ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
MACIEJ SZPUNAR
της 21ης Μαρτίου 2019(1)
Υπόθεση C‑673/17
Planet49 GmbH
κατά
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
[αίτηση του Bundesgerichtshof (Ανώτατου Ομοσπονδιακού Δικαστηρίου, Γερμανία) για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Οδηγία 95/46/ΕΚ – Οδηγία 2002/58/ΕΚ – Κανονισμός (ΕΕ) 2016/679 – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Cookies – Έννοια της συγκατάθεσης του υποκειμένου των δεδομένων – Δήλωση συγκατάθεσης μέσω προσυμπληρωμένου τετραγωνιδίου»
I. Εισαγωγή
1. Προκειμένου να συμμετάσχουν σε κερδοφόρο παιχνίδι που διοργάνωνε η Planet49, οι χρήστες του Διαδικτύου έπρεπε αρχικά να επιλέξουν ή να αποεπιλέξουν δύο τετραγωνίδια, ούτως ώστε να μπορέσουν εν συνεχεία να επιλέξουν το «κουμπί συμμετοχής». Το ένα τετραγωνίδιο απαιτούσε από τους χρήστες να δεχθούν να επικοινωνήσουν μαζί τους διάφορες εταιρίες για διαφημιστικές προσφορές, ενώ το άλλο τετραγωνίδιο απαιτούσε από τους χρήστες να συναινέσουν στην εγκατάσταση cookies στον ηλεκτρονικό υπολογιστή τους. Αυτά είναι, εν ολίγοις, τα πραγματικά περιστατικά της υπό εξέταση διάταξης περί παραπομπής την οποία εξέδωσε το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο, Γερμανία).
2. Τα ανωτέρω φαινομενικώς επουσιώδη πραγματικά περιστατικά υποκρύπτουν θεμελιώδη ζητήματα του ενωσιακού δικαίου για την προστασία των δεδομένων: ποιες ακριβώς απαιτήσεις ισχύουν όσον αφορά την εν πλήρει επιγνώσει και ελεύθερη συγκατάθεση; Υπάρχει διαφορά μεταξύ, αφενός, της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (μόνον) και, αφετέρου, της εγκατάστασης cookies και της πρόσβασης σε αυτά; Ποιες νομικές πράξεις έχουν εφαρμογή;
3. Με τις παρούσες προτάσεις θα υποστηρίξω ότι, στην προκειμένη περίπτωση, οι απορρέουσες από την οδηγία 95/46/ΕΚ (2) και από τον κανονισμό (ΕΕ) 2016/679 (3) απαιτήσεις για τη χορήγηση συγκατάθεσης ταυτίζονται και ότι ουδεμία επιρροή ασκεί, στην υπό εξέταση υπόθεση, το αν πρόκειται για το γενικό ζήτημα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα ή για το ειδικότερο ζήτημα της αποθήκευσης cookies και της απόκτησης πρόσβασης σε πληροφορίες μέσω αυτών.
II. Το νομικό πλαίσιο
1. Το δίκαιο της Ένωσης
1. Η οδηγία 95/46
4. Το άρθρο 2 της οδηγίας 95/46, το οποίο επιγράφεται «Ορισμοί», προβλέπει τα εξής:
«Για τους σκοπούς της παρούσας οδηγίας, νοούνται ως:
[…]
η) “συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα”, κάθε δήλωση βουλήσεως, ελευθέρας, ρητής και εν πλήρει επιγνώσει, με την οποία το πρόσωπο στο οποίο αναφέρονται τα δεδομένα δέχεται να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν.»
5. Στο τμήμα II της εν λόγω οδηγίας, το οποίο επιγράφεται «Βασικές αρχές της νόμιμης επεξεργασίας δεδομένων», το άρθρο 7, στοιχείο αʹ, ορίζει τα εξής:
«Τα κράτη μέλη προβλέπουν ότι επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να γίνεται μόνον εάν:
α) το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δώσει τη ρητή συγκατάθεσή του ή
[…]»
6. Το άρθρο 10 της ίδιας οδηγίας, το οποίο επιγράφεται «Ενημέρωση σε περίπτωση συλλογής δεδομένων από το πρόσωπο στο οποίο αναφέρονται», έχει ως εξής:
«Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος της επεξεργασίας ή ο εκπρόσωπός του πρέπει να παρέχει στο πρόσωπο από το οποίο συλλέγονται δεδομένα που το αφορούν τουλάχιστον τις πληροφορίες που απαριθμούνται κατωτέρω, εκτός εάν το πρόσωπο αυτό έχει ήδη ενημερωθεί σχετικά:
α) την ταυτότητα του υπευθύνου της επεξεργασίας και, ενδεχομένως, του εκπροσώπου του·
β) τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα·
γ) οποιαδήποτε περαιτέρω πληροφορία, όπως:
– τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων,
– το κατά πόσον η παροχή των δεδομένων είναι υποχρεωτική ή όχι, καθώς και τις ενδεχόμενες συνέπειες της άρνησης παροχής τους,
– την ύπαρξη δικαιώματος πρόσβασης στα συγκεκριμένα δεδομένα και δικαιώματος διόρθωσής τους,
εφόσον οι πληροφορίες αυτές είναι αναγκαίες, λόγω των ειδικών συνθηκών υπό τις οποίες συλλέγονται τα δεδομένα, ώστε να εξασφαλίζεται η θεμιτή επεξεργασία έναντι του προσώπου στο οποίο αναφέρονται τα δεδομένα.»
2. Η οδηγία 2002/58/ΕΚ (4)
7. Οι αιτιολογικές σκέψεις 24 και 25 της οδηγίας 2002/58/ΕΚ (5) έχουν ως εξής:
«24) Ο τερματικός εξοπλισμός των χρηστών δικτύων ηλεκτρονικών επικοινωνιών και κάθε πληροφορία που αποθηκεύεται στον εξοπλισμό αυτόν συνιστούν μέρος της ιδιωτικής ζωής των χρηστών η οποία χρήζει προστασίας δυνάμει της ευρωπαϊκής σύμβασης για την προάσπιση των δικαιωμάτων του ανθρώπου και των θεμελιωδών ελευθεριών. Τα επιλεγόμενα κατασκοπευτικά λογισμικά, δικτυακοί “κοριοί” (web bugs), κρυφά αναγνωριστικά στοιχεία και άλλες παρόμοιες διατάξεις μπορούν να εισέλθουν στο τερματικό του χρήστη εν αγνοία του με σκοπό την πρόσβαση σε πληροφορίες, την αποθήκευση αθέατων πληροφοριών ή την ανίχνευση των δραστηριοτήτων του χρήστη, και συνιστούν ενδεχόμενη σοβαρή παραβίαση της ιδιωτικής ζωής του χρήστη. Η χρησιμοποίηση τέτοιων διατάξεων θα πρέπει να επιτρέπεται μόνο για θεμιτούς σκοπούς και εφόσον το γνωρίζουν οι αφορώμενοι χρήστες.
25) Εντούτοις, η χρησιμοποίηση τέτοιων διατάξεων, των λεγόμενων “cookies” για παράδειγμα, μπορεί να αποτελεί θεμιτό και χρήσιμο μέσο, π.χ. για την ανάλυση της αποτελεσματικότητας του σχεδιασμού και της παρουσίασης μιας ιστοσελίδας και τον έλεγχο της ταυτότητας χρηστών που πραγματοποιούν συναλλαγές σε απευθείας σύνδεση (on‑line). Όταν οι διατάξεις αυτές, όπως επί παραδείγματι τα “cookies”, προορίζονται για θεμιτούς σκοπούς, για να διευκολυνθεί φέρ’ ειπείν η παροχή υπηρεσιών στην κοινωνία των πληροφοριών, η χρησιμοποίησή τους θα πρέπει να επιτρέπεται υπό τον όρον ότι παρέχονται στους χρήστες σαφείς και ακριβείς πληροφορίες σύμφωνα με την οδηγία 95/46/ΕΚ για τον προορισμό των “cookies” ή τυχόν ανάλογων διατάξεων, ώστε να εξασφαλίζεται ότι είναι εν γνώσει του χρήστη οι πληροφορίες που αποθηκεύονται στον τερματικό εξοπλισμό που χρησιμοποιεί. Οι χρήστες θα πρέπει να έχουν την ευκαιρία να αρνηθούν την αποθήκευση “cookies” ή παρόμοιων διατάξεων στον τερματικό τους εξοπλισμό. Τούτο είναι ιδιαίτερα σημαντικό σε περιπτώσεις όπου πρόσβαση στον τερματικό εξοπλισμό, και επομένως και σε κάθε είδους ευαίσθητα δεδομένα προσωπικού χαρακτήρα που έχουν αποθηκευθεί σε ένα τέτοιο εξοπλισμό, έχουν και άλλοι εκτός από τον πρωταρχικό χρήστη. Οι πληροφορίες για τη χρήση διαφόρων διατάξεων που θα εγκατασταθούν στον τερματικό εξοπλισμό του χρήστη καθώς και το δικαίωμα να αρνηθεί αυτές τις διατάξεις, μπορούν να προσφέρονται μόνο μία φορά κατά τη διάρκεια της ίδιας σύνδεσης, και να καλύπτουν επίσης τη μελλοντική ενδεχομένως χρήση αυτών των διατάξεων σε μεταγενέστερες συνδέσεις. Οι τρόποι της παροχής πληροφοριών, της παροχής του δικαιώματος άρνησης ή αίτησης συγκατάθεσης θα πρέπει να είναι όσο το δυνατόν προσιτότεροι για τον χρήστη. Για την πρόσβαση σε συγκεκριμένο περιεχόμενο ιστοσελίδων επιτρέπεται πάντως να τίθεται ως όρος η ενημερωμένη αποδοχή “cookies” ή παρόμοιων διατάξεων, εφόσον χρησιμοποιούνται για σύννομο σκοπό.»
8. Το άρθρο 2 της εν λόγω οδηγίας, το οποίο επιγράφεται «Ορισμοί», ορίζει, στο στοιχείο στʹ, τα εξής:
«Εκτός αν άλλως ορίζεται, ισχύουν οι ορισμοί που περιλαμβάνονται στην οδηγία 95/46/ΕΚ και την οδηγία 2002/21/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 7ης Μαρτίου 2002, σχετικά με κοινό κανονιστικό πλαίσιο για δίκτυα και υπηρεσίες ηλεκτρονικών επικοινωνιών (οδηγία πλαίσιο) [(6)].
Επίσης, ισχύουν και οι ακόλουθοι ορισμοί, βάσει των οποίων νοούνται ως:
[…]
στ) “συγκατάθεση” του χρήστη ή του συνδρομητή, η συγκατάθεση του προσώπου που αφορούν τα δεδομένα, κατά την έννοια της οδηγίας 95/46/ΕΚ·
[…]»
9. Το άρθρο 5 της εν λόγω οδηγίας, το οποίο επιγράφεται «Απόρρητο των επικοινωνιών», προβλέπει, στην παράγραφο 3, τα εξής:
«Τα κράτη μέλη μεριμνούν ώστε η αποθήκευση πληροφοριών ή η απόκτηση πρόσβασης σε ήδη αποθηκευμένες πληροφορίες στον τερματικό εξοπλισμό συνδρομητή ή χρήστη [να] επιτρέπεται μόνον εάν ο συγκεκριμένος συνδρομητής ή χρήστης έχει δώσει τη συγκατάθεσή του με βάση σαφείς και εκτενείς πληροφορίες σύμφωνα με την οδηγία 95/46/ΕΚ, μεταξύ άλλων για το σκοπό της επεξεργασίας. Τούτο δεν εμποδίζει οιαδήποτε τεχνικής φύσεως αποθήκευση ή πρόσβαση, αποκλειστικός σκοπός της οποίας είναι η διενέργεια της διαβίβασης μιας επικοινωνίας μέσω δικτύου ηλεκτρονικών επικοινωνιών ή που είναι απολύτως αναγκαία για να μπορεί ο πάροχος υπηρεσίας της κοινωνίας της πληροφορίας την οποία έχει ζητήσει ρητά ο συνδρομητής ή ο χρήστης να παρέχει τη συγκεκριμένη υπηρεσία.»
3. Η οδηγία 2009/136/ΕΚ (7)
10. Η αιτιολογική σκέψη 66 της οδηγίας 2009/136/ΕΚ (8) έχει ως εξής:
«Ενδέχεται τρίτοι να επιθυμούν να αποθηκεύουν πληροφορίες σχετικά με το υλικό που χρησιμοποιούν οι χρήστες, ή να αποκτούν πρόσβαση σε ήδη αποθηκευμένες πληροφορίες, για διάφορους λόγους, άλλες φορές θεμιτούς (π.χ. ορισμένα είδη “cookies”) και άλλες φορές για λόγους αυθαίρετης εισβολής στην ιδιωτική σφαίρα (π.χ. με κατασκοπευτικό λογισμικό “spyware” ή ιούς). Έχει συνεπώς εξαιρετικά μεγάλη σημασία να παρέχονται στους χρήστες σαφείς και κατανοητές πληροφορίες όταν αναλαμβάνουν δραστηριότητα που θα μπορούσε να έχει ως αποτέλεσμα τέτοιου είδους αποθήκευση ή απόκτηση πρόσβασης. Οι μέθοδοι για την παροχή πληροφοριών και την προσφορά δικαιώματος άρνησης θα πρέπει να είναι όσο το δυνατόν πιο εύχρηστες. Οι εξαιρέσεις στην υποχρέωση για παροχή πληροφοριών και δικαιώματος άρνησης θα πρέπει να περιορίζονται στις περιπτώσεις όπου η τεχνική αποθήκευση ή η πρόσβαση είναι απολύτως αναγκαία για το θεμιτό λόγο του να καταστεί δυνατή η χρήση μιας συγκεκριμένης υπηρεσίας που έχει ζητηθεί από το συνδρομητή ή το χρήστη. Όπου είναι τεχνικά δυνατό και αποτελεσματικό, σύμφωνα με τις σχετικές διατάξεις της οδηγίας 95/46/ΕΚ, η βούληση του χρήστη όσον αφορά την αποδοχή της επεξεργασίας μπορεί να εκφραστεί με τη χρήση κατάλληλων ρυθμίσεων του φυλλομετρητή Ιστού ή άλλης εφαρμογής. Η εφαρμογή των ανωτέρω απαιτήσεων θα πρέπει να καταστεί αποτελεσματικότερη με την ενίσχυση των εξουσιών που εκχωρούνται στις αρμόδιες εθνικές αρχές.»
4. Ο κανονισμός 2016/679
11. Η αιτιολογική σκέψη 32 του κανονισμού 2016/679 έχει ως εξής:
«Η συγκατάθεση θα πρέπει να παρέχεται με σαφή θετική ενέργεια η οποία να συνιστά ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει ένδειξη της συμφωνίας του υποκειμένου των δεδομένων υπέρ της επεξεργασίας των δεδομένων που το αφορούν, για παράδειγμα με γραπτή δήλωση, μεταξύ άλλων με ηλεκτρονικά μέσα, ή με προφορική δήλωση. Αυτό θα μπορούσε να περιλαμβάνει τη συμπλήρωση ενός τετραγωνιδίου κατά την επίσκεψη σε διαδικτυακή ιστοσελίδα, την επιλογή των επιθυμητών τεχνικών ρυθμίσεων για υπηρεσίες της κοινωνίας των πληροφοριών ή μια δήλωση ή συμπεριφορά που δηλώνει σαφώς, στο συγκεκριμένο πλαίσιο, ότι το υποκείμενο των δεδομένων αποδέχεται την πρόταση επεξεργασίας των οικείων δεδομένων προσωπικού χαρακτήρα. Επομένως, η σιωπή, τα προσυμπληρωμένα τετραγωνίδια ή η αδράνεια δεν θα πρέπει να εκλαμβάνονται ως συγκατάθεση. Η συγκατάθεση θα πρέπει να καλύπτει το σύνολο των δραστηριοτήτων επεξεργασίας που διενεργείται για τον ίδιο σκοπό ή για τους ίδιους σκοπούς. Όταν η επεξεργασία έχει πολλαπλούς σκοπούς, θα πρέπει να δίνεται συγκατάθεση για όλους αυτούς τους σκοπούς. Εάν η συγκατάθεση του υποκειμένου των δεδομένων πρόκειται να δοθεί κατόπιν αιτήματος με ηλεκτρονικά μέσα, το αίτημα πρέπει να είναι σαφές, περιεκτικό και να μην διαταράσσει αδικαιολόγητα τη χρήση της υπηρεσίας για την οποία παρέχεται.»
12. Το άρθρο 4 του εν λόγω κανονισμού, το οποίο επιγράφεται «Ορισμοί», προβλέπει, στο σημείο 11, τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
[…]
11) “συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν,
[…]»
13. Το άρθρο 6 του ίδιου κανονισμού, το οποίο επιγράφεται «Νομιμότητα της επεξεργασίας», ορίζει τα εξής:
«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
[…]»
14. Το άρθρο 7 του κανονισμού 2016/679 επιγράφεται «Προϋποθέσεις για συγκατάθεση». Το άρθρο 7, παράγραφος 4, ορίζει ότι, «[κ]ατά την εκτίμηση κατά πόσο η συγκατάθεση δίνεται ελεύθερα, λαμβάνεται ιδιαιτέρως υπόψη κατά πόσο, μεταξύ άλλων, για την εκτέλεση σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, τίθεται ως προϋπόθεση η συγκατάθεση στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που δεν είναι αναγκαία για την εκτέλεση της εν λόγω σύμβασης».
2. Το γερμανικό δίκαιο
1. Ο γερμανικός αστικός κώδικας
15. Το άρθρο 307 (9) του Bürgerliches Gesetzbuch (γερμανικού αστικού κώδικα, στο εξής: BGB) ορίζει τα εξής:
«(1) Οι διατάξεις γενικών όρων συναλλαγών είναι ανίσχυρες όταν, αντιθέτως προς τις επιταγές της καλής πίστεως, περιάγουν σε δυσανάλογα μειονεκτική θέση τον αντισυμβαλλόμενο εκείνου που τους χρησιμοποιεί. Η μειονεκτική θέση μπορεί να προκύπτει ακόμη και από το γεγονός ότι ο σχετικός όρος δεν είναι σαφής και κατανοητός.
(2) Σε περίπτωση αμφιβολίας, δυσανάλογα μειονεκτική θέση υφίσταται όταν ένας γενικός όρος:
1. δεν είναι συμβατός προς θεμελιώδεις αρχές της νομοθεσίας από την οποία αφίσταται ή
2. περιορίζει τα βασικά δικαιώματα ή τις βασικές υποχρεώσεις που απορρέουν από τη φύση της σύμβασης, κατά τρόπον ώστε να τίθεται σε κίνδυνο η επίτευξη του σκοπού της σύμβασης.
(3) Οι παράγραφοι (1) και (2) καθώς και τα άρθρα 308 και 309 ισχύουν μόνο για γενικούς όρους συναλλαγών με τους οποίους συνομολογούνται ρυθμίσεις που παρεκκλίνουν από ή συμπληρώνουν νομικές διατάξεις. Άλλοι όροι ενδέχεται να είναι ανίσχυροι σύμφωνα με την παράγραφο (1), δεύτερο εδάφιο, σε συνδυασμό με την παράγραφο (1), πρώτο εδάφιο.»
2. Ο νόμος κατά του αθέμιτου ανταγωνισμού
16. Ο Gesetz gegen den unlauteren Wettbewerb (νόμος κατά του αθέμιτου ανταγωνισμού, στο εξής: UWG) απαγορεύει τις εμπορικές πρακτικές που συνιστούν ανεπίτρεπτη παρενόχληση για μετέχοντες στην αγορά. Το άρθρο 7, παράγραφος 2, του UWG ορίζει, στο σημείο 2, ότι «[α]νεπίτρεπτη παρενόχληση τεκμαίρεται πάντοτε ότι υφίσταται στις περιπτώσεις […] διαφήμισης μέσω τηλεφωνικής κλήσης που πραγματοποιείται προς καταναλωτή χωρίς την προηγούμενη ρητή συγκατάθεσή του ή προς άλλον μετέχοντα στην αγορά χωρίς, τουλάχιστον, την τεκμαιρόμενη συγκατάθεσή του».
3. Ο νόμος για τα τηλεμέσα
17. Το άρθρο 12, παράγραφος 1,του Telemediengesetz (νόμου για τα τηλεμέσα, στο εξής: TMG) μετέφερε στην εθνική έννομη τάξη το άρθρο 7, στοιχείο αʹ, της οδηγίας 95/46 και καθορίζει τις προϋποθέσεις υπό τις οποίες οι φορείς παροχής υπηρεσιών δύνανται να συλλέγουν και να χρησιμοποιούν δεδομένα προσωπικού χαρακτήρα για τους σκοπούς των τηλεμέσων. Κατά το άρθρο αυτό, οι φορείς παροχής υπηρεσιών δύνανται να συλλέγουν και να χρησιμοποιούν δεδομένα προσωπικού χαρακτήρα για τους σκοπούς των τηλεμέσων μόνον εφόσον τούτο επιτρέπεται βάσει του TMG ή βάσει άλλης νομικής πράξης που διέπει ρητώς τα τηλεμέσα ή εφόσον έχει συγκατατεθεί ο χρήστης.
18. Το άρθρο 12, παράγραφος 3, του TMG ορίζει ότι η ισχύουσα νομοθεσία που διέπει τα δεδομένα προσωπικού χαρακτήρα πρέπει να εφαρμόζεται ακόμη και στην περίπτωση που τα δεδομένα δεν υπόκεινται σε αυτόματη επεξεργασία.
19. Κατά το άρθρο 13, παράγραφος 1, του TMG, ο φορέας παροχής των υπηρεσιών οφείλει να ενημερώνει τον χρήστη, κατά την έναρξη της χρήσης, όσον αφορά το είδος, την έκταση και τον σκοπό της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και της επεξεργασίας δεδομένων που δεν εμπίπτουν στο πεδίο εφαρμογής της οδηγίας 95/46.
20. Το άρθρο 15, παράγραφος 1, του TMG ορίζει ότι οι φορείς παροχής υπηρεσιών δύνανται να συλλέγουν και να χρησιμοποιούν δεδομένα προσωπικού χαρακτήρα μόνον εφόσον είναι αναγκαίο για χρήση σε τηλεμέσα ή για τους σκοπούς της έκδοσης τιμολογίου που αφορά τη χρήση αυτή («δεδομένα χρήστη»). Ως δεδομένα χρήστη ορίζονται τα δεδομένα που, μεταξύ άλλων, επιτρέπουν την ταυτοποίηση των χρηστών.
21. Το άρθρο 15, παράγραφος 3, του TMG μετέφερε στην εθνική έννομη τάξη το άρθρο 5, παράγραφος 3, της οδηγίας 2002/58 και παρέχει το δικαίωμα στους φορείς παροχής υπηρεσιών να δημιουργούν προφίλ χρηστών με τη χρήση ψευδωνύμων, για σκοπούς διαφημιστικούς, έρευνας αγοράς ή διαμόρφωσης των τηλεμέσων σύμφωνα με τη ζήτηση, εφόσον ο χρήστης δεν εναντιώνεται κατόπιν ενημέρωσής του σχετικά με το δικαίωμά του περί εναντίωσης, σύμφωνα με την υποχρέωση ενημέρωσης που απορρέει από το άρθρο 13, παράγραφος 1, του TMG.
4. Ο ομοσπονδιακός νόμος για την προστασία των δεδομένων
22. Το άρθρο 3, παράγραφος 1, του Bundesdatenschutzgesetz (ομοσπονδιακού νόμου για την προστασία των δεδομένων, στο εξής: BDSG) (10) μετέφερε στην εθνική έννομη τάξη το άρθρο 2, στοιχείο αʹ, της οδηγίας 95/46 και ορίζει ότι ως «δεδομένα προσωπικού χαρακτήρα» λογίζονται τα δεδομένα που αφορούν τα προσωπικά ή πραγματικά στοιχεία ενός συγκεκριμένου ή δυνάμενου να προσδιορισθεί φυσικού προσώπου.
23. Το άρθρο 4a του BDSG μετέφερε στην εθνική έννομη τάξη το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46 και προβλέπει ότι η συγκατάθεση είναι έγκυρη μόνον εφόσον αποτελεί προϊόν της ελεύθερης βούλησης των ενδιαφερομένων.
III. Τα πραγματικά περιστατικά, η διαδικασία και τα προδικαστικά ερωτήματα
24. Στις 24 Σεπτεμβρίου 2013 η Planet49 GmbH διοργάνωσε διαφημιστικό κερδοφόρο παιχνίδι μέσω της ηλεκτρονικής διεύθυνσης www.dein-macbook.de. (11). Για να συμμετάσχουν στο παιχνίδι, οι χρήστες του Διαδικτύου έπρεπε αρχικά να συμπληρώσουν τον ταχυδρομικό τους κώδικα και, εν συνεχεία, μεταφέρονταν σε σελίδα που περιείχε ορισμένα πεδία αναγραφής του ονόματος και της διεύθυνσής τους. Κάτωθι των πεδίων αναγραφής της διεύθυνσης παρετίθεντο δύο επεξηγηματικά κείμενα με παρακείμενα τετραγωνίδια επιλογής. Ακολούθως, αναφέρομαι σε αυτά ως «πρώτο τετραγωνίδιο» και «δεύτερο τετραγωνίδιο». Το πρώτο επεξηγηματικό κείμενο, του οποίου το παρακείμενο τετραγωνίδιο δεν ήταν προσυμπληρωμένο, είχε ως εξής:
«Δέχομαι να μου αποστέλλονται ενημερωτικά μηνύματα από ορισμένους χορηγούς και εμπορικούς εταίρους, ταχυδρομικώς, τηλεφωνικώς ή μέσω ηλεκτρονικού ταχυδρομείου ή SMS, σχετικά με προσφορές στον αντίστοιχο επιχειρηματικό τομέα τους. Μπορώ να τους καθορίσω ο ίδιος/η ίδια εδώ, διαφορετικά η επιλογή πραγματοποιείται από τον διοργανωτή. Μπορώ να ανακαλέσω την αποδοχή μου ανά πάσα στιγμή. Περισσότερες σχετικές πληροφορίες εδώ.»
25. Το δεύτερο επεξηγηματικό κείμενο, με προσυμπληρωμένο το παρακείμενο τετραγωνίδιο, είχε ως εξής:
«Δέχομαι να χρησιμοποιηθεί στην περίπτωσή μου η διαδικτυακή υπηρεσία ανάλυσης Remintrex. Κατά συνέπεια, η διοργανώτρια του κερδοφόρου παιχνιδιού, Planet49 GmbH, θα εγκαταστήσει cookies μετά την εγγραφή μου στο παιχνίδι, πράγμα το οποίο θα παρέχει στην Planet49 τη δυνατότητα να αναλύει την πλοήγησή μου και τη συμπεριφορά μου ως χρήστη στους ιστοτόπους των διαφημιζόμενων εμπορικών εταίρων και, επομένως, θα καθιστά δυνατή την εστιασμένη στα ενδιαφέροντά μου προβολή διαφημίσεων από τη Remintrex. Μπορώ να διαγράψω τα cookies ανά πάσα στιγμή. Διαβάστε λεπτομέρειες εδώ.»
26. Η συμμετοχή στο διαφημιστικό παιχνίδι ήταν δυνατή μόνον εφόσον είχε συμπληρωθεί τουλάχιστον το πρώτο τετραγωνίδιο.
27. Ο περιλαμβανόμενος στο πρώτο επεξηγηματικό κείμενο ηλεκτρονικός σύνδεσμος, που συνδεόταν με τις λέξεις «χορηγούς και εμπορικούς εταίρους» και «εδώ», παρέπεμπε σε κατάλογο που περιλάμβανε 57 επιχειρήσεις, τη διεύθυνσή τους, τον διαφημιζόμενο επιχειρηματικό τομέα τους και τον χρησιμοποιούμενο για διαφημιστικούς σκοπούς τρόπο επικοινωνίας (ηλεκτρονική αλληλογραφία, ταχυδρομείο ή τηλέφωνο), καθώς και, μετά από κάθε επιχείρηση, την υπογραμμισμένη λέξη «Διαγραφή». Πριν από τον κατάλογο αναγραφόταν η ακόλουθη σημείωση:
«Κάνοντας κλικ στον σύνδεσμο “Διαγραφή”, αποφασίζω ότι δεν μπορεί να δοθεί στον αντίστοιχο εμπορικό εταίρο/χορηγό συγκατάθεση για διαφημιστικούς σκοπούς. Εάν δεν έχω διαγράψει κανέναν ή δεν έχω διαγράψει αρκετούς εμπορικούς εταίρους/χορηγούς, η Planet49 θα επιλέξει για εμένα εμπορικούς εταίρους/χορηγούς κατά τη διακριτική της ευχέρεια (κατ’ ανώτατο όριο: 30 εμπορικούς εταίρους/χορηγούς).»
28. Με την ενεργοποίηση του ηλεκτρονικού συνδέσμου που περιλαμβανόταν στο δεύτερο επεξηγηματικό κείμενο και συνδεόταν με τη λέξη «εδώ», εμφανίζονταν οι ακόλουθες πληροφορίες:
«Τα εγκατεστημένα cookies με τις ονομασίες ceng_cache, ceng_etag, ceng_png και gcr αποτελούν μικρά αρχεία τα οποία αποθηκεύονται στον σκληρό σας δίσκο, κατανεμημένα από τον φυλλομετρητή που χρησιμοποιείτε, και μέσω των οποίων διοχετεύονται ορισμένες πληροφορίες που καθιστούν δυνατή τη φιλικότερη προς τον χρήστη και αποτελεσματικότερη διαφήμιση. Τα cookies περιέχουν έναν συγκεκριμένο, τυχαία δημιουργούμενο αριθμό (ID) ο οποίος αποδίδεται ταυτόχρονα στα δεδομένα καταχώρισής σας. Εάν επισκεφθείτε ακολούθως την ιστοσελίδα ενός διαφημιζόμενου εμπορικού εταίρου που είναι εγγεγραμμένος λήπτης για τη Remintrex (για να δείτε αν ο διαφημιζόμενος εμπορικός εταίρος είναι εγγεγραμμένος, μπορείτε να ανατρέξετε στη δήλωσή του περί προστασίας δεδομένων), καταγράφονται αυτομάτως από τη Remintrex, μέσω ενός εκεί ενσωματωμένου iFrame, η επίσκεψή σας (δηλαδή η επίσκεψη του χρήστη με τον αποθηκευμένο ID) στη σελίδα, το προϊόν για το οποίο ενδιαφερθήκατε και η τυχόν σύναψη σύμβασης.
Εν συνεχεία, βάσει της δοθείσας κατά την εγγραφή στο παιχνίδι συγκατάθεσης σχετικά με τη διαφήμιση, η Planet49 GmbH δύναται να σας αποστέλλει διαφημιστικά μηνύματα που λαμβάνουν υπόψη τα στοιχεία για τα οποία εκδηλώσατε ενδιαφέρον στον ιστότοπο του διαφημιζόμενου εμπορικού εταίρου. Σε περίπτωση ανάκλησης της συγκατάθεσης σχετικά με τη διαφήμιση, εξυπακούεται ότι δεν θα λαμβάνετε πλέον διαφημιστικά μηνύματα μέσω ηλεκτρονικού ταχυδρομείου.
Οι πληροφορίες που μεταδίδονται μέσω των cookies χρησιμοποιούνται αποκλειστικά για διαφήμιση με την οποία παρουσιάζονται προϊόντα του διαφημιζόμενου εμπορικού εταίρου. Οι πληροφορίες συλλέγονται, αποθηκεύονται και χρησιμοποιούνται χωριστά για κάθε διαφημιζόμενο εμπορικό εταίρο. Σε καμία περίπτωση δεν δημιουργούνται προφίλ χρηστών για περισσότερους του ενός διαφημιζόμενους εμπορικούς εταίρους. Οι διάφοροι διαφημιζόμενοι εμπορικοί εταίροι δεν λαμβάνουν κανένα δεδομένο προσωπικού χαρακτήρα.
Εάν παύσει να σας ενδιαφέρει η χρήση των cookies, μπορείτε να τα διαγράψετε ανά πάσα στιγμή μέσω του φυλλομετρητή σας. Για οδηγίες, μπορείτε να ανατρέξτε στο μενού “Βοήθεια” του φυλλομετρητή σας.
Μέσω των cookies δεν είναι δυνατή η εκτέλεση προγραμμάτων ούτε η μετάδοση ιών.
Εξυπακούεται ότι έχετε τη δυνατότητα να ανακαλέσετε ανά πάσα στιγμή τη συγκατάθεση αυτή. Μπορείτε να απευθύνετε την ανάκληση γραπτώς στην PLANET49 GmbH [διεύθυνση]. Αρκεί πάντως και ένα απλό μήνυμα ηλεκτρονικού ταχυδρομείου προς το τμήμα εξυπηρέτησης πελατών μας [διεύθυνση ηλεκτρονικού ταχυδρομείου].»
29. Ενάγουσα της κύριας δίκης είναι η Bundesverband der Verbraucherzentralen (Ομοσπονδία των Γερμανικών Οργανώσεων Καταναλωτών, στο εξής: Bundesverband), η οποία είναι καταχωρισμένη στον κατάλογο των νομιμοποιούμενων φορέων δυνάμει του Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (νόμου για τις αγωγές παραλείψεως σε περιπτώσεις παράβασης διατάξεων του δικαίου προστασίας καταναλωτή και άλλων διατάξεων, στο εξής: UKlaG). Κατά την Bundesverband, οι προπαρατεθείσες δηλώσεις συγκατάθεσης τις οποίες χρησιμοποιούσε η Planet49 δεν πληρούσαν τις απαιτήσεις του άρθρου 307 του BGB, του άρθρου 7, παράγραφος 2, σημείο 2, του UWG και του άρθρου 12 επ. του TMG. Η εξώδικη όχληση που επιδόθηκε πριν από τη δίκη δεν τελεσφόρησε.
30. Η Bundesverband άσκησε αγωγή ενώπιον του Landgericht Frankfurt am Main (πρωτοδικείου Φρανκφούρτης, Γερμανία), με την οποία ζητούσε από το εν λόγω δικαστήριο να υποχρεώσει την Planet49 να παύσει να χρησιμοποιεί τους προμνησθέντες συμβατικούς όρους (12) και να της καταβάλει το ποσό των 214 ευρώ πλέον τόκων από τις 15 Μαρτίου 2014.
31. Το Landgericht Frankfurt am Main (πρωτοδικείο Φρανκφούρτης) δέχθηκε εν μέρει την αγωγή και την απέρριψε κατά τα λοιπά. Κατόπιν εφέσεως (13) που εκδικάστηκε ενώπιον του Oberlandesgericht Frankfurt am Main (εφετείου Φρανκφούρτης, Γερμανία), το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο) επελήφθη της εν συνεχεία ασκηθείσας αιτήσεως αναιρέσεως (14).
32. Το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο) εκτιμά ότι η ευδοκίμηση της αιτήσεως αναιρέσεως εξαρτάται από την ερμηνεία που θα δοθεί στο άρθρο 5, παράγραφος 3, και στο άρθρο 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46 και το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του κανονισμού 2016/679, και έχει υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) α) Υφίσταται έγκυρη συγκατάθεση κατά την έννοια του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, όταν η αποθήκευση πληροφοριών ή η πρόσβαση σε πληροφορίες ήδη αποθηκευμένες στον τερματικό εξοπλισμό του χρήστη επιτρέπεται βάσει προσυμπληρωμένου τετραγωνιδίου, το οποίο ο χρήστης πρέπει να αποεπιλέξει προκειμένου να αρνηθεί να παράσχει τη συγκατάθεσή του;
β) Ασκεί επιρροή, για την εφαρμογή του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, το ζήτημα αν οι πληροφορίες που αποθηκεύονται ή στις οποίες υπάρχει πρόσβαση αποτελούν δεδομένα προσωπικού χαρακτήρα;
γ) Υφίσταται έγκυρη συγκατάθεση κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο αʹ, του κανονισμού 2016/679 όταν συντρέχουν οι περιστάσεις του πρώτου σκέλους του πρώτου προδικαστικού ερωτήματος;
2) Ποιες πληροφορίες οφείλει να δίδει στον χρήστη ο φορέας παροχής υπηρεσιών στο πλαίσιο της επιτασσόμενης από το άρθρο 5, παράγραφος 3, της οδηγίας 2002/58 παροχής σαφών και εκτενών πληροφοριών; Συγκαταλέγονται στις εν λόγω πληροφορίες η διάρκεια λειτουργίας των cookies και το ζήτημα αν τρίτοι έχουν πρόσβαση στα cookies;»
33. Η διάταξη περί παραπομπής πρωτοκολλήθηκε στη Γραμματεία του Δικαστηρίου στις 30 Νοεμβρίου 2017. Γραπτές παρατηρήσεις κατέθεσαν η Planet49, η Bundesverband, η Πορτογαλική και η Ιταλική Κυβέρνηση και η Ευρωπαϊκή Επιτροπή. Η επ’ ακροατηρίου συζήτηση διεξήχθη στις 13 Νοεμβρίου 2018, στην οποία παρέστησαν η Planet49, η Bundesverband, η Γερμανική Κυβέρνηση και η Επιτροπή.
IV. Εκτίμηση
34. Αμφότερα τα προδικαστικά ερωτήματα που υπέβαλε το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο) αφορούν τη χορήγηση συγκατάθεσης για την αποθήκευση πληροφοριών και την απόκτηση πρόσβασης σε ήδη αποθηκευμένες πληροφορίες στον τερματικό εξοπλισμό του χρήστη, ήτοι σε cookies, στο συγκεκριμένο πλαίσιο των διατάξεων της οδηγίας 2002/58, σε συνδυασμό με τις διατάξεις της οδηγίας 95/46 ή του κανονισμού 2016/679.
35. Εκτιμώ ότι είναι χρήσιμο να παραθέσω, με τη μορφή προκαταρκτικών παρατηρήσεων, ορισμένες πρακτικού χαρακτήρα διευκρινίσεις όσον αφορά το φαινόμενο των cookies και τη σχετική ορολογία, καθώς και ορισμένες νομικές διευκρινίσεις όσον αφορά τις νομικές πράξεις που έχουν εφαρμογή στην υπό εξέταση υπόθεση.
1. Προκαταρκτικές παρατηρήσεις
1. Επί των cookies
36. Τα cookies αποτελούν μέσα συλλογής πληροφοριών που δημιουργούνται από ιστοτόπους και αποθηκεύονται από τους φυλλομετρητές των χρηστών του Διαδικτύου (15). Πρόκειται για μικρού μεγέθους δεδομένα ή αρχεία κειμένου, συνήθως μικρότερα του ενός κιλομπάιτ, τα οποία οι ιστότοποι ζητούν από τους φυλλομετρητές των χρηστών του Διαδικτύου να αποθηκεύσουν στον τοπικό σκληρό δίσκο του ηλεκτρονικού υπολογιστή ή της κινητής συσκευής του εκάστοτε χρήστη (16).
37. Τα cookies παρέχουν στους ιστοτόπους τη δυνατότητα να «απομνημονεύουν» τις ενέργειες ή τις προτιμήσεις των χρηστών σε βάθος χρόνου. Οι περισσότεροι φυλλομετρητές υποστηρίζουν τα cookies, αλλά οι χρήστες μπορούν να ρυθμίζουν τους φυλλομετρητές τους κατά τέτοιον τρόπο ώστε να μην τα δέχονται. Μπορούν επίσης να τα διαγράφουν όποτε το επιθυμούν. Πράγματι, πολλοί χρήστες καθορίζουν τις ρυθμίσεις για τα cookies στους φυλλομετρητές τους κατά τέτοιον τρόπο ώστε τα cookies να διαγράφονται αυτομάτως μόλις κλείνει το παράθυρο περιήγησης. Ωστόσο, από εμπειρικά δεδομένα προκύπτει ότι κατά κανόνα οι άνθρωποι σπανίως αλλάζουν τις προεπιλεγμένες ρυθμίσεις, φαινόμενο στο οποίο έχει δοθεί η ονομασία «αδράνεια των προεπιλεγμένων ρυθμίσεων» (17).
38. Οι ιστότοποι χρησιμοποιούν cookies για τους σκοπούς της ταυτοποίησης των χρηστών, της απομνημόνευσης των συνήθων προτιμήσεων τους και της παροχής δυνατότητας στους χρήστες να εκτελούν λειτουργίες χωρίς να χρειάζεται να επανεισάγουν πληροφορίες κατά τη φυλλομέτρηση από σελίδα σε σελίδα ή σε περίπτωση που επισκεφθούν τον συγκεκριμένο ιστότοπο αργότερα.
39. Τα cookies μπορούν επίσης να χρησιμοποιηθούν για τη συλλογή πληροφοριών για διαφημιστικούς και προωθητικούς σκοπούς, με στόχευση στη συμπεριφορά των χρηστών του Διαδικτύου (18). Οι εταιρίες, επί παραδείγματι, χρησιμοποιούν λογισμικό για να καταγράφουν τη συμπεριφορά των χρηστών και να δημιουργούν προσωπικά προφίλ, πράγμα που καθιστά δυνατή την προβολή διαφημίσεων στους χρήστες οι οποίες σχετίζονται με προηγούμενες αναζητήσεις τους (19).
40. Υπάρχουν διάφορες κατηγορίες cookies, ορισμένες από τις οποίες διακρίνονται ανάλογα με τη διάρκεια ζωής των cookies (π.χ. session cookies και persistent cookies), ενώ άλλες βασίζονται στο πεδίο στο οποίο εντάσσονται τα cookies (π.χ. first‑party και third‑party cookies) (20). Όταν ο διακομιστής ιστοσελίδων, που παρέχει την ιστοσελίδα, αποθηκεύει cookies στον ηλεκτρονικό υπολογιστή ή στην κινητή συσκευή του χρήστη, αυτά αποκαλούνται «http header cookies» (21). Ένας άλλος τρόπος αποθήκευσης cookies είναι μέσω του κώδικα JavaScript που περιλαμβάνεται ή παρατίθεται στην εν λόγω σελίδα (22). Ωστόσο, η διάρκεια ισχύος της συγκατάθεσης για την τοποθέτηση cookies και η δυνατότητα εφαρμογής τυχόν σχετικών εξαιρέσεων πρέπει να εκτιμώνται με βάση τον σκοπό των cookies και όχι με βάση τα τεχνικά χαρακτηριστικά (23).
2. Επί των εφαρμοστέων νομικών πράξεων
41. Το νομοθετικό πλαίσιο που έχει εφαρμογή στην υπόθεση της κύριας δίκης έχει εξελιχθεί συν τω χρόνω, με πιο πρόσφατη την έναρξη ισχύος του κανονισμού 2016/679.
42. Δύο δέσμες πράξεων του δικαίου της Ένωσης έχουν εφαρμογή στην υπό εξέταση υπόθεση. Πρώτον, η οδηγία 95/46 και ο κανονισμός 2016/679. Δεύτερον, η οδηγία 2002/58, όπως τροποποιήθηκε με την οδηγία 2009/136 (24).
43. Πρέπει να διατυπώσω δύο παρατηρήσεις όσον αφορά τις δύο αυτές δέσμες νομικών πράξεων.
44. Η πρώτη παρατήρηση αφορά τη δυνατότητα εφαρμογής της οδηγίας 95/46 και του κανονισμού 2016/679.
45. Ο κανονισμός 2016/679, που άρχισε να ισχύει στις 25 Μαΐου 2018 (25), κατήργησε την οδηγία 95/46 με ισχύ από την ίδια ημερομηνία (26).
46. Η ημερομηνία αυτή, η 25η Μαΐου 2018, είναι μεταγενέστερη της τελευταίας επ’ ακροατηρίου συζητήσεως ενώπιον του αιτούντος δικαστηρίου, που διεξήχθη στις 14 Ιουλίου 2017, καθώς και μεταγενέστερη της 5ης Οκτωβρίου 2017, που είναι η ημερομηνία υποβολής της αιτήσεως προδικαστικής αποφάσεως στο Δικαστήριο.
47. Συνεπώς, επί των πραγματικών περιστατικών που είναι προγενέστερα της 25ης Μαΐου 2018 έχει εφαρμογή η οδηγία 2002/58 σε συνδυασμό με την οδηγία 95/46, ενώ επί των πραγματικών περιστατικών από τις 25 Μαΐου 2018 και εφεξής έχει εφαρμογή η οδηγία 2002/58 σε συνδυασμό με τον κανονισμό 2016/679.
48. Στο μέτρο που η Bundesverband επιθυμεί, με το υποβληθέν αίτημα παραλείψεως (27), να παύσει η Planet49 τη μέχρι τούδε συμπεριφορά της για το μέλλον, έχει εφαρμογή, στην υπό εξέταση υπόθεση, ο κανονισμός 2016/679. Ως εκ τούτου, όταν το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο) αποφανθεί επί του αιτήματος παραλείψεως που αφορά το μέλλον, θα πρέπει να λάβει υπόψη τις απαιτήσεις του κανονισμού 2016/679. Συναφώς, η Γερμανική Κυβέρνηση επισημαίνει την πάγια εθνική νομολογία που έχει εφαρμογή σε τέτοιου είδους νομικές καταστάσεις αγωγών παραλείψεως (28).
49. Κατά συνέπεια, απάντηση στο υποβληθέν προδικαστικό ερώτημα πρέπει να δοθεί τόσο με βάση την οδηγία 95/46 όσο και με βάση τον κανονισμό 2016/679 (29).
50. Επιπλέον, πρέπει να επισημανθεί ότι οι παραπομπές της οδηγίας 2002/58 στην οδηγία 95/46 θεωρούνται παραπομπές στον κανονισμό 2016/679 (30).
51. Η δεύτερη παρατήρηση αφορά την εξέλιξη του άρθρου 5, παράγραφος 3, της οδηγίας 2002/58.
52. Η οδηγία 2002/58 επιδιώκει να διασφαλισθεί η πλήρης τήρηση των δικαιωμάτων που προβλέπονται στον Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και, ειδικότερα, στα άρθρα 7 και 8 αυτού (31). Το άρθρο 5 της εν λόγω οδηγίας σκοπεί να διασφαλίσει το «απόρρητο των επικοινωνιών». Ειδικότερα, το άρθρο 5, παράγραφος 3, ρυθμίζει τη χρήση των cookies και καθορίζει τις απαιτήσεις που πρέπει να πληρούνται προκειμένου να είναι δυνατή η αποθήκευση δεδομένων στον ηλεκτρονικό υπολογιστή χρήστη ή η απόκτηση πρόσβασης σε αυτά μέσω της εγκατάστασης cookies.
53. Με την οδηγία 2009/136 θεσπίσθηκαν σημαντικές τροποποιήσεις όσον αφορά τις απαιτήσεις συγκατάθεσης κατ’ άρθρον 5 παράγραφος 3, της οδηγίας 2002/58, προκειμένου να ενισχυθεί η προστασία των χρηστών. Πριν από τις θεσπισθείσες με την οδηγία αυτή τροποποιήσεις, το άρθρο 5, παράγραφος 3, απαιτούσε απλώς να παρέχεται στους χρήστες η δυνατότητα της εν πλήρει επιγνώσει εναντιώσεως (opt‑out) στην επεξεργασία δεδομένων μέσω cookies. Εν ολίγοις, κατά την αρχική μορφή του άρθρου 5, παράγραφος 3, ο φορέας παροχής υπηρεσιών όφειλε, κατά την αποθήκευση πληροφοριών ή την απόκτηση πρόσβασης σε πληροφορίες αποθηκευμένες στον τερματικό εξοπλισμό του χρήστη, να παρέχει στον χρήστη σαφείς και εκτενείς πληροφορίες, μεταξύ άλλων για τον σκοπό της επεξεργασίας, και να του προσφέρεται η δυνατότητα να εναντιωθεί στην επεξεργασία αυτή.
54. Η οδηγία 2009/136 αντικατέστησε την εν λόγω απαίτηση ενημέρωσης σχετικά με το δικαίωμα εναντίωσης με την απαίτηση ότι «ο συγκεκριμένος συνδρομητής ή χρήστης [πρέπει να] έχει δώσει τη συγκατάθεσή του», πράγμα που σημαίνει ότι αντικατέστησε το καθεστώς του εν πλήρει επιγνώσει opt-out, οι προϋποθέσεις του οποίου μπορούσαν να πληρωθούν ευχερέστερα, με ένα καθεστώς προαιρετικής συμμετοχής (opt-in). Με την επιφύλαξη μιας πολύ περιορισμένης εξαίρεσης, η οποία δεν έχει εφαρμογή στην υπό εξέταση υπόθεση (32), η χρήση των cookies επιτρέπεται, βάσει του αναθεωρημένου άρθρου 5, παράγραφος 3, της οδηγίας 2002/58, μόνον εάν ο χρήστης έχει παράσχει τη συγκατάθεσή του με βάση σαφείς και εκτενείς πληροφορίες, σύμφωνα με την οδηγία 95/46, όσον αφορά τον λόγο για τον οποίο καταγράφονται τα δεδομένα του, ήτοι όσον αφορά τον σκοπό της επεξεργασίας(33).
55. Όπως θα καταδειχθεί αναλυτικότερα στη συνέχεια, το αντικείμενο της απαίτησης ενημέρωσης κατ’ άρθρον 5, παράγραφος 3, της οδηγίας 2002/58 βρίσκεται στο επίκεντρο του επίμαχου ζητήματος, ιδίως σε συνάρτηση με τις προεπιλεγμένες ρυθμίσεις για τις διαδικτυακές δραστηριότητες.
2. Επί του πρώτου προδικαστικού ερωτήματος
56. Με το πρώτο σκέλος του πρώτου προδικαστικού ερωτήματος, το αιτούν δικαστήριο ζητεί να διευκρινισθεί αν υφίσταται έγκυρη συγκατάθεση κατά την έννοια του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, στην περίπτωση κατά την οποία η αποθήκευση πληροφοριών ή η απόκτηση πρόσβασης σε πληροφορίες ήδη αποθηκευμένες στον τερματικό εξοπλισμό του χρήστη επιτρέπεται επί τη βάσει προσυμπληρωμένου τετραγωνιδίου, το οποίο ο χρήστης πρέπει να αποεπιλέξει προκειμένου να αρνηθεί να παράσχει τη συγκατάθεσή του. Συναφώς, το αιτούν δικαστήριο θέτει το ερώτημα κατά πόσον ασκεί επιρροή το αν οι πληροφορίες που αποθηκεύονται ή στις οποίες υπάρχει πρόσβαση αποτελούν δεδομένα προσωπικού χαρακτήρα (δεύτερο σκέλος του πρώτου προδικαστικού ερωτήματος). Τέλος, το αιτούν δικαστήριο ερωτά αν, υπό τις ανωτέρω συνθήκες, υφίσταται έγκυρη συγκατάθεση κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο αʹ, του κανονισμού 2016/679 (τρίτο σκέλος του πρώτου προδικαστικού ερωτήματος).
1. Επί της ελεύθερης και εν πλήρει επιγνώσει συγκατάθεσης
57. Η συγκατάθεση είναι ένα από τα στοιχεία στα οποία βασίζεται το ενωσιακό δίκαιο για την προστασία των δεδομένων.
58. Πρoτού εξετάσω το ειδικότερο ζήτημα των cookies, κρίνω σκόπιμο να προσδιορίσω τις γενικές αρχές που απορρέουν από το ισχύον νομοθετικό πλαίσιο που διέπει τη χορήγηση συγκατάθεσης.
1) Βάσει της οδηγίας 95/46
1) Η ενεργή συγκατάθεση
59. Από τις διατάξεις της οδηγίας 95/46 συνάγω ότι η συγκατάθεση πρέπει να εκδηλώνεται με ενεργό (34) τρόπο.
60. Το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46 αναφέρεται σε δήλωση της βούλησης του υποκειμένου των δεδομένων, πράγμα που παραπέμπει σαφώς σε ενεργή, και όχι παθητική, συμπεριφορά. Επιπλέον, το άρθρο 7, στοιχείο αʹ, της οδηγίας 95/46, το οποίο έχει ως αντικείμενο τις βασικές αρχές για τη νόμιμη επεξεργασία των δεδομένων (προσωπικού χαρακτήρα), ορίζει ότι το υποκείμενο των δεδομένων πρέπει να έχει δώσει τη ρητή συγκατάθεσή του. Η ασάφεια μπορεί όμως να αρθεί μόνο με ενεργή, και όχι παθητική, συμπεριφορά.
61. Από τα ανωτέρω συνάγω ότι δεν αρκεί, στο πλαίσιο αυτό, εάν η δήλωση συγκατάθεσης του χρήστη έχει διατυπωθεί εκ των προτέρων με τυποποιημένο τρόπο και εάν ο χρήστης πρέπει να εναντιωθεί ενεργά σε περίπτωση που δεν συμφωνεί με την επεξεργασία των δεδομένων.
62. Συγκεκριμένα, στην τελευταία αυτή περίπτωση, δεν είναι γνωστό κατά πόσον το εν λόγω εκ των προτέρων διατυπωμένο κείμενο έχει αναγνωσθεί και έχει γίνει αντιληπτό. Η κατάσταση δεν είναι σαφής. Ο χρήστης μπορεί να έχει διαβάσει το κείμενο ή μπορεί και να μην το έχει διαβάσει. Μπορεί να έχει παραλείψει να το διαβάσει από καθαρή αμέλεια. Στην περίπτωση αυτή, δεν είναι δυνατόν να εξακριβωθεί κατά πόσον έχει δοθεί ελεύθερη συγκατάθεση.
2) Η διακριτή συγκατάθεση
63. Με την απαίτηση της ενεργής συγκατάθεσης συνδέεται στενά η διακριτή συγκατάθεση (35).
64. Θα μπορούσε να υποστηριχθεί, όπως εκθέτει η Planet49, ότι η συγκατάθεση του υποκειμένου των δεδομένων παρέχεται έγκυρα όχι όταν αυτό δεν αποεπιλέγει μια εκ των προτέρων διατυπωμένη δήλωση συγκατάθεσης, αλλά όταν ενεργά κάνει «κλικ» στο πλήκτρο συμμετοχής στο ηλεκτρονικό κερδοφόρο παιχνίδι.
65. Δεν συντάσσομαι με την ερμηνεία αυτή.
66. Για να μπορεί να θεωρηθεί ότι η συγκατάθεση παρέχεται «ελεύθερα» και «εν πλήρει επιγνώσει», δεν αρκεί αυτή να είναι μόνο ενεργή, αλλά πρέπει να είναι και διακριτή. Η δραστηριότητα του χρήστη στο Διαδίκτυο (ανάγνωση ιστοσελίδας, συμμετοχή σε κερδοφόρο παιχνίδι, παρακολούθηση βίντεο κ.λπ.) και η χορήγηση συγκατάθεσης δεν μπορούν να εντάσσονται στην ίδια πράξη. Ειδικότερα, από τη σκοπιά του χρήστη, η χορήγηση συγκατάθεσης δεν μπορεί να φαίνεται ότι έχει παρεπόμενο χαρακτήρα σε σχέση με τη συμμετοχή στο κερδοφόρο παιχνίδι. Αμφότερες οι πράξεις πρέπει να εκδηλώνονται, ιδίως οπτικά, επί ίσοις όροις. Κατά συνέπεια, εκτιμώ ότι είναι αμφίβολο κατά πόσον μια δέσμη δηλώσεων βουλήσεως η οποία περιλαμβάνει τη χορήγηση συγκατάθεσης μπορεί να θεωρηθεί ότι συνάδει με την έννοια της συγκατάθεσης κατά την οδηγία 95/46.
3) Η υποχρέωση πλήρους ενημέρωσης
67. Στο πλαίσιο αυτό, πρέπει να καθίσταται απολύτως σαφές στον χρήστη κατά πόσον η δραστηριότητά του στο Διαδίκτυο εξαρτάται από τη χορήγηση συγκατάθεσης. Ο χρήστης πρέπει να είναι σε θέση να εκτιμήσει σε ποιον βαθμό είναι διατεθειμένος να παράσχει τα δεδομένα του, προκειμένου να δραστηριοποιηθεί στο Διαδίκτυο. Δεν πρέπει να καταλείπεται περιθώριο για οποιαδήποτε ασάφεια (36). Ο χρήστης πρέπει να γνωρίζει αν και, σε περίπτωση καταφατικής απάντησης, σε ποιον βαθμό η χορήγηση της συγκατάθεσής του ασκεί επιρροή όσον αφορά τη δραστηριοποίησή του στο Διαδίκτυο.
2) Βάσει του κανονισμού 2016/679
68. Οι αρχές που καθορίστηκαν ανωτέρω ισχύουν εξίσου και για τον κανονισμό 2016/679.
69. Το άρθρο 4, σημείο 11, του κανονισμού 2016/679 ορίζει τη συγκατάθεση του υποκειμένου των δεδομένων ως κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν.
70. Πρέπει να επισημανθεί ότι ο ορισμός αυτός είναι αυστηρότερος από εκείνον του άρθρου 2, στοιχείο ηʹ, της οδηγίας 95/46 υπό την έννοια ότι απαιτεί ρητή δήλωση της βούλησης του υποκειμένου των δεδομένων και σαφή θετική ενέργεια, με την οποία εκδηλώνεται η συμφωνία του για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα.
71. Επιπλέον, οι αιτιολογικές σκέψεις του κανονισμού 2016/679 είναι ιδιαίτερα διαφωτιστικές. Επειδή πρόκειται να κάνω εκτεταμένη αναφορά στις αιτιολογικές σκέψεις (37), νιώθω υποχρεωμένος να υπομνήσω ότι οι αιτιολογικές σκέψεις προφανώς δεν έχουν αυτοτελή νομική αξία (38), πλην όμως το Δικαστήριο καταφεύγει συχνά σε αυτές για την ερμηνεία των νομοθετικών διατάξεων της Ένωσης. Στην έννομη τάξη της Ένωσης, οι αιτιολογικές σκέψεις έχουν περιγραφικό και όχι επιτακτικό χαρακτήρα. Συγκεκριμένα, το ζήτημα της νομικής αξίας τους είναι συνήθως άνευ σημασίας, διότι το περιεχόμενο των αιτιολογικών σκέψεων κατά κανόνα αποτυπώνεται στις διατάξεις της οδηγίας. Στο πλαίσιο της ορθής νομοθετικής πρακτικής των πολιτικών οργάνων της Ένωσης, στις αιτιολογικές σκέψεις συνήθως παρατίθεται το χρήσιμο υπόβαθρο των διατάξεων της νομικής πράξης (39).
72. Κατά την αιτιολογική σκέψη 32 του κανονισμού 2016/679, η συγκατάθεση πρέπει να παρέχεται με σαφή θετική ενέργεια, η οποία συνιστά ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει ένδειξη της συμφωνίας του υποκειμένου των δεδομένων υπέρ της επεξεργασίας των δεδομένων που το αφορούν, για παράδειγμα με γραπτή δήλωση, μεταξύ άλλων με ηλεκτρονικά μέσα, ή με προφορική δήλωση. Τούτο μπορεί να περιλαμβάνει τη συμπλήρωση ενός τετραγωνιδίου κατά την επίσκεψη σε διαδικτυακή ιστοσελίδα, την επιλογή των επιθυμητών τεχνικών ρυθμίσεων για υπηρεσίες της κοινωνίας των πληροφοριών ή μια δήλωση ή συμπεριφορά που δηλώνει σαφώς, στο συγκεκριμένο πλαίσιο, ότι το υποκείμενο των δεδομένων αποδέχεται την πρόταση επεξεργασίας των οικείων δεδομένων προσωπικού χαρακτήρα. Επομένως, η σιωπή, τα προσυμπληρωμένα τετραγωνίδια ή η αδράνεια δεν θα πρέπει να εκλαμβάνονται ως συγκατάθεση.
73. Επομένως, η ενεργή συγκατάθεση προβλέπεται πλέον ρητώς από τον κανονισμό 2016/679.
74. Επιπλέον, στην αιτιολογική σκέψη 43 εκτίθεται ότι, για να διασφαλιστεί ότι η συγκατάθεση έχει δοθεί ελεύθερα, η συγκατάθεση δεν θα πρέπει να παρέχει έγκυρη νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε μια συγκεκριμένη περίπτωση, όταν υπάρχει σαφής ανισότητα μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, ιδίως στις περιπτώσεις που ο υπεύθυνος επεξεργασίας είναι δημόσια αρχή και είναι επομένως σχεδόν απίθανο να έχει παρασχεθεί η συγκατάθεση ελεύθερα σε όλες τις περιστάσεις της ειδικής αυτής κατάστασης. Η συγκατάθεση θεωρείται ότι δεν έχει παρασχεθεί ελεύθερα, εάν δεν επιτρέπεται να παρασχεθεί διακριτή συγκατάθεση σε διαφορετικές πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ακόμη και αν ενδείκνυται στη συγκεκριμένη περίπτωση, ή όταν η εκτέλεση μιας σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, προϋποθέτει τη συγκατάθεση, ακόμη και αν η συγκατάθεση αυτή δεν είναι αναγκαία για την εν λόγω εκτέλεση.
75. Επομένως, η ανάγκη χορήγησης διακριτής συγκατάθεσης τονίζεται πλέον ρητώς στην εν λόγω αιτιολογική σκέψη.
3) Βάσει της οδηγίας 2002/58 – H περίπτωση των cookies
76. Κατά το άρθρο 5, παράγραφος 3, της οδηγίας 2002/58, τα κράτη μέλη μεριμνούν ώστε η αποθήκευση πληροφοριών ή η απόκτηση πρόσβασης σε ήδη αποθηκευμένες πληροφορίες στον τερματικό εξοπλισμό συνδρομητή ή χρήστη να επιτρέπεται μόνον εάν ο συγκεκριμένος συνδρομητής ή χρήστης έχει παράσχει τη συγκατάθεσή του με βάση σαφείς και εκτενείς πληροφορίες, σύμφωνα με την οδηγία 95/46, μεταξύ άλλων για τον σκοπό της επεξεργασίας.
77. Η διάταξη αυτή δεν καθορίζει περαιτέρω κριτήρια όσον αφορά την έννοια της συγκατάθεσης.
78. Ωστόσο, οι αιτιολογικές σκέψεις της οδηγίας 2002/58 και της οδηγίας 2009/136 παρέχουν καθοδήγηση όσον αφορά τη χορήγηση συγκατάθεσης σε συνάρτηση με cookies.
79. Συγκεκριμένα, η αιτιολογική σκέψη 17 της οδηγίας 2002/58 επισημαίνει ότι η συγκατάθεση δύναται να παρέχεται με κάθε πρόσφορο τρόπο που επιτρέπει την ελεύθερη και ενημερωμένη έκφραση των επιθυμιών του χρήστη, όπως με τη συμπλήρωση τετραγωνιδίου κατά την επίσκεψη ιστοσελίδας του Διαδικτύου (40).
80. Επιπλέον, η αιτιολογική σκέψη 66 της οδηγίας 2009/136 διευκρινίζει την εξαιρετικά μεγάλη σημασία που έχει το να παρέχονται στους χρήστες σαφείς και κατανοητές πληροφορίες όταν αυτοί αναλαμβάνουν δραστηριότητα που μπορεί να έχει ως αποτέλεσμα την αποθήκευση πληροφοριών σχετικά με το υλικό που χρησιμοποιούν ή την απόκτηση πρόσβασης σε ήδη αποθηκευμένες πληροφορίες, καθώς και ότι οι μέθοδοι για την παροχή πληροφοριών και για την προσφορά δυνατότητας άρνησης θα πρέπει να είναι όσο το δυνατόν πιο εύχρηστες.
81. Στο πλαίσιο αυτό, πρέπει επίσης να επισημάνω το μη δεσμευτικό, αλλά εντούτοις διαφωτιστικό έργο της ομάδας εργασίας του άρθρου 29 για την προστασία δεδομένων (στο εξής: ομάδα εργασίας του άρθρου 29) (41), κατά την οποία η συγκατάθεση υποδηλώνει προηγούμενη θετική ενέργεια των χρηστών για την αποδοχή της αποθήκευσης και της χρήσης των cookies (42). Η ίδια ομάδα εργασίας έχει διευκρινίσει ότι η έννοια της «δήλωσης» [κατά την ελληνική απόδοση του αγγλικού όρου «indication» στην οδηγία 95/46 ή «ένδειξης» κατά την απόδοση του ίδιου όρου στον κανονισμό 2016/679] υποδηλώνει την ανάγκη ενέργειας (43). Άλλα στοιχεία του ορισμού της συγκατάθεσης και η πρόσθετη απαίτηση του άρθρου 7, στοιχείο αʹ, της οδηγίας 95/46 ότι η συγκατάθεση πρέπει να είναι ρητή επιρρωννύουν την ερμηνεία αυτή (44). Η απαίτηση ότι το υποκείμενο των δεδομένων πρέπει να «εκδηλώνει» τη συγκατάθεσή του [κατά την ελληνική απόδοση του αγγλικού όρου «signify» στον κανονισμό 2016/679, ενώ στην οδηγία 95/46 ο ίδιος όρος αποδίδεται πιο ελεύθερα ως «δέχεται»] υποδηλώνει ότι η απλή αδράνεια δεν επαρκεί και ότι απαιτείται ορισμένου είδους ενέργεια προκειμένου να υφίσταται συγκατάθεση, καίτοι είναι δυνατόν να υπάρχουν διαφορετικά είδη ενεργειών, τα οποία πρέπει να εκτιμώνται «εντός του πλαισίου στο οποίο εντάσσονται» (45).
2. Εφαρμογή επί της υπό εξέταση υπόθεσης
82. Εν συνεχεία, πρέπει να εφαρμόσω τα ανωτέρω κριτήρια στην υπό εξέταση υπόθεση. Στο πλαίσιο αυτό, θα εξετάσω αρχικά το πρώτο και το τρίτο σκέλος του πρώτου προδικαστικού ερωτήματος, ήτοι το ζήτημα κατά πόσον έχει χορηγηθεί έγκυρη συγκατάθεση όσον αφορά την εγκατάσταση cookies και την πρόσβαση σε αυτά. Το εν λόγω ζήτημα αφορά το δεύτερο τετραγωνίδιο.
83. Επιπλέον, δεδομένου ότι, όπως μόλις διαπιστώθηκε, οι απαιτήσεις περί συγκατάθεσης όσον αφορά τα cookies δεν διαφέρουν σε μεγάλο βαθμό από εκείνες που αφορούν, γενικότερα, την επεξεργασία δεδομένων προσωπικού χαρακτήρα, θεωρώ ότι, τόσο για λόγους πληρότητας όσο και για λόγους σαφήνειας, καίτοι το αιτούν δικαστήριο δεν έχει θέσει ρητώς το ζήτημα αυτό, για την ορθή και ομοιόμορφη ερμηνεία του δικαίου της Ένωσης, είναι αναγκαίο να αναλύσω εν συντομία κατά πόσον έχει χορηγηθεί έγκυρη συγκατάθεση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο του πρώτου τετραγωνιδίου. Αντιλαμβάνομαι επίσης ότι το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο) θα πρέπει, στο πλαίσιο της ενώπιόν του διαδικασίας, να αποφανθεί επί του πρώτου τετραγωνιδίου (46).
1) Επί του δεύτερου τετραγωνιδίου – Επί του πρώτου και του τρίτου σκέλους του πρώτου προδικαστικού ερωτήματος
84. Το αιτούν δικαστήριο ζητεί να διευκρινισθεί κατά πόσον υφίσταται έγκυρη συγκατάθεση κατά την έννοια του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, στην περίπτωση κατά την οποία η αποθήκευση πληροφοριών ή η απόκτηση πρόσβασης σε πληροφορίες ήδη αποθηκευμένες στον τερματικό εξοπλισμό του χρήστη επιτρέπεται επί τη βάσει προσυμπληρωμένου τετραγωνιδίου, το οποίο ο χρήστης πρέπει να αποεπιλέξει προκειμένου να αρνηθεί να παράσχει τη συγκατάθεσή του.
85. Οι κρίσιμοι όροι του άρθρου 2, στοιχείο ηʹ, της οδηγίας 95/46 και του άρθρου 4, σημείο 11, του κανονισμού 2016/679, για τους σκοπούς του εν λόγω προδικαστικού ερωτήματος, είναι οι όροι «ελεύθερη» και «εν πλήρει επιγνώσει». Τίθεται το ζήτημα αν, υπό συνθήκες όπως αυτές που εκτέθηκαν από το αιτούν δικαστήριο, μπορεί να παρασχεθεί συγκατάθεση ελεύθερα και εν πλήρει επιγνώσει.
86. Η Planet49 φρονεί ότι τούτο συμβαίνει εν προκειμένω. Όλοι οι υπόλοιποι μετέχοντες στη διαδικασία (47) διαφωνούν. Στο πλαίσιο αυτό, η νομική αντιπαράθεση των μετεχόντων στη διαδικασία έχει επικεντρωθεί πρωτίστως στο αν η επιλογή ή η αποεπιλογή τετραγωνιδίου που έχει ήδη προσυμπληρωθεί πληροί τις εν λόγω απαιτήσεις. Η εν λόγω αντιπαράθεση στρέφεται γύρω από το ζήτημα της ενεργητικότητας και της παθητικότητας. Ωστόσο, η πτυχή αυτή, όσο σημαντική και αν είναι, άπτεται μόνο ενός μέρους των ισχυουσών απαιτήσεων. Τούτο διότι αφορά μόνον την απαίτηση ενεργής συγκατάθεσης αλλά όχι και την απαίτηση διακριτής συγκατάθεσης.
87. Κατά την άποψή μου, με βάση τα κριτήρια που καθορίσθηκαν ανωτέρω, η απάντηση είναι ότι δεν υφίσταται έγκυρη συγκατάθεση στην υπό εξέταση υπόθεση.
88. Πρώτον, το να ζητείται από τον χρήστη να αποεπιλέξει με θετική ενέργεια ένα τετραγωνίδιο, και, ως εκ τούτου, να ενεργήσει μόνον εάν δεν συγκατατίθεται στην εγκατάσταση των cookies, δεν πληροί το κριτήριο της ενεργής συγκατάθεσης. Στην περίπτωση αυτή, είναι πρακτικά αδύνατον να διαπιστωθεί αντικειμενικά κατά πόσον ο χρήστης έχει παράσχει τη συγκατάθεσή του με βάση ελεύθερη και εν πλήρει επιγνώσει ληφθείσα απόφασή του. Αντιθέτως, το να ζητείται από τον χρήστη να επιλέξει ένα τετραγωνίδιο καθιστά πιο πιθανή τη διαπίστωση αυτή.
89. Δεύτερον, και σημαντικότερο, η συμμετοχή στο διαδικτυακό κερδοφόρο παιχνίδι και η χορήγηση συγκατάθεσης για την εγκατάσταση των cookies δεν μπορούν να εντάσσονται στην ίδια πράξη. Τούτο όμως συμβαίνει ακριβώς στην υπό εξέταση υπόθεση. Εν τέλει, ο χρήστης απλώς επιλέγει το πλήκτρο συμμετοχής, προκειμένου να συμμετάσχει στο παιχνίδι. Ταυτόχρονα, παρέχει τη συγκατάθεσή του για την εγκατάσταση των cookies. Δύο δηλώσεις βουλήσεως (συμμετοχή στο κερδοφόρο παιχνίδι και συγκατάθεση για την εγκατάσταση των cookies) πραγματοποιούνται ταυτόχρονα. Οι δύο αυτές δηλώσεις δεν μπορούν να εξαρτώνται από το ίδιο πλήκτρο συμμετοχής. Συγκεκριμένα, στην υπό εξέταση υπόθεση, η συγκατάθεση για τα cookies φαίνεται να έχει παρεπόμενο χαρακτήρα, υπό την έννοια ότι δεν είναι καθόλου σαφές ότι εντάσσεται σε διακριτή πράξη. Για να το θέσω διαφορετικά, η (απο)επιλογή του τετραγωνιδίου για τα cookies φαίνεται να συνιστά προπαρασκευαστική πράξη για την τελική και νομικά δεσμευτική πράξη, που συνίσταται στο «πάτημα» του πλήκτρου συμμετοχής.
90. Υπό τις συνθήκες αυτές, ο χρήστης δεν είναι σε θέση να παράσχει ελεύθερα τη διακριτή συγκατάθεσή του για την αποθήκευση πληροφοριών ή για την απόκτηση πρόσβασης σε πληροφορίες ήδη αποθηκευμένες στον τερματικό του εξοπλισμό.
91. Επιπλέον, διαπιστώθηκε ανωτέρω ότι η συμμετοχή στο κερδοφόρο παιχνίδι ήταν δυνατή μόνον εφόσον είχε επιλεγεί τουλάχιστον το πρώτο τετραγωνίδιο. Κατά συνέπεια, για τη συμμετοχή στο παιχνίδι δεν αποτελούσε προϋπόθεση (48) η χορήγηση συγκατάθεσης για την εγκατάσταση cookies και την απόκτηση πρόσβασης σε αυτά. Τούτο διότι ο χρήστης μπορούσε κάλλιστα να επιλέξει (μόνο) το πρώτο τετραγωνίδιο.
92. Ωστόσο, εξ όσων γνωρίζω, ο χρήστης ουδέποτε ενημερώθηκε σχετικά. Τούτο δεν πληροί τα ανωτέρω καθορισθέντα κριτήρια για την πλήρη ενημέρωση των χρηστών.
93. Συνοψίζοντας, η απάντηση που προτείνω να δοθεί στο πρώτο και στο τρίτο σκέλος του πρώτου προδικαστικού ερωτήματος είναι ότι δεν υφίσταται έγκυρη συγκατάθεση κατά την έννοια του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, σε περίπτωση όπως αυτή της κύριας δίκης, κατά την οποία η αποθήκευση πληροφοριών ή η απόκτηση πρόσβασης σε πληροφορίες ήδη αποθηκευμένες στον τερματικό εξοπλισμό του χρήστη επιτρέπεται επί τη βάσει προσυμπληρωμένου τετραγωνιδίου, το οποίο ο χρήστης πρέπει να αποεπιλέξει προκειμένου να αρνηθεί να παράσχει τη συγκατάθεσή του, και εφόσον η συγκατάθεση δεν παρέχεται χωριστά, αλλά ταυτόχρονα με την επιβεβαίωση της συμμετοχής σε κερδοφόρο παιχνίδι του Διαδικτύου. Το ίδιο ισχύει όσον αφορά την ερμηνεία του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 4, σημείο 11, του κανονισμού 2016/679.
2) Επί του πρώτου τετραγωνιδίου
94. Καίτοι τα προδικαστικά ερωτήματα του αιτούντος δικαστηρίου αφορούν μόνο το δεύτερο τετραγωνίδιο, κρίνω σκόπιμο να διατυπώσω δύο συγκεκριμένες παρατηρήσεις σχετικά με το πρώτο τετραγωνίδιο, οι οποίες μπορεί να συνδράμουν το αιτούν δικαστήριο στην τελική του απόφαση.
95. Υπενθυμίζω ότι το πρώτο τετραγωνίδιο δεν έχει ως αντικείμενο τα cookies, αλλά μόνο την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Εν προκειμένω, η συγκατάθεση του χρήστη δεν αφορά την αποθήκευση πληροφοριών στον εξοπλισμό του, αλλά (μόνο) το ενδεχόμενο να επικοινωνήσουν μαζί του διάφορες απαριθμούμενες εταιρίες, μέσω ταχυδρομείου, τηλεφώνου ή ηλεκτρονική αλληλογραφίας.
96. Πρώτον, τα κριτήρια για την ενεργή και διακριτή συγκατάθεση και για την πλήρη ενημέρωση ισχύουν προφανώς και όσον αφορά το πρώτο τετραγωνίδιο. Η ενεργή συγκατάθεση δεν φαίνεται να δημιουργεί πρόβλημα, καθότι το τετραγωνίδιο δεν είναι προσυμπληρωμένο. Αντιθέτως, διατηρώ ορισμένες αμφιβολίες όσον αφορά τη διακριτή συγκατάθεση. Με βάση την προεκτεθείσα ανάλυση (49) και σε συνάρτηση με τα πραγματικά περιστατικά της υπό εξέταση υπόθεσης, θα ήταν ορθότερο εάν, μεταφορικά μιλώντας, υπήρχε ένα διακριτό πλήκτρο που θα έπρεπε να επιλεγεί (50), αντί να υπάρχει απλώς ένα τετραγωνίδιο που πρέπει να συμπληρωθεί, προκειμένου να παρασχεθεί συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα.
97. Δεύτερον, σε συνάρτηση με το πρώτο τετραγωνίδιο, με το οποίο παρέχεται η δυνατότητα σε χορηγούς και εμπορικούς εταίρους να επικοινωνήσουν με τον χρήστη, πρέπει να ληφθεί υπόψη το άρθρο 7, παράγραφος 4, του κανονισμού 2016/679. Η διάταξη αυτή προβλέπει ότι, κατά την εκτίμηση κατά πόσον η συγκατάθεση παρέχεται ελεύθερα, λαμβάνεται ιδιαιτέρως υπόψη κατά πόσον, μεταξύ άλλων, για την εκτέλεση σύμβασης, συμπεριλαμβανομένης της παροχής υπηρεσίας, τίθεται ως προϋπόθεση η χορήγηση συγκατάθεσης για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που δεν είναι αναγκαία για την εκτέλεση της εν λόγω σύμβασης. Επομένως, το άρθρο 7, παράγραφος 4, του κανονισμού 2016/679 έχει πλέον κωδικοποιήσει την «απαγόρευση σύζευξης» (51).
98. Όπως προκύπτει από τους όρους «λαμβάνεται ιδιαιτέρως υπόψη», η απαγόρευση της σύζευξης δεν έχει απόλυτο χαρακτήρα (52).
99. Εν προκειμένω, απόκειται στο αρμόδιο δικαστήριο να εκτιμήσει κατά πόσον η συγκατάθεση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι αναγκαία για τη συμμετοχή στο κερδοφόρο παιχνίδι. Συναφώς, πρέπει να ληφθεί υπόψη ότι ο σκοπός της συμμετοχής στο κερδοφόρο παιχνίδι είναι η «πώληση» δεδομένων προσωπικού χαρακτήρα (ήτοι η συγκατάθεση του χρήστη να επικοινωνήσουν μαζί του οι αποκαλούμενοι «χορηγοί» για προωθητικές προσφορές). Εν ολίγοις, η παροχή δεδομένων προσωπικού χαρακτήρα αποτελεί ακριβώς την κύρια υποχρέωση του χρήστη, προκειμένου να μπορεί να συμμετάσχει στο κερδοφόρο παιχνίδι. Υπό τις συνθήκες αυτές, φρονώ ότι η επεξεργασία των εν λόγω δεδομένων προσωπικού χαρακτήρα είναι αναγκαία για τη συμμετοχή στο κερδοφόρο παιχνίδι (53).
3. Επί των δεδομένων προσωπικού χαρακτήρα (δεύτερο σκέλος του πρώτου προδικαστικού ερωτήματος)
100. Ακολούθως, πρέπει να εξετάσω το ζήτημα αν, στο πλαίσιο της εφαρμογής του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, ασκεί επιρροή το αν οι πληροφορίες που αποθηκεύονται ή στις οποίες υπάρχει πρόσβαση αποτελούν δεδομένα προσωπικού χαρακτήρα.
101. Το εν λόγω ζήτημα γίνεται καλύτερα κατανοητό υπό το πρίσμα της γερμανικής νομοθεσίας με την οποία έχει μεταφερθεί στην εθνική έννομη τάξη το άρθρο 5, παράγραφος 3, της οδηγίας 2002/58 (54). Συγκεκριμένα, το γερμανικό δίκαιο διακρίνει μεταξύ της συλλογής και χρήσης, αφενός, δεδομένων προσωπικού χαρακτήρα και, αφετέρου, άλλων δεδομένων.
102. Κατά το άρθρο 12, παράγραφος 1, του TMG, οι φορείς παροχής υπηρεσιών δύνανται να συλλέγουν και να χρησιμοποιούν δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων, μόνον εφόσον έχει συγκατατεθεί ο χρήστης.
103. Αντιθέτως, κατά το άρθρο 15, παράγραφος 3, του TMG, οι φορείς παροχής υπηρεσιών δύνανται να δημιουργούν προφίλ χρηστών με τη χρήση ψευδωνύμων, μεταξύ άλλων, για σκοπούς διαφημιστικούς και έρευνας αγοράς, εφόσον δεν εναντιώνεται ο χρήστης. Ως εκ τούτου, στον βαθμό που δεν τίθεται ζήτημα δεδομένων προσωπικού χαρακτήρα, η απαίτηση που ισχύει στο γερμανικό δίκαιο είναι λιγότερο αυστηρή: όχι συγκατάθεση, αλλά απλώς μη εναντίωση.
104. Κατά τον νομικό ορισμό των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνεται στο άρθρο 4, σημείο 1, του κανονισμού 2016/679, ο όρος αυτό σημαίνει «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου».
105. Φρονώ ότι είναι πέραν πάσης αμφιβολίας ότι, καθόσον αφορά την υπό εξέταση υπόθεση, οι «πληροφορίες» κατ’ άρθρον 5, παράγραφος 3, της οδηγίας 2002/58 συνιστούν «δεδομένα προσωπικού χαρακτήρα». Την ίδια άποψη φαίνεται να υποστηρίζει το αιτούν δικαστήριο, το οποίο, στη διάταξή του περί παραπομπής, εκθέτει ρητώς ότι η πρόσβαση σε δεδομένα μέσω των cookies που χρησιμοποιεί η εναγομένη υπόκειται στην απαίτηση συγκατάθεσης κατ’ άρθρον 12, παράγραφος 1, του TMG, καθότι πρόκειται, στην περίπτωση αυτή, για δεδομένα προσωπικού χαρακτήρα (55). Επιπλέον, δεν φαίνεται να αμφισβητείται από τους διαδίκους της κύριας δίκης ότι η υπό εξέταση υπόθεση έχει ως αντικείμενο δεδομένα προσωπικού χαρακτήρα.
106. Συνεπώς, μπορούν να γεννηθούν αμφιβολίες ως προς την κρισιμότητα του εν λόγω ζητήματος για την υπό εξέταση υπόθεση καθώς και ως προς το ζήτημα αν το υποβαλλόμενο ερώτημα είναι υποθετικό (56).
107. Εν πάση περιπτώσει, φρονώ ότι η επίλυση του εν λόγω ζητήματος προκύπτει μάλλον απερίφραστα: ουδεμία επιρροή ασκεί το αν οι πληροφορίες που αποθηκεύονται ή στις οποίες υπάρχει πρόσβαση αποτελούν δεδομένα προσωπικού χαρακτήρα. Το άρθρο 5, παράγραφος 3, της οδηγίας 2002/58 αναφέρεται σε «αποθήκευση πληροφοριών ή […] απόκτηση πρόσβασης σε ήδη αποθηκευμένες πληροφορίες» (57). Είναι σαφές ότι κάθε τέτοια πληροφορία έχει μια πτυχή που άπτεται της ιδιωτικής ζωής, ανεξαρτήτως του αν αποτελεί «δεδομένο προσωπικού χαρακτήρα» κατά την έννοια του άρθρου 4, σημείο 1, του κανονισμού 2016/679. Όπως ορθώς τονίζει η Επιτροπή, το άρθρο 5, παράγραφος 3, της οδηγίας 2002/58 αποσκοπεί στην προστασία του χρήστη από τυχόν επέμβαση στην ιδιωτική του σφαίρα, ανεξαρτήτως του αν η επέμβαση αυτή αφορά δεδομένα προσωπικού χαρακτήρα ή άλλα δεδομένα.
108. Η ανωτέρω ερμηνεία του άρθρου 5, παράγραφος 3, της οδηγίας 2002/58 επιρρωννύεται, επιπλέον, από τις αιτιολογικές σκέψεις 24 (58) και 25 (59) της οδηγίας αυτής, καθώς και από τις γνώμες που έχει διατυπώσει η ομάδα εργασίας του άρθρου 29. Συγκεκριμένα, κατά την εν λόγω ομάδα εργασίας, «το άρθρο 5, παράγραφος 3, έχει εφαρμογή επί των “πληροφοριών” (αποθηκευμένων πληροφοριών ή/και πληροφοριών στις οποίες υπάρχει πρόσβαση). Η εν λόγω διάταξη δεν προσδιορίζει τις πληροφορίες αυτές. Δεν αποτελεί προϋπόθεση για την εφαρμογή της διάταξης αυτής το να είναι οι εν λόγω πληροφορίες δεδομένα προσωπικού χαρακτήρα κατά την έννοια της οδηγίας 95/46» (60).
109. Κατά συνέπεια, συνάγεται πράγματι ότι το άρθρο 15, παράγραφος 3, του TMG δεν έχει μεταφέρει πλήρως τις απαιτήσεις του άρθρου 5, παράγραφος 3, της οδηγίας 2002/58 στη γερμανική έννομη τάξη (61).
110. Ως εκ τούτου, προτείνω να δοθεί στο δεύτερο σκέλος του πρώτου προδικαστικού ερωτήματος η απάντηση ότι, στο πλαίσιο της εφαρμογής του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, ουδεμία επιρροή ασκεί το ζήτημα αν οι πληροφορίες που αποθηκεύονται ή στις οποίες υπάρχει πρόσβαση αποτελούν δεδομένα προσωπικού χαρακτήρα.
3. Επί του δεύτερου προδικαστικού ερωτήματος
111. Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί να διευκρινισθεί ποιες πληροφορίες οφείλει να παρέχει στον χρήστη ο φορέας παροχής υπηρεσιών στο πλαίσιο της επιτασσόμενης από το άρθρο 5, παράγραφος 3, της οδηγίας 2002/58 παροχής σαφών και εκτενών πληροφοριών και αν συγκαταλέγονται στις εν λόγω πληροφορίες η διάρκεια λειτουργίας των cookies και το ζήτημα αν τρίτοι έχουν πρόσβαση στα cookies.
1. Επί της έννοιας των σαφών και εκτενών πληροφοριών
112. Τα άρθρα 10 και 11 της οδηγίας 95/46 (και τα άρθρα 13 και 14 του κανονισμού 2016/679) καθιερώνουν υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων. Η υποχρέωση ενημέρωσης συνδέεται με τη συγκατάθεση υπό την έννοια ότι, για να μπορεί να χορηγηθεί συγκατάθεση, πρέπει πάντοτε να προηγείται ενημέρωση.
113. Δεδομένης της εννοιολογικής εγγύτητας του χρήστη (και του παρόχου) του Διαδικτύου με τον καταναλωτή (και τον έμπορο) (62) μπορεί, στο παρόν στάδιο, να χρησιμοποιηθεί η έννοια του μέσου Ευρωπαίου καταναλωτή, που έχει τη συνήθη πληροφόρηση και είναι ευλόγως προσεκτικός και ενημερωμένος (63), και που είναι σε θέση να λάβει την απόφαση να δεσμευθεί με πλήρη γνώση των πραγμάτων (64).
114. Ωστόσο, λόγω της τεχνικής πολυπλοκότητας των cookies, της ασύμμετρης ενημέρωσης μεταξύ παρόχου και χρήστη και, γενικότερα, της σχετικής έλλειψης γνώσεων του τυχόν μέσου χρήστη του Διαδικτύου, δεν μπορεί να αναμένεται ότι ο μέσος χρήστης του Διαδικτύου θα έχει υψηλό επίπεδο γνώσης του τρόπου λειτουργίας των cookies.
115. Επομένως, η σαφής και εκτενής ενημέρωση υποδηλώνει ότι ο χρήστης πρέπει να είναι σε θέση να μπορεί να προσδιορίσει με ευχέρεια τις συνέπειες της συγκατάθεσης που τυχόν παρέχει. Για τον σκοπό αυτό, θα πρέπει να είναι σε θέση να εκτιμήσει τα αποτελέσματα των πράξεων του. Οι πληροφορίες που παρέχονται πρέπει να είναι ευνόητες, να μην χαρακτηρίζονται από αμφισημία και να μην απαιτούν ερμηνεία. Πρέπει να είναι αρκούντως λεπτομερείς ώστε να παρέχουν στον χρήστη τη δυνατότητα να κατανοήσει τον τρόπο λειτουργίας των συγκεκριμένων cookies που χρησιμοποιούνται.
116. Τούτο περιλαμβάνει, όπως ορθώς εκθέτει το αιτούν δικαστήριο, τόσο τη διάρκεια λειτουργίας των cookies όσο και το ζήτημα αν τρίτοι έχουν πρόσβαση στα cookies.
2. Επί των πληροφοριών για τη διάρκεια λειτουργίας των cookies
117. Κατά τις αιτιολογικές σκέψεις 23 και 26 της οδηγίας 2002/58, η διάρκεια λειτουργίας των cookies αποτελεί στοιχείο της απαίτησης για εν πλήρει επιγνώσει χορήγηση της συγκατάθεσης, υπό την έννοια ότι οι φορείς παροχής υπηρεσιών «θα πρέπει οπωσδήποτε να ενημερώνουν τους συνδρομητές σχετικά με τους τύπους των δεδομένων που επεξεργάζονται, καθώς και τους σκοπούς και τη διάρκεια αυτής της διαδικασίας». Ακόμη και αν τα cookies είναι ουσιώδους σημασίας, το ζήτημα κατά πόσον συνιστούν επέμβαση στην ιδιωτική ζωή πρέπει να εξετάζεται, για τους σκοπούς της χορήγησης συγκατάθεσης, υπό το πρίσμα των συνολικών περιστάσεων. Οι φορείς παροχής υπηρεσιών πρέπει, εκτός από το να εξετάζουν ποια δεδομένα αποθηκεύονται στα εκάστοτε cookies και αν αυτά συνδέονται με άλλες πληροφορίες που τηρούνται σχετικά με τον χρήστη, επίσης να λαμβάνουν υπόψη τη διάρκεια ζωής των cookies και το αν η εν λόγω διάρκεια ζωής είναι ενδεδειγμένη, λαμβανομένου υπόψη του σκοπού των εκάστοτε cookies.
118. Η διάρκεια λειτουργίας των cookies σχετίζεται με τις απαιτήσεις για εν πλήρει επιγνώσει χορήγηση ρητής συγκατάθεσης οι οποίες αφορούν ειδικότερα την ποιότητα και την προσβασιμότητα των πληροφοριών για τους χρήστες. Οι πληροφορίες αυτές είναι ζωτικής σημασίας, προκειμένου τα άτομα να μπορούν να λαμβάνουν αποφάσεις εν πλήρει επιγνώσει πριν από την επεξεργασία (65). Όπως επισήμαναν η Πορτογαλική και η Ιταλική Κυβέρνηση, καθότι τα δεδομένα που συλλέγονται με cookies πρέπει να διαγράφονται όταν δεν είναι πλέον αναγκαία για την επίτευξη του αρχικού σκοπού, έπεται ότι η χρονική περίοδος αποθήκευσης των συλλεγέντων δεδομένων πρέπει να γνωστοποιείται με σαφήνεια στον χρήστη.
3. Επί των πληροφοριών για την πρόσβαση τρίτων
119. Επί του εν λόγω ζητήματος, η Planet49 διατείνεται ότι, όταν τρίτοι αποκτούν πρόσβαση σε cookies, πρέπει επίσης να ενημερώνονται οι χρήστες σχετικώς. Ωστόσο, εάν, όπως στην υπό εξέταση υπόθεση, πρόσβαση στα cookies έχει μόνον ένας πάροχος, ο οποίος επιθυμεί να τα εγκαταστήσει, αρκεί αυτός να επιστήσει την προσοχή στο γεγονός αυτό. Το γεγονός ότι τρίτοι δεν έχουν πρόσβαση δεν απαιτείται να επισημαίνεται με διακριτό τρόπο. Η υποχρέωση αυτή δεν θα ήταν συμβατή με τη βούληση του νομοθέτη να είναι τα κείμενα που αφορούν την προστασία δεδομένων φιλικά προς τον χρήστη και συνοπτικά.
120. Δεν μπορώ να συνταχθώ με την ερμηνεία αυτή. Αντιθέτως, προκειμένου οι πληροφορίες να είναι σαφείς και εκτενείς, ο χρήστης πρέπει να ενημερώνεται ρητώς αν τρίτοι έχουν πρόσβαση στα cookies ή όχι. Σε περίπτωση δε που τρίτοι έχουν πρόσβαση, η ταυτότητά τους πρέπει να γνωστοποιείται. Όπως ορθώς τονίζει η Bundesverband, τούτο είναι απαραίτητο, προκειμένου να διασφαλίζεται ότι έχει παρασχεθεί συγκατάθεση εν πλήρει επιγνώσει.
4. Συμπέρασμα
121. Ως εκ τούτου, προτείνω να δοθεί στο δεύτερο προδικαστικό ερώτημα η απάντηση ότι στις σαφείς και εκτενείς πληροφορίες τις οποίες οφείλει να παρέχει στον χρήστη ο φορέας παροχής υπηρεσιών, βάσει του άρθρου 5, παράγραφος 3, της οδηγίας 2002/58, συγκαταλέγονται η διάρκεια λειτουργίας των cookies και το ζήτημα αν τρίτοι έχουν πρόσβαση στα cookies ή όχι.
V. Πρόταση
122. Υπό το πρίσμα των προεκτεθέντων, προτείνω στο Δικαστήριο να απαντήσει στα προδικαστικά ερωτήματα του Bundesgerichtshof (Ανώτατου Ομοσπονδιακού Δικαστηρίου, Γερμανία) ως εξής:
1) Δεν υφίσταται έγκυρη συγκατάθεση κατά την έννοια του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες), σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, σε περίπτωση όπως αυτή της κύριας δίκης, κατά την οποία η αποθήκευση πληροφοριών ή η απόκτηση πρόσβασης σε πληροφορίες ήδη αποθηκευμένες στον τερματικό εξοπλισμό του χρήστη επιτρέπεται επί τη βάσει προσυμπληρωμένου τετραγωνιδίου, το οποίο ο χρήστης πρέπει να αποεπιλέξει προκειμένου να αρνηθεί να παράσχει τη συγκατάθεσή του, και εφόσον η συγκατάθεση δεν παρέχεται χωριστά, αλλά ταυτόχρονα με την επιβεβαίωση της συμμετοχής σε διαδικτυακό κερδοφόρο παιχνίδι.
2) Το ίδιο ισχύει όσον αφορά την ερμηνεία του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 4, σημείο 11, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46 (Γενικός Κανονισμός για την Προστασία Δεδομένων).
3) Στο πλαίσιο της εφαρμογής του άρθρου 5, παράγραφος 3, και του άρθρου 2, στοιχείο στʹ, της οδηγίας 2002/58, σε συνδυασμό με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, ουδεμία επιρροή ασκεί το ζήτημα αν οι πληροφορίες που αποθηκεύονται ή στις οποίες υπάρχει πρόσβαση αποτελούν δεδομένα προσωπικού χαρακτήρα.
4) Στις σαφείς και εκτενείς πληροφορίες τις οποίες οφείλει να παρέχει στον χρήστη ο φορέας παροχής υπηρεσιών, βάσει του άρθρου 5, παράγραφος 3, της οδηγίας 2002/58, συγκαταλέγονται η διάρκεια λειτουργίας των cookies και το ζήτημα αν τρίτοι έχουν πρόσβαση στα cookies ή όχι.