anonimnih informacija.

46

Imajući vidu navedeno, treba istaknuti da, prema članku 5. stavku 3. Direktive 2002/58, države članice moraju osigurati da pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi korisnika bude dopušteno samo pod uvjetom da je korisnik dao svoj pristanak, nakon što je u skladu s Direktivom 95/46 iscrpno i razumljivo obaviješten, među ostalim, o namjeni postupka obrade.

47

U tom smislu valja podsjetiti na to da iz zahtjeva za ujednačenu primjenu prava Unije kao i načela jednakosti proizlazi da pojmovi iz odredbe prava Unije – koja ne sadržava nikakvo izričito upućivanje na pravo država članica radi utvrđivanja svojeg smisla i dosega – u pravilu trebaju u cijeloj Uniji imati autonomno i ujednačeno tumačenje (presude od 26. ožujka 2019., SM (Dijete stavljeno u sustav alžirske kafale), C‑129/18, EU:C:2019:248, t. 50. i od 11. travnja 2019., Tarola, C‑483/17, EU:C:2019:309, t. 36.).

48

Nadalje, prema ustaljenoj sudskoj praksi Suda, pri tumačenju odredbe prava Unije u obzir treba uzeti ne samo njezin tekst i njezine ciljeve nego i njezin kontekst i sve odredbe prava Unije. Nastanak neke odredbe prava Unije može se također pokazati važnim za njezino tumačenje (presuda od 10. prosinca 2018., Wightman i dr., C‑621/18, EU:C:2018:999, t. 47. i navedena sudska praksa).

49

Kada je riječ o tekstu članka 5. stavka 3. Direktive 2002/58, valja istaknuti da, iako ta odredba izričito predviđa da je korisnik morao „da[ti] svoj pristanak” za postavljanje i pregledavanje kolačića na svojoj terminalnoj opremi, ona, naprotiv, ne sadržava naznake o tome na koji način treba dati taj pristanak. Međutim, izraz „dao svoj pristanak” pogodan je za doslovno tumačenje, prema kojem je za izražavanje privole potrebna korisnikova radnja. U tom pogledu iz uvodne izjave 17. Direktive 2002/58 proizlazi da korisnik može dati pristanak u smislu te direktive na bilo koji prikladan način koji mu omogućuje da slobodno navede posebne i informirane naznake svojih želja, uključujući „označivanje kvačicom prilikom posjete nekoj stranici na Internetu”.

50

Kada je riječ o kontekstu članka 5. stavka 3. Direktive 2002/58, treba naglasiti da njezin članak 2. točka (f), u kojem se definira „pristanak” u smislu te direktive, s tim u vezi upućuje na „suglasnost osobe čiji se podaci obrađuju”, koja se spominje u Direktivi 95/46. U uvodnoj izjavi 17. Direktive 2002/58 navodi se da korisnikov pristanak u smislu te direktive mora imati isto značenje kao pristanak osobe čiji se podaci obrađuju, kako je definiran i detaljnije opisan u Direktivi 95/46.

51

U članku 2. točki (h) potonje direktive „suglasnost osobe čiji se podaci obrađuju” definira se kao „svaka dobrovoljno dana, posebna i informirana izjava volje kojom osoba čiji se podaci obrađuju daje svoju suglasnost da se obrade osobni podaci koji se na nju odnose”.

52

Kao što je to nezavisni odvjetnik naglasio u točki 60. svojeg mišljenja, zahtjev postojanja „izjave” volje osobe čiji se podaci obrađuju jasno upućuje na aktivno, a ne pasivno djelovanje. No, privola dana poljem koje je unaprijed označeno kvačicom ne uključuje aktivno djelovanje korisnika internetske stranice.

53

U prilog tom tumačenju govori članak 7. Direktive 95/46, u kojem se predviđa taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom (vidjeti u tom smislu presude od 24. studenoga 2011., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10, EU:C:2011:777, t. 30. i od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 57.).

54

Konkretno, u članku 7. točki (a) Direktive 95/46 predviđa se da ispitanikova privola može takvu obradu učiniti dopuštenom ako je ispitanik „nedvosmisleno” dao svoju privolu. Međutim, taj zahtjev može se ispuniti isključivo aktivnim djelovanjem te osobe u cilju izražavanja privole.

55

U tom pogledu, praktički je nemoguće objektivno utvrditi je li korisnik internetske stranice stvarno dao privolu da se obrađuju njegovi osobni podaci time što nije uklonio kvačicu s polja koje je bilo unaprijed njome označeno, a u svakom slučaju ni to je li prilikom tog davanja privole bio informiran. Naime, ne može se isključiti mogućnost da taj korisnik nije pročitao informacije navedene uz polje koje je bilo unaprijed označeno kvačicom ili da to polje nije ni primijetio, prije nego što je nastavio svoju aktivnost na internetskoj stranici koju posjećuje.

56

Konačno, kada je riječ o povijesti nastanka članka 5. stavka 3. Direktive 2002/58, treba reći da je prvotna verzija te odredbe predviđala samo zahtjev da korisnik mora imati „pravo odbiti” postavljanje kolačića, nakon što je u skladu s Direktivom 95/46 iscrpno i razumljivo obaviješten, uz ostalo, o namjeni postupka obrade. Direktiva 2009/136 uvela je bitnu izmjenu u tekst te odredbe, zamjenjujući taj izraz riječima „dao svoj pristanak”. Dakle, povijest nastanka članka 5. stavka 3. Direktive 2002/58 upućuje na to da se korisnikova privola sada više ne može predmnijevati i da mora proizlaziti iz njegova aktivnog djelovanja.

57

S obzirom na prethodno navedeno, privola iz članka 2. točke (f) i članka 5. stavka 3. Direktive 2002/58, u vezi s člankom 2. točkom (h) Direktive 95/46, nije, dakle, valjano dana ako se pohranjivanje informacija ili pristup informacijama koje su već pohranjene na terminalnoj opremi korisnika internetske stranice dopušta poljem koje je pružatelj usluge unaprijed označio kvačicom, a koju korisnik mora ukloniti da bi odbio dati svoju privolu.

58

Treba dodati da izjava volje iz članka 2. točke (h) Direktive 95/46, uz ostalo, mora biti „posebna”, u smislu da se mora konkretno odnositi na dotičnu obradu podataka i da se o njezinu postojanju ne može zaključivati na temelju izjave volje koja ima drukčiji cilj.

59

U konkretnom slučaju, suprotno tvrdnjama društva Planet49, činjenica da je korisnik aktivirao gumb za sudjelovanje u nagradnoj igri koju organizira to društvo ne može stoga biti dovoljna za zaključak da je korisnik valjano dao privolu za postavljanje kolačića.

60

Navedeno tumačenje tim se više nameće u kontekstu Uredbe 2016/679.

61

Naime, kao što je to u biti zaključio nezavisni odvjetnik u točki 70. svojeg mišljenja, formulacija članka 4. točke 11. Uredbe 2016/679, koji definira „privolu ispitanika” za potrebe te uredbe, i posebno njezina članka 6. stavka 1. točke (a), na koji se odnosi prvo pitanje pod (c), još je stroža od one iz članka 2. točke (h) Direktive 95/46 jer zahtijeva „dobrovoljno, posebno, informirano i nedvosmisleno” očitovanje volje ispitanika, u obliku izjave ili „jasn[e] potvrdn[e] radnj[e]” kojom se daje pristanak na obradu osobnih podataka koji se na njega odnose.

62

Dakle, aktivna privola sada se izričito predviđa Uredbom 2016/679. U tom smislu valja istaknuti da se, prema uvodnoj izjavi 32. te uredbe, privola može izraziti, među ostalim, označivanjem polja kvačicom prilikom posjeta internetskoj stranici. Naprotiv, ta uvodna izjava izričito isključuje postojanje privole u slučaju „[š]utnj[e], unaprijed kvačicom označeno[g] polj[a] ili manj[ka] aktivnosti”.

63

Prema tome, privola iz članka 2. točke (f) i članka 5. stavka 3. Direktive 2002/58, u vezi s člankom 4. točkom 11. i člankom 6. stavkom 1. točkom (a) Uredbe 2016/679, nije valjano dana ako se pohranjivanje informacija ili pristup informacijama već pohranjenima na terminalnoj opremi korisnika internetske stranice dopušta poljem koje je unaprijed označeno kvačicom, a koju korisnik mora ukloniti da bi odbio dati svoju privolu.

64

Konačno, treba naglasiti da sud koji je uputio zahtjev nije Sudu postavio pitanje je li okolnost da korisnikova privola za obradu njegovih osobnih podataka za potrebe oglašavanja utječe na mogućnost njegova sudjelovanja u nagradnoj igri – kao što se to čini da je slučaj u ovom predmetu, sudeći prema informacijama navedenima u odluci kojom se upućuje zahtjev, barem u pogledu prvog polja koje se označava kvačicom – u skladu sa zahtjevom „dobrovoljne” privole u smislu članka 2. točke (h) Direktive 95/46 te članka 4. točke 11. i članka 7. stavka 4. Uredbe 2016/679. U tim okolnostima nema potrebe da Sud ispituje to pitanje.

65

Slijedom svih navedenih razmatranja, na prvo pitanje pod (a) i (c) valja odgovoriti da članak 2. točku (f) i članak 5. stavak 3. Direktive 2002/58, u vezi s člankom 2. točkom (h) Direktive 95/46 te člankom 4. točkom 11. i člankom 6. stavkom 1. točkom (a) Uredbe 2016/679, treba tumačiti na način da privola koja je predviđena tim odredbama nije valjano dana ako se pohranjivanje informacija ili pristup informacijama već pohranjenima na terminalnoj opremi korisnika internetske stranice, putem kolačića, dopušta poljem koje je unaprijed označeno kvačicom, a koju korisnik mora ukloniti da bi odbio dati svoju privolu.

66

Prvim pitanjem pod (b) sud koji je uputio zahtjev u biti pita treba li članak 2. točku (f) i članak 5. stavak 3. Direktive 2002/58, u vezi s člankom 2. točkom (h) Direktive 95/46 te člankom 4. točkom 11. i člankom 6. stavkom 1. točkom (a) Uredbe 2016/679, tumačiti različito ovisno o tome jesu li informacije koje se pohranjuju ili pregledavaju na terminalnoj opremi korisnika internetske stranice osobni podaci u smislu Direktive 95/46 i Uredbe 2016/679.

67

Kao što je to navedeno u točki 45. ove presude, iz odluke kojom se upućuje zahtjev razvidno je da postavljanje kolačića o kojima je riječ u glavnom postupku doprinosi obradi osobnih podataka.

68

S obzirom na to, u svakom slučaju treba reći da članak 5. stavak 3. Direktive 2002/58 spominje „pohranjivanje podataka” i „pristup već pohranjenim podacima”, ali da pritom te informacije ne definira niti navodi da bi one trebale biti osobni podaci.

69

Kao što je to nezavisni odvjetnik zaključio u točki 107. svojeg mišljenja, cilj je te odredbe, dakle, zaštititi korisnika od bilo kakvog zadiranja u privatnost, neovisno o tome odnosi li se to zadiranje na osobne podatke.

70

U prilog tom tumačenju govori uvodna izjava 24. Direktive 2002/58, prema kojoj su sve informacije koje su pohranjene na terminalnoj opremi korisnika elektroničke komunikacijske mreže dio korisnikova privatnog područja koje zahtijeva zaštitu prema Europskoj konvenciji za zaštitu ljudskih prava i temeljnih sloboda. Ta se zaštita primjenjuje na sve informacije pohranjene na toj terminalnoj opremi, neovisno o tome je li riječ o osobnim podacima, a cilj joj je, kao što to proizlazi iz te iste uvodne izjave, među ostalim, zaštita korisnika od opasnosti da skriveni identifikatori ili druga slična sredstva uđu u terminalnu opremu tih korisnika bez njihova znanja.

71

Slijedom navedenih razmatranja, na prvo pitanje pod (b) valja odgovoriti da članak 2. točku (f) i članak 5. stavak 3. Direktive 2002/58, u vezi s člankom 2. točkom (h) Direktive 95/46 te člankom 4. točkom 11. i člankom 6. stavkom 1. točkom (a) Uredbe 2016/679, ne treba tumačiti različito ovisno o tome jesu li informacije koje se pohranjuju ili pregledavaju na terminalnoj opremi korisnika internetske stranice osobni podaci u smislu Direktive 95/46 i Uredbe 2016/679.

72

Drugim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 5. stavak 3. Direktive 2002/58 tumačiti na način da informacije koje pružatelj usluga mora pružiti korisniku internetske stranice uključuju trajanje kolačića i pitanje imaju li treće osobe mogućnost pristupa tim kolačićima.

73

Kao što to već proizlazi iz točke 46. ove presude, članak 5. stavak 3. Direktive 2002/58 zahtijeva da korisnik mora dati svoju privolu, nakon što je „u skladu s Direktivom [95/46]” iscrpno i razumljivo obaviješten, među ostalim, o namjeni postupka obrade.

74

Kao što je to nezavisni odvjetnik naglasio u točki 115. svojeg mišljenja, iscrpne i razumljive informacije trebaju korisniku omogućiti da lako uvidi posljedice mogućeg davanja privole te osigurati da ona bude dana imajući na raspolaganju sve činjenice. Te informacije moraju biti lako razumljive i dovoljno detaljne da korisniku omoguće da shvati način na koji kolačići funkcioniraju.

75

U okolnostima poput onih iz glavnog postupka – u kojima je svrha kolačića, sudeći prema informacijama iz spisa dostavljenog Sudu, prikupljanje informacija za potrebe oglašavanja o proizvodima partnerâ organizatora nagradne igre – trajanje kolačića i pitanje imaju li treće osobe mogućnost pristupa tim kolačićima dio su iscrpne i razumljive informacije koja mora biti pružena korisniku u skladu s člankom 5. stavkom 3. Direktive 2002/58.

76

U tom pogledu treba istaknuti da se u članku 10. Direktive 95/46, na koji upućuje članak 5. stavak 3. Direktive 2002/58, i u članku 13. Uredbe 2016/679 navode informacije koje voditelj obrade mora pružiti osobi od koje prikuplja podatke koji se na nju odnose.

77

Te informacije, u skladu s člankom 10. Direktive 95/46, uključuju, uz identitet voditelja obrade i svrhe obrade za koju su podaci namijenjeni, među ostalim, i sve dodatne informacije kao što su primatelji ili kategorije primatelja podataka, ako su te dodatne informacije, uzimajući u obzir posebne okolnosti u kojima se podaci prikupljaju, potrebne za osiguravanje poštene obrade podataka u odnosu na osobu čiji se podaci obrađuju.

78

Iako se među tim informacijama ne navodi trajanje obrade podataka, iz riječi „barem”, spomenute u članku 10. Direktive 95/46, ipak je razvidno da one nisu nabrojene taksativno. Međutim, treba smatrati da informacija o trajanju kolačića ispunjava uvjet poštene obrade podataka predviđen navedenim člankom jer u okolnostima poput onih iz glavnog postupka dugotrajnost ili čak neograničeno dugo trajanje podrazumijeva prikupljanje mnogobrojnih informacija o navikama pretraživanja i učestalosti eventualnih korisnikovih posjećivanja stranica oglašivačkih partnera organizatora nagradne igre.

79

U prilog tom tumačenju govori članak 13. stavak 2. točka (a) Uredbe 2016/679, u kojem se predviđa da voditelj obrade u cilju osiguravanja poštene i transparentne obrade mora ispitaniku pružiti informacije, među ostalim, o razdoblju u kojem će osobni podaci biti čuvani ili, ako to nije moguće, kriterijima na temelju kojih se to razdoblje utvrđuje.

80

Što se tiče pitanja imaju li treće osobe mogućnost pristupa kolačićima, riječ je o informaciji koja je uključena među one spomenute u članku 10. točki (c) Direktive 95/46 i članku 13. stavku 1. točki (e) Uredbe 2016/679 jer se u tim odredbama izričito spominju primatelji ili kategorije primatelja podataka.

81

Slijedom navedenih razmatranja, na drugo pitanje valja odgovoriti da članak 5. stavak 3. Direktive 2002/58 treba tumačiti na način da informacije koje pružatelj usluga mora pružiti korisniku internetske stranice uključuju trajanje kolačića i pitanje imaju li treće osobe mogućnost pristupa tim kolačićima.

82

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (veliko vijeće) odlučuje: