Υπόθεση C‑673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
κατά
Planet49 GmbH
(αίτηση του Bundesgerichtshof για την έκδοση προδικαστικής αποφάσεως)
Απόφαση του Δικαστηρίου (τμήμα μείζονος συνθέσεως) της 1ης Οκτωβρίου 2019
«Προδικαστική παραπομπή – Οδηγία 95/46/ΕΚ – Οδηγία 2002/58/ΕΚ – Κανονισμός (ΕE) 2016/679 – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Cookies – Έννοια της συγκατάθεσης του υποκειμένου των δεδομένων – Δήλωση συγκατάθεσης μέσω προσυμπληρωμένου τετραγωνιδίου»
1. Προσέγγιση των νομοθεσιών – Τομέας των τηλεπικοινωνιών – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Οδηγία 2002/58 – Cookies – Συγκατάθεση του υποκειμένου των δεδομένων – Έννοια – Δήλωση συγκατάθεσης μέσω προσυμπληρωμένου τετραγωνιδίου – Δεν εμπίπτει
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 4, σημείο 11, και 6 § 1, στοιχείο αʹ· οδηγίες του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 95/46, άρθρο 2, στοιχείο ηʹ, και 2002/58, όπως τροποποιήθηκε με την οδηγία 2009/136, άρθρα 2, στοιχείο στʹ, και 5 § 3)
(βλ. σκέψεις 49-58, 60-63, διατακτ. 1)
2. Προσέγγιση των νομοθεσιών – Τομέας των τηλεπικοινωνιών – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Οδηγία 2002/58 – Cookies – Συγκατάθεση του υποκειμένου των δεδομένων – Έννοια – Πληροφορίες που αποθηκεύονται, ή στις οποίες υπάρχει δυνατότητα πρόσβασης, και οι οποίες αποτελούν ή δεν αποτελούν δεδομένα προσωπικού χαρακτήρα – Δεν ασκεί επιρροή
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 4, σημείο 11, και 6 § 1, στοιχείο αʹ· οδηγίες του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 95/46, άρθρο 2, στοιχείο ηʹ, και 2002/58, όπως τροποποιήθηκε με την οδηγία 2009/136, άρθρα 2, στοιχείο στʹ, και 5 § 3)
(βλ. σκέψεις 68-71, διατακτ. 2)
3. Προσέγγιση των νομοθεσιών – Τομέας των τηλεπικοινωνιών – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Οδηγία 2002/58 – Cookies – Σαφείς και εκτενείς πληροφορίες τις οποίες πρέπει να δίδει ο πάροχος υπηρεσιών – Έννοια – Διάρκεια λειτουργίας των cookies – Περιλαμβάνεται – Το ζήτημα αν τρίτοι μπορούν ή όχι να έχουν πρόσβαση στα cookies – Περιλαμβάνεται
(Οδηγία 2002/58 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, όπως τροποποιήθηκε με την οδηγία 2009/136, άρθρο 5 § 3)
(βλ. σκέψεις 74-81, διατακτ. 3)
Σύνοψη
Η αποθήκευση cookies απαιτεί τη με θετική ενέργεια παροχή συγκατάθεσης
των χρηστών του Διαδικτύου
Με την απόφαση της 1ης Οκτωβρίου 2019, Planet49 (C‑673/17), το τμήμα μείζονος συνθέσεως του Δικαστηρίου έκρινε ότι η συγκατάθεση για την αποθήκευση πληροφοριών ή την πρόσβαση σε πληροφορίες με τη χρήση cookies εγκατεστημένων στον τερματικό εξοπλισμό του χρήστη ιστοτόπου δεν δίδεται εγκύρως όταν η συναίνεση προκύπτει από προσυμπληρωμένο τετραγωνίδιο, τούτο δε ανεξαρτήτως του αν οι επίμαχες πληροφορίες αποτελούν ή όχι δεδομένα προσωπικού χαρακτήρα. Επιπλέον, το Δικαστήριο διευκρίνισε ότι ο πάροχος υπηρεσιών πρέπει να ενημερώνει τον χρήστη ιστοτόπου για τη διάρκεια λειτουργίας των cookies καθώς και για το ζήτημα αν τρίτοι μπορούν ή όχι να έχουν πρόσβαση στα cookies αυτά.
Η διαφορά της κύριας δίκης αφορούσε τη διοργάνωση διαφημιστικού παιχνιδιού από την Planet49 στον ιστότοπο www.dein-macbook.de. Προκειμένου να συμμετάσχουν, οι χρήστες του Διαδικτύου έπρεπε να γνωστοποιήσουν το όνομα και τη διεύθυνσή τους σε ιστοσελίδα στην οποία υπήρχαν τετραγωνίδια επιλογής. Το τετραγωνίδιο βάσει του οποίου επιτρεπόταν η εγκατάσταση των cookies ήταν προσυμπληρωμένο. Επιληφθέν ένδικου μέσου ασκηθέντος από την Γερμανική Ομοσπονδία των Ενώσεων Καταναλωτών, το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο, Γερμανία) είχε αμφιβολίες ως προς το κύρος της λήψης της συγκατάθεσης των χρηστών μέσω του προσυμπληρωμένου τετραγωνιδίου καθώς και ως προς την έκταση της υποχρέωσης ενημέρωσης που υπέχει ο πάροχος υπηρεσιών.
Η αίτηση προδικαστικής αποφάσεως αφορούσε κατ’ ουσίαν την ερμηνεία της έννοιας της συγκατάθεσης που προβλέπεται στην οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (1), σε συνδυασμό με την οδηγία 95/46 (2) καθώς και με τον γενικό κανονισμό για την προστασία δεδομένων (3).
Πρώτον, το Δικαστήριο επισήμανε ότι, κατά το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, στην οποία παραπέμπει το άρθρο 2, στοιχείο στʹ, της οδηγίας για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες, ως συγκατάθεση νοείται «κάθε δήλωση βουλήσεως, ελευθέρας, ρητής και εν πλήρει επιγνώσει, με την οποία το πρόσωπο στο οποίο αναφέρονται τα δεδομένα δέχεται να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν». Τόνισε ότι η απαίτηση περί «δήλωσης» βούλησης του υποκειμένου των δεδομένων αναφέρεται σαφώς σε ενεργή και όχι παθητική συμπεριφορά. Η παροχή συγκατάθεσης, όμως, μέσω προσυμπληρωμένου τετραγωνιδίου δεν προϋποθέτει ενεργή συμπεριφορά εκ μέρους του χρήστη ιστοτόπου. Επιπλέον, το ιστορικό της θέσπισης του άρθρου 5, παράγραφος 3, της οδηγίας για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες, το οποίο, μετά την τροποποίησή του από την οδηγία 2009/136, προβλέπει ότι ο χρήστης πρέπει να έχει «δώσει τη συγκατάθεσή του» για την αποθήκευση cookies, υποδηλώνει ότι η συγκατάθεση του χρήστη δεν μπορεί πλέον να τεκμαίρεται και πρέπει να προκύπτει από ενεργή συμπεριφορά του τελευταίου. Τέλος, η με θετική ενέργεια παροχή συγκατάθεσης προβλέπεται πλέον από τον γενικό κανονισμό για την προστασία δεδομένων (4), του οποίου το άρθρο 4, σημείο 11, απαιτεί δήλωση βούλησης υπό μορφή, μεταξύ άλλων, «σαφ[ούς] θετική[ς] ενέργεια[ς]» και του οποίου η αιτιολογική σκέψη 32 εξαιρεί ρητώς τη «σιωπή, τα προσυμπληρωμένα τετραγωνίδια ή [την] αδράνεια» από τις περιπτώσεις παροχής συγκατάθεσης.
Συνεπώς, το Δικαστήριο έκρινε ότι η συγκατάθεση δεν δίδεται εγκύρως όταν η αποθήκευση πληροφοριών ή η πρόσβαση σε πληροφορίες ήδη αποθηκευμένες στον τερματικό εξοπλισμό του χρήστη ιστοτόπου επιτρέπεται βάσει προσυμπληρωμένου τετραγωνιδίου το οποίο ο χρήστης πρέπει να αποεπιλέξει προκειμένου να αρνηθεί να δώσει τη συγκατάθεσή του. Επιπροσθέτως, το γεγονός ότι ο χρήστης αυτός ενεργοποιεί την επιλογή συμμετοχής στο επίμαχο διαφημιστικό παιχνίδι δεν αρκεί για να γίνει δεκτό ότι δίδει εγκύρως τη συγκατάθεσή του για την αποθήκευση cookies.
Δεύτερον, το Δικαστήριο διαπίστωσε ότι το άρθρο 5, παράγραφος 3, της οδηγίας για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες αποσκοπεί στην προστασία του χρήστη από κάθε επέμβαση στην ιδιωτική του ζωή, ανεξαρτήτως του αν η εν λόγω επέμβαση αφορά δεδομένα προσωπικού χαρακτήρα ή όχι. Επομένως, η έννοια της συγκατάθεσης δεν πρέπει να ερμηνεύεται διαφορετικά ανάλογα με το αν οι πληροφορίες που αποθηκεύονται, ή στις οποίες υπάρχει δυνατότητα πρόσβασης, στον τερματικό εξοπλισμό του χρήστη ιστοτόπου αποτελούν ή όχι δεδομένα προσωπικού χαρακτήρα.
Τρίτον, το Δικαστήριο επισήμανε ότι το άρθρο 5, παράγραφος 3, της οδηγίας για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες απαιτεί να έχει δώσει ο χρήστης τη συγκατάθεσή του με βάση σαφείς και εκτενείς πληροφορίες, μεταξύ άλλων ως προς τον σκοπό της επεξεργασίας. Ειδικότερα, οι σαφείς και εκτενείς πληροφορίες πρέπει να παρέχουν στον χρήστη τη δυνατότητα να προσδιορίζει εύκολα τις συνέπειες της συγκατάθεσης που μπορεί να δώσει και να εξασφαλίζουν ότι η συγκατάθεση αυτή δίδεται εν πλήρει γνώσει της κατάστασης. Συναφώς, το Δικαστήριο έκρινε ότι η διάρκεια λειτουργίας των cookies καθώς και το ζήτημα αν τρίτοι μπορούν ή όχι να έχουν πρόσβαση στα cookies αυτά συγκαταλέγονται στις σαφείς και εκτενείς πληροφορίες τις οποίες ο πάροχος υπηρεσιών πρέπει να δίδει στον χρήστη ιστοτόπου.