C‑673/17. sz. ügy
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
kontra
Planet49 GmbH
(a Bundesgerichtshof által benyújtott előzetes döntéshozatal iránti kérelem)
A Bíróság ítélete (nagytanács), 2019. október 1.
„Előzetes döntéshozatal – 95/46/EK irányelv – 2002/58/EK irányelv – (EU) 2016/679 rendelet – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet védelme – „Cookie‑k” – Az érintett személy hozzájárulásának fogalma – Előre bejelölt négyzettel megadott hozzájárulásra vonatkozó nyilatkozat”
1. Jogszabályok közelítése – Távközlési ágazat – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet védelme – 2002/58 irányelv – Cookie‑k – Az érintett személy hozzájárulása – Fogalom – Előre bejelölt négyzettel megadott hozzájárulásra vonatkozó nyilatkozat – Kizártság
(2016/679 európai parlamenti és tanácsi rendelet, 4. cikk, 11. pont, és 6. cikk, (1) bekezdés, a) pont; 95/46 európai parlamenti és tanácsi irányelv, 2. cikk, h) pont és a 2009/136 irányelvvel módosított 2002/58 európai parlamenti és tanácsi irányelv, 2. cikk, f) pont, és 5. cikk, (3) bekezdés)
(lásd: 49–58., 60–63. pont és a rendelkező rész 1. pontja)
2. Jogszabályok közelítése – Távközlési ágazat – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet védelme – 2002/58 irányelv – Cookie‑k – Az érintett személy hozzájárulása – Fogalom – Személyes adatoknak minősülő, vagy azoknak nem minősülő tárolt vagy lehívott információk – Hatás hiánya
(2016/679 európai parlamenti és tanácsi rendelet, 4. cikk, 11. pont, és 6. cikk, (1) bekezdés, a) pont; 95/46 európai parlamenti és tanácsi irányelv, 2. cikk, h) pont és a 2009/136 irányelvvel módosított 2002/58 európai parlamenti és tanácsi irányelv, 2. cikk, f) pont, és 5. cikk, (3) bekezdés)
(lásd: 68–71. pont és a rendelkező rész 2. pontja)
3. Jogszabályok közelítése – Távközlési ágazat – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet védelme – 2002/58 irányelv – Cookie‑k – A szolgáltató által nyújtandó egyértelmű és teljes körű tájékoztatás – Fogalom – A cookie‑k működésének időtartama – Bennfoglaltság – Harmadik személyek cookie‑khoz való hozzáférésének lehetősége, vagy annak hiánya – Bennfoglaltság
(A 2009/136 irányelvvel módosított 2002/58 európai parlamenti és tanácsi irányelv, 5 cikk, (3) bekezdés)
(lásd: 74–81. pont és a rendelkező rész 3. pontja)
Összefoglalás
A cookie‑k telepítése az internethasználók aktív hozzájárulását igényli
A Bíróság nagytanácsa 2019. október 1‑jei Planet49 ítéletében (C‑673/17) kimondta, hogy valamely internetes oldal felhasználója által az információknak a végberendezésében cookie‑k segítségével történő tárolásához vagy az ott tárolt információkhoz cookie‑k segítségével való hozzáféréshez adott hozzájárulás nem tekinthető érvényesnek, ha az engedély előre bejelölt négyzeten alapul, függetlenül attól, hogy a szóban forgó információk személyes adatoknak minősülnek‑e, vagy sem. Ezenkívül a Bíróság pontosította, hogy a szolgáltatónak tájékoztatnia kell a valamely internetes oldal felhasználóját a cookie‑k működésének időtartamáról, valamint arról, hogy harmadik személyeknek lehetőségük van‑e e cookie‑khoz hozzáférni.
Az alapeljárás a Planet49 által a www.dein‑macbook.de internetes oldalon szervezett nyereményjátékra vonatkozott. A részvételhez az internethasználóknak meg kellett adniuk nevüket és címüket egy olyan internetes oldalon, amelyen jelölőnégyzetek szerepeltek. A cookie‑k telepítését engedélyező négyzetet előre bejelölték. A Bundesgerichtshof (szövetségi legfelsőbb bíróság, Németország), amely előtt a német fogyasztói szerzetek szövetsége indított keresetet, kétségeket táplált a felhasználók előre bejelölt négyzettel adott hozzájárulásának érvényességével, valamint a szolgáltatót terhelő tájékoztatási kötelezettség terjedelmével kapcsolatban.
Az előzetes döntéshozatal iránti kérelem lényegében a 95/46 irányelvvel,(1) valamint az általános adatvédelmi rendelettel(2) együttesen értelmezett elektronikus hírközlési adatvédelmi irányelv(3) szerinti hozzájárulás fogalmának értelmezésére vonatkozott.
A Bíróság először is megállapította, hogy a 95/46 irányelv 2. cikkének h) pontja – amelyre az elektronikus hírközlési adatvédelmi irányelv 2. cikkének f) pontja utal – a hozzájárulást a következőképpen határozza meg: „az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok kezeléséhez”. Kiemelte, hogy az érintett akaratának „kinyilvánítására” vonatkozó követelmény egyértelműen aktív és nem passzív magatartásra utal. Márpedig egy előre bejelölt négyzettel adott hozzájárulás nem jelent aktív magatartást a valamely internetes oldal felhasználója részéről. Ezenkívül az elektronikus hírközlési adatvédelmi irányelv 5. cikke (3) bekezdésének keletkezéstörténete, amely rendelkezés a 2009/136 irányelvvel történő módosítása óta előírja, hogy a felhasználónak előzetesen „hozzá kell járulnia” a cookie‑k telepítéséhez, arra enged következtetni, hogy a felhasználó hozzájárulása a továbbiakban már nem vélelmezhető, és annak ez utóbbi aktív magatartásából kell erednie. Végül az aktív hozzájárulást immár az általános adatvédelmi rendelet(4) is előírja, amely rendelet 4. cikkének 11. pontja megköveteli a többek között „félreérthetetlenül kifejező cselekedet” formáját öltő akaratnyilatkozatot, és amelynek (32) preambulumbekezdése kifejezetten kizárja a hozzájárulást „hallgatás, az előre bejelölt négyzet vagy a nemcselekvés” esetén.
A Bíróság így kimondta, hogy a hozzájárulás nem tekinthető érvényesnek abban az esetben, ha valamely internetes oldal felhasználója a végberendezésében mentett információk cookie‑k segítségével történő tárolását vagy az ott már tárolt információkhoz cookie‑k segítségével történő hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést e felhasználónak a hozzájárulása megtagadásához törölnie kell. Hozzátette azt is, hogy az, hogy egy ilyen felhasználó rákattint a szóban forgó nyereményjátékban való részvétel gombra, nem lehet elegendő ahhoz, hogy úgy lehessen tekinteni, hogy a felhasználó érvényesen hozzájárult a cookie‑k telepítéséhez.
Másodszor, a Bíróság megállapította, hogy az elektronikus hírközlési adatvédelmi irányelv 5. cikke (3) bekezdésének célja az, hogy a felhasználót a magánéletébe való bármilyen beavatkozástól megvédje, függetlenül attól, hogy az ilyen beavatkozás személyes adatokat érint‑e, vagy sem. Ebből az következik, hogy a hozzájárulás fogalmát nem kell eltérően értelmezni attól függően, hogy a valamely internetes oldal felhasználójának végberendezésében tárolt vagy onnan lehívott információk személyes adatoknak minősülnek‑e, vagy sem.
Harmadszor, a Bíróság rámutatott, hogy az elektronikus hírközlési adatvédelmi irányelv 5. cikkének (3) bekezdése megköveteli, hogy a felhasználó – többek között az adatkezelés céljairól szóló – egyértelmű és teljes körű tájékoztatás alapján ehhez előzetes hozzájárulását adja. Márpedig az egyértelmű és teljes körű tájékoztatásnak a felhasználót olyan helyzetbe kell hoznia, hogy könnyedén el tudja dönteni, milyen következményekkel jár az általa esetleg megadott hozzájárulás, és biztosítania kell, hogy ezt a hozzájárulást a helyzet teljes ismeretében adják meg. E tekintetben a Bíróság megállapította, hogy a cookie‑k működésének időtartama, valamint az, hogy harmadik személyek hozzáférhetnek‑e ezen cookie‑khoz, vagy sem, a szolgáltató által a valamely internetes oldal felhasználójának nyújtandó egyértelmű és teljes körű tájékoztatás körébe tartozik.