TIESAS SPRIEDUMS (virspalāta)
2019. gada 1. oktobrī (*)
Lūgums sniegt prejudiciālu nolēmumu – Direktīva 95/46/EK – Direktīva 2002/58/EK – Regula (ES) 2016/679 – Personas datu apstrāde un privātās dzīves aizsardzība elektronisko komunikāciju nozarē – Sīkdatnes – Datu subjekta piekrišanas jēdziens – Piekrišanas apliecinājums, izmantojot iepriekš ar ķeksīti atzīmētu izvēles rūtiņu
Lietā C‑673/17
par lūgumu sniegt prejudiciālu nolēmumu atbilstoši LESD 267. pantam, ko Bundesgerichtshof (Federālā Augstākā tiesa, Vācija) iesniedza ar lēmumu, kas pieņemts 2017. gada 5. oktobrī un kas Tiesā reģistrēts 2017. gada 30. novembrī, tiesvedībā
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
pret
Planet49 GmbH,
TIESA (virspalāta)
šādā sastāvā: priekšsēdētājs K. Lēnartss [K. Lenaerts], priekšsēdētāja vietniece R. Silva de Lapuerta [R. Silva de Lapuerta], palātu priekšsēdētāji Ž. K. Bonišo [J. C. Bonichot], M. Vilars [M. Vilaras], T. fon Danvics [T. von Danwitz], K. Toadere [C. Toader], F. Biltšens [F. Biltgen], K. Jirimēe [K. Jürimäe] un K. Likurgs [C. Lycourgos], tiesneši A. Ross [A. Rosas] (referents), L. Bejs Larsens [L. Bay Larsen], M. Safjans [M. Safjan] un S. Rodins [S. Rodin],
ģenerāladvokāts: M. Špunars [M. Szpunar],
sekretārs: D. Diterts [D. Dittert], nodaļas vadītājs,
ņemot vērā rakstveida procesu un 2018. gada 13. novembra tiesas sēdi,
ņemot vērā apsvērumus, ko sniedza:
– Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV vārdā – P. Wassermann, Rechtsanwalt,
– Planet49 GmbH vārdā – M. Jaschinski, J. Viniol un T. Petersen, Rechtsanwälte,
– Vācijas valdības vārdā – J. Möller, pārstāvis,
– Itālijas valdības vārdā – G. Palmieri, pārstāve, kam palīdz F. De Luca, avvocato dello Stato,
– Portugāles valdības vārdā – L. Inez Fernandes un M. Figueiredo, kā arī L. Medeiros un C. Guerra, pārstāvji,
– Eiropas Komisijas vārdā – G. Braun un H. Kranenborg, kā arī P. Costa de Oliveira, pārstāvji,
noklausījusies ģenerāladvokāta secinājumus 2019. gada 21. marta tiesas sēdē,
pasludina šo spriedumu.
Spriedums
1 Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Direktīvas 2002/58/EK (2002. gada 12. jūlijs) par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (direktīva par privāto dzīvi un elektronisko komunikāciju) (OV 2002, L 201, 37. lpp.), redakcijā ar grozījumiem, kas izdarīti ar Eiropas Parlamenta un Padomes Direktīvu 2009/136/EK (2009. gada 25. novembris) (OV 2009, L 337, 11. lpp.), (turpmāk tekstā – “Direktīva 2002/58”) 2. panta f) punktu un 5. panta 3. punktu, skatot tos kopsakarā ar Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.) 2. panta h) punktu, kā arī Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46 (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.) 6. panta 1. punkta a) apakšpunktu.
2 Šis lūgums ir iesniegts saistībā ar tiesvedību Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Vācijas Federālā patērētāju tiesību aizsardzības centru apvienība, Vācija) (turpmāk tekstā – “apvienība”) prasībā pret azartspēles tiešsaistē piedāvājošo sabiedrību Planet49 GmbH par piekrišanu, ko šīs sabiedrības rīkotās reklāmas azartspēles dalībnieki dod savu personas datu nosūtīšanai tās sponsoriem un partneriem, kā arī informācijas saglabāšanai šo lietotāju galiekārtās un piekļuvei šādi saglabātajai informācijai.
Atbilstošās tiesību normas
Savienības tiesības
Direktīva 95/46
3 Direktīvas 95/46 1. pantā ir paredzēts:
“1. Saskaņā ar šo direktīvu dalībvalstis aizsargā fizisku personu pamattiesības un brīvības un jo īpaši viņu tiesības uz privātās dzīves neaizskaramību attiecībā uz personas datu apstrādi.
2. Dalībvalstis neierobežo un neaizliedz personas datu brīvu plūsmu starp dalībvalstīm, pamatojoties uz 1. punktā paredzēto aizsardzību.”
4 Šīs direktīvas 2. pantā ir noteikts:
“Šajā direktīvā:
a) “personas dati” ir jebkura informācija attiecībā uz identificētu vai identificējamu fizisku personu (“datu subjektu”); identificējama persona ir tā, kuru var identificēt tieši vai netieši, norādot reģistrācijas numuru vai vienu vai vairākus šai personai raksturīgus fiziskās, fizioloģiskās, garīgās, ekonomiskās, kultūras vai sociālās identitātes faktorus;
b) “personu datu apstrāde” (“apstrāde”) ir jebkura ar personas datiem veikta darbība vai darbību kopums ar vai bez automatizētiem līdzekļiem – kā vākšana, reģistrēšana, organizēšana, uzglabāšana, piemērošana vai pārveidošana, labošana, konsultēšana, izmantošana, atklāšana, pielietojot pārsūtīšanu, izplatīšanu vai darot tos pieejamus citādā veidā, grupēšana vai savienošana, piekļuves noslēgšana, dzēšana vai iznīcināšana;
[..]
h) “datu subjekta piekrišana” ir jebkurš labprātīgi sniegts šīs personas vēlmju konkrēts un paziņots [apzināts] norādījum[s], ar kuru datu subjekts izsaka savu piekrišanu uz viņu attiecināmu personas datu apstrādei.”
5 Minētās direktīvas 7. pantā ir noteikts:
“Dalībvalstis paredz to, ka personas datus var apstrādāt tikai, ja:
a) datu subjekts nepārprotami devis savu piekrišanu
[..].”
6 Saskaņā ar šīs pašas direktīvas 10. pantu:
“Dalībvalstis paredz to, ka personas datu apstrādātājs vai viņa pārstāvis sniedz datu subjektam, no kura ievāc datus, kas uz viņu attiecas, vismaz šādu informāciju, ja vien datu subjektam tā nav zināma:
a) personas datu apstrādātāja un viņa pārstāvja, ja tāds ir, personas dati [identifikācija];
b) apstrādes, kurai dati paredzēti, nolūki;
c) jebkura turpmāka informācija, kā:
– datu saņēmēji vai datu saņēmēju kategorijas,
– vai atbildes uz jautājumiem ir obligātas vai brīvprātīgas, kā arī atbildes nesniegšanas iespējamās sekas,
– datu piekļuves tiesību un tiesību koriģēt datus, kas uz viņu attiecas, pastāvēšana,
ciktāl šāda turpmāka informācija vajadzīga, ņemot vērā konkrētos apstākļus, kādos dati ievākti, lai garantētu godprātīgu apstrādi attiecībā uz datu subjektu.”
Direktīva 2002/58
7 Direktīvas 2002/58 17. un 24. apsvērumā ir teikts:
“(17) Šajā direktīvā jēdzienam lietotāja vai abonenta piekrišana, neatkarīgi no tā, vai tas ir fiziska vai juridiska persona, jābūt tādai pašai nozīmei, kāda tā ir jēdzienam informācijas objekta piekrišana, kā noteikts un precizēts Direktīvā [95/46]. Piekrišanu var sniegt ar jebkuru pienācīgu metodi, kas ļauj lietotājam brīvi sniegt konkrētu un informētu norādi par savu vēlmi, tostarp atzīmēšanu ar ķeksīti interneta tīmekļa vietnē.
[..]
(24) Elektronisko komunikāciju tīklu lietotāju gala iekārtas un jebkāda uzglabātā informācija par šādām gala iekārtām ir to lietotāju privātās jomas daļa, kam nepieciešama aizsardzība saskaņā ar Eiropas Cilvēktiesību un pamatbrīvību aizsardzības konvenciju [, kas parakstīta Romā 1950. gada 4. novembrī]. Tā sauktās spiegprogrammas, neredzamie pikseļi, slēptie identifikatori un citi instrumenti, lietotājam to nezinot, var iekļūt lietotāja gala iekārtā, lai iegūtu pieeju informācijai, lai uzglabātu apslēptu informāciju vai izsekotu lietotāja darbības, un var nopietni pārkāpt šo lietotāju privātās dzīves neaizskaramību. Šādu instrumentu izmantošanu var ļaut tikai likumīgos nolūkos, par šo instrumentu izmantošanu informējot attiecīg[..]os lietotājus.”
8 Direktīvas 2002/58 1. pantā ir paredzēts:
“1. Šajā direktīvā paredzēta dalībvalstu to noteikumu saskaņošana, ar kuriem jānodrošina pamattiesību un pamatbrīvību līdzvērtīgs aizsardzības līmenis, un jo īpaši tiesības uz privāto dzīvi un konfidencialitāti saistībā ar personas datu apstrādi elektronisko komunikāciju nozarē, kā arī jānodrošina šo datu un elektronisko komunikāciju iekārtu un pakalpojumu brīva aprite [Eiropas Savienībā].
2. Šīs direktīvas noteikumi precizē un papildina [Direktīvu 95/46] 1. punktā minētajam nolūkam. [..]”
9 Šīs direktīvas 2. pantā ir noteikts:
“Izņemot gadījumus, kad noteikts savādāk, piemēro definīcijas, kas minētas Direktīvā [95/46] un Eiropas Parlamenta un Padomes 2002. gada 7. marta Direktīvā 2002/21/EK par kopējo regulatīvo bāzi elektronisko komunikāciju tīkliem un pakalpojumiem (pamatdirektīva) [(OV 2002, L 108, 33. lpp.)].
Piemēro arī šādas definīcijas:
a) “lietotājs” ir jebkura fiziska persona, kas izmanto publiski pieejamu elektronisko komunikāciju pakalpojumu personīgiem vai uzņēmējdarbības mērķiem, ne vienmēr būdama šā pakalpojuma abonents;
[..]
f) lietotāja vai abonenta “piekrišana” atbilst datu objekta [subjekta] piekrišanai Direktīvā [95/46];
[..].”
10 Minētās direktīvas 5. panta 3. punktā ir paredzēts:
“Dalībvalstis nodrošina, ka informācijas uzglabāšana abonenta vai lietotāja gala iekārtā vai piekļuves iegūšana šādā iekārtā jau uzglabātai informācijai ir atļauta tikai ar nosacījumu, ka attiecīgais abonents vai lietotājs ir devis savu piekrišanu un saskaņā ar Direktīvu [95/46] nodrošināts ar skaidru un visaptverošu informāciju, tostarp par apstrādes nolūku. Tas neliedz jebkādu tehnisku uzglabāšanu vai piekļuvi, kas paredzēta vienīgi, lai veiktu saziņas pārraidīšanu elektronisko sakaru tīklā, vai kas noteikti nepieciešama tā informācijas sabiedrības pakalpojuma sniedzējam, kuru skaidri pieprasījis abonents vai lietotājs.”
Regula 2016/679
11 Regulas Nr. 2016/679 32. apsvērumā ir teikts:
“Piekrišana būtu jādod ar skaidri apstiprinošu darbību, kas nozīmē brīvi sniegtu, konkrētu, apzinātu un viennozīmīgu norādi par datu subjekta piekrišanu ar viņu saistīto personas datu apstrādei, piemēram, ar rakstisku, tostarp elektronisku, vai mutisku paziņojumu. Tas varētu ietvert laukuma atzīmēšanu ar ķeksīti interneta tīmekļa vietnē, informācijas sabiedrības pakalpojumu tehnisko iestatījumu izvēli vai citu paziņojumu vai rīcību, kas šajā gadījumā skaidri norāda, ka datu subjekts piekrīt piedāvātajai savu personas datu apstrādei. Klusēšana, iepriekš atzīmēti laukumi vai atturēšanās no darbības tādējādi nebūtu jāuzskata par piekrišanu. Piekrišanai būtu jāattiecas uz visām apstrādes darbībām, ko veic vienā un tajā pašā nolūkā vai nolūkos. Ja apstrādei ir vairāki nolūki, piekrišana būtu jādod visiem nolūkiem. Ja datu subjekta piekrišana ir jādod pēc elektroniska pieprasījuma, pieprasījumam jābūt skaidram, kodolīgam, un tam nav nevajadzīgi jāpārtrauc tā pakalpojuma izmantošana, par ko tas tiek sniegts.”
12 Šīs regulas 4. pantā ir noteikts:
“Šajā regulā:
1) “personas dati” ir jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu (“datu subjekts”); identificējama fiziska persona ir tāda, kuru var tieši vai netieši identificēt, jo īpaši atsaucoties uz identifikatoru, piemēram, minētās personas vārdu, uzvārdu, identifikācijas numuru, atrašanās vietas datiem, tiešsaistes identifikatoru vai vienu vai vairākiem minētajai fiziskajai personai raksturīgiem fiziskās, fizioloģiskās, ģenētiskās, garīgās, ekonomiskās, kultūras vai sociālās identitātes faktoriem;
2) “apstrāde” ir jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem, piemēram, vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana;
[..]
11) datu subjekta “piekrišana” ir jebkura brīvi sniegta, konkrēta, apzināta un viennozīmīga norāde uz datu subjekta vēlmēm, ar kuru viņš paziņojuma vai skaidri apstiprinošas darbības veidā sniedz piekrišanu savu personas datu apstrādei;
[..].”
13 Minētās regulas 6. pantā ir paredzēts:
“1. Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:
a) datu subjekts ir devis piekrišanu savu personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem;
[..].”
14 Šīs pašas regulas 7. panta 4. punktā ir noteikts:
“Novērtējot to, vai piekrišana ir dota brīvi, maksimāli ņem vērā to, vai cita starpā līguma izpilde, tostarp pakalpojuma sniegšana, ir atkarīga no piekrišanas tādai personas datu apstrādei, kura nav nepieciešama minētā līguma izpildei.”
15 Saskaņā ar Regulas Nr. 2016/679 13. panta 1. un 2. punktu:
“1. Ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz visu šādu informāciju:
[..]
e) personas datu saņēmēji vai saņēmēju kategorijas, ja tādi ir [..]
[..]
2. Papildus 1. punktā minētajai informācijai pārzinis personas datu iegūšanas laikā datu subjektam sniedz šādu papildu informāciju, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi:
a) laikposms, cik ilgi personas dati tiks glabāti, vai, ja tas nav iespējams, kritēriji, ko izmanto minētā laikposma noteikšanai;
[..].”
16 Šīs regulas 94. pantā ir noteikts:
“1. Direktīvu [95/46] atceļ no 2018. gada 25. maija.
2. Atsauces uz atcelto direktīvu uzskata par atsaucēm uz šo regulu. Atsauces uz Darba grupu personu aizsardzībai attiecībā uz personas datu apstrādi, kas izveidota ar Direktīvas [95/46] 29. pantu, uzskata par atsaucēm uz Eiropas Datu aizsardzības kolēģiju, kas izveidota ar šo regulu.”
Vācijas tiesības
17 Bürgerliches Gesetzbuch (Vācijas Civilkodekss, turpmāk tekstā – “BGB”) 307. panta 1. punkta pirmajā teikumā ir noteikts, ka “tipveida noteikumi nav spēkā, ja pretēji labticības prasībām šo noteikumu izmantotāja līgumpartnerim tie ir nesamērīgi nelabvēlīgi”.
18 BGB 307. panta 2. punkta 1. apakšpunktā ir noteikts, ka šaubu gadījumā “var uzskatīt, ka ir radīta nesamērīgi nelabvēlīga situācija, ja noteikums nav saderīgs ar tās likuma normas pamatdomu, no kuras izdara atkāpi”.
19 2007. gada 26. februāra Telemediengesetz (Elektronisko plašsaziņas līdzekļu likums) (BGBl. 2007 I, 179. lpp.), redakcijā, kas ir piemērojama pamatlietai, (turpmāk tekstā – “TMG”) 12. pantā ir noteikts:
“(1) Elektronisko plašsaziņas līdzekļu pieejamības nodrošināšanas nolūkā pakalpojumu sniedzējs drīkst vākt un izmantot personas datus tikai tiktāl, ciktāl to atļauj šis likums vai cita tiesību norma, kas tieši attiecas uz elektroniskajiem plašsaziņas līdzekļiem, vai ja lietotājs ir devis savu piekrišanu.
(2) Elektronisko plašsaziņas līdzekļu pieejamības nodrošināšanas nolūkā iegūtos personas datus pakalpojumu sniedzējs drīkst izmantot citiem nolūkiem tikai tiktāl, ciktāl to atļauj šis likums vai cita tiesību norma, kas tieši attiecas uz elektroniskajiem plašsaziņas līdzekļiem, vai ja lietotājs ir devis savu piekrišanu.
(3) Ciktāl nav noteikts citādi, spēkā esošās tiesību normas attiecībā uz personas datu aizsardzību ir piemērojamas arī tad, ja dati netiek apstrādāti automatizēti.”
20 TMG 13. panta 1. punktā ir noteikts, ka pakalpojuma sniedzējam izmantošanas procesa sākumā vispārsaprotami ir jāinformē lietotājs par personas datu vākšanas un izmantošanas veidu, apjomu un mērķi, ja vien tas par to nav ticis informēts jau iepriekš. Automatizētā procedūrā, kas ļauj vēlāk identificēt lietotāju un ar kuru sagatavo personas datu iegūšanu vai izmantošanu, lietotājs ir jāinformē šīs procedūras sākumā.
21 TMG 15. panta 3. punktā ir noteikts, ka pakalpojumu sniedzējs reklāmas, tirgus izpētes vai elektronisko plašsaziņas līdzekļu konfigurācijas nolūkos drīkst izveidot lietotāju profilus, izmantojot pseidonīmus, ar nosacījumu, ka lietotājs, kas ticis informēts par savām tiesībām pret to iebilst, pret šīm darbībām tomēr neiebilst.
22 Saskaņā ar 1990. gada 20. decembra Bundesdatenschutzgesetz (Federālais datu aizsardzības likums) (BGBl. 1990 I, 2954. lpp.), redakcijā, kas ir piemērojama pamatlietai, (turpmāk tekstā – “BDSG”) 3. panta 1. punktā rodamo definīciju “personas dati ir konkrētas norādes par identificētas vai identificējamas fiziskas personas (datu subjekta) personīgajiem vai faktiskajiem apstākļiem”.
23 Saskaņā ar BDSG 3. panta 3. punktā rodamo datu vākšanas jēdziena definīciju ar šo darbību ir saprotama datu iegūšana par datu subjektu.
24 Valsts tiesībās Direktīvas 95/46 2. panta h) punktu transponējošā BDSG 4.a panta 1. punkta pirmajā teikumā ir noteikts, ka piekrišana ir spēkā tikai tādā gadījumā, ja tās pamatā ir attiecīgās personas brīvprātīgs lēmums.
Pamatlieta un prejudiciālie jautājumi
25 2013. gada 24. septembrī Planet49 tīmekļvietnē www.dein‑macbook.de organizēja reklāmas loteriju.
26 Lai piedalītos šajā loterijā, interneta lietotājiem bija jāievada savs pasta indekss, tādējādi nokļūstot tīmekļa lapā, kurā tiem bija jāieraksta savs vārds un sava adrese. Zem adreses ievadīšanai paredzētajiem lauciņiem bija divas sadaļas ar paskaidrojošu tekstu kopā ar izvēles rūtiņām. Pirmajā paskaidrojošajā tekstā, kura izvēles rūtiņa (turpmāk tekstā – “pirmā izvēles rūtiņa”) nebija atzīmēta ar ķeksīti, bija teikts:
“Piekrītu saņemt dažu sponsoru un sadarbības partneru informāciju par komercpiedāvājumiem pa pastu vai tālruni, vai e‑pastu/SMS. Tos varu izvēlēties šeit pēc saviem ieskatiem, pretējā gadījumā izvēli veiks organizētājs. Šo piekrišanu varu atsaukt jebkurā laikā. Sīkāku informāciju skatīt šeit.”
27 Otrajā paskaidrojošajā tekstā, kura izvēles rūtiņa bija atzīmēta ar ķeksīti (turpmāk tekstā – “otrā izvēles rūtiņa”), bija teikts:
“Piekrītu, ka attiecībā uz mani tiek izmantots tīmekļa analīzes dienests Remintrex. Tas nozīmē, ka, man piereģistrējoties dalībai loterijā, loterijas organizētājs [Planet49] ievieto sīkdatnes, kas Planet49 ļauj izvērtēt manus tīklklejošanas un lietošanas paradumus reklāmas partneru tīmekļvietnēs un tādējādi ļauj Remintrex ievietot reklāmu, kas ir balstīta uz lietotāja interesēm. Sīkdatnes jebkurā laikā varu atkal izdzēst. Sīkāku informāciju lasiet šeit.”
28 Piedalīties reklāmas loterijā bija iespējams tikai tad, ja ar ķeksīti tika atzīmēta vismaz pirmā izvēles rūtiņa.
29 Aktivizējot pirmās izvēles rūtiņas paskaidrojošajā tekstā esošo elektronisko saiti “sponsori un sadarbības partneri” un “šeit”, varēja nokļūt sarakstā, kurā bija minēti 57 uzņēmumi, to adreses, reklamējamā komercdarbības joma un reklāmai izmantojamais saziņas veids (e‑pasts, pasts vai tālrunis). Aiz katra uzņēmuma nosaukuma bija pasvītrots vārds “atteikties”. Saraksta sākumā bija šāds paziņojums:
“Uzklikšķinot uz saites “atteikties”, es nolemju, ka attiecīgā sadarbības partnera/sponsora reklāmas materiālu saņemšanai nav dodama piekrišana. Ja es neatsakos ne no viena vai atsakos no nepietiekama skaita sadarbības partneru/sponsoru, Planet49 manā vietā pēc saviem ieskatiem izvēlēsies sadarbības partnerus/sponsorus (maksimālais skaits – 30 sadarbības partneri/sponsori).”
30 Aktivizējot otrās izvēles rūtiņas paskaidrojošajā tekstā elektronisko saiti “šeit”, parādījās šāda informācija:
“Ievietotās sīkdatnes ar nosaukumu ceng_cache, ceng_etag, ceng_png un gcr ir nelieli faili, ko Jūsu izmantotā pārlūkprogramma saglabā Jūsu ierīces cietajā diskā un kas nodrošina noteiktas informācijas plūsmu, veicinot lietotājam draudzīgākas un efektīvākas reklāmas saņemšanu. Sīkdatnēs ir ietverts noteikts, pēc nejaušības principa ģenerēts numurs (ID), kas vienlaicīgi ir saistīts ar Jūsu reģistrācijas datiem. Vēlāk apmeklējot kāda Remintrex reģistrēta reklāmas sadarbības partnera tīmekļvietni (vai sadarbības partneris ir reģistrēts, lūdzam skatīt reklāmas sadarbības partnera atrunu par datu aizsardzību), pamatojoties uz Remintrex tur ievietotu iFrame, automātiski tiek apkopota informācija, ka Jūs (t.i., lietotājs, kura ID ir saglabāts) apmeklējāt tīmekļvietni, par kādu preci Jūs interesējāties un vai tika noslēgts darījums.
Pēc tam [Planet49] – pamatojoties uz piekrišanu saņemt reklāmas materiālus, kas dota, reģistrējoties loterijai, – var noorganizēt, ka Jums tiek sūtīti reklāmas e‑pasta sūtījumi, kuros ir ņemtas vērā Jūsu no reklāmas sadarbības partnera tīmekļvietnes apmeklējuma izrietošās intereses. Atsaucot piekrišanu saņemt reklāmas materiālus, Jūs, protams, vairs nesaņemsiet reklāmas e‑pasta sūtījumus.
Ar sīkdatņu palīdzību saņemtā informācija tiek izmantota tikai un vienīgi reklāmas vajadzībām, iepazīstinot ar reklāmas sadarbības partneru precēm. Informācija tiek ievākta, uzglabāta un izmantota katram reklāmas sadarbības partnerim atsevišķi. Nekādā gadījumā netiks izveidoti vispārēji reklāmas sadarbības partneru lietotāju profili. Individuālie reklāmas sadarbības partneri nesaņem nekādus personas datus.
Ja Jūs vairs neesat ieinteresēts sīkdatņu izmantošanā, Jūs tās jebkurā laikā varat dzēst, izmantojot savu pārlūkprogrammu. Pārlūkprogrammas [..] sadaļā [“palīdzība”] ir atrodama informācija, kā to izdarīt.
Ar sīkdatnēm nav iespējams nedz palaist kādas programmas, nedz izplatīt vīrusus.
Jūs, protams, jebkurā laikā varat atsaukt šo piekrišanu. Rakstveida atsaukumu Jūs varat nosūtīt [Planet49] [adrese]. Tomēr pietiek arī nosūtīt e‑pastu mūsu klientu servisam [e‑pasta adrese].”
31 No lēmuma par prejudiciāla jautājuma uzdošanu izriet, ka sīkdatnes ir datnes, ko tīmekļa vietnes pakalpojuma sniedzējs ievieto šīs vietnes lietotāja datorā un kurām tas brīdī, kad lietotājs atkal apmeklē šo vietni, var no jauna piekļūt, lai atvieglotu tīmekļa pārlūkošanu vai darījumus vai iegūtu informāciju par lietotāja paradumiem.
32 Kāda brīdinājuma izteikšanas procedūrā, kura tika atstāta bez izskatīšanas, apvienība – būdama iekļauta ar prasības celšanas tiesībām apveltīto organizāciju sarakstā, kas izveidots saskaņā ar 2001. gada 26. novembra Gesetz über Unterlassungsklagen bei Verbraucherrechts ‑ und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (Likums par prasībām aizliegt veikt prettiesiskas darbības patērētāju tiesību un citās jomās) (BGBl. 2001 I, 3138. lpp.) 4. pantu, – apgalvoja, ka piekrišanas apliecinājumi, kurus Planet49 prasa noformēt ar pirmās un otrās izvēles rūtiņas palīdzību, neatbilst nosacījumiem, kas prasīti BGB 307. pantā, lasot to kopsakarā ar 2004. gada 3. jūlija Gesetz gegen den unlauteren Wettbewerb (Likums par negodīgas konkurences novēršanu) (BGBl. 2004 I, 1414. lpp.), redakcijā, kas piemērojama pamatlietai, 7. panta 2. punkta 2. apakšpunktu un TMG 12. un nākamajiem pantiem.
33 Apvienība cēla prasību Landgericht Frankfurt am Main (Frankfurtes pie Mainas apgabaltiesa, Vācija) būtībā par to, lai Planet49 pārstātu prasīt šādus piekrišanas apliecinājumus un samaksātu tai summu 214 EUR apmērā kopā ar procentiem par laiku kopš 2014. gada 15. marta.
34 Landgericht Frankfurt am Main (Frankfurtes pie Mainas apgabaltiesa) šo prasību daļēji apmierināja.
35 Planet49 iesniegto apelācijas sūdzību saņēmusī Oberlandesgericht Frankfurt am Main (Federālās zemes Augstākā tiesa Frankfurtē pie Mainas, Vācija) uzskatīja, ka apvienības prasība – par to, lai Planet49 ar patērētājiem slēgtajos līgumos par reklāmas loteriju vairs neiekļautu šā sprieduma 27. punktā citēto paziņojumu, kura otrā izvēles rūtiņa bija ar ķeksīti atzīmēta jau pēc noklusējuma – nav pamatota tāpēc, ka, pirmkārt, lietotājs apzinās iespēju ķeksīti no šīs izvēles rūtiņas izņemt un, otrkārt, šis paziņojums ir uzrakstīts pietiekami skaidri un tajā ir sniegta informācija par sīkdatņu izmantošanas kārtību, nepastāvot vajadzībai izpaust to trešo personu identitāti, kurām varētu būt piekļuve ievāktajai informācijai.
36 Bundesgerichtshof (Federālā Augstākā tiesa, Vācija), kurā apvienība iesniedza revīzijas sūdzību, uzskata, ka pamatlietas iznākums ir atkarīgs no tā, kā ir interpretējami Direktīvas 2002/58 5. panta 3. punkts un 2. panta f) punkts, lasot tos kopsakarā ar Direktīvas 95/46 2. panta h) punktu, kā arī Regulas 2016/679 6. panta 1. punkta a) apakšpunktu.
37 Šaubīdamās gan par to, vai, ņemot vērā šīs tiesību normas, veids, kā Planet49 saņem tīmekļvietnes www.dein‑macbook.de lietotāju piekrišanu ar otrās izvēles rūtiņas palīdzību, ir pienācīgs, gan par to, kāds apjoms ir Direktīvas 2002/58 5. panta 3. punktā paredzētajam informēšanas pienākumam, Bundesgerichtshof (Federālā Augstākā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:
“1) a) Vai derīga piekrišana Direktīvas [2002/58] 5. panta 3. punkta un 2. panta f) punkta izpratnē, skatot tos kopsakarā ar Direktīvas [95/46] 2. panta h) punktu, ir dota tad, ja atļauja informācijas saglabāšanai lietotāja galiekārtā vai piekļuvei tur jau uzglabātai informācijai tiek dota, izmantojot iepriekš ar ķeksīti atzīmētu izvēles rūtiņu, no kuras lietotājam, ja viņš nevēlas dot savu piekrišanu, ķeksītis ir jāizņem?
b) Vai, piemērojot Direktīvas [2002/58] 5. panta 3. punktu un 2. panta f) punktu, skatot tos kopsakarā ar Direktīvas [95/46] 2. panta h) punktu, ir kāda atšķirība, vai uzglabātā vai ievāktā informācija ir personas dati?
c) Vai pirmā prejudiciālā jautājuma a) daļā minētajā situācijā ir dota derīga piekrišana Regulas [2016/679] 6. panta 1. punkta a) apakšpunkta izpratnē?
2) Kāda informācija Direktīvas [2002/58] 5. panta 3. punktā noteiktās nodrošināšanas ar skaidru un visaptverošu informāciju ietvaros pakalpojuma sniedzējam ir jāsniedz lietotājam? Vai tajā ietilpst arī informācija par sīkdatņu darbības ilgumu un par to, vai trešajām personām ir vai nav iespējams piekļūt šīm sīkdatnēm?”
Par prejudiciālajiem jautājumiem
Ievadapsvērumi
38 Vispirms ir jāizvērtē Direktīvas 95/46 un Regulas 2016/679 piemērojamība pamatlietas faktiskajiem apstākļiem.
39 No 2018. gada 25. maija Direktīva 95/46 saskaņā ar Regulas 2016/679 94. panta 1. punktā noteikto ir atcelta un aizstāta ar šo regulu.
40 Šis datums patiešām ir vēlāks gan par 2017. gada 14. jūliju, kurā notikusi iesniedzējtiesas pēdējā tiesa sēde, gan par datumu, kurā minētā tiesa iesniedza Tiesai lūgumu sniegt prejudiciālu nolēmumu.
41 Tomēr iesniedzējtiesa norāda, ka, ņemot vērā, ka 2018. gada 25. maijā ir stājusies spēkā Regula 2016/679, par kuru daļēji ir arī pirmais jautājums, ir visnotaļ iespējams, ka pamatlietas izspriešanas brīdī šī regula būs jāņem vērā. Turklāt – kā Tiesā notikušajā tiesas sēdē norādīja Vācijas valdība – nav izslēgts, ka, tā kā apvienības celtās prasības mērķis ir likt Planet49 izbeigt attiecīgo rīcību nākotnē, pamatlietā rationae temporis būs jāpiemēro Regula 2016/679, – to darīt liek valsts judikatūra par to, kura tiesiskā situācija ir jāņem vērā, izskatot prasības par aizlieguma noteikšanu; bet to noskaidrot ir iesniedzējtiesas ziņā (par deklaratīva rakstura prasību skat. spriedumu, 2019. gada 16. janvāris, Deutsche Post, C‑496/17, EU:C:2019:26, 38. punkts).
42 Šajos apstākļos un ievērojot Regulas 2016/679 94. panta 2. punktā noteikto, ka Direktīvā 2002/58 ietvertās atsauces uz Direktīvu 95/46 ir jāuzskata par atsaucēm uz minēto regulu, šajā gadījumā nav izslēgts, ka Direktīva 2002/58 ir piemērojama kopīgi vai nu ar Direktīvu 95/46, vai ar Regulu 2016/679 atkarībā no apvienības prasījumiem un laikposmu, uz kuriem tie attiecas.
43 Tāpēc uz uzdotajiem jautājumiem ir jāatbild, pamatojoties gan uz Direktīvu 95/46, gan uz Regulu 2016/679.
Par pirmā jautājuma a) un c) daļu
44 Ar pirmā jautājuma a) un c) daļu iesniedzējtiesa būtībā vaicā, vai Direktīvas 2002/58 2. panta f) punkts un 5. panta 3. punkts, skatot tos kopsakarā ar Direktīvas 95/46 2. panta h) punktu, kā arī Regulas 2016/679 6. panta 1. punkta a) apakšpunktu, ir jāinterpretē tādējādi, ka šajās tiesību normās minētā piekrišana ir pienācīgi dota tad, ja atļauja informācijas saglabāšanai tīmekļvietnes lietotāja galiekārtā vai piekļuvei tur jau uzglabātai informācijai ar sīkdatņu palīdzību tiek dota, izmantojot iepriekš ar ķeksīti atzīmētu izvēles rūtiņu, no kuras lietotājam, ja viņš nevēlas dot savu piekrišanu, ķeksītis ir jāizņem.
45 Ievadam ir jāpaskaidro, ka saskaņā ar lēmumā lūgt prejudiciālu nolēmumu teikto sīkdatnes, kuras var tikt ievietotas lietotāja, kas piedalās Planet49 rīkotajā reklāmas loterijā, galiekārtā, ietver numuru, kas tiek piešķirts datiem par šā lietotāja reģistrēšanos, kura veicama, ierakstot savu vārdu un adresi veidlapā, kas paredzēta, lai pieteiktos dalībai šajā loterijā. Iesniedzējtiesa piebilst, ka, šo numuru piesaistot šiem datiem, ar sīkdatņu palīdzību uzglabātie dati tiek personalizēti ikreiz, kad lietotājs lieto internetu, un tāpēc šo datu vākšana ar sīkdatņu palīdzību ir personas datu apstrāde. Šo informāciju apstiprina Planet49, kura savos rakstveida apsvērumos uzsver, ka ar otrajā izvēles rūtiņā noformējamo piekrišanu ir domāts atļaut vākt un apstrādāt personas datus, nevis anonīmu informāciju.
46 Tam esot precizētam, ir jānorāda, ka saskaņā ar Direktīvas 2002/58 5. panta 3. punktu dalībvalstis nodrošina, lai informācijas saglabāšana lietotāja galiekārtā vai piekļūšana šādā iekārtā jau uzglabātai informācijai būtu atļauta tikai ar nosacījumu, ka attiecīgais lietotājs pēc tam, kad tas saskaņā ar Direktīvu 95/46 ir saņēmis skaidru un visaptverošu informāciju, tostarp par apstrādes nolūkiem, ir devis savu piekrišanu.
47 Šajā ziņā ir jāatgādina, ka gan no Savienības tiesību vienveidīgas piemērošanas, gan no vienlīdzības principa izriet prasība, ka Savienības tiesību normas formulējums, kurā tās satura un piemērošanas jomas noskaidrošanai nav nevienas tiešas norādes uz dalībvalstu tiesībām, parasti visā Savienībā ir jāinterpretē autonomi un vienveidīgi (spriedumi, 2019. gada 26. marts, SM (Bērns, kas nodots aizbildnībā saskaņā ar Alžīrijas kafala), C‑129/18, EU:C:2019:248, 50. punkts, un 2019. gada 11. aprīlis, Tarola, C‑483/17, EU:C:2019:309, 36. punkts).
48 Tiesas pastāvīgās judikatūras atziņa ir arī tāda, ka, interpretējot Savienības tiesību normu, ir jāņem vērā ne tikai tās formulējums un mērķi, bet arī tās konteksts, kā arī visas Savienības tiesību normas. Viens no Savienības tiesību normas interpretācijā vērā ņemamajiem apstākļiem var būt arī tās rašanās vēsture (spriedums, 2018. gada 10. decembris, Wightman u.c., C‑621/18, EU:C:2018:999, 47. punkts, kā arī tajā minētā judikatūra).
49 Runājot par Direktīvas 2002/58 5. panta 3. punkta formulējumu, ir jānorāda, ka, lai arī šajā tiesību normā ir skaidri paredzēts, ka lietotājam ir jābūt “[devušam] savu piekrišanu” sīkdatņu ievietošanai un izmantošanai savā galiekārtā, minētajā tiesību normā turpretim nav norāžu, kā šī piekrišana ir dodama. Tomēr burtiski formulējums “devis savu piekrišanu” ir interpretējams tādējādi, ka lietotāja piekrišanas izteikšanai ir jāveic kāda darbība. Šajā ziņā no Direktīvas 2002/58 17. apsvēruma izriet, ka šajā direktīvā prasīto lietotāja piekrišanu var sniegt ar jebkuru pienācīgu metodi, kas ļauj lietotājam brīvi sniegt konkrētu un apzinātu norādi par savu vēlmi, tostarp atzīmēšanu ar ķeksīti interneta tīmekļvietnē.
50 Runājot par Direktīvas 2002/58 5. panta 3. punkta kontekstu, ir jāuzsver, ka šīs direktīvas 2. panta f) punktā, kurā ir definēta “piekrišana” šīs direktīvas izpratnē, šajā ziņā ir izdarīta atsauce uz “datu [subjekta] piekrišan[u]”, kas rodama Direktīvā 95/46. Direktīvas 2002/58 17. apsvērumā ir paskaidrots, ka lietotāja piekrišanas jēdzienam ir jābūt tādai pašai nozīmei, kāda tā ir datu subjekta piekrišanas jēdzienam, kā tas definēts un sīkāk paskaidrots Direktīvā 95/46.
51 Šīs nupat minētās direktīvas 2. panta h) punktā “datu subjekta piekrišana” ir definēta kā “jebkurš labprātīgi sniegts šīs personas vēlmju konkrēts un paziņots norādījum[s], ar kuru datu subjekts izsaka savu piekrišanu uz viņu attiecināmu personas datu apstrādei”.
52 Kā savu secinājumu 60. punktā uzsver ģenerāladvokāts, prasība pēc datu subjekta vēlmju “norādījuma” skaidri liecina par drīzāk aktīvu rīcību, nevis pasīvu izturēšanos. Savukārt, lai dotu piekrišanu, izmantojot iepriekš ar ķeksīti atzīmētu izvēles rūtiņu, tīmekļvietnes lietotājam nav aktīvi jārīkojas.
53 Šādu interpretāciju apstiprina Direktīvas 95/46 7. pants, kurā ir paredzēts izsmeļošs to gadījumu uzskaitījums, kuros personas datu apstrāde var tikt uzskatīta par likumīgu (šajā nozīmē skat. spriedumus, 2011. gada 24. novembris, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 un C‑469/10, EU:C:2011:777, 30. punkts, kā arī 2016. gada 19. oktobris, Breyer, C‑582/14, EU:C:2016:779, 57. punkts).
54 Konkrēti Direktīvas 95/46 7. panta a) punktā ir paredzēts, ka datu subjekta piekrišana var padarīt šādu apstrādi par likumīgu, ja vien šo piekrišanu datu subjekts ir devis “nepārprotami”. Taču šī prasība var tikt izpildīta tikai tad, ja šis subjekts aktīvi rīkojas, lai paustu savu piekrišanu.
55 Šajā ziņā izrādās, ka ir praktiski neiespējami objektīvi noskaidrot nedz to, vai tīmekļvietnes lietotājs ir faktiski devis savu piekrišanu savu personas datu apstrādei, neizņemdams ķeksīti no iepriekš ar ķeksīti atzīmētas izvēles rūtiņas, nedz arī katrā ziņā to, vai šī piekrišana ir dota, apzinoties visus apstākļus. Proti, nav izslēdzams, ka šis lietotājs nav izlasījis ar ķeksīti iepriekš atzīmētās izvēles rūtiņas papildinformāciju vai pat ir turpinājis darboties apmeklētajā tīmekļvietnē, vispār nepamanot šo izvēles rūtiņu.
56 Visbeidzot, runājot par Direktīvas 2002/58 5. panta 3. punkta rašanās vēsturi, ir jākonstatē, ka šīs tiesību normas sākotnējā redakcijā bija paredzēta vienīgi prasība par to, lai lietotājam būtu “tiesības liegt” ievietot sīkdatnes pēc tam, kad viņš saskaņā ar Direktīvu 95/46 ir saņēmis skaidru un visaptverošu informāciju, tostarp par apstrādes mērķiem. Ar Direktīvu 2009/136 šīs tiesību normas formulējumā ir izdarītas būtiskas izmaiņas, šo vārdkopu aizstājot ar vārdiem “devis savu piekrišanu”. Tādējādi Direktīvas 2002/58 5. panta 3. punkta rašanās vēsture liecina, ka lietotāja piekrišana turpmāk vairs nav prezumējama un tai ir jāizriet no šā lietotāja aktīvas rīcības.
57 Tāpēc, ņemot vērā iepriekš izklāstīto, piekrišana, kas ir minēta Direktīvas 2002/58 2. panta f) punktā un 5. panta 3. punktā, skatot tos kopsakarā ar Direktīvas 95/46 2. panta h) punktu, nav pienācīgi dota tad, ja atļauja informācijas saglabāšanai tīmekļvietnes lietotāja galiekārtā vai piekļuvei tur jau uzglabātai informācijai tiek dota, izmantojot pakalpojumu sniedzēja iepriekš ar ķeksīti atzīmētu izvēles rūtiņu, no kuras lietotājam, ja viņš nevēlas dot savu piekrišanu, ķeksītis ir jāizņem.
58 Jāpiebilst, ka Direktīvas 95/46 2. panta h) punktā paredzētajam gribas izpaudumam ir jābūt tostarp “konkrētam” tādējādi, ka tam ir jāattiecas tieši uz attiecīgo datu apstrādi un nav jābūt izsecināmam no gribas paušanas kāda citā jautājumā.
59 Tāpēc šajā gadījumā – pretēji tam, ko apgalvo Planet49, – ar to, ka lietotājs aktivizē pogu dalībai šīs sabiedrības rīkotajā reklāmas loterijā, nav pietiekami, lai varētu uzskatīt, ka lietotājs ir pienācīgi devis savu piekrišanu sīkdatņu ievietošanai.
60 Nupat minētā interpretācija ir pareiza a fortiori Regulas 2016/679 gaismā.
61 Proti, kā savu secinājumu 70. punktā būtībā konstatējis ģenerāladvokāts, formulējums, kas izmantots Regulas 2016/679 4. panta 11. punktā, kur definēta “datu subjekta piekrišana” šīs regulas izpratnē, konkrēti – tās 6. panta 1. punkta a) apakšpunktā, par kuru ir pirmā jautājuma c) daļa, izrādās esam vēl stingrāks nekā Direktīvas 95/46 2. panta h) punktā izmantotais formulējums tajā ziņā, ka tas prasa, lai šī datu subjekta gribas norāde būtu “brīvi sniegta, konkrēta, apzināta un viennozīmīga” un izpaustos paziņojuma vai “skaidri apstiprinošas darbības” veidā, ar kuru tiek apstiprināta viņa piekrišana savu personas datu apstrādei.
62 Tādējādi aktīva piekrišana tagad ir skaidri paredzēta Regulā 2016/679. Šajā ziņā jānorāda, ka saskaņā ar šīs regulas 32. apsvērumā teikto piekrišana varētu tikt pausta tostarp, interneta tīmekļa vietnē ar ķeksīti atzīmējot laukumu. Turpretim minētajā apsvērumā ir skaidri izslēgts, ka par piekrišanu būtu jāuzskata “klusēšana, iepriekš atzīmēti laukumi vai atturēšanās no darbības”.
63 No tā izriet, ka Direktīvas 2002/58 2. panta f) punktā un 5. panta 3. punktā, skatot tos kopsakarā ar Regulas 2016/679 4. panta 11. punktu un 6. panta 1. punkta a) apakšpunktu, minētā piekrišana pienācīgi nav dota tad, ja atļauja informācijas saglabāšanai tīmekļvietnes lietotāja galiekārtā vai piekļuvei tur jau uzglabātai informācijai tiek dota, izmantojot iepriekš ar ķeksīti atzīmētu izvēles rūtiņu, no kuras lietotājam, ja viņš nevēlas dot savu piekrišanu, ķeksītis ir jāizņem.
64 Visbeidzot jāuzsver, ka iesniedzējtiesa nevaicā Tiesai, vai apstāklis, ka lietotāja piekrišana savu personas datu apstrādei reklāmas mērķiem ir priekšnosacījums viņa iespējai piedalīties reklāmas loterijā, kā tas saskaņā ar lūgumā sniegt prejudiciālu nolēmumu teikto šķiet esam šajā gadījumā vismaz attiecībā uz pirmo izvēles rūtiņu, ir saderīgs ar prasību, ka piekrišanai jābūt “labprātīgi” jeb “brīvi” sniegtai Direktīvas 95/46 2. panta h) punkta, kā arī Regulas 2016/679 4. panta 11. punkta un 7. panta 4. punkta izpratnē. Šajos apstākļos šis jautājums Tiesai nav jāiztirzā.
65 Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz pirmā jautājuma a) un c) daļu ir atbildams, ka Direktīvas 2002/58 2. panta f) punkts un 5. panta 3. punkts, skatot tos kopsakarā ar Direktīvas 95/46 2. panta h) punktu, kā arī ar Regulas 2016/679 4. panta 11. punktu un 6. panta 1. punkta a) apakšpunktu, ir jāinterpretē tādējādi, ka šajās tiesību normās minētā piekrišana nav pienācīgi dota tad, ja atļauja informācijas saglabāšanai tīmekļvietnes lietotāja galiekārtā vai piekļuvei tur jau uzglabātai informācijai ar sīkdatņu palīdzību tiek dota, izmantojot iepriekš ar ķeksīti atzīmētu izvēles rūtiņu, no kuras šim lietotājam, ja viņš nevēlas dot savu piekrišanu, ķeksītis ir jāizņem.
Par pirmā jautājuma b) daļu
66 Ar pirmā jautājuma b) daļu iesniedzējtiesa būtībā vēlas noskaidrot, vai Direktīvas 2002/58 2. panta f) punkts un 5. panta 3. punkts, skatot tos kopsakarā ar Direktīvas 95/46 2. panta h) punktu, kā arī Regulas 2016/679 4. panta 11. punktu un 6. panta 1. punkta a) apakšpunktu, ir jāinterpretē atšķirīgi atkarībā no tā, vai tīmekļvietnes lietotāja galiekārtā saglabātā vai no tās izgūtā informācija ir vai nav personas dati Direktīvas 95/46 un Regulas 2016/679 izpratnē.
67 Kā izklāstīts šā sprieduma 45. punktā, no lūguma sniegt prejudiciālu nolēmumu izriet, ka pamatlietā aplūkotā sīkdatņu ievietošana ir daļa no personas datu apstrādes.
68 Tomēr katrā ziņā ir jākonstatē, ka Direktīvas 2002/58 5. panta 3. punktā ir minētas “informācijas uzglabāšana” un “piekļuves iegūšana [..] jau uzglabātai informācijai”, bet nav nedz kvalificēta šī informācija, nedz precizēts, ka tai būtu jābūt personas datiem.
69 Kā savu secinājumu 107. punktā konstatē ģenerāladvokāts, šīs tiesību normas mērķis ir šādi aizsargāt lietotāju no iejaukšanās viņa privātajā dzīvē neatkarīgi no tā, vai šī iejaukšanās skar vai neskar personas datus.
70 Apstiprinājums šīs interpretācijas pareizībai ir rodams Direktīvas 2002/58 24. apsvērumā, kurā ir teikts, ka elektronisko komunikāciju tīklu lietotāju galiekārtā uzglabātā informācija ir to lietotāju privātās jomas daļa, kam nepieciešama aizsardzība saskaņā ar Eiropas Cilvēktiesību un pamatbrīvību aizsardzības konvenciju. Šī aizsardzība attiecas uz visu šajā galiekārtā uzglabāto informāciju neatkarīgi no tā, vai šī informācija ir vai nav personas dati, un tās mērķis, kā izriet no šā paša apsvēruma, ir tostarp aizsargāt lietotājus pret draudiem, ka, viņiem nezinot, viņu galiekārtā varētu iekļūt slēptie identifikatori vai citi tamlīdzīgi rīki.
71 Ņemot vērā iepriekš izklāstītos apsvērumus, uz pirmā jautājuma b) daļu ir atbildams, ka Direktīvas 2002/58 2. panta f) punkts un 5. panta 3. punkts, skatot tos kopsakarā ar Direktīvas 95/46 2. panta h) punktu, kā arī Regulas 2016/679 4. panta 11. punktu un 6. panta 1. punkta a) apakšpunktu, nav jāinterpretē atšķirīgi atkarībā no tā, vai tīmekļvietnes lietotāja galiekārtā saglabātā vai no tās izgūtā informācija ir vai nav personas dati Direktīvas 95/46 un Regulas 2016/679 izpratnē.
Par otro jautājumu
72 Ar otro jautājumu iesniedzējtiesa būtībā vaicā, vai Direktīvas 2002/58 5. panta 3. punkts ir jāinterpretē tādējādi, ka informācijā, kura pakalpojumu sniedzējam ir jāsniedz tīmekļvietnes lietotājam, ir jāietver ziņas par sīkdatņu darbības ilgumu, kā arī par to, vai trešajām personām ir vai nav iespējams piekļūt šīm sīkdatnēm.
73 Direktīvas 2002/58 5. panta 3. punktā – kā izriet jau no šā sprieduma 46. punkta – ir prasīts, lai lietotājs savu piekrišanu būtu devis, “saskaņā ar Direktīvu [95/46]” būdams nodrošināts ar skaidru un visaptverošu informāciju, tostarp par apstrādes nolūku.
74 Kā savu secinājumu 115. punktā uzsver ģenerāladvokāts, skaidrai un visaptverošai informācijai ir jāļauj lietotājam viegli noprast, kādas sekas varētu būt viņa iespējami dotai piekrišanai, un jāgarantē, ka šī piekrišana tiek dota, pilnībā apzinoties visus apstākļus. Tai ir jābūt tik skaidri saprotamai un pietiekami detalizētai, lai lietotājs spētu izprast izmantoto sīkdatņu funkcionēšanu.
75 Tādā situācijā kā pamatlietā aplūkotā, kurā – kā norādīts Tiesai iesniegtajos lietas materiālos – ar sīkdatnēm ir paredzēts ievākt informāciju reklāmas loterijas rīkotāja sadarbības partneru produkcijas reklamēšanas mērķiem, šādai saskaņā ar Direktīvas 2002/58 5. panta 3. punktu lietotājam sniedzamai skaidrai un visaptverošai informācijai ir jāietver ziņas arī par šo sīkdatņu darbības veidu, kā arī par to, vai trešajām personām ir vai nav iespējams piekļūt šīm sīkdatnēm.
76 Šajā ziņā ir jānorāda, ka gan Direktīvas 95/46, uz kuru ir ietverta atsauce Direktīvas 2002/58 5. panta 3. punktā, 10. pantā, gan Regulas 2016/679 13. pantā ir noteikts, kādu informāciju pārzinim ir pienākums sniegt personai, no kuras tas iegūst viņas datus.
77 Šajā informācijā saskaņā ar Direktīvas 95/46 10. pantu ietilpst tostarp ne tikai ziņas par pārziņa identitāti un apstrādes, kurai dati paredzēti, nolūki, bet arī visa cita papildinformācija, piemēram, par datu saņēmējiem vai šo saņēmēju kategorijām, ciktāl, ņemot vērā konkrētos apstākļus, kādos dati ievākti, šāda papildinformācija ir vajadzīga, lai attiecībā uz datu subjektu tiktu garantēta godprātīga apstrāde.
78 Lai arī ziņas par datu apstrādes ilgumu neietilpst šajā informācijas kopumā, no Direktīvas 95/46 10. pantā lietotā vārda “vismaz” izriet, ka šīs informācijas uzskaitījums nav izsmeļošs. Savukārt informācija par sīkdatņu darbības ilgumu ir uzskatāma par tādu, kas atbilst šajā pantā paredzētajai prasībai par datu godprātīgu apstrādi, jo – tādā situācijā kā pamatlietā aplūkotā – ilgs vai pat neierobežots to darbības ilgums nozīmē, ka tiks ievākts ārkārtīgi daudz informācijas par lietotāja pārlūkošanas paradumiem un iespējamo apmeklējumu biežumu reklāmas loterijas rīkotāja reklāmas sadarbības partneru vietnēs.
79 Apstiprinājums šīs interpretācijas pareizībai ir rodams Regulas 2016/679 13. panta 2. punkta a) apakšpunktā, kurā ir paredzēts, ka pārzinim, lai nodrošinātu godprātīgu un pārredzamu apstrādi, ir jāsniedz datu subjektam informācija, tostarp par laikposmu, cik ilgi personas dati tiks glabāti, vai, ja tas nav iespējams, par kritērijiem, kādi tiks izmantoti šā laikposma noteikšanai.
80 Savukārt ziņas par to, vai trešajām personām ir vai nav iespējams piekļūt sīkdatnēm, ietilpst informācijā, kas minēta Direktīvas 95/46 10. panta c) punktā, kā arī Regulas 2016/679 13. panta 1. punkta e) apakšpunktā, jo šajās tiesību normās ir skaidri norādīts uz datu saņēmējiem vai šo saņēmēju kategorijām.
81 Ņemot vērā iepriekš izklāstītos apsvērumus, uz otro jautājumu ir atbildams, ka Direktīvas 2002/58 5. panta 3. punkts ir jāinterpretē tādējādi, ka informācijai, kura pakalpojumu sniedzējam ir jāsniedz tīmekļvietnes lietotājam, ir jāietver ziņas par sīkdatņu darbības ilgumu, kā arī par to, vai trešajām personām ir vai nav iespējams piekļūt šīm sīkdatnēm.
Par tiesāšanās izdevumiem
82 Attiecībā uz pamatlietas pusēm šī tiesvedība ir stadija procesā, kuru izskata iesniedzējtiesa, un tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.
Ar šādu pamatojumu Tiesa (virspalāta) nospriež:
1) Eiropas Parlamenta un Padomes Direktīvas 2002/58/EK (2002. gada 12. jūlijs) par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (direktīva par privāto dzīvi un elektronisko komunikāciju), redakcijā ar grozījumiem, kas izdarīti ar Eiropas Parlamenta un Padomes Direktīvu 2009/136/EK (2009. gada 25. novembris), 2. panta f) punkts un 5. panta 3. punkts, skatot tos kopsakarā ar Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti 2. panta h) punktu, kā arī Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46 (Vispārīgā datu aizsardzības regula) 4. panta 11. punktu un 6. panta 1. punkta a) apakšpunktu, ir jāinterpretē tādējādi, ka šajās tiesību normās minētā piekrišana nav pienācīgi dota tad, ja atļauja informācijas saglabāšanai tīmekļvietnes lietotāja galiekārtā vai piekļuvei tur jau uzglabātai informācijai ar sīkdatņu palīdzību tiek dota, izmantojot iepriekš ar ķeksīti atzīmētu izvēles rūtiņu, no kuras šim lietotājam, ja viņš nevēlas dot savu piekrišanu, ķeksītis ir jāizņem.
2) Direktīvas 2002/58, redakcijā ar grozījumiem, kas izdarīti ar Direktīvu 2009/136, 2. panta f) punkts un 5. panta 3. punkts, skatot tos kopsakarā ar Direktīvas 95/46 2. panta h) punktu, kā arī Regulas 2016/679 4. panta 11. punktu un 6. panta 1. punkta a) apakšpunktu, nav jāinterpretē atšķirīgi atkarībā no tā, vai tīmekļvietnes lietotāja galiekārtā saglabātā vai no tās izgūtā informācija ir vai nav personas dati Direktīvas 95/46 un Regulas 2016/679 izpratnē.
3) Direktīvas 2002/58, redakcijā ar grozījumiem, kas izdarīti ar Direktīvu 2009/136, 5. panta 3. punkts ir jāinterpretē tādējādi, ka informācijā, kura pakalpojumu sniedzējam ir jāsniedz tīmekļvietnes lietotājam, ir jāietver ziņas par sīkdatņu darbības ilgumu, kā arī par to, vai trešajām personām ir vai nav iespējams piekļūt šīm sīkdatnēm.
[Paraksti]