ROZSUDOK SÚDNEHO DVORA (veľká komora)
z 1. októbra 2019 (*)
„Návrh na začatie prejudiciálneho konania – Smernica 95/46/ES – Smernica 2002/58/ES – Nariadenie (EÚ) 2016/679 – Spracúvanie osobných údajov a ochrana súkromia v sektore elektronických komunikácií – Súbory cookies – Pojem súhlas dotknutej osoby – Vyhlásenie súhlasu formou vopred označeného začiarkavacieho políčka“
Vec C‑673/17,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Bundesgerichtshof (Spolkový súdny dvor, Nemecko) z 5. októbra 2017 a doručený Súdnemu dvoru 30. novembra 2017, ktorý súvisí s konaním:
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
proti
Planet49 GmbH,
SÚDNY DVOR (veľká komora),
v zložení: predseda K. Lenaerts, podpredsedníčka R. Silva de Lapuerta, predsedovia komôr J.‑C. Bonichot, M. Vilaras, T. von Danwitz, C. Toader, F. Biltgen, K. Jürimäe a C. Lycourgos, sudcovia A. Rosas (spravodajca), L. Bay Larsen, M. Safjan a S. Rodin,
generálny advokát: M. Szpunar,
tajomník: D. Dittert, vedúci oddelenia,
so zreteľom na písomnú časť konania a po pojednávaní z 13. novembra 2018,
so zreteľom na pripomienky, ktoré predložili:
– Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, v zastúpení: P. Wassermann, Rechtsanwalt,
– Planet49 GmbH, v zastúpení: M. Jaschinski, J. Viniol a T. Petersen, Rechtsanwälte,
– nemecká vláda, v zastúpení: J. Möller, splnomocnený zástupca,
– talianska vláda, v zastúpení: G. Palmieri, splnomocnená zástupkyňa, za právnej pomoci F. De Luca, avvocato dello Stato,
– portugalská vláda, v zastúpení: L. Inez Fernandes, M. Figueiredo, L. Medeiros a C. Guerra, splnomocnení zástupcovia,
– Európska komisia, v zastúpení: G. Braun, H. Kranenborg a P. Costa de Oliveira, splnomocnení zástupcovia,
po vypočutí návrhov generálneho advokáta na pojednávaní 21. marca 2019,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa týka výkladu článku 2 písm. f) a článku 5 ods. 3 smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 2002, s. 37; Mim. vyd. 13/029, s. 514), zmenenej smernicou Európskeho parlamentu a Rady 2009/136/ES z 25. novembra 2009 (Ú. v. EÚ L 337, 2009, s. 11) (ďalej len „smernica 2002/58“), v spojení s článkom 2 písm. h) smernice Európskeho parlamentu a Rady 95/46/[ES] z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355), ako aj článku 6 ods. 1 písm. a) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1).
2 Tento návrh bol podaný v rámci sporu medzi Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Zväz spotrebiteľských organizácií a združení – Zväz spotrebiteľských organizácií, Nemecko) (ďalej len „zväz“) a spoločnosťou Planet49 GmbH, ponúkajúcou online hry, vo veci súhlasu účastníkov výhernej hry organizovanej touto spoločnosťou, čo sa týka prenosu ich osobných údajov sponzorom a partnerom tejto spoločnosti, ako aj ukladania informácií a sprístupňovania informácií uložených v koncovom zariadení týchto používateľov.
Právny rámec
Právo Únie
Smernica 95/46
3 Článok 1 smernice 95/46 stanovuje:
„1. V súlade s touto smernicou členské štáty chránia základné práva a slobody fyzických osôb, a najmä ich právo na súkromie v súvislosti so spracovaním osobných údajov.
2. Členské štáty neobmedzujú, ani nebránia voľnému toku osobných údajov medzi členskými štátmi z dôvodov spojených s ochranou poskytnutou podľa odseku 1.“
4 Článok 2 tejto smernice stanovuje:
„Na účely tejto smernice:
a) ‚osobné údaje‘ znamenajú akúkoľvek informáciu, ktorá sa týka identifikovanej alebo identifikovateľnej fyzickej osoby (‚údajového subjektu‘) [(‚dotknutej osoby‘) – neoficiálny preklad]; identifikovateľná osoba je osoba, ktorú možno identifikovať, priamo alebo nepriamo, najmä pomocou overenia identifikačného čísla alebo jedného alebo viacerých faktorov špecifických pre jeho fyzickú, fyziologickú, duševnú, hospodársku, kultúrnu alebo sociálnu identitu;
b) ‚spracovanie osobných údajov‘ (‚spracovanie‘) znamená akúkoľvek operáciu alebo komplex operácií, ktorá sa vykonáva na osobných údajoch, či už automatickými prostriedkami, alebo nie, ako je zber, zaznamenávanie, organizácia, uskladnenie, úprava alebo nahradenie, vyhľadávanie, nahliadnutie, používanie, odhalenie prenosom, šírenie alebo sprístupnenie iným spôsobom, upravenie alebo kombinácia, blokovanie, vymazanie alebo zničenie;
…
h) ‚súhlas osoby pracujúcej s údajmi‘ znamená slobodne poskytnutú a informovanú indikáciu jeho prianí, ktorou osoba pracujúca s údajmi prejaví svoj súhlas, aby sa osobné údaje, ktoré sa ho týkajú, spracovali [‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny a informovaný prejav vôle dotknutej osoby, ktorým vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka – neoficiálny preklad].“
5 Článok 7 uvedenej smernice uvádza:
„Členské štáty zabezpečia, aby bolo možné osobné údaje spracovať, iba ak:
a) osoba pracujúca s údajmi [dotknutá osoba – neoficiálny preklad] poskytla svoj súhlas jednoznačne,
…“
6 Podľa článku 10 tej istej smernice:
„Členské štáty zabezpečia, že kontrolór [prevádzkovateľ – neoficiálny preklad] alebo jeho zástupca musí poskytnúť osobe pracujúcej s údajmi [dotknutej osobe – neoficiálny preklad], od ktorej sa údaje, ktoré sa jej týkajú, zbierajú, aspoň nasledujúce informácie, s výnimkou, ak ich tento subjekt už má:
a) identita kontrolóra [prevádzkovateľa – neoficiálny preklad] a jeho zástupcu;
b) účely spracovania, pre ktoré sú údaje potrebné;
c) akékoľvek ďalšie informácie, ako napríklad
– príjemcovia alebo kategórie príjemcov údajov,
– či odpovede na otázky sú povinné alebo dobrovoľné, ako aj možné dôsledky neschopnosti odpovedať,
– existencia práva prístupu a práva skorigovania údajov, ktoré sa ho týkajú,
pokiaľ sú takéto ďalšie informácie potrebné, so zreteľom na špecifické okolnosti za ktorých sa údaje zhromažďujú, zaručenie správneho [spravodlivého – neoficiálny preklad] spracovania vzhľadom na osobu pracujúcu s údajmi [dotknutú osobu – neoficiálny preklad].“
Smernica 2002/58
7 Odôvodnenia 17 a 24 smernice 2002/58 stanovujú:
„(17) Na účely tejto smernice súhlas užívateľa alebo účastníka, bez ohľadu na to či je účastník fyzickou alebo právnickou osobou, by mal mať rovnaký význam ako súhlas dátového subjektu [dotknutú osobu – neoficiálny preklad] definovaného a ďalej špecifikovaného v smernici [95/46]. Súhlas môže byť vyjadrený akýmkoľvek vhodným spôsobom umožňujúcim vyjadrenie špecifického želania, ktoré nastane na základe slobodného a vecného rozhodnutia [slobodne daného, konkrétneho a informovaného prejavu vôle – neoficiálny preklad] užívateľa, vrátane označenia poľa na webovej stránke internetu.
…
„(24) Koncové zariadenie užívateľov elektronických komunikačných sietí a akékoľvek informácie uložené v takom zariadení, sú súčasťou súkromnej sféry užívateľov podliehajúcich [súkromia používateľov podliehajúceho – neoficiálny preklad] ochrane podľa Európskeho dohovoru na ochranu ľudských práv a základných slobôd [podpísaného v Ríme 4. novembra 1950]. Takzvané spyware, web bugs, hidden identifiers a ostatné podobné zariadenia môžu vstúpiť do koncového zriadenia užívateľa bez ich vedomia, aby získali prístup k informáciám, ukladali tajné informácie alebo zistili aktivity užívateľa a môžu vážne narušiť súkromie užívateľa. Používanie takých zariadení by malo byť povolené len na legitímne účely, s vedomím príslušných užívateľov.“
8 Článok 1 smernice 2002/58 stanovuje:
„1. Touto smernicou sa ustanovuje harmonizácia vnútroštátnych ustanovení požadovaných na zabezpečenie primeranej úrovne ochrany základných práv a slobôd, a najmä práva na súkromie a dôvernosť, z hľadiska spracúvania osobných údajov v elektronickom komunikačnom sektore a zabezpečenia voľného pohybu takých údajov a elektronických komunikačných zariadení a služieb v [Európskej únii].“
2. Ustanovenia tejto smernice spodrobňujú a dopĺňajú smernicu [95/46] na účely uvedené v odseku 1. …“
9 Článok 2 tejto smernice stanovuje:
„Pokiaľ nie je stanovené inak, platia definície v smernici [95/46] a v smernici Európskeho parlamentu a Rady 2002/21/ES zo 7. marca 2002 o spoločnom regulačnom rámci pre elektronické komunikačné siete a služby (rámcová smernica) [Ú. v. ES L 108, 2002, s. 33; Mim. vyd. 13/029, s. 349].
Platia aj tieto definície:
a) ‚užívateľ‘ znamená každú fyzickú osobu, ktorá používa verejne dostupnú elektronickú komunikačnú službu na súkromné alebo obchodné účely bez toho, aby si túto službu predplatil;
…
f) ,súhlas‘ užívateľa alebo účastníka zodpovedá súhlasu dátového subjektu v súlade so smernicou [95/46];
…“
10 Článok 5 ods. 3 písm. a) danej smernice stanovuje:
„Členské štáty zabezpečia, aby sa ukladanie informácií alebo získavanie prístupu k informáciám, ktoré už boli uložené, v koncovom zariadení účastníka alebo užívateľa povolilo len pod podmienkou, že dotknutý účastník alebo užívateľ dal na to vopred súhlas na základe jasných a komplexných informácií v súlade so smernicou [95/46], okrem iného aj o účeloch spracovania. To nebráni nijakému technickému uloženiu ani prístupu výhradne na účely výkonu prenosu správy prostredníctvom elektronickej komunikačnej siete alebo ak je to nevyhnutne potrebné na to, aby poskytovateľ služieb informačnej spoločnosti, ktoré si účastník alebo užívateľ výslovne vyžiadal, mohol tieto služby poskytnúť.“
Nariadenie 2016/679
11 Odôvodnenie 32 nariadenia 2016/679 stanovuje:
„Súhlas by sa mal poskytnúť jasným prejavom vôle, ktorý je slobodným, konkrétnym, informovaným a jednoznačným vyjadrením súhlasu dotknutej osoby so spracúvaním osobných údajov, ktoré sa jej týkajú, a to napríklad písomným vyhlásením vrátane vyhlásenia prostredníctvom elektronických prostriedkov alebo ústnym vyhlásením. Mohlo by to zahŕňať označenie políčka pri návšteve internetového webového sídla, zvolenie technických nastavení služieb informačnej spoločnosti alebo akékoľvek iné vyhlásenie či úkon, ktorý v tomto kontexte jasne znamená, že dotknutá osoba súhlasí s navrhovaným spracúvaním svojich osobných údajov. Mlčanie, vopred označené políčka alebo nečinnosť by sa preto nemali pokladať za súhlas. Súhlas by sa mal vzťahovať na všetky spracovateľské činnosti vykonávané na ten istý účel alebo účely. Ak sa spracúvanie vykonáva na viaceré účely, súhlas by sa mal udeliť na všetky tieto účely. Ak má dotknutá osoba poskytnúť súhlas na základe požiadavky elektronickými prostriedkami, požiadavka musí byť jasná a stručná a nemala by pôsobiť zbytočne rušivo na používanie služby, pre ktorú sa poskytuje.“
12 Článok 4 tohto nariadenia stanovuje:
„Na účely tohto nariadenia
1. ‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;
2. ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…
11. ‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;
…“
13 Článok 6 uvedeného nariadenia uvádza:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
…“
14 Článok 7 ods. 4 toho istého nariadenia uvádza:
„Pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný.“
15 Podľa článku 13 ods. 1 a 2 nariadenia 2016/679:
„1. V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:
…
e) príjemcovia alebo kategórie príjemcov osobných údajov, ak existujú;
…
2. Okrem informácií, ktoré sa uvádzajú v odseku 1, prevádzkovateľ poskytne dotknutej osobe pri získavaní osobných údajov tieto ďalšie informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania:
a) doba uchovávania osobných údajov alebo, ak to nie je možné, kritériá na jej určenie;
…“
16 Článok 94 tohto nariadenia stanovuje:
„1. Smernica [95/46] sa zrušuje s účinnosťou od 25. mája 2018.
2. Odkazy na zrušenú smernicu sa považujú za odkazy na toto nariadenie. Odkazy na Pracovnú skupinu pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov, zriadenú článkom 29 smernice [95/46], sa považujú za odkazy na Európsky výbor pre ochranu údajov zriadený týmto nariadením.“
Nemecké právo
17 Podľa § 307 ods. 1 prvej vety Bürgerliches Gesetzbuch (Občiansky zákonník, ďalej len „BGB“) „sú ustanovenia všeobecných obchodných podmienok neúčinné, ak zmluvného partnera užívateľa v rozpore so zásadou dobrej viery neprimerane znevýhodňujú“.
18 § 307 ods. 2 bod 1 BGB stanovuje, že v prípade pochybností „sa predpokladá, že ide o neprimerané znevýhodnenie, ak ustanovenie nie je zlučiteľné so základnými zásadami zákonnej úpravy, od ktorej sa odkláňa“.
19 § 12 Telemediengesetz (zákon o on-line mediálnych službách) z 26. februára 2007 (BGBl. 2007 I, s. 179) vo svojom znení uplatniteľnom v spore vo veci samej (ďalej len „TMG“) stanovuje:
„1. Poskytovateľ služieb je oprávnený získavať a spracúvať osobné údaje na sprístupnenie elektronických médií, len ak to povoľuje tento zákon alebo iný právny predpis vzťahujúci sa výslovne na elektronické médiá alebo ak na to dal užívateľ súhlas.
2. Poskytovateľ služieb je oprávnený používať osobné údaje získané na účely sprístupnenia elektronických médií na iné účely, len ak to povoľuje tento zákon alebo iný právny predpis vzťahujúci sa výslovne na elektronické médiá alebo ak na to dal užívateľ súhlas.
3. Pokiaľ nie je stanovené inak, uplatňujú sa príslušné predpisy o ochrane osobných údajov aj v prípade, že sa údaje nespracúvajú automaticky.“
20 Podľa § 13 ods. 1 TMG je poskytovateľ služieb povinný informovať používateľa na začiatku používania o spôsobe, rozsahu a účeloch získavania a používania osobných údajov vo všeobecne zrozumiteľnej forme, pokiaľ ho už o tom neinformoval. Pri automatizovanom postupe, ktorý umožňuje neskoršiu identifikáciu užívateľa a predstavuje prípravu na zber alebo na použitie osobných údajov, musí byť užívateľ poučený na začiatku tohto procesu.
21 Podľa § 15 ods. 3 TMG môže poskytovateľ služieb na účely reklamy, prieskumu trhu alebo konfigurácie elektronických médií vytvárať používateľské profily s použitím pseudonymov, pokiaľ proti tomu užívateľ, po poučení o jeho práve podať námietky, nenamieta.
22 Podľa definície uvedenej v § 3 ods. 1 Bundesdatenschutzgesetz (spolkový zákon o ochrane údajov) z 20. decembra 1990 (BGBl. 1990 I, s. 2954) vo svojom znení uplatniteľnom v spore vo veci samej (ďalej len „BDSG“) „osobnými údajmi sú jednotlivé údaje o osobných alebo vecných pomeroch určitej alebo určiteľnej fyzickej osoby (dotknutá osoba)“.
23 Podľa definície uvedenej v § 3 ods. 3 BDSG zber je získavanie údajov o dotknutej osobe.
24 § 4a ods. 1 prvá veta BDSG, ktorým sa preberá článok 2 písm. h) smernice 95/46 do vnútroštátneho práva, stanovuje, že súhlas je platný, len ak je výsledkom slobodnej voľby dotknutej osoby.
Spor vo veci samej a prejudiciálne otázky
25 Dňa 24. septembra 2013 usporiadala Planet49 výhernú hru na internetovej stránke www.dein‑macbook.de.
26 Používatelia internetu, ktorí sa chceli zúčastniť sa na tejto hre, mali uviesť svoje poštové smerovacie číslo, čo ich presmerovalo na webovú stránku, na ktorej mali vyplniť svoje meno a adresu. Pod zadávacími políčkami pre adresu sa nachádzali dve informácie so začiarkavacími políčkami. Prvá informácia, ktorej políčko (ďalej len „prvé začiarkavacie políčko“) nebolo vopred označené ako začiarknuté, znela:
„Súhlasím s tým, aby ma niektorí sponzori a spolupracujúci partneri informovali poštou, telefonicky, e‑mailom alebo správou SMS o ponukách z ich príslušnej obchodnej oblasti. Tieto môžem určiť na tomto mieste sám, inak výber uskutoční organizátor. Súhlas môžem kedykoľvek odvolať. Ďalšie informácie k tomuto sa nachádzajú tu.“
27 Druhá informácia, ktorej políčko (ďalej len „druhé začiarkavacie políčko“) bolo vopred označené ako začiarknuté, znela:
„Súhlasím s tým, aby bola u mňa využitá služba webovej analýzy spoločnosti Remintrex. To bude znamenať, že organizátor výhernej hry, [Planet49], uloží po registrácii do výhernej hry súbory cookies, ktoré spoločnosti Planet49 umožnia vyhodnotenie môjho správania pri prehliadaní a používaní webových stránok reklamných partnerov, a tým aj záujmovo orientovanú reklamu prostredníctvom služby spoločnosti Remintrex. Cookies môžem kedykoľvek vymazať. Bližšie informácie si prečítajte tu.“
28 Účasť na výhernej hre bola možná len v prípade, ak bolo označené minimálne prvé začiarkavacie políčko.
29 Elektronický odkaz nachádzajúci sa v informácii pri prvom začiarkavacom políčku pod slovami „sponzori a spolupracujúci partneri“ a „tu“ viedol na zoznam obsahujúci 57 spoločností, ich adresy, propagovanú obchodnú oblasť a spôsob komunikácie používaný na reklamu (e‑mail, pošta alebo telefón). Podčiarknuté slovo „odhlásiť“ sa nachádzalo za menom každej z týchto spoločností. Zoznamu predchádzalo nasledujúce upozornenie:
„Kliknutím na link ‚odhlásiť‘ rozhodujem, že menovanému partnerovi/sponzorovi nesmie byť udelený žiadny súhlas s reklamou. Pokiaľ neodhlásim žiadneho alebo dostatočne veľa partnerov/sponzorov, partnerov/sponzorov vyberie za mňa Planet49 podľa vlastného uváženia (maximálny počet: 30 partnerov/sponzorov).“
30 Po kliknutí na elektronický odkaz nachádzajúci sa v informácii pri druhom začiarkavacom políčku pod slovom „tu“ sa ukázali tieto informácie:
„V prípade vložených súborov cookies s názvami ceng_cache, ceng_etag, ceng_png a gcr ide o malé súbory, ktoré Vami používaný prehliadač priradí a uloží na Vašom pevnom disku, poskytujúce určité informácie, ktoré umožňujú používateľsky príjemnejšiu a efektívnejšiu reklamu. Súbory cookies obsahujú určité náhodne vygenerované číslo (ID), ktoré je súčasne priradené k Vašim registračným údajom. Ak následne navštívite webové stránky reklamného partnera registrovaného u spoločnosti Remintrex (o potrebe registrácie si, prosím, prečítajte vo vyhlásení o ochrane osobných údajov reklamného partnera), bude prostredníctvom napojeného IFrame od spoločnosti Remintrex automaticky zaznamenané, že ste (t. j. používateľ s uloženým ID) navštívili stránku, o ktorý produkt ste sa zaujímali a či došlo k uzavretiu kúpnej zmluvy.
Následne Vám môže [Planet49] na základe súhlasu s reklamou poskytnutého pri registrácii do výhernej hry zasielať reklamné e‑maily zohľadňujúce Vaše záujmy prejavené na stránke reklamného partnera. Po odvolaní súhlasu s reklamou nebudete samozrejme viac dostávať žiadne reklamné e‑maily.
Informácie prenášané prostredníctvom súborov cookies budú použité výlučne na reklamu, v ktorej budú prezentované produkty reklamného partnera. Informácie sa pre každého reklamného partnera získavajú, ukladajú a používajú oddelene. V žiadnom prípade sa nebudú vytvárať používateľské profily zahrňujúce viacerých reklamných partnerov. Jednotliví reklamní partneri nebudú dostávať žiadne osobné údaje.
Pokiaľ nemáte ďalej záujem o používanie súborov cookies, môžete ich prostredníctvom Vášho prehliadača kedykoľvek odstrániť. Návod nájdete cez funkciu [‚Pomoc‘] vo Vašom prehliadači.
Prostredníctvom súborov cookies nemôžu byť spustené žiadne programy alebo prenesené vírusy.
Samozrejme máte možnosť tento súhlas kedykoľvek odvolať. Odvolanie môžete zaslať písomne spoločnosti [Planet49] [adresa]. Rovnako postačí aj zaslanie e‑mailu nášmu zákazníckemu servisu [e‑mailová adresa].“
31 Z návrhu na začatie prejudiciálneho konania vyplýva, že cookies sú súbory, ktoré poskytovateľ internetovej stránky ukladá na počítači používateľa tejto stránky a ku ktorým môže mať opäť prístup pri novej návšteve stránky používateľom, s cieľom uľahčiť prehliadanie na internete či vykonávanie transakcií, alebo získavať informácie o správaní používateľa.
32 Zväz, ktorý je zapísaný v zozname subjektov s aktívnou legitímáciou podľa § 4 Gesetz über Unterlassungsklagen bei Verbraucherrechts ‑ und anderen Verstößen (Unterlassungsklagengesetz – UKlaG (zákon o žalobách na zdržanie sa konania v prípade porušenia práva spotrebiteľov a iných porušení) z 26. novembra 2001 (BGBl. 2001 I, s. 3138) vo výzve na upustenie od protiprávneho konania, ktorá zostala bez reakcie, tvrdil, že vyhlásenia súhlasu, ktoré požadovala Planet49 prostredníctvom prvého a druhého začiarkavacieho políčka, nespĺňajú podmienky vyžadované ustanoveniami § 307 BGB, § 7 ods. 2 bodu 2 Gesetz gegen den unlauteren Wettbewerb (zákon o nekalej hospodárskej súťaži) z 3. júla 2004 (BGBl. 2004 I, s. 1414) vo svojom znení uplatniteľnom v spore vo veci samej a § 12 a nasl. TMG.
33 Zväz podal na Landgericht Frankfurt am Main (Krajinský súd Frankfurt nad Mohanom, Nemecko) žalobu, v ktorej v podstate navrhoval, aby Planet49 upustila od používania takéhoto vyhlásenia súhlasu a aby bola tejto spoločnosti uložená povinnosť zaplatiť mu sumu vo výške 214 eur spolu s úrokmi od 15. marca 2014.
34 Landgericht Frankfurt am Main (Krajinský súd Frankfurt nad Mohanom) tejto žalobe čiastočne vyhovel.
35 V nadväznosti na odvolanie, ktoré Planet49 podala na Oberlandesgericht Frankfurt am Main (Vyšší krajinský súd Frankfurt nad Mohanom, Nemecko), tento súd usúdil, že žiadosť zväzu, ktorou sa navrhuje, aby Planet49 upustila od zahŕňania do dohôd o výhernej hre uzavretých so spotrebiteľmi, ako je uvedená v bode 27 tohto rozsudku, údaj, pri ktorom druhé začiarkavacie políčko je vopred označené, nebola dôvodná, pretože na jednej strane používateľ vedel o možnosti zrušiť označenie tohto políčka a jednak toto políčko bolo prezentované dostatočne jasne a poskytovalo informácie o spôsoboch používania cookies, bez toho, aby bolo potrebné zverejniť totožnosť tretích osôb, ktoré by mohli mať prístup k zbieraným informáciám.
36 Bundesgerichtshof (Spolkový súdny dvor, Nemecko), na ktorý sa obrátil zväz opravným prostriedkom Revision, sa domnieva, že výsledok sporu závisí od výkladu článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46 a článkom 6 ods. 1 písm. a) nariadenia 2016/679.
37 Keďže Bundesgerichtshof (Spolkový súdny dvor) mal s ohľadom na tieto ustanovenia pochybnosti o platnosti získania súhlasu od používateľov internetovej stránky www.dein‑macbook.de prostredníctvom druhého začiarkavacieho políčka, ako aj rozsahu informačnej povinnosti stanovenej v článku 5 ods. 3 smernice 2002/58, rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1. a) Ide o účinný súhlas v zmysle článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice [95/46], keď je ukladanie informácií v koncovom zariadení používateľa alebo pristupovanie k informáciám, ktoré sú tam uložené, povolené vopred označeným začiarkavacím políčkom, ktorého označenie musí používateľ zrušiť, aby odmietol dať svoj súhlas?
b) Je pri uplatnení článku 5 ods. 3 a článku 2 písm. f) smernice [2002/58] v spojení s článkom 2 písm. h) smernice [95/46] rozdiel, ak ide v prípade uložených alebo sprístupnených informácií o osobné údaje?
c) Ide za okolností uvedených v [prvej prejudiciálnej otázke písm. a)] o účinný súhlas v zmysle článku 6 ods. 1 písm. a) nariadenia [2016/679]?
2. Aké informácie musí poskytnúť poskytovateľ služby používateľovi v rámci jasných a komplexných informácií poskytovaných podľa článku 5 ods. 3 smernice [2002/58]? Patrí sem aj dĺžka funkčnosti súborov cookies a otázka, či majú tretie osoby prístup k súborom cookies?“
O prejudiciálnych otázkach
Úvodné pripomienky
38 Na úvod treba preskúmať uplatniteľnosť smernice 95/46 a nariadenia 2016/679 na skutkové okolnosti, o aké ide vo veci samej.
39 S účinnosťou od 25. mája 2018 bola smernica 95/46 zrušená a nahradená nariadením 2016/679 v súlade s článkom 94 ods. 1 tohto nariadenia.
40 Ide o dátum, ktorý nastal až po dátume posledného pojednávania na vnútroštátnom súde, ktoré sa konalo 14. júla 2017, ako aj pred dátumom podania návrhu na začatie prejudiciálneho konania podaným uvedeným súdom na Súdny dvor.
41 Vnútroštátny súd však uviedol, že vzhľadom na to, že 25. mája 2018 nadobudlo účinnosť nariadenie 2016/679, ktoré je navyše súčasťou prvej otázky, je pravdepodobné, že toto nariadenie sa bude musieť zohľadniť v momente rozhodovania sporu vo veci samej. Okrem toho, ako uviedla nemecká vláda na pojednávaní pred Súdnym dvorom, nie je vylúčené, že keďže cieľom konania začatého na podnet zväzu je zdržanie sa konania spoločnosti Planet49 do budúcnosti, nariadenie 2016/679 bude uplatniteľné ratione temporis v rámci sporu vo veci samej z dôvodu vnútroštátnej judikatúry týkajúcej sa právnej situácie, pokiaľ ide o žaloby na zdržanie sa konania, čo bude musieť overiť vnútroštátny súd (pozri, pokiaľ ide o deklaratórnu povahu žaloby, rozsudok zo 16. januára 2019, Deutsche Post, C‑496/17, EU:C:2019:26, bod 38).
42 Za týchto podmienok a vzhľadom na skutočnosť, že podľa článku 94 ods. 2 nariadenia 2016/679 sa odkazy v smernici 2002/58 na smernicu 95/46 považujú za odkazy na toto nariadenie, nie je v prejednávanej veci vylúčené, že sa smernica 2002/58 uplatňuje spoločne buď so smernicou 95/46, alebo s nariadením 2016/679, a to v závislosti od povahy návrhov podaných zväzom a dotknutého obdobia.
43 Na položené otázky je preto potrebné odpovedať tak na základe smernice 95/46, ako aj na základe nariadenia 2016/679.
O prvej otázke písm. a) a c)
44 Svojou prvou otázkou písm. a) a c) sa vnútroštátny súd v podstate pýta, či sa majú článok 2 písm. f) a článok 5 ods. 3 smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46, ako aj s článkom 6 ods. 1 písm. a) nariadenia 2016/679 vykladať v tom zmysle, že súhlas uvedený v týchto ustanoveniach je účinne daný vtedy, keď je ukladanie informácií v koncovom zariadení používateľa internetovej stránky alebo pristupovanie k informáciám, ktoré sú tam už uložené, na základe cookies, povolené prostredníctvom vopred označeného začiarkavacieho políčka, ktorého označenie musí používateľ zrušiť, aby tak odmietol dať svoj súhlas.
45 Na úvod treba spresniť, že podľa údajov uvedených v rozhodnutí vnútroštátneho súdu súbory cookies, ktoré môžu byť uložené do koncového zariadenia používateľa zúčastňujúceho sa na výhernej hre organizovanej spoločnosťou Planet49, obsahujú číslo, ktoré je pridelené údajom o registrácii tohto používateľa, ktorý musí uviesť svoje meno a adresu vo formulári účasti na tejto hre. Vnútroštátny súd dodáva, že spojenie tohto čísla a týchto osobných údajov personalizuje osobné údaje uložené v cookies, keď sa používateľ pohybuje na internete, a okrem toho uvádza, že získavanie týchto údajov prostredníctvom cookies predstavuje spracúvanie osobných údajov. Tieto skutočnosti boli potvrdené spoločnosťou Planet49, ktorá vo svojich písomných pripomienkach zdôraznila, že súhlas udelený v druhom začiarkavacom políčku má povoliť zber a spracúvanie osobných údajov a nie anonymných informácií.
46 Na základe týchto spresnení treba uviesť, že podľa článku 5 ods. 3 smernice 2002/58 členské štáty zabezpečia, aby sa ukladanie informácií v koncovom zariadení používateľa internetovej stránky alebo pristupovanie k informáciám, ktoré sú tam už uložené, povolilo len pod podmienkou, že dotknutý používateľ dal vopred svoj súhlas na základe jasných a komplexných informácií v súlade so smernicou 95/46, okrem iného aj o účeloch spracúvania.
47 V tejto súvislosti treba pripomenúť, že z požiadavky jednotného uplatňovania práva Únie, ako aj zo zásady rovnosti vyplýva, že znenie ustanovenia práva Únie, ktoré neobsahuje nijaký výslovný odkaz na právo členských štátov s cieľom určiť jeho zmysel a rozsah pôsobnosti, v zásade vyžaduje v celej Európskej únii autonómny a jednotný výklad [rozsudky z 26. marca 2019, SM (dieťa patriace pod alžírsky režim kafala), C‑129/18, EU:C:2019:248, bod 50, a z 11. apríla 2019, Tarola, C‑483/17, EU:C:2019:309, bod 36].
48 Okrem toho, podľa ustálenej judikatúry Súdneho dvora je pri výklade ustanovenia práva Únie potrebné zohľadniť nielen jeho znenie a ciele, ktoré sleduje, ale aj kontext, ako aj všetky ustanovenia práva Únie. Aj vývoj ustanovenia práva Únie môže obsahovať relevantné prvky pre jeho výklad (rozsudok z 10. decembra 2018, Wightman a i., C‑621/18, EU:C:2018:999, bod 47, ako aj citovaná judikatúra).
49 Pokiaľ ide o znenie článku 5 ods. 3 smernice 2002/58, treba uviesť, že hoci toto ustanovenie výslovne stanovuje, že ukladanie alebo prístup ku cookies na koncovom zariadení používateľa je možné len pod podmienkou, že používateľ „dal… súhlas“, uvedené ustanovenie neobsahuje údaje týkajúce sa spôsobu, akým má byť tento súhlas daný. Výrazu „dal súhlas“ je však potrebné dať doslovný výklad, podľa ktorého je na vyjadrenie súhlasu potrebné konanie používateľa. V tejto súvislosti z odôvodnenia 17 smernice 2002/58 vyplýva, že súhlas používateľa na účely tejto smernice môže byť vyjadrený akýmkoľvek vhodným spôsobom umožňujúcim vyjadrenie špecifického želania, ktoré nastane na základe slobodne daného, konkrétneho a informovaného prejavu vôle rozhodnutia používateľa, najmä „označen[ím] poľa na webovej stránke internetu“.
50 Pokiaľ ide o kontext týkajúci sa článku 5 ods. 3 smernice 2002/58, treba zdôrazniť, že článok 2 písm. f) tejto smernice, ktorý definuje „súhlas“ v zmysle tejto smernice, v tejto súvislosti odkazuje na „súhlas [dotknutej osoby]“ uvedený v smernici 95/46. Odôvodnenie 17 smernice 2002/58 spresňuje, že súhlas používateľa na účely tejto smernice by mal mať rovnaký význam ako súhlas dotknutej osoby, ktorá je definovaná a ďalej špecifikovaná v smernici 95/46.
51 Článok 2 písm. h) uvedenej smernice definuje „[súhlas dotknutej osoby]“ ako „[akýkoľvek slobodne daný, konkrétny a informovaný prejav vôle dotknutej osoby, ktorým vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka]“.
52 Ako zdôraznil generálny advokát v bode 60 svojich návrhov, požiadavka „prejavu“ vôle dotknutej osoby jasne poukazuje na aktívne a nie pasívne správanie. Súhlas daný prostredníctvom vopred označeného začiarkavacieho políčka, ktorého označenie musí používateľ zrušiť, si však nevyžaduje aktívne správanie používateľa internetovej stránky.
53 Tento výklad potvrdzuje článok 7 smernice 95/46, ktorý stanovuje vyčerpávajúci zoznam prípadov, v ktorých možno spracúvanie osobných údajov považovať za prípustné (pozri v tomto zmysle rozsudky z 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 a C‑469/10, EU:C:2011:777, bod 30, ako aj z 19. októbra 2016, Breyer, C‑582/14, EU:C:2016:779, bod 57).
54 Konkrétne článok 7 písm. a) smernice 95/46 stanovuje, že takéto spracúvanie môže byť prípustné na základe súhlasu dotknutej osoby, ak dotknutá osoba poskytla takýto súhlas „nepochybne“. Túto požiadavku však môže spĺňať len aktívne správanie tejto osoby, ktorým sa usiluje vyjadriť svoj súhlas.
55 V tejto súvislosti je prakticky nemožné objektívne určiť, či používateľ internetovej stránky skutočne dal svoj súhlas so spracúvaním svojich osobných údajov tým, že nezrušil označenie vopred označeného začiarkavacieho políčka, ako ani v žiadnom prípade to, či tento súhlas bol informovaný. Nemožno totiž vylúčiť, že uvedený používateľ nečítal informáciu nachádzajúcu sa pri vopred označenom začiarkavacom políčku, a dokonca že si ani nevšimol toto políčko pred pokračovaním v činnosti na internetovej stránke, ktorú navštívil.
56 Napokon, pokiaľ ide o genézu článku 5 ods. 3 smernice 2002/58, treba konštatovať, že pôvodné znenie tohto ustanovenia stanovovalo len požiadavku, aby užívateľ mal „možnosť odmietnuť“ ukladanie cookies po tom, čo mu boli dané k dispozícii jasné a jednoznačné informácie v súlade so smernicou 95/46, medzi iným aj o účele spracúvania. Smernica 2009/136 zaviedla podstatnú zmenu znenia tohto ustanovenia tým, že tento výraz nahradila výrazom „dal súhlas“. Genéza článku 5 ods. 3 smernice 2002/58 tak naznačuje, že súhlas používateľa už nemožno predpokladať a musí vyplývať z jeho aktívneho správania.
57 Vzhľadom na predchádzajúce skutočnosti, súhlas v zmysle článku 2 písm. f) a článku 5 ods. 3 smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46 nie je účinne daný vtedy, keď je ukladanie informácií v koncovom zariadení používateľa internetovej stránky alebo pristupovanie k informáciám, ktoré sú tam už uložené, povolené začiarkavacím políčkom, ktoré bolo vopred označené poskytovateľom služby a ktorého označenie musí používateľ zrušiť, aby odmietol dať svoj súhlas.
58 Treba dodať, že prejav vôle uvedený v článku 2 písm. h) smernice 95/46 musí byť najmä „[konkrétny]“ v tom zmysle, že sa musí týkať presne dotknutého spracúvania údajov a nemožno ho vyvodiť z prejavu vôle, ktorý má odlišný predmet.
59 V prejednávanej veci na rozdiel od toho, čo tvrdila Planet49, skutočnosť, že používateľ klikne na tlačidlo s cieľom zúčastniť sa na výhernej hre organizovanej touto spoločnosťou, nemôže teda stačiť na vyvodenie záveru, že účinne dal svoj súhlas s ukladaním cookies.
60 Po prihliadnutí na nariadenie 2016/679 platí vyššie uvedený výklad o to viac.
61 Ako totiž v podstate konštatoval generálny advokát v bode 70 svojich návrhov, znenie článku 4 bodu 11 nariadenia 2016/679, ktoré definuje „súhlas dotknutej osoby“, na účely tohto nariadenia, a najmä jeho článku 6 ods. 1 písm. a), ktorého sa týka prvá prejudiciálna otázka písm. c), je ešte užší ako súhlas podľa článku 2 písm. h) smernice 95/46, keďže vyžaduje „slobodne daný, konkrétny, informovaný a jednoznačný“ prejav vôle dotknutej osoby, ktorý formou vyhlásenia alebo „jednoznačného potvrdzujúceho úkonu“ vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka.
62 Podľa nariadenia 2016/679 sa teda už výslovne stanovuje aktívny súhlas. V tejto súvislosti treba uviesť, že podľa odôvodnenia 32 tohto nariadenia sa vyjadrenie súhlasu mohlo dať najmä označením začiarkavacieho políčka pri návšteve internetovej stránky. Uvedené odôvodnenie naopak výslovne vylučuje, aby sa za súhlas pokladali „mlčanie, vopred označené políčka alebo nečinnosť“.
63 Z toho vyplýva, že súhlas uvedený v článku 2 písm. f) a článku 5 ods. 3 smernice 2002/58 v spojení s článkom 4 bodom 11 a článkom 6 ods. 1 písm. a) nariadenia 2016/679 nie je účinne daný, keď je ukladanie informácií v koncovom zariadení používateľa internetovej stránky alebo pristupovanie k informáciám, ktoré sú tam už uložené, povolené vopred označeným začiarkavacím políčkom, ktorého označenie musí používateľ zrušiť, aby odmietol dať svoj súhlas.
64 Napokon treba zdôrazniť, že vnútroštátny súd nepoložil Súdnemu dvoru otázku, či okolnosť, že súhlas používateľa so spracúvaním jeho osobných údajov na reklamné účely podmieňujúca možnosť tohto používateľa zúčastniť sa na výhernej hre, ako sa to javí v tomto prípade, podľa údajov uvedených v návrhu na začatie prejudiciálneho konania – prinajmenšom pokiaľ ide o prvé začiarkavacie políčko –, je zlučiteľná s požiadavkou „slobodného“ súhlasu v zmysle článku 2 písm. h) smernice 95/46, ako aj článku 4 bodu 11 a článku 7 ods. 4 nariadenia 2016/679. Za týchto podmienok nie je potrebné, aby Súdny dvor takú otázku preskúmal.
65 Vzhľadom na všetky predchádzajúce úvahy treba na prvú otázku písm. a) a c) odpovedať tak, že článok 2 písm. f) a článok 5 ods. 3 smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46, ako aj s článkom 4 bodom 11 a článkom 6 ods. 1 písm. a) nariadenia 2016/679 sa majú vykladať v tom zmysle, že súhlas uvedený v týchto ustanoveniach nie je účinne daný vtedy, keď je ukladanie informácií v koncovom zariadení používateľa internetovej stránky alebo pristupovanie k informáciám, ktoré sú tam už uložené, na základe cookies, povolené prostredníctvom vopred označeného začiarkavacieho políčka, ktorého označenie musí používateľ zrušiť, aby tak odmietol dať svoj súhlas.
O prvej otázke písm. b)
66 Svojou prvou otázkou písm. b) sa vnútroštátny súd v podstate pýta, či sa má článok 2 písm. f) a článok 5 ods. 3 smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46, ako aj s článkom 4 bodom 11 a článkom 6 ods. 1 písm. a) nariadenia 2016/679 vykladať odlišne podľa toho, či informácie uložené v koncovom zariadení používateľa internetovej stránky alebo informácie, do ktorých sa v takom zariadení nahliada, predstavujú alebo nepredstavujú osobné údaje v zmysle smernice 95/46 a nariadenia 2016/679.
67 Ako bolo uvedené v bode 45 tohto rozsudku, z rozhodnutia vnútroštátneho súdu vyplýva, že ukladanie cookies, o aké ide vo veci samej, predstavuje spracúvanie osobných údajov.
68 Po tomto spresnení treba v každom prípade konštatovať, že článok 5 ods. 3 smernice 2002/58 odkazuje na „ukladanie informácií“ a na „získavanie prístupu k informáciám, ktoré už boli uložené“, bez toho, aby boli tieto informácie kvalifikované, alebo aby bolo spresnené, že tieto informácie musia byť osobnými údajmi.
69 Ako konštatoval generálny advokát v bode 107 svojich návrhov, cieľom tohto ustanovenia je teda chrániť používateľov pred zásahmi do ich súkromia bez ohľadu na to, či sa tento zásah týka alebo netýka osobných údajov.
70 Tento výklad je potvrdený aj odôvodnením 24 smernice 2002/58, podľa ktorého akékoľvek informácie uložené v koncovom zariadení používateľov elektronických komunikačných sietí sú súčasťou súkromia používateľov podliehajúceho ochrane podľa Európskeho dohovoru na ochranu ľudských práv a základných slobôd. Táto ochrana sa uplatňuje na všetky informácie uložené na danom koncovom zariadení bez ohľadu na to, či ide o osobné údaje, a ako vyplýva z toho istého odôvodnenia, jej cieľom je predovšetkým chrániť používateľov pred nebezpečenstvom, že skryté identifikátory alebo iné podobné zariadenia preniknú do koncového zariadenia týchto užívateľov bez ich vedomia.
71 Vzhľadom na predchádzajúce úvahy treba na prvú otázku písm. b) odpovedať tak, že článok 2 písm. f) a článok 5 ods. 3 smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46, ako aj s článkom 4 bodom 11 a článkom 6 ods. 1 písm. a) nariadenia 2016/679 sa nemajú vykladať odlišne podľa toho, či informácie uložené v koncovom zariadení používateľa internetovej stránky alebo informácie, do ktorých sa v takom zariadení nahliada, predstavujú alebo nepredstavujú osobné údaje v zmysle smernice 95/46 a nariadenia 2016/679.
O druhej otázke
72 Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 5 ods. 3 smernice 2002/58 vykladať v tom zmysle, že informácie, ktoré musí poskytovateľ služieb poskytnúť používateľovi internetovej stránky, zahŕňajú dĺžku funkčnosti súborov cookies, ako aj to, či tretie osoby majú alebo nemajú prístup k týmto cookies.
73 Ako už vyplýva z bodu 46 tohto rozsudku, článok 5 ods. 3 smernice 2002/58 vyžaduje, aby používateľ dal vopred svoj súhlas na základe jasných a komplexných informácií „v súlade so smernicou [95/46]“, najmä o účeloch spracúvania.
74 Ako zdôraznil generálny advokát v bode 115 svojich návrhov, jasné a komplexné informácie musia používateľovi umožniť jednoducho určiť následky súhlasu, ktorý môže poskytnúť, a zabezpečiť, že bude poskytnutý informovaný súhlas. Musia byť jasne pochopiteľné a dostatočne podrobné, aby používateľovi umožnili pochopiť fungovanie použitých súborov cookies.
75 V situácii, o akú ide vo veci samej, v ktorej – ako vyplýva z údajov uvedených v spise predloženom Súdnemu dvoru, účelom cookies je zhromažďovanie informácií na reklamné účely týkajúce sa výrobkov partnerov organizátora výhernej hry – dĺžka funkčnosti cookies, ako aj možnosť alebo nemožnosť tretích osôb mať k nim prístup, sú súčasťou jasných a komplexných informácií, ktoré musia byť poskytnuté používateľovi v súlade s článkom 5 ods. 3 smernice 2002/58.
76 V tejto súvislosti treba uviesť, že článok 10 smernice 95/46, na ktorý odkazuje článok 5 ods. 3 smernice 2002/58, ako aj článok 13 nariadenia 2016/679 stanovujú informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby.
77 Podľa článku 10 smernice 95/46 tieto informácie najmä obsahujú, okrem identity prevádzkovateľa a účelov spracúvania, pre ktoré sú údaje potrebné, akékoľvek ďalšie informácie, ako príjemcov alebo kategórie príjemcov údajov, pokiaľ sú takéto ďalšie informácie potrebné, so zreteľom na špecifické okolnosti, za ktorých sa údaje zhromažďujú, na zaručenie spravodlivého spracúvania vzhľadom na dotknutú osobu.
78 Hoci dĺžka spracúvania údajov sa medzi týmito informáciami nenachádza, z výrazu „aspoň“ uvedeného v článku 10 smernice 95/46 vyplýva, že zoznam týchto druhov informácií nie je vyčerpávajúci. Informácia o dĺžke funkčnosti cookies sa pritom musí považovať za informáciu, ktorá zodpovedá požiadavke spravodlivého spracúvania údajov stanovenej v uvedenom článku, a to tým, že v situácii, o akú ide vo veci samej, dlhá doba funkčnosti, či dokonca neobmedzená doba funkčnosti predstavuje zhromažďovanie veľkého množstva informácií o zvyklostiach pri prehliadaní internetu a frekvencii prípadných návštev používateľom stránok reklamných partnerov organizátora výhernej hry.
79 Tento výklad je potvrdený aj článkom 13 ods. 2 písm. a) nariadenia 2016/679, ktorý stanovuje, že prevádzkovateľ musí poskytnúť dotknutej osobe na zabezpečenie spravodlivého a transparentného spracúvania informácie týkajúce sa najmä doby uchovávania osobných údajov alebo, ak to nie je možné, kritériá použité na určenie tejto doby.
80 Pokiaľ ide o možnosť alebo nemožnosť tretích osôb mať prístup ku cookies, ide o informáciu, ktorá je zahrnutá medzi informácie podľa článku 10 písm. c) smernice 95/46, ako aj článku 13 ods. 1 písm. e) nariadenia 2016/679, keďže tieto ustanovenia výslovne uvádzajú príjemcov alebo kategórie príjemcov údajov.
81 Vzhľadom na predchádzajúce úvahy treba na druhú otázku odpovedať tak, že článok 5 ods. 3 smernice 2002/58 sa má vykladať v tom zmysle, že informácie, ktoré musí poskytovateľ služieb poskytnúť používateľovi internetovej stránky, zahŕňajú dĺžku funkčnosti súborov cookies, ako aj to, či tretie osoby majú alebo nemajú prístup k týmto cookies.
O trovách
82 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (veľká komora) rozhodol takto:
1. Článok 2 písm. f) a článok 5 ods. 3 smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách), zmenenej smernicou Európskeho parlamentu a Rady 2009/136/ES z 25. novembra 2009, v spojení s článkom 2 písm. h) smernice Európskeho parlamentu a Rady 95/46/[ES] z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov, ako aj článkom 4 bodom 11 a článkom 6 ods. 1 písm. a) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46 (všeobecné nariadenie o ochrane údajov), sa majú vykladať v tom zmysle, že súhlas uvedený v týchto ustanoveniach nie je účinne daný vtedy, keď je ukladanie informácií v koncovom zariadení používateľa internetovej stránky alebo pristupovanie k informáciám, ktoré sú tam už uložené, na základe cookies, povolené prostredníctvom vopred označeného začiarkavacieho políčka, ktorého označenie musí používateľ zrušiť, aby tak odmietol dať svoj súhlas.
2. Článok 2 písm. f) a článok 5 ods. 3 smernice 2002/58, zmenenej smernicou 2009/136, v spojení s článkom 2 písm. h) smernice 95/46, ako aj s článkom 4 bodom 11 a článkom 6 ods. 1 písm. a) nariadenia 2016/679 sa nemajú vykladať odlišne podľa toho, či informácie uložené v koncovom zariadení používateľa internetovej stránky alebo informácie, do ktorých sa v takom zariadení nahliada, predstavujú alebo nepredstavujú osobné údaje v zmysle smernice 95/46 a nariadenia 2016/679.
3. Článok 5 ods. 3 smernice 2002/58, zmenenej smernicou 2009/136, sa má vykladať v tom zmysle, že informácie, ktoré musí poskytovateľ služieb poskytnúť používateľovi internetovej stránky, zahŕňajú dĺžku funkčnosti súborov cookies, ako aj to, či tretie osoby majú alebo nemajú prístup k týmto cookies.
Podpisy