MACIEJ SZPUNAR
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2019. március 21.(1)
C‑673/17. sz. ügy
Planet49 GmbH
kontra
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
(a Bundesgerichtshof [szövetségi legfelsőbb bíróság, Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
„Előzetes döntéshozatal – 95/46/EK irányelv – 2002/58/EK irányelv – (EU) 2016/679 rendelet – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet tiszteletben tartása – Cookie‑k – Az érintett hozzájárulásának fogalma – Előre bejelölt jelölőnégyzet útján megadott hozzájáruló nyilatkozat”
I. Bevezetés
1. A Planet49 által szervezett nyereményjátékban való részvételhez az internethasználó két jelölőnégyzettel találta szemben magát, amelyeket be kellett jelölnie vagy a jelölést el kellett távolítania, mielőtt meg tudta volna nyomni a „részvételi gombot”. Az egyik jelölőnégyzetnél a felhasználónak el kellett fogadnia, hogy több vállalkozás promóciós ajánlatokkal keresi meg, míg a másik jelölőnégyzetnél a felhasználónak hozzá kellett járulnia, hogy számítógépére cookie‑k települjenek. Röviden ez a tényállása a Bundesgerichtshof (szövetségi legfelsőbb bíróság, Németország) által benyújtott jelen előzetes döntéshozatal iránti kérelemnek.
2. E látszólag ártalmatlan tényállás mögött az uniós adatvédelmi jog alapvető kérdései húzódnak meg: pontosan milyen követelmények vonatkoznak az önkéntesen megadandó, megfelelő tájékoztatáson alapuló hozzájárulásra? Van‑e különbség a (kizárólag) személyes adatok kezelése, illetve a cookie‑k telepítése és az azokhoz való hozzáférés között? Mely jogi normák vonatkoznak rájuk?
3. Jelen indítványban azt állítom, hogy a jelen ügyet illetően a hozzájárulás megadására ugyanazok a követelmények vonatkoznak a 95/46/EK irányelv(2) és az (EU) 2016/679 rendelet(3) alapján, valamint hogy a szóban forgó ügyben nincs különbség aközött, hogy a személyes adatok kezelésének általános kérdésével vagy az információ cookie‑kon keresztül történő tárolásának és az ahhoz való hozzáférésnek a konkrétabb kérdéséről van‑e szó.
II. Jogi háttér
A. Az uniós jog
1. A 95/46 irányelv
4. A 95/46 irányelv „Fogalommeghatározások” című 2. cikke értelmében:
„Ezen irányelv alkalmazásában:
[…]
h) »az érintett hozzájárulása« az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása [helyesen: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló kinyilvánítása], amellyel beleegyezését adja az őt érintő személyes adatok feldolgozásához [helyesen: kezeléséhez].”
5. A szóban forgó irányelvnek „Az adatfeldolgozás jogszerűvé tételére vonatkozó kritériumok [helyesen: Az adatkezelés jogszerűségének elvei]” címet viselő II. szakaszában a 7. cikk a) pontja a következőt írja elő:
„A tagállamok rendelkeznek arról, hogy a személyes adatok csak abban az esetben dolgozhatók fel [helyesen: kezelhetők], ha:
a) az érintett ahhoz egyértelmű hozzájárulását adta; vagy
[…]”
6. Ugyanezen irányelv 10. cikke, amely a „Tájékoztatás az érintettől való adatgyűjtés esetében” címet viseli, a következőket írja elő:
„A tagállamoknak rendelkezniük kell arról, hogy az adatkezelőnek vagy képviselőjének legalább az alábbiakról tájékoztatnia kell az érintettet, akitől a rá vonatkozó adatokat gyűjtik, kivéve ha az érintett már rendelkezik ezen információkkal:
a) az adatkezelő, vagy ha van ilyen, képviselőjének személye;
b) az adatfeldolgozás [helyesen: adatkezelés] célja, amelyre az adatokat szánják;
c) minden olyan további adat, mint például:
– az adatok címzettjei, illetve a címzettek kategóriái,
– hogy a kérdések megválaszolása kötelező vagy önkéntes, továbbá a válaszadás elmulasztásának lehetséges következményei,
– betekintési jog és az érintettre vonatkozó adatok helyesbítéséhez való jog,
amennyiben e további információk, tekintettel az adatgyűjtés sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás [helyesen: adatkezelés] biztosításához szükségesek.”
2. A 2002/58/EK irányelv(4)
7. A 2002/58/EK irányelv (24) és (25) preambulumbekezdésében a következők szerepelnek:(5)
„(24) Az elektronikus hírközlő hálózatok felhasználóinak végberendezései és az azokon tárolt minden adat a felhasználók magánszférájának részét képezi, amelynek az Emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény alapján védelmet kell élveznie. Az úgynevezett kémszoftverek, webpoloskák, rejtett azonosítók és egyéb hasonló eszközök a felhasználó tudta nélkül bejuthatnak a felhasználó végberendezésébe adatszerzés, rejtett adatok tárolása vagy a felhasználó tevékenységeinek nyomon követése céljából, és súlyosan sérthetik e felhasználóknak a magánélet tiszteletben tartásához való jogát. Az ilyen eszközök alkalmazását kizárólag törvényes célból, az érintett felhasználók tudtával lehet engedélyezni.
(25) Azonban az ilyen eszközök, például az azonosításra szolgáló kódsorozatok – az úgynevezett »cookie«‑k – törvényes és hasznos eszközök lehetnek például a honlaptervezés és a hirdetések hatékonyságának elemzése terén, valamint az online ügyletekben részt vevő felhasználók azonosítása terén. Amennyiben az ilyen eszközöket, például »cookie«‑kat törvényes célra – például az információs társadalommal összefüggő szolgáltatások nyújtásának megkönnyítésére – szánják, használatuk azzal a feltétellel engedélyezhető, hogy a felhasználók a 95/46[…] irányelvnek megfelelően a cookie‑k, illetve hasonló eszközök céljáról egyértelmű és pontos tájékoztatást kapnak, annak érdekében, hogy tudomásuk legyen az általuk használt végberendezésen elhelyezett adatokról. A felhasználók számára lehetőséget kell biztosítani arra, hogy megtagadják cookie‑k vagy hasonló eszközök végberendezésükön történő tárolását. Ez különösen fontos, ha az eredeti felhasználón kívül más felhasználók is hozzáférhetnek a végberendezéshez, és ezáltal bármely, a berendezésen tárolt magánjellegű adathoz is. A felhasználó végberendezésére telepítendő különféle eszközök használatára vonatkozó tájékoztatás és a megtagadás joga egy csatlakozás alkalmával egyszer ajánlható fel, és ez kiterjedhet az ilyen eszközök későbbi csatlakozások során történő használatára is. A tájékoztatás során, valamint a megtagadási jog felajánlása és a hozzájárulás kérése során alkalmazott módszereket a lehető leginkább felhasználóbaráttá kell tenni. Ennek ellenére, bizonyos honlaptartalmakhoz való hozzáférést valamely »cookie«‑nak vagy hasonló eszköznek a helyzet teljes ismeretében kinyilvánított elfogadásához lehet kötni, amennyiben az ilyen eszközt törvényes célból használják.”
8. Az említett irányelv „Fogalommeghatározások” című 2. cikke az f) pontjában a következőképpen rendelkezik:
„Eltérő rendelkezés hiányában, a 95/46 irányelvben, valamint az elektronikus hírközlő hálózatok és elektronikus hírközlési szolgáltatások közös keretszabályozásáról szóló, 2002. március 7‑i 2002/21/EK európai parlamenti és tanácsi irányelvben (»keretirányelv«)[(6)] szereplő fogalommeghatározásokat kell alkalmazni.
Szintén alkalmazni kell a következő fogalommeghatározásokat:
[…]
f) egy felhasználó vagy előfizető »hozzájárulása«: megegyezik az érintett hozzájárulásának a 95/46[…] irányelvben szereplő fogalmával;
[…]”
9. Ezen irányelv „A közlések titkossága” című 5. cikkének (3) bekezdése így rendelkezik:
„A tagállamok gondoskodnak arról, hogy egy előfizető vagy felhasználó végberendezésében történő adattárolás, illetve az ott tárolt adatokhoz való hozzáférés csak azzal a feltétellel legyen megengedett, ha az érintett előfizető vagy felhasználó a 95/46[…] irányelvvel összhangban történő – többek között az adatkezelés céljairól szóló – egyértelmű és teljes körű tájékoztatás alapján ehhez előzetes hozzájárulását adta. Ez a rendelkezés nem akadályozza az olyan műszaki tárolást, illetve műszaki hozzáférést, amelynek kizárólagos célja az elektronikus hírközlő hálózaton keresztül történő közléstovábbítás, vagy amelyre az előfizető vagy felhasználó által kifejezetten kért, az információs társadalommal összefüggő szolgáltatás nyújtásához a szolgáltatónak feltétlenül szüksége van.”
3. A 2009/136/EK irányelv(7)
10. A 2009/136/EK irányelv(8) (66) preambulumbekezdése a következőképpen szól:
„Számos okból, ami lehet jogszerű (pl. bizonyos típusú cookie‑k), de akár nemkívánatos betolakodás (pl. kémprogram vagy vírusok) céljából is előfordulhat, hogy harmadik felek információt kívánnak tárolni egy felhasználó berendezésén, illetve megpróbálnak hozzáférni az azon tárolt információhoz. Éppen ezért kiemelkedően fontos, hogy a felhasználók világos és átfogó információkkal rendelkezzenek, mielőtt olyan tevékenységekbe kezdenek, amelyek eredménye ilyen tárolás vagy hozzáférésszerzés lehet. A tájékoztatást és az elálláshoz való jogot a lehető legfelhasználóbarátabb módon kell biztosítani. Az e kötelezettség alóli kivételt arra az esetre kell korlátozni, amikor adott, az előfizető vagy felhasználó által kifejezetten kért szolgáltatás jogszerű igénybevételéhez feltétlenül szükséges a technikai tárolás vagy hozzáférés. A 95/46/EK irányelv vonatkozó rendelkezéseivel összhangban, amennyiben ez technikailag lehetséges, a felhasználó a böngésző vagy egyéb alkalmazás megfelelő beállításainak használatával is kifejezheti az adatkezeléshez való hozzájárulási szándékát. E követelmények betartatását a megfelelő nemzeti hatóságoknak történő megerősített hatáskörök megadásával kell hatékonyabbá tenni.”
4. A 2016/679 rendelet
11. A 2016/679 rendelet (32) preambulumbekezdése a következőképpen szól:
„Az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett –, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nemcselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni. Ha az érintett hozzájárulását elektronikus felkérést követően adja meg, a felkérésnek egyértelműnek és tömörnek kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét, amely vonatkozásában a hozzájárulást kérik.”
12. Ugyanezen rendelet „Fogalommeghatározások” című 4. cikkének 11. pontja ekként rendelkezik:
„E rendelet alkalmazásában:
[…]
11. »az érintett hozzájárulása«: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;
[…]”
13. Az említett rendeletnek „Az adatkezelés jogszerűsége” címet viselő 6. cikke a következőképpen rendelkezik:
„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
[…]”
14. A 2016/679 rendelet 7. cikke „A hozzájárulás feltételei” címet viseli. A 7. cikk (4) bekezdése értelmében „[a]nnak megállapítása során, hogy a hozzájárulás önkéntes‑e, a lehető legnagyobb mértékben figyelembe kell venni azt a tényt, egyebek mellett, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását is – feltételéül szabták‑e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek a szerződés teljesítéséhez”.
B. A német jog
1. A német polgári törvénykönyv
15. A Bürgerliches Gesetzbuch (német polgári törvénykönyv, a továbbiakban: BGB) 307. §‑a(9) a következőképpen rendelkezik:
„(1) Az általános szerződési feltételekben foglalt rendelkezések érvénytelenek, ha azok a feltételeket használó féllel szerződést kötő felet a jóhiszeműség és tisztesség követelményének megsértésével méltánytalanul hátrányos helyzetbe hozzák. A méltánytalanul hátrányos bánásmód abból is fakadhat, hogy a rendelkezés nem világos és érthető.
(2) Kétség esetén méltánytalanul hátrányos bánásmód feltételezendő, amennyiben valamely rendelkezés
1. nem egyeztethető össze azon törvényi szabályozásnak valamely lényeges alapgondolatával, amelytől eltér, vagy
2. a szerződés jellegéből fakadó lényeges jogokat vagy kötelezettségeket oly módon korlátoz, hogy a szerződés céljának elérését veszélyezteti.
(3) Az (1) és a (2) bekezdés, valamint a 308. és 309. § csak az általános szerződési feltételekben szereplő olyan rendelkezésekre vonatkozik, amelyek a jogszabályoktól eltérő vagy azokat kiegészítő szabályozást tartalmaznak. Más rendelkezések az (1) bekezdés első mondatával összefüggésben értelmezett második mondata alapján minősülhetnek érvénytelennek.”
2. A tisztességtelen verseny tilalmáról szóló törvény
16. A Gesetz gegen den unlauteren Wettbewerb (a tisztességtelen verseny tilalmáról szóló törvény; a továbbiakban: UWG) kimondja, hogy a jogellenes kereskedelmi gyakorlatok alkalmazása tilos. Az UWG 7. §‑ának (2) bekezdése kimondja, hogy „[a]z indokolatlan zavarást mindig feltételezni kell […] a telefonhívással történő reklámozás esetén, amelyet a fogyasztó felé annak előzetes kifejezett hozzájárulása nélkül, vagy bármely más piaci résztvevő számára legalább ez utóbbi feltételezett hozzájárulása nélkül kezdeményeztek”.
3. Az elektronikus médiáról szóló törvény
17. A Telemediengesetz (az elektronikus médiáról szóló törvény, a továbbiakban: TMG) 12. §‑ának (1) bekezdése a 95/46 irányelv 7. cikkének a) pontját ülteti át, és meghatározza azokat a feltételeket, amelyek mellett valamely szolgáltató az elektronikus média számára személyes adatokat gyűjthet és használhat fel. Az említett cikk értelmében valamely szolgáltató csak akkor gyűjthet és használhat fel személyes adatokat az elektronikus média számára, ha ezt a TMG vagy kifejezetten az elektronikus médiára vonatkozó más jogszabály lehetővé teszi, vagy a felhasználó ebbe beleegyezett.”
18. A TMG 12. §‑ának (3) bekezdése előírja, hogy a személyes adatokat szabályozó jogszabályt kell alkalmazni akkor is, ha az adatot nem kezelik automatizált módon.
19. A TMG 13. §‑ának (1) bekezdése előírja, hogy a szolgáltatónak a használati művelet kezdetén tájékoztatnia kell a felhasználót a személyes adatok kezelésének módjáról, terjedelméről és céljairól, valamint adatainak a 95/46 irányelv hatályán kívüli kezeléséről.
20. A TMG 15. §‑ának (1) bekezdése előírja, hogy a szolgáltató csak akkor gyűjthet és kezelhet személyes adatokat, ha ez az elektronikus média igénybevételéhez vagy a számlázáshoz szükséges (felhasználói adatok). A felhasználói adatok a meghatározás szerint többek között a felhasználó azonosítására szolgáló jellemzők.
21. A TMG 15. §‑ának (3) bekezdése a 2002/58 irányelv 5. cikkének (3) bekezdését ülteti át, és lehetővé teszi, hogy a szolgáltatás nyújtója hirdetés, piackutatás vagy az elektronikusmédia‑szolgáltatások igény szerinti kialakítása céljából álnevek alkalmazásával felhasználói profilokat hozzon létre, feltéve hogy a felhasználó az ellen nem tiltakozik, és a szolgáltató tájékoztatta őt a tiltakozási jogáról a TMG 13. §‑ának (1) bekezdése szerint.
4. A szövetségi adatvédelmi törvény
22. A Bundesdatenschutzgesetz (szövetségi adatvédelmi törvény, a továbbiakban: BDSG)(10) 3. §‑ának (1) bekezdése a 95/46 irányelv 2. cikkének a) pontját ülteti át, és úgy határozza meg a „személyes adat” fogalmát, mint valamely azonosított vagy azonosítható természetes személyre vonatkozó személyes vagy ténybeli körülményre vonatkozó adat.
23. A BDSG 4a. §‑a 95/46/EK irányelv 2. cikkének h) pontját ülteti át a nemzeti jogba, és előírja, hogy a hozzájárulás csak akkor érvényes, ha az érintettek szabad döntésének következménye.
III. A tényállás, az eljárás és az előzetes döntéshozatalra előterjesztett kérdések
24. 2013. szeptember 24‑én a Planet49 GmbH nyereményjátékot hirdetett a „www.dein‑macbook.de” internetes oldalon.(11) A nyereményjátékban való részvételhez az internethasználónak meg kellett adnia az irányítószámát, ami után a felhasználó nevének és lakóhelyének megadására szolgáló mezőket tartalmazó oldal nyílt meg. A lakcím megadására szolgáló mezők alatt két, egy‑egy jelölőnégyzettel ellátott szöveg volt olvasható. Ezekre a továbbiakban „első jelölőnégyzetként” és „második jelölőnégyzetként” hivatkozom. Az első szöveg, amelynek jelölőnégyzetét nem jelölték be előre, a következőképpen szólt:
„Hozzájárulok ahhoz, hogy egyes szponzorok és együttműködő partnerek postai úton, telefonon vagy e‑mailben/sms‑ben a mindenkori üzleti tevékenységükkel kapcsolatos ajánlatokról tájékoztassanak. Ezeket kiválaszthatom itt magam, egyéb esetben a kiválasztás a szervező által történik. A hozzájárulásomat bármikor visszavonhatom. További információk itt.”
25. A második szöveg, amely esetén a jelölőnégyzetet előre bejelölték, a következőképpen szólt:
„Hozzájárulok a Remintrex webanalízis‑szolgáltatás beállításához. Ennek következménye, hogy a nyereményjátékok szervezője, a Planet49 GmbH, a nyereményjátékra történő regisztrációt követően cookie‑kat hoz létre, amely a Planet49 számára lehetővé teszi a hirdetési partnerek internetes oldalaira vonatkozó internethasználati szokásaim kiértékelését, és ezáltal a Remintrex révén az érdeklődésemnek megfelelő hirdetéseket. A cookie‑kat bármikor ismét törölhetem. További információ itt.”
26. A nyereményjátékban való részvétel csak abban az esetben volt lehetséges, ha legalább az első négyzetet bejelölték.
27. Az első szövegben a „szponzorok és együttműködő partnerek” és az „itt” szavakhoz kapcsolt elektronikus hivatkozás egy olyan listához vezetett, amely 57 vállalkozást, azok címét, a hirdetni kívánt gazdasági tevékenységet és a reklámhoz használt kommunikációs módot (e‑mail, posta vagy telefon), valamint minden egyes vállalkozás után az aláhúzott „leiratkozás” szót tartalmazta. A lista előtt a következő tájékoztatás állt:
„A »Leiratkozás« linkre kattintva úgy döntök, hogy a megnevezett partner/szponzor részére nem közölhető a reklámtevékenységre vonatkozó beleegyezés. Amennyiben nem, vagy nem elegendő partner/szponzort választok ki, a Planet49 saját mérlegelése alapján jelöl ki számomra partnert/szponzort (legfeljebb 30 partnert/szponzort).”
28. A második szövegben az „itt” szóhoz kapcsolt elektronikus hivatkozás elérésével a következő információk jelentek meg:
„A ceng_cache, ceng_etag, ceng_png és gcr kiterjesztésű, beállított cookie‑k olyan kis méretű fájlok, amelyek az Ön által használt böngészőhöz hozzárendelve elmentésre kerülnek a merevlemezén, és amelyek révén olyan meghatározott információk szerezhetők be, amelyek felhasználóbarátabb és hatékonyabb hirdetést tesznek lehetővé. A cookie‑k egy meghatározott, véletlenszerűen generált számot (ID) tartalmaznak, amely egyidejűleg hozzárendelésre kerül a regisztráció során megadott adataihoz. Amennyiben ezt követően meglátogatja valamely, a Remintrexre regisztrált hirdetési partner weboldalát (arról, hogy a hirdetési partner rendelkezik‑e regisztrációval, a hirdetési partner adatvédelmi nyilatkozata alapján győződhet meg), a Remintrex által, a weboldalba beágyazott iFrames révén automatikusan érzékeli a program, hogy Ön (vagyis az elmentett ID‑vel rendelkező felhasználó) felkereste az oldalt, hogy mely termék iránt érdeklődött, és hogy történt‑e szerződéskötés.
A nyereményjátékra történő regisztráció során megadott, hirdetési tevékenységhez való hozzájárulás esetén a Planet49 GmbH továbbá reklámcélú e‑maileket küldhet Önnek, amelyek megfelelnek a hirdetési partnerek weboldalain mutatott érdeklődési körének. Természetesen a hirdetésekhez való hozzájárulás visszavonását követően a továbbiakban nem fog reklámcélú e‑maileket kapni.
A cookie‑k által hordozott információk kizárólag a hirdetési partner termékeinek bemutatását szolgáló hirdetésekhez kerülnek felhasználásra. Az információkat minden hirdetési partner számára elkülönítetten gyűjtik, rögzítik és használják fel. Több hirdetési partnert érintő felhasználói profilok semmilyen esetben sem hozhatók létre. Az egyes hirdetési partnerek személyes adatokhoz nem férnek hozzá.
Amennyiben a továbbiakban nem kívánja a cookie‑k felhasználását, úgy azokat bármikor törölheti a böngészőjében. Ezzel kapcsolatos útmutatót a böngészője információs menüpontjában talál.
A cookie‑kon keresztül mind programok telepítése, mind vírusok továbbítása kizárt.
Természetesen bármikor lehetséges e hozzájárulás visszavonása. A visszavonó nyilatkozatot eljuttathatja írásban a PLANET49 GmbH [cím] részére. Egyébként elegendő egy e‑mail küldése ügyfélszolgálatunkra [e‑mail‑cím].”
29. Az alapeljárás felperese a Gesetz über Unterlassungsklagen bei Verbraucherrechts‑ und anderen Verstößen (a fogyasztói és más jogok megsértése esetén benyújtható, abbahagyásra kötelezés iránti keresetekről szóló törvény, a továbbiakban: UklaG) szerinti minősített szervezetek listájába bejegyzett fogyasztóvédelmi szervezet, a Bundesverband der Verbraucherzentralen (német fogyasztóvédelmi szervezetek szövetsége, a továbbiakban: Bundesverband). A Bundesverband szerint a Planet49 által használt hozzájárulási nyilatkozat nem felelt meg a BGB 307. §‑ában, az UWG 7. §‑a (2) bekezdésének 2. pontjában, valamint a TMG 12. és azt követő §‑aiban foglalt követelményeknek. A peren kívüli felszólítás nem járt eredménnyel.
30. A Bundesverband eljárást indított a Landgericht Frankfurt am Main (Frankfurt am Main‑i regionális bíróság, Németország) előtt, annak érdekében, hogy a Planet49 hagyjon fel a fenti rendelkezések használatával,(12) és a bíróság kötelezze a vállalatot, hogy fizessen számára 214 euró 2014. március 15‑től számított kamataival növelt összegét.
31. A Landgericht Frankfurt am Main (Frankfurt am Main‑i regionális bíróság) egyes kereseti kérelemnek helyt adott, egyebekben a keresetet elutasította. Az Oberlandesgericht Frankfurt am Main (Frankfurt am Main‑i regionális felsőbíróság) előtti fellebbezést(13) követően a Bundesgerichtshof (szövetségi legfelsőbb bíróság) előtt felülvizsgálati eljárás(14) indult.
32. A Bundesgerichtshof (szövetségi legfelsőbb bíróság) úgy véli, hogy a felülvizsgálati kérelem eredményessége a 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 5. cikke (3) bekezdésének és 2. cikke f) pontjának, valamint az 2016/679 rendelet 6. cikke (1) bekezdése a) pontjának értelmezésétől függ, és előzetes döntéshozatal céljából a következő kérdéseket terjesztette a Bíróság elé:
„1) a) A 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 5. cikkének (3) bekezdése és 2. cikkének f) pontja értelmében vett érvényes hozzájárulásnak tekinthető‑e, ha a felhasználó a végberendezésében mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést előre bejelölt négyzettel engedélyezi, amelyet a felhasználónak a hozzájárulása megtagadásához törölnie kell?
b) A 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 5. cikke (3) bekezdésének és 2. cikke f) pontjának alkalmazása során jelentősége van‑e annak, hogy a tárolt vagy lehívott információk személyes adatoknak minősülnek?
c) A 2016/679 rendelet 6. cikke (1) bekezdésének a) pontja értelmében vett érvényes hozzájárulásról van‑e szó az 1. a) pontban szereplő, előzetes döntéshozatalra előterjesztett kérdésben megjelölt körülmények fennállása esetén?
2) Milyen információkat köteles a szolgáltató a felhasználóval közölni a 2002/58 irányelv 5. cikkének (3) bekezdésében kötelezően előírt egyértelmű és teljes körű tájékoztatás keretében? E körbe tartozik‑e a cookie‑k működésének időtartama, és az a kérdés is, hogy harmadik személyek hozzáférnek‑e a cookie‑khoz?”
33. Az előzetes döntéshozatalra utaló határozat 2017. november 30‑án érkezett a Bírósághoz. A Bírósághoz a Planet49, a Bundesverband, a portugál és az olasz kormány, valamint az Európai Bizottság nyújtott be írásbeli észrevételeket. A 2018. november 13‑án tartott tárgyaláson a Planet49, a Bundesverband, a német kormány, valamint a Bizottság vett részt.
IV. Értékelés
34. A Bundesgerichtshof (szövetségi legfelsőbb bíróság) által előzetes döntéshozatalra előterjesztett mindkét kérdés az információ tárolásához, valamint a felhasználó végberendezésén tárolt információhoz, vagyis cookie‑khoz való hozzáféréshez való hozzájárulás megadására vonatkozik, a 95/46 irányelvvel vagy a 2016/679 rendelettel együttesen értelmezett 2002/58 irányelv rendelkezéseinek konkrét összefüggésében.
35. Előzetes észrevételként érdemesnek tartom tényszerűen tisztázni a cookie‑k jelenségét és a kapcsolódó terminológiát, valamint jogilag pontosítani a szóban forgó ügyre alkalmazandó jogi normákat.
A. Előzetes megjegyzések
1. A cookie‑król
36. A cookie valamely weboldal által előállított és az internethasználó böngészője által elmentett információ gyűjtésére szolgáló eszköz.(15) Ez egy kis méretű, általában egy Kbyte‑nál kisebb adat‑ vagy szövegfájl, amelynek a felhasználó számítógépének merevlemezén vagy mobileszközén való tárolásához a weboldal engedélyt kér az internethasználó böngészőjétől.(16)
37. A cookie lehetővé teszi, hogy a weboldal „emlékezzen” az idők során a felhasználó műveleteire vagy preferenciáira. A legtöbb böngésző támogatja a cookie‑kat, azonban a felhasználók beállíthatják a böngészőjüket úgy, hogy az elutasítsa azokat. Ezenfelül bármikor törölhetik a cookie‑kat. Tulajdonképpen sok felhasználó úgy állítja be a cookie‑k kezelését, hogy a böngésző a böngésző ablakának bezárásával automatikusan törölje azokat. Ugyanakkor az empirikus bizonyíték túlnyomórészt azt mutatja, hogy az emberek ritkán változtatják meg az alapértelmezett beállításokat, amely jelenséget „default inertia” (alapértelmezett tehetetlenség) néven illetik.(17)
38. A weboldalak cookie‑kat használnak, hogy azonosítsák a felhasználókat, emlékezzenek egyéni preferenciáikra és lehetővé tegyék, hogy a felhasználók anélkül hajtsanak végre feladatokat, hogy ismételten meg kellene adniuk valamely információt, amikor egyik oldalról a másikra áttérve böngésznek vagy később újra meglátogatják az oldalt.
39. A cookie‑k online viselkedésalapú célzott reklámozás és marketing célú információgyűjtésre is használhatók.(18) A vállalatok például szoftvert használnak a felhasználói viselkedés nyomon követésére és személyes profilalkotásra, amely lehetővé teszi, hogy a felhasználóknak a korábbi kereséseik alapján releváns hirdetéseket mutassanak.(19)
40. Különböző fajta cookie‑k léteznek, némelyiküket a cookie élettartama alapján osztályozzák (például ideiglenes vagy munkamenet cookie‑k és állandó cookie‑k), némelyikük pedig azon domainen alapul, amelyhez a cookie tartozik (például belső vagy külső cookie‑k).(20) Amikor a honlapot szolgáltató webszerver cookie‑kat tárol a felhasználó számítógépén vagy mobileszközén, ezt „http fejléc” cookie‑knak nevezzük.(21) A cookie‑k tárolásának másik módja az adott oldalon szereplő vagy ott hivatkozott JavaScript kódon keresztül történik.(22) Azt azonban, hogy a cookie‑k elhelyezéséhez való hozzájárulás érvényes‑e és alkalmazható‑e valamely releváns mentesség, a cookie‑k célja, nem pedig műszaki jellemzőik alapján kell értékelni.(23)
2. Az alkalmazandó jogszabályokról
41. Az alapeljárásra alkalmazandó jogszabályi keret az évek során alakult, míg a közelmúltban elvezetett a 2016/679 rendelet hatálybalépéséhez.
42. A szóban forgó ügyre két uniós jogszabálycsoport alkalmazandó. Egyrészt a 95/46 irányelv és a 2016/679 rendelet. Másrészt a 2009/136 irányelvvel módosított 2002/58 irányelv.(24)
43. E két jogszabálycsoport tekintetében két észrevételt szeretnék tenni.
44. Az első észrevétel a 95/46 irányelv és a 2016/679 rendelet alkalmazhatóságára vonatkozik.
45. A 2016/679 rendelet, amely 2018. május 25. óta alkalmazandó,(25) ugyanezen időponttal kezdődően hatályon kívül helyezte a 95/46 irányelvet.(26)
46. Ez a 2018. május 25‑i időpont későbbi, mint a kérdést előterjesztő bíróság legutóbbi, 2017. július 14‑i tárgyalása, sőt a 2017. október 5‑i időpontnál is, amikor is jelen ügyet előzetes döntéshozatal iránti kérelem céljából a Bíróság elé terjesztették.
47. Következésképpen a 2018. május 25. előtti helyzetekre a 95/46 irányelvvel együttesen alkalmazott 2002/58 irányelv alkalmazandó, míg a 2018. május 25‑i és azt követő helyzetekre a 2016/679 rendelettel együttesen alkalmazott 2002/58 irányelv.
48. Amennyiben a Bundesverband a kért abbahagyásra kötelezéssel(27) azt kívánja elérni, hogy a Planet49 magatartásával a jövőre nézve felhagyjon, a jelen ügyben a 2016/679 rendelet alkalmazandó. A jövőre vonatkozó abbahagyásra kötelezésről szóló határozatában a Bundesgerichtshofnak (szövetségi legfelsőbb bíróság) ezért a 2016/679 rendelet követelményeit kell figyelembe vennie. Ezzel összefüggésben a német kormány az abbahagyásra kötelezés iránti keresetek időpontjában fennálló releváns jogi helyzetre vonatkozó állandó ítélkezési gyakorlatra hívja fel a figyelmet.(28)
49. Következésképpen az előzetes döntéshozatalra előterjesztett kérdés megválaszolása során a 95/46 irányelvet és a 2016/679 rendeletet is figyelembe kell venni.(29)
50. Ezenfelül meg kell jegyezni, hogy a 2002/58 irányelvben szereplő, a 95/46 irányelvre történő hivatkozást a 2016/679 rendeletre történő hivatkozásként kell értelmezni.(30)
51. A második észrevétel a 2002/58 irányelv 5. cikke (3) bekezdésének fejlődésére utal.
52. 2002/58 irányelv célja az Európai Unió Alapjogi Chartájában, és különönsen a 7. és 8. cikkében megállapított jogok teljes tiszteletben tartásának biztosítása.(31) Ezen irányelv 5. cikke „a közlések titkosságának” biztosítására irányul. Különösen az 5. cikk (3) bekezdése szabályozza a cookie‑k használatát, és meghatározza azokat a követelményeket, amelyeknek teljesülniük kell, mielőtt valamely felhasználó számítógépén cookie‑k telepítésével adatot lehetne tárolni vagy adatokhoz lehetne hozzáférni.
53. A 2009/136 irányelv a felhasználók védelmének fokozása érdekében jelentősen módosította a 2002/58 irányelv 5. cikkének (3) bekezdése szerinti hozzájárulási követelményeket. Az említett irányelv módosító rendelkezései előtt az 5. cikk (3) bekezdése csupán azt írta elő, hogy a felhasználók számára a cookie‑kon keresztül történő adatkezelésnek a megfelelő tájékoztatáson alapuló utólagos letiltási (opt‑out) lehetőségét kell biztosítani. Más szavakkal, az 5. cikk (3) bekezdésének eredeti megfogalmazása szerint a szolgáltatás nyújtója köteles a felhasználót az információknak a felhasználó végberendezésén történő tárolása vagy az ott tárolt információkhoz való hozzáférés esetén világosan és mindenre kiterjedően, így különösen az adatkezelés céljáról tájékoztatni, és köteles azon jogáról is kioktatni, amely az adatkezelés megtagadására vonatkozik.
54. A 2009/136 irányelv a megtagadáshoz való jogra vonatkozó fenti követelmény helyébe azt a követelményt írta elő, hogy „az érintett előfizető vagy felhasználó […] ehhez előzetes hozzájárulását adta”, ami azt jelenti, hogy a könnyebben teljesíthető „opt‑out” rendszert egy megfelelő tájékoztatáson alapuló „opt‑in” rendszerrel váltotta fel. Egy nagyon korlátozott körű és a jelen ügyre nem alkalmazandó kivételtől eltekintve(32) a 2002/58 irányelv felülvizsgált 5. cikkének (3) bekezdése szerint a cookie‑k használata kizárólag akkor megengedett, ha a felhasználót a 95/46 irányelvvel összhangban világosan és mindenre kiterjedően tájékoztatták arról, hogy miért követik az adatait, vagyis az adatkezelés céljáról.(33)
55. Amint az alább részletesen is látható lesz, a jogvita központi kérdése a 2002/58 irányelv 5. cikkének (3) bekezdése szerinti tájékoztatási követelmény hatálya, különösen az online tevékenységek alapértelmezett beállításaival összefüggésben.
B. Az első kérdés
56. Első kérdésének a) pontjában a kérdést előterjesztő bíróság azt kérdezi, hogy a 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 5. cikkének (3) bekezdése és 2. cikkének f) pontja értelmében vett érvényes hozzájárulásnak tekinthető‑e, ha a felhasználó a végberendezésében mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést előre bejelölt négyzettel engedélyezi, amelyet a felhasználónak a hozzájárulása megtagadásához törölnie kell. Ezzel összefüggésben a kérdést előterjesztő bíróság azt szeretné megtudni, hogy van‑e jelentősége annak, hogy a tárolt vagy lehívott információk személyes adatoknak minősülnek‑e (az első kérdés b) pontja). Végezetül, a kérdést előterjesztő bíróság aziránt is érdeklődik, hogy a 2016/679 rendelet 6. cikke (1) bekezdésének a) pontja értelmében vett érvényes hozzájárulásról van‑e szó fenti körülmények fennállása esetén? (az első kérdés c) pontja).
1. Az önkéntes és megfelelő tájékoztatáson alapuló hozzájárulás
57. Az uniós adatvédelmi jog egyik alapvető eleme a hozzájárulás.
58. Mielőtt rátérnék a cookie‑k konkrét kérdésére, szeretném meghatározni azokat az általános elveket, amelyek a hozzájárulás megadására alkalmazandó jogszabályokból erednek.
a) 95/46 irányelv alapján
1) Aktív hozzájárulás
59. A 95/46 irányelv rendelkezéseiből arra következtetek, hogy a hozzájárulásnak aktív módon kell megnyilvánulnia.(34)
60. A 95/46 irányelv 2. cikkének h) pontja az érintett akaratának kinyilvánítást említ, amely egyértelműen aktív, és nem pedig passzív magatartásra utal. Emellett a 95/46 irányelv 7. cikkének a) pontja, amely a (személyes)adat‑kezelés jogszerűvé tételének elveivel foglalkozik, meghatározza, hogy az érintettnek ahhoz egyértelmű hozzájárulását kellett adnia. Megint csak, a bizonytalanságot csak aktív magatartással lehet kiküszöbölni, passzívval nem.
61. Ebből arra következtetek, hogy e tekintetben nem elég, ha a felhasználó hozzájárulása előre meg van fogalmazva, és ha a felhasználónak aktívan el kell utasítania, ha nem ért egyet az adatkezeléssel.
62. Tulajdonképpen ez utóbbi esetben nem lehet tudni, hogy az ilyen előre megfogalmazott szöveget a felhasználó elolvasta és megértette‑e. A helyzet nem egyértelmű. A felhasználó vagy elolvasta a szöveget, vagy nem. Lehet, hogy pusztán nemtörődömségből elmulasztotta. Ilyen esetben nem lehet megállapítani, hogy a hozzájárulás önkéntesen lett‑e megadva.
2) Külön hozzájárulás
63. Az aktív hozzájárulás követelményéhez szorosan kapcsolódik a külön hozzájárulás követelménye.(35)
64. A Planet49‑hez hasonlóan lehet azzal érvelni, hogy az érintett érvényes hozzájárulását nem akkor adja meg, amikor nem távolítja el a kijelölést egy előre megfogalmazott hozzájáruló nyilatkozatból, hanem amikor aktívan „rákattint” az online nyereményjáték részvételi gombjára.
65. Nem fogadom el ezt az értelmezést.
66. Ahhoz, hogy a hozzájárulás „önkéntes” és „megfelelő tájékoztatáson alapuló” legyen, nemcsak aktívnak kell lennie, de külön kell megtörténnie. A felhasználó által az interneten végzett tevékenység (egy weboldal elolvasása, nyereményjátékban való részvétel, videó megtekintése stb.) és a hozzájárulás megadása nem képezheti ugyanazon aktus részét. Különösen, a felhasználó szempontjából a hozzájárulás megadása nem jelenhet úgy meg, mint ha a nyereményjátékban való részvételhez képest járulékos jellegű lenne. Mindkét tevékenységet, különösen kívülről tekintve, egyformán kell megjeleníteni. Következésképpen véleményem szerint kétséges, hogy a kapcsolt szándéknyilvánítás, amelybe beletartozhat a hozzájárulás megadása, megfelelne a 95/46 irányelv szerinti hozzájárulás fogalmának.
3) Teljes körű tájékoztatási kötelezettség
67. Ezzel összefüggésben teljesen egyértelművé kell tenni a felhasználó számára, hogy az általa végzett internetes tevékenység a hozzájárulás megadásának függvénye. A felhasználónak olyan helyzetben kell lennie, hogy értékelni tudja, milyen mértékben hajlandó megadni adatait annak érdekében, hogy az interneten tevékenységét folytassa. Nincs helye semmiféle kétértelműségnek.(36) A felhasználónak tudnia kell, hogy a hozzájárulás megadása befolyásolja‑e, és ha igen, milyen mértékben, az interneten végzett tevékenységét.
b) A 2016/679 rendelet
68. A fent megállapított alapelvek a 2016/679 rendeletre egyaránt érvényesek.
69. A 2016/679 rendelet 4. cikkének 11. pontja az érintett hozzájárulását úgy határozza meg, mint az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.
70. Megjegyzendő, hogy ez a fogalommeghatározás annyiban szigorúbb, mint a 95/46 irányelv 2. cikkének h) pontjában szereplő meghatározás, hogy az érintett akaratának egyértelmű kinyilvánítását és a személyes adatok kezelésébe való beleegyezést félreérthetetlenül kifejező cselekedetet ír elő.
71. Ezenfelül a 2016/679 rendelet preambuluma különösen tanulságos. Mivel e preambulumra nagymértékben hivatkozom,(37) úgy érzem, kénytelen vagyok emlékeztetni rá, hogy nyilvánvalóan nem bír önálló jogi értékkel,(38) azonban a Bíróság gyakran hivatkozik rá valamely uniós jogi aktus rendelkezéseinek értelmezése során. Az uniós jogrendben a preambulum leíró, és nem előíró jellegű. Jogi kötőerejének kérdése ugyanis általában nem merül fel, egyszerűen azért, mert a preambulumbekezdéseket jellemzően tükrözik az irányelvek jogi rendelkezései. Az Unió politikai intézményeinek helyes jogalkotási gyakorlata ugyanis olyan helyzet elérésére törekszik, amelyben a preambulum a jogi szöveg ténybeli hátterét biztosítja.(39)
72. A 2016/679 rendelet (32) preambulumbekezdése értelmében az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett –, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nemcselekvés ezért nem minősül hozzájárulásnak.
73. Ezért az aktív hozzájárulást jelenleg kifejezetten előírja a 2016/679 rendelet.
74. Ezenfelül az említett rendelet (43) preambulumbekezdése kimondja, hogy annak biztosítása érdekében, hogy a hozzájárulást önkéntesen adták, a hozzájárulás olyan egyedi esetekben nem szolgálhat érvényes jogalapként a személyes adatok kezeléséhez, amelyekben az érintett és az adatkezelő között egyértelműen egyenlőtlen viszony áll fenn, különösen ha az adatkezelő közhatalmi szerv, és az adott helyzet valamennyi körülményét figyelembe véve ezért valószínűtlen, hogy a szóban forgó hozzájárulás megadása önkéntesen történt. A hozzájárulás nem tekinthető önkéntesnek, ha nem tesz lehetővé külön‑külön hozzájárulást a különböző személyes adatkezelési műveletekhez, noha az adott esetben megfelelő, illetve ha egy – például szolgáltatási – szerződés teljesítését a hozzájárulástól teszik függővé, annak ellenére, hogy a hozzájárulás nem szükséges a szerződés teljesítéséhez.
75. Ezért a külön hozzájárulás szükségességét ez a preambulumbekezdés jelenleg kifejezetten hangsúlyozza.
c) A 2002/58 irányelv alapján – a cookie‑k esete
76. A 2002/58 irányelv 5. cikkének (3) bekezdése értelmében a tagállamok gondoskodnak arról, hogy egy előfizető vagy felhasználó végberendezésében történő adattárolás, illetve az ott tárolt adatokhoz való hozzáférés csak azzal a feltétellel legyen megengedett, ha az érintett előfizető vagy felhasználó a 95/46 irányelvvel összhangban történő – többek között az adatkezelés céljairól szóló – egyértelmű és teljes körű tájékoztatás alapján ehhez előzetes hozzájárulását adta.
77. Ez a rendelkezés nem állapít meg további kritériumot a hozzájárulás fogalmát illetően.
78. Ugyanakkor a 2002/58 irányelv és a 2009/136 irányelv preambuluma iránymutatást ad a cookie‑k vonatkozásában a hozzájárulásról.
79. Így a 2002/58 irányelv (17) preambulumbekezdése szerint a hozzájárulás bármely olyan megfelelő módon adható, amely lehetővé teszi a felhasználó szándékainak önkéntes, konkrét és a megfelelő információk birtokában történő kifejezését, ideértve valamely internetes honlap látogatása során egy rovat bejelölését.(40)
80. Ezenfelül a 2009/136 irányelv (66) preambulumbekezdése kifejti, hogy kiemelkedően fontos, hogy a felhasználók világos és átfogó információkkal rendelkezzenek, mielőtt olyan tevékenységekbe kezdenek, amelyek eredménye, hogy egy felhasználó berendezésén információt tárolnak, illetve megpróbálnak hozzáférni az azon tárolt információhoz, valamint hogy a tájékoztatást és az elálláshoz való jogot a lehető legfelhasználóbarátabb módon kell biztosítani.
81. Ezzel összefüggésben szeretném felhívni a figyelmet a 29. cikk alapján létrehozott adatvédelmi munkacsoport (a továbbiakban: 29. cikk szerinti munkacsoport)(41) nem kötelező, azonban hasznos munkájára, amelynek értelmében a hozzájárulás előzetes megerősítő cselekvést jelent a felhasználók részéről annak elfogadására, hogy a cookie tárolható és a cookie felhasználható.(42) Ugyanez a munkacsoport azt állítja, hogy a „kinyilvánítás” fogalma magában foglalja a cselekvés szükségességét.(43) Ezt az értelmezést támasztják alá a hozzájárulás fogalommeghatározásának egyéb elemei, valamint 95/46 irányelv 7. cikkének a) pontjában meghatározott azon követelmény, miszerint a hozzájárulásnak egyértelműnek kell lennie.(44) Az a követelmény, hogy az érintettnek „ki kell fejeznie” a hozzájárulását, arra utal, hogy egy cselekvés egyszerű elmulasztása nem elég, és hogy bizonyos fajta cselekvés mindenképpen szükséges a hozzájáruláshoz, bár ezek esetenként lehetnek különféle cselekvések.(45)
2. A jelen esetre történő alkalmazás
82. Most pedig szeretném ezeket a kritériumokat a szóban forgó ügyre alkalmazni. Ennek során először is az első kérdés a) és c) pontjával foglalkozom, vagyis azzal a kérdéssel, hogy a cookie‑k telepítésére és az azokhoz történő hozzáférésre vonatkozóan volt‑e érvényes hozzájárulás. Ez a második jelölőnégyzetre vonatkozik.
83. Ezenfelül, tekintettel arra, hogy – amint azt az imént megállapítottam – a hozzájárulás követelménye nem tér el jelentősen a cookie‑k és általánosabban a személyes adatok kezelésének vonatkozásában, a teljesség és az egyértelműség kedvéért, annak ellenére, hogy a kérdést előterjesztő bíróság nem tesz fel kifejezetten kérdést erre vonatkozóan, az uniós jog helyes és egységes alkalmazása érdekében szükségesnek tartom, hogy röviden elemezzem, hogy az első jelölőnégyzet vonatkozásában a személyes adatok kezelését illetően volt‑e érvényes hozzájárulás. Értelmezésem szerint a Bundesgerichtshofnak (szövetségi legfelsőbb bíróság) az előtte lévő eljárásban az első jelölőnégyzetre vonatkozóan is ítéletet kell hoznia.(46)
a) A második jelölőnégyzet – Az első kérdés a) és b) pontja
84. A kérdést előterjesztő bíróság azt kérdezi, hogy a 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 5. cikkének (3) bekezdése és 2. cikkének f) pontja értelmében vett érvényes hozzájárulásnak tekinthető‑e, ha a felhasználó a végberendezésében mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést előre bejelölt négyzettel engedélyezi, amelyet a felhasználónak a hozzájárulása megtagadásához törölnie kell.
85. A 95/46 irányelv 2. cikk h) pontjának és a 2016/679 rendelet 4. cikkének 11. pontjának kritikus fogalmai az „önkéntes” és a „megfelelő tájékoztatáson alapuló”. Felmerül a kérdés, hogy a kérdést előterjesztő bíróság által leírt helyzetben a hozzájárulást meg lehet‑e adni önkéntesen és megfelelő tájékoztatás alapján.
86. A Planet49 szerint igen. A többi fél(47) ezzel nem ért egyet. Ezzel összefüggésben a felek közötti jogvita középpontjában elsősorban az állt, hogy egy már előre bejelölt négyzet bejelölése vagy a jelölés eltávolítása megfelel‑e ezen követelményeknek. A vita az aktivitás és passzivitás kérdése körül forog. Ugyanakkor ez a vonatkozás, akármilyen fontos is, a követelmények csupán egy részét jelentik. Csupán az aktív hozzájárulás követelményére vonatkozik ugyanis, a külön hozzájárulás követelményével nem foglalkozik.
87. Véleményem szerint a fent megállapított kritériumok alapján a válasz az, hogy a szóban forgó esetben nincs érvényes hozzájárulás.
88. Először is az, hogy a felhasználónak tevőlegesen el kell távolítania a jelölést egy négyzetből, és így akkor kell aktívnak lennie, ha nem járul hozzá a cookie‑k telepítéséhez, nem felel meg az aktív hozzájárulás követelményének. Ilyen helyzetben gyakorlatilag lehetetlen objektív módon megállapítani, hogy a felhasználó önkéntesen és megfelelő tájékoztatás alapján adta‑e meg a hozzájárulását. Ezzel szemben, ha a felhasználónak be kell jelölnie a négyzetet, a fenti állítás sokkal valószínűbb.
89. Másodszor, és ami még fontosabb, nem képezheti ugyanazon aktus részét az online szerencsejátékban való részvétel és a cookie‑k telepítéséhez való hozzájárulás megadása. Jelen ügyben azonban éppen erről van szó. Végsősoron a felhasználó csupán egyetlen kattintást hajt végre a részvételi gombon ahhoz, hogy a nyereményjátékban részt vegyen. Ezzel egyidejűleg hozzájárul a cookie‑k telepítéséhez. Egyidejűleg két szándéknyilvánítás történik (a nyereményjátékban való részvétel és a cookie‑k telepítéséhez való hozzájárulás). E két szándéknyilvánítás nem függhet egyszerre ugyanazon részvételi gombtól. Valójában a jelen ügyben a cookie‑khoz való hozzájárulás járulékosnak tűnik, abban az értelemben, hogy nem egyértelmű, hogy egy külön aktus részét képezi. Más szóval a cookie‑król szóló jelölőnégyzet bejelölése vagy a bejelölés eltávolítása a végső és jogilag kötelező aktus, vagyis a részvételi gomb „megnyomása” előkészítő aktusának tűnik.
90. Ilyen helyzetben a felhasználó nincs abban a helyzetben, hogy a végberendezésében mentett információk tárolásához vagy az ott tárolt információkhoz történő hozzáféréshez való külön hozzájárulását önkéntesen tegye meg.
91. Ezenfelül fent már megállapítottam, hogy a nyereményjátékban való részvétel csak abban az esetben volt lehetséges, ha legalább az első szöveg előtti négyzetet bejelölték. Következésképpen a nyereményjátékban való részvétel nem függött(48) a cookie‑k telepítéséhez és az azokhoz történő hozzáféréshez való hozzájárulástól. Ugyanis a felhasználó akár (kizárólag) az első jelölőnégyzetet is bejelölhette.
92. Azonban legjobb tudomásom szerint a felhasználót erről sehol nem tájékoztatták. Ez nem felel meg a felhasználó teljes körű tájékoztatására vonatkozóan fent megállapított követelményeknek.
93. Összefoglalva, az első kérdés a) és c) pontjára azt a választ javaslom, hogy nem tekinthető a 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 5. cikkének (3) bekezdése és 2. cikkének f) pontja szerinti érvényes hozzájárulásnak az alapeljárásban szereplőhöz hasonló helyzetben, amennyiben a felhasználó a végberendezésen mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést előre bejelölt négyzettel engedélyezi, amelyet a felhasználónak a hozzájárulása megtagadásához el kell távolítani, és amennyiben a hozzájárulást nem külön adják meg, hanem az online nyereményjátékban való részvétel megerősítésével egyidejűleg. Ugyanez érvényes a 2002/58 irányelv 5. cikke (3) bekezdésének és 2. cikke f) pontjának a 2016/679 rendelet 4. cikkének 11. pontjával összefüggésben történő értelmezésére.
b) Az első jelölőnégyzet
94. Bár a kérdést előterjesztő bíróság kérdései kizárólag a második jelölőnégyzetre vonatkoznak, két konkrét észrevételt szeretnék tenni az első jelölőnégyzetre vonatkozóan, amelyek segíthetik a kérdést előterjesztő bíróságot végleges határozatának meghozatalában.
95. Emlékeztetek rá, hogy az első jelölőnégyzet nem foglalkozik a cookie‑kkal, csupán a személyes adatok kezelésével. Itt a felhasználó nem ahhoz járul hozzá, hogy végberendezésén információkat tárolnak, hanem (csupán) ahhoz, hogy számos cég postai vagy telefonos úton, illetve e‑mailen keresztül megkeresse.
96. Először is, az aktív és külön hozzájárulás, valamint a teljes körű tájékoztatás követelménye nyilvánvalóan alkalmazandó az első jelölőnégyzetre is. Az aktív hozzájárulás nem jelent problémát, mivel a jelölőnégyzet nincs előre bejelölve. Ezzel szemben a külön hozzájárulással kapcsolatban vannak kétségeim. A fenti elemzés alapján(49) a jelen ügy tényállását illetően jobb lenne, ha a személyes adatok kezeléséhez való hozzájárulás érdekében – jelképesen szólva – lenne egy külön kattintható gomb,(50) nem csak egy bejelölendő négyzet.
97. Másrészt, a szponzorok és együttműködő partnerek általi megkeresésre vonatkozó első jelölőnégyzetet illetően figyelembe kell venni a 2016/679 rendelet 7. cikkének (4) bekezdését. E rendelkezés értelmében annak megállapítása során, hogy a hozzájárulás önkéntes‑e, a lehető legnagyobb mértékben figyelembe kell venni azt, egyebek mellett, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását is – feltételéül szabták‑e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek a szerződés teljesítéséhez. A 2016/679 rendelet 7. cikkének (4) bekezdése tehát kodifikálja a „kapcsolt hozzájárulás tilalmát”.(51)
98. Amint az „a lehető legnagyobb mértékben figyelembe kell venni” fordulatból kiderül, a kapcsolt hozzájárulás tilalma nem abszolút jellegű.(52)
99. Itt a hatáskörrel rendelkező bíróságnak kell értékelnie, hogy a személyes adatok kezeléséhez való hozzájárulás szükséges‑e a nyereményjátékban való részvételhez. E tekintetben szem előtt kell tartani, hogy a nyereményjátékban való részvétel mögött meghúzódó cél a személyes adatok „értékesítése” (vagyis a résztvevő beleegyezése abba, hogy az úgynevezett „szponzorok” promóciós ajánlatokkal megkeressék). Más szavakkal, a személyes adatok megadása jelenti a fő kötelezettséget a felhasználó részéről a nyereményjátékban való részvétel során. Ilyen esetben számomra úgy tűnik, hogy a személyes adatok kezeléséhez való hozzájárulás szükséges a nyereményjátékban való részvételhez.(53)
3. A személyes adatokról (az első kérdés b) pontja)
100. Most pedig szeretném megvizsgálni, hogy a 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 5. cikke (3) bekezdésének és 2. cikke f) pontjának alkalmazása során jelentősége van‑e annak, hogy a tárolt vagy lehívott információk személyes adatoknak minősülnek‑e.
101. Ezt a kérdést leginkább a 2002/58 irányelv 5. cikkének (3) bekezdését átültető német jogszabály alapján lehet értelmezni.(54) A német jog ugyanis különbséget tesz a személyes adatok és más adatok gyűjtése és felhasználása között.
102. A TMG 12. §‑ának (1) bekezdése értelmében a szolgáltató – többek között – csak akkor gyűjthet és használhat fel személyes adatokat, ha a felhasználó ebbe beleegyezett.
103. Ezzel szemben a TMG 15. §‑ának (3) bekezdése értelmében a szolgáltató többek között hirdetés vagy piackutatás céljából álnevek alkalmazásával felhasználói profilokat hozhat létre, feltéve hogy a felhasználó ezt nem zárja ki. Vagyis amíg nem személyes adatokról van szó, a követelmény a német jog szerint kevésbé szigorú: nem hozzájárulás, csupán az ellentmondás hiánya szükséges.
104. A személyes adatot a 2016/679 rendelet 4. cikkének 1. pontja jogilag úgy határozza meg, hogy „azonosított vagy azonosítható természetes személyre (»érintett«) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható”.
105. Úgy vélem, hogy a szóban forgó ügyben a 2002/58 irányelv 5. cikkének (3) bekezdésében említett „információ” „személyes adatnak” minősül. Úgy tűnik, ez a véleménye a kérdést előterjesztő bíróságnak is, amely az előzetes döntéshozatalra utaló végzésében kifejezetten azt állítja, hogy az alperes által használt cookie‑kból történő adatlehívás megköveteli a TMG 12. §‑ának (1) bekezdése szerinti hozzájárulást, mivel ebben az esetben személyes adatokról van szó.(55) Ezenfelül úgy tűnik, az alapeljárásban részt vevő felek között abban nincs vita, hogy itt személyes adatokról van szó.
106. Ezért felmerülhet a kérdés, hogy ez a kérdés releváns‑e a szóban forgó ügyre, valamint hogy a kérdés nem hipotetikus‑e.(56)
107. Akárhogy is van, véleményem szerint az e kérdésre adandó válasz meglehetősen egyértelmű: nincs jelentősége annak, hogy a tárolt vagy lehívott információ személyes adatnak minősül‑e. A 2002/58 irányelv 5. cikkének (3) bekezdése „információk tárolására vagy az ott tárolt információkhoz való hozzáférésre” utal.(57) Egyértelmű, hogy minden ilyen információnak van egy magánéleti vonatkozása, függetlenül attól, hogy a 2016/679 rendelet 4. cikkének 1. pontja alapján „személyes adatnak” minősül‑e. Amint a Bizottság helyesen hangsúlyozza, a 2002/58 irányelv 5. cikke (3) bekezdésének célja, hogy a felhasználót a magánszférájába való beavatkozástól megvédje, függetlenül attól, hogy az ilyen beavatkozás során személyes adatokról vagy más adatokról van‑e szó.
108. A 2002/58 irányelv 5. cikke (3) bekezdésének ilyen értelmezését ugyanezen irányelv (24)(58) és (25)(59) preambulumbekezdése, és a 29. cikk szerinti munkacsoport véleményei is megerősítik. Tulajdonképpen az említett munkacsoport szerint „az 5. cikk (3) bekezdése (tárolt és/vagy hozzáférhető) »információra« vonatkozik, ám még nem minősíti az ilyen információt. E rendelkezés alkalmazásának nem előfeltétele az, hogy ez az információ a 95/46 irányelv értelmében vett személyes adat legyen”.(60)
109. Következésképpen valóban úgy tűnik, hogy a TMG 15. §‑ának (3) bekezdése nem teljesen ülteti át a német jogba a 2002/58 irányelv 5. cikkének (3) bekezdésében szereplő követelményeket.(61)
110. Ezért az első kérdés b) pontjára azt a választ javaslom, hogy a 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 5. cikke (3) bekezdésének és 2. cikke f) pontjának alkalmazása során nincs jelentősége annak, hogy a tárolt vagy lehívott információ személyes adatnak minősül‑e.
C. A második kérdés
111. A második kérdéssel a kérdést előterjesztő bíróság azt szeretné megtudni, hogy milyen információkat köteles közölni a szolgáltató a felhasználóval a 2002/58 irányelv 5. cikkének (3) bekezdése értelmében közlendő egyértelmű és teljes körű információk közlésére való követelmény keretében, valamint hogy ebbe a körbe tartozik‑e a cookie‑k működésének időtartama, és az a kérdés is, hogy harmadik személyek hozzáférnek‑e a cookie‑khoz?
1. Az egyértelmű és teljes körű információkról
112. A 95/46 irányelv 10. és 11. cikke (valamint az 2016/679 rendelet 13. és 14. cikke) teljes körű felsorolást ad az érintett számára nyújtandó információkról. A tájékoztatási kötelezettség és a hozzájárulás annyiban összekapcsolódik, hogy a hozzájárulás előtt mindig kell lennie tájékoztatásnak.
113. Tekintve, hogy az internethasználó (és ‑szolgáltató) fogalmilag közel áll a fogyasztóhoz (és a kereskedőhöz)(62), ezen a ponton hivatkozhatunk az átlagos európai fogyasztóra, azaz a szokásosan tájékozott, észszerűen figyelmes és körültekintő fogyasztóra(63), aki az ügy teljes ismeretében tudja meghozni döntését.(64)
114. Ugyanakkor a cookie‑k műszaki komplexitása, a szolgáltató és a felhasználó közötti aszimmetrikus információ, valamint általánosságban, bármely átlagos internethasználó viszonylagos ismerethiánya miatt az átlagos internethasználótól nem várható el a cookie‑k működésének magas szintű ismerete.
115. Így az egyértelmű és teljes körű információ azt jelenti, hogy a felhasználó olyan helyzetben van, hogy könnyedén el tudja dönteni, milyen következményekkel jár az általa esetleg megadott hozzájárulás. Ennek érdekében képesnek kell lennie arra, hogy cselekvésének hatásait értékelje. A megadott tájékoztatásnak egyértelműen érthetőnek kell lennie, amelyet nem kell pontosítani vagy értelmezni. Kellően részletesnek kell lennie ahhoz, hogy a felhasználó a ténylegesen alkalmazott cookie‑k működését megértse.
116. E körbe tartozik, amint azt a kérdést előterjesztő bíróság helyesen megjegyezte, a cookie‑k működésének időtartama, és az a kérdés is, hogy harmadik személyek hozzáférnek‑e a cookie‑khoz.
2. A cookie‑k működésének időtartamára vonatkozó információ
117. A 2002/58 irányelv (23) és (26) preambulumbekezdése értelmében a megfelelő tájékoztatáson alapuló hozzájárulás követelményének egyik eleme a cookie‑k tárolási időtartama, ami azt jelenti, hogy „a szolgáltatóknak mindig folyamatosan tájékoztatniuk kell az előfizetőket az általuk kezelt adatok típusáról, valamint az adatfeldolgozás céljáról és időtartamáról”. Még ha a cookie lényeges is, a hozzájárulás szempontjából akkor is a körülmények alapján kell vizsgálni annak kérdését, hogy mennyire tolakodó. Annak megkérdezése mellett, hogy az egyes cookie‑k milyen adatot tárolnak, és hogy hozzákapcsolják‑e a felhasználóról tárolt más információkhoz, a szolgáltatónak mérlegelnie kell a cookie élettartamát, és azt is, hogy ez az élettartam a cookie célját tekintve megfelelő‑e.
118. A cookie‑k működésének időtartama a felhasználókról szóló információ minőségét és hozzáférhetőségét illetően a megfelelő tájékoztatáson alapuló kifejezett hozzájárulás követelményéhez kapcsolódik. Ez az információ létfontosságú annak érdekében, hogy az egyének tájékozott döntéseket tudjanak hozni.(65) Amint azt a portugál és az olasz kormány előadta, a cookie‑k által gyűjtött adatokat törölni kell, miután az eredeti célhoz már nem szükségesek, ebből következik, hogy az adattárolás időtartamát a felhasználóval egyértelműen közölni kell.
3. Harmadik felek hozzáféréséről szóló tájékoztatás
119. Ezzel kapcsolatban a Planet49 azt állítja, hogy ha harmadik felek hozzáférnek a cookie‑hoz, a felhasználókat erről tájékoztatni kell. Ugyanakkor, ha – amint az a szóban forgó ügyben is fennáll – csak az a szolgáltató fér hozzá a cookie‑hoz, amelyik azt telepíteni akarja, elegendő erre felhívni a figyelmet. Azt, hogy más harmadik felek nem férnek hozzá, nem kell külön kiemelni. Ez a kötelezettség nem lenne összeegyeztethető azon jogalkotói szándékkal, hogy az adatvédelmi szövegeknek felhasználóbarátaknak és tömöreknek kell lenniük.
120. Egy ilyen értelmezést nem tudok elfogadni. Ehelyett ahhoz, hogy a tájékoztatás egyértelmű és teljes körű legyen, a felhasználót kifejezetten tájékoztatni kell arról, hogy harmadik felek hozzáférnek‑e a cookie‑khoz. Ha pedig harmadik felek hozzáférnek, kilétüket közölni kell. Amint azt a Bundesverband helyesen hangsúlyozza, ez elengedhetetlen ahhoz, hogy biztosan megfelelő tájékoztatás alapján adják meg a hozzájárulást.
4. Eredmény
121. Ezért a második kérdésre azt a választ javaslom, hogy a szolgáltató által a felhasználóval a 2002/58 irányelv 5. cikkének (3) bekezdése értelmében közlendő, egyértelmű és teljes körű információk körébe tartozik a cookie‑k működésének időtartama, és az a kérdés is, hogy harmadik személyek hozzáférnek‑e a cookie‑khoz.
V. Végkövetkeztetés
122. A fenti megfontolások tükrében azt javaslom a Bíróságnak, hogy a Bundesgerichtshof (szövetségi legfelsőbb bíróság, Németország) által előterjesztett kérdésekre a következőképpen válaszoljon:
(1) Nem tekinthető a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv 2. cikkének h) pontjával összefüggésben értelmezett, az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló, 2002/58 2002. július 12‑i európai parlamenti és tanácsi irányelv („Elektronikus hírközlési adatvédelmi irányelv”) 5. cikkének (3) bekezdése és 2. cikkének f) pontja szerinti érvényes hozzájárulásnak az alapeljárásban szereplőhöz hasonló helyzetben, amennyiben a felhasználó a végberendezésen mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést előre bejelölt négyzettel engedélyezi, amelyet a felhasználónak a hozzájárulása megtagadásához el kell távolítania, és amennyiben a hozzájárulást nem külön adják meg, hanem az online nyereményjátékban való részvétel megerősítésével egyidejűleg.
(2) Ugyanez vonatkozik a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 rendelet (általános adatvédelmi rendelet) 4. cikkének 11. pontjával összhangban értelmezett 2002/58 irányelv 5. cikkének (3) bekezdésére és 2. cikkének f) pontjára.
(3) A 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 5. cikke (3) bekezdésének és 2. cikke f) pontjának alkalmazása során nincs jelentősége annak, hogy a tárolt vagy lehívott információ személyes adatnak minősül‑e.
(4) A szolgáltató által a felhasználóval a 2002/58 irányelv 5. cikkének (3) bekezdése értelmében közlendő, egyértelmű és teljes körű információk körébe tartozik a cookie‑k működésének időtartama, és az a kérdés is, hogy harmadik személyek hozzáférnek‑e a cookie‑khoz.