z dnia 1 października 2019 r. (*1)
Odesłanie prejudycjalne – Dyrektywa 95/46/WE – Dyrektywa 2002/58/WE – Rozporządzenie (UE) 2016/679 – Przetwarzanie danych osobowych i ochrona prywatności w sektorze łączności elektronicznej – Cookies – Pojęcie zgody osoby, której dane dotyczą – Oświadczenie o wyrażeniu zgody za pomocą zaznaczonego domyślnie okienka wyboru
W sprawie C‑673/17
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy) postanowieniem z dnia 5 października 2017 r., które wpłynęło do Trybunału w dniu 30 listopada 2017 r., w postępowaniu:
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
przeciwko
Planet49 GmbH,
TRYBUNAŁ (wielka izba),
w składzie: K. Lenaerts, prezes, R. Silva de Lapuerta, wiceprezes, J.C. Bonichot, M. Vilaras, T. von Danwitz, C. Toader, F. Biltgen, K. Jürimäe i C. Lycourgos, prezesi izb, A. Rosas (sprawozdawca), L. Bay Larsen, M. Safjan i S. Rodin, sędziowie,
rzecznik generalny: M. Szpunar,
sekretarz: D. Dittert, kierownik wydziału,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 13 listopada 2018 r.,
rozważywszy uwagi przedstawione:
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 21 marca 2019 r.,
wydaje następujący
1Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 2 lit. f) i art. 5 ust. 3 dyrektywy Parlamentu Europejskiego i Rady 2002/58/WE z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywy o prywatności i łączności elektronicznej) ( Dz.U. 2002, L 201, s. 37 ), zmienionej dyrektywą 2009/136/WE Parlamentu Europejskiego i Rady z dnia 25 listopada 2009 r. ( Dz.U. 2009, L 337, s. 11 ) (zwanej dalej „dyrektywą 2002/58”) w związku z art. 2 lit. h) dyrektywy Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych ( Dz.U. 1995, L 281, s. 31 ), a także art. 6 ust. 1 lit. a) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46 (ogólnego rozporządzenia o ochronie danych) ( Dz.U. 2016, L 119, s. 1 ).
2Wniosek ten został złożony w ramach sporu między Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (federalnym związkiem organizacji i stowarzyszeń konsumenckich – związkiem organizacji konsumenckich, Niemcy) (zwanym dalej „związkiem organizacji konsumenckich”) a Planet49 GmbH, spółką oferującą gry online, w przedmiocie zgody uczestników organizowanej przez tę spółkę loterii promocyjnej na przekazanie ich danych osobowych jej sponsorom i partnerom oraz na przechowywanie informacji i dostęp do informacji przechowywanych w urządzeniach końcowych tych użytkowników.
Ramy prawne
3Artykuł 1 dyrektywy 95/46 stanowi:
„1. Zgodnie z przepisami niniejszej dyrektywy państwa członkowskie zobowiązują się chronić podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do prywatności w odniesieniu do przetwarzania danych osobowych.
2Państwa członkowskie nie będą ograniczać ani zakazywać swobodnego przepływu danych osobowych między państwami członkowskimi ze względów związanych z ochroną przewidzianą w ust. 1”.
4Artykuł 2 tej dyrektywy stanowi:
„Do celów niniejszej dyrektywy:
[…]
5Artykuł 7 wskazanej dyrektywy stanowi:
„Państwa członkowskie zapewniają, [aby dane osobowe mogły] być przetwarzane tylko wówczas, gdy:
[…]”.
6W myśl art. 10 tej dyrektywy:
„Państwa członkowskie zapewniają, aby administrator danych lub jego przedstawiciel miał obowiązek przedstawienia osobie, której dane dotyczą i od której gromadzone są dane, co najmniej następujących informacji, z wyjątkiem przypadku, kiedy [osoba ta] informacje takie już posiada:
o ile takie dalsze informacje są potrzebne, biorąc od uwagę szczególne okoliczności, w których dane są gromadzone, w celu zagwarantowania rzetelnego przetwarzania danych w stosunku do osoby, której dane dotyczą”.
7Motywy 17 i 24 dyrektywy 2002/58 mają następujące brzmienie:
„(17)
Do celów niniejszej dyrektywy zgoda użytkownika lub abonenta, niezależnie od tego, czy abonentem jest osoba fizyczna, czy prawna, powinna mieć to samo znaczenie co zgoda podmiotu danych [osoby, której dane dotyczą] opisana i szerzej określona w dyrektywie [95/46]. Zgoda może być udzielona w jakikolwiek sposób umożliwiający swobodne, [konkretne] i świadome wyrażenie woli użytkownika, włączając zaznaczenie okna wyboru podczas przeglądania witryny internetowej.
[…]
8Artykuł 1 dyrektywy 2002/58 stanowi:
„1. Niniejsza dyrektywa przewiduje harmonizację przepisów krajowych wymaganych do zapewnienia równoważnego poziomu ochrony podstawowych praw i wolności, w szczególności prawa do prywatności i poufności, w odniesieniu do przetwarzania danych osobowych w sektorze łączności elektronicznej oraz w celu zapewnienia swobodnego przepływu [w Unii Europejskiej] tego typu danych oraz urządzeń i usług łączności elektronicznej.
2Przepisy niniejszej dyrektywy dookreślają i uzupełniają dyrektywę [95/46] zgodnie z celami przedstawionymi w ust. 1 […]”.
9Artykuł 2 tej dyrektywy stanowi:
„Z zastrzeżeniem innych przepisów stosuje się definicje z dyrektywy [95/46] i dyrektywy 2002/21/WE Parlamentu Europejskiego i Rady z dnia 7 marca 2002 r. w sprawie wspólnych ram regulacyjnych sieci i usług łączności elektronicznej (dyrektyw[y] ramow[ej]) [( Dz.U. 2002, L 108, s. 33 )].
Stosuje się również następujące definicje:
[…]
[…]”.
10Artykuł 5 ust. 3 wskazanej dyrektywy stanowi:
„Państwa członkowskie zapewniają, aby przechowywanie informacji lub uzyskanie dostępu do informacji już przechowywanych w urządzeniu końcowym abonenta lub użytkownika było dozwolone wyłącznie pod warunkiem, że dany abonent lub użytkownik wyraził zgodę [po otrzymaniu] zgodnie z dyrektywą [95/46], […] jasnych i wyczerpujących informacji, między innymi o celach przetwarzania. Nie stanowi to przeszkody dla każdego technicznego przechowywania danych ani dostępu do nich jedynie w celu wykonania transmisji komunikatu za pośrednictwem sieci łączności elektronicznej lub gdy jest to ściśle niezbędne w celu świadczenia usługi przez dostawcę usługi społeczeństwa informacyjnego, wyraźnie zażądanej przez abonenta lub użytkownika”.
11Motyw 32 rozporządzenia nr 2016/679 stanowi:
„Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, której dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych. Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele. Jeżeli osoba, której dane dotyczą, ma wyrazić zgodę w odpowiedzi na elektroniczne zapytanie, zapytanie takie musi być jasne, zwięzłe i nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy”.
12Artykuł 4 tego rozporządzenia stanowi:
„Na użytek niniejszego rozporządzenia:
[…]
[…]”.
13Artykuł 6 wspomnianego rozporządzenia stanowi:
„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
[…]”.
14Artykuł 7 ust. 4 tego rozporządzenia stanowi:
„Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy”.
15Zgodnie z art. 13 ust. 1 i 2 rozporządzenia nr 2016/679:
„1. Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, podczas pozyskiwania danych osobowych administrator podaje jej wszystkie następujące informacje:
[…]
[…]
2Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:
[…]”.
16Artykuł 94 tego rozporządzenia stanowi:
„1. Dyrektywa [95/46] zostaje uchylona ze skutkiem od dnia 25 maja 2018 r.
2Odesłania do uchylonej dyrektywy należy traktować jako odesłania do niniejszego rozporządzenia. Odesłania do Grupy Roboczej ds. Ochrony Osób Fizycznych w zakresie Przetwarzania Danych Osobowych, ustanowionej w art. 29 dyrektywy [95/46], należy traktować jako odesłania do Europejskiej Rady Ochrony Danych, ustanowionej niniejszym rozporządzeniem”.
17Zgodnie z § 307 ust. 1 zdanie pierwsze Bürgerliches Gesetzbuch (kodeksu cywilnego, zwanego dalej „BGB”) „postanowienia ogólnych warunków umów są bezskuteczne, jeżeli wbrew wymogowi dobrej wiary są niewspółmiernie niekorzystne dla drugiej strony umowy zawartej z podmiotem stosującym takie warunki”.
18Paragraf 307 ust. 2 pkt 1 BGB stanowi, że „[w] razie wątpliwości należy przyjąć, że ma miejsce niewspółmiernie niekorzystne traktowanie, jeśli dane postanowienie nie jest zgodne z podstawowymi zasadami ustawowej regulacji, od której stanowi odstępstwo”.
19Paragraf 12 Telemediengesetz (ustawy o mediach elektronicznych) z dnia 26 lutego 2007 r. (BGBl. 2007 I, s. 179), w brzmieniu mającym zastosowanie do sporu rozpatrywanego w postępowaniu głównym (zwanej dalej „TMG”), stanowi:
„(1) Usługodawca może gromadzić i wykorzystywać dane osobowe w celu udostępniania mediów elektronicznych, o ile zezwala na to niniejsza ustawa lub inny przepis prawny, który odnosi się wyraźnie do mediów elektronicznych, lub gdy użytkownik wyraził na to zgodę.
(2) Usługodawca może wykorzystywać dane osobowe, które zostały zgromadzone w celu udostępniania mediów elektronicznych, do innych celów tylko wtedy, gdy zezwala na to niniejsza ustawa lub inny przepis prawny, który odnosi się wyraźnie do mediów elektronicznych, lub jeżeli użytkownik wyraził na to zgodę.
(3) O ile prawo nie stanowi inaczej, należy stosować przepisy obowiązujące w odniesieniu do ochrony danych osobowych, nawet jeżeli dane nie są przetwarzane w zautomatyzowany sposób”.
20Zgodnie z § 13 ust. 1 TMG dostawca usług w powszechnie zrozumiałej formie informuje użytkownika na początku procesu używania o rodzaju, zakresie i celach gromadzenia i wykorzystywania danych osobowych, o ile takie powiadomienie nie miało jeszcze miejsca. W przypadku zautomatyzowanej procedury, która umożliwia późniejszą identyfikację użytkownika i przygotowuje gromadzenie i wykorzystywanie danych osobowych, użytkownika powiadamia się na początku tej procedury.
21Zgodnie z § 15 ust. 3 TMG dla celów reklamy, badania rynku lub ukształtowania mediów elektronicznych w zależności od potrzeb dostawca usług może tworzyć profile użytkowania w przypadku używania pseudonimów, o ile użytkownik, po pouczeniu go o przysługującym mu prawie sprzeciwu, nie sprzeciwi się temu.
22Zgodnie z definicją zawartą w § 3 ust. 1 Bundesdatenschutzgesetz (federalnej ustawy o ochronie danych) z dnia 20 grudnia 1990 r. z dnia 20 grudnia 1990 r. (BGBl. 1990 I, s. 2954), w brzmieniu mającym zastosowanie do sporu rozpatrywanego w postępowaniu głównym (zwanej dalej „BDSG”), „dane osobowe” są to szczegółowe dane dotyczące sytuacji osobistej lub rzeczowej zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (osoby, której dane dotyczą)”.
23Zgodnie z definicją zawartą w § 3 ust. 3 BDSG „zbieranie” oznacza uzyskanie danych o osobie, której dane dotyczą.
24Paragraf 4a ust. 1 zdanie pierwsze BDSG, który transponuje art. 2 lit. h) dyrektywy 95/46, stanowi, że zgoda jest ważna, tylko jeśli wynika z wolnego wyboru zainteresowanej osoby.
25W dniu 24 września 2013 r. spółka Planet49 zorganizowała loterię promocyjną na stronie internetowej www.dein‑macbook.de.
26Internauci chcący wziąć udział w tej loterii musieli podać swój kod pocztowy, po czym byli przekierowywani na stronę internetową, na której musieli wpisać swoje imię i adres. Pod polami, w których należało wpisać adres, znajdowały się teksty dwóch oświadczeń wraz z okienkami wyboru. Tekst pierwszego oświadczenia, przy którym okienko wyboru (zwane dalej „pierwszym okienkiem wyboru”) nie było zaznaczone domyślnie, miał następujące brzmienie:
„Wyrażam zgodę na informowanie mnie przez niektórych sponsorów i partnerów listownie lub telefonicznie, lub e‑mailem/SMS‑em o ofertach z obszaru ich działalności . Sponsorów i partnerów mogę wybrać niniejszym samodzielnie, w przeciwnym razie wyboru dokona organizator. Zgodę mogę w dowolnym momencie wycofać. Dalsze informacje znajdują się tutaj ”.
27Tekst drugiego oświadczenia, przy którym okienko wyboru (zwane dalej „drugim okienkiem wyboru”) było zaznaczone domyślnie, miał następujące brzmienie:
„Wyrażam zgodę na stosowanie wobec mnie usługi analizy internetowej Remintrex. Skutkuje to tym, że organizator loterii promocyjnej, [Planet49], po zarejestrowaniu uczestnika w loterii instaluje pliki cookie. Umożliwi to Planet49 ocenę mojego zachowania w zakresie odwiedzania i korzystania ze stron internetowych partnerów reklamowych i dopasowanie reklam do moich preferencji przez Remintrex. Pliki cookies mogę usunąć w dowolnym czasie. Więcej na ten temat przeczytacie Państwo tutaj ”.
28Udział w loterii był możliwy tylko wówczas, gdy zaznaczone zostało przynajmniej pierwsze okienko wyboru.
29Link zamieszczony w tekście oświadczenia towarzyszącego pierwszemu okienku wyboru, pod słowami „sponsorzy i partnerzy” oraz „tutaj”, odsyłał do listy 57 przedsiębiorstw, która zawierała ich adresy, obszar działalności będący przedmiotem reklamy oraz określała sposób komunikacji (e‑mail, poczta lub telefon) używany do celów reklamy. Po nazwie każdego przedsiębiorstwa umieszczone było podkreślone słowo „Rezygnacja”. Lista była poprzedzona następującym oświadczeniem:
„Poprzez kliknięcie linku »Rezygnacja« decyduję, że danemu partnerowi/sponsorowi nie może zostać udzielona zgoda na cele reklamowe. Jeżeli nie zrezygnuję z żadnego bądź zrezygnuję z niewystarczającej liczby partnerów/sponsorów, wyboru według własnego uznania dokona za mnie Planet49 (maksymalna liczba: 30 partnerów/sponsorów)”.
30W przypadku kliknięcia na link umieszczony w tekście oświadczenia towarzyszącego drugiemu okienku wyboru, pod słowem „tutaj”, pojawiały się następujące informacje:
„Instalowane pliki cookie o nazwach ceng_cache, ceng_etag, ceng_png i gcr są małymi zbiorami danych zapisywanymi na twardym dysku przez przeglądarkę, której używasz, które przekazują informacje umożliwiające bardziej efektywną i przyjazną użytkownikowi reklamę. Pliki cookie zawierają określony losowo wygenerowany numer (ID), który jest jednocześnie przyporządkowany do Twoich danych rejestrowych. Jeżeli odwiedzisz następnie stronę internetową zarejestrowanego w Remintrex partnera reklamowego (informacje o tym, czy jest on zarejestrowany, znajdziesz w oświadczeniu o ochronie danych partnera reklamowego), zainstalowany tam program iFrame Remintrexu automatycznie zarejestruje, że odwiedziłeś (tj. użytkownik o zapisanym ID) stronę, jakim produktem byłeś zainteresowany i czy doszło do zawarcia umowy.
Na podstawie udzielonej przy rejestracji do udziału w konkursie z nagrodami zgody na otrzymywanie reklam [Planet49] może Ci następnie przesyłać e‑maile reklamowe, które uwzględniają preferencje ujawnione na stronie internetowej partnera reklamowego. W przypadku cofnięcia zgody na przesyłanie reklam nie otrzymasz już oczywiście żadnych e‑maili z reklamami.
Informacje dostarczone przez pliki cookie będą używane wyłącznie w celu reklamowania produktów partnerów reklamowych. Informacje będą zbierane, przechowywane i używane odrębnie dla każdego partnera reklamowego. W żadnym wypadku nie będą tworzone profile użytkownika dla kilku partnerów reklamowych. Żadne dane osobowe nie zostaną przekazane poszczególnym partnerom reklamowym.
Jeżeli nie będziesz dłużej zainteresowany używaniem plików cookie, będziesz mógł je w dowolnym momencie usunąć w swojej przeglądarce. Instrukcje znajdziesz w opcji »Pomoc« w przeglądarce.
Pliki cookie nie uruchamiają programów ani nie przenoszą wirusów.
Oczywiście masz możliwość cofnięcia niniejszej zgody w dowolnym momencie. Cofnięcie zgody możesz wysłać w formie pisemnej do [Planet49] [adres]. Wystarczy jednak także e‑mail do naszego serwisu klientów [adres e‑mail]”.
31Z postanowienia odsyłającego wynika, że pliki cookie są to pliki, które dostawca strony internetowej instaluje na komputerze użytkownika tej strony i do których może on uzyskać ponowny dostęp, gdy użytkownik odwiedzi stronę ponownie, w celu ułatwienia przeglądania Internetu lub transakcji lub w celu uzyskania informacji na temat zachowania użytkownika.
32W wezwaniu do usunięcia uchybienia, które pozostało bez odpowiedzi, związek organizacji konsumenckich, który jest wpisany na listę podmiotów mających legitymację procesową na podstawie § 4 Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (ustawy w sprawie powództw o zaniechanie naruszeń praw konsumentów i innych naruszeń) z dnia 26 listopada 2001 r. (BGBl. 2001 I, s. 3138), podniósł, że oświadczenia o wyrażeniu zgody, których złożenia poprzez zaznaczenie pierwszego i drugiego okienka wyboru domagała się spółka Planet49, nie spełniały wymogów określonych w przepisach § 307 BGB w związku z § 7 ust. 2 pkt 2 Gesetz gegen den unlauteren Wettbewerb (ustawy o zwalczaniu nieuczciwej konkurencji) z dnia 3 lipca 2004 r. (BGBl. 2004 I, s. 1414) w brzmieniu mającym zastosowanie do sporu rozpatrywanego w postępowaniu głównym, oraz w art. 12 i nast. TMG.
33Związek organizacji konsumenckich wniósł do Landgericht Frankfurt am Main (sądu okręgowego we Frankfurcie nad Menem, Niemcy) pozew, w którym zasadniczo domaga się od spółki Planet49 zaprzestania żądania tego rodzaju oświadczeń o wyrażeniu zgody oraz zapłaty na swą rzecz kwoty 214 EUR wraz z odsetkami od dnia 15 marca 2014 r.
34Landgericht Frankfurt am Main (sąd okręgowy we Frankfurcie nad Menem) częściowo uwzględnił żądania tego pozwu.
35Po rozpoznaniu odwołania wniesionego przez spółkę Planet49 do Oberlandesgericht Frankfurt am Main (wyższego sądu krajowego we Frankfurcie nad Menem, Niemcy) sąd ten orzekł, że przedstawione przez związek organizacji konsumenckich żądanie, aby spółka Planet49 zaprzestała zamieszczania w zawieranych z konsumentami umowach dotyczących loterii promocyjnej oświadczenia przytoczonego w pkt 27 niniejszego wyroku, w wypadku którego odnośne okienko wyboru jest zaznaczane domyślnie, nie jest zasadne, ponieważ, po pierwsze, użytkownik jest świadomy możliwości usunięcia zaznaczenia tego okienka, a po drugie, oświadczenie to zostało sporządzone czytelnym drukiem, w sposób dostatecznie wyraźny, i podawało informacje na temat sposobów używania plików cookie, bez konieczności ujawniania tożsamości osób trzecich, które mogłyby mieć dostęp do zebranych informacji.
36Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy), do którego związek organizacji konsumenckich wniósł środek zaskarżenia dotyczący kwestii prawnych, stoi na stanowisku, że wynik postępowania głównego zależy od wykładni art. 5 ust. 3 i art. 2 lit. f) dyrektywy 2002/58, art. 2 lit. h) dyrektywy 95/46, jak też art. 6 ust. 1 lit. a) rozporządzenia 2016/679.
37W związku z wątpliwościami co do ważności, w świetle tych przepisów, uzyskania przez spółkę Planet49 zgody użytkowników strony internetowej www.dein‑macbook.de za pomocą drugiego okienka wyboru oraz co do zakresu obowiązku udzielenia informacji przewidzianego w art. 5 ust. 3 dyrektywy 2002/58 Bundesgerichtshof (federalny trybunał sprawiedliwości) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1)
38Na wstępie należy zbadać, czy dyrektywa 95/46 i rozporządzenie 2016/679 mogą zostać zastosowane do okoliczności faktycznych badanych w postępowaniu głównym.
39Ze skutkiem od dnia 25 maja 2018 r. dyrektywa 95/46 została uchylona i zastąpiona rozporządzeniem 2016/679, zgodnie z art. 94 ust. 1 wskazanego rozporządzenia.
40Co prawda data ta jest późniejsza niż data ostatniej rozprawy przed sądem odsyłającym, która odbyła się w dniu 14 lipca 2017 r., jak też data wpływu do Trybunału przedstawionego przez ten sąd wniosku o wydanie orzeczenia w trybie prejudycjalnym.
41Sąd odsyłający wskazał jednak, że z uwagi na wejście w życie w dniu 25 maja 2018 r. rozporządzenia 2016/679, którego dotyczy zresztą część pytania pierwszego, rozporządzenie to prawdopodobnie będzie musiało zostać uwzględnione przy rozstrzyganiu sporu w postępowaniu głównym. Ponadto, jak wskazał rząd niemiecki na rozprawie przed Trybunałem, nie można wykluczyć, że w zakresie, w jakim postępowanie wszczęte przez związek organizacji konsumenckich ma na celu położenie kresu działaniom spółki Planet49 ze skutkiem na przyszłość, rozporządzenie 2016/679 znajduje zastosowanie ratione temporis w postępowaniu głównym ze względu na krajowe orzecznictwo dotyczące właściwej sytuacji prawnej w dziedzinie powództw o zaprzestanie szkodliwych praktyk, co ustalić powinien sąd krajowy (zob. w odniesieniu do skargi o charakterze deklaratoryjnym wyrok z dnia 16 stycznia 2019 r., Deutsche Post, C‑496/17 , EU:C:2019:26 , pkt 38 ).
42W tych okolicznościach, oraz biorąc pod uwagę to, że zgodnie z art. 94 ust. 2 rozporządzenia 2016/679 zawarte w dyrektywie 2002/58 odniesienia do dyrektywy 95/46 należy traktować jako odniesienia do tego rozporządzenia, nie można wykluczyć, że dyrektywa 2002/58 może w tym wypadku mieć zastosowanie łącznie z dyrektywą 95/46 lub rozporządzeniem 2016/679, w zależności od charakteru żądań związku organizacji konsumenckich i okresu, którego żądania te dotyczą.
43Konieczne jest zatem udzielenie odpowiedzi na przedstawione pytania zarówno na podstawie dyrektywy 95/46, jak i na podstawie rozporządzenia 2016/679.
W przedmiocie pytania pierwszego lit. a) i c)
44Poprzez pytanie pierwsze lit. a) i c) sąd odsyłający dąży zasadniczo do ustalenia, czy art. 2 lit. f) i art. 5 ust. 3 dyrektywy 2002/58 w związku z art. 2 lit. h) dyrektywy 95/46 i z art. 6 ust. 1 lit. a) rozporządzenia 2016/679 należy interpretować w ten sposób, że zgoda, o której mowa w tych przepisach, jest ważna, jeżeli przechowywanie informacji lub dostęp do informacji już przechowywanych w urządzeniu końcowym użytkownika strony internetowej, za pośrednictwem plików cookie, zostały zaakceptowane za pomocą domyślnie zaznaczonego okienka wyboru, którego zaznaczenie użytkownik musi usunąć, aby odmówić udzielenia zgody.
45Na wstępie należy zauważyć, że – jak wynika z treści postanowienia odsyłającego – pliki cookie, które mogą być instalowane na urządzeniu końcowym użytkownika uczestniczącego w loterii promocyjnej zorganizowanej przez spółkę Planet49, zawierają numer przypisany do danych rejestracyjnych tego użytkownika, który w formularzu uczestnictwa w tej grze musi wpisać swoje imię i nazwisko oraz adres. Sąd odsyłający dodaje, że skojarzenie tego numeru z tymi danymi powoduje personalizację danych przechowywanych przez pliki cookie, gdy użytkownik korzysta z Internetu, wobec czego zbieranie tych danych za pomocą plików cookie jest przetwarzaniem danych osobowych. Informacje te zostały potwierdzone przez spółkę Planet49, która w swoich uwagach na piśmie podkreśliła, że zgoda odpowiadająca drugiemu okienku wyboru ma skutkować akceptacją gromadzenia i przetwarzania danych osobowych, a nie informacji anonimowych.
46W związku z tym należy zauważyć, że zgodnie z art. 5 ust. 3 dyrektywy 2002/58 państwa członkowskie zapewniają, aby przechowywanie informacji lub uzyskanie dostępu do informacji już przechowywanych w urządzeniu końcowym użytkownika było dozwolone tylko pod warunkiem, że użytkownik wyraził zgodę, po otrzymaniu, zgodnie z dyrektywą 95/46, jasnych i wyczerpujących informacji, między innymi o celach przetwarzania.
47W tym względzie należy przypomnieć, iż względy zarówno jednolitego stosowania prawa Unii, jak i zasady równości wskazują na to, że treści przepisu prawa Unii, który nie zawiera wyraźnego odesłania do prawa państw członkowskich dla określenia swego znaczenia i zakresu, należy zwykle nadać w całej Unii autonomiczną i jednolitą wykładnię [wyroki: z dnia 26 marca 2019 r., SM (Dziecko pozostające pod opieką prawną w ramach algierskiego systemu kafali), C‑129/18 , EU:C:2019:248 , pkt 50 ; z dnia 11 kwietnia 2019 r., Tarola, C‑483/17 , EU:C:2019:309 , pkt 36 ].
48Ponadto zgodnie z utrwalonym orzecznictwem Trybunału przy dokonywaniu wykładni przepisu prawa Unii należy uwzględniać nie tylko brzmienie i cele tego przepisu, lecz także jego kontekst, a także ogół przepisów prawa Unii. Geneza przepisu prawa Unii również może dostarczyć informacji istotnych dla jego wykładni (wyrok z dnia 10 grudnia 2018 r., Wightman i in., C‑621/18 , EU:C:2018:999 , pkt 47 i przytoczone tam orzecznictwo).
49W odniesieniu do treści art. 5 ust. 3 dyrektywy 2002/58 należy zauważyć, że chociaż przepis ten wyraźnie stanowi, że użytkownik musi „wyrazić zgodę” na zainstalowanie i udostępnianie plików cookie na swoim urządzeniu końcowym, to jednak przepis ten nie zawiera wskazówek co do sposobu wyrażenia tej zgody. Sformułowanie „wyrazić zgodę” powinno jednak podlegać wykładni językowej, zgodnie z którą do wyrażenia zgody niezbędne jest działanie użytkownika. W tym względzie z motywu 17 dyrektywy 2002/58 wynika, że zgoda użytkownika, do celów tej dyrektywy, może zostać udzielona w jakikolwiek sposób umożliwiający swobodne, konkretne i świadome wyrażenie woli użytkownika, w szczególności poprzez „zaznaczenie okna wyboru podczas przeglądania witryny internetowej”.
50Co się tyczy kontekstu art. 5 ust. 3 dyrektywy 2002/58, należy podkreślić, że art. 2 lit. f) tej dyrektywy, w którym zdefiniowano „zgodę” na potrzeby tej dyrektywy, odsyła w tym względzie do wyrażenia „zgoda osoby, której dane dotyczą”, którym posłużono się w dyrektywie 95/46. W motywie 17 dyrektywy 2002/58 uściślono, że do celów tej dyrektywy zgoda użytkownika powinna mieć to samo znaczenie co zgoda podmiotu danych opisana i szerzej określona w dyrektywie 95/46.
51W art. 2 lit. h) tej drugiej dyrektywy zdefiniowano „zgod[ę] osoby, której dane dotyczą” jako „konkretne i świadome dobrowolne wskazanie przez osobę, której dane dotyczą, na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych”.
52Tak więc, jak podkreślił rzecznik generalny w pkt 60 opinii, wymóg „wskazania” woli przez osobę, której dane dotyczą, wyraźnie sugeruje zachowanie czynne, a nie bierne. Tymczasem zgoda udzielona za pomocą zaznaczonego domyślnie okienka wyboru nie oznacza czynnego zachowania użytkownika strony internetowej.
53Wykładnię tę potwierdza art. 7 dyrektywy 95/46, który zawiera wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych można uznać za zgodne z prawem (zob. podobnie wyroki: z dnia 24 listopada 2011 r., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10 , EU:C:2011:777 , pkt 30 ; a także z dnia 19 października 2016 r., Breyer, C‑582/14 , EU:C:2016:779 , pkt 57 ).
54W szczególności art. 7 lit. a) dyrektywy 95/46 stanowi, że zgoda osoby, której dane dotyczą, może sprawić, że takie przetwarzanie danych stanie się zgodne z prawem, pod warunkiem że zgoda taka została „jednoznacznie” wyrażona przez ową osobę, której dane dotyczą. Tymczasem wymóg ten może spełniać jedynie czynne zachowanie tej osoby podjęte w celu wyrażenia zgody.
55W tym względzie należy stwierdzić, że praktycznie niemożliwe wydaje się ustalenie w sposób obiektywny, czy użytkownik strony internetowej rzeczywiście wyraził zgodę na przetwarzanie jego danych osobowych poprzez to, że nie usunął domyślnego zaznaczenia okienka wyboru, a w każdym razie czy zgoda ta została udzielona w sposób świadomy. Nie można bowiem wykluczyć, że wspomniany użytkownik nie przeczytał informacji towarzyszących domyślnie zaznaczonemu okienku wyboru czy wręcz nie zwrócił uwagi na to okienko przed podjęciem dalszej aktywności na odwiedzanej przezeń stronie internetowej.
56Wreszcie, jeśli chodzi o genezę art. 5 ust. 3 dyrektywy 2002/58, należy zaznaczyć, że pierwotna wersja tego przepisu przewidywała jedynie wymóg, zgodnie z którym użytkownik powinien mieć „prawo do odmówienia zgody” na umieszczenie plików cookie, po otrzymaniu, zgodnie z dyrektywą 95/46, jasnych i wyczerpujących informacji między innymi o celach przetwarzania. W dyrektywie 2009/136 wprowadzono istotną zmianę brzmienia tego przepisu, zastępując to sformułowanie wyrażeniem „wyraził zgodę”. Geneza art. 5 ust. 3 dyrektywy 2002/58 sugeruje zatem, że zgoda użytkownika nie może być dłużej domniemana i musi wynikać z jego czynnego zachowania.
57W świetle powyższego zgoda, o której mowa w art. 2 lit. f) i art. 5 ust. 3 dyrektywy 2002/58 w związku z art. 2 lit. h) dyrektywy 95/46 nie jest zatem ważna, jeżeli przechowywanie informacji lub dostęp do informacji już przechowywanych w urządzeniu końcowym użytkownika strony internetowej zostały zaakceptowane za pomocą zaznaczonego domyślnie przez usługodawcę okienka wyboru, którego zaznaczenie użytkownik musi usunąć, aby odmówić udzielenia zgody.
58Należy dodać, że wyrażenie woli, o którym mowa w art. 2 lit. h) dyrektywy 95/46, musi być w szczególności „konkretne”, to znaczy musi odnosić się dokładnie do określonego przetwarzania danych i nie może zostać wywnioskowane z treści wyrażenia woli mającego inny cel.
59W tym przypadku, wbrew temu, co twierdzi spółka Planet49, okoliczność, że użytkownik aktywuje przycisk uczestnictwa w loterii promocyjnej organizowanej przez tę spółkę, nie może zatem być wystarczająca do uznania, że dany użytkownik skutecznie wyraził zgodę na zainstalowanie plików cookie.
60Powyższa wykładnia narzuca się jeszcze bardziej w świetle rozporządzenia 2016/679.
61Jak stwierdził bowiem rzecznik generalny w pkt 70 opinii, brzmienie art. 4 ust. 11 rozporządzenia 2016/679, który definiuje „zgodę osoby, której dane dotyczą” do celów tego rozporządzenia, a w szczególności do celów jego art. 6 ust. 1 lit. a), o którym mowa w pytaniu pierwszym lit. c), wydaje się jeszcze bardziej rygorystyczne niż brzmienie art. 2 lit. h) dyrektywy 95/46, gdyż przepis ten wymaga „dobrowolnego, konkretnego, świadomego i jednoznacznego” wyrażenia woli przez osobę, której dane dotyczą, w postaci oświadczenia lub „wyraźnego działania potwierdzającego” oznaczającego zgodę tej osoby na przetwarzanie dotyczących jej danych osobowych.
62Czynna zgoda jest zatem obecnie wyraźnie przewidziana w rozporządzeniu 2016/679. W tym względzie należy zauważyć, że zgodnie z motywem 32 tego rozporządzenia zgodę można wyrazić w szczególności poprzez zaznaczenie okienka wyboru przy przeglądaniu strony internetowej. Z drugiej strony wspomniany motyw wyraźnie wyklucza możliwość wyrażenia zgody poprzez „milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania”.
63Wynika z tego, że zgoda, o której mowa w art. 2 lit. f) i art. 5 ust. 3 dyrektywy 2002/58 w związku z art. 4 ust. 11 i art. 6 ust. 1 lit. a) rozporządzenia 2016/679, nie jest ważna, jeżeli przechowywanie informacji lub dostęp do informacji już przechowywanych w urządzeniu końcowym użytkownika strony internetowej zostały zaakceptowane za pomocą domyślnie zaznaczonego okienka wyboru, którego zaznaczenie użytkownik ten musi usunąć, aby odmówić udzielenia zgody.
64Należy wreszcie podkreślić, że sąd odsyłający nie skierował do Trybunału pytania, czy okoliczność, że zgoda użytkownika na przetwarzanie jego danych osobowych do celów reklamowych decyduje o tym, czy może on uczestniczyć w loterii promocyjnej, co wydaje się mieć miejsce w niniejszej sprawie – jak wynika z treści postanowienia odsyłającego – przynajmniej w przypadku pierwszego okienka wyboru, jest zgodna z wymogiem zgody „dobrowolnej” w rozumieniu art. 2 lit. h) dyrektywy 95/46, jak też art. 4 pkt 11 i art. 7 ust. 4 rozporządzenia 2016/679. W tym stanie rzeczy badanie tej kwestii przez Trybunał nie jest konieczne.
65W świetle wszystkich powyższych rozważań na pytanie pierwsze lit. a) i c) należy odpowiedzieć, że art. 2 lit. f) i art. 5 ust. 3 dyrektywy 2002/58 w związku z art. 2 lit. h) dyrektywy 95/46, a także z art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia 2016/679, należy interpretować w ten sposób, że zgoda, o której mowa w tych przepisach, nie jest ważna, jeżeli przechowywanie informacji lub dostęp do informacji już przechowywanych w urządzeniu końcowym użytkownika strony internetowej, za pośrednictwem plików cookie, zostały zaakceptowane za pomocą domyślnie zaznaczonego okienka wyboru, którego zaznaczenie użytkownik ten musi usunąć, aby odmówić udzielenia zgody.
W przedmiocie pytania pierwszego lit. b)
66Poprzez pytanie pierwsze lit. b) sąd odsyłający dąży zasadniczo do ustalenia, czy sposób interpretowania art. 2 lit. f) i art. 5 ust. 3 dyrektywy 2002/58 w związku z art. 2 lit. h) dyrektywy 95/46, a także z art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia 2016/679, powinien być różny w zależności od tego, czy informacje przechowywane lub udostępniane w urządzeniu końcowym użytkownika strony internetowej stanowią dane osobowe w rozumieniu dyrektywy 95/46 i rozporządzenia 2016/679.
67Jak wskazano w pkt 45 niniejszego wyroku, z postanowienia odsyłającego jasno wynika, że instalowanie plików cookie, o których mowa w postępowaniu głównym, wiąże się z przetwarzaniem danych osobowych.
68W związku z tym należy stwierdzić w każdym wypadku, że art. 5 ust. 3 dyrektywy 2002/58 odnosi się do „przechowywani[a] informacji” lub „uzyskani[a] dostępu do informacji już przechowywanych”, przy czym przepis ten nie kwalifikuje takich informacji ani nie precyzuje, że powinny to być dane osobowe.
69Jak stwierdził rzecznik generalny w pkt 107 opinii, przepis ten ma zatem na celu ochronę użytkownika przed każdą ingerencją w sferę prywatną, bez względu na to, czy ingerencja ta obejmuje dane osobowe.
70Wykładnia ta znajduje potwierdzenie w treści motywu 24 dyrektywy 2002/58, zgodnie z którym wszelkie informacje przechowywane w urządzeniach końcowych użytkownika sieci łączności elektronicznej nalezą do sfery prywatnej tego użytkownika, która podlega ochronie na mocy europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności. Ochrona ta ma zastosowanie do wszelkich informacji przechowywanych w takich urządzeniach końcowych, niezależnie od tego, czy są to dane osobowe, i ma na celu w szczególności, jak stwierdzono w tym samym motywie, ochronę użytkowników przed ryzykiem wprowadzenia ukrytych identyfikatorów lub innych podobnych narzędzi do urządzeń końcowych użytkowników bez ich wiedzy.
71W świetle powyższych rozważań na pytanie pierwsze lit. b) należy odpowiedzieć, że sposób interpretowania art. 2 lit. f) i art. 5 ust. 3 dyrektywy 2002/58 w związku z art. 2 lit. h) dyrektywy 95/46, a także z art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia 2016/679, nie powinien być różny w zależności od tego, czy informacje przechowywane lub udostępniane w urządzeniu końcowym użytkownika strony internetowej stanowią dane osobowe w rozumieniu dyrektywy 95/46 i rozporządzenia 2016/679.
72Poprzez pytanie drugie sąd odsyłający dąży zasadniczo do ustalenia, czy art. 5 ust. 3 dyrektywy 2002/58 należy interpretować w ten sposób, że informacje, jakich usługodawca powinien udzielić użytkownikowi strony internetowej, obejmują również wskazanie okresu funkcjonowania plików cookie oraz określenie, czy osoby trzecie mogą uzyskać dostęp do takich plików.
73Jak już stwierdzono w pkt 46 niniejszego wyroku, art. 5 ust. 3 dyrektywy 2002/58 wymaga, aby użytkownik wyraził zgodę, po otrzymaniu „zgodnie z dyrektywą [95/46]” jasnych i wyczerpujących informacji, w szczególności na temat celów przetwarzania.
74Jak podkreślił rzecznik generalny w pkt 115 opinii, jasne i wyczerpujące informacje powinny umożliwiać użytkownikowi łatwe ustalenie konsekwencji zgody, której może udzielić, oraz gwarantować, że zgoda ta zostanie udzielona przy pełnej znajomości stanu rzeczy. Informacje te muszą być wyraźnie zrozumiałe i wystarczająco dokładne, aby umożliwić użytkownikowi zrozumienie funkcjonowania plików cookie, które są wykorzystywane.
75Tymczasem w sytuacji takiej jak ta analizowana w postępowaniu głównym, w której – zgodnie z informacjami zawartymi w aktach sprawy przedłożonych Trybunałowi – pliki cookie mają na celu zbieranie informacji do celów reklamowych w odniesieniu do produktów partnerów organizatora loterii promocyjnej, wskazanie okresu funkcjonowania plików cookie, jak też określenie, czy osoby trzecie mogą mieć dostęp do tych plików, stanowią elementy jasnych i wyczerpujących informacji, które należy przekazać użytkownikowi zgodnie z art. 5 ust. 3 dyrektywy 2002/58.
76W tym względzie należy zaznaczyć, że art. 10 dyrektywy 95/46, do której odsyła art. 5 ust. 3 dyrektywy 2002/58, jak również art. 13 rozporządzenia 2016/679, określają informacje, które administrator danych musi przekazać osobie, od której pobiera dotyczące jej dane.
77Informacje te obejmują w szczególności, zgodnie z art. 10 dyrektywy 95/46, oprócz informacji o tożsamości administratora danych i celach przetwarzania, do których dane są przeznaczone, wszelkie dodatkowe informacje, takie jak informacje o odbiorcach lub kategoriach odbiorców danych, o ile, uwzględniając szczególne okoliczności, w których dane są gromadzone, takie dodatkowe informacje są niezbędne do zapewnienia rzetelnego przetwarzania danych w stosunku do osoby, której dane dotyczą.
78Chociaż czas trwania przetwarzania danych nie został uwzględniony w ramach tych informacji, to jednak użycie w art. 10 dyrektywy 95/46 wyrażenia „co najmniej” świadczy o tym, że informacje te nie zostały wymienione w sposób wyczerpujący. Jednakże informacje dotyczące okresu funkcjonowania plików cookie należy uznać za spełniające przewidziany we wskazanym artykule wymóg rzetelnego przetwarzania danych, ponieważ w sytuacji takiej jak analizowana w postępowaniu głównym długi czy wręcz nieograniczony okres funkcjonowania takich plików oznacza, że zgromadzona zostanie duża ilość informacji na temat zwyczajów danego użytkownika związanych z przeglądaniem stron internetowych oraz częstotliwości ewentualnego odwiedzania przez tego użytkownika stron partnerów reklamowych organizatora loterii promocyjnej.
79Wykładnia ta znajduje potwierdzenie w art. 13 ust. 2 lit. a) rozporządzenia 2016/679, który stanowi, że administrator danych musi przekazać osobie, której dane dotyczą, w celu zapewnienia rzetelności i przejrzystości przetwarzania, informacje dotyczące w szczególności okresu przechowywania danych osobowych lub, jeżeli nie jest to możliwe, kryteriów ustalania tego okresu.
80Jeżeli chodzi o możliwość dostępu stron trzecich do plików cookie lub jej brak – jest to informacja należąca do informacji, o których mowa w art. 10 lit. c) dyrektywy 95/46 i w art. 13 ust. 1 lit. e) rozporządzenia 2016/679, skoro przepisy te wyraźnie wymieniają odbiorców lub kategorie odbiorców danych.
81W świetle powyższych rozważań na pytanie drugie należy odpowiedzieć, że art. 5 ust. 3 dyrektywy 2002/58 należy interpretować w ten sposób, że informacje, jakich usługodawca powinien udzielić użytkownikowi strony internetowej, obejmują również wskazanie okresu funkcjonowania plików cookie oraz określenie, czy osoby trzecie mogą uzyskać dostęp do takich plików.
82Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:
Podpisy
(*1) Język postępowania: niemiecki.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.