A BÍRÓSÁG ÍTÉLETE (nagytanács)
2019. október 1.(*)
„Előzetes döntéshozatal – 95/46/EK irányelv – 2002/58/EK irányelv – (EU) 2016/679 rendelet – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet védelme – »Cookie‑k« – Az érintett hozzájárulásának fogalma – Előre bejelölt négyzettel megadott hozzájárulásra vonatkozó nyilatkozat”
A C‑673/17. sz. ügyben,
az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a Bundesgerichtshof (szövetségi legfelsőbb bíróság, Németország) a Bírósághoz 2017. november 30‑án érkezett, 2017. október 5‑i határozatával terjesztett elő az előtte
a Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
és
a Planet49 GmbH
között folyamatban lévő eljárásban,
A BÍRÓSÁG (nagytanács),
tagjai: K. Lenaerts elnök, R. Silva de Lapuerta elnökhelyettes, J.‑C. Bonichot, M. Vilaras, T. von Danwitz, C. Toader, F. Biltgen, K. Jürimäe és C. Lycourgos tanácselnökök, A. Rosas (előadó), L. Bay Larsen, M. Safjan és S. Rodin bírák,
főtanácsnok: M. Szpunar,
hivatalvezető: D. Dittert egységvezető,
tekintettel az írásbeli szakaszra és a 2018. november 13‑i tárgyalásra,
figyelembe véve a következők által előterjesztett észrevételeket:
– a Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV képviseletében P. Wassermann Rechtsanwalt,
– a Planet49 GmbH képviseletében M. Jaschinski, J. Viniol és T. Petersen Rechtsanwälte,
– a német kormány képviseletében J. Möller, meghatalmazotti minőségben,
– az olasz kormány képviseletében G. Palmieri, meghatalmazotti minőségben, segítője: F. De Luca avvocato dello Stato,
– a portugál kormány képviseletében L. Inez Fernandes, M. Figueiredo, L. Medeiros és C. Guerra, meghatalmazotti minőségben,
– az Európai Bizottság képviseletében G. Braun, H. Kranenborg és P. Costa de Oliveira, meghatalmazotti minőségben,
a főtanácsnok indítványának a 2019. március 21‑i tárgyaláson történt meghallgatását követően,
meghozta a következő
Ítéletet
1 Az előzetes döntéshozatal iránti kérelem a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.) 2. cikkének h) pontjával együttesen értelmezett, a 2009. november 25‑i 2009/136/EK európai parlamenti és tanácsi irányelvvel (HL 2009. L 337., 11. o.) módosított, az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló, 2002. július 12‑i 2002/58/EK európai parlamenti és tanácsi irányelv (elektronikus hírközlési adatvédelmi irányelv, HL 2002. L 201., 37. o.; magyar nyelvű különkiadás 13. fejezet, 29. kötet, 514. o.; a továbbiakban 2002/58 irányelv) 2. cikke f) pontjának és 5. cikke (3) bekezdésének, valamint a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet; HL 2016. L 119., 1. o.; helyesbítés: HL 2016. L 314., 72. o., HL 2018. L 127., 2. o.) 6. cikke (1) bekezdése a) pontjának értelmezésére vonatkozik.
2 E kérelmet a Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Fogyasztói szervezetek és egyesületek szövetsége – A fogyasztói szerzetek szövetsége, Németország; a továbbiakban: szövetség) és az online játékokat kínáló Planet49 GmbH társaság között, az e társaság által szervezett nyereményjátékban résztvevőknek a személyes adataiknak az e társaság által a szponzorai és partnerei részére történő továbbításához, valamint az információknak e felhasználók végberendezésében való tárolásához és az ott tárolt információkhoz való hozzáféréshez adott hozzájárulása tárgyában folyamatban lévő jogvita keretében terjesztették elő.
Jogi háttér
Az uniós jog
A 95/46 irányelv
3 A 95/46 irányelv 1. cikke a következőket írja elő:
„(1) A tagállamok ezen irányelvnek megfelelően védik a természetes személyek alapvető jogait és szabadságait, különösen a magánélet tiszteletben tartásához való jogukat a személyes adatok feldolgozása [helyesen: kezelése] tekintetében.
(2) A tagállamok nem korlátozhatják és nem tilthatják a személyes adatok tagállamok közötti szabad áramlását az (1) bekezdés értelmében biztosított védelemmel kapcsolatos indokok miatt.”
4 Ezen irányelv 2. cikke a következőképpen rendelkezik:
„Ezen irányelv alkalmazásában:
a) »személyes adat«: az azonosított vagy azonosítható természetes személyre (»érintettre«) vonatkozó bármely információ; az azonosítható személy olyan személy, aki közvetlen vagy közvetett módon azonosítható, különösen egy azonosító számra vagy a személy fizikai, fiziológiai, szellemi [helyesen: mentális], gazdasági, kulturális vagy társadalmi identitására vonatkozó egy vagy több tényezőre történő utalás révén;
b) »személyes adatok feldolgozása« (»feldolgozás«) [helyesen: »személyes adatok kezelése« (»kezelés«)]: a személyes adatokon automatikus vagy nem automatikus módon végzett bármely művelet vagy műveletek összessége, azaz gyűjtés, rögzítés, rendszerezés, tárolás, átalakítás vagy megváltoztatás, visszakeresés, betekintés [helyesen: lekérdezés], felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel révén, összehangolás vagy összekapcsolás, zárolás, törlés, illetve megsemmisítés;
[…]
h) »az érintett hozzájárulása« az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok feldolgozásához [helyesen: kezeléséhez].”
5 Az említett irányelv 7. cikke a következőket mondja ki:
„A tagállamok rendelkeznek arról, hogy a személyes adatok csak abban az esetben dolgozhatók fel [helyesen: kezelhetők], ha
a) az érintett ahhoz egyértelmű hozzájárulását adta;
[…]”
6 Ugyanezen irányelv 10. cikke értelmében:
„A tagállamoknak rendelkezniük kell arról, hogy az adatkezelőnek vagy képviselőjének legalább az alábbiakról tájékoztatnia kell az érintettet, akitől a rá vonatkozó adatokat gyűjtik, kivéve ha az érintett már rendelkezik ezen információkkal:
a) az adatkezelő, vagy ha van ilyen, képviselőjének személye;
b) az adatfeldolgozás [helyesen: adatkezelés] célja, amelyre az adatokat szánják;
c) minden olyan további adat, mint például:
– az adatok címzettjei vagy a címzettek kategóriái;
– hogy a kérdések megválaszolása kötelező vagy önkéntes, továbbá a válaszadás elmulasztásának lehetséges következményei,
– betekintési jog és az érintettre vonatkozó adatok helyesbítéséhez való jog,
amennyiben e további információk, tekintettel az adatgyűjtés sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás [helyesen: adatkezelés] biztosításához szükségesek.”
A 2002/58 irányelv
7 A 2002/58 irányelv (17) és (24) preambulumbekezdése kimondja:
„(17) Ennek az irányelvnek az alkalmazásában a felhasználó vagy előfizető hozzájárulását, függetlenül attól, hogy ez utóbbi természetes vagy jogi személy‑e, az érintett hozzájárulásával – amelyet a [95/46] irányelv határoz meg és pontosít – azonosként kell értelmezni. Hozzájárulás bármely olyan megfelelő módon adható, amely lehetővé teszi a felhasználó szándékainak önkéntes, konkrét és a megfelelő információk birtokában történő kifejezését, ideértve valamely internetes honlap látogatása során egy rovat bejelölését.
[…]
(24) Az elektronikus hírközlő hálózatok felhasználóinak végberendezései és az azokon tárolt minden adat a felhasználók magánszférájának részét képezi, amelynek az Emberi jogok és alapvető szabadságok védelméről szóló [Rómában, 1950. november 4‑én aláírt] európai egyezmény alapján védelmet kell élveznie. Az úgynevezett kémszoftverek, webpoloskák, rejtett azonosítók és egyéb hasonló eszközök a felhasználó tudta nélkül bejuthatnak a felhasználó végberendezésébe adatszerzés, rejtett adatok tárolása vagy a felhasználó tevékenységeinek nyomon követése céljából, és súlyosan sérthetik e felhasználóknak a magánélet tiszteletben tartásához való jogát. Az ilyen eszközök alkalmazását kizárólag törvényes célból, az érintett felhasználók tudtával lehet engedélyezni.”
8 A 2002/58 irányelv 1. cikke a következőket írja elő:
„(1) Ez az irányelv előírja azon nemzeti rendelkezések összehangolását, amelyekre azért van szükség, hogy biztosítsák az elektronikus hírközlési ágazatban a személyes adatok kezelése vonatkozásában az alapvető jogok és szabadságok védelmének egyenértékű szintjét – különös tekintettel a magánélethez és a bizalmas adatkezeléshez való jogra –, valamint biztosítsák az ilyen adatoknak, az elektronikus hírközlő berendezéseknek és az elektronikus hírközlési szolgáltatásoknak a[z Európai Unión] belüli szabad mozgását.
(2) Ennek az irányelvnek a rendelkezései az (1) bekezdésben említett célok érdekében pontosítják és kiegészítik a [95/46] irányelvet. […]”
9 Ezen irányelv 2. cikke a következőképpen rendelkezik:
„Eltérő rendelkezés hiányában, a [95/46] irányelvben, valamint az elektronikus hírközlő hálózatok és elektronikus hírközlési szolgáltatások közös keretszabályozásáról szóló, 2002. március 7‑i 2002/21/EK európai parlamenti és tanácsi irányelvben (»keretirányelv«) [(HL 2002. L 108., 33. o.; magyar nyelvű különkiadás: 13. fejezet, 29. kötet, 349. o.)] szereplő fogalommeghatározásokat kell alkalmazni.
Szintén alkalmazni kell a következő fogalommeghatározásokat:
a) »felhasználó«: a nyilvánosan elérhető elektronikus hírközlési szolgáltatást magáncéllal vagy üzleti céllal használó minden természetes személy, aki nem feltétlenül előfizetője az adott szolgáltatásnak;
[…]
f) egy felhasználó vagy előfizető „hozzájárulása”: megegyezik az érintett hozzájárulásának a [95/46] irányelvben szereplő fogalmával;
[…]”
10 Az említett irányelv 5. cikkének (3) bekezdése a következőket írja elő:
„A tagállamok gondoskodnak arról, hogy egy előfizető vagy felhasználó végberendezésében történő adattárolás, illetve az ott tárolt adatokhoz való hozzáférés csak azzal a feltétellel legyen megengedett, ha az érintett előfizető vagy felhasználó a [95/46] irányelvvel összhangban történő – többek között az adatkezelés céljairól szóló – egyértelmű és teljes körű tájékoztatás alapján ehhez előzetes hozzájárulását adta. Ez a rendelkezés nem akadályozza az olyan műszaki tárolást, illetve műszaki hozzáférést, amelynek kizárólagos célja az elektronikus hírközlő hálózaton keresztül történő közléstovábbítás, vagy amelyre az előfizető vagy felhasználó által kifejezetten kért, az információs társadalommal összefüggő szolgáltatás nyújtásához a szolgáltatónak feltétlenül szüksége van.”
A 2016/679 rendelet
11 A 2016/679 rendelet (32) preambulumbekezdése kimondja:
„Az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett – vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja az őt érintő személyes adatok kezeléséhez. Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nemcselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni. Ha az érintett hozzájárulását elektronikus felkérést követően adja meg, a felkérésnek egyértelműnek és tömörnek kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét, amely vonatkozásában a hozzájárulást kérik.”
12 E rendelet 4. cikke ekképp rendelkezik:
„E rendelet alkalmazásában:
1. »személyes adat«: azonosított vagy azonosítható természetes személyre (»érintett«) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;
2. »adatkezelés«: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közléstovábbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;
[…]
11. »hozzájárulás«: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;
[…]”
13 Az említett rendelet 6. cikke a következőket írja elő:
„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
[…]”
14 Ugyanezen rendelet 7. cikkének (4) bekezdése kimondja:
„Annak megállapítása során, hogy a hozzájárulás önkéntes‑e, a lehető legnagyobb mértékben figyelembe kell venni többek között azt, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását is – feltételéül szabták‑e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek az említett szerződés teljesítéséhez.”
15 A 2016/679 rendelet 13. cikkének (1) és (2) bekezdése értelmében:
„(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
[…]
e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
[…]
(2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:
a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;
[…]”
16 E rendelet 94. cikke ekképp rendelkezik:
„(1) A [95/46] irányelv 2018. május 25‑i hatállyal hatályát veszti.
(2) A hatályon kívül helyezett irányelvre történő hivatkozást az e rendeletre történő hivatkozásként kell értelmezni. A [95/46] irányelv 29. cikke által létrehozott, a természetes személyeknek a személyes adatok feldolgozása tekintetében való védelmével foglalkozó munkacsoportra történő hivatkozást az e rendelet által létrehozott Európai Adatvédelmi Testületre történő hivatkozásnak kell tekinteni.”
A német jog
17 A Bürgerliches Gesetzbuch (Polgári törvénykönyv, a továbbiakban: BGB) 307. §‑a (1) bekezdésének első mondata szerint „az általános szerződési feltételekben foglalt rendelkezések érvénytelenek, ha azok az e feltételeket használó féllel szerződést kötő felet a jóhiszeműség elvének megsértésével méltánytalanul hátrányos helyzetbe hozzák”.
18 A BGB 307. §‑a (2) bekezdésének 1. pontja kimondja, hogy kétség esetén „a méltánytalanul hátrányos helyzetet […] vélelmezni kell, amennyiben valamely rendelkezés nem egyeztethető össze azon törvényi szabályozás lényeges alapelveivel, amelytől a felek eltérnek”.
19 A 2007. február 26‑i Telemediengesetz (az elektronikus médiáról szóló törvény; BGBl. 2007 I, 179. o.) alapügyre alkalmazandó változatának (a továbbiakban: TMG) 12. §‑a ekképpen rendelkezik:
„(1) A szolgáltató csak akkor gyűjthet és használhat fel személyes adatokat elektronikus média hozzáférhetővé tételével összefüggésben, ha ezt e törvény vagy kifejezetten az elektronikus médiára vonatkozó más jogszabály lehetővé teszi, vagy a felhasználó ehhez hozzájárult.
(2) A szolgáltató az elektronikus média hozzáférhetővé tételével összefüggésben gyűjtött személyes adatokat csak akkor használhatja fel más célra, ha ezt e törvény vagy kifejezetten az elektronikus médiára vonatkozó más jogszabály lehetővé teszi, vagy a felhasználó ehhez hozzájárult.
(3) Eltérő rendelkezés hiányában a személyes adatok védelmére vonatkozó hatályos rendelkezéseket kell alkalmazni akkor is, ha az adatkezelésre nem automatizált módon kerül sor.”
20 A TMG 13. §‑ának (1) bekezdése szerint a szolgáltatás nyújtója köteles a felhasználás kezdetén közérthető módon tájékoztatni a felhasználót a személyes adatok gyűjtésének és kezelésének módjáról, terjedelméről és céljáról, amennyiben a tájékoztatás korábban nem történt meg. A felhasználó későbbi azonosítását lehetővé tevő és a személyes adatok gyűjtését vagy kezelését előkészítő automatizált eljárás esetében a felhasználót tájékoztatni kell ezen eljárás kezdetén.
21 A TMG 15. §‑ának (3) bekezdése szerint a szolgáltatás nyújtója hirdetés, piackutatás vagy az elektronikus médiaszolgáltatások igény szerinti kialakítása céljából álnevek alkalmazásával felhasználói profilokat hozhat létre, feltéve hogy a felhasználó az ellentmondásra vonatkozó jogáról való kioktatást követően ezt nem zárja ki.
22 Az 1990. december 20‑i Bundesdatenschutzgesetz (az adatvédelemről szóló szövetségi törvény, BGBl. 1990 I, 2954. o.) alapügyre alkalmazandó változata (a továbbiakban: BDSG) 3. cikkének (1) bekezdése szerinti fogalommeghatározás értelmében „a személyes adatok meghatározott vagy meghatározható természetes személy (az érintett) személyi vagy tárgyi körülményeire vonatkozó egyedi adatok”.
23 A BDSG 3. §‑a (3) bekezdésének fogalommeghatározása szerint a gyűjtés az érintettre vonatkozó adatok megszerzése.
24 A BDSG 4a. §‑a (1) bekezdésének első mondata, amely a 95/46 irányelv 2. cikkének h) pontját ülteti át, meghatározza, hogy a hozzájárulás csak akkor érvényes, ha az az érintett szabad elhatározásán alapul.
Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések
25 2013. szeptember 24‑én a Planet49 nyereményjátékot szervezett a www.dein‑macbook.de internetes oldalon.
26 Az e játékban részt venni kívánó internethasználóknak közölniük kellett a postai irányítószámukat, ez olyan weboldalra irányította őket, ahová a nevüket és címüket kellett felvinniük. A cím alatt kitöltendő rovatokban két szöveg állt, amelyeket jelölőnégyzetek követtek. Az első szöveg, amely esetén a jelölőnégyzetet (a továbbiakban: első jelölőnégyzet) nem jelölték be előre, a következőképpen szólt:
„Hozzájárulok ahhoz, hogy egyes szponzorok és együttműködő partnerek postai úton, telefonon vagy e‑mailben/sms‑ben a mindenkori üzleti tevékenységükkel kapcsolatos ajánlatokról tájékoztassanak. Ezeket kiválaszthatom itt magam, egyéb esetben a kiválasztás a szervező által történik. A hozzájárulásomat bármikor visszavonhatom. Ezzel kapcsolatban további információk itt.”
27 A második szöveg, amely esetén a jelölőnégyzetet (a továbbiakban: második jelölőnégyzet) előre bejelölték, a következőképpen szólt:
„Hozzájárulok a Remintrex webanalízis‑szolgáltatás beállításához. Ebből következően a nyereményjátékok szervezője, a [Planet49] a nyereményjátékra történő regisztrációt követően cookie‑kat telepít, ami a Planet49 részére lehetővé teszi, hogy a Remintrex kiértékelje az internethasználati szokásaimat és a hirdetési partnerek internetes oldalainak általam történő felkeresését, és az érdeklődésemnek megfelelő hirdetéseket jelenítsen meg. A cookie‑kat bármikor törölhetem. További információ itt.”
28 A nyereményjátékban csak azt követően lehetett részt venni, ha legalább az első jelölőnégyzetet bejelölték.
29 Az első jelölőnégyzethez tartozó szövegben a „szponzorok és együttműködő partnerek” és az „itt” szavakhoz kapcsolt elektronikus hivatkozás egy olyan listához vezetett, amely 57 vállalkozást, azok címét, a hirdetni kívánt gazdasági tevékenységet és a hirdetéshez használt kommunikációs módot (e‑mail, posta vagy telefon) tartalmazta. Minden egyes vállalkozás neve után szerepelt az aláhúzott „leiratkozás” szó. A lista előtt a következő tájékoztatás állt:
„A »leiratkozás« linkre kattintva nem adom meg a hozzájárulást a hirdetéshez a megnevezett partner/szponzor részére. Amennyiben nem vagy nem elegendő partner/szponzor kerül kiválasztásra, a Planet49 saját mérlegelése alapján jelöl ki számomra (legfeljebb 30) partnert/szponzort.”
30 A második jelölőnégyzethez tartozó szövegben az „itt” szónál szereplő linkre kattintva az alábbi tájékoztatás jelent meg:
„A ceng_cache, ceng_etag, ceng_png és gcr kiterjesztésű, beállított cookie‑k olyan kis fájlok, amelyeket az Ön által használt böngésző az Ön merevlemezén tárol, és amelyek egy bizonyos számú olyan információt továbbítanak, amelyek hatékonyabb és felhasználóbarátabb hirdetést tesznek lehetővé. A cookie‑k egy meghatározott, véletlenszerűen generált számot (ID) tartalmaznak, amely egyidejűleg hozzárendelésre kerül a regisztráció során megadott adataihoz. Amennyiben ezt követően meglátogatja valamely, a Remintrexre regisztrált hirdetési partner weboldalát (arról, hogy a hirdetési partner rendelkezik‑e regisztrációval, a hirdetési partner adatvédelmi nyilatkozata alapján győződhet meg), a Remintrex által befűzött IFrame révén automatikusan érzékeli a program, hogy Ön (vagyis a tárolt ID‑vel rendelkező felhasználó) felkereste az oldalt, hogy mely termék iránt érdeklődött, és hogy sor került‑e esetleg szerződéskötésre.
Ezt követően a nyereményjátékra történő regisztráció során megadott, hirdetési tevékenységhez való hozzájárulás esetén a [Planet49] reklámcélú e‑maileket küldhet Önnek, amelyek megfelelnek a hirdetési partnerek weboldalain mutatott érdeklődési körének. Természetesen a hirdetésekhez való hozzájárulás visszavonását követően a továbbiakban nem fog reklámcélú e‑maileket kapni.
A cookie‑k által továbbított információk kizárólag a hirdetési partner termékeinek bemutatását szolgáló hirdetésekhez kerülnek felhasználásra. Az információkat minden hirdetési partner számára elkülönítetten gyűjtik, rögzítik és használják fel. Több hirdetési partnert érintő felhasználói profilok semmilyen esetben sem hozhatók létre. Az egyes hirdetési partnerekhez semmilyen személyes adat nem jut el.
Amennyiben a továbbiakban nem kívánja a cookie‑k felhasználását, úgy azokat bármikor törölheti a böngészőjében. Erre vonatkozó útmutatót böngészője [»súgó«] menüpontjában talál.
A cookie‑k nem teszik lehetővé sem a programok kimásolását, sem a vírusok terjesztését.
Természetesen lehetőség van arra, hogy ezt a hozzájárulást bármikor visszavonja. A visszavonó nyilatkozatot eljuttathatja írásban a [Planet49] [cím] részére. Egyébként elegendő egy e‑mail küldése ügyfélszolgálatunkra [e‑mail‑cím].”
31 Az előzetes döntéshozatalra utaló határozatból kitűnik, hogy a cookie‑k olyan fájlok, amelyeket az internetes oldal működtetője az ezen oldalt felkereső felhasználó számítógépére telepít, és amelyekhez az oldal felhasználó általi ismételt felkeresése esetén újra hozzáférhet annak érdekében, hogy az interneten történő tájékozódást vagy a tranzakciókat megkönnyítse, vagy a felhasználói tevékenységről információkat gyűjtsön.
32 Egy eredménytelen felszólítás keretében a szövetség, amely a 2001. november 26‑i Gesetz über Unterlassungsklagen bei Verbraucherrechts‑ und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (a fogyasztói és más jogok megsértése esetén benyújtható, abbahagyásra kötelezés iránti keresetekről szóló törvény, BGBl. 2001 I, 3138. o.) 4. §‑a szerinti minősített szervezetek listájába bejegyzett fogyasztóvédelmi szervezet, előadta, hogy a Planet49 által az első és a második jelölőnégyzet segítségével igényelt hozzájáruló nyilatkozatok nem feleltek meg a BGB 307. §‑ának, a 2004. július 3‑i Gesetz gegen den unlauteren Wettbewerb (a tisztességtelen verseny elleni harcról szóló törvény; BGBl. 2004 I, 1414. o.) alapügyre alkalmazandó változata 7. §‑a (2) bekezdése 2. pontjának és a TMG 12. és azt követő §‑ainak együttesen értelmezett rendelkezései által megkövetelt feltételeknek.
33 A szövetség a Landgericht Frankfurt am Main (Frankfurt am Main‑i regionális bíróság, Németország) előtt egy lényegében arra irányuló kereset indított, hogy a Planet49 hagyjon fel azzal, hogy ilyen hozzájáruló nyilatkozatokat követel meg, és kötelezze a Planet49‑et arra, hogy fizessen meg számára 214 eurót, valamint annak 2014. március 15‑től esedékes kamatait.
34 A Landgericht Frankfurt am Main (Frankfurt am Main‑i regionális bíróság) e keresetnek részben helyt adott.
35 A Planet49 által az Oberlandesgericht Frankfurt am Mainhoz (Frankfurt am Main‑i tartományi felsőbíróság, Németország) benyújtott fellebbezést követően e bíróság úgy ítélte meg, hogy nem megalapozott a szövetség arra irányuló kérelme, hogy a Planet49 hagyjon fel azzal, hogy a fogyasztókkal kötött, nyereményjátékra vonatkozó megállapodásaiba belefoglalja a jelen ítélet 27. pontjában szereplő azon szöveget, amelynek második jelölőnégyzetét előre bejelölték, mivel egyrészt a felhasználónak tudomása volt arról, hogy e négyzet bejelölését törölni lehet, másrészt pedig azt kellően egyértelmű írásmóddal jelölték, és tájékoztatást nyújtottak a cookie‑k használatának szabályairól, anélkül hogy szükséges lenne felfedni azon harmadik személyek kilétét, akik hozzáférhetnek a gyűjtött adatokhoz.
36 A Bundesgerichtshof (szövetségi legfelsőbb bíróság, Németország), amelyhez a szövetség felülvizsgálati kérelemmel fordult, úgy véli, hogy a jogvita kimenetele a 2002/58 irányelv 5. cikke (3) bekezdése és 2. cikke f) pontja, a 95/46 irányelv 2. cikke h) pontja és a 2016/679 rendelet 6. cikke (1) bekezdése a) pontja rendelkezéseinek együttes értelmezésétől függ.
37 A Bundesgerichtshof (szövetségi legfelsőbb bíróság), mivel e rendelkezésekre tekintettel kételyeket táplált a tekintetben, hogy a Planet49 a www.dein‑macbook.de internetes oldal felhasználóitól érvényesen szerezte be hozzájárulásukat a második jelölőnégyzet segítségével, kétségei voltak továbbá a 2002/58 irányelv 5. cikkének (3) bekezdésében előírt tájékoztatási kötelezettség terjedelmével kapcsolatban, úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1) a) A [95/46] irányelv 2. cikkének h) pontjával összefüggésben értelmezett [2002/58] irányelv 5. cikkének (3) bekezdése és 2. cikkének f) pontja értelmében vett érvényes hozzájárulásnak tekinthető‑e, ha a felhasználó a végberendezésében mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést a felhasználónak a hozzájárulása megtagadásához törölnie kell?
b) A [95/46] irányelv 2. cikkének h) pontjával összefüggésben értelmezett [2002/58] irányelv 5. cikke (3) bekezdésének és 2. cikke f) pontjának alkalmazása során jelentősége van‑e annak, hogy a tárolt vagy lehívott információk személyes adatoknak minősülnek?
c) [A 2016/679] rendelet 6. cikke (1) bekezdésének a) pontja értelmében vett érvényes hozzájárulásról van‑e szó az [első kérdés a) pontjában] előzetes döntéshozatalra előterjesztett kérdésben megjelölt körülmények fennállása esetén?
2) Milyen információkat köteles a szolgáltató a felhasználóval közölni a [2002/58] irányelv 5. cikkének (3) bekezdésében kötelezően előírt egyértelmű és teljes körű tájékoztatás keretében? E körbe tartozik‑e a cookie‑k működésének időtartama, és az a kérdés is, hogy harmadik személyek hozzáférnek‑e a cookie‑khoz?”
Az előzetes döntéshozatalra előterjesztett kérdésekről
Előzetes észrevételek
38 Előzetesen meg kell vizsgálni a 95/46 irányelvnek és a 2016/679 rendeletnek az alapügyben szereplő tényállásra való alkalmazhatóságát.
39 A 2016/679 rendelet a 94. cikkének (1) bekezdése alapján 2018. május 25‑i hatállyal hatályon kívül helyezte és felváltotta a 95/46 irányelvet.
40 Kétségtelen, hogy ez az időpont későbbi, mint a kérdést előterjesztő bíróság utolsó tárgyalásának időpontja, amelyre 2017. július 14‑én került sor, valamint az az időpont, amikor a Bíróság elé az említett bíróság által előterjesztett előzetes döntéshozatal iránti kérelmet benyújtották.
41 Mindazonáltal a kérdést előterjesztő bíróság rámutatott arra, hogy tekintettel a 2016/679 rendeletnek – amelyre egyébként az első kérdés egy része vonatkozik – a 2018. május 25‑i hatálybalépésére, valószínű, hogy e rendeletet figyelembe kell venni az alapügy elbírálásakor. Egyebekben – amint arra a német kormány is rámutatott a Bíróság előtti tárgyaláson – nincs kizárva, hogy amennyiben a szövetség által indított eljárás arra irányul, hogy megszüntesse a Planet49 magatartását a jövőre nézve, a 2016/679 rendelet időbeli hatályánál fogva az abbahagyásra kötelezés iránti keresetek tekintetében a vonatkozó jogi helyzetre irányadó nemzeti ítélkezési gyakorlat miatt alkalmazandó az alapügyben, aminek a vizsgálata a kérdést előterjesztő bíróság feladata (lásd a megállapítási jellegű keresetet illetően: 2019. január 16‑i Deutsche Post ítélet, C‑496/17, EU:C:2019:26, 38. pont).
42 E körülmények között, és tekintettel arra, hogy a 2016/679 rendelet 94. cikkének (2) bekezdése értelmében a 2002/58 irányelvben szereplő, a 95/46 irányelvre vonatkozó hivatkozások az említett rendeletre történő hivatkozásként értelmezendők, a jelen esetben nincs kizárva, hogy a 2002/58 irányelv a szövetség kérelmeinek jellegétől és az érintett időszaktól függően vagy a 95/46 irányelvvel, vagy a 2016/679 rendelettel együttesen alkalmazandó.
43 Az előterjesztett kérdéseket tehát mind a 95/46 irányelv, mind a 2016/679 rendelet alapján kell megválaszolni.
Az első kérdés a) és c) pontjáról
44 Első kérdésének a) és c) pontjával a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a 95/46 irányelv 2. cikkének h) pontjával, valamint a 2016/679 rendelet 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett 2002/58 irányelv 2. cikkének f) pontját és 5. cikkének (3) bekezdését úgy kell–e értelmezni, hogy az e rendelkezésekben foglalt hozzájárulás érvényes abban az esetben, ha valamely internetes oldal felhasználója a végberendezésében mentett információk cookie‑k segítségével történő tárolását vagy az ott már tárolt információkhoz cookie‑k segítségével történő hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést a felhasználónak a hozzájárulása megtagadásához törölnie kell.
45 Elöljáróban pontosítani kell, hogy az előzetes döntéshozatalra utaló határozatban szereplő információk szerint azok a cookie‑k, amelyek a Planet49 által szervezett nyereményjátékban részt vevő felhasználó végberendezésében menthetők, az e felhasználóra – akinek nevét és címét az e játékban való részvételi nyomtatványon kell feltüntetnie – vonatkozó regisztrációs adatokhoz rendelt számot tartalmaznak. A kérdést előterjesztő bíróság hozzáteszi, hogy e szám és ezen adatok társítása a cookie‑k segítségével tárolt adatokat személyessé teszi, amennyiben a felhasználó internetet használ, így ezen adatoknak cookie‑k útján történő gyűjtése a személyes adatok kezelésének körébe tartozik. E kijelentéseket a Planet49 is megerősítette, amely az írásbeli észrevételeiben hangsúlyozta, hogy a második jelölőnégyzet szerinti hozzájárulás célja, hogy személyes adatok, nem pedig anonim információk gyűjtését és kezelését engedélyezze.
46 Ennek megállapítását követően ki kell emelni, hogy a 2002/58 irányelv 5. cikkének (3) bekezdése szerint a tagállamok gondoskodnak arról, hogy a felhasználó végberendezésében történő adattárolás, illetve az ott tárolt adatokhoz való hozzáférés csak azzal a feltétellel legyen megengedett, ha az érintett felhasználó a 95/46 irányelvvel összhangban történő – többek között az adatkezelés céljairól szóló – egyértelmű és teljes körű tájékoztatás alapján ehhez előzetes hozzájárulását adta.
47 E tekintetben emlékeztetni kell arra, hogy az uniós jog egységes alkalmazásának követelményéből és az egyenlőség elvéből az következik, hogy a jelentésének és hatályának meghatározása érdekében a tagállamok jogára kifejezett utalást nem tartalmazó uniós jogi rendelkezést önállóan és egységesen kell értelmezni az egész Unióban (2019. március 26‑i SM ítélet (Az algériai kafala hatálya alá helyezett gyermek), C‑129/18, EU:C:2019:248, 50. pont; 2019. április 11‑i Tarola ítélet, C‑140/17, EU:C:2019:309, 36. pont).
48 Ezenkívül a Bíróság állandó ítélkezési gyakorlata értelmében valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak kifejezéseit és az általa követett célokat kell figyelembe venni, hanem a szövegkörnyezetét, valamint az uniós jogi rendelkezések összességét is. Valamely uniós jogi rendelkezés keletkezéstörténete szintén releváns elemeket hordozhat értelmezése szempontjából (2018. december 10‑i Wightman és társai ítélet, C‑621/18, EU:C:2018:999, 47. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
49 A 2002/58 irányelv 5. cikke (3) bekezdésének szövegét illetően meg kell állapítani, hogy bár e rendelkezés kifejezetten előírja, hogy a felhasználónak előzetesen „hozzá kell járulnia” a cookie‑knak a végberendezésén történő telepítéséhez és azok lehívásához, az említett rendelkezés azonban nem tartalmaz útmutatást arra vonatkozóan, hogy e hozzájárulást milyen módon kell megadni. Mindazonáltal a „hozzájárult” kifejezés szó szerinti értelmezése szerint a felhasználó cselekménye szükséges a hozzájárulása kifejezéséhez. E tekintetben a 2002/58 irányelv (17) preambulumbekezdéséből az következik, hogy a felhasználó ezen irányelv szerinti hozzájárulása bármely olyan megfelelő módon megadható, amely lehetővé teszi a szándékainak önkéntes, konkrét és a megfelelő információk birtokában történő kifejezését, többek között „valamely internetes honlap látogatása során egy rovat bejelölésével”.
50 A 2002/58 irányelv 5. cikke (3) bekezdésének hátterét illetően hangsúlyozni kell, hogy ezen irányelv 2. cikkének f) pontja, amely meghatározza a „hozzájárulás” ezen irányelv szerinti fogalmát, e tekintetben az „érintett hozzájárulásának” a 95/46 irányelvben szereplő fogalmára utal. A 2002/58 irányelv (17) preambulumbekezdése kifejti, hogy ennek az irányelvnek az alkalmazásában a felhasználó hozzájárulását az érintett személynek a 95/46 irányelvben meghatározott és pontosított hozzájárulásával azonosként kell értelmezni.
51 Ez utóbbi irányelv 2. cikkének h) pontja „az érintett hozzájárulását” a következőképpen határozza meg: „az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok kezeléséhez”.
52 Így, amint azt a főtanácsnok az indítványának 60. pontjában hangsúlyozta, az érintett akaratának „kinyilvánítása” vonatkozó követelmény egyértelműen aktív és nem passzív magatartásra utal. Márpedig egy, előre bejelölt négyzet útján adott hozzájárulás nem jelent aktív magatartást valamely internetes oldal felhasználója részéről.
53 Ezt az értelmezést erősíti a 95/46 irányelv 7. cikke, amely kimerítő és korlátozó jellegű felsorolását írja elő azon eseteknek, amelyekben a személyes adatok kezelése jogszerűnek minősíthető (lásd ebben az értelemben: 2011. november 24‑i Asociación Nacional de Establecimientos Financieros de Crédito ítélet, C‑468/10 és C‑469/10, EU:C:2011:777, 30. pont; 2016. október 19‑i Breyer ítélet, C‑582/14, EU:C:2016:779, 57. pont).
54 A 95/46 irányelv 7. cikkének a) pontja közelebbről azt írja elő, hogy az érintett beleegyezése az ilyen adatkezelést jogszerűvé teheti, amennyiben az érintett ahhoz „egyértelmű” hozzájárulását adta. Márpedig e követelménynek csak az e személy által a hozzájárulásának kinyilvánítása érdekében tanúsított aktív magatartása felel meg.
55 E tekintetben gyakorlatilag lehetetlennek tűnik objektív módon meghatározni azt, hogy valamely internetes oldal felhasználója ténylegesen hozzájárult‑e személyes adatai kezeléséhez, mivel nem törölte valamely, előre bejelölt négyzet jelölését, azt pedig egyáltalán nem, hogy e hozzájárulást megfelelő információk birtokában adta‑e meg. Nem zárható ki ugyanis, hogy az említett felhasználó nem olvasta az előre bejelölt négyzetet kísérő információt, sőt, lehet, hogy észre se vette ezt a négyzetet, és úgy folytatta a böngészést az általa látogatott internetes oldalon.
56 Végül, ami a 2002/58 irányelv 5. cikke (3) bekezdésének keletkezéstörténetét illeti, meg kell állapítani, hogy e rendelkezés eredeti változata csupán azt a követelményt írta elő, hogy a felhasználónak „joga van visszautasítani” a cookie‑k telepítését, miután – a 95/46 irányelv tiszteletben tartásával – egyértelmű és teljes körű tájékoztatást kapott többek között az adatkezelés céljairól. A 2009/136 irányelv e rendelkezés szövegét lényegesen módosította azáltal, hogy e kifejezést a „hozzájárulását adta” kifejezéssel helyettesítette. A 2002/58 irányelv 5. cikke (3) bekezdésének keletkezéstörténete tehát azt jelzi, hogy a felhasználó hozzájárulása a továbbiakban már nem vélelmezhető, és annak ez utóbbi aktív magatartásából kell erednie.
57 A fenti körülményekre tekintettel a 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 2. cikkének f) pontja és 5. cikkének (3) bekezdése szerinti hozzájárulás ennélfogva nem tekinthető érvényesen megadottnak akkor, ha valamely internetes oldal felhasználója a végberendezésében mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést a szolgáltató által előre bejelölt négyzettel engedélyezi, és e bejelölést a felhasználónak a hozzájárulása megtagadásához törölnie kell.
58 Hozzá kell tenni, hogy a 95/46 irányelv 2. cikkének h) pontjában szereplő akaratnyilvánításnak többek között „kifejezettnek” kell lennie abban az értelemben, hogy pontosan az érintett adatkezelésre kell vonatkoznia, és nem elég, hogy az valamely eltérő tárgyú akaratnyilvánításból kikövetkeztethető.
59 A jelen ügyben, ellentétben a Planet49 állításával, az, hogy egy felhasználó rákattint az e társaság által szervezett nyereményjátékban való részvétel gombra, nem lehet ennek megfelelően elegendő ahhoz, hogy úgy lehessen tekinteni, hogy a felhasználó érvényesen hozzájárult a cookie‑k telepítéséhez.
60 A fenti értelmezés a 2016/679 rendelet fényében még inkább szükségszerű.
61 Amint ugyanis a főtanácsnok indítványának 70. pontjában lényegében megállapította, a 2016/679 rendelet 4. cikke 11. pontjának szövege, amely e rendelet alkalmazásában, és különösen a 6. cikke (1) bekezdésének a) pontja értelmében – amelyre az első kérdés c) pontja vonatkozik – határozza meg „az érintett hozzájárulását”, még szigorúbbnak bizonyul, mint a 95/46 irányelv 2. cikkének h) pontja, mivel az az érintett akaratának „önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű” kinyilvánítását követeli meg, amely vagy akaratnyilatkozat, vagy olyan „egyértelmű pozitív aktus” formáját ölti, amely kinyilvánítja a rá vonatkozó személyes adatok kezeléséhez való hozzájárulást.
62 A 2016/679 rendelet így immár kifejezetten előírja az aktív hozzájárulást. E tekintetben meg kell jegyezni, hogy e rendelet (32) preambulumbekezdése szerint a hozzájárulás többek között egy négyzetnek a valamely internetes honlap megtekintése során történő bejelölésével is kinyilvánítható. Az említett preambulumbekezdés ezzel szemben kifejezetten kizárja a hozzájárulást a „hallgatás, az előre bejelölt négyzet vagy a nemcselekvés” esetén.
63 Ebből az következik, hogy a 2016/679 rendelet 4. cikkének 11. pontjával és 6. cikke (1) bekezdésének a) pontjával összefüggésben értelmezett 2002/58 irányelv 2. cikkének f) pontja és 5. cikkének (3) bekezdése értelmében a hozzájárulás nem tekinthető érvényesnek, ha valamely internetes oldal felhasználója a végberendezésében mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést a felhasználónak a hozzájárulása megtagadásához törölnie kell.
64 Végül hangsúlyozni kell, hogy a kérdést előterjesztő bíróság nem azzal a kérdéssel fordult a Bírósághoz, hogy összeegyeztethető–e a 95/46 irányelv 2. cikkének h) pontja, valamint a 2016/679 rendelet 4. cikkének 11. pontja és 7. cikkének (4) bekezdése értelmében vett „szabad” hozzájárulásra vonatkozó követelménnyel az a körülmény, hogy a felhasználó nyereményjátékban való részvételének lehetősége a személyes adatainak reklámcélú kezeléséhez való hozzájárulásától függ, amint az a jelen esetben – az előzetes döntéshozatalra utaló határozatban szereplő információk szerint legalábbis az első jelölőnégyzet tekintetében – látszólag fennáll. E körülmények között e kérdést a Bíróságnak nem kell megvizsgálnia.
65 A fenti megállapítások összességére tekintettel az első kérdés a) és c) pontjára azt a választ kell adni, hogy a 95/46 irányelv 2. cikkének h) pontjával, valamint a 2016/679 rendelet 4. cikkének 11. pontjával és 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett 2002/58 irányelv 2. cikkének f) pontját és 5. cikkének (3) bekezdését úgy kell értelmezni, hogy az e rendelkezésekben foglalt hozzájárulás nem tekinthető érvényesnek abban az esetben, ha valamely internetes oldal felhasználója a végberendezésében mentett információk cookie‑k segítségével történő tárolását vagy az ott már tárolt információkhoz cookie‑k segítségével történő hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést e felhasználónak a hozzájárulása megtagadásához törölnie kell.
Az első kérdés b) pontjáról
66 Első kérdésének b) pontjával a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy a 95/46 irányelv 2. cikkének h) pontjával, valamint a 2016/679 rendelet 4. cikke 11. pontjával és 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett 2002/58 irányelv 2. cikkének f) pontját és 5. cikkének (3) bekezdését eltérően kell‑e értelmezni attól függően, hogy a valamely internetes oldal felhasználójának végberendezésében tárolt vagy onnan lehívott információk a 95/46 irányelv és a 2016/679 rendelet értelmében vett személyes adatoknak minősülnek‑e, vagy sem.
67 Amint a jelen ítélet 45. pontjában megállapításra került, az előzetes döntéshozatalra utaló határozatból kitűnik, hogy az alapügy tárgyát képező cookie‑k telepítése személyes adatok kezelésének körébe tartozik.
68 Ennek pontosítását követően mindenképpen meg kell állapítani, hogy a 2002/58 irányelv 5. cikkének (3) bekezdése az „adattárolásra” és a már tárolt „adatokhoz való hozzáférés” megszerzésére utal, anélkül hogy ezen adatokat minősítené vagy pontosítaná azt, hogy ezen adatoknak személyes adatoknak kell lenniük.
69 Amint azt a főtanácsnok az indítványának 107. pontjában megállapította, e rendelkezés célja tehát az, hogy a felhasználót a magánéletébe való bármilyen beavatkozástól megvédje, függetlenül attól, hogy az ilyen beavatkozás során személyes adatokról vagy más adatokról van‑e szó.
70 Ezt az értelmezést támasztja alá a 2002/58 irányelv (24) preambulumbekezdése is, amely szerint az elektronikus hírközlési hálózatok felhasználóinak végberendezésén tárolt minden adat a felhasználók magánéletének részét képezi, amelynek az Emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény alapján védelmet kell élveznie. Ez a védelem minden olyan adatra vonatkozik, amelyet e végberendezésen tárolnak, függetlenül attól, hogy személyes adatokról van‑e szó, vagy sem, és – amint ugyanezen preambulumbekezdésből kitűnik – különösen arra irányul, hogy megvédje a felhasználókat annak veszélyével szemben, hogy rejtett azonosítók vagy egyéb hasonló eszközök e felhasználók tudtán kívül bejussanak a végberendezéseikbe.
71 A fenti megfontolásokra tekintettel az első kérdés b) pontjára azt a választ kell adni, hogy a 95/46 irányelv 2. cikkének h) pontjával, valamint a 2016/679 rendelet 4. cikkének 11. pontjával és 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett 2002/58 irányelv 2. cikkének f) pontját és 5. cikkének (3) bekezdését nem kell eltérően értelmezni attól függően, hogy a valamely internetes oldal felhasználójának végberendezésében tárolt vagy onnan lehívott információk a 95/46 irányelv és a 2016/679 rendelet értelmében vett személyes adatoknak minősülnek‑e, vagy sem.
A második kérdésről
72 Második kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a 2002/58 irányelv 5. cikkének (3) bekezdését úgy kell‑e értelmezni, hogy a szolgáltató által a valamely internetes oldal felhasználójának nyújtandó információk kiterjednek a cookie‑k működésének időtartamára, valamint arra, hogy harmadik személyek hozzáférhetnek‑e ezen cookie‑khoz, vagy sem.
73 Amint az a jelen ítélet 46. pontjából kitűnik, a 2002/58 irányelv 5. cikkének (3) bekezdése azt követeli meg, hogy a felhasználó „a [95/46] irányelvvel összhangban” történő – többek között az adatkezelés céljairól szóló – egyértelmű és teljes körű tájékoztatás alapján ehhez előzetes hozzájárulását adja.
74 Amint azt a főtanácsnok indítványának 115. pontjában hangsúlyozta, az egyértelmű és teljes körű tájékoztatásnak a felhasználót olyan helyzetbe kell hoznia, hogy könnyedén el tudja dönteni, milyen következményekkel jár az általa esetleg megadott hozzájárulás, és biztosítania kell, hogy ezt a hozzájárulást a helyzet teljes ismeretében adják meg. A tájékoztatásnak egyértelműen érthetőnek és kellően részletesnek kell lennie ahhoz, hogy a felhasználó az alkalmazott cookie‑k működését meg tudja érteni.
75 Márpedig az olyan helyzetben, mint amilyen az alapügyben szerepel, amelyben a Bírósághoz benyújtott iratokban szereplő információk szerint a cookie‑k a nyereményjáték szervezője partnereinek termékeivel kapcsolatos információk reklámcélú összegyűjtésére irányulnak, a cookie‑k működésének időtartama, valamint az, hogy harmadik személyek hozzáférhetnek‑e ezen cookie‑khoz, vagy sem, a 2002/58 irányelv 5. cikke (3) bekezdésének megfelelően a felhasználó részére nyújtandó egyértelmű és teljes körű tájékoztatás részét képezik.
76 E tekintetben meg kell állapítani, hogy a 95/46 irányelv 10. cikke, amelyre a 2002/58 irányelv 5. cikkének (3) bekezdése utal, valamint a 2016/679 rendelet 13. cikke, olyan információkat sorol fel, amelyeket az adatkezelőnek közölnie kell azzal a személlyel, akitől a rá vonatkozó adatokat gyűjti.
77 Ezek az információk a 95/46 irányelv 10. cikkének értelmében az adatkezelő személyazonosságán és az adatkezelés céljain túlmenően többek között minden olyan további adatra kiterjednek, mint például az adatok címzettjei vagy a címzettek kategóriái, amennyiben – figyelemmel az adatgyűjtés különleges körülményeire – ezek a további adatok az érintett tekintetében az adatok tisztességes kezelésének biztosításához szükségesek.
78 Bár az adatkezelés időtartama nem szerepel ezen információk között, a 95/46 irányelv 10. cikkében szereplő „legalább” kifejezésből kitűnik, hogy azokat nem kimerítően sorolja fel. Márpedig a cookie‑k működésének időtartamára vonatkozó információt úgy kell tekinteni, mint amely megfelel az adatok tisztességes kezelésére vonatkozó, az említett cikkben előírt követelménynek, amennyiben olyan helyzetben, mint amilyen az alapügyben szerepel, a hosszú, sőt korlátlan időtartam az internethasználati szokásokra és a nyereményjáték‑szervező hirdetési partnerei oldalainak a felhasználó általi esetleges felkeresésének gyakoriságára vonatkozóan számos adat gyűjtését eredményezi.
79 Ezen értelmezést megerősíti a 2016/679 rendelet 13. cikke (2) bekezdésének a) pontja, amely előírja, hogy az adatkezelő annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet többek között a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól tájékoztatja.
80 Harmadik személyek cookie‑khoz való hozzáférésének lehetőségét illetően a 95/46 irányelv 10. cikkének c) pontjában, valamint a 2016/679 rendelet 13. cikke (1) bekezdésének e) pontjában említett információk között szereplő információról van szó, mivel ezek a rendelkezések kifejezetten megemlítik az adatok címzettjeit vagy a címzettek kategóriáit.
81 A fenti megfontolásokból következően a második kérdésre azt a választ kell adni, hogy a 2002/58 irányelv 5. cikkének (3) bekezdését úgy kell értelmezni, hogy a szolgáltató által a valamely internetes oldal felhasználójának nyújtandó információk kiterjednek a cookie‑k működésének időtartamára, valamint arra, hogy harmadik személyek hozzáférhetnek‑e ezen cookie‑khoz, vagy sem.
A költségekről
82 Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.
A fenti indokok alapján a Bíróság (nagytanács) a következőképpen határozott:
1) A személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv 2. cikkének h) pontjával, valamint a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 4. cikkének 11. pontjával és 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett, a 2009. november 25‑i 2009/136/EK európai parlamenti és tanácsi irányelvvel módosított, az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló, 2002. július 12‑i 2002/58/EK európai parlamenti és tanácsi irányelv (elektronikus hírközlési adatvédelmi irányelv) 2. cikkének f) pontját és 5. cikkének (3) bekezdését úgy kell értelmezni, hogy az e rendelkezésekben foglalt hozzájárulás nem tekinthető érvényesnek abban az esetben, ha valamely internetes oldal felhasználója a végberendezésében mentett információk cookie‑k segítségével történő tárolását vagy az ott már tárolt információkhoz cookie‑k segítségével történő hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést e felhasználónak a hozzájárulása megtagadásához törölnie kell.
2) A 95/46 irányelv 2. cikkének h) pontjával, valamint a 2016/679 rendelet 4. cikkének 11. pontjával és 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett, a 2009/136 irányelvvel módosított 2002/58 irányelv 2. cikkének f) pontját és 5. cikkének (3) bekezdését nem kell eltérően értelmezni attól függően, hogy a valamely internetes oldal felhasználójának végberendezésében tárolt vagy onnan lehívott információk a 95/46 irányelv és a 2016/679 rendelet értelmében vett személyes adatoknak minősülnek‑e, vagy sem.
3) A 2009/136 irányelvvel módosított 2002/58 irányelv 5. cikkének (3) bekezdését úgy kell értelmezni, hogy a szolgáltató által a valamely internetes oldal felhasználójának nyújtandó információk kiterjednek a cookie‑k működésének időtartamára, valamint arra, hogy harmadik személyek hozzáférhetnek‑e ezen cookie‑khoz, vagy sem.
Aláírások