STANOVISKO GENERÁLNÍHO ADVOKÁTA
MACIEJE SZPUNARA
přednesené dne 21. března 2019(1)
Věc C‑673/17
Planet49 GmbH
proti
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
[žádost o rozhodnutí o předběžné otázce podaná Bundesgerichtshof (Spolkový soudní dvůr, Německo)]
„Žádost o rozhodnutí o předběžné otázce – Směrnice 95/46/ES – Směrnice 2002/58/ES – Nařízení (EU) 2016/679 – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Cookies – Pojem souhlas subjektu údajů – Prohlášení o souhlasu prostřednictvím předem nastaveného políčka na zaškrtnutí“
I. Úvod
1. Aby se mohl internetový uživatel účastnit loterie organizované společností Planet49, byla tomuto uživateli nabídnuta dvě políčka na zaškrtnutí, které musel označit nebo naopak označení zrušit, než mohl stisknout „tlačítko účasti“. Jedno z políček na zaškrtnutí vyžadovalo na uživateli, aby souhlasil s tím, že jej bude kontaktovat řada firem s propagačními nabídkami, další políčko na zaškrtnutí vyžadovalo na uživateli souhlas s instalací cookies na jeho počítači. Toto jsou ve stručnosti skutkové okolnosti projednávané žádosti o rozhodnutí o předběžné otázce předložené Bundesgerichtshof (Spolkový soudní dvůr, Německo).
2. Pod těmito zdánlivě neškodnými okolnostmi se skrývají základní otázky unijního práva v oblasti ochrany údajů: jaké přesně jsou požadavky na informovaný souhlas, který má být udělen svobodně? Existuje rozdíl mezi (pouhým) zpracováním osobních údajů a nastavením a přístupem ke cookies? Které právní nástroje jsou použitelné?
3. V tomto stanovisku budu tvrdit, že pokud jde o projednávanou věc, požadavky na poskytnutí souhlasu jsou stejné podle směrnice 95/46/ES(2) a podle nařízení (EU) 2016/679(3) a že v této projednávané věci není rozdíl mezi tím, zda se jedná o obecnou otázku zpracování osobních údajů nebo o konkrétní otázku uchovávání informací a získávání přístupu k nim prostřednictvím cookies.
II. Právní rámec
A. Unijní právo
1. Směrnice 95/46
4. Článek 2 směrnice 95/46, nadepsaný „Definice“, stanoví:
„Pro účely této směrnice se rozumí:
[…]
h) ‚souhlasem subjektu údajů‘ jakýkoli svobodný, výslovný a vědomý projev vůle, kterým subjekt údajů dává své svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování.“
5. V rámci Oddílu II této směrnice, nadepsaného „Zásady pro oprávněné zpracování údajů“, se v čl. 7 písm. a) stanoví následující:
„Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:
a) subjekt údajů nezpochybnitelně udělil souhlas; nebo
[…]“
6. V článku 10 téže směrnice, nadepsaném „Informování v případě shromažďování údajů od subjektu údajů“, je uvedeno následující:
„Členské státy stanoví, že správce nebo jeho zástupce musí poskytnout osobě, od které získává údaje, které se jí týkají, alespoň dále uvedené informace, ledaže s nimi subjekt údajů již byl seznámen:
a) totožnost správce a popřípadě jeho zástupce;
b) účely zpracování, pro které jsou údaje určeny;
c) veškeré doplňující informace jako:
– příjemci nebo kategorie příjemců údajů,
– skutečnost, zda jsou odpovědi na otázky povinné nebo dobrovolné a případné důsledky neposkytnutí odpovědi,
– existence práva na přístup k údajům, které se subjektu údajů týkají, a právo na jejich opravu,
v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů vůči subjektu údajů, s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány.“
2. Směrnice 2002/58/ES(4)
7. Body 24 a 25 odůvodnění směrnice 2002/58/ES(5) uvádí následující:
„(24) koncové zařízení uživatelů sítí elektronických komunikací a jakékoli informace uchovávané na takovém zařízení tvoří součást soukromí uživatelů, které vyžaduje ochranu v souladu s Evropskou úmluvou o ochraně lidských práv a základních svobod. Tzv. špionážní software (‚spyware‘), webové štěnice (‚web bugs‘), skryté identifikátory a jiné podobné nástroje mohou pronikat do koncového zařízení uživatele bez jeho vědomí s cílem získat přístup k informacím, uchovávat skryté informace nebo sledovat činnost uživatele a mohou vážně narušit soukromí těchto uživatelů. Použití takových nástrojů by mělo být povoleno pouze k oprávněným účelům s vědomím uživatelů, kterých se dotýká;
(25) takové nástroje, jako např. tzv. ‚cookies‘ mohou však být oprávněným a užitečným nástrojem např. při zkoumání účinnosti designu a reklamy na webové stránce a při ověřování totožnosti uživatelů zúčastněných na on-line transakcích. Pokud jsou takové nástroje, jako například ‚cookies‘, určeny pro oprávněný účel, jako je usnadnit poskytování služeb informační společnosti, jejich použití je povoleno pod podmínkou, že uživatelé jsou jasně a přesně informováni v souladu s ustanovením směrnice 95/46 o účelu ‚cookies‘ či podobných nástrojů a je zajištěno, aby uživatelům byly známy informace, které se ukládají do koncového zařízení, jež používají. Uživatelé musí mít možnost odmítnout, aby ‚cookies‘ nebo podobné nástroje byly ukládány do jejich koncových zařízení. Toto je obzvláště důležité v případě, kdy uživatelé odlišní od původního uživatele mají přístup ke koncovému zařízení, a tudíž i k veškerým údajům uchovávaným v takovém zařízení, které obsahují i citlivé informace o soukromí. Informace a právo odmítnout musí být poskytnuty jednorázově pro použití různých nástrojů, které mohou být instalovány do koncového zařízení uživatele v průběhu téhož připojení, jakož i pro další použití těchto nástrojů v průběhu následných připojení. Metody podávání informací, nabízení práva odmítnout nebo vyžadování souhlasu je nutno provádět způsobem co možná nejvíce vstřícným vůči uživateli. I přesto lze přístup k obsahu určitých webových stránek podmínit plně informovaným přijetím ‚cookie‘ nebo podobného nástroje, je-li tento nástroj používán k oprávněným účelům;“
8. V článku 2 uvedené směrnice, nadepsaném „Definice“, se v písmeni f) stanoví:
„Není-li stanoveno jinak, použijí se definice uvedené ve směrnici 95/46 a směrnici Evropského parlamentu a Rady 2002/21/ES ze dne 7. března 2002 o společném předpisovém rámci pro sítě a služby elektronických komunikací (rámcová směrnice) [(6)].
Použijí se rovněž tyto definice:
[…]
f) ‚souhlas‘ uživatele či účastníka odpovídá souhlasu subjektu údajů podle směrnice 95/46/ES;
[…]“
9. Článek 5 uvedené směrnice, nadepsaný „Důvěrný charakter sdělení“, v odstavci 3 stanoví:
„Členské státy zajistí, aby uchovávání informací nebo získávání přístupu k již uchovávaným informacím bylo v koncovém zařízení účastníka nebo uživatele povoleno pouze pod podmínkou, že dotčený účastník či uživatel poskytl svůj souhlas poté, co mu byly poskytnuty jasné a úplné informace v souladu se směrnicí 95/46/ES, mimo jiné o účelu zpracování. To nebrání technickému ukládání nebo takovému přístupu, jehož jediným účelem je provedení přenosu sdělení prostřednictvím sítě elektronických komunikací, nebo je-li to nezbytně nutné k tomu, aby mohl poskytovatel služeb informační společnosti poskytovat služby, které si účastník nebo uživatel výslovně vyžádal.“
3. Směrnice 2009/136/ES(7)
10. Bod 66 odůvodnění směrnice 2009/136/EC(8) uvádí:
„Třetí osoby mohou projevit přání uchovávat informace o vybavení uživatele nebo mít přístup k již uchovávaným informacím pro různé účely, od legitimních (jako například některé typy ‚cookies‘) až po účely představující neodůvodněné narušení soukromé sféry (jako například spyware nebo viry). Je proto nanejvýš důležité, aby měli uživatelé, kteří zahajují jakoukoli činnost, která by mohla vést k takovému uchovávání údajů nebo přístupu k nim, k dispozici jasné a srozumitelné informace. Metody poskytování informací a nabízení práva odmítnout by měly být co možná nejvíce vstřícné vůči uživateli. Výjimky z povinnosti poskytnout informace a nabídnout právo na odmítnutí by se měly omezovat na situace, kdy jsou technické uchovávání nebo přístup striktně nezbytné pro legitimní účel zpřístupnit uživateli konkrétní službu, o niž účastník nebo uživatel výslovně požádal. Je-li to technicky možné a efektivní, může být v souladu s příslušnými ustanoveními směrnice 95/46 souhlas uživatele se zpracováním údajů vyjádřen vhodným nastavením prohlížeče nebo jiné aplikace. Vymáhání těchto požadavků by bylo účinnější, pokud by byly posíleny pravomoci příslušných vnitrostátních orgánů.“
4. Nařízení 2016/679
11. Bod 32 odůvodnění nařízení 2016/679 uvádí:
„Souhlas by měl být dán jednoznačným potvrzením, které je vyjádřením svobodného, konkrétního, informovaného a jednoznačného svolení subjektu údajů ke zpracování osobních údajů, které se jej týkají, a to v podobě písemného prohlášení, i učiněného elektronicky, nebo ústního prohlášení. Mohlo by se například jednat o zaškrtnutí políčka při návštěvě internetové stránky, volbu technického nastavení pro služby informační společnosti nebo jiné prohlášení či jednání, které v této souvislosti jasně signalizuje souhlas subjektu údajů s navrhovaným zpracováním jeho osobních údajů. Mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas. Souhlas by se měl vztahovat na veškeré činnosti zpracování prováděné pro stejný účel nebo stejné účely. Jestliže má zpracování několik účelů, měl by být souhlas udělen pro všechny. Má-li subjekt údajů vyjádřit souhlas na základě žádosti podané elektronickými prostředky, musí být žádost jasná a stručná a nesmí zbytečně narušit využívání služby, pro kterou je souhlas dáván.“
12. Článek 4 téhož nařízení, nadepsaný „Definice“, v odstavci 11 stanoví:
„Pro účely tohoto nařízení se rozumí:
[…]
(11) ‚souhlasem‘ subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů;
[…]“
13. Článek 6 téhož nařízení, nadepsaný „Zákonnost zpracování“, stanoví:
„1. Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
[…]“
14. Článek 7 nařízení 2016/679 je nadepsán „Podmínky vyjádření souhlasu“. Podle čl. 7 odst. 4 platí, že „[p]ři posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné“.
B. Německé právo
1. Německý občanský zákoník
15. Ustanovení § 307(9) Bürgerliches Gesetzbuch (německý občanský zákoník, dále jen „BGB“) stanoví:
„1) Ujednání všeobecných smluvních podmínek jsou neúčinná, pokud v rozporu se zásadou dobré víry nepřiměřeně znevýhodňují smluvního partnera uživatele. Nepřiměřené znevýhodnění může spočívat také v tom, že ustanovení je nejasné a nesrozumitelné.
2) V případě pochybností se má za to, že o nepřiměřené znevýhodnění se jedná, pokud ustanovení
1. je neslučitelné se zásadními principy zákonné úpravy, od které se odchyluje, nebo
2. omezuje základní práva nebo povinnosti, které vyplývají z povahy smlouvy, takovým způsobem, že je ohroženo dosažení účelu této smlouvy.
3) Odstavce 1 a 2 výše a §§ 308 a 309 se vztahují pouze na taková ustanovení všeobecných obchodních podmínek, na jejichž základě jsou přijata ujednání odchylující se od právních norem, nebo ujednání doplňující tyto právní normy. Jiná ustanovení mohou být neúčinná podle odstavce 1 věty druhé výše ve spojení s odstavcem 1 věty první výše.“
2. Zákon o ochraně hospodářské soutěže
16. Gesetz gegen den unlauteren Wettbewerb (zákon o ochraně hospodářské soutěže, dále jen „UWG“) zakazuje obchodní praktiky, které představují nepřijatelné obtěžování účastníka trhu. Ustanovení § 7 odst. 2 UWG stanoví v bodě 2, že „[n]epřijatelné obtěžování se vždy předpokládá v případě […] reklamy využívající telefonních hovorů se spotřebitelem bez jeho předchozího výslovného souhlasu nebo hovorů s jiným účastníkem trhu bez alespoň jeho předpokládaného souhlasu.“
3. Zákon o službách elektronických informací a komunikací
17. Ustanovení § 12 odst. 1 Telemediengesetz (zákon o službách elektronických informací a komunikací, dále jen „TMG“) provádí čl. 7 písm. a) směrnice 95/46 a stanoví podmínky, za nichž je poskytovatel služeb oprávněn shromažďovat a používat osobní údaje pro účely elektronických médií. Podle tohoto ustanovení je poskytovatel služeb oprávněn shromažďovat a používat osobní údaje pro účely elektronických médií pouze tehdy, pokud to dovoluje TMG nebo jiný právní předpis, který výslovně upravuje elektronická média, anebo pokud s tím uživatel souhlasí.
18. Ustanovení § 12 odst. 3 TMG stanoví, že platné právní předpisy upravující osobní údaje musí být použity, i když údaje nejsou předmětem automatického zpracování.
19. Ustanovení § 13 odst. 1 TMG vyžaduje na poskytovateli služeb, aby na začátku využívání těchto služeb informoval uživatele o způsobu, rozsahu a účelu zpracování osobních údajů, jakož i o zpracování údajů nad rámec působnosti směrnice 95/46.
20. Ustanovení § 15 odst. 1 TMG stanoví, že poskytovatelé služeb mohou shromažďovat a zpracovávat osobní údaje pouze tehdy, je-li to nezbytné pro užití médií online nebo pro účely vystavení faktury vztahující se k tomuto užití (dále jen „údaje uživatele“). Údaje uživatele jsou definovány mimo jiné jako údaje umožňující identifikaci uživatelů.
21. Ustanovení § 15 odst. 3 TMG provádí čl. 5 odst. 3 směrnice 2002/58 a opravňuje poskytovatele služeb k tomu, aby založil uživatelské profily prostřednictvím pseudonymů pro účely reklamy, analýzy trhu nebo konfigurace elektronických médií, a to za podmínky, že uživatel nemá proti tomu námitky a že poskytovatel služeb uživatele informoval o jeho právu na odmítnutí, a to v souladu s povinností poskytnout informace podle § 13 odst. 1 TMG.
4. Spolkový zákon o ochraně údajů
22. Ustanovení § 3 odst. 1 Bundesdatenschutzgesetz (spolkový zákon o ochraně údajů, dále jen „BDSG“)(10) provádí čl. 2 písm. a) směrnice 95/46 a definuje pojem „osobní údaje“ jako údaje vztahující se k osobním nebo věcným poměrům identifikované nebo identifikovatelné fyzické osoby.
23. Ustanovení § 4a BDSG provádí do vnitrostátního práva čl. 2 písm. h) směrnice 95/46 a stanoví, že souhlas je platný pouze tehdy, je-li vyjádřením svobodné vůle dotčené osoby.
III. Skutkový stav, řízení a předběžné otázky
24. Dne 24. září 2013 společnost Planet49 GmbH uspořádala na internetové adrese www.dein-macbook.de reklamní loterii(11). Pro účast v reklamní loterii byl internetový uživatel povinen zadat své poštovní směrovací číslo, což jej navedlo na stránku obsahující zadávací políčka pro jméno a adresu uživatele. Pod zadávacími políčky pro adresu se nacházely dvě poznámky se dvěma políčky na zaškrtnutí. Budu na ně nyní odkazovat jako na „první políčko na zaškrtnutí“ a „druhé políčko na zaškrtnutí“. První poznámka, jejíž políčko nebylo předem zaškrtnuto, zněla:
„Souhlasím s tím, že někteří sponzoři a spolupracující partneři mě mohou informovat poštou, telefonicky či prostřednictvím e-mailu nebo krátkých textových zpráv o svých nabídkách v rámci předmětu jejich podnikání. Tyto partnery mohu na tomto místě sám určit, jinak bude platit volba zvolená pořadatelem. Tento souhlas mohu kdykoliv odvolat. Další informace o této volbě naleznete zde.“
25. Druhá poznámka, jejíž políčko bylo předem zaškrtnuto, zněla:
„Souhlasím s tím, že u mne bude použita služba pro analýzu webu Remintrex. Jejím důsledkem je, že poskytovatel reklamní loterie, společnost Planet49 GmbH, po zaregistrování do loterie, využije soubory cookies, které společnosti Planet49 umožní vyhodnotit údaje o mém prohlížení a chování na internetových stránkách reklamních partnerů, a umožní tedy reklamu prostřednictvím Remintrexu, která je založena na zájmech uživatelů. Soubory cookies mohu opět kdykoli smazat. Bližší informace naleznete zde.“
26. Účast v loterii byla umožněna pouze tehdy, pokud bylo zaškrtnuto alespoň první políčko.
27. Přednastavený internetový odkaz pod výrazem „sponzoři a spolupracující partneři“ a „zde“ v první poznámce vedl k seznamu 57 podniků, jejich adres a dále k propagovaným oblastem jejich obchodní činnosti a způsobu komunikace, jenž je využíván k reklamním účelům (e-mail, pošta nebo telefon), jakož i k podtrženému slovu „odhlásit“, jež bylo uvedeno za každým podnikem. Seznamu předcházelo následující upozornění:
„Kliknutím na odkaz ‚odhlásit‘ jsem rozhodl o tom, že uvedeným partnerům či sponzorům nesmí být udělen žádný souhlas s reklamou. Pokud jsem neodhlásil žádné partnery či sponzory či jen několik z nich, společnost Planet49 pro mne zvolí partnery či sponzory dle svého uvážení (nejvyšší počet: 30 partnerů či sponzorů).“
28. Po kliknutí na přednastavený internetový odkaz pod slovem „zde“, které bylo obsaženo ve druhé poznámce, zobrazil internetový odkaz následující informaci:
„V případě používaných souborů cookies nazvaných ceng_cache, ceng_etag, ceng_png a gcr se jedná o datové soubory malého rozsahu, které bude na Váš pevný disk systematicky ukládat vámi zvolený prohlížeč a jejichž prostřednictvím budou shromažďovány užitečné informace, které umožňují uživatelsky orientovanou a účinnou reklamu. Soubory cookies obsahují vygenerované číslo (ID), které je zároveň přiřazeno k vašim registračním údajům. Pokud následně navštívíte webové stránky některého z reklamních partnerů, kteří jsou zaregistrovaní u služby Remintrex (předchází-li této návštěvě registrace, prostudujte si prohlášení o ochraně údajů reklamních partnerů), bude díky zabudovaným iFrames od společnosti Remintrex automaticky zaznamenáváno, že jste (nebo uživatel s uloženým ID) takovou stránku navštívil, o jaký výrobek jste se zajímal a zda došlo k uzavření kupní smlouvy.
Následně může společnost Planet49 GmbH na základě souhlasu s reklamou, který byl poskytnut při registraci k loterii, umožnit, aby Vám byly zasílány reklamní e‑maily, jež zohledňují Vaše zájmy, které jste projevil na webových stránkách reklamního partnera. Po odvolání Vašeho souhlasu s povolením reklamy Vám samozřejmě již žádné reklamní e-maily zasílány nebudou.
Informace zprostředkované prostřednictvím souborů cookies budou použity výlučně pro účely reklamy, v níž budou prezentovány produkty reklamních partnerů. Informace budou u každého reklamního partnera shromažďovány, uchovávány a využívány odděleně. V žádném případě se nebudou vytvářet uživatelské profily nad rámec reklamních partnerů. Jednotlivým reklamním partnerům nebudou zasílány žádné osobní údaje.
Pokud nebudete mít dále zájem na využívání souborů cookies, můžete je kdykoli prostřednictvím Vašeho prohlížeče odstranit. Návod na odstranění těchto souborů naleznete pod funkcí nápovědy Vašeho prohlížeče.
Prostřednictvím souborů cookies nemůže dojít k instalaci žádného programu či přenosu virů.
Samozřejmě můžete tento souhlas kdykoli odvolat. Odvolání souhlasu můžete zaslat písemně [na adresu] společnosti PLANET49 GmbH. Rovněž stačí, pokud zašlete e-mail našemu oddělení péče o zákazníky [e-mailová adresa].“
29. Žalobce v původním řízení, tj. Bundesverband der Verbraucherzentralen (německá Spolková federace sdružení a svazů spotřebitelů, dále jen „Bundesverband“) je zapsán na seznamu oprávněných subjektů podle Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (zákon o žalobách na zdržení se jednání v oblasti ochrany zájmů spotřebitelů, dále jen „UKlaG“). Podle Bundesverband nesplňují výše uvedená prohlášení o souhlasu použitá společností Planet49 požadavky stanovené v § 307 BGB, § 7 odst. 2 bodu 2 UWG a § 12 a násl. TMG. Předžalobní výzva zaslaná před zahájením soudního řízení nevedla k žádnému výsledku.
30. Bundesverband podal žalobu k Landgericht Frankfurt am Main (Zemský soud ve Frankfurtu nad Mohanem, Německo), v rámci které se domáhal toho, aby společnost Planet49 přestala používat výše uvedená ujednání(12) a aby byla uvedené společnosti uložena povinnost zaplatit částku 214 eur a úroky od 15. března 2014.
31. The Landgericht Frankfurt am Main (Zemský soud ve Frankfurtu nad Mohanem, Německo) vyhověl některým žalobním návrhům a ve zbývající části žalobu zamítl. Po opravném prostředku proti rozsudku v nalézacím řízení(13) k Oberlandesgericht Frankfurt am Main (Vrchní zemský soud ve Frankfurtu nad Mohanem, Německo) byl u Bundesgerichtshof (Spolkový soudní dvůr, Německo) podán kasační opravný prostředek „Revision“(14).
32. Bundesgerichtshof (Spolkový soudní dvůr) má za to, že úspěch kasačního opravného prostředku „Revision“ závisí na výkladu čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58, ve spojení s čl. 2 písm. h) směrnice 95/46 a čl. 6 odst. 1 nařízení 2016/679 a položil Soudnímu dvoru následující předběžné otázky:
„1. a) Jedná se o účinný souhlas ve smyslu čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46, pokud uchovávání informací nebo přístup k informacím, jež jsou již uchovány v koncovém zařízení uživatele, je povoleno předem nastaveným políčkem na zaškrtnutí, jež musí uživatel k odmítnutí svého souhlasu zvolit?
b) Je při použití čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46 rozdíl, pokud se v případě uložených nebo získaných informací jedná o osobní údaje?
c) Byl za okolností uvedených v otázce 1 a) udělen účinný souhlas ve smyslu čl. 6 odst. 1 písm. a) nařízení 2016/679?
2) Jaké informace musí poskytovatel služby v rámci jasných a úplných informací podle čl. 5 odst. 3 směrnice 2002/58 poskytnout uživateli? Náleží mezi ně rovněž doba funkčnosti cookies a otázka, zda má ke cookies přístup třetí osoba?“
33. Předkládací rozhodnutí došlo Soudnímu dvoru dne 30. listopadu 2017. Písemná vyjádření byla předložena společností Planet49, Bundesverband, portugalskou a italskou vládou, jakož i Evropskou komisí. Dne 13. listopadu 2018 se konalo jednání, jehož se zúčastnily společnost Planet49, Bundesverband, německá vláda a Komise.
IV. Posouzení
34. Obě předběžné otázky položené Bundesgerichtshof (Spolkový soudní dvůr) se týkají poskytnutí souhlasu s uchováváním informací a získání přístupu k informacím, jež jsou již uchovány v koncovém zařízení uživatele, tedy k souborům cookies, ve zvláštním kontextu ustanovení směrnice 2002/58 ve spojení s ustanoveními směrnice 95/46 nebo nařízení 2016/679.
35. V rámci úvodních poznámek považuji za užitečné poskytnout skutkové objasnění fenoménu cookies a související terminologie, jakož i právně vyjasnit použitelné právní instrumenty v projednávané věci.
A. Úvodní poznámky
1. K souborům cookies
36. Soubor cookie umožňuje shromažďování informací generovaných internetovou stránkou a uložených prohlížečem internetového uživatele(15). Jedná se o malý datový nebo textový soubor, obvykle o velikosti menší než jeden kilobyte, o jehož uložení na místním pevném disku počítače uživatele nebo na mobilním zařízení požádá webová stránka prohlížeč internetového uživatele(16).
37. Soubor cookie umožňuje internetové stránce, aby si průběžně „pamatovala“ činnosti uživatele nebo jeho preference. Většina prohlížečů podporuje soubory cookies, ale uživatelé mohou tyto prohlížeče nastavit tak, aby je odmítaly. Kdykoliv je také mohou smazat. Mnoho uživatelů skutečně upravuje nastavení prohlížečů týkající se souborů cookies tak, aby standardně automaticky smazaly soubory cookies při zavření okna prohlížeče. Empirické důkazy nicméně zcela svědčí o tom, že lidé zřídkakdy mění standardní nastavení, což je fenomén, pro který byl vytvořen pojem „standardní nečinnost“(17).
38. Internetové stránky používají soubory cookies pro účely identifikace uživatelů, k zapamatování si jejich obvyklých preferencí a k tomu, aby umožnily uživatelům dokončit jejich činnosti, aniž by museli opětovně zadávat informace při přecházení z jedné stránky na druhou nebo když stránky navštíví později.
39. Soubory cookies mohou být také použity pro shromažďování informací ohledně online chování uživatelů pro cílenou reklamu a marketing(18). Společnosti například používají software, aby sledovaly chování uživatelů a vytvářely osobní profily, což umožňuje, aby se uživatelům zobrazovaly reklamy týkající se předchozích vyhledávání uživatelů(19).
40. Existují různé druhy souborů cookies, z nichž některé se rozlišují podle své životnosti (např. relační cookies a trvalé cookies) a další podle domény, ke které cookie patří (např. cookies prvních osob a cookies třetích osob)(20). Když internetový server poskytující internetovou stránku uchovává soubory cookies na počítači nebo mobilním zařízení uživatele, nazývají se „http header“ cookies(21). Další způsob uchovávání souborů cookies je prostřednictvím JavaScript kódu, který je obsažen v uvedené stránce nebo je na něj odkazováno(22). Platnost souhlasu s umístěním souborů cookies a uplatnitelnost jakýchkoliv relevantních výjimek by však měla být posouzena na základě účelu souboru cookie, a nikoliv podle technických znaků(23).
2. K použitelným právním předpisům
41. Právní rámec použitelný v původní věci se během let rozvíjí, přičemž aktuálně vstoupilo v platnost nařízení 2016/679.
42. V projednávané věci jsou použitelné dva soubory unijních právních předpisů. Zaprvé, směrnice 95/46 a nařízení 2016/679. Zadruhé, směrnice 2002/58 ve znění směrnice 2009/136(24).
43. Rád bych k těmto dvěma souborům právních předpisů uvedl dvě poznámky.
44. První poznámka se týká použitelnosti směrnice 95/46 a nařízení 2016/679.
45. Nařízení 2016/679, které je použitelné od 25. května 2018(25), zrušilo směrnici 95/46 s účinností od téhož data(26).
46. Toto datum 25. května 2018 následuje až po posledním jednání před předkládajícím soudem dne 14. července 2017 a samozřejmě také po datu 5. října 2017, kdy byla projednávaná věc předložena Soudnímu dvoru k rozhodnutí o předběžné otázce.
47. Pro situace před 25. květnem 2018 je tedy použitelným právem směrnice 2002/58 ve spojení se směrnicí 95/46, zatímco pro situace ode dne 25. května 2018 je použitelným právem směrnice 2002/58 ve spojení s nařízením 2016/679.
48. Jelikož se Bundesverband domáhá toho, aby se společnost Planet49 zdržela svého jednání(27) do budoucna, v projednávané věci je použitelné nařízení 2016/679. Ve svém rozhodnutí o žalobě na zdržení se jednání do budoucna bude muset Bundesgerichtshof (Spolkový soudní dvůr) proto vzít v úvahu požadavky nařízení 2016/679. V této souvislosti německá vláda poukazuje na ustálenou vnitrostátní judikaturu týkající se relevantní právní situace v žalobách na zdržení se jednání(28).
49. V důsledku toho je tedy třeba odpovědět na položenou otázku jak s ohledem na směrnici 95/46, tak na nařízení 2016/679(29).
50. Kromě toho je třeba poznamenat, že odkazy ve směrnici 2002/58 na směrnici 95/46 musí být vykládány jako odkazy na nařízení 2016/679(30).
51. Druhá poznámka se týká vývoje čl. 5 odst. 3 směrnice 2002/58.
52. Směrnice 2002/58 usiluje o to, aby byla plně dodržována práva stanovená v Listině základních práv Evropské unie, a to především v článcích 7 a 8 uvedené listiny(31). Článek 5 uvedené směrnice usiluje o zajištění „důvěrného charakteru sdělení“. Článek 5 odst. 3 konkrétně upravuje používání souborů cookies a stanoví požadavky, které musí být dodrženy před tím, než mohou být údaje uchovávány nebo k nim získáván přístup na počítači uživatele prostřednictvím nastavení souboru cookie.
53. Směrnice 2009/136 zavedla významné změny v požadavcích na souhlas podle čl. 5 odst. 3 směrnice 2002/58, a to za účelem posílení ochrany uživatelů. Před změnami zavedenými uvedenou směrnicí se v čl. 5 odst. 3 požadovalo pouze to, aby bylo uživatelům poskytnuto informované „rozhodnutí neúčastnit se“ (tzv. opt-out) zpracování údajů prostřednictvím souborů cookies. Jinými slovy, podle původního znění čl. 5 odst. 3 měl poskytovatel služeb povinnost, aby v případě uchovávání informací v koncovém zařízení uživatele nebo získávání přístupu k takto uchovávaným informacím takového uživatele jasně a úplně informoval o účelu zpracování a nabídl mu právo takové zpracování odmítnout.
54. Směrnice 2009/136 nahradila uvedenou povinnost informovat o právu zpracování odmítnout požadavkem, že „dotčený účastník či uživatel poskytl svůj souhlas“, což znamená, že nahradil jednodušeji splnitelný informovaný tzv. opt-out systém informovaným tzv. opt-in systémem. S výhradou velmi omezené výjimky, která se v projednávané věci neuplatní(32), je použití souborů cookies podle změněného čl. 5 odst. 3 směrnice 2002/58 dovoleno pouze tehdy, pokud uživatel poskytl souhlas poté, co byl jasně a úplně informován v souladu se směrnicí 95/46 o tom, proč jsou jeho údaje sledovány, to znamená o účelu zpracování(33).
55. Jak podrobněji uvedu níže, rozsah povinnosti poskytnout informace podle čl. 5 odst. 3 směrnice 2002/58 je jádrem projednávaného sporu, zejména v rámci standardního nastavení pro online činnosti.
B. První předběžná otázka
56. V rámci své předběžné otázky 1. a) se předkládající soud táže, zda se jedná o účinný souhlas ve smyslu čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46, pokud uchovávání informací nebo přístup k těm informacím, jež jsou již uchovány v koncovém zařízení uživatele, je povoleno předem zaškrtnutým políčkem, jehož zaškrtnutí musí uživatel k odmítnutí svého souhlasu zrušit. V této souvislosti se předkládající soud táže, zda je rozdíl, pokud se v případě uchovávaných nebo získaných informací jedná o osobní údaje (předběžná otázka 1. b)). Konečně si předkládající soud přeje vědět, zda byl za výše popsaných okolností udělen účinný souhlas ve smyslu čl. 6 odst. 1 písm. a) nařízení 2016/679 [(předběžná otázka 1. c)].
1. Ke svobodně poskytnutému a informovanému souhlasu
57. Zásadním prvkem unijních předpisů o ochraně údajů je souhlas.
58. Než se zaměřím na konkrétní otázku souborů cookies, rád bych uvedl obecné zásady vyplývající z použitelných právních předpisů o poskytnutí souhlasu.
a) Podle směrnice 95/46
1) Aktivní souhlas
59. Z ustanovení směrnice 95/46 dovozuji, že souhlas musí být vyjádřen aktivním(34) způsobem.
60. Článek 2 písm. h) směrnice 95/46 odkazuje na projev vůle subjektu údajů, což jasně poukazuje na aktivní, nikoliv na pasivní jednání. Kromě toho, čl. 7 písm. a) směrnice 95/46, který se týká kritérií pro oprávněné zpracování (osobních) údajů, stanoví, že subjekt údajů nezpochybnitelně udělil souhlas. Opět, nejednoznačnost lze odstranit pouze aktivním, nikoliv pasivním chováním.
61. Z toho dovozuji, že v tomto ohledu není dostatečné, pokud je prohlášení uživatele o souhlasu předem formulováno a pokud musí uživatel aktivně vyjádřit svou námitku, že se zpracováním údajů nesouhlasí.
62. V druhé uvedené situaci skutečně není jasné, zda takový předem formulovaný text byl přečten a pochopen. Taková situace není jednoznačná. Uživatel mohl, ale také nemusel takový text přečíst. Mohl jeho čtení opomenout z čiré nedbalosti. V takové situaci není možné prokázat, zda byl souhlas poskytnut svobodně.
2) Samostatný souhlas
63. S požadavkem na aktivní souhlas je úzce spojen požadavek samostatného souhlasu(35).
64. Lze tvrdit, jak to činí společnost Planet 49, že účinný souhlas je poskytnut ze strany subjektu údajů nikoliv tehdy, když neodklikne předem formulované prohlášení o souhlasu, ale naopak když aktivně „klikne“ na tlačítko účasti v online loterii.
65. S takovým výkladem se neztotožňuji.
66. Aby byl souhlas poskytnut „svobodně“ a „informovaně“, nejenže musí být souhlas aktivní, ale musí být i samostatný. Aktivita, kterou uživatel vykonává na internetu (čtení internetové stránky, účast na loterii, sledování videa atd.), a poskytnutí souhlasu nemohou být součástí téhož úkonu. Zejména z pohledu uživatele nemůže mít poskytnutí souhlasu akcesorickou povahu k účasti na loterii. Obě aktivity musí být zejména opticky prezentovány na stejné pozici. V důsledku toho se mi zda pochybné, že by provázané projevy vůle, které by zahrnovaly poskytnutí souhlasu, byly v souladu s pojmem souhlas podle směrnice 95/46.
3) Povinnost plně informovat
67. V tomto smyslu musí být uživateli zcela jasné, zda aktivita, kterou na internetu vykonává, závisí na poskytnutí souhlasu. Uživatel musí být v pozici, aby mohl posoudit, do jaké míry je připraven poskytnout své údaje, aby mohl vykonávat svou aktivitu na internetu. Nesmí zde být žádný prostor pro nejednoznačnost(36). Uživatel musí vědět, zda a v jakém rozsahu má poskytnutí souhlasu dopad na vykonávání jeho aktivity na internetu.
b) Podle nařízení 2016/679
68. Výše uvedené zásady stejně tak platí i pro nařízení 2016/679.
69. Článek 4 bod 11 nařízení 2016/679 definuje souhlas subjektu údajů jako jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.
70. Je třeba poznamenat, že tato definice je přísnější, než definice v čl. 2 písm. h) směrnice 95/46 v tom smyslu, že požaduje jednoznačný projev vůle subjektu údajů a zjevné potvrzení jeho svolení ke zpracování osobních údajů.
71. Kromě toho, odůvodnění nařízení 2016/679 je obzvláště objasňující. Protože na body odůvodnění budu hojně odkazovat(37), jsem nucen připomenout, že samozřejmě není právně závazné(38), ale Soudní dvůr jej často využívá při výkladu ustanovení unijního právního aktu. V unijním právním řádu mají popisný a nikoli normativní charakter. Otázka jejich právní závaznosti totiž zpravidla není aktuální jednoduše proto, že se jejich znění obvykle odráží v normativních ustanoveních směrnice. Osvědčená legislativní praxe unijních politických orgánů usiluje o to, aby body odůvodnění tvořily užitečný rámec ustanovení normativního textu(39).
72. Podle bodu 32 odůvodnění nařízení 2016/679 by souhlas měl být dán jednoznačným potvrzením, které je vyjádřením svobodného, konkrétního, informovaného a jednoznačného svolení subjektu údajů ke zpracování osobních údajů, které se jej týkají, a to v podobě písemného prohlášení, včetně použití elektronických prostředků, nebo ústního prohlášení. Mohlo by se například jednat o zaškrtnutí políčka při návštěvě internetové stránky, volbu technického nastavení pro služby informační společnosti nebo jiné prohlášení či jednání, které v této souvislosti jasně signalizuje souhlas subjektu údajů s navrhovaným zpracováním jeho osobních údajů. Mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas.
73. V nařízení 2016/679 je tudíž nyní výslovně stanoven aktivní souhlas.
74. Bod 43 odůvodnění tohoto nařízení navíc uvádí, že s cílem zajistit, aby byl souhlas svobodný, by vyjádření souhlasu nemělo představovat platný právní důvod pro zpracování osobních údajů ve zvláštním případě, kdy mezi subjektem údajů a správcem existuje jasná nerovnováha, zejména pokud je správce orgánem veřejné moci, a je tedy nepravděpodobné, že za všech okolností této konkrétní situace byl souhlas udělen svobodně. Lze předpokládat, že souhlas není svobodný, není-li možné vyjádřit samostatný souhlas s jednotlivými operacemi zpracování osobních údajů, i když je to v daném případě vhodné, nebo je-li plnění smlouvy, včetně poskytnutí služby, učiněno závislým na souhlasu, i když to není pro toto plnění nezbytné.
75. Potřeba samostatného souhlasu je proto nyní zdůrazněna výslovně v tomto bodě odůvodnění.
c) Podle směrnice 2002/58 – případ souborů cookies
76. Podle čl. 5 odst. 3 směrnice 2002/58 členské státy zajistí, aby uchovávání informací nebo získávání přístupu k již uchovávaným informacím bylo v koncovém zařízení účastníka nebo uživatele povoleno pouze pod podmínkou, že dotčený účastník či uživatel poskytl svůj souhlas poté, co mu byly poskytnuty jasné a úplné informace v souladu se směrnicí 95/46/ES, mimo jiné o účelu zpracování.
77. Toto ustanovení nestanoví žádná další kritéria, pokud jde o pojem souhlas.
78. Odůvodnění směrnice 2002/58 a směrnice 2009/136 nicméně poskytují vodítko ohledně souhlasu týkajícího se souborů cookies.
79. Bod 17 odůvodnění směrnice 2002/58 tudíž uvádí, že souhlas může být udělen jakýmkoli vhodným způsobem, který umožňuje vyjádřit svobodně poskytnutý, zvláštní a informovaný projev vůle uživatele, včetně označení zaškrtnutím políčka při návštěvě webové stránky na internetu(40).
80. Kromě toho, bod 66 odůvodnění směrnice 2009/136 vysvětluje, že je nanejvýš důležité, aby měli uživatelé, kteří zahajují jakoukoli činnost, která by mohla vést k uchovávání údajů na zařízení uživatele nebo přístupu k nim, k dispozici jasné a srozumitelné informace, a že metody poskytování informací a nabízení práva odmítnout by měly být co možná nejvíce vstřícné vůči uživateli.
81. V této souvislosti bych rád poukázal na nezávaznou, avšak poučnou práci pracovní skupiny pro ochranu údajů zřízené „podle článku 29“ (dále jen pracovní skupina zřízená „podle článku 29“)(41), podle níž ze souhlasu vyplývá předchozí potvrzující činnost uživatelů směřující k přijetí uchovávání souborů cookies a používání souborů cookie(42). Tatáž pracovní skupina uvádí, že z pojmu „projev vůle“ vyplývá potřeba činnosti(43). Další prvky definice souhlasu a dodatečný požadavek v čl. 7 písm. a) směrnice 95/46 na to, aby byl souhlas jednoznačný, tento výklad podporují(44). Z požadavku, že subjekt údajů musí „potvrdit“ svůj souhlas, vyplývá, že pouhá nečinnost není dostatečná a že určitá forma činnosti je vyžadována, aby se jednalo o souhlas, přestože různé druhy činností, které mají být posouzeny „v kontextu“, jsou možné(45).
2. Uplatnění na projednávanou věc
82. Rád bych nyní uplatnil uvedená kritéria na projednávanou věc. Přitom se budu nejprve zabývat předběžnou otázkou 1. a) a 1. c), tedy otázkou, zda byl udělen účinný souhlas, pokud jde o nastavení a přístup k souborům cookies. To se týká druhého políčka na zaškrtnutí.
83. Kromě toho, vzhledem k tomu, že požadavky na souhlas se příliš neliší, pokud jde o soubory cookies a obecně o zpracování osobních údajů, jak bylo právě prokázáno, tak v zájmu úplnosti a jasnosti, přestože se předkládající soud na tuto otázku výslovně netáže, považuji pro správný a jednotný výklad unijního práva za nezbytné stručně analyzovat, zda byl udělen účinný souhlas týkající se zpracování osobních údajů v souvislosti s prvním políčkem na zaškrtnutí. Jsem také srozuměn s tím, že Bundesgerichtshof (Spolkový soudní dvůr) bude muset rozhodnout v rámci řízení, v němž rozhoduje, o prvním políčku na zaškrtnutí(46).
a) Druhé políčko na zaškrtnutí – předběžná otázka 1. a) a 1. c)
84. Předkládající soud se táže, zda se jedná o účinný souhlas ve smyslu čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46, pokud uchovávání informací nebo přístup k informacím, jež jsou již uchovány v koncovém zařízení uživatele, je povoleno předem označeným políčkem, jehož označení musí uživatel k odmítnutí svého souhlasu zrušit?
85. Zásadními pojmy v článku 2 písm. h) směrnice 95/46 a článku 4 bodu 11 nařízení 2016/679 pro účely této otázky jsou pojmy „svobodný“ a „vědomý“. Otázka vyvstává ohledně toho, zda za situace popsané předkládajícím soudem může být souhlas poskytnut svobodně a vědomě.
86. Společnost Planet49 se domnívá, že tomu tak je. Všichni ostatní účastníci řízení(47) s tím nesouhlasí. V tomto smyslu se právní diskuse účastníků řízení v první řadě zaměřila na to, zda označení či zrušení označení políčka, které již bylo předem zaškrtnuto, splňuje tyto požadavky. Diskuse se týká otázky aktivity a pasivity. Tento aspekt však přes svou důležitost představuje pouze část požadavků. Týká se totiž pouze požadavků na aktivní, avšak nikoliv na samostatný souhlas.
87. Podle mého názoru je na základě kritérií stanovených výše odpověď taková, že v projednávané věci nebyl dán účinný souhlas.
88. Zaprvé, vyžadovat na uživateli, aby svým úkonem zrušil označení políčka, a tudíž aby byl aktivní, pokud nesouhlasí s instalací souborů cookies, nesplňuje kritérium aktivního souhlasu. V takové situaci je prakticky nemožné objektivně určit, zda uživatel udělil svůj souhlas na základě svobodného a vědomého rozhodnutí. Naproti tomu vyžadovat na uživateli, aby toto políčko označil, činí takové tvrzení mnohem pravděpodobnějším.
89. Zadruhé, což je důležitější, účast na online loterii a udělení souhlasu s instalací souborů cookies nemůže představovat součást téhož úkonu. Ale to je přesně situace v projednávané věci. V konečném důsledku uživatel pouze provede jedno kliknutí na tlačítko účasti, aby se zúčastnil loterie. Současně souhlasí s instalací souborů cookies. Dva projevy vůle (účast na loterii a souhlas s instalací souborů cookies) jsou učiněny současně. Tyto dva projevy vůle nemohou být podmíněny týmž tlačítkem účasti. V projednávané věci se ovšem souhlas se souborem cookies zdá být svou povahou akcesorický v tom smyslu, že není vůbec jasné, že je součástí samostatného úkonu. Jinými slovy, o(d)značení políčka na zaškrtnutí pro soubory cookies se zdá být přípravným aktem ke konečnému a závaznému jednání, kterým je „stisknutí“ tlačítka k účasti.
90. V takové situaci není uživatel v pozici, kdy by svobodně uděloval svůj samostatný souhlas s uchováváním informací nebo s umožněním přístupu k informacím, které jsou již uchovány v jeho koncovém zařízení.
91. Kromě toho již bylo prokázáno výše, že účast v uvedené loterii byla možná pouze tehdy, když bylo označeno alespoň první políčko na zaškrtnutí. V důsledku toho účast na loterii nebyla podmíněna(48) udělením souhlasu s instalací souborů cookies a se získáním přístupu k těmto souborům. Protože uživatel mohl také kliknout (pouze) na první políčko na zaškrtnutí.
92. Pokud je mi ale známo, uživatel o tom nebyl nikdy informován. Tím nebyla splněna povinnost plného informování uživatelů stanovená výše.
93. Shrnu-li výše uvedené, má navrhovaná odpověď na předběžnou otázku 1. a) a 1. c) je, že žádný účinný souhlas ve smyslu čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46 nebyl udělen v situaci, jako je situace ve věci v původním řízení, kdy uchovávání informací nebo přístup k informacím, jež jsou již uchovány v koncovém zařízení uživatele, je povoleno předem nastaveným políčkem na zaškrtnutí, jehož označení musí uživatel k odmítnutí svého souhlasu zrušit, a kdy je souhlas udělen nikoliv samostatně, ale současně s potvrzením účasti na online loterii. Totéž platí pro výklad čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58 ve spojení s čl. 4 bodem 11 nařízení 2016/679.
b) První políčko na zaškrtnutí
94. Přestože otázky předkládajícího soudu odkazují pouze na druhé políčko na zaškrtnutí, rád bych učinil dvě konkrétní poznámky, pokud jde o první políčko na zaškrtnutí, které mohou pomoci předkládajícímu soudu při jeho konečném rozhodnutí.
95. Připomínám, že první políčko na zaškrtnutí se netýká souborů cookies, ale pouze zpracování osobních údajů. Uživatel zde nesouhlasí s uchováváním informací na svém zařízení, ale (pouze) s tím, že bude kontaktován seznamem firem prostřednictvím pošty, telefonicky nebo emailem.
96. Zaprvé, kritéria ohledně aktivního a samostatného souhlasu a plného informování se samozřejmě uplatní i v případě prvního políčka na zaškrtnutí. Aktivní souhlas patrně nepředstavuje problém, protože políčko není předem označeno. Naproti tomu mám však pochybnosti ohledně samostatného souhlasu. Na základě výše uvedené analýzy(49) by s ohledem na skutkové okolnosti projednávané věci bylo vhodnější, kdyby obrazně řečeno existovalo samostatné tlačítko, na které by se kliklo(50), spíše než pouze políčko, které se má zaškrtnout pro účely udělení souhlasu se zpracováním osobních údajů.
97. Zadruhé, pokud jde o první políčko na zaškrtnutí pro kontakt sponzorů a spolupracujících partnerů, měl by se zohlednit čl. 7 odst. 4 nařízení 2016/679. Podle tohoto ustanovení musí být při posuzování toho, zda je souhlas svobodný, důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné. Článek 7 odst. 4 nařízení č. 2016/679 proto nyní kodifikuje „zákaz spojování“(51).
98. Jak vyplývá z výrazu „musí být důsledně zohledněna“, zákaz spojování není absolutní(52).
99. V tomto případě bude na příslušném soudu, aby posoudil, zda je souhlas se zpracováním osobních údajů nezbytný pro účast na loterii. V této souvislosti je třeba mít na paměti, že základním účelem účasti na loterii je „prodej“ osobních údajů (tj. souhlas s tím být kontaktován tzv. „sponzory“ kvůli propagačním nabídkám). Jinými slovy, je to právě poskytování osobních údajů, které představuje hlavní povinnost uživatele, aby se mohl účastnit loterie. V takové situaci se mi zdá, že zpracování osobních údajů je nezbytné pro účast na loterii(53).
3. K osobním údajům [předběžná otázka 1. b)]
100. Rád bych nyní objasnil, zda je při použití čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46 rozdíl, pokud se v případě uložených nebo získaných informací jedná o osobní údaje.
101. Této otázce lze nejlépe porozumět v kontextu německého práva provádějícího čl. 5 odst. 3 směrnice 2002/58(54). Německé právo vskutku stanoví rozdíl mezi shromažďováním a používáním osobních údajů a jiných údajů.
102. Podle § 12 odst. 1 TMG poskytovatel služeb může shromažďovat a používat osobní údaje pouze, mimo jiné, pokud s tím uživatel souhlasí.
103. Naproti tomu podle § 15 odst. 3 TMG poskytovatel služeb může založit uživatelské profily prostřednictvím pseudonymů, mimo jiné pro účely reklamy a analýzy trhu, a to za podmínky, že uživatel nemá proti tomu námitky. Pokud tedy nejsou dotčeny žádné osobní údaje, je podle německého práva požadavek méně přísný: nikoliv souhlas, ale pouze nepodání námitek.
104. Osobní údaje jsou právně definovány v čl. 4 bodě 1 nařízení 2016/679 jako „veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen ‚subjekt údajů‘); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby“.
105. Podle mého názoru není pochyb o tom, že pokud jde o projednávanou věc, „informace“, na kterou je odkazováno v čl. 5 odst. 3 směrnice 2002/58, představuje „osobní údaje“. Toto je patrně také názor předkládajícího soudu, který výslovně uvádí ve svém předkládacím rozhodnutí, že na získávání údajů prostřednictvím cookies používaných žalovanou se tudíž vztahuje požadavek souhlasu podle § 12 odst. 1 TMG, jelikož se v jejich případě jedná o osobní údaje(55). Kromě toho, podle všeho není mezi účastníky původního řízení sporné, že se zde zabýváme osobními údaji.
106. Lze tudíž uvažovat nad významem této otázky pro projednávanou věc a zda uvedená otázka není pouze hypotetická(56).
107. Ať je tomu jakkoli, domnívám se, že odpověď na tuto otázku je celkem jednoduchá: nezáleží na tom, zda se v případě uložených nebo získaných informací jedná o osobní údaje. Článek 5 odst. 3 směrnice 2002/58 odkazuje na „uchovávání informací nebo získávání přístupu k již uchovávaným informacím“(57). Je zřejmé, že jakákoliv taková informace obsahuje aspekt soukromí, a to bez ohledu na to, zda představuje „osobní údaje“ ve smyslu čl. 4 bodu 1 nařízení 2016/679 nebo nikoliv. Jak Komise správně zdůrazňuje, čl. 5 odst. 3 směrnice 2002/58 má za cíl chránit uživatele před zásahem do jeho soukromé sféry, a to bez ohledu na to, zda se tento zásah vztahuje na osobní nebo jiné údaje.
108. Takový výklad čl. 5 odst. 3 směrnice 2002/58 je navíc potvrzen v bodech 24(58) a 25(59) odůvodnění uvedené směrnice, jakož i stanovisky pracovní skupiny „podle článku 29“. Podle této pracovní skupiny se totiž „čl. 5 odst. 3 použije na ‚informace‘ (uchovávané nebo získané). Tím nejsou takové informace nijak kvalifikovány. Použití tohoto ustanovení není podmíněno tím, aby tato informace byla osobním údajem ve smyslu směrnice 95/46.“(60)
109. V důsledku toho zřejmě § 15 odst. 3 TMG plně neprovádí požadavky čl. 5 odst. 3 směrnice 2002/58 do německého práva(61).
110. Navrhuji tedy odpovědět na předběžnou otázku 1. b) tak, že při použití čl. 5 odst. 2 a čl. 2 písm. f) směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46 nezáleží na tom, zda se v případě uložených nebo získaných informací jedná o osobní údaje.
C. Ke druhé předběžné otázce
111. V rámci své druhé předběžné otázky se předkládající soud táže, jaké informace musí uživateli dát poskytovatel služby v rámci povinnosti poskytnout jasné a úplné informace podle čl. 5 odst. 3 směrnice 2002/58, zda mezi ně náleží také doba funkčnosti cookies a rovněž, zda mají ke cookies přístup třetí osoby.
1. K jasným a úplným informacím
112. Články 10 a 11 směrnice 95/46 (a články 13 a 14 nařízení 2016/679) stanoví povinnost poskytnout subjektům údajů informace. Povinnost informovat souvisí se souhlasem v tom smyslu, že vždy musí nejprve existovat informace, než dojde k souhlasu.
113. Vzhledem k pojmové blízkosti pojmu internetového uživatele (a poskytovatele) a pojmu spotřebitele (a podnikatele)(62) lze v této fázi použít pojem průměrný evropský spotřebitel, který je přiměřeně dobře informován a je přiměřeně pozorný a opatrný(63) a který je schopen přijmout rozhodnutí o informovaném závazku(64).
114. Nicméně, s ohledem na technickou složitost souborů cookies, asymetrické informace mezi poskytovatelem a uživatelem a obecněji relativní nedostatek znalostí jakéhokoliv průměrného internetového uživatele, nelze od průměrného internetového uživatele očekávat, že by měl vysokou úroveň znalostí o fungování souborů cookies.
115. Jasné a úplné informace předpokládají, že uživatel je v pozici, kdy může jednoduše rozpoznat důsledky jakéhokoliv souhlasu, který by mohl udělit. Za tímto účelem musí být schopen posoudit důsledky svého jednání. Poskytnuté informace musí být jednoznačně srozumitelné a nesmí být předmětem nejednoznačnosti nebo výkladu. Musí být dostatečně podrobné, aby umožnily uživateli pochopit fungování cookies, které skutečně využil.
116. Náleží mezi ně, jak správně uvádí předkládající soud, rovněž doba funkčnosti cookies a otázka, zda má ke cookies přístup třetí osoba.
2. Informace o době funkčnosti cookies
117. Podle bodů 23 a 26 odůvodnění směrnice 2002/58, doba funkčnosti cookies je náležitostí požadavku informovaného souhlasu, což znamená, že poskytovatelé služeb by měli „účastníky vždy informovat o druhu zpracovávaných údajů, účelech a délce trvání takového zpracování“. I když je soubor cookie nezbytný, otázka, jak je rušivý, musí být zkoumána na základě souvisejících okolností pro účely souhlasu. Kromě otázky, jaké údaje každý soubor cookie obsahuje a zda souvisí s jakoukoliv jinou informací drženou o uživateli, musí poskytovatel služeb zvážit dobu funkčnosti cookie a zda je tato doba funkčnosti vhodná s ohledem na účel cookie.
118. Doba funkčnosti cookie se týká požadavků na výslovný informovaný souhlas, které se týkají kvality a dostupnosti informací pro uživatele. Tato informace je nezbytná, aby mohli jednotlivci přijímat informovaná rozhodnutí před jejich zpracováním(65). Jak tvrdila portugalská a italská vláda, ze skutečnosti, že údaje shromážděné prostřednictvím souborů cookies musí být odstraněny, jakmile jich není dále třeba pro účely dosažení původního účelu, vyplývá, že doba uchovávání shromážděných údajů musí být uživateli jasně sdělena.
3. Informace o přístupu třetích osob
119. V tomto ohledu společnost Planet49 tvrdí, že pokud třetí osoby získají přístup k souborům cookie, musí být uživatel o této skutečnosti rovněž informován. Pokud však k těmto souborům má přístup, jako je tomu v projednávané věci, pouze poskytovatel, který chce nastavit soubory cookie, stačí na tuto skutečnost upozornit. Na skutečnost, že ostatní třetí osoby nemají žádný přístup, nemusí být upozorňováno samostatně. Taková povinnost by nebyla v souladu s legislativním záměrem, že dokumenty o ochraně údajů by měly zůstat uživatelsky přívětivé a stručné.
120. S takovým výkladem se nemohu ztotožnit. Naopak, aby informace byly jasné a úplné, uživatel by měl být výslovně informován, zda třetí osoby mají přístup k nastaveným souborům cookies či nikoli. A pokud mají třetí osoby přístup, jejich totožnost musí být uveřejněna. Jak Bundesverband správně zdůrazňuje, je to nezbytné k tomu, aby bylo zajištěno, že je udělen informovaný souhlas.
4. Závěr
121. Navrhuji tedy odpovědět na druhou předběžnou otázku tak, že jasné a úplné informace, které musí poskytovatel služeb poskytnout uživateli podle čl. 5 odst. 3 směrnice 2002/58, zahrnují dobu funkčnosti cookies, a zda třetí osoby mají přístup ke cookies, či nikoli.
V. Závěry
122. S ohledem na předcházející úvahy navrhuji, aby Soudní dvůr odpověděl na otázky položené Bundesgerichtshof (Spolkový soudní dvůr, Německo) takto:
1. Žádný účinný souhlas ve smyslu čl. 5 odst. 3 a čl. 2 písm. f) směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích), ve spojení s čl. 2 písm. h) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním údajů a o volném pohybu těchto údajů, nebyl udělen v takové s situaci, jako je situace ve věci v původním řízení, kdy uchovávání informací nebo přístup k informacím, jež jsou již uchovány v koncovém zařízení uživatele, je povoleno předem nastaveným políčkem na zaškrtnutí, jehož označení musí uživatel k odmítnutí svého souhlasu zrušit, a kdy je souhlas udělen nikoliv samostatně, ale současně s potvrzením účasti na online loterii.
2. Totéž platí pro výklad čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58, ve spojení s čl. 4 bodem 11 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).
3. Při použití čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58, ve spojení s čl. 2 písm. h) směrnice 95/46, nezáleží na tom, zda se v případě uložených nebo získaných informací jedná o osobní údaje.
4. Jasné a úplné informace, které musí poskytovatel služeb poskytnout uživateli podle čl. 5 odst. 3 směrnice 2002/58, zahrnují dobu funkčnosti cookies, a zda má přístup ke cookies třetí osoba, či nikoli.