Zadeva C-673/17

Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV

proti

Planet49 GmbH

(predlog za sprejetje predhodne odločbe, ki ga je vložilo Bundesgerichtshof)

Sodba Sodišča (veliki senat) z dne 1. oktobra 2019

„Predhodno odločanje – Direktiva 95/46/ES – Direktiva 2002/58/ES – Uredba (UE) 2016/679 – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Piškotki – Pojem privolitve posameznika, na katerega se nanašajo osebni podatki – Izjava o privolitvi z vnaprej označenim potrditvenim poljem“

1. Približevanje zakonodaj – Sektor za telekomunikacije – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Direktiva 2002/58 – Piškotki – Privolitev posameznika, na katerega se nanašajo osebni podatki – Pojem – Izjava o privolitvi z vnaprej označenim potrditvenim poljem – Izključitev

   (Uredba Evropskega parlamenta in Sveta 2016/679, člen 4, točka 11, in člen 6(1)(a); Direktivi Evropskega parlamenta in Sveta 95/46, člen 2(h), in 2002/58, kakor je bila spremenjena z Direktivo 2009/136, člena 2(f) in 5(3))

   (Glej točke od 49 do 58, od 60 do 63 in točko 1 izreka.)

2. Približevanje zakonodaj – Sektor za telekomunikacije – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Direktiva 2002/58 – Piškotki – Privolitev posameznika, na katerega se nanašajo osebni podatki – Pojem – Shranjene ali priklicane informacije, ki so ali ki niso osebni podatki – Nevplivanje

   (Uredba Evropskega parlamenta in Sveta 2016/679, člen 4, točka 11, in člen 6(1)(a); Direktivi Evropskega parlamenta in Sveta 95/46, člen 2(h), in 2002/58, kakor je bila spremenjena z Direktivo 2009/136, člena 2(f) in 5(3))

   (Glej točke od 68 do 71 in točko 2 izreka.)

3. Približevanje zakonodaj – Sektor za telekomunikacije – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Direktiva 2002/58 – Piškotki – Jasne in izčrpne informacije, ki jih mora posredovati ponudnik storitev – Pojem – Čas delovanja piškotkov – Vključitev – Možnost ali nemožnost tretjih oseb za dostop do piškotkov – Vključitev

   (Direktiva Evropskega parlamenta in Sveta 2002/58, kakor je bila spremenjena z Direktivo 2009/136, člen 5(3))

   (Glej točke od 74 do 81 in točko 3 izreka.)

Povzetek

Za namestitev piškotkov je potrebna aktivna privolitev internetnih uporabnikov

Sodišče, v sestavi velikega senata, je s sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17), presodilo, da privolitev za shranjevanje informacij ali za dostop do informacij, ki so že shranjene v terminalski opremi uporabnika spletnega mesta, z uporabo piškotkov ni veljavna, če dovoljenje izhaja iz vnaprej označenega potrditvenega polja, to pa je neodvisno od tega, ali so zadevne informacije osebni podatki ali ne. Poleg tega je Sodišče pojasnilo, da mora ponudnik storitev uporabnika spletnega mesta obvestiti o času delovanja piškotkov in o tem, ali imajo tretje osebe dostop do teh piškotkov.

Spor iz postopka v glavni stvari se je nanašal na organizacijo nagradne igre s strani družbe Planet49 na spletnem mestu www.dein-macbook.de. Internetni uporabniki so, da bi lahko sodelovali, morali posredovati svoje ime in naslov na spletni strani, kjer sta bili potrditveni polji. Potrditveno polje, namenjeno dovoljenju za namestitev piškotkov, je bilo vnaprej označeno. Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija), pri katerem je nemško zvezno združenje organizacij za varstvo potrošnikov vložilo pravno sredstvo, je izrazilo dvom glede veljavnosti pridobitve privolitve uporabnikov prek vnaprej označenega potrditvenega polja in glede obsega obveznosti obveščanja, ki je naložena ponudniku storitve.

Predlog za sprejetje predhodne odločbe se je v bistvu nanašal na razlago pojma privolitve glede na Direktivo o zasebnosti in elektronskih komunikacijah ( 1 ) v povezavi z Direktivo 95/46 ( 2 ) ter Splošno uredbo o varstvu podatkov ( 3 ).

Prvič, Sodišče je navedlo, da člen 2(h) Direktive 95/46, na katerega napotuje člen 2(f) Direktive o zasebnosti in elektronskih komunikacijah, opredeljuje privolitev kot „vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo“. Navedlo je, da zahteva, da mora posameznik „dati izjavo“, jasno napotuje na aktivno ravnanje, ne pa na pasivno. Privolitev, dana prek vnaprej označenega potrditvenega polja, pa ne pomeni aktivnega ravnanja uporabnika spletnega mesta. Poleg tega je iz zgodovine nastanka člena 5(3) Direktive o zasebnosti in elektronskih komunikacijah, ki od njegove spremembe z Direktivo 2009/136 določa, da mora uporabnik „dati privolitev“ za namestitev piškotkov, razvidno, da se privolitev uporabnika ne more več predpostavljati in da mora izhajati iz njegovega aktivnega ravnanja. Končno, aktivna privolitev je odslej določena s Splošno uredbo o varstvu podatkov ( 4 ), katere člen 4, točka 11, določa, da mora biti izjava volje v obliki „jasnega pritrdilnega dejanja“, in v katere uvodni izjavi 32 je izrecno izključeno, da gre v primeru „molka, vnaprej označenih okenc ali nedejavnosti“ za privolitev.

Sodišče je zato presodilo, da privolitev ni veljavna, kadar je shranjevanje informacij ali dostop do informacij, ki so že shranjene v terminalski opremi uporabnika spletnega mesta, dovoljeno na podlagi vnaprej označenega potrditvenega polja, ki ga mora uporabnik, da zavrne svojo privolitev, odznačiti. Dodalo je, da to, da je uporabnik kliknil na gumb za sodelovanje v zadevni nagradni igri, ne more zadostovati za to, da bi se štelo, da je uporabnik veljavno privolil v namestitev piškotkov.

Drugič, Sodišče je ugotovilo, da je namen člena 5(3) Direktive o zasebnosti in elektronskih komunikacijah varstvo uporabnika pred katerim koli poseganjem v njegovo zasebnost, ne glede na to, ali se to poseganje nanaša na osebne ali druge podatke. Iz tega izhaja, da se pojma privolitve ne sme razlagati različno glede na to, ali so podatki, shranjeni v terminalski opremi uporabnika spletnega mesta ali iz nje priklicani, osebni podatki ter kadar to niso.

Tretjič, Sodišče je navedlo, da člen 5(3) Direktive o zasebnosti in elektronskih komunikacijah zahteva, da je uporabnik podal privolitev po tem, ko je bil jasno in izčrpno obveščen med drugim o namenih obdelave. Jasna in izčrpna obvestitev pa mora uporabniku omogočiti, da z lahkoto ugotovi posledice morebitne dane privolitve, in zagotoviti, da je ta privolitev dana ob popolni seznanjenosti z dejstvi. V zvezi s tem je Sodišče menilo, da sta trajanje delovanja piškotkov in možnost oziroma nemožnost tretjih oseb, da dostopajo do teh piškotkov, del jasne in izčrpne obvestitve, ki jo mora ponudnik storitev zagotoviti uporabniku spletnega mesta.

( 1 ) Člena 2(f) in 5(3) Direktive 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 29, str. 514), kakor je bila spremenjena z Direktivo 2009/136/ES Evropskega parlamenta in Sveta z dne 25. novembra 2009 (UL 2009, L 337, str. 11)

( 2 ) Člen 2(h) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355)

( 3 ) Člen 6(1)(a) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1).

( 4 ) Člen 6(1)(a) Uredbe 2016/679.