Cauza C‑673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
împotriva
Planet49 GmbH
(cerere de decizie preliminară introdusă de Bundesgerichtshof)
Hotărârea Curții (Marea Cameră) din 1 octombrie 2019
„Trimitere preliminară – Directiva 95/46/CE – Directiva 2002/58/CE – Regulamentul (UE) 2016/679 – Prelucrarea datelor cu caracter personal și protejarea confidențialității în sectorul comunicațiilor electronice – Cookie‑uri – Noțiunea de consimțământ al persoanei vizate – Declarare a consimțământului prin intermediul unei căsuțe bifate în prealabil”
1. Apropierea legislațiilor – Sectorul telecomunicațiilor – Prelucrarea datelor cu caracter personal și protejarea confidențialității în sectorul comunicațiilor electronice – Directiva 2002/58 – Cookie‑uri – Consimțământul persoanei vizate – Noțiune – Declarare a consimțământului prin intermediul unei căsuțe bifate în prealabil – Excludere
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 4 punctul 11 și art. 6 alin. (1) lit. (a); Directiva 95/46 a Parlamentului European și a Consiliului, art. 2 lit. (h), și Directiva 2002/58 a Parlamentului European și a Consiliului, astfel cum a fost modificată prin Directiva 2009/136, art. 2 lit. (f) și art. 5 alin. (3)]
(a se vedea punctele 49-58, 60-63 și dispozitiv 1)
2. Apropierea legislațiilor – Sectorul telecomunicațiilor – Prelucrarea datelor cu caracter personal și protejarea confidențialității în sectorul comunicațiilor electronice – Directiva 2002/58 – Cookie‑uri – Consimțământul persoanei vizate – Noțiune – Informații stocate sau consultate care constituie sau nu date cu caracter personal – Lipsa incidenței
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 4 punctul 11 și art. 6 alin. (1) lit. (a); Directiva 95/46 a Parlamentului European și a Consiliului, art. 2 lit. (h), și Directiva 2002/58 a Parlamentului European și a Consiliului, astfel cum a fost modificată prin Directiva 2009/136, art. 2 lit. (f) și art. 5 alin. (3)]
(a se vedea punctele 68-71 și dispozitiv 2)
3. Apropierea legislațiilor – Sectorul telecomunicațiilor – Prelucrarea datelor cu caracter personal și protejarea confidențialității în sectorul comunicațiilor electronice – Directiva 2002/58 – Cookie‑uri – Informare clară și completă care trebuie oferită de furnizorul de servicii – Noțiune – Durata de funcționare a cookie‑urilor – Includere – Posibilitatea sau imposibilitatea ca terții să aibă acces la cookie‑uri – Includere
[Directiva 2002/58 a Parlamentului European și a Consiliului, astfel cum a fost modificată prin Directiva 2009/136, art. 5 alin. (3)]
(a se vedea punctele 74-81și dispozitiv 3)
Rezumat
Plasarea cookie‑urilor necesită consimțământul activ al utilizatorilor de internet
Prin Hotărârea din 1 octombrie 2019, Planet49 (C‑673/17), Curtea, întrunită în Marea Cameră, a statuat că consimțământul privind stocarea informațiilor sau dobândirea accesului la informații prin intermediul cookie‑urilor instalate pe echipamentul terminal al utilizatorului unui site internet nu este dat în mod valabil atunci când autorizarea rezultă dintr‑o căsuță bifată în prealabil, iar aceasta indiferent de faptul că informațiile în cauză constituie sau nu date cu caracter personal. În plus, Curtea a precizat că furnizorul de servicii trebuie să îi indice utilizatorului unui site internet durata de funcționare a cookie‑urilor, precum și posibilitatea sau imposibilitatea ca terții să aibă acces la aceste cookie‑uri.
Litigiul principal privea organizarea unui joc promoțional de către Planet49 pe site‑ul internet www.dein‑macbook.de. Pentru a participa, utilizatorii de internet trebuiau să comunice numele și adresa lor pe o pagină web pe care se găseau căsuțele bifate în prealabil. Căsuța care autoriza instalarea cookie‑urilor era bifată în prealabil. Sesizată cu un recurs de către Federația Germană a Asociațiilor de Consumatori, Bundesgerichtshof (Curtea Federală de Justiție, Germania) avea îndoieli cu privire la validitatea obținerii consimțământului utilizatorilor prin intermediul căsuței bifate în prealabil, precum și cu privire la întinderea obligației de informare care revine furnizorului de servicii.
Cererea de decizie preliminară privea în esență interpretarea noțiunii de consimțământ vizate de Directiva asupra confidențialității și comunicațiilor electronice(1) coroborată cu Directiva 95/46(2), precum și cu Regulamentul general privind protecția datelor(3).
În primul rând, Curtea a observat că articolul 2 litera (h) din Directiva 95/46, la care face trimitere articolul 2 litera (f) din Directiva asupra confidențialității și comunicațiilor electronice, definește consimțământul drept „orice manifestare de voință, liberă, specifică și informată prin care persoana vizată acceptă să fie prelucrate datele cu caracter personal care o privesc”. Aceasta a arătat că cerința unei „manifestări” de voință a persoanei vizate indică în mod clar un comportament activ, iar nu unul pasiv. Or, un consimțământ dat prin intermediul unei căsuțe bifate în prealabil nu presupune un comportament activ din partea utilizatorului unui site internet. În plus, geneza articolului 5 alineatul (3) din Directiva asupra confidențialității și comunicațiilor electronice, care prevede, începând cu modificarea sa prin Directiva 2009/136, că utilizatorul trebuie să își fi „dat acordul” pentru plasarea cookie‑urilor, urmărește să arate că consimțământul utilizatorului nu mai poate fi în prezent prezumat și trebuie să rezulte dintr‑un comportament activ al acestuia din urmă. În sfârșit, un consimțământ activ este în prezent prevăzut de Regulamentul general privind protecția datelor(4), al cărui articol 4 punctul 11 impune o manifestare de voință care ia, printre altele, forma unei „acțiuni fără echivoc” și al cărui considerent (32) exclude în mod expres ca „absența unui răspuns, căsuțele bifate în prealabil sau absența unei acțiuni” să constituie un consimțământ.
Prin urmare, Curtea a statuat că consimțământul nu este dat în mod valabil atunci când stocarea de informații sau dobândirea accesului la informațiile deja stocate în echipamentul terminal al utilizatorului unui site internet este autorizată prin intermediul unei căsuțe bifate în prealabil pe care acest utilizator trebuie să o debifeze în cazul în care refuză să își dea consimțământul. Ea a adăugat că faptul că un astfel de utilizator activează butonul de participare la jocul promoțional în cauză nu poate să fie suficient pentru a considera că acesta și‑a dat în mod valabil consimțământul pentru plasarea cookie‑urilor.
În al doilea rând, Curtea a constatat că articolul 5 alineatul (3) din Directiva asupra confidențialității și comunicațiilor electronice urmărește să protejeze utilizatorul de orice ingerință în viața sa privată, indiferent dacă această ingerință privește sau nu date cu caracter personal. Din aceasta rezultă că noțiunea de consimțământ nu trebuie să fie interpretată diferit în funcție de aspectul dacă informațiile stocate sau consultate în echipamentul terminal al utilizatorului unui site internet constituie sau nu date cu caracter personal.
În al treilea rând, Curtea a arătat că articolul 5 alineatul (3) din Directiva asupra confidențialității și comunicațiilor electronice impune ca utilizatorul să își fi dat acordul, după ce a primit informații clare și complete, în special cu privire la scopurile prelucrării. Or, o informare clară și completă presupune faptul că un utilizator este în măsură să stabilească cu ușurință consecințele consimțământului pe care l‑ar putea da și garantează că acest consimțământ este dat în deplină cunoștință de cauză. În această privință, Curtea a considerat că durata de funcționare a cookie‑urilor, precum și posibilitatea sau imposibilitatea ca terții să aibă acces la aceste cookie‑uri fac parte din informarea clară și completă care trebuie să fie oferită utilizatorului unui site internet de către furnizorul de servicii.