Asia C-673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
vastaan
Planet49 GmbH
(Bundesgerichtshofin esittämä ennakkoratkaisupyyntö)
Unionin tuomioistuimen (suuri jaosto) tuomio 1.10.2019
Ennakkoratkaisupyyntö – Direktiivi 95/46/EY – Direktiivi 2002/58/EY – Asetus (EU) 2016/679 – Henkilötietojen käsittely ja yksityisyyden suoja sähköisen viestinnän alalla – Evästeet – Rekisteröidyn suostumuksen käsite – Suostumuksen antaminen valmiiksi rastitetulla ruudulla
1. Jäsenvaltioiden lainsäädännön lähentäminen – Televiestintäala – Henkilötietojen käsittely ja yksityisyyden suoja sähköisen viestinnän alalla – Direktiivi 2002/58 – Evästeet – Rekisteröidyn suostumus – Käsite – Suostumuksen antaminen valmiiksi rastitetulla ruudulla jää käsitteen ulkopuolelle
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 4 artiklan 11 alakohta ja 6 artiklan 1 kohdan a alakohta; Euroopan parlamentin ja neuvoston direktiivin 95/46 2 artiklan h alakohta ja Euroopan parlamentin ja neuvoston direktiivin 2002/58, sellaisena kuin se on muutettuna direktiivillä 2009/136, 2 artiklan f alakohta ja 5 artiklan 3 kohta)
(ks. 49–58 ja 60–63 kohta ja tuomiolauselman 1 kohta)
2. Jäsenvaltioiden lainsäädännön lähentäminen – Televiestintäala – Henkilötietojen käsittely ja yksityisyyden suoja sähköisen viestinnän alalla – Direktiivi 2002/58 – Evästeet – Rekisteröidyn suostumus – Käsite – Sillä ei ole merkitystä, ovatko tallennetut tai haetut tiedot henkilötietoja
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 4 artiklan 11 alakohta ja 6 artiklan 1 kohdan a alakohta; Euroopan parlamentin ja neuvoston direktiivin 95/46 2 artiklan h alakohta ja Euroopan parlamentin ja neuvoston direktiivin 2002/58, sellaisena kuin se on muutettuna direktiivillä 2009/136, 2 artiklan f alakohta ja 5 artiklan 3 kohta)
(ks. 68–71 kohta ja tuomiolauselman 2 kohta)
3. Jäsenvaltioiden lainsäädännön lähentäminen – Televiestintäala – Henkilötietojen käsittely ja yksityisyyden suoja sähköisen viestinnän alalla – Direktiivi 2002/58 – Evästeet – Selkeät ja kattavat tiedot, jotka palveluntarjoajan on annettava – Käsite – Evästeiden toiminta-aika kuuluu käsitteen alaan – Se, onko kolmansilla osapuolilla mahdollisuus käyttää evästeitä, kuuluu käsitteen alaan
(Euroopan parlamentin ja neuvoston direktiivin 2002/58, sellaisena kuin se on muutettuna direktiivillä 2009/136, 5 artiklan 3 kohta)
(ks. 74–81 kohta ja tuomiolauselman 3 kohta)
Tiivistelmä
Evästeiden tallentaminen edellyttää internetkäyttäjien aktiivista suostumusta
Unionin tuomioistuin totesi suuren jaoston kokoonpanossa 1.10.2019 antamassaan tuomiossa Planet49 (C-673/17), ettei suostumusta tietojen tallentamiseen tai tietojen käyttämiseen internetsivuston käyttäjän päätelaitteelle tallennettujen evästeiden avulla ole annettu pätevästi, kun lupa annetaan valmiiksi rastitetulla ruudulla, ja näin on siitä riippumatta, onko kyse henkilötiedoista vai ei. Unionin tuomioistuin täsmensi lisäksi, että palveluntarjoajan on ilmoitettava internetsivuston käyttäjälle evästeiden toiminta-aika sekä se, onko kolmansilla mahdollisuus käyttää näitä evästeitä.
Pääasia koski Planet49:n mainostarkoituksessa järjestämää arvontaa internetsivustolla www.dein-macbook.de. Internetkäyttäjien oli arvontaan osallistuakseen ilmoitettava nimensä ja osoitteensa internetsivulla, jossa oli rastitettavia ruutuja. Bundesgerichtshofilla (liittovaltion ylin tuomioistuin, Saksa), jonka käsiteltäväksi Saksan kuluttajaneuvontayhdistysten keskusjärjestö oli saattanut asian, oli epäilyksiä käyttäjiltä valmiiksi rastitetun ruudun avulla saadun suostumuksen pätevyydestä sekä palveluntarjoajan ilmoittamisvelvollisuuden laajuudesta.
Ennakkoratkaisupyyntö koski pääasiallisesti sähköisen viestinnän tietosuojadirektiivissä,(1) luettuna yhdessä direktiivin 95/46(2) ja yleisen tietosuoja-asetuksen(3) kanssa, tarkoitetun suostumuksen käsitteen tulkintaa.
Unionin tuomioistuin huomautti ensinnäkin, että direktiivin 95/46, johon sähköisen viestinnän tietosuojadirektiivin 2 artiklan f alakohdassa viitataan, 2 artiklan h alakohdassa määritellään, että suostumuksella tarkoitetaan ”kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn”. Unionin tuomioistuin totesi, että vaatimus rekisteröidyn tahdon ”ilmaisusta” viittaa selvästi aktiiviseen eikä passiiviseen toimintaan. Valmiiksi rastitetulla ruudulla annettu suostumus ei merkitse internetsivuston käyttäjän aktiivista toimintaa. Sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohdan – jossa säädetään direktiivillä 2009/136 siihen tehdyn muutoksen jälkeen, että käyttäjän on täytynyt ”anta[a] suostumuksensa” evästeiden tallentamiseen – syntyhistoriasta ilmenee lisäksi, että käyttäjän ei voida vastedes enää olettaa antaneen suostumustaan vaan suostumuksen on perustuttava käyttäjän aktiiviseen toimintaan. Lopuksi yleisessä tietosuoja-asetuksessa,(4) jonka 4 artiklan 11 alakohdassa edellytetään tahdonilmaisua muun muassa toteuttamalla ”selkeästi suostumusta ilmaisev[a] toim[i]” ja jonka johdanto-osan 32 perustelukappaleessa suljetaan nimenomaisesti pois se mahdollisuus, että suostumus on annettu ”vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta”, säädetään vastedes aktiivisesta suostumuksesta.
Unionin tuomioistuin totesi täten, ettei suostumusta ole annettu pätevästi, kun lupa tietojen tallentamiseen tai internetsivuston käyttäjän päätelaitteelle jo tallennettujen tietojen käyttämiseen on annettu valmiiksi rastitetulla ruudulla, josta käyttäjän on poistettava rasti evätäkseen suostumuksensa. Unionin tuomioistuin totesi lisäksi, että se, että tällainen käyttäjä napsauttaa kyseessä olevan mainostarkoituksessa järjestetyn arvonnan osallistumispainiketta, ei ole riittävä, jotta voitaisiin katsoa, että käyttäjä on pätevästi antanut suostumuksensa evästeiden tallentamiseen.
Unionin tuomioistuin totesi toiseksi, että sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohdalla pyritään suojelemaan käyttäjää hänen yksityisyytensä loukkaamiselta riippumatta siitä, koskeeko tämä loukkaus henkilötietoja vai muita tietoja. Tästä seuraa, ettei suostumuksen käsitettä ole tulkittava eri tavoin sen mukaan, ovatko internetsivuston käyttäjän päätelaitteelle tallennetut tai sieltä haetut tiedot henkilötietoja vai eivät.
Unionin tuomioistuin totesi kolmanneksi, että sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohdassa edellytetään, että käyttäjä on antanut suostumuksensa saatuaan selkeät ja kattavat tiedot muun muassa käsittelyn tarkoituksesta. Käyttäjän on voitava selkeiden ja kattavien tietojen avulla helposti määrittää mahdollisesti antamansa suostumuksen seuraukset, ja näillä tiedoilla on voitava taata käyttäjälle se, että tämä suostumus annetaan täysin tietoisena asiasta. Unionin tuomioistuin katsoi tältä osin, että evästeiden toiminta-aika sekä se, onko kolmansilla mahdollisuus käyttää näitä evästeitä, kuuluvat selkeisiin ja kattaviin tietoihin, jotka palveluntarjoajan on annettava internetsivuston käyttäjälle.