Vec C‑673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
proti
Planet49 GmbH
(návrh na začatie prejudiciálneho konania, ktorý podal Bundesgerichtshof)
Rozsudok Súdneho dvora (veľká komora) z 1. októbra 2019
„Návrh na začatie prejudiciálneho konania – Smernica 95/46/ES – Smernica 2002/58/ES – Nariadenie (EÚ) 2016/679 – Spracúvanie osobných údajov a ochrana súkromia v sektore elektronických komunikácií – Súbory cookies – Pojem súhlas dotknutej osoby – Vyhlásenie súhlasu formou vopred označeného začiarkavacieho políčka“
1. Aproximácia právnych predpisov – Odvetvie telekomunikácií – Spracúvanie osobných údajov a ochrana súkromia v sektore elektronických komunikácií – Smernica 2002/58 – Súbory cookies – Súhlas dotknutej osoby – Pojem – Vyhlásenie súhlasu formou vopred označeného začiarkavacieho políčka – Vylúčenie
[Nariadenie Európskeho parlamentu a Rady 2016/679, článok 4 bod 11 a článok 6 ods. 1 písm. a); smernica Európskeho parlamentu a Rady 95/46, článok 2 písm. h) a smernica Európskeho parlamentu a Rady 2002/58, zmenená smernicou 2009/136, článok 2 písm. f) a článok 5 ods. 3]
(pozri body 49 – 58, 60 – 63, bod 1 výroku)
2. Aproximácia právnych predpisov – Odvetvie telekomunikácií – Spracúvanie osobných údajov a ochrana súkromia v sektore elektronických komunikácií – Smernica 2002/58 – Súbory cookies – Súhlas dotknutej osoby – Pojem – Informácie uložené alebo informácie, do ktorých sa nahliada, ktoré predstavujú alebo nepredstavujú osobné údaje – Neexistencia vplyvu
[Nariadenie Európskeho parlamentu a Rady 2016/679, článok 4 bod 11 a článok 6 ods. 1 písm. a); smernica Európskeho parlamentu a Rady 95/46, článok 2 písm. h) a smernica Európskeho parlamentu a Rady 2002/58, zmenená smernicou 2009/136, článok 2 písm. f) a článok 5 ods. 3]
(pozri body 68 – 71, bod 2 výroku)
3. Aproximácia právnych predpisov – Odvetvie telekomunikácií – Spracúvanie osobných údajov a ochrana súkromia v sektore elektronických komunikácií – Smernica 2002/58 – Súbory cookies – Jasné a komplexné informácie, ktoré musí poskytnúť poskytovateľ služby – Pojem – Dĺžka funkčnosti cookies – Zahrnutie – Možnosť alebo nemožnosť tretích osôb mať prístup ku cookies – Zahrnutie
(Smernica Európskeho parlamentu a Rady 2002/46, zmenená smernicou 2009/136, článok 5 ods. 3)
(pozri body 74 – 81, bod 3 výroku)
Zhrnutie
Ukladanie cookies si vyžaduje aktívny súhlas používateľa internetu
Rozsudkom z 1. októbra 2019, Planet49 (C‑673/17), Súdny dvor vo veľkej komore rozhodol, že súhlas na ukladanie informácií v koncovom zariadení používateľa internetovej stránky alebo na pristupovanie k týmto informáciám, a to na základe cookies, ktoré sú tam uložené, nie je účinne daný vtedy, keď povolenie vyplýva zo začiarkavacieho políčka, ktoré bolo vopred označené, a to bez ohľadu na to, či predmetné informácie predstavujú alebo nepredstavujú osobné údaje. Súdny dvor navyše spresnil, že poskytovateľ služieb musí používateľovi internetovej stránky oznámiť dĺžku funkčnosti cookies, ako aj to, či tretie osoby majú alebo nemajú prístup k týmto cookies.
Spor vo veci samej sa týkal organizovania výhernej hry spoločnosťou Planet49 na internetovej stránke www.dein‑macbook.de. S cieľom zúčastniť sa na tejto hre museli používatelia internetu uviesť svoje meno a adresu na webovej stránke, na ktorej sa nachádzali začiarkavacie políčka. Začiarkavacie políčko povoľujúce ukladanie cookies bolo vopred označené. Bundesgerichtshof (Spolkový súdny dvor, Nemecko), na ktorý sa obrátil nemecký Zväz spotrebiteľských združení, mal pochybnosti o platnosti získania súhlasu používateľov prostredníctvom vopred označeného začiarkavacieho políčka, ako aj o rozsahu informačnej povinnosti, ktorú má poskytovateľ služieb.
Návrh na začatie prejudiciálneho konania sa v podstate týka výkladu pojmu súhlas, na ktorý sa vzťahuje smernica o súkromí a elektronických komunikáciách(1) v spojení so smernicou 95/46(2), ako aj so všeobecným nariadením o ochrane údajov(3).
Po prvé Súdny dvor uviedol, že článok 2 písm. h) smernice 95/46, na ktorú odkazuje článok 2 písm. f) smernice o súkromí a elektronických komunikáciách, definuje súhlas ako „slobodne poskytnutú a informovanú indikáciu jeho prianí, ktorou osoba pracujúca s údajmi prejaví svoj súhlas, aby sa osobné údaje, ktoré sa ho týkajú, spracovali [akýkoľvek slobodne daný, konkrétny a informovaný prejav vôle dotknutej osoby, ktorým vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka – neoficiálny preklad]“. Podľa neho požiadavka „prejavu“ vôle dotknutej osoby jasne poukazuje na aktívne a nie pasívne správanie. Súhlas daný prostredníctvom vopred označeného začiarkavacieho políčka, ktorého označenie musí používateľ zrušiť, si však nevyžaduje aktívne správanie používateľa internetovej stránky. Okrem toho genéza článku 5 ods. 3 smernice o súkromí a elektronických komunikáciách, ktorá od svojej zmeny smernicou 2009/136 vyžaduje, aby používateľ „dal súhlas“ s ukladaním cookies, tak naznačuje, že súhlas používateľa už nemožno predpokladať a musí vyplývať z jeho aktívneho správania. Napokon, aktívny súhlas je teraz už upravený všeobecným nariadením o ochrane údajov(4), ktorého článok 4 bod 11 si vyžaduje prejav vôle, ktorý má najmä podobu „jednoznačného potvrdzujúceho úkonu“ a ktorého odôvodnenie 32 výslovne vylučuje, aby sa za súhlas považovalo „mlčanie, vopred označené políčka alebo nečinnosť“.
Súdny dvor preto rozhodol, že súhlas nie je účinne daný vtedy, keď je ukladanie informácií v koncovom zariadení používateľa internetovej stránky alebo pristupovanie k informáciám, ktoré sú tam už uložené, povolené vopred označeným začiarkavacím políčkom, ktorého označenie musí používateľ zrušiť, aby odmietol dať svoj súhlas. Súdny dvor dodal, že skutočnosť, že používateľ klikne na tlačidlo zúčastnenia sa na výhernej hre, nemôže teda stačiť na vyvodenie záveru, že účinne dal svoj súhlas s ukladaním cookies.
Po druhé Súdny dvor konštatoval, že cieľom článku 5 ods. 3 smernice o súkromí a elektronických komunikáciách je teda chrániť používateľov pred zásahmi do ich súkromia bez ohľadu na to, či sa tento zásah týka alebo netýka osobných údajov. Z toho vyplýva, že pojem súhlas sa nemá vykladať odlišne podľa toho, či informácie uložené v koncovom zariadení používateľa internetovej stránky alebo informácie, do ktorých sa v takom zariadení nahliada, predstavujú alebo nepredstavujú osobné údaje.
Po tretie Súdny dvor uviedol, že článok 5 ods. 3 smernice o súkromí a elektronických komunikáciách vyžaduje, aby používateľ dal vopred svoj súhlas na základe jasných a komplexných informácií. najmä o účeloch spracúvania. Jasné a komplexné informácie pritom musia používateľovi umožniť jednoducho určiť následky súhlasu, ktorý môže poskytnúť, a zabezpečiť, že bude poskytnutý informovaný súhlas. V tejto súvislosti Súdny dvor konštatoval, že dĺžka funkčnosti cookies, ako aj možnosť alebo nemožnosť tretích osôb mať prístup k týmto cookies, sú súčasťou jasných a komplexných informácií, ktoré musia byť poskytnuté používateľovi internetovej stránky poskytovateľom služieb.