NÁVRHY GENERÁLNEHO ADVOKÁTA
MACIEJ SZPUNAR
prednesené 21. marca 2019 (1)
Vec C‑673/17
Planet49 GmbH
proti
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
[návrh na začatie prejudiciálneho konania, ktorý podal Bundesgerichtshof (Spolkový súdny dvor, Nemecko)]
„Návrh na začatie prejudiciálneho konania – Smernica 95/46/ES – Smernica 2002/58/ES – Nariadenia (EÚ) 2016/679 – Spracovávanie osobných údajov a ochrana súkromia v sektore elektronických komunikácií – Súbory cookies – Pojem súhlas dotknutej osoby – Vyjadrenie súhlasu formou vopred označeného začiarkavacieho políčka“
I. Úvod
1. Používateľ internetu, ktorý sa chcel zúčastniť na výhernej hre, ktorú organizovala spoločnosť Planet49, musel najskôr začiarknuť dve políčka alebo ich začiarknutie zrušiť predtým, než mohol kliknúť na tlačidlo „účasť“. Pri jednom z týchto začiarkavacích políčok sa od používateľa vyžadovalo, aby súhlasil s tým, že ho viaceré spoločnosti budú kontaktovať s reklamnými ponukami, pri druhom políčku sa vyžadoval súhlas s inštaláciou súborov cookies v počítači používateľa. Toto sú v skratke skutkové okolnosti tohto návrhu na začatie prejudiciálneho konania, ktorý predložil Bundesgerichtshof (Spolkový súdny dvor, Nemecko).
2. Za týmito zdanlivo nepodstatnými skutočnosťami sa však skrývajú základné problémy právnych predpisov EÚ týkajúcich sa ochrany osobných údajov: aké presne požiadavky sú kladené na informovaný súhlas, ktorý sa má slobodne poskytnúť? Existuje rozdiel medzi (len) spracúvaním osobných údajov a vložením súborov cookies a prístupom k súborom cookies? Aké právne nástroje sa uplatňujú?
3. V týchto návrhoch poukážem na to, že pokiaľ ide o prejednávanú vec, požiadavky na poskytovanie súhlasu sú rovnaké podľa smernice 95/46/ES(2) a nariadenia (EÚ) 2016/679(3) a že v prejednávanej veci neexistuje žiadny rozdiel medzi všeobecnou otázkou spracúvania osobných údajov alebo konkrétnejšou otázkou ukladania a získavania prístupu k informáciám prostredníctvom súborov cookies.
II. Právny rámec
A. Právo EÚ
1. Smernica 95/46
4. Podľa článku 2 smernice 95/46, nazvaného „Definície“:
„Na účely tejto smernice:
…
h) ‚súhlas osoby pracujúcej s údajmi‘ znamená slobodne poskytnutú a informovanú indikáciu jeho prianí, ktorou osoba pracujúca s údajmi prejaví svoj súhlas, aby sa osobné údaje, ktoré sa ho týkajú, spracovali.“
5. V oddiele II uvedenej smernice s názvom „Kritériá na uzákonenie spracovania údajov“ sa v článku 7 písm. a) stanovuje:
„Členské štáty zabezpečia, aby bolo možné osobné údaje spracovať, iba ak:
a) osoba pracujúca s údajmi poskytla svoj súhlas jednoznačne; alebo
…“
6. Článok 10 tejto smernice, nazvaný „Informácie v prípade zberu údajov od osoby pracujúcej s údajmi“, stanovuje:
„Členské štáty zabezpečia, že kontrolór alebo jeho zástupca, musí poskytnúť osobe pracujúcej s údajmi, od ktorej sa údaje, ktoré sa jej týkajú, zbierajú, aspoň nasledujúce informácie, s výnimkou, ak ich tento subjekt už má:
a) identita kontrolóra a jeho zástupcu;
b) účely spracovania, pre ktoré sú údaje potrebné;
c) akékoľvek ďalšie informácie, ako napríklad
– príjemcovia alebo kategórie príjemcov údajov,
– či odpovede na otázky sú povinné alebo dobrovoľné, ako aj možné dôsledky neschopnosti odpovedať,
– existencia práva prístupu a práva skorigovania údajov, ktoré sa ho týkajú,
pokiaľ sú takéto ďalšie informácie potrebné, so zreteľom na špecifické okolnosti za ktorých sa údaje zhromažďujú, zaručenie správneho spracovania vzhľadom na osobu pracujúcu s údajmi.“
2. Smernica 2002/58/ES(4)
7. Odôvodnenia 24 a 25 smernice 2002/58/ES(5) znejú takto:
„(24) Koncové zariadenie užívateľov elektronických komunikačných sietí a akékoľvek informácie uložené v takom zariadení, sú súčasťou súkromnej sféry užívateľov podliehajúcich ochrane podľa Európskeho dohovoru na ochranu ľudských práv a základných slobôd. Takzvané spyware, web bugs, hidden identifiers a ostatné podobné zariadenia môžu vstúpiť do koncového zriadenia užívateľa bez ich vedomia, aby získali prístup k informáciám, ukladali tajné informácie alebo zistili aktivity užívateľa a môžu vážne narušiť súkromie užívateľa. Používanie takých zariadení by malo byť povolené len na legitímne účely, s vedomím príslušných užívateľov.
(25) Avšak také zariadenia ako sú ‚cookies‘, môžu byť legitímnym a užitočným nástrojom, napríklad pri analýze efektívnosti vytvárania webových stránok a reklamy a pri overovaní totožnosti užívateľov zapojených do on‑line transakcií. Ak sú také zariadenia, napríklad cookies, určené na legitímne účely, ako je uľahčenie poskytovania služieb informačnej spoločnosti, ich používanie by malo byť povolené pod podmienkou, že užívatelia majú jasné a presné informácie v súlade so smernicou 95/46 o účele cookies alebo podobných zariadení tak, aby bolo zabezpečené, že užívatelia sú si vedomí informácií, ktoré sa nachádzajú na ich koncovom zariadení, ktoré používajú. Užívatelia by mali mať možnosť odmietnuť, aby bolo cookies alebo podobné zariadenie uložené na ich koncovom zariadení. Toto je zvlášť dôležité, ak užívatelia, iní než pôvodní, majú prístup ku koncovému zariadeniu a tým k akýmkoľvek údajom obsahujúcim súkromne citlivé informácie uložené v takom zariadení. Informácie a právo odmietnuť môžu byť ponúknuté jednorazovo pre používanie rôznych zariadení inštalovaných na koncovom zariadení užívateľa počas toho istého spojenia a tiež pre každé ďalšie používanie týchto zariadení počas ďalších spojení. Metódy poskytovania informácií, ponuka práva na odmietnutie alebo vyžiadanie súhlasu by sa mali vykonať spôsobom, ktorý je pre užívateľa najvhodnejší; prístup k špecifickému webovému obsahu môže byť ešte stále podmienený vedomým akceptovaním cookies alebo podobného zariadenia, ak sa používa na legitímne účely.“
8. Článok 2 uvedenej smernice s názvom „Definície“ uvádza v písmene f):
„Pokiaľ nie je stanovené inak, platia definície v smernici 95/46 a v smernici Európskeho parlamentu a Rady 2002/21/ES zo 7. marca 2002 o spoločnom regulačnom rámci pre elektronické komunikačné siete a služby (rámcová smernica)[(6)].
Platia aj tieto definície:
…
f) ,súhlas‘ užívateľa alebo účastníka zodpovedá súhlasu dátového subjektu v súlade so smernicou 95/46;
…“
9. Článok 5 uvedenej smernice, nazvaný „Dôvernosť správy“ vo svojom odseku 3 stanovuje:
„Členské štáty zabezpečia, aby sa ukladanie informácií alebo získavanie prístupu k informáciám, ktoré už boli uložené, v koncovom zariadení účastníka alebo užívateľa povolilo len pod podmienkou, že dotknutý účastník alebo užívateľ dal na to vopred súhlas na základe jasných a komplexných informácií v súlade so smernicou 95/46/ES, okrem iného aj o účeloch spracovania. To nebráni nijakému technickému uloženiu ani prístupu výhradne na účely výkonu prenosu správy prostredníctvom elektronickej komunikačnej siete alebo ak je to nevyhnutne potrebné na to, aby poskytovateľ služieb informačnej spoločnosti, ktoré si účastník alebo užívateľ výslovne vyžiadal, mohol tieto služby poskytnúť.“
3. Smernica 2009/136/ES(7)
10. Odôvodnenie 66 smernice 2009/136/ES(8) stanovuje:
„Tretie strany môžu mať záujem o uloženie informácií na zariadení užívateľa alebo o získanie prístupu k dosiaľ uloženým informáciám z množstva príčin siahajúcich od legitímnych dôvodov (napr. niektoré druhy cookies) až po dôvody zahŕňajúce nedovolený prienik do súkromnej sféry (napr. spyware alebo vírusy). Je preto nesmierne dôležité, aby užívatelia mali pri činnostiach, ktoré by mohli vyústiť do takéhoto ukladania alebo získania informácií, jasné a zrozumiteľné informácie. Metódy poskytovania informácií a ponuka práva na odmietnutie by sa mali vykonať spôsobom, ktorý je pre užívateľa najvhodnejší. Výnimka z povinnosti poskytnúť informácie a ponúknuť právo na odmietnutie by sa mala obmedziť na situácie, keď sú technické ukladanie a prístup výslovne potrebné na legitímny účel, ktorým je umožnenie využitia konkrétnej služby, ktorú účastník alebo užívateľ jasne vyžaduje. Ak je to technicky možné a účinné, užívateľ môže v súlade s príslušnými ustanoveniami smernice 95/46 vyjadriť súhlas so spracovaním údajov použitím príslušného nastavenia prehliadača alebo inej aplikácie. Vymáhanie týchto požiadaviek by mali zefektívniť rozšírené právomoci udelené príslušným vnútroštátnym orgánom.“
4. Nariadenie 2016/679
11. Odôvodnenie 32 nariadenia 2016/679 znie:
„Súhlas by sa mal poskytnúť jasným prejavom vôle, ktorý je slobodným, konkrétnym, informovaným a jednoznačným vyjadrením súhlasu dotknutej osoby so spracúvaním osobných údajov, ktoré sa jej týkajú, a to napríklad písomným vyhlásením vrátane vyhlásenia prostredníctvom elektronických prostriedkov alebo ústnym vyhlásením. Mohlo by to zahŕňať označenie políčka pri návšteve internetového webového sídla, zvolenie technických nastavení služieb informačnej spoločnosti alebo akékoľvek iné vyhlásenie či úkon, ktorý v tomto kontexte jasne znamená, že dotknutá osoba súhlasí s navrhovaným spracúvaním svojich osobných údajov. Mlčanie, vopred označené políčka alebo nečinnosť by sa preto nemali pokladať za súhlas. Súhlas by sa mal vzťahovať na všetky spracovateľské činnosti vykonávané na ten istý účel alebo účely. Ak sa spracúvanie vykonáva na viaceré účely, súhlas by sa mal udeliť na všetky tieto účely. Ak má dotknutá osoba poskytnúť súhlas na základe požiadavky elektronickými prostriedkami, požiadavka musí byť jasná a stručná a nemala by pôsobiť zbytočne rušivo na používanie služby, pre ktorú sa poskytuje.“
12. Článok 4 tohto nariadenia s názvom „Vymedzenie pojmov“ v bode 11 stanovuje:
„Na účely tohto nariadenia:
…
11. ‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;
…“
13. Článok 6 toho istého nariadenia, nazvaný „Zákonnosť spracúvania“, uvádza:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
…“
14. Článok 7 nariadenia 2016/679 má názov „Podmienky vyjadrenia súhlasu“. Podľa článku 7 ods. 4 „[p]ri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný“.
B. Nemecké právo
1. Nemecký občiansky zákonník
15. V článku 307(9) Bürgerliches Gesetzbuch (nemecký Občiansky zákonník, ďalej len „BGB“) sa stanovuje:
„1. Ustanovenia všeobecných obchodných podmienok sú neúčinné, ak zmluvného partnera používateľa v rozpore so zásadou dobrej viery neprimerane znevýhodňujú. Neprimerané znevýhodnenie môže vyplývať aj z toho, že ustanovenie nie je jasné a zrozumiteľné.
2. V prípade pochybností sa predpokladá, že ide o neprimerané znevýhodnenie, ak ustanovenie
(1) nie je zlučiteľné so základnými zásadami zákonnej úpravy, od ktorej sa odkláňa, alebo
(2) obmedzuje základné práva alebo povinnosti vlastné povahe zmluvy do takej miery, že ohrozuje dosiahnutie účelu zmluvy.
3. Uvedené odseky 1. a 2., ako aj články 308 a 309 sa vzťahujú len na ustanovenia všeobecných obchodných podmienok, na základe ktorých sa dohodnú dojednania odchyľujúce sa od právnych predpisov, alebo dojednania, ktoré tieto právne predpisy doplňujú. Iné ustanovenia môžu byť neúčinné podľa odseku 1. vety 2 vyššie, v spojení s odsekom 1. vetou 1 vyššie.“
2. Zákon o nekalej hospodárskej súťaži
16. Gesetz gegen den unlauteren Wettbewerb (zákon o nekalej hospodárskej súťaži, ďalej len „UWG“) zakazuje obchodné praktiky, ktoré predstavujú neprimerané obťažovanie účastníka trhu. V článku 7 ods. 2 UWG sa v bode 2 stanovuje, že „neprimerané obťažovanie sa vždy predpokladá v prípade… reklamy prostredníctvom telefonického hovoru so spotrebiteľom bez jeho predošlého výslovného súhlasu, alebo s iným účastníkom trhu bez aspoň jeho predpokladaného súhlasu“.
3. Zákon o elektronických a informačných službách
17. V článku 12 ods. 1 Telemediengesetz (zákon o elektronických a informačných službách, ďalej len „TMG“) sa preberá článok 7 písm. a) smernice 95/46 a stanovujú sa podmienky, na základe ktorých je poskytovateľ služieb oprávnený zhromažďovať a spracúvať osobné údaje na účely elektronických médií. Podľa tohto článku je poskytovateľ služieb oprávnený zhromažďovať a spracúvať osobné údaje na účely elektronických médií len v rozsahu, v akom to povoľuje TMG alebo iný právny predpis vzťahujúci sa výslovne na elektronické médiá alebo v akom na to dal používateľ súhlas.
18. V článku 12 ods. 3 TMG sa stanovuje, že platné právne predpisy týkajúce sa osobných údajov, sa musia uplatňovať aj v prípade, že údaje nepodliehajú automatizovanému spracovaniu.
19. V článku 13 ods. 1 TMG sa vyžaduje, aby poskytovateľ služieb informoval používateľa na začiatku používania o spôsobe, rozsahu a účeloch spracúvania osobných údajov, ako aj spracúvania údajov nad rámec pôsobnosti smernice 95/46.
20. V článku 15 ods. 1 TMG sa stanovuje, že poskytovatelia služieb môžu zbierať a spracovať osobné údaje, len ak sú nevyhnutné na on-line využívanie médií alebo na účely vystavenia faktúry týkajúcej sa tohto používania („používateľské údaje“). Používateľské údaje sa vymedzujú okrem iného ako údaje umožňujúce identifikáciu používateľov.
21. Článkom 15 ods. 3 TMG sa preberá článok 5 ods. 3 smernice 2002/58 a poskytovateľ služieb sa oprávňuje na vytváranie používateľských profilov s použitím pseudonymov na účely reklamy, prieskumu trhu alebo konfigurácie elektronických médií, pokiaľ voči tomu používateľ nenamieta a poskytovateľ služby informoval používateľa o jeho práve podať námietku v súlade s povinnosťou poskytovať informácie podľa článku 13 ods. 1 TMG.
4. Spolkový zákon o ochrane údajov
22. V článku 3 ods. 1 Bundesdatenschutzgesetz (spolkový zákon o ochrane údajov, ďalej len „BDSG“)(10) sa preberá článok 2 písm. a) smernice 95/46 a vymedzuje sa pojem „osobné údaje“ ako údaje vzťahujúce sa na osobné alebo vecné pomery určitej alebo určiteľnej fyzickej osoby.
23. Článkom 4a BDSG sa preberá do vnútroštátnych právnych predpisov článok 2 písm. h) smernice 95/46 a stanovuje sa, že súhlas je platný, len ak je výsledkom slobodnej voľby dotknutých osôb.
III. Skutkový stav, konanie a prejudiciálne otázky
24. Dňa 24. septembra 2013 usporiadala Planet49 GmbH na internetovej adrese www.dein‑macbook.de reklamnú výhernú hru.(11) Používateľ internetu, ktorý sa chcel na výhernej hre zúčastniť, musel zadať svoje poštové smerovacie číslo a následne sa dostal na stránku, na ktorej bolo potrebné uviesť meno a adresu používateľa. Pod zadávacími políčkami pre adresu sa nachádzali dve informácie so začiarkavacími políčkami. Ďalej budem na ne odkazovať ako na „prvé začiarkavacie políčko“ a „druhé začiarkavacie políčko“. Prvá informácia, ktorej políčko na začiarknutie nebolo označené dopredu vloženým háčikom, znela:
„Súhlasím s tým, aby ma niektorí sponzori a spolupracujúci partneri informovali poštou alebo telefonicky alebo e‑mailom/SMS o ponukách z ich príslušnej obchodnej oblasti. Tieto môžem určiť na tomto mieste sám, inak výber uskutoční organizátor. Súhlas môžem kedykoľvek odvolať. Ďalšie informácie k tomuto sa nachádzajú tu.“
25. Druhá informácia, ktorej políčko na začiarknutie bolo označené dopredu vloženým háčikom, znela:
„Súhlasím s tým, aby bola u mňa využitá služba webovej analýzy spoločnosti Remintrex. To bude znamenať, že organizátor výhernej hry, Planet49 GmbH, vloží po registrácii do výhernej hry súbory cookies, ktoré spoločnosti Planet49 umožnia vyhodnotenie môjho správania pri prehliadaní a používaní webových stránok reklamných partnerov, a tým aj záujmovo orientovanú reklamu prostredníctvom spoločnosti Remintrex. Súbory cookies môžem kedykoľvek opäť vymazať. Bližšie informácie si prečítajte tu.“
26. Účasť na výhernej hre bola možná len v prípade, ak bolo háčikom označené minimálne políčko pri prvej informácii.
27. Prednastavený elektronický odkaz pod „sponzormi a spolupracujúcimi partnermi“ a „tu“ v prvej informácii viedol k zoznamu, ktorý obsahoval 57 spoločností, ich adresy, propagovanú obchodnú oblasť a spôsob komunikácie používaný na reklamu (e‑mail, pošta alebo telefón), ako aj podčiarknuté slovo „odhlásiť“ pri každej spoločnosti. Zoznamu predchádzalo nasledujúce upozornenie:
„Kliknutím na link ‚odhlásiť‘ rozhodujem, že menovanému partnerovi/sponzorovi nesmie byť udelený žiadny súhlas s reklamou. Pokiaľ neodhlásim žiadneho alebo dostatočne veľa partnerov/sponzorov, vyberie za mňa partnerov/sponzorov Planet49 podľa vlastného uváženia (maximálny počet: 30 partnerov/sponzorov).“
28. Po kliknutí na prednastavený elektronický odkaz v slove „tu“ nachádzajúci sa v druhej informácii sa ukázal nasledujúci text:
„V prípade vložených súborov cookies s názvami ceng_cache, ceng_etag, ceng_png a gcr ide o malé súbory, ktoré Vami používaný prehliadač priradí a uloží na Vašom pevnom disku, poskytujúce určité informácie, ktoré umožňujú používateľsky príjemnejšiu a efektívnejšiu reklamu. Súbory cookies obsahujú určité náhodne vygenerované číslo (ID), ktoré je súčasne priradené k Vašim registračným údajom. Ak následne navštívite webové stránky reklamného partnera registrovaného u spoločnosti Remintrex (o potrebe registrácie si, prosím, prečítajte vo vyhlásení o ochrane osobných údajov reklamného partnera), bude prostredníctvom napojeného iFrames od spoločnosti Remintrex automaticky zaznamenané, že ste (t. j. používateľ s uloženým ID) navštívili stránku, o ktorý produkt ste sa zaujímali a či došlo k uzavretiu kúpnej zmluvy.
Následne Vám môže Planet49 GmbH na základe súhlasu s reklamou poskytnutého pri registrácii do výhernej hry zasielať reklamné e‑maily zohľadňujúce Vaše záujmy prejavené na webovej stránke reklamného partnera. Po odvolaní súhlasu s reklamou nebudete samozrejme viac dostávať žiadne reklamné e‑maily.
Informácie prenášané prostredníctvom súborov cookies budú použité výlučne na reklamu, v ktorej budú prezentované produkty reklamného partnera. Informácie sa pre každého reklamného partnera získavajú, ukladajú a používajú oddelene. V žiadnom prípade sa nebudú vytvárať používateľské profily zahrňujúce viacerých reklamných partnerov. Jednotliví reklamní partneri nebudú dostávať žiadne osobné údaje.
Pokiaľ nemáte ďalej záujem o používanie súborov cookies, môžete ich prostredníctvom Vášho prehliadača kedykoľvek odstrániť. Návod nájdete cez funkciu ‚Pomoc‘ vo Vašom prehliadači.
Prostredníctvom súborov cookies nemôžu byť spustené žiadne programy alebo prenesené vírusy.
Samozrejme máte možnosť tento súhlas kedykoľvek odvolať. Odvolanie môžete zaslať písomne spoločnosti PLANET49 GmbH [adresa]. Rovnako postačí aj zaslanie e‑mailu našemu zákazníckemu servisu [e‑mailová adresa].“
29. Žalobca vo veci samej, Bundesverband der Verbraucherzentralen (Spolkový zväz spotrebiteľských centrál, ďalej len „Bundesverband“), je zapísaný v zozname kvalifikovaných subjektov podľa Gesetz über Unterlassungsklagen bei Verbraucherrechts ‑ und anderen Verstößen (zákon o žalobách na zdržanie sa konania v prípade porušenia práva spotrebiteľov a iných porušení, ďalej len „UKlaG“). Bundesverband tvrdil, že vyššie uvedené vyhlásenia o súhlase požadované spoločnosťou Planet49 nespĺňali požiadavky článku 307 BGB v spojení s článkom 7 ods. 2 bodom 2 UWG a článkom 12 a nasl. TMG. Výzva na upustenie od protiprávneho konania zaslaná pred podaním žaloby bola neúspešná.
30. Bundesverband inicioval konanie pred Landgericht Frankfurt am Main (Krajinský súd Frankfurt nad Mohanom, Nemecko), v ktorom žiadal, aby Planet49 prestala používať vyššie uvedené ustanovenia(12) a aby tejto spoločnosti bolo uložené zaplatiť sumu vo výške 214 eur a úroky od 15. marca 2014.
31. Landgericht Frankfurt am Main (Krajinský súd Frankfurt nad Mohanom) vyhovel niektorým žalobným návrhom a žalobu vo zvyšku zamietol. Po odvolaní(13) pred Oberlandesgericht Frankfurt am Main (Vyšší krajinský súd Frankfurt nad Mohanom, Nemecko) bol na Bundesgerichtshof (Spolkový súdny dvor) predložený opravný prostriedok(14).
32. Bundesgerichtshof (Spolkový súdny dvor) sa domnieva, že úspech opravného prostriedku závisí od výkladu článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46 a článkom 6 ods. 1 písm. a) nariadenia 2016/679 a Súdnemu dvoru položil tieto prejudiciálne otázky:
„1. a) Ide o účinný súhlas v zmysle článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46, keď je ukladanie informácií v koncovom zariadení používateľa alebo pristupovanie k informáciám, ktoré sú tam uložené, povolené vopred označeným začiarkavacím políčkom, ktorého označenie musí používateľ zrušiť, aby odmietol dať svoj súhlas?
b) Je pri uplatnení článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46 rozdiel, ak ide v prípade uložených alebo sprístupnených informácií o osobné údaje?
c) Ide za okolností uvedených v prejudiciálnej otázke 1 a) o účinný súhlas v zmysle článku 6 ods. 1 písm. a) nariadenia 2016/679?
2. Aké informácie musí poskytnúť poskytovateľ služby používateľovi v rámci jasných a komplexných informácií poskytovaných podľa článku 5 ods. 3 smernice 2002/58? Patrí sem aj dĺžka funkčnosti súborov cookies a otázka, či majú tretie osoby prístup k súborom cookies?“
33. Návrh na začatie prejudiciálneho konania bol doručený kancelárii Súdneho dvora 30. novembra 2017. Písomné pripomienky predložili Planet49, Bundesverband, portugalská a talianska vláda, ako aj Európska komisia. Na pojednávaní konanom 13. novembra 2018 sa zúčastnili Planet49, Bundesverband, nemecká vláda a Komisia.
IV. Posúdenie
34. Obe prejudiciálne otázky, ktoré predložil Bundesgerichtshof (Spolkový súdny dvor), sa týkajú udelenia súhlasu s ukladaním informácií a získaním prístupu k informáciám, ktoré už boli uložené v koncovom zariadení používateľa, t. j. so súbormi cookies, v konkrétnom kontexte ustanovení smernice 2002/58 v spojení s ustanoveniami smernice 95/46 alebo nariadenia 2016/679.
35. Na úvod považujem za užitočné objasniť skutkovú situáciu, pokiaľ ide o fenomén súborov cookies, a s tým spojenú terminológiu, ako aj objasniť právne nástroje, ktoré sa z právneho hľadiska vzťahujú na prejednávanú vec.
A. Predbežné poznámky
1. O súboroch cookies
36. Súbory cookies predstavujú spôsob zhromažďovania informácií, pričom ich vytvára webová stránka a ukladajú sa v prehliadači používateľa internetu.(15) Ide o malý dátový alebo textový súbor, ktorého veľkosť je obvykle menšia ako jeden kilobyte a pri ktorom webová stránka žiada prehliadač používateľa internetu, aby ho uložil na miestnom pevnom disku používateľovho počítača alebo mobilného zariadenia.(16)
37. Súbor cookie umožňuje webovej stránke, aby si v priebehu času „zapamätala“ konanie alebo preferencie používateľa. Väčšina prehliadačov súbory cookies podporuje, používatelia si však môžu nastaviť prehliadač tak, aby súbory cookies odmietal. Môžu ich tiež kedykoľvek odstrániť. Mnohí používatelia skutočne nastavujú svoje štandardné nastavenia súborov cookies v prehliadačoch tak, aby automaticky odstraňovali súbory cookies vždy, keď sa okno prehliadača zatvorí. Z empirických dôkazov však presvedčivo vyplýva, že ľudia len zriedka menia štandardné nastavenia, pričom tento jav sa zvykne nazývať „zotrvačnosť štandardu“(17).
38. Webové stránky používajú súbory cookies na identifikáciu používateľov, zapamätanie ich nastavených preferencií a umožnenie používateľom vykonávať určité úkony bez potreby opätovného zadávania informácií pri prehliadaní rôznych stránok alebo pri neskoršom návrate na stránku.
39. Súbory cookies je tiež možné použiť na zber informácií na účely cielenej on-line reklamy a marketingu na základe správania.(18) Spoločnosti napríklad používajú softvér na sledovanie správania používateľov a vytváranie osobných profilov, ktoré im umožňujú, aby používateľom zobrazovali reklamy relevantné vo vzťahu k ich predošlému vyhľadávaniu.(19)
40. Existujú rôzne druhy súborov cookies, niektoré z nich sa členia podľa životnosti súboru cookie (napr. dočasné súbory cookies a permanentné súbory cookies) a iné vychádzajú z domény, do ktorej súbor cookie patrí (napr. vlastné súbory cookies a súbory cookies tretej strany).(20) Ak webový server, ktorý poskytuje webovú stránku, ukladá súbory cookies v počítači alebo mobilnom zariadení používateľa, hovoríme o súboroch cookies typu „http header“(21). Ďalším spôsobom ukladania súborov cookies je prostredníctvom kódu JavaScript, ktorý stránka obsahuje alebo na ktorý odkazuje.(22) Platnosť súhlasu s vkladaním súborov cookies a uplatniteľnosť akýchkoľvek relevantných výnimiek by sa však mala hodnotiť na základe účelu súboru cookie, a nie na základe jeho technických vlastností.(23)
2. O uplatniteľných právnych nástrojoch
41. Právny rámec, ktorý sa uplatňuje na spor vo veci samej, sa v priebehu rokov vyvíjal, čo najnovšie viedlo k nadobudnutiu účinnosti nariadenia 2016/679.
42. Na prejednávanú vec sa vzťahujú dva súbory právnych nástrojov EÚ. Po prvé smernica 95/46 a nariadenie 2016/679. Po druhé smernica 2002/58, zmenená smernicou 2009/136.(24)
43. K týmto dvom súborom nástrojov by som rád uviedol dve konštatovania.
44. Prvé konštatovanie sa týka uplatniteľnosti smernice 95/46 a nariadenia 2016/679.
45. Nariadením 2016/679, ktoré sa uplatňuje od 25. mája 2018,(25) sa zrušila smernica 95/46, s účinnosťou od toho istého dňa.(26)
46. Dátum 25. mája 2018 je dátumom až po poslednom pojednávaní pred vnútroštátnym súdom zo 14. júla 2017 a tiež aj po 5. októbri 2017, keď Súdnemu dvoru boli v prejednávanej veci položené prejudiciálne otázky.
47. Na situácie pred 25. májom 2018 sa teda uplatňuje smernica 2002/58 v kombinácii so smernicou 95/46, pričom na situácie od 25. mája 2018 sa uplatňuje smernica 2002/58 v kombinácii s nariadením 2016/679.
48. Keďže Bundesverband chce žalobou na zdržanie(27) zabrániť budúcemu rovnakému správaniu spoločnosti Planet49, v prejednávanej veci sa uplatňuje nariadenie 2016/679. Vo svojom budúcom rozhodnutí o žalobe na zdržanie bude Bundesgerichtshof (Spolkový súdny dvor) preto musieť zohľadniť požiadavky nariadenia 2016/679. V tejto súvislosti nemecká vláda poukazuje na ustálenú vnútroštátnu judikatúru vo veci relevantnej právnej situácie, pokiaľ ide o žaloby na zdržanie.(28)
49. Z toho dôvodu na položenú otázku preto treba odpovedať tak so zreteľom na smernicu 95/46, ako aj so zreteľom na nariadenie 2016/679.(29)
50. Okrem toho je potrebné uviesť, že odkazy v smernici 2002/58 na smernicu 95/46 je potrebné vykladať ako odkazy na nariadenie 2016/679.(30)
51. Druhé konštatovanie sa týka vývoja článku 5 ods. 3 smernice 2002/58.
52. Smernica 2002/58 sa snaží o plné zabezpečenie práv stanovených v Charte základných práv Európskej únie, najmä v jej článkoch 7 a 8.(31) Cieľom článku 5 tejto smernice je zabezpečiť „dôvernosť správy“. Najmä v článku 5 ods. 3 sa upravuje používanie súborov cookies a stanovujú sa podmienky, ktoré musia byť splnené predtým, než je možné ukladať údaje alebo získavať prístup k údajom v počítači používateľa prostredníctvom nastavenia súborov cookies.
53. Smernicou 2009/136 sa zaviedli významné zmeny, pokiaľ ide o požiadavky na súhlas podľa článku 5 ods. 3 smernice 2002/58 s cieľom posilniť ochranu používateľov. Pred zmenami, ktoré sa zaviedli touto smernicou, sa v článku 5 ods. 3 vyžadovalo iba to, aby sa používateľom poskytla informovaná možnosť „opt‑out“ pri spracovaní údajov prostredníctvom súborov cookies. Inak povedané podľa pôvodného znenia článku 5 ods. 3 bol poskytovateľ služieb povinný v prípade ukladania informácií v koncovom zariadení používateľa alebo získavania prístupu k tam uloženým informáciám informovať používateľa jasne a komplexne predovšetkým o účele spracovania a poučiť používateľa o práve odmietnuť takéto spracovanie.
54. V smernici 2009/136 sa táto požiadavka informovať o práve odmietnuť nahradila požiadavkou, aby „dotknutý účastník alebo užívateľ dal na to vopred súhlas“, čo znamená, že jednoduchšie splniteľný systém informovaného „opt‑out“ bol nahradený systémom informovaného „opt‑in“. Používanie súborov cookies podľa revidovaného článku 5 ods. 3 smernice 2002/58 (pričom platí veľmi obmedzená výnimka, ktorá sa ale v prejednávanej veci neuplatňuje(32)) sa povoľuje len v prípade, že používateľ udelil súhlas po tom, ako mu boli poskytnuté jasné a komplexné informácie v súlade so smernicou 95/46 o tom, prečo sa jeho údaje sledujú, t. j. o účele spracovania.(33)
55. Ako to bude možné podrobnejšie vidieť nižšie, rozsah požiadavky poskytovať informácie podľa článku 5 ods. 3 smernice 2002/58 je kľúčovým prvkom prejednávaného sporu, najmä v kontexte štandardných nastavení pri činnostiach on-line.
B. Otázka 1
56. V otázke 1 a) sa vnútroštátny súd pýta, či ide o účinný súhlas v zmysle článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46, ak ukladanie informácií alebo prístup k informáciám, ktoré už sú uložené v koncovom zariadení používateľa, bude povolený vopred označeným začiarkavacím políčkom, ktorého označenie musí používateľ zrušiť, aby odmietol dať svoj súhlas. V tejto súvislosti sa vnútroštátny súd zaujíma, či dochádza k rozdielu, ak ide v prípade uložených alebo sprístupnených informácií o osobné údaje [otázka 1 b)]. Vnútroštátny súd by napokon chcel vedieť, či za vyššie opísaných okolností ide o účinný súhlas v zmysle článku 6 ods. 1 písm. a) nariadenia 2016/679 [otázka 1 c)].
1. Slobodne poskytnutý a informovaný súhlas
57. Základnou charakteristikou právnych predpisov EÚ v oblasti ochrany osobných údajov je otázka súhlasu.
58. Predtým, než sa začnem venovať konkrétne téme súborov cookies, chcel by som stanoviť všeobecné zásady odvodené od uplatniteľných právnych nástrojov vo veci poskytovania súhlasu.
a) Podľa smernice 95/46
1) Aktívny súhlas
59. Z ustanovení smernice 95/46 usudzujem, že súhlas musí byť prejavený aktívnym(34) spôsobom.
60. V článku 2 písm. h) smernice 95/46 sa odkazuje na indikáciu prianí dotknutej osoby, čo jednoznačne poukazuje na aktívne, a nie na pasívne správanie. Okrem toho sa v článku 7 písm. a) smernice 95/46, v ktorom sa uvádzajú kritériá na uzákonenie spracovania (osobných) údajov, stanovuje, že dotknutá osoba poskytla svoj súhlas jednoznačne. Opäť tu platí, že nejednoznačnosť je možné odstrániť len aktívnym, a nie pasívnym správaním.
61. Z uvedeného usudzujem, že v tomto zmysle nepostačuje, že používateľovo vyjadrenie súhlasu je vopred naformulované a že používateľ musí aktívne namietať, ak nesúhlasí so spracovaním údajov.
62. Pri nesúhlase pritom nie je ani jasné, či takýto vopred naformulovaný text bol prečítaný a pochopený. Situácia nie je nejednoznačná. Používateľ si text mohol, ale nemusel prečítať. Mohol ho preskočiť vyložene z nedbanlivosti. V takejto situácii nie je možné určiť, či bol súhlas slobodne poskytnutý.
2) Samostatný súhlas
63. S požiadavkou aktívneho súhlasu sa úzko spája aj otázka samostatného súhlasu.(35)
64. Tu je možné tvrdiť, ako to tiež robí Planet49, že dotknutá osoba poskytuje účinný súhlas nie tým, že zruší vopred predformulované vyjadrenie súhlasu, ale naopak tým, že aktívne „klikne“ na tlačidlo „účasť“ na on-line výhernej hre.
65. S týmto výkladom nesúhlasím.
66. Aby bol súhlas „slobodne poskytnutý“ a „informovaný“, musí byť nielen aktívny, ale aj samostatný. Činnosť, ktorej sa používateľ venuje na internete (čítanie webovej stránky, účasť na výhernej hre, pozeranie videa atď.), a poskytnutie súhlasu nemôžu tvoriť jeden a ten istý úkon. Najmä z pohľadu účastníka sa poskytnutie súhlasu nemôže javiť ako vedľajšie popri účasti na výhernej hre. Oba úkony musia byť, najmä vizuálne, prezentované rovnocenne. Z toho dôvodu mám pochybnosti o tom, že by balík vyjadrení rôznych úmyslov, ktorý by zahŕňal poskytnutie súhlasu, zodpovedal pojmu súhlasu podľa smernice 95/46.
3) Povinnosť informovať v plnom rozsahu
67. V tomto kontexte musí byť používateľovi absolútne jasné, či činnosť, ktorej sa venuje na internete, je podmienená poskytnutím súhlasu. Používateľ musí byť schopný posúdiť, do akej miery je ochotný poskytnúť svoje údaje s cieľom venovať sa činnosti na internete. Nesmie existovať žiadny priestor na nejednoznačnosť.(36) Požívateľ musí vedieť, či a do akej miery jeho poskytnutie súhlasu má vplyv na činnosti, ktorým sa na internete venuje.
b) Podľa nariadenia 2016/679
68. Vyššie opísané zásady platia aj pre nariadenie 2016/679.
69. Článok 4 bod 11 nariadenia 2016/679 definuje súhlas dotknutej osoby ako akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka.
70. Je potrebné tu uviesť, že táto definícia je užšia ako definícia podľa článku 2 písm. h) smernice 95/46, keďže vyžaduje jednoznačný prejav vôle dotknutej osoby a jednoznačný potvrdzujúci úkon vyjadrujúci súhlas so spracovaním osobných údajov.
71. Okrem toho sú obzvlášť informatívne odôvodnenia nariadenia 2016/679. Keďže sa na tieto odôvodnenia budem v značnej miere odvolávať,(37) chcel by som pripomenúť, že samozrejme nemajú žiadnu nezávislú právnu hodnotu,(38) ale Súdny dvor z nich často vychádza pri výklade ustanovení právnych aktov EÚ. V rámci právneho poriadku Únie majú opisnú, a nie normatívnu povahu. Otázka ich právnej sily sa zvyčajne nerieši z toho dôvodu, že odôvodnenia sa spravidla odzrkadľujú v právnych ustanoveniach smernice. Ustálená legislatívna prax politických inštitúcií Únie smeruje k situácii, v ktorej odôvodnenia poskytujú užitočný základ ustanoveniam právneho textu.(39)
72. Podľa odôvodnenia 32 nariadenia 2016/679, súhlas by sa mal poskytnúť jasným prejavom vôle, ktorý je slobodným, konkrétnym, informovaným a jednoznačným vyjadrením súhlasu dotknutej osoby so spracúvaním osobných údajov, ktoré sa jej týkajú, a to napríklad písomným vyhlásením vrátane vyhlásenia prostredníctvom elektronických prostriedkov alebo ústnym vyhlásením. Mohlo by to zahŕňať označenie políčka pri návšteve internetového webového sídla, zvolenie technických nastavení služieb informačnej spoločnosti alebo akékoľvek iné vyhlásenie či úkon, ktorý v tomto kontexte jasne znamená, že dotknutá osoba súhlasí s navrhovaným spracúvaním svojich osobných údajov. Mlčanie, vopred označené políčka alebo nečinnosť by sa preto nemali pokladať za súhlas.
73. Aktívny súhlas sa teraz preto výslovne stanovuje v nariadení 2016/679.
74. Okrem toho sa v odôvodnení 43 tohto nariadenia stanovuje, že na to, aby sa zabezpečilo, že súhlas sa poskytol slobodne, by súhlas nemal byť platným právnym dôvodom na spracúvanie osobných údajov v konkrétnom prípade, ak medzi postavením dotknutej osoby a prevádzkovateľa existuje jednoznačný nepomer, najmä ak je prevádzkovateľ orgánom verejnej moci, a preto nie je pravdepodobné, že sa súhlas poskytol slobodne za všetkých okolností danej konkrétnej situácie. Súhlas sa nepovažuje za poskytnutý slobodne, ak nie je možné dať samostatný súhlas na jednotlivé spracovateľské operácie osobných údajov napriek tomu, že by to bolo v konkrétnom prípade vhodné, alebo ak sa plnenie zmluvy vrátane poskytnutia služby podmieňuje takýmto súhlasom, aj keď to na takéto plnenie nie je takýto súhlas nevyhnutný.
75. Potreba samostatného súhlasu je preto v tomto odôvodnení v súčasnosti výslovne zdôraznená.
c) Podľa smernice 2002/58 – pokiaľ ide o súbory cookies
76. Podľa článku 5 ods. 3 smernice 2002/58 členské štáty zabezpečia, aby sa ukladanie informácií alebo získavanie prístupu k informáciám, ktoré už boli uložené, v koncovom zariadení účastníka alebo používateľa povolilo len pod podmienkou, že dotknutý účastník alebo používateľ dal na to vopred súhlas na základe jasných a komplexných informácií v súlade so smernicou 95/46, okrem iného aj o účeloch spracovania.
77. V tomto ustanovení sa nestanovujú žiadne ďalšie kritériá, pokiaľ ide o pojem súhlasu.
78. V odôvodneniach smernice 2002/58 a smernice 2009/136 sa však uvádzajú usmernenia týkajúce sa súhlasu, pokiaľ ide o súbory cookies.
79. V odôvodnení 17 smernice 2002/58 sa uvádza, že súhlas môže byť vyjadrený akýmkoľvek vhodným spôsobom umožňujúcim vyjadrenie špecifického želania, ktoré nastane na základe slobodného a vecného rozhodnutia používateľa, vrátane označenia poľa na webovej stránke internetu.(40)
80. Navyše sa v odôvodnení 66 smernice 2009/136 vysvetľuje nesmierna dôležitosť toho, aby používatelia mali pri činnostiach, ktoré by mohli vyústiť do ukladania informácií v zariadení používateľa alebo získania prístupu k dosiaľ uloženým informáciám, jasné a zrozumiteľné informácie, a že metódy poskytovania informácií a ponuka práva na odmietnutie by sa mali vykonať spôsobom, ktorý je pre používateľa najvhodnejší.
81. V tejto súvislosti by som chcel tiež poukázať na nezáväznú, ale napriek tomu poučnú prácu pracovnej skupiny pre ochranu údajov zriadenej podľa článku 29 (ďalej len „pracovná skupina zriadená podľa článku 29“),(41) podľa ktorej súhlas znamená predbežný súhlasný čin používateľov smerujúci k prijatiu uloženia a použitia súborov cookies.(42) Táto pracovná skupina zároveň uvádza, že pojem „vyjadrenia“ naznačuje potrebu konania.(43) Ďalšie prvky definície súhlasu a dodatočné požiadavky podľa článku 7 písm. a) smernice 95/46 týkajúce sa jednoznačnosti súhlasu tento výklad podporujú.(44) Požiadavka, aby dotknutá osoba „prejavila“ svoj súhlas, naznačuje, že jednoduchá nečinnosť je nedostatočná a že sa vyžaduje určitý druh činu, ktorým sa prejaví súhlas, aj keď existujú rôzne druhy činov, ktoré možno posudzovať „v kontexte“.(45)
2. Uplatnenie v prejednávanej veci
82. Tieto kritériá teraz uplatním v prejednávanej veci. Najskôr sa budem venovať otázke 1 a) a c), to znamená otázke toho, či ide o účinný súhlas týkajúci sa nastavení súborov cookies, a prístupu k nim. Týka sa to druhého začiarkavacieho políčka.
83. Navyše, keďže už bolo stanovené, že požiadavky na súhlas sa veľmi nelíšia, pokiaľ ide o súbory cookies a všeobecnejšie spracovanie osobných údajov, v záujme úplnosti a jednoznačnosti, aj keď sa vnútroštátny súd na túto záležitosť výslovne nepýta, považujem na účely správneho a jednotného výkladu práva EÚ za potrebné v krátkosti analyzovať, či ide o účinný súhlas týkajúci sa spracovania osobných údajov v kontexte prvého začiarkavacieho políčka. Chápem aj to, že v kontexte prebiehajúceho konania pred Bundesgerichtshof (Spolkový súdny dvor) bude tento musieť rozhodnúť vo veci prvého políčka.(46)
a) Druhé začiarkavacie políčko – Otázka 1 a) a c)
84. Vnútroštátny súd sa pýta, či ide o účinný súhlas v zmysle článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46, ak ukladanie informácií alebo prístup k informáciám, ktoré už sú uložené v koncovom zariadení používateľa, bude povolený vopred označeným políčkom, ktorého začiarknutie musí používateľ zrušiť, aby odmietol dať svoj súhlas.
85. Na účely tejto otázky sú kľúčovými pojmami článku 2 písm. h) smernice 95/46 a článku 4 bodu 11 nariadenia 2016/679 pojmy „slobodne daný“ a „informovaný“. Vyvstáva tu otázka, či v situácii, ktorú opisuje vnútroštátny súd, môže byť súhlas daný slobodne a informovane.
86. Planet49 sa domnieva, že áno. Ostatní účastníci konania(47) nesúhlasia. V tomto kontexte sa právna diskusia účastníkov konania sústreďuje predovšetkým na to, či začiarknutie alebo nezačiarktnutie políčka, ktoré už je dopredu označené háčikom, vyhovuje týmto požiadavkám. Diskusia sa točí okolo otázky aktivity a pasivity. Tento aspekt však, hoci je dôležitý, tvorí iba časť požiadaviek. Rieši len požiadavku aktívneho, nie však samostatného súhlasu.
87. Podľa môjho názoru na základe vyššie stanovených kritérií je odpoveďou to, že v predmetnej veci nejde o účinný súhlas.
88. Po prvé potreba toho, aby používateľ zrušil začiarknuté políčko, a tým bol aktívny v prípade, že nesúhlasí s inštaláciou súborov cookies, nespĺňa kritérium aktívneho súhlasu. V takej situácii je v podstate nemožné objektívne určiť, či používateľ poskytol súhlas na základe slobodného a informovaného rozhodnutia. Naopak, potreba toho, aby používateľ označil políčko, je oveľa pravdepodobnejším tvrdením.
89. Po druhé a čo je dôležitejšie, účasť na výhernej hre on-line a poskytnutie súhlasu s inštaláciou súborov cookies nemôžu tvoriť časti jedného úkonu. V prejednávanej veci však ide presne o takýto prípad. V konečnom dôsledku používateľ klikne na tlačidlo len raz s tým cieľom, aby sa zúčastnil na výhernej hre. Zároveň súhlasí s nainštalovaním súborov cookies. V tom istom momente teda dochádza k dvom prejavom vôle (účasť na výhernej hre a súhlas s inštaláciou súborov cookies). Tieto dva prejavy vôle nemôžu byť oba vykonané kliknutím na to isté tlačidlo. V prejednávanej veci sa súhlas so súbormi cookies vskutku javí ako vedľajší v tom zmysle, že nie je vôbec jasné, že tvorí časť samostatného úkonu. Inak povedané zrušenie/označenie políčka týkajúceho sa súborov cookies je skôr prípravným úkonom na konečný a právne záväzný úkon, ktorým je „stlačenie“ tlačidla pre účasť.
90. V takejto situácii používateľ nedokáže slobodne dať samostatný súhlas s uložením informácií alebo so získaním prístupu k už uloženým informáciám v jeho koncovom zariadení.
91. Navyše už bolo konštatované, že účasť na výhernej hre bola možná len v prípade, ak bolo háčikom označené minimálne políčko pri prvej informácii. V dôsledku toho účasť na výhernej hre nebola podmienená(48) poskytnutím súhlasu na inštaláciu a získanie prístupu k súborom cookies. Používateľ mohol pokojne kliknúť (len) na prvé začiarkavacie políčko.
92. Podľa mojich informácií však používateľ o tom nebol v žiadnom okamihu informovaný. Táto situácia preto nespĺňa vyššie stanovené kritériá na informovanie používateľov v plnom rozsahu.
93. Aby som to zhrnul, na otázku 1 a) a c) navrhujem odpovedať, že v zmysle článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46 nejde o účinný súhlas v takej situácii, aká je predmetom sporu vo veci samej, v rámci ktorej ukladanie informácií alebo prístup k informáciám už uloženým v koncovom zariadení používateľa je povolené vopred označeným začiarkavacím políčkom, ktorého označenie musí používateľ zrušiť, aby odmietol dať svoj súhlas, a súhlas sa poskytuje nie samostatne, ale zároveň s potvrdením účasti na on-line výhernej hre. To isté platí pri výklade článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 4 bodom 11 nariadenia 2016/679.
b) Prvé začiarkavacie políčko
94. Hoci vnútroštátny súd sa svojimi prejudiciálnymi otázkami pýta len na druhé začiarkavacie políčko, chcel by som uviesť dve osobitné poznámky, pokiaľ ide o prvé začiarkavacie políčko, ktoré vnútroštátnemu súdu môžu byť nápomocné pri konečnom rozhodnutí.
95. Pripomínam, že prvé políčko sa netýka súborov cookies, ale len spracovania osobných údajov. Používateľ tu súhlasí nie s ukladaním informácií na jeho zariadeniach, ale (len) s tým, že ho budú kontaktovať spoločnosti zo zoznamu poštou, telefonicky alebo e‑mailom.
96. Po prvé kritériá aktívneho a samostatného súhlasu a informovania v plnom rozsahu sa rovnako vzťahujú aj na prvé začiarkavacie políčko. Aktívny súhlas podľa všetkého nepredstavuje problém, keďže políčko nie je vopred označené. Mám však určité pochybnosti o samostatnom súhlase. Na základe vyššie uvedeného posúdenia(49) skutkovej podstaty prejednávanej veci by bolo na poskytnutie súhlasu so spracovaním osobných údajov lepšie, obrazne povedané, ak by namiesto začiarkavacieho políčka bolo k dispozícii tlačidlo, na ktoré by sa klikalo.(50)
97. Po druhé, pokiaľ ide o prvé začiarkavacie políčko týkajúce sa kontaktovania sponzormi a spolupracujúcimi partnermi, je potrebné odkázať na článok 7 ods. 4 nariadenia 2016/679. Podľa tohto ustanovenia pri posudzovaní toho, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný. V článku 7 ods. 4 nariadenia 2016/679 sa preto ukotvuje „zákaz zoskupovania“(51).
98. Ako vyplýva z frázy „sa čo v najväčšej miere zohľadní“, zákaz zoskupovania nie je absolútny.(52)
99. Tu prináleží vnútroštátnemu súdu, aby posúdil, či súhlas so spracovaním osobných údajov je nevyhnutný na účasť na výhernej hre. V tomto smere je potrebné mať na pamäti, že základným účelom účasti na výhernej hre je „predaj“ osobných údajov (t. j. súhlas s kontaktovaním zo strany tzv. „sponzorov“ s reklamnými ponukami). Inými slovami poskytnutie osobných údajov predstavuje hlavnú povinnosť používateľa, ak sa chce zúčastniť na výhernej hre. V takejto situácii sa domnievam, že spracovanie týchto osobných údajov je nevyhnutné na účasť na výhernej hre.(53)
3. Osobné údaje [otázka 1 b)]
100. Teraz by som rád preskúmal, či je pri uplatnení článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46 rozdiel, ak pri ukladaných a sprístupnených informáciách ide o osobné údaje.
101. Túto otázku možno lepšie pochopiť v kontexte nemeckých právnych predpisov, ktorými sa transponuje článok 5 ods. 3 smernice 2002/58(54). V nemeckom práve sa totižto stanovuje rozdiel medzi zberom a používaním osobných údajov a iných údajov.
102. Podľa článku 12 ods. 1 TMG môže poskytovateľ služieb zbierať a používať osobné údaje, len ak s tým používateľ súhlasil (okrem iného).
103. Naopak, podľa článku 15 ods. 3 TMG môže poskytovateľ služieb vytvárať používateľské profily s použitím pseudonymov okrem iného na reklamné účely a účely trhového prieskumu, pokiaľ proti tomu používateľ nenamieta. Preto, ak sa to netýka žiadnych osobných údajov, požiadavky sú podľa nemeckého práva menej prísne: nie súhlas, ale len nenamietanie.
104. Osobné údaje sa z právneho hľadiska definujú v článku 4 bode 1 nariadenia 2016/679 ako „akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, on-line identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby“.
105. Myslím, že nie je možné pochybovať o tom, že pokiaľ ide o prejednávanú vec, „informácie“, na ktoré sa odkazuje v článku 5 ods. 3 smernice 2002/58, predstavujú „osobné údaje“. Podľa všetkého tento názor zastáva aj vnútroštátny súd, ktorý vo svojom návrhu na začatie prejudiciálneho konania výslovne uvádza, že prístup k údajom prostredníctvom súborov cookies používaných žalovanou podlieha teda požiadavke súhlasu podľa článku 12 ods. 1 TMG, keďže tu ide o osobné údaje.(55) Okrem toho sa nezdá, že by účastníci sporu vo veci samej spochybňovali to, že tu ide o osobné údaje.
106. Je preto možné pozastaviť sa nad relevantnosťou tejto otázky v prejednávanej veci a nad tým, či táto otázka nie je hypotetická.(56)
107. V každom prípade si myslím, že odpoveď na túto otázku je pomerne jednoznačná: je jedno, či ukladané alebo sprístupnené informácie predstavujú osobné údaje. V článku 5 ods. 3 smernice 2002/58 sa odkazuje na „ukladanie informácií, alebo získavanie prístupu k informáciám, ktoré už boli uložené“(57). Je jasné, že všetky takéto informácie majú aj aspekt súkromia, bez ohľadu na to, či predstavujú „osobné informácie“ v zmysle článku 4 bodu 1 nariadenia 2016/679 alebo nie. Ako Komisia správne zdôrazňuje, cieľom článku 5 ods. 3 smernice 2002/58 je chrániť používateľov pred zásahmi do ich súkromnej sféry bez ohľadu na to, či sa tento zásah týka osobných údajov alebo iných údajov.
108. Takéto chápanie článku 5 ods. 3 smernice 2002/58 navyše podporujú aj odôvodnenia 24(58) a 25(59) uvedenej smernice, ako aj stanoviská pracovnej skupiny zriadenej podľa článku 29. Podľa tejto pracovnej skupiny „článok 5 ods. 3 sa týka ‚informácií‘ (uložených a/alebo informácií, ku ktorým sa získava prístup). Tieto informácie bližšie nešpecifikuje. Na uplatňovanie tohto ustanovenia nie je nutnou podmienkou, aby takéto informácie boli osobnými údajmi v zmysle smernice 95/46“(60).
109. V dôsledku toho sa zdá, že článok 15 ods. 3 TMG netransponuje požiadavky článku 5 ods. 3 smernice 2002/58 do nemeckých právnych predpisov v plnom rozsahu.(61)
110. Preto navrhujem odpovedať na otázku 1 b) v zmysle, že na účely uplatnenia článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46 nezáleží na tom, či ide v prípade uložených alebo sprístupnených informácií o osobné údaje.
C. Otázka 2
111. Vo svojej druhej otázke sa vnútroštátny súd pýta, aké informácie má poskytovateľ služieb poskytnúť v rozsahu požiadavky poskytovať používateľovi jasné a komplexné informácie podľa článku 5 ods. 3 smernice 2002/58, a či to zahŕňa dĺžku funkčnosti súborov cookies a otázku, či majú k súborom cookies prístup tretie osoby.
1. O jasných a komplexných informáciách
112. V článkoch 10 a 11 smernice 95/46 (a článkoch 13 a 14 nariadenia 2016/679) sa uvádza povinnosť poskytovať informácie dotknutej osobe. Povinnosť informovať je spojená so súhlasom v tom zmysle, že pred poskytnutím súhlasu musia vždy najskôr byť poskytnuté informácie.
113. Vzhľadom na blízkosť pojmov používateľ internetu (a poskytovateľ) a spotrebiteľ (a obchodník)(62) sa v tejto fáze možno opierať o koncept priemerného európskeho spotrebiteľa, ktorý je riadne informovaný a primerane pozorný a obozretný(63) a ktorý je schopný úplnou znalosťou veci urobiť rozhodnutie o záväzku.(64)
114. Vzhľadom na technickú zložitosť súborov cookies, nesúmernosť informácií medzi poskytovateľom a používateľom a všeobecnejšie vzhľadom na relatívnu neznalosť akéhokoľvek priemerného používateľa internetu sa od priemerného používateľa internetu nemôže očakávať, že bude mať vysokú úroveň znalostí o funkčnosti súborov cookies.
115. Výraz jasné a komplexné informácie preto znamená, že používateľ podľa nich dokáže jednoducho určiť následky akéhokoľvek súhlasu, ktorý by mohol poskytnúť. Na tento účel musí byť schopný posúdiť vplyvy svojich skutkov. Poskytnuté informácie musia byť jasne komplexné a nesmie v nich byť prítomná nejednoznačnosť či možnosť výkladu. Musia byť dostatočne podrobné, aby používateľovi umožnili pochopiť fungovanie použitých súborov cookies.
116. Patrí sem, ako správne navrhuje aj vnútroštátny súd, aj dĺžka funkčnosti súborov cookies a otázka, či majú k súborom cookies prístup tretie osoby.
2. Informácie o dĺžke funkčnosti súborov cookies
117. Na základe odôvodnení 23 a 26 smernice 2002/58 je dĺžka funkčnosti súborov cookies súčasťou požiadaviek na informovaný súhlas, čo znamená, že poskytovatelia služieb „by mali tiež účastníkov priebežne informovať o druhoch údajov, ktoré spracovávajú a o účele spracovania a dobe trvania“. Aj v prípade, že súbor cookie je dôležitý, na účely súhlasu je potrebné preskúmať otázku toho, ako veľmi je rušivý vzhľadom na súvisiace okolnosti. Okrem zisťovania toho, aké údaje každý súbor cookie obsahuje a či je prepojený na iné informácie uchovávané o používateľovi, poskytovatelia služieb musia zohľadniť životnosť súboru cookie a to, či je jeho životnosť vzhľadom na účely súboru cookie primeraná.
118. Dĺžka funkčnosti súborov cookies súvisí s požiadavkami na výslovný informovaný súhlas, pokiaľ ide o kvalitu a dostupnosť informácií, ktoré sa poskytujú používateľom. Tieto informácie sú kľúčové na to, aby jednotlivcom umožnili informovane sa rozhodovať pred spracovaním.(65) Tak ako tvrdia portugalská a talianska vláda, keďže údaje, ktoré zbierajú súbory cookies, musia byť odstránené, len čo už nie sú potrebné na dosahovanie pôvodného účelu, vyplýva z toho, že obdobie ukladania zozbieraných údajov musí byť jednotlivcovi jasne oznámené.
3. Informácie o prístupe tretích strán
119. Planet49 tu tvrdí, že ak má tretia strana prístup k súboru cookie, musia o tom byť informovaní aj používatelia. Ak však má k súboru cookie – tak ako v prejednávanej veci – prístup iba poskytovateľ, ktorý chce tento súbor cookie nastaviť, stačí poukázať na túto skutočnosť. Skutočnosť, že iné tretie strany nemajú prístup, nie je potrebné uvádzať samostatne. Takáto povinnosť by nebola v súlade s legislatívnym zámerom, podľa ktorého by texty týkajúce sa ochrany údajov mali byť používateľsky čo najvhodnejšie a stručné.
120. S týmto výkladom nesúhlasím. Naopak, aby informácie boli jasné a komplexné, používateľ by mal byť výslovne informovaný o tom, či tretie strany majú prístup k súborom cookies alebo nie. V prípade, že tretie strany majú prístup, je potrebné ich identifikovať. Ako Bundesverband správne zdôrazňuje, je to nevyhnutné na zabezpečenie toho, že bude poskytnutý informovaný súhlas.
4. Výsledok
121. Navrhujem preto odpovedať na druhú otázku tak, že jasné a komplexné informácie, ktoré poskytovateľ služby má poskytnúť používateľovi podľa článku 5 ods. 3 smernice 2002/58, zahŕňajú dĺžku funkčnosti súborov cookies a otázku toho, či sa prístup k súborom cookies poskytuje tretím stranám alebo nie.
V. Návrh
122. Vzhľadom na predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na otázky položené Bundesgerichtshof (Spolkový súdny dvor, Nemecko) takto:
1. V zmysle článku 5 ods. 3 a článku 2 písm. f) smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002 týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) v spojení s článkom 2 písm. h) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov nejde o účinný súhlas v takej situácii, aká je predmetom sporu vo veci samej, v rámci ktorej ukladanie informácií alebo prístup k informáciám už uloženým v koncovom zariadení používateľa je povolené vopred označeným začiarkavacím políčkom, ktorého označenie musí používateľ zrušiť, aby odmietol dať svoj súhlas, a súhlas sa poskytuje nie samostatne, ale zároveň s potvrdením účasti na on-line výhernej hre.
2. To isté platí pri výklade článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 4 bodom 11 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46 (všeobecné nariadenie o ochrane údajov).
3. Na účely uplatňovania článku 5 ods. 3 a článku 2 písm. f) smernice 2002/58 v spojení s článkom 2 písm. h) smernice 95/46 nezáleží na tom, či ide v prípade uložených alebo sprístupnených informácií o osobné údaje.
4. Jasné a komplexné informácie, ktoré poskytovateľ služby má poskytnúť používateľovi podľa článku 5 ods. 3 smernice 2002/58, zahŕňajú dĺžku funkčnosti súborov cookies a otázku toho, či sa prístup k súborom cookies poskytuje tretím stranám alebo nie.