Zaak C‑673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
tegen
Planet49 GmbH
(verzoek om een prejudiciële beslissing, ingediend door het Bundesgerichtshof)
Arrest van het Hof (Grote kamer) van 1 oktober 2019
„Prejudiciële verwijzing – Richtlijn 95/46/EG – Richtlijn 2002/58/EG – Verordening (EU) 2016/679 – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie – Cookies – Begrip ‚toestemming van de betrokkene’ – Verklaring van toestemming door middel van een standaard aangevinkt selectievakje”
1. Harmonisatie van wetgevingen – Telecommunicatiesector – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie – Richtlijn 2002/58 – Cookies – Toestemming van de betrokken persoon – Begrip – Verklaring van toestemming door middel van een standaard aangevinkt selectievakje – Daarvan uitgesloten
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 11, en 6, lid 1, a); richtlijnen van het Europees Parlement en de Raad 95/46, art. 2, h), en 2002/58, zoals gewijzigd bij richtlijn 2009/136, art. 2, f), en 5, lid 3]
(zie punten 49‑58, 60‑63, dictum 1)
2. Harmonisatie van wetgevingen – Telecommunicatiesector – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie – Richtlijn 2002/58 – Cookies – Toestemming van de betrokken persoon – Begrip – Opgeslagen of geraadpleegde informatie die al dan niet bestaat in persoonsgegevens – Geen invloed
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 11, en 6, lid 1, a); richtlijnen van het Europees Parlement en de Raad 95/46, art. 2, h), en 2002/58, zoals gewijzigd bij richtlijn 2009/136, art. 2, f), en 5, lid 3]
(zie punten 68‑71, dictum 2)
3. Harmonisatie van wetgevingen – Telecommunicatiesector – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie – Richtlijn 2002/58 – Cookies – Duidelijke en volledige informatie die door de aanbieder van diensten moet worden verstrekt – Begrip – Duur van de werking van cookies – Daaronder begrepen – Wel of geen mogelijkheid voor derden om toegang te hebben tot cookies – Daaronder begrepen
(Richtlijn 2002/58 van het Europees Parlement en de Raad, zoals gewijzigd bij richtlijn 2009/136, art. 5, lid 3)
(zie punten 74‑81, dictum 3)
Samenvatting
Voor het plaatsen van cookies is de actieve toestemming van de internetgebruikers vereist
Bij arrest van 1 oktober 2019, Planet49 (C‑673/17) heeft de Grote kamer van het Hof geoordeeld dat toestemming voor de opslag van informatie of het verkrijgen van toegang tot informatie door middel van cookies die zijn geïnstalleerd op de eindapparatuur van de gebruiker van een website, niet rechtsgeldig is verleend wanneer de toestemming wordt verleend door middel van een standaard aangevinkt selectievakje, ongeacht of de betrokken informatie al dan niet bestaat in persoonsgegevens. Bovendien heeft het Hof verduidelijkt dat de aanbieder van diensten de gebruiker van een website erop moet wijzen hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben.
Het hoofdgeding had betrekking op een reclameloterij die Planet49 had georganiseerd op de website www.dein-macbook.de. Om te kunnen deelnemen moesten internetgebruikers hun naam en adres opgeven op een website met selectievakjes. Het vakje waarmee toestemming werd gegeven voor de installatie van cookies was standaard aangevinkt. Het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland), waarbij de Duitse federale vereniging van consumentenbeschermingsorganisaties beroep had ingesteld, had twijfels over de geldigheid van toestemming die gebruikers hebben verleend door middel van het standaard aangevinkte selectievakje en over de omvang van de informatieverplichting waaraan de aanbieder van diensten moet voldoen.
Het verzoek om een prejudiciële beslissing had in essentie betrekking op de uitlegging van het begrip toestemming in de richtlijn betreffende privacy en elektronische communicatie(1), gelezen in samenhang met richtlijn 95/46(2), en met de algemene verordening gegevensbescherming(3).
Ten eerste heeft het Hof opgemerkt dat artikel 2, onder h) van richtlijn 95/46, waarnaar in artikel 2, onder f), van de richtlijn betreffende privacy en elektronische communicatie wordt verwezen, de toestemming omschrijft als „elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”. Het Hof heeft aangegeven dat met de eis van een „wilsuiting” van de betrokkene duidelijk wordt verwezen naar een actieve en niet naar een passieve gedraging. Toestemming door middel van een standaard aangevinkt selectievakje impliceert echter geen actieve gedraging van de gebruiker van een website. De ontstaansgeschiedenis van artikel 5, lid 3, van de richtlijn privacy en elektronische communicatie – die sinds de wijziging ervan bij richtlijn 2009/136 bepaalt dat de gebruiker „toestemming [moet hebben] verleend” voor het plaatsen van cookies – lijkt bovendien erop te wijzen dat de toestemming van de gebruiker voortaan niet langer kan worden verondersteld en moet voortvloeien uit een actieve gedraging zijnerzijds. Ten slotte is tegenwoordig voorzien in actieve toestemming in de algemene verordening gegevensbescherming(4), die in artikel 4, punt 11, een wilsuiting vereist in de vorm van met name een „ondubbelzinnige actieve handeling” en in overweging 32 uitdrukkelijk uitsluit dat er sprake is van toestemming in geval van „stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit”.
Het Hof heeft derhalve geoordeeld dat de toestemming niet rechtsgeldig is verleend wanneer de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen op de eindapparatuur van de gebruiker van een website, wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen. Het heeft daaraan toegevoegd dat het feit dat de gebruiker op de knop voor deelname aan de betrokken reclameloterij heeft geklikt, op zich niet kan volstaan om vast te stellen dat hij rechtsgeldig toestemming heeft verleend voor het plaatsen van cookies.
Ten tweede heeft het Hof vastgesteld dat met artikel 5, lid 3, van de richtlijn privacy en elektronische communicatie is beoogd de gebruiker te beschermen tegen elke inmenging in zijn privéleven, ongeacht of die inmenging betrekking heeft op persoonsgegevens. Hieruit vloeit voort dat het begrip toestemming niet anders moet worden uitgelegd naargelang de informatie die is opgeslagen op de eindapparatuur van de gebruiker van een website of daaruit is opgevraagd, al dan niet bestaat in persoonsgegevens.
Ten derde heeft het Hof opgemerkt dat artikel 5, lid 3, van de richtlijn privacy en elektronische communicatie vereist dat de gebruiker zijn toestemming heeft verleend na te zijn voorzien van duidelijke en volledige informatie over onder meer het doel van de verwerking. Duidelijke en volledige informatie houdt in dat de gebruiker in staat is om gemakkelijk de gevolgen te bepalen van eventueel door hem te verlenen toestemming, en dat gewaarborgd is dat hij deze toestemming met kennis van zaken verleent. In dit verband heeft het Hof vastgesteld dat de informatie hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben, deel uitmaakt van de duidelijke en volledige informatie die de aanbieder van diensten aan de gebruiker van een website moet verstrekken.