den 1 oktober 2019 (*1)
”Begäran om förhandsavgörande – Direktiv 95/46/EG – Direktiv 2002/58/EG – Förordning (EU) 2016/679 – Behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation – Kakor ( cookies ) – Begreppet den registrerades samtycke – Förklaring om samtycke genom en på förhand ikryssad ruta”
I mål C‑673/17,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Bundesgerichtshof (Federala högsta domstolen, Tyskland) genom beslut av den 5 oktober 2017, som inkom till domstolen den 30 november 2017, i målet
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
mot
Planet49 GmbH,
meddelar
DOMSTOLEN (stora avdelningen)
sammansatt av ordföranden K. Lenaerts, vice ordföranden R. Silva de Lapuerta, avdelningsordförandena J.–C. Bonichot, M. Vilaras, T. von Danwitz, C. Toader, F. Biltgen, K. Jürimäe och C. Lycourgos samt domarna A. Rosas (referent), L. Bay Larsen, M. Safjan och S. Rodin,
generaladvokat: M. Szpunar,
justitiesekreterare: enhetschefen D. Dittert,
efter det skriftliga förfarandet och förhandlingen den 13 november 2018,
med beaktande av de yttranden som avgetts av:
och efter att den 21 mars 2019 ha hört generaladvokatens förslag till avgörande,
följande
1Begäran om förhandsavgörande avser tolkningen av artikel 2 f och artikel 5.3 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) ( EGT L 201, 2002, s. 37 ), i dess lydelse enligt Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 ( EUT L 337, 2009, s. 11 ) (nedan kallat direktiv 2002/58), jämförda med artikel 2 h i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( EGT L 281, 1995, s. 31 ), samt av artikel 6.1 a i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46 (allmän dataskyddsförordning) ( EUT L 119, 2016, s. 1 ).
2Begäran har framställts i ett mål mellan Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (sammanslutningen av konsumentskyddsorganisationer och konsumentförbund – sammanslutningen av konsumentorganisationer, Tyskland) (nedan kallad Bundesverband) och Planet49 GmbH, ett bolag som erbjuder onlinespel. Målet rör det samtycke som deltagare lämnade, i samband med en pristävling som anordnas av bolaget, till överföring av deras personuppgifter till bolagets sponsorer och samarbetspartners, samt till lagring av information och tillgång till information som lagrats i dessa användares terminalutrustning.
Tillämpliga bestämmelser
3Artikel 1 i direktiv 95/46 har följande lydelse:
”1. Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.
2Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet.”
4I artikel 2 i direktivet anges följande:
”I detta direktiv avses med
…
5I artikel 7 i direktivet föreskrivs följande:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
…”
6I artikel 10 i direktivet anges följande:
”Medlemsstaterna skall föreskriva att den registeransvarige eller hans företrädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till informationen:
i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling.”
7I skälen 17 och 24 i direktiv 2002/58 anges följande:
”(17)
I detta direktiv bör en användares eller abonnents samtycke, oavsett om den senare är en fysisk eller juridisk person, ha samma betydelse som den registrerades samtycke enligt vad som definieras och i övrigt fastställs i direktiv [95/46]. Samtycke kan ges i varje lämplig form som gör det möjligt att frivilligt lämna särskilda och informerade uppgifter om användarens önskemål, däribland genom markeringar i en ruta vid besök på en webbplats.
…
8Artikel 1 i direktiv 2002/58 har följande lydelse:
”1. Genom detta direktiv möjliggörs en harmonisering av nationella bestämmelser för att säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, särskilt rätten till integritet och konfidentialitet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation, samt för att säkerställa fri rörlighet för sådana uppgifter samt för utrustning och tjänster avseende elektronisk kommunikation inom [Europeiska unionen].
2Bestämmelserna i detta direktiv skall precisera och komplettera direktiv [95/46] för de ändamål som avses i punkt 1. …”
9I artikel 2 i direktivet anges följande:
”Om inte annat anges skall definitionerna i Europaparlamentets och rådets direktiv [95/46] och 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv)[ EGT L 108, 2002, s. 33 ] gälla i detta direktiv.
Dessutom skall följande definitioner gälla:
…
…”
10I artikel 5.3 i direktivet föreskrivs följande:
”Medlemsstaterna ska se till att lagring av information eller tillgång till information som redan är lagrad i en abonnents eller användares terminalutrustning endast är tillåten på villkor att abonnenten eller användaren i fråga har gett sitt samtycke efter att ha fått tillgång till tydlig och fullständig information, i enlighet med direktiv [95/46], bland annat om ändamålen med behandlingen av uppgifterna. Detta får inte förhindra någon teknisk lagring eller åtkomst som endast sker för att utföra överföringen av en kommunikation via ett elektroniskt kommunikationsnät eller det som är absolut nödvändigt för att leverantören ska kunna tillhandahålla en av informationssamhällets tjänster som användaren eller abonnenten uttryckligen har begärt.”
11I skäl 32 i förordning 2016/679 anges följande:
”Samtycke bör lämnas genom en entydig bekräftande handling som innebär ett frivilligt, specifikt, informerat och otvetydigt medgivande från den registrerades sida om att denne godkänner behandling av personuppgifter rörande honom eller henne, som t.ex. genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Detta kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den registrerade godtar den avsedda behandlingen av sina personuppgifter. Tystnad, på förhand ikryssade rutor eller inaktivitet bör därför inte utgöra samtycke. Samtycket bör gälla all behandling som utförs för samma ändamål. Om behandlingen tjänar flera olika syften, bör samtycke ges för samtliga syften. Om den registrerade ska lämna sitt samtycke efter en elektronisk begäran, måste denna vara tydlig och koncis och får inte onödigtvis störa användningen av den tjänst som den avser.”
12Artikel 4 i denna förordning har följande lydelse:
”I denna förordning avses med
…
…”
13I artikel 6 i nämnda förordning föreskrivs följande:
”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
…”
14Artikel 7.4 i samma förordning har följande lydelse:
”Vid bedömning av huruvida samtycke är frivilligt ska största hänsyn bland annat tas till huruvida genomförandet av ett avtal, inbegripet tillhandahållandet av en tjänst, har gjorts beroende av samtycke till sådan behandling av personuppgifter som inte är nödvändig för genomförandet av det avtalet.”
15I artikel 13.1 och 13.2 i förordning 2016/679 föreskrivs följande:
”1. Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:
…
…
2Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige vid insamlingen av personuppgifterna lämna den registrerade följande ytterligare information, vilken krävs för att säkerställa rättvis och transparent behandling:
…”
16Artikel 94 i denna förordning har följande lydelse:
”1. Direktiv [95/46] ska upphöra att gälla med verkan från och med den 25 maj 2018.
2Hänvisningar till det upphävda direktivet ska anses som hänvisningar till denna förordning. Hänvisningar till arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter, som inrättades genom artikel 29 i direktiv [95/46], ska anses som hänvisningar till Europeiska dataskyddsstyrelsen, som inrättas genom denna förordning.”
17Enligt 307 § stycke 1 första meningen i Bürgerliches Gesetzbuch (civillagen, nedan kallad BGB) ”saknar bestämmelser i allmänna avtalsvillkor verkan om de oskäligt missgynnar användarens avtalspart på ett sätt som strider mot tro och heder”.
18I 307 § stycke 2 led 1 BGB föreskrivs att vid tvivel ”ska en bestämmelse anses missgynna en avtalspart på ett oskäligt sätt när bestämmelsen strider mot den grundläggande målsättningen med den lagstiftning som bestämmelsen avviker från”.
19I 12 § Telemediengesetz (lagen om elektronisk media) av den 26 februari 2007 (BGBI. 2007 I, s. 179), i den lydelse som är tillämplig i det nationella målet (nedan kallad TMG), föreskrivs följande:
”1. Tjänsteleverantören får samla in och behandla personuppgifter för att tillhandahålla elektroniska informations- eller kommunikationstjänster endast om detta är tillåtet enligt denna lag eller annan föreskrift som uttryckligen avser sådana tjänster, eller om användaren har gett sitt samtycke.
2Tjänsteleverantören får använda personuppgifter som samlats in för att tillhandahålla elektroniska informations- eller kommunikationstjänster för andra syften endast om det är tillåtet enligt denna lag eller annan föreskrift som uttryckligen avser sådana tjänster, eller om användaren har gett sitt samtycke.
3Om inte annat föreskrivs ska gällande bestämmelser om skydd för personuppgifter tillämpas även när uppgifterna inte behandlas automatiskt.”
20Enligt 13 § stycke 1 TMB ska tjänsteleverantören när användningen inleds på ett lättbegripligt sätt informera användaren om arten och omfattningen av och syftet med insamlingen och användningen av personuppgifter, om sådan information inte redan har lämnats. Om processen sker automatiskt och möjliggör senare identifiering av användaren samt inhämtande och användning av personuppgifter ska användaren informeras vid processens början.
21Enligt 15 § stycke 3 TMG får tjänsteleverantören, genom pseudonymer, upprätta användarprofiler för reklam, marknadsundersökningar eller behovsanpassad utformning av elektroniska informations- och kommunikationstjänster, om användaren inte motsätter sig detta efter att ha blivit informerad om sin rätt att göra invändningar.
22Enligt 3 § stycke 1 i Bundesdatenschutzgesetz (federala dataskyddslagen) av den 20 december 1990 (BGB1. 1990 I, s. 2954), i den lydelse som är tillämplig i det nationella målet (nedan kallad BDSG), avses med ”personuppgifter enskilda uppgifter om en definierad eller definierbar fysisk persons (den registrerades) personliga eller materiella förhållanden”.
23Enligt definitionen i 3 § stycke 3 BDSG avses med begreppet insamling anskaffning av uppgifter om den registrerade.
24I 4a § stycke 1 första meningen BDSG, som införlivar artikel 2 h i direktiv 95/46, föreskrivs att samtycket bara har verkan om det är baserat på den registrerades frivilliga beslut.
25Den 24 september 2013 anordnade Planet49 en pristävling i reklamsyfte på webbplatsen www.dein-macbook.de.
26De internetanvändare som önskade delta i denna tävling behövde lämna sina postnummer, vilket omdirigerade dem till en webbplats där de behövde uppge namn och adressuppgifter. Under adressfälten fanns två texter med tillhörande kryssrutor. Den första texten, där rutan (nedan kallad den första kryssrutan) inte var ikryssad på förhand, hade följande lydelse:
”Jag samtycker till att sponsorer och samarbetspartners informerar mig per post eller telefon eller via e-post/sms om erbjudanden från sina respektive affärsområden . Dessa kan jag själv bestämma här. I annat fall väljer arrangören. Jag kan när som helst ta tillbaka mitt samtycke. Ytterligare information finns här .”
27Den andra texten, där rutan (nedan kallad den andra kryssrutan) var ikryssad på förhand, hade följande lydelse:
”Jag samtycker till att webbanalystjänsten Remintrex används för mig. Det får till följd att tävlingsarrangören, [Planet49], använder kakor (cookies) när jag har anmält mig till tävlingen, vilket gör det möjligt för Planet49 att utvärdera mitt surf- och användningsbeteende på reklampartners webbplatser och därmed möjliggör riktad reklam från Remintrex. Jag kan när som helt ta bort kakorna igen. Mer information finns här .”
28Det var endast möjligt att delta i pristävlingen om åtminstone den första kryssrutan hade kryssats i.
29Den elektroniska länken ”sponsorer och samarbetspartners” och ”här” i den texten som tillhörde den första kryssrutan ledde till en förteckning med 57 företag, deras adresser, det affärsområde som reklamen skulle avse och det kommunikationssätt som skulle användas för reklamen (e-post, brev eller telefon). Efter namnet på varje företag fanns det understrukna ordet ”avanmälan”. Före förteckningen fanns följande text:
”Genom att klicka på länken ’avanmälan’ bestämmer jag att nämnda partner/sponsor inte får ges samtycke till reklam. Om jag inte har avregistrerat någon partner/sponsor eller inte avregistrerat tillräckligt många väljer Planet49 partner/sponsorer åt mig efter eget gottfinnande (högsta 30 partner/sponsorer).”
30Genom att följa den elektroniska länken ”här” i den texten som tillhörde den andra kryssrutan, kom följande uppgifter upp:
”Kakorna med namnen ceng_cache, ceng_etag, ceng_png och gcr är små filer som lagras på din hårddisk av den webbläsare som du använder och genom vilka viss information lämnas som möjliggör en mer användarvänlig och effektiv reklam. Kakorna innehåller ett bestämt slumpgenererat nummer (ett id) som samtidigt är kopplat till dina registreringsuppgifter. Om du därefter besöker en webbplats tillhörande en reklampartner som är registrerad för Remintrex (huruvida det finns en registrering framgår av reklampartnerns förklaring om uppgiftsskydd) registrerar Remintrex automatiskt genom en inbäddad iFrame att du (eller användaren med det lagrade id:t) har besökt sidan, vilken produkt du är intresserad av och huruvida ett avtal har ingåtts.
Därefter kan [Planet49] på grundval av det samtycke till reklam som du gav när du registrerade dig för tävlingen skicka reklampost till dig i vilka hänsyn tas till de intressen som du visat på reklampartnerns webbplats. När du har återkallat ditt samtycke till reklam får du naturligtvis ingen reklammejl längre.
Den information som överförs genom kakorna används uteslutande för reklam i vilken reklampartnerns produkter presenteras. Informationen samlas in, lagras och används separat för varje reklampartner. Reklampartnerövergripande användarprofiler skapas inte under några omständigheter. De enskilda reklampartnerna får inga personuppgifter.
Om du inte längre har intresse av att kakorna används kan du när som helst ta bort dem via din webbläsare. Det finns en anvisning i webbläsarens [hjälpfunktion].
Inga program kan exekveras genom kakorna och virus kan inte överföras via dem.
Du kan naturligtvis när som helst återkalla detta samtycke. Du kan återkalla skriftligen till [Planet49] [adress], men det räcker också att skicka ett e-postmeddelande till vår kundtjänst [e-postadress].”
31Det framgår av begäran om förhandsavgörande att kakor ( cookies ) är textfiler som leverantören av en webbplats lagrar i webbplatsanvändarens dator och, när användaren går in på webbplatsen igen, kan hämta på nytt för att underlätta navigeringen på internet eller transaktioner eller hämta information om användarbeteendet.
32Inom ramen för en formell underrättelse som inte gav något resultat har Bundesverband, som är registrerad i förteckningen över godkända inrättningar enligt 4 § i Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (lag om förbudsföreläggande vid åsidosättanden av konsumenträtten och andra överträdelser) av den 26 november 2001 (BGB1. 2001 I, s. 3138), gjort gällande att de förklaringar om samtycke som Planet49 använder genom den första och den andra kryssrutan inte uppfyller kraven i 307 § BGB, 7 § stycke 2 led 2 i Gesetz gegen den unlauteren Wettbewerb (konkurrenslagen) av den 3 juli 2004 (BGB1. 2004 I, s. 1414) i den lydelse som är tillämplig i det nationella målet, samt 12 § och följande paragrafer i TMG.
33Bundesverband väckte talan vid Landgericht Frankfurt am Main (Regionala domstolen i Frankfurt am Main, Tyskland) och yrkade i huvudsak att Planet49 skulle föreläggas att sluta använda sådana förklaringar om samtycke och förpliktas att betala ett belopp om 214 euro till Bundesverband jämte ränta från och med den 15 mars 2014.
34Landgericht Frankfurt am Main (Regionala domstolen i Frankfurt am Main) biföll delvis talan.
35Domen överklagades av Planet49 till Oberlandesgericht Frankfurt am Main (Regionala överdomstolen i Frankfurt am Main, Tyskland) som fann att Bundesverbands begäran – som syftade till att Planet49 skulle upphöra att i avtal med konsumenter om tävlingar inkludera den förklaring som anges ovan i punkt 27, där den andra kryssrutan var ikryssad på förhand – var ogrundad, eftersom dels användaren förstod att det var möjligt att avmarkera rutan, dels förklaringen var tillräckligt tydligt utformad i typografiskt hänseende och information lämnades om hur kakor används, utan att det var nödvändigt att röja identiteten på tredje parter som hade tillgång till den information som samlades in.
36Bundesverband överklagade till Bundesgerichtshof (Federala högsta domstolen, Tyskland), som anser att utgången i det nationella målet är beroende av tolkningen av bestämmelserna i artikel 5.3 och artikel 2 f i direktiv 2002/58, artikel 2 h i direktiv 95/46 samt artikel 6.1 a i förordning 2016/679.
37Eftersom Bundesgerichtshof (Federala högsta domstolen) var tveksam till, med hänsyn till dessa bestämmelser, huruvida Planet49:s inhämtade samtycken från användarna på webbplatsen www.dein-macbook.de, avseende den andra kryssrutan, var giltiga liksom omfattningen av den informationsskyldighet som föreskrivs i artikel 5.3 i direktiv 2002/58, beslutade den att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1)
38Domstolen ska inledningsvis pröva huruvida direktiv 95/46 och förordning 2016/679 är tillämpliga på omständigheterna i det nationella målet.
39Med verkan från och med den 25 maj 2018 upphörde direktiv 95/46 att gälla och ersattes av förordning 2016/679, i enlighet med artikel 94.1 i den sistnämnda förordningen.
40Detta datum är visserligen efter datumet för den sista förhandlingen vid den hänskjutande domstolen, vilken ägde rum den 14 juli 2017, liksom datumet då den hänskjutande domstolen inkom med sin begäran om förhandsavgörande till EU-domstolen.
41Med anledning av att förordning 2016/679 trädde i kraft den 25 maj 2018 har den hänskjutande domstolen emellertid angett att det är sannolikt att denna förordning ska beaktas när det nationella målet ska avgöras. Förordningen är, för övrigt, en del av den första frågan. Därutöver har Tysklands regering, under den muntliga förhandlingen vid EU-domstolen, angett att det inte är uteslutet att förordning 2016/679, i den mån som det förfarande som anhängiggjorts av Bundesverband syftar till att förhindra Planet49:s förklaring i framtiden, är tillämplig i tiden ( ratione temporis ) i det nationella målet, på grund av nationell rättspraxis om den relevanta rättsliga situationen vid talan om förbudsföreläggande, vilket det ankommer på den hänskjutande domstolen att kontrollera (se, rörande en talan om fastställelse, dom av den 16 januari 2019, Deutsche Post, C‑496/17 , EU:C:2019:26 , punkt 38 ).
42Mot denna bakgrund och med hänsyn till att, i enlighet med artikel 94.2 i förordning 2016/679, hänvisningar i direktiv 2002/58 till direktiv 95/46 ska anses som hänvisningar till nämnda förordning, är det i förevarande fall inte uteslutet att direktiv 2002/58 är tillämpligt tillsammans med antingen direktiv 95/46 eller förordning nr 2016/679 beroende på Bundesverbands begäran och den berörda perioden.
43Frågorna ska följaktligen besvaras med beaktande av både direktiv 95/46 och förordning 2016/679.
44Den hänskjutande domstolen har ställt frågorna 1 a och 1 c för att få klarhet i huruvida artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46 och artikel 6.1 a i förordning 2016/679, ska tolkas så, att det samtycke som avses i dessa bestämmelser är giltigt när lagring av information eller tillgång till information som redan är lagrad i webbplatsanvändarens terminalutrustning genom kakor, tillåts genom en på förhand ikryssad ruta som användaren måste avmarkera för att vägra samtycke.
45Det ska inledningsvis påpekas att enligt vad som anges i begäran om förhandsavgörande innehåller kakorna – som kan placeras i terminalutrustningen hos en användare som deltar i en pristävling anordnad av Planet49 – ett nummer som kopplas till registreringsuppgifterna för användaren, som måste anmäla sig med namn och adress i tävlingens anmälningsformulär. Den hänskjutande domstolen har tillagt att genom att numret kopplas till dessa uppgifter knyts de uppgifter som har lagrats genom kakorna till en person när denna använder internet, så att insamlingen av dessa uppgifter genom kakor innebär en behandling av personuppgifter. Dessa uppgifter har bekräftats av Planet49, som i sitt skriftliga yttrande har påpekat att samtycket knutet till den andra kryssrutan är avsett att tillåta insamling och behandling av personuppgifter och inte anonyma uppgifter.
46Efter denna precisering erinrar EU-domstolen om att enligt artikel 5.3 i direktiv 2002/58 ska medlemsstaterna se till att lagring av information eller tillgång till information som redan är lagrad i en användares terminalutrustning endast är tillåten på villkor att användaren i fråga har gett sitt samtycke efter att ha fått tillgång till tydlig och fullständig information, i enlighet med direktiv 95/46, bland annat om ändamålen med behandlingen av uppgifterna.
47Det ska i detta avseende erinras om att det följer av såväl kravet på en enhetlig tillämpning av unionsrätten som av likhetsprincipen, att ordalydelsen i en unionsbestämmelse som inte innehåller någon uttrycklig hänvisning till medlemsstaternas rättsordningar för fastställandet av bestämmelsens innebörd och tillämpningsområde, i regel ska ges en självständig och enhetlig tolkning inom hela Europeiska unionen (dom av den 26 mars 2019, SM (Barn som omhändertagits enligt institutet kafala i algerisk rätt), C‑129/18 , EU:C:2019:248 , punkt 50 , och dom av den 11 april 2019, Tarola, C‑483/17 , EU:C:2019:309 , punkt 36 ).
48Dessutom ska vid tolkningen av en unionsbestämmelse enligt fast rättspraxis inte bara lydelsen och ändamålen beaktas, utan också sammanhanget och unionsrättens samtliga bestämmelser. Även förberedelsearbetet inför antagandet av en unionsrättsbestämmelse kan ge relevanta upplysningar om tolkningen av densamma (dom av den 10 december 2018, Wightman m.fl., C‑621/18 , EU:C:2018:999 , punkt 47 och där angiven rättspraxis).
49Vad gäller ordalydelsen i artikel 5.3 i direktiv 2002/58, ska det påpekas att även om det i denna bestämmelse uttryckligen föreskrivs att användaren ska ha ”lämnat sitt samtycke” till att kakor placeras i och att de kommunicerar med vederbörandes terminalutrustning, innehåller bestämmelsen däremot inte några uppgifter om hur detta samtycke ska lämnas. Uttrycket ”lämna sitt samtycke” lämpar sig emellertid för en bokstavstolkning, enligt vilken en handling från användarens sida är nödvändig för att ge uttryck för sitt samtycke. I detta hänseende framgår det av skäl 17 i direktiv 2002/58 att en användares samtycke, vid tillämpningen av detta direktiv, kan ges i varje lämplig form som gör det möjligt att frivilligt lämna särskilda och informerade uppgifter om användarens önskemål, däribland ”genom markeringar i en ruta vid besök på en webbplats”.
50Vad gäller det sammanhang i vilket artikel 5.3 i direktiv 2002/58 ingår, bör det betonas att artikel 2 f i direktivet, som definierar ”samtycke” i den mening som avses i detta direktiv, hänvisar, i detta hänseende, till ”den registrerades samtycke” i direktiv 95/46. I skäl 17 i direktiv 2002/58 anges att en användares samtycke, vid tillämpningen av detta direktiv, bör ha samma betydelse som den registrerades samtycke enligt vad som definieras och i övrigt fastställs i direktiv 95/46.
51Artikel 2 h i direktiv 95/46 definierar ”den registrerades samtycke” som ”varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom”.
52Såsom generaladvokaten har påpekat i punkt 60 i sitt förslag till avgörande, pekar kravet på en ”viljeyttring” av den registrerade tydligt på ett aktivt och inte ett passivt beteende. Ett samtycke som lämnas genom en på förhand ikryssad ruta innebär emellertid inte något aktivt beteende från webbplatsanvändarens sida.
53Denna tolkning stöds av artikel 7 i direktiv 95/46, som innehåller en uttömmande uppräkning av de situationer när en behandling av personuppgifter kan anses vara tillåten (se, för ett liknande resonemang, dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 och C‑469/10 , EU:C:2011:777 , punkt 30 , och dom av den 19 oktober 2016, Breyer, C‑582/14 , EU:C:2016:779 , punkt 57 ).
54I artikel 7 a i direktiv 95/46 föreskrivs särskilt att den registrerades samtycke kan göra att en sådan behandling är tillåten under förutsättning att den registrerade ”otvetydigt” har lämnat sitt samtycke. Endast ett aktivt beteende från denna person för att visa sitt samtycke uppfyller detta krav.
55I detta avseende är det praktiskt taget omöjligt att på ett objektivt sätt avgöra huruvida webbplatsanvändaren faktiskt har gett sitt samtycke till behandling av sina personuppgifter genom att inte avmarkera en på förhand ikryssad ruta samt, under alla omständigheter, huruvida användaren lämnat ett välinformerat samtycke. Det går nämligen inte att utesluta att nämnda användare inte har läst den information som medföljer den på förhand ikryssade rutan, eller till och med att han eller hon inte har noterat denna ruta, innan vederbörande fortsätter med sin aktivitet på webbplatsen han eller hon besöker.
56Vad slutligen beträffar förberedelsearbetet inför antagandet av artikel 5.3 i direktiv 2002/58, ska det konstateras att det i den ursprungliga lydelsen av denna bestämmelse endast föreskrevs ett krav på att användaren erbjuds ”rätten att vägra” att kakor lagras, efter att, i enlighet med direktiv 95/46, ha fått tillgång till klar och fullständig information, bland annat om ändamålen med behandlingen. Genom direktiv 2009/136 infördes en väsentlig ändring av ordalydelsen i denna bestämmelse genom att ersätta detta uttryck med ”har gett sitt samtycke”. Förberedelsearbetet inför antagandet av artikel 5.3 i direktiv 2002/58 tyder sålunda på att användarens samtycke inte längre kan presumeras utan måste följa av användarens aktiva beteende.
57Mot bakgrund av ovanstående överväganden är ett samtycke i den mening som avses i artiklarna 2 f och 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46, följaktligen inte lämnat på ett giltigt sätt om lagring av information eller tillgång till information som redan är lagrad i en webbplatsanvändares terminalutrustning tillåts genom en av tjänsteleverantören på förhand ikryssad ruta som användaren måste avmarkera för att vägra samtycke.
58Det ska tilläggas att den viljeyttring som avses i artikel 2 h i direktiv 95/46 bland annat måste vara ”särskild”, i den meningen att den måste avse exakt den berörda behandlingen av uppgifter och kan inte härledas från en viljeyttring med ett annat syfte.
59Tvärtemot vad Planet49 anfört, är det således inte tillräckligt att en användare trycker på knappen för att delta i detta bolags pristävling för att det ska anses att användaren har lämnat ett giltigt samtycke till lagring av kakor.
60Nyssnämnda tolkning vinner stöd i än högre grad mot bakgrund av förordning 2016/679.
61Såsom generaladvokaten konstaterade i punkt 70 i sitt förslag till avgörande framgår det nämligen att ordalydelsen i artikel 4 led 11 i förordning 2016/679, som definierar ”samtycke av den registrerade” vid tillämpning av förordningen, och särskilt, i artikel 6.1 a i förordningen, som fråga 1 c avser, är striktare än den i artikel 2 h i direktiv 95/46, eftersom det krävs en ”frivillig, specifik, informerad och otvetydig” viljeyttring av den registrerade, antingen genom ett uttalande eller genom ”en entydig bekräftande handling” genom vilken behandling av den registrerades personuppgifter godtas.
62Ett aktivt samtycke föreskrivs således numera uttryckligen i förordning 2016/679. Det kan i detta sammanhang påpekas att enligt skäl 32 i denna förordning kan uttrycket samtycke inbegripa att en ruta kryssas i vid besök på en webbplats. I nämnda skäl anges däremot uttryckligen att ”[t]ystnad, på förhand ikryssade rutor eller inaktivitet” inte bör utgöra samtycke.
63Av detta följer att det inte utgör ett giltigt samtycke i den mening som avses i artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 4 led 11 och artikel 6.1 a i förordning nr 2016/679, om lagring av information eller tillgång till information som redan är lagrad i webbplatsanvändarens terminalutrustning tillåts genom en på förhand ikryssad ruta som användaren måste avmarkera för att vägra samtycke.
64Slutligen bör det understrykas att den hänskjutande domstolen inte har ställt någon fråga till domstolen för att få klarhet i huruvida den omständigheten att en användares samtycke till behandling av personuppgifter för reklamändamål är avgörande för möjligheten för användaren att delta i en pristävling – vilket verkar vara fallet i det aktuella målet, enligt de uppgifter som anges i begäran om förhandsavgörande, i vart fall avseende den första kryssrutan – är förenligt med kravet på ”frivillig[t]” samtycke, i den mening som avses i artikel 2 h i direktiv 95/46, liksom artikel 4 led 11 och artikel 7.4 i förordning 2016/679. Under dessa omständigheter saknas det anledning för domstolen att pröva denna fråga.
65Mot bakgrund av det ovan anförda ska frågorna 1 a och 1 c besvaras enligt följande. Artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46 samt artikel 4 led 11 och artikel 6.1 a i förordning 2016/679, ska tolkas så, att det samtycke som avses i dessa bestämmelser inte är giltigt när lagring av information eller tillgång till information, som redan är lagrad i webbplatsanvändarens terminalutrustning genom kakor, tillåts genom en på förhand ikryssad ruta som denna användare måste avmarkera för att vägra samtycke.
66Den hänskjutande domstolen har ställt fråga 1 b för att få klarhet i huruvida artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46 samt artikel 4 led 11 och artikel 6.1 a i förordning 2016/679, ska tolkas olika beroende på om den lagrade eller hämtade informationen i webbplatsanvändarens terminalutrustning utgör personuppgifter eller inte, i den mening som avses i direktiv 95/46 och i förordning 2016/679.
67Såsom domstolen har påpekat i punkt 45 ovan, framgår det av begäran om förhandsavgörande att lagringen av de aktuella kakorna i det nationella målet innebär en behandling av personuppgifter.
68Efter detta förtydligande kan det i vart fall konstateras att artikel 5.3 i direktiv 2002/58 hänvisar till ”lagring av information” och ”tillgång till information som redan är lagrad”, utan att kvalificera denna information eller precisera att den ska utgöras av personuppgifter.
69Såsom generaladvokaten har konstaterat i punkt 107 i sitt förslag till avgörande syftar denna bestämmelse således till att skydda användaren från intrång i dennes privatliv, oavsett om intrånget rör personuppgifter eller inte.
70Denna tolkning bekräftas av skäl 24 i direktiv 2002/58, enligt vilken all information som finns lagrad i terminalutrustningen för användare av elektroniska kommunikationsnät är en del av privatlivet för användarna och kräver skydd enligt Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Detta skydd gäller all information som finns lagrad på denna terminalutrustning, oavsett om det rör sig om personuppgifter eller inte och, såsom framgår av samma skäl, syftar till att bland annat skydda användarna mot riskerna med hemliga identifieringsuppgifter eller liknande som ger tillträde till användarnas terminalutrustning utan deras kännedom.
71Mot bakgrund av det ovan anförda ska fråga 1 b besvaras enligt följande. Artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46 samt artikel 4 led 11 och artikel 6.1 a i förordning 2016/679 ska inte tolkas olika beroende på om den lagrade eller hämtade informationen i webbplatsanvändarens terminalutrustning utgör personuppgifter eller inte, i den mening som avses i direktiv 95/46 och i förordning 2016/679.
72Den hänskjutande domstolen har ställt fråga 2 för att få klarhet i huruvida artikel 5.3 i direktiv 2002/58 ska tolkas så, att den information som tjänsteleverantören ska lämna till webbplatsanvändaren omfattar kakornas funktionstid samt möjligheten för tredje part att få tillgång eller inte till dessa kakor.
73Såsom redan framgår av punkt 46 ovan krävs det enligt artikel 5.3 i direktiv 2002/58 att användaren i fråga har gett sitt samtycke efter att ha fått tillgång till tydlig och fullständig information, ”i enlighet med direktiv [95/46]”, bland annat om ändamålen med behandlingen av uppgifterna.
74Såsom generaladvokaten betonade i punkt 115 i sitt förslag till avgörande, innebär tydlig och fullständig information att en användare enkelt måste kunna avgöra följderna av ett eventuellt samtycke och säkerställa att ett välgrundat samtycke lämnas. Den måste vara lättförståelig och tillräckligt detaljerad så att användaren kan förstå hur de kakor som används fungerar.
75I en sådan situation som den som är i fråga i det nationella målet, där kakor, enligt vad som framgår av handlingarna i målet, syftar till att samla in information för reklamändamål med avseende på en pristävlingsarrangörs samarbetspartners produkter, innefattar information om kakornas funktionstid och om huruvida tredje parter ges tillgång till kakorna eller inte en del av den tydliga och fullständiga information som ska lämnas till användaren i enlighet med artikel 5.3 i direktiv 2002/58.
76I detta avseende ska det noteras att det i artikel 10 i direktiv 95/46, vilken artikel 5.3 i direktiv 2002/58 hänvisar till, samt i artikel 13 i förordning 2016/679 anges vilken information som den personuppgiftsansvarige ska tillhandahålla den person från vilken uppgifterna om vederbörande samlas in.
77Denna information omfattar bland annat, enligt artikel 10 i direktiv 95/46, förutom den registeransvariges identitet och ändamålen med den behandling för vilken uppgifterna är avsedda, all ytterligare information, exempelvis mottagarna eller de kategorier som mottar uppgifterna, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling.
78Även om tiden för behandlingen av uppgifterna inte ingår bland denna information, framgår det emellertid av uttrycket ”i vart fall” i artikel 10 i direktiv 95/46 att det inte är någon uttömmande uppräkning. Information om kakornas funktionstid ska emellertid anses uppfylla kravet på en korrekt behandling av de uppgifter som föreskrivs i nämnda artikel, eftersom i en sådan situation som den som är i fråga i det nationella målet, en lång funktionstid, eller till och med obegränsad tid, innebär att mer information samlas in om användarens surfvanor och eventuella besök på pristävlingsarrangörens reklampartners webbplatser.
79Denna tolkning stöds av artikel 13.2 a i förordning 2016/679, som föreskriver att den personuppgiftsansvarige ska till den registrerade lämna, för att säkerställa rättvis och transparent behandling, information om bland annat den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.
80Vad gäller möjligheten för tredje part att få tillgång eller inte till kakorna, rör det sig om information som ingår i den information som anges i artikel 10 c i direktiv 95/46 och i artikel 13.1 e i förordning 2016/679, eftersom mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna uttryckligen nämns i dessa bestämmelser.
81Mot bakgrund av ovanstående överväganden ska fråga 2 besvaras enligt följande. Artikel 5.3 i direktiv 2002/58 ska tolkas så, att den information som tjänsteleverantören ska lämna till webbplatsanvändaren omfattar kakornas funktionstid samt möjligheten för tredje part att få tillgång eller inte till dessa kakor.
82Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:
Underskrifter
(*1) Rättegångsspråk: tyska.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.