–

het Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, vertegenwoordigd door P. Wassermann, Rechtsanwalt,

–

Planet49 GmbH, vertegenwoordigd door M. Jaschinski, J. Viniol en T. Petersen, Rechtsanwälte,

–

de Duitse regering, vertegenwoordigd door J. Möller als gemachtigde,

–

de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door F. De Luca, avvocato dello Stato,

–

de Portugese regering, vertegenwoordigd door L. Inez Fernandes, M. Figueiredo, L. Medeiros en C. Guerra als gemachtigden,

–

de Europese Commissie, vertegenwoordigd door G. Braun, H. Kranenborg en P. Costa de Oliveira als gemachtigden,

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 2, onder f), en van artikel 5, lid 3, van richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB 2002, L 201, blz. 37), zoals gewijzigd bij richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009 (PB 2009, L 337, blz. 11) (hierna: „richtlijn 2002/58”), gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), en artikel 6, lid 1, onder a), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46 (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1).

2

Dit verzoek is ingediend in het kader van een geding tussen het Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (federale vereniging van consumentenbeschermingsorganisaties, Duitsland) (hierna: „Bundesverband”) en Planet49 GmbH, een vennootschap die kansspelen op internet aanbiedt, over de toestemming van de deelnemers aan een door deze vennootschap georganiseerde reclameloterij voor de overdracht van hun persoonsgegevens aan sponsors en partners van deze vennootschap alsook voor de opslag van informatie en de toegang tot informatie die op de eindapparatuur van deze gebruikers is opgeslagen.

3

Artikel 1 van richtlijn 95/46 bepaalt:

„1.   De lidstaten waarborgen in verband met de verwerking van persoonsgegevens, overeenkomstig de bepalingen van deze richtlijn, de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer.

2.   De lidstaten mogen het vrije verkeer van persoonsgegevens tussen lidstaten beperken noch verbieden om redenen die met de uit hoofde van lid 1 gewaarborgde bescherming verband houden.”

4

Artikel 2 van deze richtlijn luidt:

„In de zin van deze richtlijn wordt verstaan onder:

[...]

5

In artikel 7 van deze richtlijn is het volgende vastgelegd:

„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:

[...]”

6

Artikel 10 van die richtlijn luidt:

„De lidstaten bepalen dat de voor de verwerking verantwoordelijke of diens vertegenwoordiger aan de betrokkene, bij wie de betrokkene zelf betreffende gegevens worden verkregen, ten minste de hiernavolgende informatie moet verstrekken, behalve indien de betrokkene daarvan reeds op de hoogte is:

voor zover die, met inachtneming van de specifieke omstandigheden waaronder de verdere informatie verkregen wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.”

7

De overwegingen 17 en 24 van richtlijn 2002/58 luiden als volgt:

[...]

8

Artikel 1, leden 1 en 2, van richtlijn 2002/58 bepaalt:

„1.   Deze richtlijn voorziet in de harmonisering van de regelgeving van de lidstaten die nodig is om een gelijk niveau van bescherming van fundamentele rechten en vrijheden – met name het recht op een persoonlijke levenssfeer en vertrouwelijkheid – bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen en om te zorgen voor het vrij verkeer van dergelijke gegevens en van elektronischecommunicatieapparatuur en -diensten in de [Europese Unie].

2.   Voor [...] de doelstellingen van lid 1 vormen de bepalingen van deze richtlijn een specificatie van en een aanvulling op richtlijn [95/46]. [...]”

9

In artikel 2 van deze richtlijn wordt het volgende bepaald:

„Tenzij anders is bepaald, zijn de definities van richtlijn [95/46] en richtlijn 2002/21/EG van het Europees Parlement en de Raad van 7 maart 2002 inzake een gemeenschappelijk regelgevingskader voor elektronischecommunicatienetwerken en -diensten (‚kaderrichtlijn’) [(PB 2002, L 108, blz. 33)] van toepassing.

Daarnaast wordt in deze richtlijn verstaan onder:

[...]

[...]”

10

Artikel 5, lid 3, van die richtlijn luidt:

„De lidstaten dragen ervoor zorg dat de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of gebruiker, alleen is toegestaan op voorwaarde dat de betrokken abonnee of gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie overeenkomstig richtlijn [95/46], onder meer over de doeleinden van de verwerking. Zulks vormt geen beletsel voor enige vorm van technische opslag of toegang met als uitsluitend doel de uitvoering van de verzending van een communicatie over een elektronisch communicatienetwerk, of, indien strikt noodzakelijk, om ervoor te zorgen dat de aanbieder van een uitdrukkelijk door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij deze dienst levert.”

11

Overweging 32 van verordening nr. 2016/679 is als volgt verwoord:

„Toestemming dient te worden gegeven door middel van een duidelijke actieve handeling, bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt. Hiertoe zou kunnen behoren het klikken op een vakje bij een bezoek aan een internetwebsite, het selecteren van technische instellingen voor diensten van de informatiemaatschappij of een andere verklaring of een andere handeling waaruit in dit verband duidelijk blijkt dat de betrokkene instemt met de voorgestelde verwerking van zijn persoonsgegevens. Stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit mag derhalve niet als toestemming gelden. De toestemming moet gelden voor alle verwerkingsactiviteiten die hetzelfde doel of dezelfde doeleinden dienen. Indien de verwerking meerdere doeleinden heeft, moet toestemming voor elk daarvan worden verleend. Indien de betrokkene zijn toestemming moet geven na een verzoek via elektronische middelen, dient dat verzoek duidelijk en beknopt te zijn en niet onnodig storend voor het gebruik van de dienst in kwestie.”

12

Artikel 4 van die verordening luidt:

„Voor de toepassing van deze verordening wordt verstaan onder:

[...]

[...]”

13

Artikel 6 van voornoemde verordening bepaalt:

„1.   De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

[...]”

14

Artikel 7, lid 4, van die verordening luidt:

„Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.”

15

Artikel 13, leden 1 en 2, van verordening 2016/679 is als volgt verwoord:

„1.   Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:

[...]

[...]

2.   Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:

[...]”

16

In artikel 94 van die verordening wordt het volgende bepaald:

„1.   Richtlijn [95/46] wordt met ingang van 25 mei 2018 ingetrokken.

2.   Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar deze verordening. Verwijzingen naar de groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens, die bij artikel 29 van richtlijn [95/46] is opgericht, gelden als verwijzingen naar het bij deze verordening opgerichte Europees Comité voor gegevensbescherming.”

17

Ingevolge § 307, lid 1, eerste volzin, van het Bürgerliche Gesetzbuch (hierna: „BGB”) „blijven de bepalingen uit algemene voorwaarden zonder gevolg wanneer deze de wederpartij van degene die deze voorwaarden hanteert, onevenredig benadelen in strijd met de goede trouw”.

18

Krachtens § 307, lid 2, punt 1, BGB wordt in geval van twijfel „uitgegaan van een onevenredige benadeling indien een bepaling onverenigbaar is met fundamentele overwegingen waarop de regeling waarvan wordt afgeweken, berust”.

19

In § 12 van het Telemediengesetz (wet betreffende onlinemedia) van 26 februari 2007 (BGBl. 2007 I, blz. 179), in de versie die van toepassing is op het hoofdgeding (hierna: „TMG”), wordt het volgende bepaald:

„(1)   De aanbieder van diensten mag persoonsgegevens in verband met de terbeschikkingstelling van onlinemedia slechts verzamelen en benutten, voor zover deze wet of een ander wettelijk voorschrift dat expliciet op onlinemedia betrekking heeft, dit toestaat of de gebruiker zijn toestemming heeft gegeven.

(2)   De aanbieder van diensten mag persoonsgegevens die voor de terbeschikkingstelling van onlinemedia zijn verzameld, slechts voor andere doeleinden benutten, voor zover deze wet of een ander wettelijk voorschrift dat expliciet op onlinemedia betrekking heeft, dit toestaat of de gebruiker zijn toestemming heeft gegeven.

(3)   Tenzij anders is bepaald, zijn de voor de bescherming van persoonsgegevens geldende regels van toepassing, ook wanneer de gegevens niet automatisch worden verwerkt.”

20

Ingevolge § 13, lid 1, TMG dient de aanbieder van diensten de gebruiker op het moment waarop met de gegevensverwerking wordt begonnen in algemeen begrijpelijke vorm in kennis te stellen van de wijze waarop zijn persoonsgegevens zullen worden verzameld, over de omvang van deze verzameling en over de doeleinden daarvan, tenzij dat eerder al is gebeurd. Bij geautomatiseerde procedures waardoor de gebruiker later geïdentificeerd kan worden en waarmee het verzamelen of het gebruik van persoonsgegevens wordt voorbereid, dient de gebruiker bij het begin van deze procedure te worden geïnformeerd.

21

Volgens § 15, lid 3, TMG mag de aanbieder van diensten met het oog op reclame, marktonderzoek of de gepaste vormgeving van zijn onlinemedia bij gebruik van pseudoniemen gebruikersprofielen opstellen, mits de gebruiker daartegen geen bezwaar maakt nadat hij op de hoogte is gesteld van zijn recht van bezwaar.

22

Volgens de definitie in § 3, lid 1, van het Bundesdatenschutzgesetz (federale wet betreffende gegevensbescherming) van 20 december 1990 (BGBl. 1990 I, blz. 2954), in de op het hoofdgeding toepasselijke versie (hierna: „BDSG”), zijn „[p]ersoonsgegevens [...] specifieke gegevens over persoonlijke of zakelijke omstandigheden betreffende een geïdentificeerde of identificeerbare natuurlijke persoon (de betrokkene)”.

23

In § 3, lid 3, BDSG wordt verzamelen gedefinieerd als het inwinnen van gegevens over de betrokkene.

24

§ 4a, lid 1, eerste volzin, BDSG zet artikel 2, onder h), van richtlijn 95/46 om en bepaalt dat er alleen rechtsgeldig toestemming wordt verleend wanneer deze berust op de vrije beslissing van de betrokkene.

25

Op 24 september 2013 heeft Planet49 een reclameloterij georganiseerd op de website www.dein-macbook.de.

26

Internetgebruikers die aan dit spel wilden deelnemen, moesten hun postcode invoeren, waarna zij op een website terechtkwamen waar zij hun naam en adres moesten opgeven. Onder de invoervelden voor het adres stonden twee mededelingen met daarbij selectievakjes. De eerste mededeling, waarvan het vakje (hierna: „eerste selectievakje”) niet standaard was aangevinkt, luidde als volgt:

„Ik vind het goed dat sponsors en partners mij per post of telefonisch dan wel via e‑mail of sms op de hoogte stellen van aanbiedingen die verband houden met hun respectievelijke activiteiten. Ik kan deze hier zelf bepalen; anders zal de keuze door de organisator worden gemaakt. Ik kan mijn instemming te allen tijde weer intrekken. Meer informatie daarover is hier te vinden.”

27

De tweede mededeling, waarvan het vakje (hierna: „tweede selectievakje”) standaard was aangevinkt, luidde als volgt:

„Ik vind het goed dat webanalysedienst Remintrex bij mij wordt ingeschakeld. Dat brengt mee dat de organisator van de loterij, Planet49 [...], na mijn registratie voor de loterij cookies zal plaatsen, waardoor deze in de gelegenheid zal zijn mijn surf‑ en gebruiksgedrag op websites van reclamepartners te analyseren en Remintrex mij specifieke reclameberichten zal kunnen toesturen. Deze cookies kan ik te allen tijde weer wissen. Meer daarover hier.”

28

Deelname aan de loterij was alleen mogelijk wanneer ten minste het eerste selectievakje was aangevinkt.

29

De mededeling bij het eerste selectievakje bevatte onder de woorden „sponsors en partners” en „hier” een elektronische link naar een lijst waarop 57 bedrijven stonden vermeld met hun adres, de activiteiten waarvoor reclame zou worden gemaakt en de daarvoor gebruikte communicatiemiddelen (email, post of telefoon). Onder elk bedrijf stond het onderstreepte woord „Afmelden”. De lijst werd voorafgegaan door de volgende aanwijzing:

„Door op de link ‚Afmelden’ te klikken, beslis ik dat aan de genoemde partner/sponsor geen toestemming mag worden gegeven om reclame te maken. Wanneer ik geen of onvoldoende partners/sponsors heb afgemeld, zal Planet49 naar eigen goeddunken partners/sponsors voor mij selecteren (maximaal aantal: 30 partners/sponsors).”

30

Door te klikken op de link die de mededeling bij het tweede vakje bevatte onder het woord „hier”, verscheen de volgende informatie:

„De geplaatste cookies met de namen ceng_cache, ceng_etag, ceng_png en gcr zijn kleine bestanden die door uw browser worden opgeslagen op uw harde schijf en waardoor gegevens worden binnengehaald die een gebruikersvriendelijkere en effectievere reclame mogelijk maken. De cookies bevatten een gerandomiseerd identificatienummer dat tevens is toegekend aan uw registratiegegevens. Wanneer u vervolgens de website van een voor Remintrex geregistreerde reclamepartner bezoekt (of er sprake is van registratie vindt u in de privacyverklaring van de reclamepartner), wordt via een iFrame van Remintrex automatisch geregistreerd dat u (d.w.z. de gebruiker met het opgeslagen identificatienummer) de website heeft bezocht, voor welk product u belangstelling had en of er al dan niet een overeenkomst is aangegaan.

Vervolgens kan Planet49 [...] u op basis van uw instemming met de reclame die u bij uw registratie voor de loterij heeft verleend, e‑mails met reclame toesturen waarin rekening wordt gehouden met uw interesses op de website van de reclamepartner. Wanneer u uw instemming met de reclame weer intrekt, zult u uiteraard geen reclame via e‑mail meer ontvangen.

De gegevens die via de cookies worden doorgegeven worden uitsluitend benut met het oog op reclame voor producten van de reclamepartner. De gegevens worden voor iedere reclamepartner apart verzameld, opgeslagen en benut. In geen geval zullen er gebruikersprofielen met de gegevens van verschillende reclamepartners worden opgesteld. De verschillende reclamepartners ontvangen geen persoonsgegevens.

Wanneer u niet wilt dat de cookies nog langer worden gebruikt, kunt u deze op elk gewenst moment in uw browser wissen. In de helpfunctie van uw browser kunt u een handleiding vinden.

De cookies kunnen geen programma’s op uw computer laten lopen of virussen overdragen.

Uiteraard kunt u uw instemming op elk gewenst moment weer intrekken. U kunt uw intrekking schriftelijk kenbaar maken aan Planet49 [...] [adres]. Een e‑mail naar onze klantenservice [e‑mailadres] volstaat echter ook.”

31

Uit de verwijzingsbeslissing blijkt dat cookies bestanden zijn die de provider van een website op de computer van de gebruiker van deze site plaatst en die bij een volgend bezoek aan deze website opnieuw beschikbaar zijn om het surfen op internet of het verrichten van transacties te faciliteren of om gegevens over het gebruikersgedrag te verkrijgen.

32

In het kader van een ingebrekestelling die niets opleverde, heeft het Bundesverband, dat is opgenomen in de lijst van beroepsgerechtigde entiteiten in de zin van artikel 4 van het Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) [wet inzake verbodsacties bij inbreuken op consumentenrecht en andere inbreuken (wet verbodsacties)] van 26 november 2001 (BGBl. 2001 I, blz. 3138), aangevoerd dat de verklaringen van instemming waar Planet49 met het eerste en het tweede selectievakje om vroeg, niet voldeden aan de vereisten uit § 307 BGB, gelezen in samenhang met § 7, lid 2, punt 2, van het Gesetz gegen den unlauteren Wettbewerb (wet betreffende oneerlijke concurrentie) van 3 juli 2004 (BGBl. 2004 I, blz. 1414), in de in het hoofdgeding toepasselijke versie (hierna: „UWG”), en §§ 12 e.v. TMG.

33

Het Bundesverband heeft beroep ingesteld bij het Landgericht Frankfurt am Main (rechter in eerste aanleg Frankfurt aan de Main, Duitsland) en in essentie gevorderd dat Planet49 voortaan nalaat om dergelijke verklaringen van instemming te vragen en ertoe wordt veroordeeld het Bundesverband het bedrag van 214 EUR te betalen, vermeerderd met rente vanaf 15 maart 2014.

34

Het Landgericht Frankfurt am Main heeft dit beroep gedeeltelijk toegewezen.

35

Planet49 heeft hoger beroep ingesteld bij het Oberlandesgericht Frankfurt am Main (hoogste rechterlijke instantie van de deelstaat Hessen, Frankfurt aan de Main, Duitsland). Vervolgens oordeelde deze rechter dat de vordering van het Bundesverband strekkende tot veroordeling van Planet49 om voortaan na te laten in de met consumenten gesloten overeenkomsten voor reclameloterijen de mededeling op te nemen zoals bedoeld in punt 27 van dit arrest en daarbij het tweede selectievakje standaard aan te vinken, moest worden afgewezen, aangezien ten eerste de gebruiker wist dat hij dit vakje kon uitvinken en ten tweede deze mededeling door de opmaak van de website voldoende duidelijk was weergegeven en hierin informatie werd verstrekt over het gebruik van de cookies, zonder dat het nodig was om bekend te maken welke derden toegang konden krijgen tot de verzamelde gegevens.

36

Het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland), waar het Bundesverband beroep tot Revision instelde, is van oordeel dat de uitkomst van het hoofdgeding afhangt van de uitlegging van artikel 5, lid 3, en artikel 2, onder f), van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 en van artikel 6, lid 1, onder a), van verordening 2016/679.

37

Aangezien het Bundesgerichtshof in het licht van deze bepalingen betwijfelt of Planet49 met het tweede selectievakje rechtsgeldig de toestemming van de gebruikers van de website www.dein-macbook.de verkreeg en tevens twijfel heeft over de omvang van de in artikel 5, lid 3, van richtlijn 2002/58 neergelegde informatieplicht, heeft deze rechterlijke instantie besloten de procedure te schorsen en het Hof de volgende prejudiciële vragen te stellen:

38

Om te beginnen moet de toepasselijkheid van richtlijn 95/46 en verordening 2016/679 op de feiten in het hoofdgeding worden onderzocht.

39

Met ingang van 25 mei 2018 is richtlijn 95/46 ingetrokken en vervangen door verordening 2016/679, overeenkomstig artikel 94, lid 1, van die verordening.

40

Deze datum viel uiteraard na de laatste terechtzitting bij de verwijzende rechter op 14 juli 2017, en ook na de datum waarop de verwijzende rechter het Hof verzocht om een prejudiciële beslissing.

41

De verwijzende rechter heeft echter aangegeven dat verordening 2016/679, waarop overigens een deel van de eerste vraag betrekking heeft, rekening houdend met de inwerkintreding ervan op 25 mei 2018, waarschijnlijk in aanmerking moet worden genomen bij de beslechting van het hoofdgeding. Aangezien de door het Bundesverband ingestelde procedure bedoeld is om Planet49 te dwingen dit gedrag in de toekomst na te laten, kan voorts, zoals de Duitse regering ter terechtzitting voor het Hof heeft aangegeven, niet worden uitgesloten dat verordening 2016/679 ratione temporis op het hoofdgeding van toepassing is op grond van de nationale rechtspraak over de betrokken juridische situatie bij verbodsacties. Het staat aan de verwijzende rechter om dit na te gaan (zie omtrent een declaratoire vordering arrest van 16 januari 2019, Deutsche Post, C‑496/17, EU:C:2019:26, punt 38).

42

In deze omstandigheden en gelet op het feit dat de verwijzingen in richtlijn 2002/58 naar richtlijn 95/46 krachtens artikel 94, lid 2, van verordening 2016/679 moeten worden begrepen als verwijzingen naar die verordening, is het in het onderhavige geval niet uitgesloten dat richtlijn 2002/58 van toepassing is, gelezen in samenhang met ofwel richtlijn 95/46 ofwel verordening 2016/679 al naargelang van de aard van de vorderingen van het Bundesverband en de betrokken periode.

43

Daarom moeten de gestelde vragen worden beantwoord op basis van zowel richtlijn 95/46 als verordening 2016/679.

44

Met zijn eerste vraag, onder a) en c), wenst de verwijzende rechter in wezen te vernemen of artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 en met artikel 6, lid 1, onder a), van verordening 2016/679, aldus moeten worden uitgelegd dat de in deze bepalingen bedoelde toestemming rechtsgeldig is verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de eindapparatuur van de gebruiker van een website opgeslagen informatie via cookies wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te geven.

45

Om te beginnen moet worden opgemerkt dat volgens de aanwijzingen in de verwijzingsbeslissing de cookies die geplaatst kunnen worden op de eindapparatuur van een gebruiker die deelneemt aan een door Planet49 georganiseerde reclameloterij, een nummer bevatten dat wordt toegekend aan de registratiegegevens van deze gebruiker die zijn naam en adres dient op te geven op het formulier voor deelname aan deze loterij. De verwijzende rechter voegt daaraan toe dat dit nummer en deze gegevens gekoppeld worden met als gevolg dat de door de cookies opgeslagen gegevens gepersonaliseerd worden wanneer de gebruiker verbinding maakt met internet. Het verzamelen van deze gegevens door middel van cookies moet daardoor als verwerking van persoonsgegevens worden aangemerkt. Planet49 heeft deze aanwijzingen bevestigd door in haar schriftelijke opmerkingen te benadrukken dat de met het tweede selectievakje te geven toestemming voor het verzamelen en verwerken van gegevens geacht wordt betrekking te hebben op persoonsgegevens en niet op anonieme informatie.

46

In het verlengde hiervan moet worden opgemerkt dat de lidstaten ingevolge artikel 5, lid 3, van richtlijn 2002/58 er zorg voor dragen dat de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een gebruiker, alleen is toegestaan op voorwaarde dat de gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie overeenkomstig richtlijn 95/46, onder meer over de doeleinden van de verwerking.

47

In dit verband moet in herinnering worden gebracht dat de eenvormige toepassing van het Unierecht en het gelijkheidsbeginsel vereisen dat de bewoordingen van een bepaling van Unierecht die voor de vaststelling van de betekenis en de draagwijdte ervan niet uitdrukkelijk verwijst naar het recht van de lidstaten, normaliter in de gehele Unie autonoom en uniform worden uitgelegd [arresten van 26 maart 2019, SM (Onder Algerijnse kafala geplaatst kind), C‑129/18, EU:C:2019:248, punt 50, en 11 april 2019, Tarola, C‑483/17, EU:C:2019:309, punt 36].

48

Volgens vaste rechtspraak van het Hof dient bij de uitlegging van een bepaling van Unierecht bovendien niet alleen rekening te worden gehouden met de bewoordingen en de doelstellingen ervan, maar ook met de context ervan en met het Unierecht in zijn geheel. Ook de ontstaansgeschiedenis van een bepaling van Unierecht kan relevante gegevens voor de uitlegging van die bepaling bevatten (arrest van 10 december 2018, Wightman e.a., C‑621/18, EU:C:2018:999, punt 47 en aldaar aangehaalde rechtspraak).

49

Wat de bewoordingen van artikel 5, lid 3, van richtlijn 2002/58 betreft, moet erop worden gewezen dat deze bepaling weliswaar uitdrukkelijk de voorwaarde stelt dat de gebruiker „toestemming heeft verleend” voor het plaatsen en raadplegen van cookies op zijn eindapparatuur, maar dat deze bepaling daarentegen geen aanwijzingen bevat over de wijze waarop deze toestemming moet worden verleend. De woorden „toestemming heeft verleend” zijn echter vatbaar voor een letterlijke uitlegging volgens welke een handeling van de gebruiker nodig is om zijn toestemming uit te drukken. In dit verband volgt uit overweging 17 van richtlijn 2002/58 dat de in deze richtlijn vereiste toestemming van een gebruiker voor de toepassing ervan kan worden gegeven op elke wijze die de gebruiker in staat stelt vrijelijk een specifieke en geïnformeerde indicatie te geven omtrent zijn wensen, onder andere „door bij een bezoek aan een internetwebsite op een vakje te klikken”.

50

Wat de context van artikel 5, lid 3, van richtlijn 2002/58 betreft, moet worden benadrukt dat artikel 2, onder f), van deze richtlijn, waarin „toestemming” in de zin van deze richtlijn wordt gedefinieerd, in dit verband verwijst naar „toestemming van de betrokkene” in de zin van richtlijn 95/46. Overweging 17 van richtlijn 2002/58 verduidelijkt dat voor de toepassing ervan „toestemming van een gebruiker” dezelfde betekenis moet hebben als „toestemming van de betrokkene” zoals gedefinieerd en nader bepaald in richtlijn 95/46.

51

Artikel 2, onder h), van voornoemde richtlijn definieert „toestemming van de betrokkene” als „elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”.

52

Zoals de advocaat-generaal in punt 60 van zijn conclusie heeft opgemerkt, wordt met de eis van een „wilsuiting” van de betrokkene dus duidelijk naar een actieve en niet naar een passieve gedraging verwezen. Toestemming door middel van een standaard aangevinkt selectievakje impliceert echter geen actieve gedraging van de gebruiker van een website.

53

Deze uitlegging vindt steun in artikel 7 van richtlijn 95/46 dat een uitputtende lijst bevat van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt (zie in die zin arresten van 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 en C‑469/10, EU:C:2011:777, punt 30, en 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 57).

54

In het bijzonder bepaalt artikel 7, onder a), van richtlijn 95/46 dat toestemming van de betrokkene er pas toe kan leiden dat een dergelijke verwerking rechtmatig geschiedt, als de betrokkene deze toestemming „ondubbelzinnig” heeft verleend. Aan deze voorwaarde kan echter uitsluitend worden voldaan wanneer deze betrokkene met een actieve gedraging duidelijk blijk geeft van zijn toestemming.

55

In dit opzicht lijkt het praktisch onmogelijk om objectief vast te stellen of de gebruiker van een website door een standaard aangevinkt vakje niet uit te vinken, inderdaad toestemming heeft gegeven om zijn persoonsgegevens te verwerken en in ieder geval of deze toestemming op basis van informatie is verleend. Het kan immers niet worden uitgesloten dat deze gebruiker de informatie bij het standaard aangevinkte vakje niet heeft gelezen of dat hij dit vakje niet eens heeft opgemerkt voor hij zijn activiteiten op de bezochte website voortzette.

56

Ten slotte moet over de ontstaansgeschiedenis van artikel 5, lid 3, van richtlijn 2002/58 worden vastgesteld dat in de oorspronkelijke versie van deze bepaling alleen werd vereist dat de gebruiker „het recht krijgt aangeboden [om het plaatsen van cookies] te weigeren”, nadat hij overeenkomstig richtlijn 95/46 duidelijke en volledige informatie heeft verkregen over onder andere de doeleinden van de verwerking. Richtlijn 2009/136 heeft een wezenlijke wijziging in de bewoordingen van deze bepaling aangebracht door deze uitdrukking te vervangen door de woorden „toestemming heeft verleend”. De ontstaansgeschiedenis van artikel 5, lid 3, van richtlijn 2002/58 lijkt er dus op te wijzen dat de toestemming van de gebruiker voortaan niet langer kan worden verondersteld en moet voortvloeien uit een actieve gedraging zijnerzijds.

57

Gelet op een en ander is de toestemming van artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46, derhalve niet rechtsgeldig verleend wanneer de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van de gebruiker van een website, wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.

58

Toegevoegd moet worden dat de wilsuiting van artikel 2, onder h), van richtlijn 95/46 met name in die zin „specifiek” moet zijn dat deze precies op de verwerking van de betrokken gegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft.

59

In het onderhavige geval kan, anders dan Planet49 stelt, dus niet enkel omdat de gebruiker op de knop voor deelname aan de door deze vennootschap georganiseerde reclameloterij heeft geklikt, al worden vastgesteld dat de gebruiker rechtsgeldig toestemming heeft gegeven voor het plaatsen van cookies.

60

De voorgaande uitlegging dringt zich des te meer op in het licht van verordening 2016/679.

61

De bewoordingen waarmee in artikel 4, punt 11, van verordening 2016/679 voor de toepassing van deze verordening het begrip „toestemming van de betrokkene” is gedefinieerd en in het bijzonder de bewoordingen van artikel 6, lid 1, onder a), ervan, op welke bepaling de eerste vraag onder c), betrekking heeft, blijken, zoals de advocaat-generaal in punt 70 van zijn conclusie in wezen heeft vastgesteld, immers nog strikter dan die van artikel 2, onder h), van richtlijn 95/46, aangezien hier een „vrije, specifieke, geïnformeerde en ondubbelzinnige” wilsuiting van de betrokkene wordt vereist, in de vorm van een verklaring of een „ondubbelzinnige actieve handeling” die zijn toestemming voor een hem betreffende verwerking van persoonsgegevens weergeeft.

62

In verordening 2016/679 wordt nu dus uitdrukkelijk actieve toestemming voorgeschreven. In dit verband moet worden opgemerkt dat volgens overweging 32 van deze verordening de toestemming met name kan worden uitgedrukt door te klikken op een vakje bij een bezoek aan een website. Daarentegen sluit deze overweging uitdrukkelijk uit dat „stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit” als toestemming mogen gelden.

63

Hieruit volgt dat de toestemming van artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, niet rechtsgeldig is verleend wanneer de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van de gebruiker van een website, wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.

64

Ten slotte moet erop worden gewezen dat de verwijzende rechter het Hof niet de vraag heeft voorgelegd of het verenigbaar is met het vereiste van „vrije” toestemming in de zin van artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, en artikel 7, lid 4, van verordening 2016/679 dat een gebruiker – zoals gelet op de gegevens in de verwijzingsbeslissing in de onderhavige zaak in ieder geval bij het eerste selectievakje het geval lijkt te zijn – alleen kan deelnemen aan een loterij indien hij toestemming geeft voor de verwerking van zijn persoonsgegevens voor reclamedoeleinden. In deze omstandigheden hoeft het Hof deze vraag niet te onderzoeken.

65

Gelet op een en ander moet op de eerste vraag, onder a) en c), worden geantwoord dat artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 alsmede met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, aldus moeten worden uitgelegd dat de in deze bepalingen bedoelde toestemming niet rechtsgeldig is verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de eindapparatuur van de gebruiker van een website opgeslagen informatie via cookies wordt toegestaan door middel van een standaard aangevinkt selectievakje dat deze gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.

66

Met zijn eerste vraag, onder b), wenst de verwijzende rechter in wezen te vernemen of artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, verschillend moeten worden uitgelegd naargelang de informatie die is opgeslagen in de eindapparatuur van de gebruiker van een website of daaruit is opgevraagd, al dan niet bestaat in persoonsgegevens in de zin van richtlijn 95/46 en verordening 2016/679.

67

Zoals is opgemerkt in punt 45 van dit arrest, volgt uit de verwijzingsbeslissing dat het plaatsen van cookies zoals aan de orde in het hoofdgeding, gelijkstaat aan de verwerking van persoonsgegevens.

68

Na deze toelichting moet in ieder geval worden vastgesteld dat artikel 5, lid 3, van richtlijn 2002/58 verwijst naar „opslag van informatie” en „het verkrijgen van toegang tot informatie die reeds is opgeslagen” zonder deze informatie nader te omschrijven of aan te geven dat het hier moet gaan om persoonsgegevens.

69

Zoals de advocaat-generaal in punt 107 van zijn conclusie heeft vastgesteld, beoogt deze bepaling de gebruiker te beschermen tegen inmenging in zijn privéleven, ongeacht of die inmenging betrekking heeft op persoonsgegevens.

70

Deze uitlegging wordt bevestigd door overweging 24 van richtlijn 2002/58 waarin staat te lezen dat alle informatie die wordt bewaard in de eindapparatuur van gebruikers van netwerken voor elektronische communicatie, deel uitmaakt van de op grond van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden te beschermen persoonlijke levenssfeer van de gebruikers. Deze bescherming is van toepassing op alle informatie die is opgeslagen op deze eindapparatuur, ongeacht of het gaat om persoonsgegevens, en beoogt met name, zoals uit dezelfde overweging blijkt, de gebruikers te beschermen tegen het risico dat verborgen identificatoren en andere soortgelijke programmatuur zonder hun medeweten binnenkomen in hun eindapparatuur.

71

Gelet op het voorgaande moet op de eerste vraag, onder b), worden geantwoord dat artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 alsmede met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, niet verschillend moeten worden uitgelegd naargelang de informatie die is opgeslagen in de eindapparatuur van de gebruiker van een website of daaruit is opgevraagd, al dan niet bestaat in persoonsgegevens in de zin van richtlijn 95/46 en verordening 2016/679.

72

Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 3, van richtlijn 2002/58 aldus moet worden uitgelegd dat de informatie die de aanbieder van diensten aan de gebruiker van een website moet verstrekken, de informatie omvat hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben.

73

Zoals reeds volgt uit punt 46 van dit arrest, vereist artikel 5, lid 3, van richtlijn 2002/58 dat de gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie „overeenkomstig richtlijn [95/46]”, onder meer over de doeleinden van de verwerking.

74

Zoals de advocaat-generaal in punt 115 van zijn conclusie heeft opgemerkt, houdt duidelijke en volledige informatie in dat de gebruiker in staat is om gemakkelijk de gevolgen te bepalen van eventueel door hem te verlenen toestemming en dat gewaarborgd is dat hij deze toestemming met kennis van zaken verleent. Deze informatie moet duidelijk te begrijpen en voldoende gedetailleerd zijn om de gebruiker in staat te stellen de werking van de geplaatste cookies te begrijpen.

75

In een situatie als aan de orde in het hoofdgeding, waarin de cookies blijkens de aanwijzingen in het aan het Hof overgelegde dossier waren bedoeld om informatie te verzamelen voor reclamedoeleinden met betrekking tot producten van partners van de organisator van een reclameloterij, maken de vragen hoelang de cookies actief blijven en of derden al of niet toegang tot deze cookies kunnen hebben, deel uit van de duidelijke en volledige informatie die overeenkomstig artikel 5, lid 3, van richtlijn 2002/58 aan de gebruiker moet worden verstrekt.

76

In dit verband moet worden opgemerkt dat artikel 10 van richtlijn 95/46, waarnaar artikel 5, lid 3, van richtlijn 2002/58 en artikel 13 van verordening 2016/679 verwijzen, een opsomming bevat van de informatie die de voor de verwerking verantwoordelijke moet verstrekken aan de betrokkene bij wie hij de op die betrokkene zelf betrekking hebbende gegevens verkrijgt.

77

Krachtens artikel 10 van richtlijn 95/46 gaat het bij deze informatie niet alleen om de identiteit van de voor de verwerking verantwoordelijke en de doeleinden van de verwerking waarvoor de gegevens zijn bestemd, maar ook om verdere informatie zoals met name de ontvangers of de categorieën ontvangers van de gegevens voor zover die, met inachtneming van de specifieke omstandigheden waaronder deze verdere informatie verkregen wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.

78

Hoewel de duur van de gegevensverwerking niet bij de voornoemde informatie is opgenomen, blijkt uit de uitdrukking „ten minste” in artikel 10 van richtlijn 95/46 duidelijk dat geen uitputtende opsomming van deze informatie is gegeven. Informatie over de vraag hoelang de cookies actief zijn, moet worden geacht te passen bij de in dit artikel opgenomen eis van een eerlijke gegevensverwerking, aangezien in een situatie zoals die in het hoofdgeding een lange of zelfs onbeperkte duur tot gevolg heeft dat veel informatie wordt verzameld over het surfgedrag van de gebruiker en de frequentie van diens eventuele bezoeken aan de sites van reclamepartners van de organisator van de loterij.

79

Deze uitlegging wordt bevestigd door artikel 13, lid 2, onder a), van verordening 2016/679, waarin is bepaald dat de verwerkingsverantwoordelijke, om een behoorlijke en transparante verwerking te waarborgen, de betrokkene informatie moet verstrekken over met name de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die periode.

80

De vraag of derden al dan niet toegang tot de cookies kunnen hebben, betreft informatie die valt onder de in artikel 10, onder c), van richtlijn 95/46 en artikel 13, lid 1, onder e), van verordening 2016/679 opgenomen informatie, aangezien in deze bepalingen uitdrukkelijk de ontvangers of categorieën ontvangers van de gegevens staan vermeld.

81

Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 5, lid 3, van richtlijn 2002/58 aldus moet worden uitgelegd dat de aanbieder van diensten de gebruiker van een website onder meer moet informeren over de vraag hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben.

82

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Grote kamer) verklaart voor recht: