TEISINGUMO TEISMO (didžioji kolegija) SPRENDIMAS
2019 m. spalio 1 d.(*)
„Prašymas priimti prejudicinį sprendimą – Direktyva 95/46/EB – Direktyva 2002/58/EB – Reglamentas (ES) 2016/679 – Asmens duomenų tvarkymas ir privataus gyvenimo apsauga elektroninių ryšių srityje – Slapukai – Duomenų subjekto sutikimo sąvoka – Sutikimo pareiškimas naudojant iš anksto pažymėtus langelius“
Byloje C‑673/17
dėl Bundesgerichtshof (Aukščiausiasis Federalinis Teismas, Vokietija) 2017 m. spalio 5 d. nutartimi, kurią Teisingumo Teismas gavo 2017 m. lapkričio 30 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
prieš
Planet49 GmbH
TEISINGUMO TEISMAS (didžioji kolegija),
kurį sudaro pirmininkas K. Lenaerts, pirmininko pavaduotoja R. Silva de Lapuerta, kolegijų pirmininkai J.‑C. Bonichot, M. Vilaras, T. von Danwitz, C. Toader, F. Biltgen, K. Jürimäe ir C. Lycourgos, teisėjai A. Rosas (pranešėjas), L. Bay Larsen, M. Safjan ir S. Rodin,
generalinis advokatas M. Szpunar,
posėdžio sekretorius D. Dittert, skyriaus vadovas,
atsižvelgęs į rašytinę proceso dalį ir įvykus 2018 m. lapkričio 13 d. posėdžiui,
išnagrinėjęs pastabas, pateiktas:
– Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, atstovaujamos Rechtsanwalt P. Wassermann,
– Planet49 GmbH, atstovaujamos Rechtsanwälte M. Jaschinski, J. Viniol ir T. Petersen,
– Vokietijos vyriausybės, atstovaujamos J. Möller,
– Italijos vyriausybės, atstovaujamos G. Palmieri, padedamos avvocato dello Stato F. De Luca,
– Portugalijos vyriausybės, atstovaujamos L. Inez Fernandes ir M. Figueiredo ir L. Medeiros ir C. Guerra,
– Europos Komisijos, atstovaujamos G. Braun ir H. Kranenborg ir P. Costa de Oliveira,
susipažinęs su 2019 m. kovo 21 d. posėdyje pateikta generalinio advokato išvada,
priima šį
Sprendimą
1 Prašymas priimti prejudicinį sprendimą pateiktas dėl 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvos 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (OL L 201, 2002, p. 37; 2004 m. specialusis leidimas lietuvių k., 13 sk., 29 t., p. 514), iš dalies pakeistos 2009 m. lapkričio 25 d. Europos Parlamento ir Tarybos direktyva 2009/136/EB (OL L 337, 2009, p. 11) (toliau – Direktyva 2002/58), 2 straipsnio f punkto ir 5 straipsnio 3 dalies, siejamų su 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355) 2 straipsnio h punktu, ir dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1) 6 straipsnio 1 dalies a punkto išaiškinimo.
2 Šis prašymas pateiktas nagrinėjant Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Vartotojų organizacijų ir asociacijų federacija – Vartotojų organizacijų federacija, Vokietija) (toliau – federacija) ginčą su bendrove Planet49 GmbH, siūlančia žaidimus internetu, dėl jos organizuotos loterijos dalyvių sutikimo perduoti jų asmens duomenis jos rėmėjams ir partneriams, taip pat saugoti informaciją ir galimybės naudotis šių naudotojų galiniuose įrenginiuose saugoma informacija.
Teisinis pagrindas
Sąjungos teisė
Direktyva 95/46
3 Direktyvos 95/46 1 straipsnyje numatyta:
„1. Pagal šią direktyvą valstybės narės saugo fizinių asmenų pagrindines teises ir laisves, o ypač jų privatumo teisę tvarkant asmens duomenis.
2. Valstybės narės nevaržo ir nedraudžia laisvo asmens duomenų judėjimo tarp valstybių narių dėl priežasčių, susijusių su apsauga, skiriama pagal šio straipsnio 1 dalį.“
4 Šios direktyvos 2 straipsnyje nustatyta:
„Šioje direktyvoje:
a) „asmens duomenys“ reiškia bet kurią informaciją, susijusią su [fiziniu] asmeniu (duomenų subjektu), kurio tapatybė yra nustatyta arba gali būti nustatyta; asmuo, kurio tapatybė gali būti nustatyta, yra tas asmuo, kurio tapatybė gali būti nustatyta tiesiogiai ar netiesiogiai, ypač pasinaudojus nurodytu asmens identifikavimo kodu arba vienu ar keliais to asmens fizinei, fiziologinei, protinei, ekonominei, kultūrinei ar socialinei tapatybei būdingais veiksniais;
b) „asmens duomenų tvarkymas“ (tvarkymas) reiškia bet kurią operaciją ar operacijų rinkinį, automatiniais arba neautomatiniais būdais atliekamus su asmens duomenimis, kaip antai: rinkimas, užrašymas [įrašymas], rūšiavimas, saugojimas, adaptavimas ar keitimas, atgaminimas [išgava], paieška [susipažinimas], naudojimas, atskleidimas perduodant [persiunčiant], platinant ar kitu būdu padarant juos prieinamus, išdėstymas reikiama tvarka [sugretinimas] ar sujungimas derinant [sujungimas su kitais duomenimis], blokavimas, trynimas ar naikinimas;
<…>
h) „duomenų subjekto sutikimas“ reiškia bet kurį savanoriškai ir žinomai duotą konkretų duomenų subjekto pareiškimą [valios išreiškimą], kuriuo duomenų subjektas nurodo savo sutikimą, kad būtų tvarkomi su juo susiję [jo asmens] duomenys.“
5 Minėtos direktyvos 7 straipsnyje nustatyta:
„Valstybės narės numato, kad asmens duomenis galima tvarkyti tik tuo atveju, jeigu:
a) duomenų subjektas yra nedviprasmiškai davęs sutikimą;
<…>“
6 Minėtos direktyvos 10 straipsnyje nurodyta:
„Valstybės narės numato, kad duomenų valdytojas arba jo atstovas privalo duomenų subjektui, iš kurio renkami su juo susiję duomenys, suteikti bent tokią informaciją, jeigu jis jos dar neturi:
a) duomenų valdytojo arba jo atstovo, jei toks yra, tapatybė;
b) tikslai, dėl kurių ketinama tvarkyti šiuos duomenis;
c) bet kokia platesnė informacija, kaip antai:
– duomenų gavėjai ar gavėjų kategorijos,
– ar į klausimus atsakoma privaloma tvarka, ar savanoriškai, taip pat galimos neatsakymo pasekmės,
– teisės gauti informaciją ir teisės pataisyti duomenis apie save buvimas;
kiek tokios platesnės informacijos reikia, atsižvelgus į specifines duomenų rinkimo aplinkybes, kad būtų garantuotas teisingas subjekto duomenų tvarkymas.“
Direktyva 2002/58
7 Direktyvos 2002/58 17 ir 24 konstatuojamosiose dalyse nustatyta:
„(17) Šioje direktyvoje abonento ar naudotojo, ir fizinio, ir juridinio asmens, sutikimas turėtų būti apibrėžiamas taip, kaip ir duomenų subjekto sutikimas buvo apibrėžtas ir patikslintas Direktyvoje [95/46]. Sutikimas gali būti duotas bet kuriuo tinkamu būdu, specialiu ir pakankamai informatyviu, leidžiančiu naudotojui laisvai išreikšti savo valią, įskaitant ir atitinkamame interneto tinklavietės langelyje dedamą varnelę.
<…>
(24) Elektroninių ryšių tinklų naudotojų galiniai įrenginiai ir juose laikoma informacija yra naudotojų privatumo srities dalis, kurią saugo [1950 m. lapkričio 4 d. Romoje pasirašyta] Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencija. Vadinamieji „šnipukai“, interneto blakės, slaptieji numerio nustatymo įtaisai ir panašūs įtaisai leidžia be naudotojų žinios įsiskverbti į jų galinius įrenginius siekiant susipažinti su informacija, saugoti slepiamą informaciją ar sekti naudotojo veiksmus, šitaip rimtai pažeidžiant naudotojų privatumą. Tokius įtaisus turėtų būti leidžiama naudoti tik teisėtais tikslais ir kai naudotojas apie tai žino.“
8 Direktyvos 2002/58 1 straipsnyje numatyta:
„1. Šioje direktyvoje numatytas valstybių narių nuostatų, užtikrinančių vienodo lygio pagrindinių teisių ir laisvių, ypač teisės į privatumą ir konfidencialumą, apsaugą, susijusių su asmens duomenų tvarkymu elektroninių ryšių sektoriuje, ir užtikrinančių laisvą tokių duomenų judėjimą ir laisvą elektroninių ryšių įrangos ir paslaugų judėjimą [Europos Sąjungoje], suderinimas.
2. Šios direktyvos nuostatos smulkiau išaiškina [patikslina] ir papildo Direktyvą [95/46] šio straipsnio pirmoje dalyje nurodytais tikslais. <…>“
9 Šios direktyvos 2 straipsnyje nustatyta:
„Jeigu toliau nepateikta kitaip, šioje direktyvoje vartojamos sąvokos yra apibrėžiamos taip, kaip apibrėžta [Direktyvoje 95/46] ir 2002 m. kovo 7 d. Europos Parlamento ir Tarybos direktyvoje 2002/21/EB dėl elektroninių ryšių tinklų ir paslaugų bendrosios reguliavimo sistemos (Pagrindų direktyva) [(OL L 108, 2002, p. 33; 2004 m. specialusis leidimas lietuvių k., 13 sk., 29 t., p. 349)].
Šioje direktyvoje:
a) „naudotojas“ – tai bet kuris fizinis asmuo, vartojantis viešai prieinamą elektroninių ryšių paslaugą privačiais ar verslo tikslais, ir nebūtinai tai darantis išankstinio paslaugos užsakymo būdu;
<…>
f) „sutikimas“ – abonento ar naudotojo sutikimas – tai duomenų subjekto sutikimas, kaip apibrėžta Direktyvoje [95/46];
<…>“
10 Minėtos direktyvos 5 straipsnio 3 dalyje numatyta:
„Valstybės narės užtikrina, kad saugoti informaciją arba suteikti galimybę naudotis jau saugoma informacija abonento ar naudotojo galiniame įrenginyje būtų leidžiama tik su sąlyga, jei atitinkamam abonentui ar naudotojui sutikus pagal Direktyvą [95/46] pateikiama aiški ir išsami informacija, [tik su sąlyga, kad atitinkamas abonentas ar naudotojas davė sutikimą po to, kai gavo aiškią ir išsamią informaciją pagal Direktyvą[95/46], inter alia, apie tokio duomenų tvarkymo tikslus. Ši nuostata nedraudžia vykdyti techninį saugojimą ar naudotis duomenimis, jei siekiama tik atlikti pranešimo perdavimą elektroninių ryšių tinklu, taip pat būtinais atvejais, kad informacinės visuomenės paslaugų teikėjas galėtų teikti paslaugas, kurių aiškiai paprašo abonentas ar naudotojas.“
Reglamentas 2016/679
11 Reglamento Nr. 2016/679 32 konstatuojamojoje dalyje nustatyta:
„Sutikimas turėtų būti duodamas aiškiu aktu patvirtinant, kad yra suteiktas laisva valia, konkretus, informacija pagrįstas ir vienareikšmis nurodymas, kad duomenų subjektas sutinka, kad būtų tvarkomi su juo susiję asmens duomenys, pavyzdžiui, raštiškas, įskaitant elektroninėmis priemonėmis, arba žodinis pareiškimas. Tai galėtų būti atliekama pažymint langelį interneto svetainėje, pasirenkant informacinės visuomenės paslaugų techninius parametrus arba kitu pareiškimu arba poelgiu, iš kurio aiškiai matyti tame kontekste, kad duomenų subjektas sutinka su siūlomu jo asmens duomenų tvarkymu. Todėl tyla, iš anksto pažymėti langeliai arba neveikimas neturėtų būti laikomi sutikimu. Sutikimas turėtų apimti visą duomenų tvarkymo veiklą, vykdomą tuo pačiu tikslu ar tais pačiais tikslais. Kai duomenys tvarkomi ne vienu tikslu, sutikimas turėtų būti duotas dėl visų duomenų tvarkymo tikslų. Jeigu duomenų subjekto sutikimo prašoma elektroniniu būdu, prašymas turi būti aiškus, glaustas ir bereikalingai nenutraukiantis naudojimosi paslauga, dėl kurios prašoma sutikimo.“
12 Šio reglamento 4 straipsnyje nustatyta:
„Šiame reglamente:
1) asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (toliau – duomenų subjektas); fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius;
2) duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas;
<…>
11) duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais, kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys;
<…>“
13 Minėto reglamento 6 straipsnyje numatyta:
„1. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:
a) duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais;
<…>“
14 To paties reglamento 7 straipsnio 4 dalyje nurodyta:
„Vertinant, ar sutikimas duotas laisva valia, labiausiai atsižvelgiama į tai, ar, inter alia, sutarties vykdymui, įskaitant paslaugos teikimą, yra nustatyta sąlyga, kad turi būti duotas sutikimas tvarkyti asmens duomenis, kurie nėra būtini tai sutarčiai vykdyti.“
15 Reglamento 2016/679 13 straipsnio 1 ir 2 dalyse nustatyta:
„1. Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:
<…>
e) jei yra, asmens duomenų gavėjus arba asmens duomenų gavėjų kategorijas <…>
<…>
2. Be 1 dalyje nurodytos informacijos, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia toliau nurodytą kitą informaciją, būtiną duomenų tvarkymo sąžiningumui ir skaidrumui užtikrinti:
a) asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti;
<…>“
16 Šio reglamento 94 straipsnyje nustatyta:
„1. Direktyva [95/46] panaikinama nuo 2018 m. gegužės 25 d.
2. Nuorodos į panaikintą direktyvą laikomos nuorodomis į šį reglamentą. Nuorodos į Direktyvos [95/46] 29 straipsniu įsteigtą Darbo grupę asmenų apsaugai tvarkant asmens duomenis laikomos nuorodomis į šiuo reglamentu įsteigtą Europos duomenų apsaugos valdybą.“
Vokietijos teisė
17 Pagal Bürgerliches Gesetzbuch (Civilinis kodeksas, toliau – BGB) 307 straipsnio 1 dalies pirmą sakinį „bendrųjų sąlygų nuostatos negalioja, jeigu, pažeidžiant sąžiningumo principą, dėl jų kontrahentas nepagrįstai atsiduria blogesnėje situacijoje“.
18 BGB 307 straipsnio 2 dalies 1 punkte nustatyta, kad, kilus abejonei, „darytina prielaida, kad nepagrįstai sudaroma blogesnė situacija, jeigu nuostata yra nesuderinama su įstatymo normos, nuo kurios nukrypstama, esme“.
19 Pagrindinės bylos aplinkybėms taikytinos redakcijos 2007 m. vasario 26 d. Telemediengesetz (Elektroninių paslaugų įstatymas; BGBl. 2007 I, p. 179; toliau – TMG) 12 straipsnyje nustatyta:
„(1) Teikdamas elektroninę paslaugą paslaugų teikėjas gali rinkti ir panaudoti asmens duomenis tik tuo atveju, kai tai leidžiama pagal šį įstatymą ar kitą teisės aktą, aiškiai reglamentuojantį elektronines paslaugas, arba kai vartotojas su tuo sutinka.
(2) Paslaugų teikėjas asmens duomenis, surinktus teikiant elektroninę paslaugą, gali panaudoti kitiems tikslams tik tuo atveju, kai tai leidžiama pagal šį įstatymą ar kitą teisės aktą, aiškiai reglamentuojantį elektronines paslaugas, arba kai naudotojas su tuo sutinka.
(3) Jei nenustatyta kitaip, taikomi galiojantys asmens duomenų apsaugos srities teisės aktai, net kai duomenys nėra tvarkomi automatiškai.“
20 Pagal TMG 13 straipsnio 1 dalį paslaugos teikėjas naudojimo pradžioje turi informuoti naudotoją visiems suprantama forma apie asmens duomenų rinkimo ir tvarkymo būdą, apimtį bei tikslus, jei tokia informacija dar nebuvo pateikta. Naudojant automatizuotą procesą, kuris leidžia vėliau atpažinti naudotoją ir paruošia asmens duomenų rinkimą ar naudojimą, naudotojui būtina apie tai pranešti šio proceso pradžioje.
21 Pagal TMG 15 straipsnio 3 dalį paslaugų teikėjas reklamos, rinkos tyrimų tikslais ar formuodamas tikslinę televizinę žiniasklaidą gali kurti naudotojų profilius su slapyvardžiais, jei naudotojas, kuris buvo informuotas apie savo turimą teisę prieštarauti, tam neprieštarauja.
22 Vadovaujantis pagrindinės bylos aplinkybėms taikytinos redakcijos 1990 m. gruodžio 20 d. Bundesdatenschutzgesetz (Federalinis asmens duomenų įstatymas; BGBl. 1990 I, p. 2954; toliau – BDSG) 3 straipsnio 1 dalyje pateiktu apibrėžimu, „asmens duomenys yra konkreti informacija, susijusi su asmeninėmis arba turtinėmis nustatyto ar galimo nustatyti fizinio asmens (duomenų subjekto) aplinkybėmis“.
23 Pagal BDSG 3 straipsnio 3 dalyje pateiktą šios sąvokos apibrėžtį duomenų rinkimas reiškia duomenų apie atitinkamą asmenį gavimą.
24 BDSG 4a straipsnio 1 dalies pirmame sakinyje, kuriuo perkeliamas Direktyvos 95/46 2 straipsnio h punktas, nustatyta, kad sutikimas galioja tik tuomet, jeigu jis pagrįstas laisvu atitinkamo asmens sprendimu.
Pagrindinė byla ir prejudiciniai klausimai
25 2013 m. rugsėjo 24 d. Planet49 organizavo loteriją interneto svetainėje www.dein-macbook.de.
26 Interneto vartotojai, norintys dalyvauti šioje loterijoje, turėjo nurodyti savo pašto kodą, o tai padarius buvo nukreipiami į interneto tinklalapį, kur turėjo įrašyti savo pavardę ir adresą. Po langeliais, kuriuose turėjo būti įrašytas adresas, buvo pateiktos dvi nuorodos su žymimaisiais langeliais. Pirmoji nuoroda, kurios langelis (toliau – pirmasis žymimasis langelis) nebuvo iš anksto pažymėtas, buvo suformuluota taip:
„Sutinku, kad kai kurie rėmėjai ir partneriai informuotų mane paštu ar telefonu, arba el. paštu ar SMS žinute apie pasiūlymus savo veiklos srityse. Juos galiu čia nurodyti aš pats, kitais atvejais atranką vykdo organizatorius. Sutikimą galima bet kuriuo metu atšaukti. Daugiau informacijos šiuo klausimu rasite čia.“
27 Antroji nuoroda, kurios langelis (toliau – antrasis žymimasis langelis) buvo iš anksto pažymėtas, suformuluota taip:
„Sutinku, kad pas mane būtų įdiegta Remintrex žiniatinklio analizės paslauga. Todėl loterijos organizatorė [Planet49] po registracijos loterijai įdiegs slapukus, kurie leis Remintrex vertinti mano naršymą žiniatinklyje ir apsilankymus reklamos partnerių interneto svetainėse ir siūlyti reklamą atsižvelgiant į mano interesus. Bet kuriuo metu galiu pašalinti slapukus. Daugiau skaitykite čia.“
28 Dalyvauti loterijoje buvo įmanoma tik pažymėjus bent jau pirmąjį žymimąjį langelį.
29 Pirmąjį žymimąjį langelį lydinčioje nuorodoje prie žodžių „rėmėjai ir partneriai“ ir „čia“ esantis elektroninis saitas nukreipė į 57 įmonių sąrašą, kur pateikti jų adresai, reklamuotinos veiklos sritys ir reklamai skirtos komunikacijos priemonės (el. paštas, paštas arba telefonas). Po kiekvienos įmonės pavadinimo buvo įrašytas pabrauktas žodis „Atsisakyti“. Prieš sąrašą buvo pateikta tokia pastaba:
„Spausdamas mygtuką „Atsisakyti“ patvirtinu, kad minėtam partneriui ir (arba) rėmėjui nesuteikiu leidimo siųsti reklamą. Jei neatsisakiau nė vieno partnerio ir (arba) rėmėjo arba atsisakiau nepakankamai daug partnerių ir (arba) rėmėjų, Planet49 savo nuožiūra parenka partnerius ir (arba) rėmėjus (ne daugiau kaip 30 partnerių ir (arba) rėmėjų).“
30 Aktyvavus elektroninį saitą, esantį po antruoju žymėtinu langeliu pateiktoje nuorodoje prie žodžio „čia“, buvo pateikiama ši informacija:
„Nustatyti slapukai, su pavadinimais ceng_cache, ceng_etag, ceng_png ir gcr yra mažos duomenų rinkmenos, kurias jūsų standžiajame diske išsaugo jūsų naudojama naršyklė, ir per kurias patenka tam tikra informacija, leidžianti užtikrinti veiksmingesnę ir naudotojui labiau pritaikytą reklamą. Slapukai turi atsitiktine tvarka parenkamą numerį (ID), kuris susiejamas su jūsų registracijos duomenimis. Jums apsilankius „Remintrex“ registruoto reklamos partnerio interneto svetainėje (reklamos partnerio pareiškime apie privatumo apsaugą pamatysite, ar jis registruotas), „Remintrex“ programa „iFrames“ automatiškai nustato, kad jūs (t. y. naudotojas su išsaugotu ID) apsilankėte interneto svetainėje, kokiu produktu domėjotės ir ar sudarėte sutartį.
Tuomet [Planet49], remdamasi jūsų registruojantis loterijoje duotu sutikimu gauti reklamą, jums siųs reklaminius pranešimus, kuriuose bus atsižvelgiama į reklamos partnerio interneto svetainėje parodytą susidomėjimą. Žinoma, atšaukę sutikimą gauti reklamą tokių reklaminių pranešimų nebegausite.
Per slapukus pateikta informacija naudojama tik reklamai, kurioje pristatomi reklamos partnerio produktai. Informacija renkama, saugoma ir naudojama atskirai kiekvienam reklamos partneriui. Naudotojų profiliai, taikomi visiems reklamos partneriams, nėra sudaromi. Reklamos partneriai negauna jokių asmens duomenų.
Jei nebenorite naudoti slapukų, galite bet kuriuo metu pašalinti juos iš savo naršyklės. Instrukcijas rasite savo naršyklės [„pagalbos“] skyriuje.
Slapukais negali būti įdiegtos programos arba platinamas virusas.
Turite galimybę bet kuriuo metu tokį sutikimą atšaukti. Atšaukimą galite pateikti raštu [Planet49] [adresas]. Tačiau pakanka el. paštu nusiųsti pranešimą mūsų klientų aptarnavimo skyriui [el. pašto adresas].“
31 Iš nutarties dėl prašymo priimti prejudicinį sprendimą matyti, kad slapukai – tai tekstinės rinkmenos, kurias tinklavietės teikėjas išsaugo šios tinklavietės naudotojo kompiuteryje ir kuriomis jis gali pasinaudoti naudotojui dar kartą apsilankius interneto svetainėje. Jos padeda naršyti internete, atlikti operacijas arba gauti informaciją apie naudotojo elgesį.
32 Federacija, kuri įrašyta į subjektų, galinčių pareikšti ieškinį pagal 2001 m. lapkričio 26 d. Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (Ieškinių dėl vartotojų ir kitų teisių pažeidimų nutraukimo įstatymas; BGBl. 2001 I, p. 3138) 4 straipsnį, sąrašą, pateikė įspėjimą (į kurį nebuvo sureaguota), jame tvirtino, jog Planet49 reikalaujami sutikimo pareiškimai, naudojant pirmąjį ir antrąjį žymimuosius langelius, neatitiko kartu aiškinamų BGB 307 straipsnio, pagrindinės bylos aplinkybėms taikytinos redakcijos 2004 m. liepos 3 d. Gesetz gegen den unlauteren Wettbewerb (Kovos su nesąžininga konkurencija įstatymas) (BGBl. 2004 I, p. 1414) 7 straipsnio 2 dalies 2 punkto ir TMG 12 ir paskesnių straipsnių.
33 Federacija pareiškė ieškinį Landgericht Frankfurt am Main (Frankfurto prie Maino apygardos teismas, Vokietija); juo iš esmės siekė, kad Planet49 nebereikalautų tokių sutikimo pareiškimų ir jai sumokėtų 214 EUR sumą su palūkanomis, priskaičiuotomis nuo 2014 m. kovo 15 d.
34 Landgericht Frankfurt am Main (Frankfurto prie Maino apygardos teismas) iš dalies patenkino ieškinį.
35 Gavęs Planet49 apeliacinį skundą Oberlandesgericht Frankfurt am Main (Frankfurto prie Maino aukštesnysis apygardos teismas, Vokietija) nusprendė, kad federacijos prašymas, kuriuo siekiama, kad Planet49 liautųsi į su vartotojais sudarytus loterijų susitarimus įtraukti tokią nuorodą, kaip nurodyta šio sprendimo 27 punkte, kurios antrasis žymimasis langelis buvo pažymėtas iš anksto, buvo nepagrįstas, nes, pirma, naudotojas žinojo apie galimybę pašalinti tokį žymėjimą ir, antra, ši nuoroda buvo pakankamai aiškiai išdėstyta ir suteikė informacijos apie slapukų naudojimo tvarką ir nebuvo būtina atskleisti trečiųjų asmenų, galinčių susipažinti su surinkta informacija, tapatybės.
36 Bundesgerichtshof (Aukščiausiasis Federalinis Teismas, Vokietija), gavęs federacijos kasacinį skundą, mano, kad pagrindinės bylos baigtis priklauso nuo susietų Direktyvos 2002/58 5 straipsnio 3 dalies ir 2 straipsnio f punkto, Direktyvos 95/46/E 2 straipsnio h punkto ir Reglamento 2016/679 6 straipsnio 1 dalies a punkto nuostatų išaiškinimo.
37 Suabejojęs dėl to, ar, atsižvelgiant į šias nuostatas, Planet49 teisėtai gauna interneto svetainės www.dein-macbook.de naudotojų sutikimą pasitelkdama antrąjį žymimąjį langelį, taip pat dėl Direktyvos 2002/58 5 straipsnio 3 dalyje numatytos pareigos informuoti apimties Bundesgerichtshof (Aukščiausiasis Federalinis Teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1. a) Ar yra galiojantis sutikimas, kaip jis suprantamas pagal Direktyvos [2002/58] 5 straipsnio 3 dalį ir 2 straipsnio f punktą, siejamus su Direktyvos 95/46 2 straipsnio h punktu, jei išsaugoti informaciją ar prieiti prie informacijos, saugomos naudotojo galiniame įrenginyje, leidžiama pagal automatiškai pažymėtą žymimąjį langelį, kurio žymėjimą naudotojas turi pašalinti, norėdamas atsisakyti duoti savo sutikimą?
b) Ar taikant Direktyvos [2002/58] 5 straipsnio 3 dalį ir 2 straipsnio f punktą, siejamus su Direktyvos 95/46 2 straipsnio h punktu, svarbu, ar išsaugota arba naudojama informacija yra asmens duomenys?
c) Ar [pirmojo klausimo] a dalyje nurodytomis aplinkybėmis laikytina, kad duotas galiojantis sutikimas pagal Reglamento [2016/679] 6 straipsnio 1 dalies a punktą?
2. Kokią informaciją turi suteikti paslaugų teikėjas pagal Direktyvos [2002/58] 5 straipsnio 3 dalį, pagal kurią naudotojui reikia suteikti aiškią ir išsamią informaciją? Ar prie tokios informacijos priskiriama ir slapukų veikimo trukmė, ir klausimas, ar tretieji asmenys gali naudotis slapukais?“
Dėl prejudicinių klausimų
Pirminės pastabos
38 Pirmiausia reikia išnagrinėti, ar pagrindinės bylos aplinkybėms taikytina Direktyva 95/46 ir Reglamentas 2016/679.
39 Nuo 2018 m. gegužės 25 d. Direktyva 95/46 buvo panaikinta ir ją pakeitė Reglamentas 2016/679, remiantis jo 94 straipsnio 1 dalimi.
40 Tiesa, ši data yra vėlesnė už prašymą priimti prejudicinį sprendimą pateikusiame teisme vykusio paskutinio teismo posėdžio, kuris įvyko 2017 m. liepos 14 d., datą ir minėto teismo pateikto prašymo priimti prejudicinį sprendimą gavimo Teisingumo Teisme datą.
41 Vis dėlto prašymą priimti prejudicinį sprendimą pateikęs teismas nurodė, kad atsižvelgiant į tai, jog 2018 m. gegužės 25 d. įsigaliojo Reglamentas 2016/679, su kuriuo, beje, susijusi dalis pirmojo klausimo, tikėtina, kad į šį reglamentą turi būti atsižvelgta priimant sprendimą pagrindinėje byloje. Be to, kaip per posėdį Teisingumo Teisme nurodė Vokietijos vyriausybė, negalima atmesti galimybės, kad tiek, kiek federacijos pradėta procedūra siekiama nutraukti Planet49 elgesį ateityje, Reglamentas 2016/679 pagrindinėje byloje taikytinas ratione temporis dėl nacionalinių teismų praktikos, susijusios su reikšminga teisine situacija ieškinių dėl veiksmų nutraukimo srityje, o tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas (dėl ieškinių dėl pripažinimo žr. 2019 m. sausio 16 d. Sprendimo Deutsche Post, C‑496/17, EU:C:2019:26, 38 punktą).
42 Šiomis aplinkybėmis ir atsižvelgiant į tai, kad pagal Reglamento 2016/679 94 straipsnio 2 dalį Direktyvoje 2002/58 pateiktos nuorodos į Direktyvą 95/46 laikomos nuorodomis į minėtą reglamentą, nagrinėjamu atveju neatmetama galimybė, kad Direktyva 2002/58 taikoma arba kartu su Direktyva 95/46, arba su Reglamentu 2016/679, atsižvelgiant į federacijos prašymų pobūdį ir atitinkamą laikotarpį.
43 Taigi į pateiktus klausimus reikia atsakyti atsižvelgiant ir į Direktyvą 95/46, ir į Reglamentą 2016/679.
Dėl pirmojo klausimo a ir c punktų
44 Pirmojo klausimo a ir c punktais prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Direktyvos 2002/58 5 straipsnio 3 dalį ir 2 straipsnio f punktą, siejamus su Direktyvos 95/46 2 straipsnio h punktu ir Reglamento 2016/679 6 straipsnio 1 dalies a punktu, reikia aiškinti taip, kad yra duotas šiose nuostatose nurodytas galiojantis sutikimas, kai išsaugoti informaciją arba prieiti prie informacijos, saugomos interneto svetainės naudotojo galiniame įrenginyje, pasinaudojant slapukais, leidžiama pagal iš anksto pažymėtą žymimąjį langelį, kurio žymėjimą naudotojas turi pašalinti, norėdamas atsisakyti duoti sutikimą.
45 Pirmiausia reikia pažymėti, kad iš nutarties dėl prašymo priimti prejudicinį sprendimą pateiktos informacijos matyti, jog slapukai, kurie gali būti įdiegti naudotojo, dalyvaujančio Planet49 organizuojamoje loterijoje, galiniame įrenginyje, turi numerį, kuris priskiriamas prie naudotojo, kuris turi įrašyti savo vardą, pavardę ir adresą į dalyvavimo šioje loterijoje formą, registracijos duomenų. Prašymą priimti prejudicinį sprendimą pateikęs teismas priduria, kad, susiejus šį numerį su šiais duomenimis, slapukų saugomi duomenys suasmeninami, kai naudotojas naudojasi internetu, todėl šių duomenų rinkimas pasitelkiant slapukus yra asmens duomenų tvarkymas. Tai patvirtino Planet49, kuri savo rašytinėse pastabose pažymėjo, jog sutikimas pagal antrąjį žymimąjį langelį laikomas suteikiančiu teisę rinkti ir tvarkyti asmens duomenis, o ne anoniminę informaciją.
46 Vis dėlto reikia pažymėti, kad remiantis Direktyvos 2002/58 5 straipsnio 3 dalimi, valstybės narės užtikrina, kad saugoti informaciją arba suteikti galimybę naudotis jau saugoma informacija naudotojo galiniame įrenginyje būtų leidžiama tik su sąlyga, kad atitinkamas naudotojas davė sutikimą pagal Direktyvą 95/46 pateikus aiškią ir išsamią informaciją, inter alia, apie tokio duomenų tvarkymo tikslus.
47 Šiuo klausimu reikia priminti, kad tiek iš vienodo Sąjungos teisės taikymo, tiek iš lygybės principo reikalavimų matyti, kad Sąjungos teisės nuostatoje, kurioje nėra aiškios nuorodos į valstybių narių teisę dėl jos prasmės ar apimties, vartojamos sąvokos paprastai visoje Sąjungoje turi būti aiškinamos autonomiškai ir vienodai (2019 m. kovo 26 d. Sprendimo SM (Pagal Alžyro kafala sistemą globojamas vaikas), C‑129/18, EU:C:2019:248, 50 punktas ir 2019 m. balandžio 11 d. Sprendimo Tarola, C‑483/17, EU:C:2019:309, 36 punktas).
48 Be to, pagal suformuotą Teisingumo Teismo jurisprudenciją aiškinant Sąjungos teisės nuostatą reikia atsižvelgti ne tik į jos formuluotę ir siekiamus tikslus, bet ir į jos kontekstą bei Sąjungos teisės nuostatų visumą. Sąjungos teisės nuostatos genezė taip pat gali suteikti svarbios informacijos ją aiškinant (2018 m. gruodžio 10 d. Sprendimo Wightman ir kt., C‑621/18, EU:C:2018:999, 47 punktas ir jame nurodyta jurisprudencija).
49 Dėl Direktyvos 2002/58 5 straipsnio 3 dalies teksto pažymėtina, kad nors šioje nuostatoje aiškiai numatyta, kad naudotojas turi būti davęs „sutikimą“ įdiegti ir naudoti slapukus jo galiniame įrenginyje, šioje nuostatoje nėra nurodyta, kaip šis sutikimas turi būti duotas. Vis dėlto frazė „davė sutikimą“ turi būti suprantama pažodžiui, taip, kad reikalingi naudotojo veiksmai sutikimui išreikšti. Šiuo klausimu iš Direktyvos 2002/58 17 konstatuojamosios dalies matyti, kad naudotojo sutikimas pagal šią direktyvą gali būti duotas bet kuriuo tinkamu būdu, specialiu ir pakankamai informatyviu, leidžiančiu naudotojui laisvai išreikšti savo valią, įskaitant ir „atitinkamame interneto tinklavietės langelyje dedamą varnelę“.
50 Kiek tai susiję su Direktyvos 2002/58 5 straipsnio 3 dalies kontekstu, reikia pažymėti, kad šios direktyvos 2 straipsnio f punkte, kuriame apibrėžiamas „sutikimas“ pagal šią direktyvą, šiuo klausimu daroma nuoroda į „duomenų subjekto sutikimą“, kaip apibrėžta Direktyvoje 95/46. Direktyvos 2002/58 17 konstatuojamojoje dalyje patikslinama, kad naudotojo sutikimas pagal šią direktyvą turėtų būti apibrėžiamas taip, kaip ir duomenų subjekto sutikimas buvo apibrėžtas ir patikslintas Direktyvoje 95/46.
51 Pastarosios direktyvos 2 straipsnio h punkte „duomenų subjekto sutikimas“ apibrėžiamas kaip reiškiantis „bet kurį savanoriškai ir žinomai duotą konkretų duomenų subjekto pareiškimą [valios išreiškimą], kuriuo duomenų subjektas nurodo savo sutikimą, kad būtų tvarkomi su juo susiję [jo asmens] duomenys“.
52 Taigi, kaip savo išvados 60 punkte pabrėžė generalinis advokatas, reikalavimas dėl duomenų subjekto valios „išreiškimo“ akivaizdžiai reiškia aktyvius, o ne pasyvius veiksmus. Reikia pažymėti, kad sutikimas, duotas pasitelkiant iš anksto pažymėtą žymimąjį langelį, neapima aktyvių interneto svetainės naudotojo veiksmų.
53 Šį aiškinimą patvirtina Direktyvos 95/46 7 straipsnis, kuriame numatytas išsamus atvejų, kai asmens duomenų tvarkymas gali būti laikomas teisėtu, sąrašas (šiuo klausimu žr. 2011 m. lapkričio 24 d. Sprendimo Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 ir C‑469/10, EU:C:2011:777, 30 punktą ir 2016 m. spalio 19 d. Sprendimo Breyer, C‑582/14, EU:C:2016:779, 57 punktą).
54 Konkrečiai Direktyvos 95/46 7 straipsnio a punkte numatyta, kad duomenų subjekto sutikimas tokį tvarkymą gali daryti teisėtą, jeigu duomenų subjektas yra „nedviprasmiškai“ davęs sutikimą. Tik aktyvus šio asmens elgesys siekiant išreikšti sutikimą gali atitikti šį reikalavimą.
55 Šiuo klausimu atrodo praktiškai neįmanoma objektyviai nustatyti, ar interneto svetainės naudotojas iš tikrųjų davė sutikimą tvarkyti jo asmens duomenis, nepašalindamas iš anksto pažymėto langelio žymėjimo, ir bet kuriuo atveju ar šis sutikimas buvo duotas turint visą informaciją. Iš tiesų neatmestina, kad prieš tęsdamas savo veiklą interneto svetainėje, kurioje apsilankė, tas naudotojas neperskaitė informacijos, pateiktos prie iš anksto pažymėto langelio, o galbūt jo net nepastebėjo.
56 Galiausiai, kiek tai susiję su Direktyvos 2002/58 5 straipsnio 3 dalies geneze, reikia konstatuoti, kad pradinėje šios nuostatos versijoje buvo numatytas tik reikalavimas, kad naudotojas turėtų „teisę atsisakyti“ slapukų įdiegimo, gavęs, kaip reikalaujama pagal Direktyvą 95/46, aiškią ir išsamią informaciją, inter alia, apie duomenų tvarkymo tikslus. Direktyva 2009/136 padarytas esminis šios nuostatos formuluotės pakeitimas – minėta frazė pakeista žodžiais „davė sutikimą“. Taigi, Direktyvos 2002/58 5 straipsnio 3 dalies genezė rodo, kad nuo šiol naudotojo sutikimas negali būti preziumuojamas ir turi kilti iš aktyvaus jo elgesio.
57 Atsižvelgiant į tai, kas išdėstyta, nėra duotas galiojantis sutikimas, kaip jis suprantamas pagal Direktyvos 2002/58 2 straipsnio f punktą ir 5 straipsnio 3 dalį, siejamus su Direktyvos 95/46 2 straipsnio h punktu, kai išsaugoti informaciją arba prieiti prie informacijos, saugomos interneto svetainės naudotojo galiniame įrenginyje, leidžiama pagal iš anksto paslaugos teikėjo pažymėtą žymimąjį langelį, kurio žymėjimą naudotojas turi pašalinti, norėdamas atsisakyti duoti sutikimą.
58 Reikia pridurti, kad Direktyvos 95/46 2 straipsnio h punkte nurodytas valios išreiškimas, be kita ko, turi būti „konkretus“, kitaip tariant, jis turi būti susijęs būtent su atitinkamu duomenų tvarkymu ir negali būti kildinamas iš valios pareiškimo, kurio dalykas skiriasi.
59 Taigi šioje byloje, priešingai, nei teigia Planet49, vien to, kad naudotojas aktyvuoja dalyvavimo šios bendrovės organizuotoje loterijoje mygtuką, negali pakakti, kad būtų galima manyti, jog naudotojas davė galiojantį sutikimą įdiegti slapukus.
60 Taip aiškinti juo labiau būtina atsižvelgiant į Reglamentą 2016/679.
61 Iš tiesų, kaip iš esmės savo išvados 70 punkte konstatavo generalinis advokatas, Reglamento 2016/679 4 straipsnio 11 punkto, kuriame apibrėžtas „duomenų subjekto sutikimas“, kaip tai suprantama pagal šį reglamentą, ir ypač jo 6 straipsnio 1 dalies a punkto, nurodyto pirmojo klausimo c punkte, formuluotė, atrodo, yra dar griežtesnė nei Direktyvos 95/46 2 straipsnio h punkto, nes pagal ją reikalaujama, kad būtų „laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto [duomenų subjekto] valios išreiškimas“ pareiškimu arba „vienareikšmiais veiksmais“, kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys.
62 Taigi, nuo šiol Reglamente 2016/679 aiškiai numatytas aktyvus sutikimas. Šiuo klausimu reikia pažymėti, kad pagal šio reglamento 32 konstatuojamąją dalį sutikimas galėtų būti išreikštas, be kita ko, pažymint langelį apsilankius interneto svetainėje. Tačiau minėtoje konstatuojamojoje dalyje aiškiai nurodyta, kad sutikimu negali būti laikoma „tyla, iš anksto pažymėti langeliai arba neveikimas“.
63 Vadinasi, nėra duotas galiojantis sutikimas, kaip jis suprantamas pagal Direktyvos 2002/58 2 straipsnio f punktą ir 5 straipsnio 3 dalį, siejamus su Reglamento 2016/679 4 straipsnio 11 punktu ir 6 straipsnio 1 dalies a punktu, kai išsaugoti informaciją arba prieiti prie informacijos, saugomos interneto svetainės naudotojo galiniame įrenginyje, leidžiama pagal iš anksto pažymėtą žymimąjį langelį, kurio žymėjimą naudotojas turi pašalinti, norėdamas atsisakyti duoti sutikimą.
64 Galiausiai reikia pabrėžti, kad prašymą priimti prejudicinį sprendimą pateikęs teismas nepateikė Teisingumo Teismui klausimo, ar aplinkybė, jog naudotojo sutikimas, kad reklamos tikslais būtų tvarkomi jo asmens duomenys, yra sąlyga jam pasinaudoti galimybe dalyvauti loterijoje, kaip, panašu, yra nagrinėjamoje byloje, atsižvelgiant į nutartyje dėl prašymo priimti prejudicinį sprendimą pateiktą informaciją, bent jau pirmojo žymimojo langelio atveju, yra suderinama su reikalavimu duoti „laisvą“ sutikimą, kaip tai suprantama pagal Direktyvos 95/46 2 straipsnio h punktą ir Reglamento 2016/679 4 straipsnio 11 punktą ir 7 straipsnio 4 dalį. Šiomis aplinkybėmis Teisingumo Teismui nereikia nagrinėti šio klausimo.
65 Atsižvelgiant į visa tai, kas išdėstyta, į pirmojo klausimo a ir c punktus reikia atsakyti: Direktyvos 2002/58 5 straipsnio 3 dalį ir 2 straipsnio f punktą, siejamus su Direktyvos 95/46 2 straipsnio h punktu ir Reglamento 2016/679 4 straipsnio 11 punktu ir 6 straipsnio 1 dalies a punktu, reikia aiškinti taip, kad nėra duotas šiose nuostatose nurodytas galiojantis sutikimas, kai išsaugoti informaciją arba prieiti prie informacijos, saugomos interneto svetainės naudotojo galiniame įrenginyje, pasinaudojant slapukais, leidžiama pagal iš anksto pažymėtą žymimąjį langelį, kurio žymėjimą naudotojas turi pašalinti, norėdamas atsisakyti duoti sutikimą.
Dėl pirmojo klausimo b punkto
66 Pirmojo klausimo b punktu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Direktyvos 2002/58 2 straipsnio f punktą ir 5 straipsnio 3 dalį, siejamus su Direktyvos 95/46 2 straipsnio h punktu ir Reglamento 2016/679 4 straipsnio 11 punktu ir 6 straipsnio 1 dalies a punktu, reikia aiškinti skirtingai, atsižvelgiant į tai, ar interneto svetainės naudotojo galiniame įrenginyje saugoma arba naudojama informacija yra (arba nėra) asmens duomenys, kaip jie suprantami pagal Direktyvą 95/46 ir Reglamentą 2016/679.
67 Kaip nurodyta šio sprendimo 45 punkte, iš nutarties dėl prašymo priimti prejudicinį sprendimą matyti, kad pagrindinėje byloje nagrinėjamas slapukų įdiegimas yra dalis asmens duomenų tvarkymo.
68 Tai nurodžius, bet kuriuo atveju reikia konstatuoti, kad Direktyvos 2002/58 5 straipsnio 3 dalyje daroma nuoroda į „informacijos saugojimą“ ir „galimybės naudotis jau saugoma informacija suteikimą“, tačiau ši informacija nekvalifikuojama ir nenurodoma, kad tai turi būti asmens duomenys.
69 Taigi, kaip savo išvados 107 punkte konstatavo generalinis advokatas, taip šia nuostata siekiama apsaugoti naudotoją nuo bet kokio kišimosi į jo privatų gyvenimą, neatsižvelgiant į tai, ar šis kišimasis susijęs su asmens duomenimis, ar ne.
70 Tokį aiškinimą patvirtina Direktyvos 2002/58 24 konstatuojamoji dalis, kurioje nurodyta, kad bet kokia elektroninių ryšių tinklų naudotojų galiniuose įrenginiuose laikoma informacija yra dalis naudotojų privataus gyvenimo, kuris turi būti saugomas pagal Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvenciją. Ši apsauga taikoma bet kokiai šiame galiniame įrenginyje saugomai informacijai, nesvarbu, ar tai asmens duomenys, ar ne, ir ja siekiama, be kita ko, kaip matyti iš tos pačios konstatuojamosios dalies, apsaugoti vartotojus nuo rizikos, kad paslėpti identifikatoriai ar kiti analogiški įtaisai prasiskverbs į šių naudotojų galinį įrenginį jiems nežinant.
71 Atsižvelgiant į tai, kas išdėstyta, į pirmojo klausimo b punktą reikia atsakyti, kad Direktyvos 2002/58 2 straipsnio f punkto ir 5 straipsnio 3 dalies, siejamų su Direktyvos 95/46 2 straipsnio h punktu ir Reglamento 2016/679 4 straipsnio 11 punktu bei 6 straipsnio 1 dalies a punktu, nereikia aiškinti skirtingai, atsižvelgiant į tai, ar interneto svetainės naudotojo galiniame įrenginyje saugoma arba naudojama informacija yra (arba nėra) asmens duomenys, kaip jie suprantami pagal Direktyvą 95/46 ir Reglamentą 2016/679.
Dėl antrojo klausimo
72 Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Direktyvos 2002/58 5 straipsnio 3 dalis turi būti aiškinama taip, kad informacija, kurią paslaugų teikėjas turi suteikti interneto svetainės naudotojui, apima slapukų veikimo trukmę ir galimybę tretiesiems asmenims turėti prieigą prie šių slapukų.
73 Kaip matyti iš šio sprendimo 46 punkto, pagal Direktyvos 2002/58 5 straipsnio 3 dalį reikalaujama, kad naudotojas būtų davęs sutikimą, „pagal Direktyvą [95/46]“ pateikus aiškią ir išsamią informaciją, visų pirma apie tvarkymo tikslus.
74 Kaip savo išvados 115 punkte pabrėžė generalinis advokatas, aiški ir išsami informacija turi leisti naudotojui lengvai nustatyti savo duodamo sutikimo pasekmes ir užtikrinti, kad šis sutikimas būtų duotas žinant visas aplinkybes. Ji turi būti aiškiai suprantama ir pakankamai detali, kad naudotojas galėtų suprasti naudojamų slapukų veikimą.
75 Pažymėtina, kad esant tokiai situacijai, kokia susiklostė pagrindinėje byloje, kai, kaip matyti iš Teisingumo Teismui pateiktoje bylos medžiagoje esančios informacijos, slapukais siekiama surinkti informaciją loterijos organizatoriaus partnerių prekių reklamos tikslais, slapukų veikimo trukmė ir galimybė (arba ne) tretiesiems asmenims turėti prieigą prie šių slapukų yra dalis aiškios ir detalios informacijos, kurią reikia pateikti naudotojui pagal Direktyvos 2002/58 5 straipsnio 3 dalį.
76 Šiuo atžvilgiu reikia pažymėti, kad Direktyvos 95/46, į kurią daroma nuoroda Direktyvos 2002/58 5 straipsnio 3 dalyje, 10 straipsnyje, taip pat Reglamento 2016/679 13 straipsnyje išvardijama informacija, kurią duomenų valdytojas turi pateikti asmeniui, iš kurio surenka jo duomenis.
77 Pagal Direktyvos 95/46 10 straipsnį ši informacija apima ne tik duomenų valdytojo tapatybę ir tikslus, dėl kurių ketinama tvarkyti šiuos duomenis, bet ir bet kokią papildomą informaciją, kaip antai duomenų gavėjus arba jų kategorijas, jeigu, atsižvelgiant į konkrečias aplinkybes, kuriomis renkami duomenys, tokia papildoma informacija reikalinga siekiant užtikrinti teisingą duomenų subjekto duomenų tvarkymą.
78 Nors duomenų tvarkymo trukmė nėra priskirta prie šios informacijos, vis dėlto iš Direktyvos 95/46 10 straipsnyje pavartoto žodžių junginio „bent jau“ matyti, kad ši informacija nėra išvardyta išsamiai. Pažymėtina, kad informacija apie slapukų veikimo trukmę turi būti laikoma atitinkančia minėtame straipsnyje numatytą teisingo duomenų tvarkymo reikalavimą, nes tokiu atveju, kaip nagrinėjamas pagrindinėje byloje, ilga ar net neribota trukmė reiškia, kad bus surinkta daug informacijos apie naudotojo naršymo įpročius ir galimų apsilankymų loterijos organizatoriaus reklamos partnerių svetainėse dažnumą.
79 Tokį aiškinimą patvirtina Reglamento 2016/679 13 straipsnio 2 dalies a punktas, kuriame numatyta, kad duomenų valdytojas duomenų subjektui turi pateikti informaciją, būtiną duomenų tvarkymo sąžiningumui ir skaidrumui užtikrinti, be kita ko, apie asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti.
80 Kiek tai susiję su trečiųjų asmenų galimybe turėti prieigą prie slapukų, pažymėtina, kad tai yra informacija, priskiriama prie Direktyvos 95/46 10 straipsnio c punkte ir Reglamento 2016/679 13 straipsnio 1 dalies e punkte nurodytos informacijos, nes šiose nuostatose aiškiai nurodomi duomenų gavėjai ar gavėjų kategorijos.
81 Atsižvelgiant į tai, kas išdėstyta, į antrąjį klausimą reikia atsakyti, kad Direktyvos 2002/58 5 straipsnio 3 dalis turi būti aiškinama taip, kad informacija, kurią paslaugų teikėjas turi suteikti interneto svetainės naudotojui, apima slapukų veikimo trukmę ir galimybę (arba ne) tretiesiems asmenims turėti prieigą prie šių slapukų.
Dėl bylinėjimosi išlaidų
82 Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.
Remdamasis šiais motyvais, Teisingumo Teismas (didžioji kolegija) nusprendžia:
1. 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvos 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių), iš dalies pakeistos 2009 m. lapkričio 25 d. Europos Parlamento ir Tarybos direktyva 2009/136/EB, 2 straipsnio f punktą ir 5 straipsnio 3 dalį, siejamus su 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 2 straipsnio h punktu ir 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46 (Bendrasis duomenų apsaugos reglamentas) 4 straipsnio 11 punktu ir 6 straipsnio 1 dalies a punktu, reikia aiškinti taip, kad nėra duotas šiose nuostatose nurodytas galiojantis sutikimas, kai išsaugoti informaciją arba prieiti prie informacijos, saugomos interneto svetainės naudotojo galiniame įrenginyje, pasinaudojant slapukais, leidžiama pagal iš anksto pažymėtą žymimąjį langelį, kurio žymėjimą naudotojas turi pašalinti, norėdamas atsisakyti duoti sutikimą.
2. Direktyvos 2002/58, iš dalies pakeistos Direktyva 2009/136, 2 straipsnio f punkto ir 5 straipsnio 3 dalies, siejamų su Direktyvos 95/46 2 straipsnio h punktu ir Reglamento 2016/679 4 straipsnio 11 punktu bei 6 straipsnio 1 dalies a punktu, nereikia aiškinti skirtingai, atsižvelgiant į tai, ar interneto svetainės naudotojo galiniame įrenginyje saugoma arba naudojama informacija yra (arba nėra) asmens duomenys, kaip jie suprantami pagal Direktyvą 95/46 ir Reglamentą 2016/679.
3. Direktyvos 2002/58, iš dalies pakeistos Direktyva 2009/136, 5 straipsnio 3 dalis turi būti aiškinama taip, kad informacija, kurią paslaugų teikėjas turi suteikti interneto svetainės naudotojui, apima slapukų veikimo trukmę ir galimybę (arba ne) tretiesiems asmenims turėti prieigą prie šių slapukų.
Parašai.