z dne 1. oktobra 2019 (*1)
„Predhodno odločanje – Direktiva 95/46/ES – Direktiva 2002/58/ES – Uredba (EU) 2016/679 – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Piškotki – Pojem privolitve posameznika, na katerega se nanašajo osebni podatki – Izjava o privolitvi z vnaprej označenim potrditvenim poljem“
V zadevi C‑673/17,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija) z odločbo z dne 5. oktobra 2017, ki je prispela na Sodišče 30. novembra 2017, v postopku
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
proti
Planet49 GmbH,
SODIŠČE (veliki senat),
v sestavi K. Lenaerts, predsednik, R. Silva de Lapuerta, podpredsednica, J.‑C. Bonichot, M. Vilaras, T. von Danwitz, predsedniki senatov, C. Toader, predsednica senata, F. Biltgen, predsednik senata, K. Jürimäe, predsednica senata, C. Lycourgos, predsednik senata, A. Rosas (poročevalec), L. Bay Larsen, M. Safjan in S. Rodin, sodniki,
generalni pravobranilec: M. Szpunar,
sodni tajnik: D. Dittert, vodja oddelka,
na podlagi pisnega postopka in obravnave z dne 13. novembra 2018,
ob upoštevanju stališč, ki so jih predložili:
po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 21. marca 2019
izreka naslednjo
1Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 2(f) in člena 5(3) Direktive 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 29, str. 514), kakor je bila spremenjena z Direktivo 2009/136/ES Evropskega parlamenta in Sveta z dne 25. novembra 2009 ( UL 2009, L 337, str. 11 ) (v nadaljevanju: Direktiva 2002/58), v povezavi s členom 2(h) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355) ter na razlago člena 6(1)(a) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) ( UL 2016, L 119, str. 1 ).
2Ta predlog je bil vložen v okviru spora med Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (zvezno združenje organizacij in združenj za varstvo potrošnikov – zvezno združenje organizacij za varstvo potrošnikov) (v nadaljevanju: zvezno združenje) in družbo Planet49 GmbH, to je družbo, ki ponuja spletne igre, v zvezi s privolitvijo sodelujočih v nagradni igri, ki jo je organizirala ta družba, v posredovanje svojih osebnih podatkov sponzorjem in partnerjem navedene družbe ter v hrambo podatkov in v dostop do podatkov, shranjenih v terminalski opremi uporabnikov.
Pravni okvir
3Člen 1 Direktive 95/46 določa:
„1. V skladu s to direktivo države članice varujejo temeljne pravice in svoboščine fizičnih oseb in predvsem njihovo pravico do zasebnosti pri obdelavi osebnih podatkov.
2Države članice ne omejujejo niti ne prepovedujejo prostega prenosa osebnih podatkov med državami članicami zaradi razlogov, povezanih z varstvom, ki je zagotovljeno na podlagi odstavka 1.“
4Člen 2 te direktive določa:
„V tej direktivi:
[…]
5Člen 7 navedene direktive določa:
„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:
[…]“
6Člen 10 iste direktive določa:
„Države članice določijo, da morata upravljavec ali njegov predstavnik zagotoviti posamezniku, na katerega se osebni podatki nanašajo in od katerega se podatki v zvezi z njim zbirajo, vsaj naslednje informacije, razen kadar jih že ima:
kolikor so take nadaljnje informacije potrebne, ob upoštevanju posebnih okoliščin, v katerih se podatki zbirajo, za zagotovitev poštene obdelave glede na posameznika, na katerega se osebni podatki nanašajo.“
7V uvodnih izjavah 17 in 24 Direktive 2002/58 je navedeno:
„(17)
Za namene te direktive ima privolitev uporabnika ali naročnika, ne glede na to, ali je ta fizična ali pravna oseba, enak pomen kot privolitev posameznika, na katerega se podatki nanašajo, kakor je opredeljeno in podrobneje opisano v Direktivi [95/46]. Privolitev se lahko da na kateri koli primeren način, ki omogoča uporabniku, da navede svoje želje svobodno, izrecno in ozaveščeno, tudi tako, da pri obisku internetne spletne strani [internetnega spletnega mesta] označi rubriko [polje] s kljukico.“
[…]
8Člen 1 Direktive 2002/58 določa:
„1. Ta direktiva določa uskladitev določb držav članic, ki je potrebna za zagotovitev enakovredne ravni varstva temeljnih pravic in svoboščin ter zlasti pravice do zasebnosti in zaupnosti v zvezi z obdelavo osebnih podatkov na področju elektronskih komunikacij in za zagotovitev prostega pretoka takih podatkov ter elektronske komunikacijske opreme in storitev v [Evropski uniji].
2Določbe te direktive podrobno opredeljujejo in dopolnjujejo Direktivo [95/46] za namene, navedene v odstavku 1. […]“
9Člen 2 te direktive določa:
„Razen če je drugače določeno, se uporabijo opredelitve pojmov iz Direktive [95/46] in Direktive 2002/21/ES Evropskega parlamenta in Sveta z dne 7. marca 2002 o skupnem regulativnem okviru za elektronska komunikacijska omrežja in storitve (Okvirna direktiva) [(UL, posebna izdaja v slovenščini, poglavje 13, zvezek 29, str. 349)].
Uporabijo se tudi naslednje opredelitve pojmov:
[…]
[…]“
10Člen 5(3) navedene direktive določa:
„Države članice zagotovijo, da je shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljeno samo pod pogojem, da je zadevni naročnik ali uporabnik v to privolil po tem, ko je bil jasno in izčrpno obveščen v skladu z Direktivo [95/46], med drugim o namenih obdelave. To ne prepreči nobenega tehničnega shranjevanja ali dostopa izključno za namen opravljanja prenosa sporočila prek elektronskega komunikacijskega omrežja, ali, če je nujno potrebno, da ponudnik zagotovi storitve informacijske družbe, ki jo naročnik ali uporabnik izrecno zahtevata.“
11V uvodni izjavi 32 Uredbe 2016/679 je navedeno:
„Privolitev bi morala biti dana z jasnim pritrdilnim dejanjem, ki pomeni, da je posameznik, na katerega se nanašajo osebni podatki, prostovoljno, specifično, ozaveščeno in nedvoumno izrazil soglasje k obdelavi osebnih podatkov v zvezi z njim, kot je s pisno, tudi z elektronskimi sredstvi, ali ustno izjavo. To lahko vključuje označitev okenca ob obisku spletne strani [spletnega mesta], izbiro tehničnih nastavitev za storitve informacijske družbe ali katero koli drugo izjavo ali ravnanje, ki v tem okviru jasno kaže na to, da posameznik, na katerega se nanašajo osebni podatki, sprejema predlagano obdelavo svojih osebnih podatkov. Molk, vnaprej označena okenca ali nedejavnost zato ne pomenijo privolitve. Privolitev bi morala zajemati vse dejavnosti obdelave, izvedene v isti namen ali namene. Kadar je obdelava večnamenska, bi bilo treba privolitev dati za vse namene obdelave. Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana na podlagi zahteve z elektronskimi sredstvi, mora biti zahteva jasna in natančna, prav tako pa ne sme po nepotrebnem ovirati uporabe storitve, za katero se zagotavlja.“
12Člen 4 te uredbe določa:
„V tej uredbi:
[…]
[…]“
13Člen 6 navedene uredbe določa:
„1. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
[…]“
14Člen 7(4) te uredbe določa:
„Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe.“
15Člen 13(1) in (2) Uredbe 2016/679 določa:
„1. Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije:
[…]
[…]
2Poleg informacij iz odstavka 1 upravljavec takrat, ko pridobi osebne podatke, posamezniku, na katerega se ti nanašajo, zagotovi naslednje dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave:
[…]“
16Člen 94 te uredbe določa:
„1. Direktiva [95/46] se razveljavi z učinkom od 25. maja 2018.
2Sklicevanja na razveljavljeno direktivo se štejejo kot sklicevanja na to uredbo. Sklicevanja na Delovno skupino za varstvo posameznikov pri obdelavi osebnih podatkov, ustanovljeno s členom 29 Direktive 95/46/ES, se štejejo kot sklicevanja na Evropski odbor za varstvo podatkov, ustanovljen s to uredbo.“
17V skladu s členom 307(1), prvi stavek, Bürgerliches Gesetzbuch (civilni zakonik, v nadaljevanju: BGB) so „določbe v splošnih pogojih poslovanja […] brez učinka, če uporabnikovega sopogodbenika v nasprotju z načelom dobre vere postavijo v nesorazmerno slabši položaj“.
18V členu 307(2)(1) BGB je določeno, da je treba „v dvomu […] šteti, da gre za postavitev v nesorazmerno slabši položaj, če določba ni združljiva z bistveno temeljno idejo zakonske ureditve, od katere se odstopa“.
19Člen 12 Telemediengesetz (zakon o elektronskih medijih) z dne 26. februarja 2007 (BGBl. 2007 I, str. 179) v različici, ki se uporablja za spor o glavni stvari (v nadaljevanju: TMG), določa:
„(1) Ponudnik storitev lahko zaradi dajanja elektronskih medijev na voljo osebne podatke zbira in uporabi le, če ta zakon ali drug predpis, ki se izrecno nanaša na elektronske medije, to dopušča ali če je uporabnik v to privolil.
(2) Ponudnik storitev lahko osebne podatke, zbrane zaradi dajanja elektronskih medijev na voljo, uporabi za druge namene le, če ta zakon ali drug predpis, ki se izrecno nanaša na elektronske medije, to dopušča ali če je uporabnik v to privolil.
(3) Če ni določeno drugače, se uporabljajo veljavni predpisi o varstvu osebnih podatkov, tudi če ne gre za avtomatizirano obdelavo podatkov.“
20V skladu s členom 13(1) TMG mora ponudnik storitev uporabnika ob začetku uporabe v splošno razumljivi obliki obvestiti o načinu, obsegu in namenu zbiranja in uporabe osebnih podatkov, razen če je bilo tako obveščanje že opravljeno. V primeru avtomatiziranega procesa, ki omogoča poznejšo identifikacijo uporabnika in s katerim se ustvarijo pogoji za zbiranje ali uporabo osebnih podatkov, mora biti uporabnik obveščen pred začetkom tega procesa.
21V skladu s členom 15(3) TMG sme ponudnik storitev v primeru uporabe psevdonimov izdelovati uporabniške profile za namene oglaševanja, tržnih raziskav ali oblikovanja elektronskih medijev v skladu s potrebami, če uporabnik, potem ko je obveščen o svoji pravici do ugovora, temu ne ugovarja.
22V skladu z opredelitvijo v členu 3(1) Bundesdatenschutzgesetz (zvezni zakon o varstvu podatkov) z dne 20. decembra 1990 (BGBl. 1990 I, str. 2954) v različici, ki se uporablja za spor o glavni stvari (v nadaljevanju: BDSG), so „osebni podatki podatki o osebnih ali premoženjskih okoliščinah določene ali določljive fizične osebe (posameznik, na katerega se nanašajo osebni podatki)“.
23V skladu z opredelitvijo tega pojma v členu 3(3) BDSG je zbiranje pridobivanje podatkov o osebah, na katere se nanašajo osebni podatki.
24Člen 4a(1), prvi stavek, BDSG, s katerim je prenesen člen 2(h) Direktive 95/46, določa, da je privolitev veljavna le, če temelji na svobodni odločitvi zadevne osebe.
25Družba Planet49 je 24. septembra 2013 organizirala nagradno igro na spletnem mestu www.dein-macbook.de.
26Internetni uporabniki, ki so želeli sodelovati v tej igri, so morali sporočiti svojo poštno številko, pri čemer so bili preusmerjeni na spletno stran, na kateri so morali vpisati svoje ime in naslov. Pod polji za vnos naslova sta bili dve opombi s potrditvenima poljema. V prvi opombi, katere potrditveno polje (v nadaljevanju: prvo potrditveno polje) ni bilo vnaprej označeno, je bilo navedeno:
„Soglašam, da me nekateri sponzorji in partnerji po pošti, po telefonu, po elektronski pošti ali prek SMS-sporočil obveščajo o ponudbah s svojega področja dejavnosti . Določim jih lahko tukaj sam, sicer opravi izbiro organizator. Soglasje lahko kadar koli prekličem. Več informacij je na voljo tukaj .“
27V drugi opombi, katere potrditveno polje (v nadaljevanju: drugo potrditveno polje) je bilo vnaprej označeno, je bilo navedeno:
„Soglašam, da se pri meni uporabi orodje za analizo spletnih strani Remintrex. V skladu s tem bo organizator nagradne igre, družba [Planet49], po registraciji za nagradno igro namestil piškotke, ki družbi Planet49 omogočajo analizo mojih iskalnih in uporabniških navad na spletnih mestih oglaševalskih partnerjev ter s tem usmerjeno oglaševanje glede na zanimanje prek orodja Remintrex. Piškotke lahko kadar koli izbrišem. Več o tem lahko preberete tukaj.“
28Sodelovanje v nagradni igri je bilo mogoče le, če je bilo označeno vsaj prvo potrditveno polje.
29Elektronska povezava v opombi s prvim potrditvenim poljem, vsebovana pod navedbama „sponzorji in partnerji“ ter „tukaj“, je vodila na seznam, ki je vseboval 57 podjetij, njihove naslove, oglaševana področja dejavnosti in načine komunikacije, ki se uporabljajo za oglaševanje (elektronska pošta, pošta ali telefon). Za vsakim podjetjem je bila podčrtana beseda „odjava“. Pred seznamom je bil naslednji napotek:
„S klikom na povezavo ‚odjava‘ se odločim, da se navedenemu partnerju/sponzorju ne sme dati soglasje za oglaševanje. Če nisem podal odjave za nobenega od partnerjev/sponzorjev ali je nisem podal za zadostno število partnerjev/sponzorjev, družba Planet49 po prostem preudarku izbere partnerje/sponzorje zame (največ: 30 partnerjev/sponzorjev).“
30Ob kliku na elektronsko povezavo v besedi „tukaj“, vsebovani v opombi z drugim potrditvenim poljem, se je prikazala naslednja informacija:
„Nameščeni piškotki z imeni ceng_cache, ceng_etag, ceng_png in gcr so majhne datoteke, ki jih brskalnik, ki ga uporabljate, shrani na vaš trdi disk in na podlagi katerih se pridobivajo nekateri podatki, ki omogočajo uporabnikom prijaznejše in učinkovitejše oglaševanje. Piškotki vsebujejo določeno naključno ustvarjeno številko (ID), ki se sočasno dodeli vašim registracijskim podatkom. Če nato obiščete spletno stran oglaševalskega partnerja, ki je registriran za orodje Remintrex (podatek o tem najdete v izjavi o varstvu podatkov oglaševalskega partnerja), orodje Remintrex na podlagi elementa iFrames, ki ga vsebuje spletna stran, avtomatizirano zabeleži, da ste vi (oziroma uporabnik s shranjeno številko ID) obiskali stran, za kateri izdelek ste se zanimali in ali je prišlo do sklenitve pogodbe.
Zatem lahko družba [Planet49] na podlagi soglasja za oglaševanje, danega ob registraciji za nagradno igro, omogoči pošiljanje oglasne elektronske pošte, pri katerem se upošteva zanimanje, ki ste ga izkazali na spletnem mestu oglaševalskega partnerja. Po preklicu soglasja za oglaševanje seveda ne boste več prejemali oglasne elektronske pošte.
Informacije, prenesene z uporabo piškotkov, se bodo uporabljale izključno za oglaševanje, v katerem bodo predstavljeni izdelki oglaševalskih partnerjev. Informacije se zajemajo, shranjujejo in uporabljajo za vsakega oglaševalskega partnerja ločeno. V nobenem primeru se ne izdelujejo uporabniški profili za več oglaševalskih partnerjev. Posamezni oglaševalski partnerji ne prejmejo osebnih podatkov.
Če ne želite več uporabe piškotkov, jih lahko s svojim brskalnikom kadar koli izbrišete. Navodila najdete v funkciji [‚pomoč‘] svojega brskalnika.
Zaradi piškotkov se ne morejo izvajati programi ali prenašati virusi.
Seveda imate možnost, da to soglasje kadar koli prekličete. Preklic lahko pisno pošljete družbi [Planet49] [naslov]. Vendar pa zadošča tudi elektronsko sporočilo, ki ga pošljete naši službi za pomoč strankam [naslov elektronske pošte].“
31Iz predložitvene odločbe je razvidno, da so piškotki datoteke, ki jih ponudnik spletnega mesta shrani na računalniku uporabnika tega mesta in do katerih lahko ta ponudnik, ko uporabnik naslednjič obišče to spletno mesto, ponovno dostopa, da bi olajšal navigacijo po internetu ali transakcije oziroma da bi pridobil informacije o uporabnikovemu vedenju.
32Zvezno združenje, ki je v skladu s členom 4 Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (zakon o opustitvenih tožbah v zvezi s pravicami potrošnikov in drugimi kršitvami) z dne 26. novembra 2001 (BGBl. 2001 I, str. 3138) vpisano na seznam kvalificiranih subjektov, je v okviru neuspešnega opomina trdilo, da izjave o soglasju, ki jih družba Planet49 zahteva s prvim in drugim potrditvenim poljem, ne izpolnjujejo pogojev, ki se zahtevajo s povezanimi določbami člena 307 BGB, člena 7(2)(2) Gesetz gegen den unlauteren Wettbewerb (zakon o preprečevanju nelojalne konkurence) z dne 3. julija 2004 (BGBl. 2004 I, str. 1414) v različici, ki se uporablja za spor o glavni stvari, ter člena 12 in naslednjih TMG.
33Zvezno združenje je pri Landgericht Frankfurt am Main (deželno sodišče v Frankfurtu na Majni, Nemčija) vložilo tožbo, s katero je v bistvu predlagalo, naj družba Planet49 preneha zahtevati take izjave o soglasju in naj se tej družbi naloži, naj mu plača znesek 214 EUR skupaj z obrestmi od 15. marca 2014.
34Landgericht Frankfurt am Main (deželno sodišče v Frankfurtu na Majni) je tej tožbi delno ugodilo.
35V okviru pritožbe, ki jo je družba Planet49 vložila pri Oberlandesgericht Frankfurt am Main (višje deželno sodišče v Frankfurtu na Majni, Nemčija), je to sodišče presodilo, da predlog zveznega združenja, naj družba Planet49 v pogodbe o nagradnih igrah, sklenjene s potrošniki, preneha vključevati opombo, kot je navedena v točki 27 te sodbe, katere drugo potrditveno polje je vnaprej označeno, ni utemeljen, ker je bil uporabnik na eni strani seznanjen z možnostjo odstranitve oznake iz tega potrditvenega polja in ker je na drugi strani ta opomba tipografsko dovolj jasno oblikovana, da so podane informacije o načinih uporabe piškotkov, ne da bi bilo treba razkriti identiteto tretjih oseb, ki bi lahko imele dostop do zbranih informacij.
36Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija), pri katerem je zvezno združenje vložilo revizijo, ugotavlja, da je izid spora o glavni stvari odvisen od razlage povezanih določb člena 5(3) in člena 2(f) Direktive 2002/58, člena 2(h) Direktive 95/46 ter člena 6(1)(a) Uredbe 2016/679.
37Ker Bundesgerichtshof (zvezno vrhovno sodišče) dvomi o veljavnosti tega, da družba Planet49 privolitev od uporabnikov spletnega mesta www.dein‑macbook.de pridobiva z drugim potrditvenim poljem, in o obsegu obveznosti obveščanja iz člena 5(3) Direktive 2002/58 glede na navedene določbe, je prekinilo odločanje in Sodišču predložilo ti vprašanji:
„1.
38Najprej je treba preučiti možnost uporabe Direktive 95/46 in Uredbe 2016/679 za dejansko stanje iz postopka v glavni stvari.
39Direktiva 95/46 je bila z učinkom od 25. maja 2018 razveljavljena in nadomeščena z Uredbo 2016/679, in sicer na podlagi člena 94(1) te uredbe.
40Ta datum je sicer poznejši od datuma zadnje obravnave pred predložitvenim sodiščem z dne 14. julija 2017 in od datuma, na katerega je navedeno predložitveno sodišče pri Sodišču vložilo predlog za sprejetje predhodne odločbe.
41Vendar je predložitveno sodišče navedlo, da je ob upoštevanju začetka veljavnosti Uredbe 2016/679 25. maja 2018, na katerega se tudi nanaša del prvega vprašanja, verjetno, da je treba to uredbo upoštevati pri odločanju o sporu o glavni stvari. Poleg tega, kot je nemška vlada navedla na obravnavi pred Sodiščem, ni izključeno, da se, ker je namen postopka, ki ga je začelo zvezno združenje, doseči prenehanje ravnanja družbe Planet49 v prihodnosti, Uredba 2016/679 v okviru spora o glavni stvari ratione temporis uporablja zaradi nacionalne sodne prakse v zvezi z upoštevnim pravnim položajem pri opustitvenih tožbah, kar mora preveriti predložitveno sodišče (v zvezi z ugotovitveno tožbo glej sodbo z dne 16. januarja 2019, Deutsche Post, C‑496/17 , EU:C:2019:26 , točka 38 ).
42V teh okoliščinah in ob upoštevanju, da se na podlagi člena 94(2) Uredbe 2016/679 sklicevanja na Direktivo 95/46 v Direktivi 2002/58 štejejo za sklicevanja na navedeno uredbo, v obravnavanem primeru ni izključeno, da se Direktiva 2002/58 uporablja bodisi skupaj z Direktivo 95/46 bodisi z Uredbo 2016/679, in sicer glede na naravo zahtevkov zveznega združenja in glede na zadevno obdobje.
43Na postavljena vprašanja je treba torej odgovoriti tako glede na Direktivo 95/46 kot tudi glede na Uredbo 2016/679.
Prvo vprašanje, točki (a) in (c)
44Predložitveno sodišče s prvim vprašanjem, točki (a) in (c), v bistvu sprašuje, ali je treba člen 2(f) in člen 5(3) Direktive 2002/58 v povezavi s členom 2(h) Direktive 95/46 in členom 6(1)(a) Uredbe 2016/679 razlagati tako, da gre za veljavno privolitev iz teh določb, če se shranjevanje podatkov ali dostop do podatkov, shranjenih v terminalski opremi uporabnika spletnega mesta, z uporabo piškotkov dovoli z vnaprej označenim potrditvenim poljem, ki ga mora uporabnik, da svojo privolitev zavrne, odznačiti.
45Najprej je treba pojasniti, da glede na navedbe v predložitveni odločbi piškotki, ki se lahko namestijo v terminalsko opremo uporabnika, ki sodeluje v nagradni igri, ki jo organizira družba Planet49, vsebujejo številko, ki se dodeli registracijskim podatkom tega uporabnika, ki mora v obrazec za sodelovanje v tej nagradni igri vpisati svoje ime in naslov. Predložitveno sodišče dodaja, da povezava te številke in teh podatkov individualizira podatke, ki se shranijo s piškotki, ko je uporabnik na spletu, zaradi česar zbiranje teh podatkov s piškotki pomeni obdelavo osebnih podatkov. Družba Planet49, ki je v pisnih stališčih poudarila, da je privolitev, ki ustreza drugemu potrditvenemu polju, namenjena dovolitvi zbiranja in obdelave osebnih podatkov, in ne anonimiziranih podatkov, je te navedbe potrdila.
46Po tem pojasnilu je treba navesti, da v skladu s členom 5(3) Direktive 2002/58 države članice zagotovijo, da je shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi uporabnika, dovoljeno samo pod pogojem, da je zadevni uporabnik v to privolil po tem, ko je bil jasno in izčrpno obveščen v skladu z Direktivo 95/46, med drugim o namenih obdelave.
47V zvezi s tem je treba najprej poudariti, da tako iz zahtev po enotni uporabi prava Unije kakor iz načela enakosti izhaja, da je treba besedilo določbe prava Unije, ki se za opredelitev svojega pomena in obsega ne sklicuje izrecno na pravo držav članic, navadno razlagati avtonomno in enotno v celotni Uniji (sodbi z dne 26. marca 2019, SM (Otrok, postavljen pod alžirsko ureditev kafala), C‑129/18 , EU:C:2019:248 , točka 50 , in z dne 11. aprila 2019, Tarola, C‑483/17 , EU:C:2019:309 , točka 36 ).
48Poleg tega je treba v skladu z ustaljeno sodno prakso Sodišča pri razlagi določbe prava Unije upoštevati ne le njeno besedilo in cilje, ki se z njo uresničujejo, ampak tudi njeno sobesedilo in celoto določb prava Unije. Tudi zgodovina nastanka določbe prava Unije lahko vsebuje elemente, ki so upoštevni za njeno razlago (sodba z dne 10. decembra 2018, Wightman in drugi, C‑621/18 , EU:C:2018:999 , točka 47 in navedena sodna praksa).
49V zvezi z besedilom člena 5(3) Direktive 2002/58 je treba navesti, da ta določba, čeprav izrecno določa, da mora uporabnik „privoliti“ v namestitev in dostop do piškotkov v svoji terminalski opremi, ne vsebuje napotkov glede načina, na katerega mora biti ta privolitev podana. Za pojem „privolil“ pa je primerna jezikovna razlaga, v skladu s katero je potrebno dejanje uporabnika, da izrazi svojo privolitev. V zvezi s tem je iz uvodne izjave 17 Direktive 2002/58 razvidno, da se lahko privolitev za namene te direktive da na kateri koli primeren način, ki uporabniku omogoča, da svoje želje navede svobodno, izrecno in ozaveščeno, med drugim „tako, da pri obisku internetne spletne strani [internetnega spletnega mesta] označi rubriko [polje] s kljukico“.
50V zvezi s sobesedilom člena 5(3) Direktive 2002/58 je treba poudariti, da člen 2(f) te direktive, ki opredeljuje pojem „privolitev“ v smislu navedene direktive, v zvezi s tem napotuje na pojem „privolitev posameznika, na katerega se nanašajo osebni podatki“ iz Direktive 95/46. V uvodni izjavi 17 Direktive 2002/58 je pojasnjeno, da bi morala imeti privolitev uporabnika za namene te direktive enak pomen kot privolitev posameznika, na katerega se nanašajo osebni podatki, kakor je opredeljena in podrobneje opisana v Direktivi 95/46.
51V členu 2(h) te direktive je „privolitev posameznika, na katerega se nanašajo osebni podatki“, opredeljena kot „vsak[a] prostovoljno dan[a] posebn[a] in informiran[a] izjav[a] volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo“.
52Kot je generalni pravobranilec poudaril v točki 60 sklepnih predlogov, zahteva po tem, da posameznik, na katerega se nanašajo osebni podatki, „izjavi“ voljo, jasno kaže na aktivno, ne pa pasivno ravnanje. Privolitev, dana z vnaprej označenim potrditvenim poljem, pa ne zajema aktivnega ravnanja uporabnika spletnega mesta.
53To razlago potrjuje člen 7 Direktive 95/46, ki določa izčrpen seznam primerov, v katerih je mogoče obdelavo osebnih podatkov šteti za zakonito (glej v tem smislu sodbi z dne 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 in C‑469/10 , EU:C:2011:777 , točka 30 , ter z dne 19. oktobra 2016, Breyer, C‑582/14 , EU:C:2016:779 , točka 57 ).
54Natančneje, člen 7(a) Direktive 95/46 določa, da lahko zaradi privolitve posameznika, na katerega se nanašajo osebni podatki, obdelava postane zakonita le, če je to privolitev „nedvoumno“ dal ta posameznik. To zahtevo pa je mogoče izpolniti le z aktivnim ravnanjem te osebe, katerega namen je izjava privolitve.
55V zvezi s tem je praktično nemogoče objektivno ugotoviti, ali je uporabnik spletnega mesta s tem, da ni odznačil potrditvenega polja, ki je vnaprej označeno, dejansko dal privolitev v obdelavo svojih osebnih podatkov in, vsekakor, ali je bila ta privolitev dana informirano. Ni namreč mogoče izključiti, da navedeni uporabnik pred nadaljevanjem svoje dejavnosti na obiskanem spletnem mestu ni prebral informacije poleg vnaprej označenega potrditvenega polja ali celo da tega potrditvenega polja ni opazil.
56Nazadnje, v zvezi z zgodovino nastanka člena 5(3) Direktive 2002/58 je treba ugotoviti, da je bila v prvotni različici te določbe določena samo zahteva, da se uporabniku zagotovi „pravica do zavrnitve“ namestitve piškotkov, potem ko je bil v skladu z Direktivo 95/46 jasno in izčrpno obveščen med drugim o namenih obdelave. Z Direktivo 2009/136 je bila uvedena vsebinska sprememba besedila te določbe, pri čemer je bil ta pojem zamenjan s pojmom „privolil“. Iz zgodovine nastanka člena 5(3) Direktive 2002/58 je tako razvidno, da se privolitev uporabnika ne more več predpostavljati in da mora izhajati iz njegovega aktivnega ravnanja.
57Glede na navedene elemente ne gre za veljavno privolitev iz člena 2(f) in člena 5(3) Direktive 2002/58 v povezavi s členom 2(h) Direktive 95/46, če se shranjevanje podatkov ali dostop do podatkov, shranjenih v terminalski opremi uporabnika spletnega mesta, dovoli s potrditvenim poljem, ki ga je vnaprej označil ponudnik storitve in ki bi ga moral uporabnik, da zavrne svojo privolitev, odznačiti.
58Dodati je treba, da mora biti izjava volje iz člena 2(h) Direktive 95/46 med drugim „posebna“ v smislu, da se mora nanašati prav na obdelavo zadevnih podatkov in je ni mogoče izpeljati iz izjave volje, ki ima drug cilj.
59V obravnavanem primeru v nasprotju s trditvami družbe Planet49 to, da je uporabnik kliknil na gumb za sodelovanje v nagradni igri, ki jo je organizirala ta družba, zato ne more zadostovati za to, da bi se štelo, da je uporabnik veljavno privolil v namestitev piškotkov.
60Navedena razlaga je še toliko nujnejša ob upoštevanju Uredbe 2016/679.
61Kot je generalni pravobranilec v bistvu ugotovil v točki 70 sklepnih predlogov, je namreč besedilo člena 4, točka 11, Uredbe 2016/679, ki opredeljuje „privolitev posameznika, na katerega se nanašajo osebni podatki“, za namene te uredbe, zlasti njenega člena 6(1)(a), na katerega se nanaša prvo vprašanje, točka (c), očitno še strožje od besedila člena 2(h) Direktive 95/46, saj zahteva „prostovoljno, izrecno, informirano in nedvoumno“ izjavo volje posameznika, na katerega se nanašajo osebni podatki, v obliki izjave ali „jasnega pritrdilnega dejanja“, ki izraža soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj.
62Tako je zdaj z Uredbo 2016/679 izrecno določena aktivna privolitev. V zvezi s tem je treba poudariti, da je v uvodni izjavi 32 te uredbe navedeno, da se lahko privolitev med drugim izjavi z označitvijo okenca ob obisku spletnega mesta. V navedeni uvodni izjavi pa je izrecno izključen obstoj privolitve v primeru „molka, vnaprej označenega okenca ali nedejavnosti“.
63Iz tega izhaja, da ne gre za veljavno privolitev iz člena 2(f) in člena 5(3) Direktive 2002/58 v povezavi s členom 4, točka 11, in členom 6(1)(a) Uredbe 2016/679, če se shranjevanje podatkov ali dostop do podatkov, shranjenih v terminalski opremi uporabnika spletnega mesta, dovoli z vnaprej označenim potrditvenim poljem, ki ga mora uporabnik, da svojo privolitev zavrne, odznačiti.
64Nazadnje je treba poudariti, da predložitveno sodišče Sodišču ni predložilo vprašanja, ali je okoliščina, da je privolitev uporabnika v obdelavo njegovih osebnih podatkov za oglaševalske namene pogoj za možnost tega uporabnika, da sodeluje v nagradni igri, kot se zdi, da je – glede na navedbe v predložitveni odločbi v obravnavanem primeru – tako vsaj v zvezi s prvim potrditvenim poljem, združljiva z zahtevo po „prostovoljni“ privolitvi v smislu člena 2(h) Direktive 95/46 ter člena 4, točka 11, in člena 7(4) Uredbe 2016/679. V teh okoliščinah Sodišču tega vprašanja ni treba preučiti.
65Glede na vse navedene preudarke je treba na prvo vprašanje, točki (a) in (c), odgovoriti, da je treba člen 2(f) in člen 5(3) Direktive 2002/58 v povezavi s členom 2(h) Direktive 95/46 ter členom 4, točka 11, in členom 6(1)(a) Uredbe 2016/679 razlagati tako, da ne gre za veljavno privolitev iz teh določb, če se shranjevanje podatkov ali dostop do podatkov, shranjenih v terminalski opremi uporabnika spletnega mesta, z uporabo piškotkov dovoli z vnaprej označenim potrditvenim poljem, ki ga mora ta uporabnik, da svojo privolitev zavrne, odznačiti.
Prvo vprašanje, točka (b)
66Predložitveno sodišče želi s prvim vprašanjem, točka (b), v bistvu izvedeti, ali je treba člen 2(f) in člen 5(3) Direktive 2002/58 v povezavi s členom 2(h) Direktive 95/46 ter členom 4, točka 11, in členom 6(1)(a) Uredbe 2016/679 razlagati različno, kadar so podatki, shranjeni v terminalski opremi uporabnika spletnega mesta ali iz nje priklicani, osebni podatki v smislu Direktive 95/46 in Uredbe 2016/679 ter kadar to niso.
67Kot je bilo navedeno v točki 45 te sodbe, je iz predložitvene odločbe razvidno, da gre pri namestitvi piškotkov iz postopka v glavni za obdelavo osebnih podatkov.
68Po tem pojasnilu je treba vsekakor ugotoviti, da se člen 5(3) Direktive 2002/58 sklicuje na „shranjevanje podatkov“ in „pridobivanje dostopa do [shranjenih] podatkov“, ne da bi bili ti podatki v njem opredeljeni ali da bi bilo pojasnjeno, da bi morali ti podatki biti osebni podatki.
69Kot je generalni pravobranilec ugotovil v točki 107 sklepnih predlogov, je tako namen te določbe varstvo uporabnika pred katerim koli poseganjem v njegovo zasebnost, ne glede na to, ali se to poseganje nanaša na osebne ali druge podatke.
70To razlago potrjuje uvodna izjava 24 Direktive 2002/58, v skladu s katero je vsak podatek, shranjen v terminalni opremi uporabnikov omrežij elektronskih komunikacij, del zasebnega področja uporabnikov, ki zahteva varstvo v skladu z Evropsko konvencijo o varstvu človekovih pravic in temeljnih svoboščin. To varstvo velja za vse podatke, shranjene v tej terminalni opremi, ne glede na to, ali gre za osebne podatke, in njegov namen je, kot je razvidno iz iste uvodne izjave, varstvo uporabnikov pred nevarnostjo vdorov skritih identifikatorjev ali drugih podobnih naprav v terminalno opremo teh uporabnikov brez njihove vednosti.
71Glede na zgornje preudarke je treba na prvo vprašanje, točka (b), odgovoriti, da se člen 2(f) in člen 5(3) Direktive 2002/58 v povezavi s členom 2(h) Direktive 95/46 ter členom 4, točka 11, in členom 6(1)(a) Uredbe 2016/679 ne razlagata različno, kadar so podatki, shranjeni v terminalski opremi uporabnika spletnega mesta ali iz nje priklicani, osebni podatki v smislu Direktive 95/46 in Uredbe 2016/679 ter kadar to niso.
72Predložitveno sodišče z drugim vprašanjem v bistvu sprašuje, ali je treba člen 5(3) Direktive 2002/58 razlagati tako, da informacije, ki jih mora ponudnik storitev zagotoviti uporabniku spletnega mesta, zajemajo trajanje delovanja piškotkov in možnost oziroma nemožnost tretjih oseb, da dostopajo do teh piškotkov.
73Kot je razvidno že iz točke 46 te sodbe, člen 5(3) Direktive 2002/58 zahteva, da je uporabnik podal privolitev po tem, ko je bil „v skladu z Direktivo [95/46]“ jasno in izčrpno obveščen med drugim o namenih obdelave.
74Kot je generalni pravobranilec poudaril v točki 115 sklepnih predlogov, mora jasna in izčrpna obvestitev uporabniku omogočiti, da z lahkoto ugotovi posledice morebitne dane privolitve, in zagotoviti, da je ta privolitev dana ob popolni seznanjenosti z dejstvi. Ta obvestitev mora biti jasno razumljiva in dovolj podrobna, da lahko uporabnik razume delovanje uporabljenih piškotkov.
75V položaju, kakršen je ta v postopku v glavni stvari, v katerem je glede na navedbe v spisu, predloženem Sodišču, namen piškotkov zbiranje podatkov – za namene oglaševanja – glede izdelkov partnerjev organizatorja nagradne igre, sta trajanje delovanja piškotkov in možnost oziroma nemožnost tretjih oseb, da dostopajo do teh piškotkov, del jasne in izčrpne obvestitve, ki mora biti zagotovljena uporabniku v skladu s členom 5(3) Direktive 2002/58.
76V zvezi s tem je treba navesti, da člen 10 Direktive 95/46, na katerega se sklicujeta člen 5(3) Direktive 2002/58 in člen 13 Uredbe 2016/679, določa informacije, ki jih mora upravljavec obdelave zagotoviti posamezniku, od katerega se podatki v zvezi z njim zbirajo.
77Te informacije v skladu s členom 10 Direktive 95/46 med drugim poleg istovetnosti upravljavca in namenov obdelave podatkov zajemajo vse nadaljnje informacije, kot so na primer prejemniki ali vrste prejemnikov podatkov, kolikor so ob upoštevanju posebnih okoliščin, v katerih se podatki zbirajo, take nadaljnje informacije potrebne za zagotovitev poštene obdelave glede na posameznika, na katerega se osebni podatki nanašajo.
78Čeprav trajanja obdelave podatkov ni med temi informacijami, iz pojma „vsaj“ iz člena 10 Direktive 95/46 izhaja, da te informacije niso naštete taksativno. Za informacijo o trajanju delovanja piškotkov pa je treba šteti, da izpolnjuje zahtevo po pošteni obdelavi podatkov, ki je določena z navedenim členom, ker v položaju, kakršen je ta v postopku v glavni stvari, dolgotrajno ali celo neomejeno obdobje zajema zbiranje številnih informacij o navadah brskanja in pogostosti morebitnih obiskov uporabnika na spletnih mestih oglaševalskih partnerjev organizatorja nagradne igre.
79To razlago potrjuje člen 13(2)(a) Uredbe 2016/679, ki določa, da mora upravljavec obdelave posamezniku, na katerega se nanašajo osebni podatki, da bi zagotovil pošteno in pregledno obdelavo, med drugim zagotoviti informacijo o obdobju hrambe osebnih podatkov ali, kadar to ni mogoče, o merilih, ki se uporabijo za določitev tega obdobja.
80Možnost oziroma nemožnost tretjih oseb, da dostopajo do piškotkov, pa je informacija, ki je zajeta z informacijami, navedenimi v členu 10(c) Direktive 95/46 in členu 13(1)(e) Uredbe 2016/679, saj so v teh določbah izrecno navedeni prejemniki oziroma vrste prejemnikov podatkov.
81Glede na zgornje preudarke je treba na drugo vprašanje odgovoriti, da je treba člen 5(3) Direktive 2002/58 razlagati tako, da informacije, ki jih mora ponudnik storitev zagotoviti uporabniku spletnega mesta, zajemajo trajanje delovanja piškotkov in možnost oziroma nemožnost tretjih oseb, da dostopajo do teh piškotkov.
82Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (veliki senat) razsodilo:
Podpisi
(*1) Jezik postopka: nemščina.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.