Mål C‑673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband eV
mot
Planet49 GmbH
(begäran om förhandsavgörande från Bundesgerichtshof)
Domstolens dom (stora avdelningen) av den 1 oktober 2019
”Begäran om förhandsavgörande – Direktiv 95/46/EG – Direktiv 2002/58/EG – Förordning (EU) 2016/679 – Behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation – Kakor (cookies) – Begreppet den registrerades samtycke – Förklaring om samtycke genom en på förhand ikryssad ruta”
1. Tillnärmning av lagstiftning – Telekommunikationssektorn – Behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation – Direktiv 2002/58 – Kakor (cookies) – Den registrerades samtycke – Begrepp – Förklaring om samtycke genom en på förhand ikryssad ruta – Omfattas inte
(Europaparlamentets och rådets förordning nr 2016/679, artiklarna 4 led 11 och 6.1 a; Europaparlamentets och rådets direktiv 95/46, artikel 2 h, och 2002/58, i dess lydelse enligt direktiv 2009/136, artiklarna 2 f och 5.3)
(se punkterna 49–58, 60–63 samt punkt 1 i domslutet)
2. Tillnärmning av lagstiftning – Telekommunikationssektorn – Behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation – Direktiv 2002/58 – Kakor (cookies) – Den registrerades samtycke – Begrepp – Huruvida lagrad eller hämtad information utgör personuppgifter – Saknar betydelse
(Europaparlamentets och rådets förordning nr 2016/679, artiklarna 4 led 11 och 6.1 a; Europaparlamentets och rådets direktiv 95/46, artikel 2 h, och 2002/58, i dess lydelse enligt direktiv 2009/136, artiklarna 2 f och 5.3)
(se punkterna 68–71 samt punkt 2 i domslutet)
3. Tillnärmning av lagstiftning – Telekommunikationssektorn – Behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation – Direktiv 2002/58 – Kakor (cookies) – Tjänsteleverantören ska lämna tydlig och fullständig information – Begrepp – Kakornas funktionstid – Omfattas – Huruvida tredje part kan få tillgång till kakorna – Omfattas
(Europaparlamentets och rådets direktiv 2002/58, i dess lydelse enligt direktiv 2009/136, artikel 5.3)
(se punkterna 74–81 samt punkt 3 i domslutet)
Resumé
Lagringen av kakor förutsätter internetanvändarnas aktiva samtycke
I dom av den 1 oktober 2019 i mål Planet49 (C‑673/17) slog domstolen (stora avdelningen) fast att samtycket till lagring av information eller tillgång till information genom kakor som redan är lagrade i webbplatsanvändarens terminalutrustning inte är giltigt när samtycket är resultatet av en på förhand ikryssad ruta, och detta oberoende av om informationen i fråga utgör personuppgifter eller inte. Domstolen har dessutom slagit fast att tjänsteleverantören ska upplysa webbplatsanvändaren om kakornas funktionstid samt om möjligheten för tredje part att få tillgång till dessa kakor.
Det nationella målet avsåg en reklamtävling som anordnats av Planet49 på webbplatsen www.dein-macbook.de. De internetanvändare som önskade delta behövde uppge namn och adress på en webbsida med kryssrutor. Den ruta som tillåter installationen av kakor hade kryssats i på förhand. Bundesgerichtshof (Federala högsta domstolen, Tyskland), vid vilken talan hade väckts av den tyska sammanslutningen av konsumentskyddsorganisationer, hyste tvivel om huruvida ett samtycke som en användare lämnar genom den på förhand ikryssade rutan var giltigt, samt omfattningen av den informationsskyldighet som åligger tjänsteleverantören.
Begäran om förhandsavgörande avsåg i huvudsak tolkningen av begreppet samtycke i direktivet om integritet och elektronisk kommunikation,(1) jämförd med direktiv 95/46,(2) och med den allmänna dataskyddsförordningen.(3)
För det första påpekade domstolen att artikel 2 h i direktiv 95/46, till vilket artikel 2 f i direktivet om integritet och elektronisk kommunikation hänvisar, definierar samtycke som ”varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom”. Domstolen påpekade att kravet på att den berörda personen ska avge en ”viljeyttring” tydligt pekar på ett aktivt och inte ett passivt beteende. Ett samtycke som lämnas genom en på förhand ikryssad ruta innebär emellertid inte något aktivt beteende från webbplatsanvändarens sida. Vidare tyder förberedelsearbetet inför antagandet av artikel 5.3 i direktivet om integritet och elektronisk kommunikation – som sedan ändringen genom direktiv 2009/136 föreskriver att användaren ska ha ”gett sitt samtycke” till lagringen av kakor – på att användarens samtycke inte längre kan presumeras utan måste följa av användarens aktiva beteende. Slutligen föreskrivs ett aktivt samtycke i den allmänna dataskyddsförordningen (4), där det i artikel 4 led 11 krävs en viljeyttring i form av bland annat ”en entydig bekräftande handling” och där skäl 32 i denna förordning uttryckligen anger att ”[t]ystnad, på förhand ikryssade rutor eller inaktivitet” inte bör utgöra samtycke.
Domstolen har således slagit fast att ett samtycke inte är giltigt om lagring av information eller tillgång till information som redan är lagrad i en webbplatsanvändares terminalutrustning tillåts genom en på förhand ikryssad ruta som användaren måste avmarkera för att vägra samtycke. Domstolen tillägger att det inte är tillräckligt att en sådan användare trycker på knappen för att delta i den aktuella pristävlingen för att det ska anses att användaren har lämnat ett giltigt samtycke till lagring av kakor.
För det andra har domstolen slagit fast att artikel 5.3 i direktivet om integritet och elektronisk kommunikation har till syfte att skydda användaren från intrång i dennes privatliv, oavsett om intrånget rör personuppgifter eller inte. Av detta följer att begreppet samtycke inte ska tolkas olika beroende på om den lagrade eller hämtade informationen i webbplatsanvändarens terminalutrustning utgör personuppgifter eller inte.
För det tredje påpekade domstolen att artikel 5.3 i direktivet om integritet och elektronisk kommunikation kräver att användaren har lämnat sitt samtycke efter att ha fått tillgång till tydlig och fullständig information, bland annat om ändamålet med behandlingen av uppgifterna. Tydlig och fullständig information innebär att en användare enkelt måste kunna avgöra följderna av ett eventuellt samtycke och säkerställa att ett välgrundat samtycke lämnas. Domstolen har i detta avseende slagit fast att information om kakornas funktionstid och om huruvida tredje parter ges tillgång till kakorna eller inte utgör en del av den tydliga och fullständiga information som tjänsteleverantören ska lämna till webbplatsanvändaren.