Sprawa C‑673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
przeciwko
Planet49 GmbH
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Bundesgerichtshof)
Wyrok Trybunału (wielka izba) z dnia 1 października 2019 r.
Odesłanie prejudycjalne – Dyrektywa 95/46/WE – Dyrektywa 2002/58/WE – Rozporządzenie (UE) 2016/679 – Przetwarzanie danych osobowych i ochrona prywatności w sektorze łączności elektronicznej – Pliki Cookie – Pojęcie zgody osoby, której dane dotyczą – Oświadczenie o wyrażeniu zgody za pomocą zaznaczonego domyślnie okienka wyboru
1. Zbliżanie ustawodawstw – Sektor telekomunikacji – Przetwarzanie danych osobowych i ochrona prywatności w sektorze łączności elektronicznej – Dyrektywa 2002/58 – Pliki cookie – Zgoda osoby, której dane dotyczą – Pojęcie – Oświadczenie o wyrażeniu zgody za pomocą zaznaczonego domyślnie okienka wyboru – Wykluczenie
[Rozporządzenie Parlamentu Europejskiego i Rady nr 2016/679, art. 4 pkt 11, art. 6 ust. 1 lit. a); dyrektywy Parlamentu Europejskiego i Rady: 95/46, art. 2 lit. h); 2002/58, zmieniona dyrektywą 2009/136, art. 2 lit. f), art. 5 ust. 3]
(zob. pkt 49–58, 60–63, pkt 1 sentencji)
2. Zbliżanie ustawodawstw – Sektor telekomunikacji – Przetwarzanie danych osobowych i ochrona prywatności w sektorze łączności elektronicznej – Dyrektywa 2002/58 – Pliki cookie – Zgoda osoby, której dane dotyczą – Pojęcie – Przechowywane lub udostępniane informacje będące lub niebędące danymi osobowymi – Brak wpływu
[Rozporządzenie Parlamentu Europejskiego i Rady nr 2016/679, art. 4 pkt 11, art. 6 ust. 1 lit. a); dyrektywy Parlamentu Europejskiego i Rady: 95/46, art. 2 lit. h); 2002/58, zmieniona dyrektywą 2009/136, art. 2 lit. f), art. 5 ust. 3]
(zob. pkt 68–71, pkt 2 sentencji)
3. Zbliżanie ustawodawstw – Sektor telekomunikacji – Przetwarzanie danych osobowych i ochrona prywatności w sektorze łączności elektronicznej – Dyrektywa 2002/58 – Pliki cookie – Jasna i wyczerpująca informacja, jakiej powinien udzielić usługodawca – Pojęcie – Okres funkcjonowania plików cookie – Włączenie – Możliwość uzyskania dostępu do plików cookie przez osoby trzecie lub brak takiej możliwości – Włączenie
(Dyrektywa 2002/58 Parlamentu Europejskiego i Rady, zmieniona dyrektywą 2009/136, art. 5 ust. 3)
(zob. pkt 74–81, pkt 3 sentencji)
Streszczenie
Umieszczanie plików cookie wymaga czynnej zgody internautów
W wyroku z dnia 1 października 2019 r., Planet49 (C‑673/17), Trybunał (wielka izba) orzekł, że zgoda na przechowywanie informacji lub dostęp do informacji za pośrednictwem plików cookie zainstalowanych w urządzeniach końcowych użytkownika strony internetowej nie jest ważna, jeżeli jest ona efektem umieszczenia na stronie domyślnie zaznaczonego okienka wyboru, i to niezależnie od tego, czy owe informacje stanowią dane osobowe. Ponadto Trybunał orzekł, że usługodawca musi poinformować użytkownika strony internetowej o tym, jaki jest okres funkcjonowania plików cookie oraz czy osoby trzecie mogą uzyskać dostęp do takich plików.
Spór w postępowaniu głównym dotyczył organizacji przez spółkę Planet49 loterii promocyjnej na stronie internetowej www.dein-macbook.de. Aby wziąć w niej udział, internauci musieli podać swe imię, nazwisko i adres na stronie internetowej, na której zamieszczono okienka wyboru. Okienko wyboru umożliwiające instalację plików cookie zostało zaznaczone domyślnie. Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy), rozpatrujący skargę wniesioną przez niemiecki związek organizacji konsumenckich, powziął wątpliwości co do ważności uzyskania zgody użytkowników za pomocą domyślnie zaznaczonego okienka wyboru oraz co do zakresu obowiązku informacyjnego ciążącego na usługodawcy.
Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczył zasadniczo wykładni pojęcia zgody w rozumieniu dyrektywy o prywatności i łączności elektronicznej(1) w związku z dyrektywą 95/46(2), jak również ogólnym rozporządzeniem o ochronie danych(3).
Po pierwsze, Trybunał zaznaczył, że art. 2 lit. h) dyrektywy 95/46, do którego odsyła art. 2 lit. f) dyrektywy o prywatności i łączności elektronicznej, definiuje zgodę jako „konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych”. Trybunał wskazał, że wymóg „wskazania” woli osoby, której dane dotyczą, wyraźnie sugeruje zachowanie czynne, a nie bierne. Zgoda udzielona za pomocą zaznaczonego domyślnie okienka wyboru nie oznacza jednak czynnego zachowania użytkownika strony internetowej. Ponadto geneza art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej, który to przepis przewiduje, od chwili jego zmiany dyrektywą 2009/136, że użytkownik musi „wyrazić zgodę” na zainstalowanie plików cookie, sugeruje, że zgoda użytkownika nie może być dłużej domniemana i musi wynikać z jego czynnego zachowania. Wreszcie czynną zgodę przewiduje obecnie ogólne rozporządzenie o ochronie danych(4), którego art. 4 pkt 11 wymaga w szczególności wyrażenia woli w formie „wyraźnego aktu potwierdzającego” i którego motyw 32 wyraźnie wyklucza wyrażenie zgody poprzez „milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania”.
Trybunał orzekł zatem, że zgoda nie jest ważna, jeżeli przechowywanie informacji lub dostęp do informacji już przechowywanych w urządzeniu końcowym użytkownika strony internetowej zostały zaakceptowane za pomocą domyślnie zaznaczonego okienka wyboru, którego zaznaczenie użytkownik ten musi usunąć, aby odmówić udzielenia zgody. Sąd dodał, że okoliczność, iż użytkownik aktywuje przycisk uczestnictwa w loterii promocyjnej, o której mowa w tej sprawie, nie może być wystarczająca do uznania, że dany użytkownik skutecznie wyraził zgodę na zainstalowanie plików cookie.
Po drugie, Trybunał stwierdził, że art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej ma na celu ochronę użytkownika przed każdą ingerencją w sferę prywatną bez względu na to, czy ingerencja ta obejmuje dane osobowe. W związku z tym pojęcie zgody nie powinno być interpretowane w różny sposób w zależności od tego, czy informacje przechowywane lub udostępniane w urządzeniu końcowym użytkownika strony internetowej stanowią dane osobowe.
Po trzecie, Trybunał zauważył, że art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej wymaga, aby użytkownik wyrażał zgodę, po otrzymaniu jasnych i wyczerpujących informacji, w szczególności o celach przetwarzania. Jasne i wyczerpujące informacje powinny umożliwiać użytkownikowi łatwe ustalenie konsekwencji zgody, której może udzielić, oraz gwarantować, że zgoda ta zostanie udzielona przy pełnej znajomości stanu rzeczy. W tym względzie Trybunał uznał, wskazanie okresu funkcjonowania plików cookie oraz określenie, czy osoby trzecie mogą uzyskać dostęp do takich plików, są to elementy jasnych i wyczerpujących informacji, jakie powinny zostać udzielone użytkownikowi strony internetowej przez usługodawcę.