CELEX: 62017CJ0673
Řízení o předběžné otázce
Směrnice 95/46/ES
Směrnice 2002/58/ES
Nařízení (EU) 2016/679
Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací
Soubory cookies
Pojem ‚souhlas subjektu údajů‘
Prohlášení o souhlasu prostřednictvím předem zaškrtnutého políčka

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 2 písm. f) a čl. 5 odst. 3 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (
Úř. věst. 2002, L 201, s. 37
; Zvl. vyd. 13/29, s. 514), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 (
Úř. věst. 2009, L 337, s. 11
) (dále jen „směrnice 2002/58“), ve spojení s čl. 2 písm. h) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (
Úř. věst. 1995, L 281, s. 31
; Zvl. vyd. 13/15, s. 355), jakož i čl. 6 odst. 1 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46 (obecné nařízení o ochraně osobních údajů) (
Úř. věst. 2016, L 119, s. 1
; oprava
Úř. věst. 2018, L 127, s. 2
).
Tato žádost byla předložena v rámci sporu mezi Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (federace spotřebitelských organizací a sdružení spotřebitelů – federace spotřebitelských organizací, Německo) (dále jen „federace“) a společností Planet49 GmbH nabízející online hry, jehož předmětem je souhlas účastníků reklamní loterie, jež pořádá tato společnost, s předáním jejich osobních údajů sponzorům a partnerům této společnosti, jakož i s ukládáním informací a přístupem k informacím uloženým v koncových zařízeních těchto uživatelů.
Právní rámec
Unijní právo
Směrnice 95/46
Článek 1 směrnice 95/46 stanoví:
„1.   Členské státy zajišťují v souladu s touto směrnicí ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů.
2.   Členské státy nemohou omezit ani zakázat volný pohyb osobních údajů mezi členskými státy z důvodů ochrany zajištěné podle odstavce 1.“
Článek 2 této směrnice stanoví:
„Pro účely této směrnice se rozumí:
a)
‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné [fyzické] osobě (subjekt údajů); identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity;
b)
‚zpracováním osobních údajů‘ (‚zpracování‘) jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace;
[…]
h)
‚souhlasem subjektu údajů‘ jakýkoli svobodný, výslovný a vědomý projev vůle, kterým subjekt údajů dává své svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování.“
Článek 7 uvedené směrnice stanoví:
„Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:
a)
subjekt údajů nezpochybnitelně udělil souhlas;
[…]“
Podle článku 10 téže směrnice platí:
„Členské státy stanoví, že správce nebo jeho zástupce musí poskytnout osobě, od které získává údaje, které se jí týkají, alespoň dále uvedené informace, ledaže s nimi subjekt údajů již byl seznámen:
a)
totožnost správce, popřípadě jeho zástupce;
b)
účely zpracování, pro které jsou údaje určeny;
c)
veškeré doplňující informace jako:
–
příjemci nebo kategorie příjemců údajů,
–
skutečnost, zda jsou odpovědi na otázky povinné nebo dobrovolné a případné důsledky neposkytnutí odpovědi,
–
existence práva na přístup k údajům, které se subjektu údajů týkají, a právo na jejich opravu,
v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů vůči subjektu údajů, s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány.“
Směrnice 2002/58
V bodech 17 a 24 odůvodnění směrnice 2002/58 je uvedeno:
„(17)
pro účely této směrnice by měl mít souhlas uživatele nebo účastníka, bez ohledu na to, zda účastník je fyzická či právnická osoba, stejný význam jako souhlas subjektu údajů definovaný a dále upřesněný ve směrnici [95/46]. Souhlas může být udělen jakýmkoli vhodným způsobem, který umožňuje vyjádřit svobodně poskytnutý, zvláštní a informovaný projev vůle uživatele, včetně označení zaškrtnutím políčka při návštěvě webové stránky na internetu.
[…]
(24)
koncové zařízení uživatelů sítí elektronických komunikací a jakékoli informace uchovávané [uložené] na takovém zařízení tvoří součást soukromí uživatelů, které vyžaduje ochranu v souladu s Evropskou úmluvou o ochraně lidských práv a základních svobod [, podepsané v Římě dne 4. listopadu 1950]. Tzv. špionážní software (‚spyware‘), webové štěnice (‚web bugs‘), skryté identifikátory a jiné podobné nástroje mohou pronikat do koncového zařízení uživatele bez jeho vědomí s cílem získat přístup k informacím, uchovávat [ukládat] skryté informace nebo sledovat činnost uživatele a mohou vážně narušit soukromí těchto uživatelů. Použití takových nástrojů by mělo být povoleno pouze k oprávněným účelům s vědomím uživatelů, kterých se dotýká.“
Článek 1 směrnice 2002/58 stanoví:
„1.   Touto směrnicí se harmonizují předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb [v Evropské unii].
2.   Ustanovení této směrnice upřesňují a doplňují směrnici [95/46] pro účely uvedené v odstavci 1. […]“
Článek 2 této směrnice stanoví:
„Není-li stanoveno jinak, použijí se definice uvedené ve směrnici [95/46] a směrnici Evropského parlamentu a Rady 2002/21/ES ze dne 7. března 2002 o společném předpisovém rámci pro sítě a služby elektronických komunikací (rámcová směrnice) [
Úř. věst. 2002, L 108, s. 33
; Zvl. vyd. 13/29, s. 349].
Použijí se rovněž tyto definice:
a)
‚uživatelem‘ se rozumí jakákoli fyzická osoba používající veřejně dostupnou službu elektronické komunikace pro soukromé či obchodní účely, přičemž není nezbytně nutné, aby byla účastníkem této služby;
[…]
f)
‚souhlas‘ uživatele či účastníka odpovídá souhlasu subjektu údajů podle směrnice [95/46];
[…]“
Článek 5 odst. 3 uvedené směrnice stanoví:
„Členské státy zajistí, aby uchovávání [ukládání] informací nebo získávání přístupu k již uchovávaným [uloženým] informacím bylo v koncovém zařízení účastníka nebo uživatele povoleno pouze pod podmínkou, že dotčený účastník či uživatel poskytl svůj souhlas poté, co mu byly poskytnuty jasné a úplné informace v souladu se směrnicí [95/46], mimo jiné o účelu zpracování. To nebrání technickému ukládání nebo takovému přístupu, jehož jediným účelem je provedení přenosu sdělení prostřednictvím sítě elektronických komunikací, nebo je-li to nezbytně nutné k tomu, aby mohl poskytovatel služeb informační společnosti poskytovat služby, které si účastník nebo uživatel výslovně vyžádal.“
Nařízení 2016/679
V bodě 32 odůvodnění nařízení 2016/679 se uvádí:
„Souhlas by měl být dán jednoznačným potvrzením, které je vyjádřením svobodného, konkrétního, informovaného a jednoznačného svolení subjektu údajů ke zpracování osobních údajů, které se jej týkají, a to [například] v podobě písemného prohlášení, i učiněného elektronicky, nebo ústního prohlášení. Mohlo by se například jednat o zaškrtnutí políčka při návštěvě internetové stránky, volbu technického nastavení pro služby informační společnosti nebo jiné prohlášení či jednání, které v této souvislosti jasně signalizuje souhlas subjektu údajů s navrhovaným zpracováním jeho osobních údajů. Mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas. Souhlas by se měl vztahovat na veškeré činnosti zpracování prováděné pro stejný účel nebo stejné účely. Jestliže má zpracování několik účelů, měl by být souhlas udělen pro všechny. Má-li subjekt údajů vyjádřit souhlas na základě žádosti podané elektronickými prostředky, musí být žádost jasná a stručná a nesmí zbytečně narušit využívání služby, pro kterou je souhlas dáván.“
Článek 4 tohoto nařízení stanoví:
„Pro účely tohoto nařízení se rozumí:
1)
‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen ‚subjekt údajů‘); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby;
2)
‚zpracováním‘ jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[…]
11)
‚souhlasem‘ subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů;
[…]“
Článek 6 uvedeného nařízení stanoví:
„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a)
subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
[…]“
Článek 7 odst. 4 téhož nařízení stanoví:
„Při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.“
Podle čl. 13 odst. 1 a 2 nařízení 2016/679 platí, že:
„1.   Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:
[…]
e)
případné příjemce nebo kategorie příjemců osobních údajů […]
[…]
2.   Vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů v okamžiku získání osobních údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování:
a)
doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby;
[…]“
V článku 94 téhož nařízení se stanoví:
„1.   Směrnice [95/46] se zrušuje s účinkem ode dne 25. května 2018.
2.   Odkazy na zrušenou směrnici se považují za odkazy na toto nařízení. Odkazy na pracovní skupinu pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice [95/46] se považují za odkazy na Evropský sbor pro ochranu osobních údajů zřízený tímto nařízením.“
Německé právo
Podle § 307 odst. 1 první věty Bürgerliches Gesetzbuch (občanský zákoník, dále jen „BGB“) platí, že: „[u]jednání všeobecných smluvních podmínek jsou neúčinná, pokud v rozporu se zásadou dobré víry nepřiměřeně znevýhodňují smluvní protistranu“.
V § 307 odst. 2 bodě 1 BGB se stanoví, že v případě pochybností „se má za to, že o nepřiměřené znevýhodnění se jedná, pokud je ujednání neslučitelné s podstatnými základními myšlenkami zákonné úpravy, od které se odchyluje“.
Ustanovení § 12 Telemediengesetz (zákon o službách elektronických informací a komunikací), ze dne 26. února 2007 (BGB1. 2007 I, s. 179), ve znění použitelném na spor v původním řízení (dále jen „TMG“), zní:
„(1)   Poskytovatel služeb je oprávněn shromažďovat a používat osobní údaje za účelem poskytování služeb elektronických informací a komunikací pouze tehdy, pokud to dovoluje tento zákon nebo jiný právní předpis, který se výslovně týká služeb elektronických informací a komunikací, anebo pokud s tím uživatel souhlasil.
(2)   Poskytovatel služeb je oprávněn používat osobní údaje shromážděné za účelem poskytování služeb elektronických informací a komunikací pro jiné účely pouze tehdy, dovoluje-li to tento zákon nebo jiný právní předpis, který se výslovně týká služeb elektronických informací a komunikací, anebo pokud s tím uživatel souhlasil.
(3)   Není-li uvedeno jinak, platné právní předpisy upravující ochranu osobních údajů se použijí i tehdy, když údaje nejsou předmětem automatického zpracování.“
Podle § 13 odst. 1 TMG musí poskytovatel služeb uživatele na začátku využívání těchto služeb všeobecně srozumitelnou formou poučit o způsobu, rozsahu a účelu shromažďování a používání osobních údajů, pokud tak neučinil již dříve. V případě automatizovaného postupu, který umožňuje pozdější identifikaci uživatele a připravuje shromažďování nebo používání osobních údajů, musí být uživatel poučen na začátku tohoto postupu.
Podle § 15 odst. 3 TMG platí, že poskytovatel služeb může pro účely reklamy, průzkumu trhu nebo uzpůsobení služeb elektronických informací a komunikací aktuálním potřebám vytvářet uživatelské profily za použití pseudonymu, pokud proti tomu uživatel po poučení o svém právu odepřít souhlas nic nenamítá.
Podle definice uvedené v § 3 odst. 1 Bundesdatenschutzgesetz (spolkový zákon o ochraně údajů), ze dne 20. prosince 1990 (BGBl. 1990 I, s. 2954), ve znění použitelném na spor v původním řízení (dále jen „BDSG“), platí, že „osobní údaje jsou různé údaje vztahující se k osobním nebo věcným poměrům identifikované nebo identifikovatelné fyzické osoby (subjekt údajů)“.
Podle definice uvedené v § 3 odst. 3 BDSG se shromažďováním rozumí získávání údajů o subjektu údajů.
Ustanovení § 4a odst. 1 první věty BDSG, kterým se provádí čl. 2 písm. h) směrnice 95/46, stanoví, že souhlas je účinný pouze tehdy, vychází-li z rozhodnutí svobodně přijatého dotčenou osobou.
Spor v původním řízení a předběžné otázky
Dne 24. září 2013 uspořádala společnost Planet49 na internetových stránkách www.dein-macbook.de reklamní loterii.
Pro účast v této loterii byli internetoví uživatelé povinni sdělit své poštovní směrovací číslo, což je navedlo na webovou stránku, na které museli zadat své jméno a adresu. Pod zadávacími políčky pro adresu se nacházely dvě poznámky s políčky k zaškrtnutí. První poznámka, jejíž políčko (dále jen „první políčko k zaškrtnutí“) nebylo předem zaškrtnuto, zněla:
„Souhlasím s tím, že někteří
sponzoři a spolupracující partneři
mě mohou poštou, telefonicky či prostřednictvím e-mailu nebo krátkých textových zpráv informovat o svých nabídkách v rámci
předmětu jejich podnikání
. Tyto partnery mohu na tomto místě sám určit, jinak bude platit volba učiněná pořadatelem. Tento souhlas mohu kdykoliv odvolat.
Další informace o této volbě naleznete zde
.“
Druhá poznámka, jejíž políčko (dále jen „druhé políčko k zaškrtnutí“) bylo předem zaškrtnuto, zněla:
„Souhlasím s tím, že u mne bude použita webová analytická služba Remintrex. V důsledku toho pořadatel reklamní loterie [společnost Planet49], po zaregistrování do reklamní loterie nainstaluje soubory cookies, které mu pomocí Remintrexu umožní využívat údaje o mém prohlížení webu a o návštěvách internetových stránek reklamních partnerů a zasílat reklamu zaměřenou na mé zájmy. Soubory cookies mohu kdykoli smazat. Bližší informace naleznete
zde
.“
Účast v reklamní loterii byla umožněna pouze tehdy, když bylo zaškrtnuto alespoň první políčko k zaškrtnutí.
Elektronický odkaz uvedený v poznámce u prvního políčka k zaškrtnutí, nadepsaný „Sponzoři a spolupracující partneři“ a „zde“, vedl k seznamu 57 podniků, který uváděl jejich adresy, propagované oblasti jejich činnosti a způsob komunikace, jenž je využíván k reklamním účelům (e-mail, pošta nebo telefon). Podtržené slovo „odhlásit“ bylo uvedeno za každým názvem podniku. Seznamu předcházelo následující upozornění:
„Kliknutím na odkaz ‚odhlásit‘ jsem rozhodl o tom, že uvedenému spolupracujícímu partnerovi či sponzorovi nesmí být udělen žádný souhlas s reklamou. Pokud jsem neodhlásil žádného spolupracujícího partnera či sponzora či jejich nedostatečný počet, společnost Planet49 pro mne zvolí spolupracující partnery či sponzory dle svého uvážení (maximálně 30).“
Po kliknutí na elektronický odkaz uvedený v poznámce u druhého políčka k zaškrtnutí, nadepsaný „zde“, se zobrazily následující informace:
„V případě souborů cookies nazvaných ceng_cache, ceng_etag, ceng_png a gcr se jedná o datové soubory malého rozsahu, které bude na Váš pevný disk ukládat vámi zvolený prohlížeč a jejichž prostřednictvím budou shromažďovány určité informace, jež umožní, aby byla reklama efektivnější a lépe přizpůsobená uživateli. Soubory cookies obsahují vygenerované číslo (ID), které je zároveň přiřazeno k Vašim registračním údajům. Pokud následně navštívíte webové stránky některého z reklamních partnerů, kteří jsou zaregistrování u Remintrexu (předchází-li této návštěvě registrace, prostudujte si prohlášení o ochraně údajů reklamních partnerů), bude díky zabudovanému iFrame od Remintrexu automaticky zaznamenáváno, že jste (tj. uživatel s uloženým ID) takovou stránku navštívil, o jaký výrobek jste se zajímal a zda došlo k uzavření kupní smlouvy.
Následně může [společnost Planet49] na základě souhlasu s reklamou, který byl poskytnut při registraci k reklamní loterii, umožnit, aby Vám byly zasílány reklamní e-maily, jež zohledňují Vaše zájmy, které jste projevil na webových stránkách reklamního partnera. V případě odvolání Vašeho souhlasu s reklamou Vám samozřejmě již žádné reklamní e-maily zasílány nebudou.
Informace zprostředkované soubory cookies budou použity výlučně pro účely reklamy, v níž budou prezentovány produkty reklamních partnerů. Informace budou shromažďovány, ukládány a využívány u každého reklamního partnera odděleně. V žádném případě se nebudou vytvářet uživatelské profily pro vícero reklamních partnerů. Jednotlivým reklamním partnerům nebudou zasílány žádné osobní údaje.
Pokud nebudete mít dále zájem na využívání souborů cookies, můžete je kdykoli prostřednictvím Vašeho prohlížeče odstranit. Návod na odstranění těchto souborů naleznete pod funkcí [‚nápověda‘] Vašeho prohlížeče.
Prostřednictvím souborů cookies nemůže dojít k instalaci žádného programu či přenosu virů.
Samozřejmě můžete tento souhlas kdykoli odvolat. Odvolání souhlasu můžete zaslat písemně [na adresu] [společnosti Planet49]. Rovněž stačí, pokud zašlete e-mail našemu oddělení péče o zákazníky [e-mailová adresa].“
Z předkládacího rozhodnutí vyplývá, že soubory cookies jsou soubory, které poskytovatel internetových stránek umístí do počítače uživatele těchto stránek a ke kterým může mít při nové návštěvě stránek uživatelem znovu přístup, a to za účelem usnadnění prohlížení internetu nebo zjednodušení transakcí nebo získání informací o chování uživatele.
V rámci předžalobní výzvy, které nebylo vyhověno, federace, která je zapsána na seznamu subjektů s aktivní legitimací podle § 4 Gesetz über Unterlassungsklagen bei Verbraucherrechts – und anderen Verstößen (Unterlassungsklagengesetz) – UKlaG) (zákon o žalobách na zdržení se jednání v oblasti ochrany zájmů spotřebitelů), ze dne 26. listopadu 2001 (BGBl 2001 I, s. 3138), tvrdila, že prohlášení o souhlasu požadovaná společností Planet49 prostřednictvím prvního a druhého políčka k zaškrtnutí nesplňují požadavky ustanovení § 307 BGB ve spojení s § 7 odst. 2 bodem 2 Gesetz gegen den unlauteren Wettbewerb (zákon o ochraně hospodářské soutěže), ze dne 3. července 2004 (BGBl 2004 I, s. 1414), ve znění použitelném pro spor v původním řízení, a § 12 a násl. TMG.
Federace podala žalobu k Landgericht Frankfurt am Main (zemský soud ve Frankfurtu nad Mohanem, Německo), v níž se v podstatě domáhala toho, aby společnost Planet49 přestala požadovat taková prohlášení o souhlasu a aby bylo této společnosti uloženo zaplatit jí částku 214 eur spolu úrokem ode dne 15. března 2014.
Landgericht Frankfurt am Main (zemský soud ve Frankfurtu nad Mohanem) této žalobě částečně vyhověl.
V návaznosti na odvolání podané společností Planet49 k Oberlandesgericht Frankfurt am Main (vyšší zemský soud ve Frankfurtu nad Mohanem, Německo), tento soud rozhodl, že návrh federace znějící na to, aby společnost Planet49 přestala začleňovat do dohod o reklamních loteriích uzavíraných se spotřebiteli poznámku, která je uvedena v bodě 27 tohoto rozsudku, jejíž druhé políčko k zaškrtnutí je předem zaškrtnuto, není opodstatněný, jelikož na jedné straně si je uživatel vědom možnosti zrušení zaškrtnutí tohoto políčka a na druhé straně je tato poznámka prezentována v dostatečně jasné typografii a poskytuje informace o používání souborů cookies, aniž je nezbytné zveřejnit totožnost třetích osob, které mohou mít přístup ke shromážděným informacím.
Bundesgerichtshof (Spolkový soudní dvůr, Německo), ke kterému podala federace kasační opravný prostředek
Revision
, má za to, že výsledek sporu v původním řízení závisí na výkladu ustanovení čl. 5 odst. 3 a čl. 2 písm. f) směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46, jakož i čl. 6 odst. 1 písm. a) nařízení 2016/679.
Vzhledem k tomu, že měl Bundesgerichtshof (Spolkový soudní dvůr) s ohledem na tato ustanovení pochybnosti o platnosti získání společností Planet49 souhlasu uživatelů internetových stránek www.dein-macbook.de prostřednictvím druhého políčka k zaškrtnutí, jakož i o rozsahu informační povinnosti stanovené v čl. 5 odst. 3 směrnice 2002/58, rozhodl se přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
a)
Jedná se o právoplatně udělený souhlas ve smyslu čl. 5 odst. 3 a čl. 2 písm. f) směrnice [2002/58] ve spojení s čl. 2 písm. h) směrnice [95/46], pokud je ukládání informací nebo přístup k již uloženým informacím v koncovém zařízení uživatele povoleno předem zaškrtnutým políčkem, jehož zaškrtnutí musí uživatel k odmítnutí svého souhlasu zrušit?
b)
Je použití čl. 5 odst. 3 a čl. 2 písm. f) směrnice [2002/58] ve spojení s čl. 2 písm. h) směrnice [95/46] rozdílné, pokud se v případě uložených nebo prohlížených informací jedná o osobní údaje?
c)
Byl za okolností uvedených v [první otázce] pod písmenem a) udělen právoplatný souhlas ve smyslu čl. 6 odst. 1 písm. a) nařízení [2016/679]?
2)
Jaké informace musí poskytovatel služby v rámci jasných a úplných informací podle čl. 5 odst. 3 směrnice [2002/58] poskytnout uživateli? Náleží mezi ně rovněž doba funkčnosti souborů cookies a otázka, zda mají k souborům cookies přístup třetí osoby?“
K předběžným otázkám
Úvodní poznámky
Úvodem je třeba posoudit použitelnost směrnice 95/46 a nařízení 2016/679 na skutečnosti dotčené ve věci v původním řízení.
S účinností od 25. května 2018 byla směrnice 95/46 zrušena a nahrazena nařízením 2016/679, a to na základě čl. 94 odst. 1 tohoto nařízení.
Toto datum zajisté následuje po datu posledního jednání před předkládajícím soudem, které se konalo dne 14. července 2017, jakož i po datu, kdy byla Soudnímu dvoru předložena žádost o rozhodnutí o předběžné otázce ze strany tohoto soudu.
Předkládající soud však uvedl, že vzhledem k tomu, že nařízení 2016/679, jehož se ostatně týká část první otázky, vstoupilo v platnost dne 25. května 2018, je pravděpodobné, že toto nařízení bude třeba při rozhodování sporu v původním řízení zohlednit. Navíc, jak uvedla německá vláda na jednání před Soudním dvorem, vzhledem k tomu, že cílem řízení zahájeného federací je, aby se společnost Planet49 zdržela určitého jednání do budoucna, není vyloučeno, že je nařízení 2016/679 použitelné
ratione temporis
v rámci sporu v původním řízení z důvodu vnitrostátní judikatury týkající se příslušné právní situace, pokud jde o žaloby na zdržení se jednání, což přísluší ověřit předkládajícímu soudu (pokud jde o žalobu určovací povahy, v iz rozsudek ze dne 16. ledna 2019, Deutsche Post,
C‑496/17
,
EU:C:2019:26
, bod
).
Za těchto podmínek a vzhledem k tomu, že v souladu s čl. 94 odst. 2 nařízení 2016/679 je třeba odkazy ve směrnici 2002/58 na směrnici 95/46 vykládat jako odkazy na toto nařízení, není v projednávaném případě vyloučeno, že se směrnice 2002/58 použije společně se směrnicí 95/46 nebo nařízením 2016/679, v závislosti na povaze návrhových žádání federace a na dotčeném období.
Na položené otázky je tedy třeba odpovědět s ohledem jak na směrnici 95/46, tak na nařízení 2016/679.
K první otázce pod písmeny a) a c)
Podstatou první otázky pod písmeny a) a c) předkládajícího soudu je, zda musí být čl. 2 písm. f) a čl. 5 odst. 3 směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46, jakož i čl. 6 odst. 1 písm. a) nařízení 2016/679 vykládány v tom smyslu, že souhlas uvedený v těchto ustanoveních je právoplatně udělen, pokud je ukládání informací nebo přístup k již uloženým informacím v koncovém zařízení uživatele internetových stránek prostřednictvím souborů cookies povoleno předem zaškrtnutým políčkem, jehož zaškrtnutí musí uživatel k odmítnutí svého souhlasu zrušit.
Úvodem je třeba upřesnit, že podle informací uvedených v předkládacím rozhodnutí obsahují soubory cookies, které mohou být umístěny v koncovém zařízení uživatele účastnícího se reklamní loterie pořádané společností Planet49, číslo, jež je přiděleno registračním údajům tohoto uživatele, který musí do formuláře pro účast na této loterii uvést své jméno a adresu. Předkládající soud dodává, že spojení tohoto čísla s těmito údaji personalizuje údaje uložené soubory cookies, když uživatel používá internet, takže shromažďování těchto údajů prostřednictvím souborů cookies je zpracováním osobních údajů. Tyto informace byly potvrzeny společností Planet49, která ve svých písemných vyjádřeních zdůraznila, že souhlas odpovídající druhému políčku k zaškrtnutí má za cíl povolit shromažďování a zpracování osobních údajů, a nikoli anonymních informací.
Je však třeba uvést, že podle čl. 5 odst. 3 směrnice 2002/58 musí členské státy zajistit, aby ukládání informací nebo získávání přístupu k již uloženým informacím v koncovém zařízení uživatele bylo povoleno pouze pod podmínkou, že dotčený uživatel poskytl souhlas poté, co mu byly poskytnuty jasné a úplné informace v souladu se směrnicí 95/46, mimo jiné o účelu zpracování.
V tomto ohledu je třeba připomenout, že z požadavků jak jednotného používání unijního práva, tak zásady rovnosti vyplývá, že znění ustanovení unijního práva, které výslovně neodkazuje na právo členských států za účelem vymezení smyslu a rozsahu tohoto ustanovení, musí být zpravidla vykládáno autonomním a jednotným způsobem v celé Unii [rozsudek ze dne 26. března 2019, SM (Dítě, jehož péče je zajišťována v režimu alžírského institutu kafala),
C‑129/18
,
EU:C:2019:248
, bod
, a rozsudek ze dne 11. dubna 2019, Tarola,
C‑483/17
,
EU:C:2019:309
, bod
]).
Dále podle ustálené judikatury Soudního dvora platí, že při výkladu ustanovení unijního práva je třeba vzít v úvahu nejen jeho znění a cíle, které sleduje, ale i jeho kontext a veškerá ustanovení unijního práva. Historie vzniku ustanovení unijního práva může rovněž poskytnout informace relevantní pro jeho výklad (rozsudek ze dne 10. prosince 2018, Wightman a další,
C‑621/18
,
EU:C:2018:999
, bod
, jakož i citovaná judikatura).
Pokud jde o znění čl. 5 odst. 3 směrnice 2002/58, je třeba uvést, že i když toto ustanovení výslovně stanoví, že uživatel musí „[poskytnout] souhlas“ s umístěním souborů cookies a s nahlížením do nich na svém koncovém zařízení, uvedené ustanovení naopak neobsahuje žádné informace o tom, jak by měl být takový souhlas udělen. Výraz „[poskytnout] souhlas“ však umožňuje doslovný výklad, podle kterého je k vyjádření souhlasu nutná akce uživatele. V tomto ohledu z bodu 17 odůvodnění směrnice 2002/58 vyplývá, že souhlas uživatele pro účely této směrnice může být udělen jakýmkoli vhodným způsobem, který umožňuje vyjádřit svobodně poskytnutý, zvláštní a informovaný projev vůle uživatele, včetně „označení zaškrtnutím políčka při návštěvě webové stránky na internetu [internetových stránek]“.
Pokud jde o kontext související s čl. 5 odst. 3 směrnice 2002/58, je třeba zdůraznit, že čl. 2 písm. f) této směrnice, který definuje „souhlas“ ve smyslu této směrnice, odkazuje v tomto ohledu na „souhlas subjektu údajů“ podle směrnice 95/46. Bod 17 odůvodnění směrnice 2002/58 stanoví, že pro účely této směrnice by měl mít souhlas uživatele stejný význam jako souhlas subjektu údajů definovaný a dále upřesněný ve směrnici 95/46.
Článek 2 písm. h) posledně uvedené směrnice definuje „souhlas subjektu údajů“ jako „jakýkoli svobodný, výslovný a vědomý projev vůle, kterým subjekt údajů dává své svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování“.
Jak zdůraznil generální advokát v bodě 60 svého stanoviska, požadavek „projevu“ vůle subjektu údajů jasně poukazuje na aktivní, nikoliv na pasivní jednání. Souhlas udělený předem zaškrtnutým políčkem přitom nepředstavuje aktivní jednání ze strany uživatele internetových stránek.
Tento výklad je podporován článkem 7 směrnice 95/46, který stanoví taxativní výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné (v tomto smyslu viz rozsudky ze dne 24. listopadu 2011, Asociación Nacional de Establecimientos Financieros de Crédito,
C‑468/10 a C‑469/10
,
EU:C:2011:777
, bod
, jakož i ze dne 19. října 2016, Breyer,
C‑582/14
,
EU:C:2016:779
, bod
).
Zejména článek 7 písm. a) směrnice 95/46 stanoví, že souhlas subjektu údajů může takové zpracování učinit zákonným za předpokladu, že subjekt údajů udělil tento souhlas „nezpochybnitelně“. Tento požadavek přitom splňuje pouze aktivní jednání této osoby za účelem projevení jejího souhlasu.
V tomto ohledu se zdá téměř nemožné objektivně určit, zda uživatel internetových stránek skutečně udělil souhlas se zpracováním svých osobních údajů tím, že nezrušil zaškrtnutí předem zaškrtnutého políčka, a v každém případě zda byl tento souhlas udělen vědomě. Nelze totiž vyloučit, že uvedený uživatel před pokračováním v činnosti na internetových stránkách, které navštívil, nečetl informace u předem zaškrtnutého políčka, nebo dokonce, že si tohoto políčka vůbec nevšiml.
Konečně, co se týče historie vzniku čl. 5 odst. 3 směrnice 2002/58, je třeba konstatovat, že původní znění tohoto ustanovení pouze stanovilo požadavek, aby uživatel měl „právo odmítnout“ umístění souborů cookies poté, co v souladu se směrnicí 95/46 obdržel jasné a úplné informace, mimo jiné o účelu zpracování. Směrnice 2009/136 provedla podstatnou změnu znění tohoto ustanovení a nahradila tento výraz slovy „poskytl souhlas“. Historie vzniku čl. 5 odst. 3 směrnice 2002/58 tedy naznačuje, že souhlas uživatele nelze nadále předpokládat a musí vycházet z aktivního jednání tohoto uživatele.
Z výše uvedeného vyplývá, že souhlas uvedený v čl. 2 písm. f) a čl. 5 odst. 3 směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46 proto není právoplatně udělen, pokud je ukládání informací nebo přístup k již uloženým informacím v koncovém zařízení uživatele internetových stránek povoleno políčkem, jež předem zaškrtl poskytovatel služby, a zaškrtnutí tohoto políčka musí uživatel k odmítnutí svého souhlasu zrušit.
Je třeba dodat, že projev vůle uvedený v čl. 2 písm. h) směrnice 95/46 musí být zejména „výslovný“ v tom smyslu, že se musí konkrétně týkat zpracování dotčených údajů a nelze jej vyvodit z projevu vůle mající jiný účel.
V projednávaném případě tedy na rozdíl od toho, co tvrdí společnost Planet49, nemůže skutečnost, že uživatel aktivuje tlačítko pro účast na reklamní loterii pořádané touto společností, postačovat k tomu, aby bylo možné se domnívat, že uživatel právoplatně udělil souhlas s umístěním souborů cookies.
Výše uvedený výklad je opodstatněný o to víc s ohledem na nařízení 2016/679.
Jak totiž v podstatě konstatoval generální advokát v bodě 70 svého stanoviska, znění čl. 4 bodu 11 nařízení 2016/679, který definuje „souhlas subjektu údajů“ pro účely uvedeného nařízení, a zejména znění jeho čl. 6 odst. 1 písm. a), na který se odkazuje v první otázce pod písmenem c), je patrně ještě přísnější než znění čl. 2 písm. h) směrnice 95/46, jelikož požaduje „svobodný, konkrétní, informovaný a jednoznačný“ projev vůle, kterým subjekt dává prohlášením či „jiným zjevným potvrzením“ svolení ke zpracování svých osobních údajů.
Aktivní souhlas je tedy nyní výslovně stanoven nařízením 2016/679. V tomto ohledu je důležité poznamenat, že podle bodu 32 odůvodnění uvedeného nařízení lze souhlas vyjádřit zejména zaškrtnutím políčka při návštěvě internetových stránek. Tento bod odůvodnění naopak výslovně vylučuje považovat za souhlas „[m]lčení, předem zaškrtnutá políčka nebo nečinnost“.
Z toho vyplývá, že souhlas uvedený v čl. 2 písm. f) a čl. 5 odst. 3 směrnice 2002/58 ve spojení s čl. 4 bodem 11 a čl. 6 odst. 1 písm. a) nařízení 2016/679 není právoplatně udělen, pokud je ukládání informací nebo přístup k již uloženým informacím v koncovém zařízení uživatele internetových stránek povoleno předem zaškrtnutým políčkem, jehož zaškrtnutí musí tento uživatel k odmítnutí svého souhlasu zrušit.
Konečně je třeba zdůraznit, že předkládající soud nepoložil Soudnímu dvoru otázku, zda skutečnost, že souhlas uživatele se zpracováním jeho osobních údajů pro reklamní účely podmiňuje možnost posledně uvedeného zúčastnit se reklamní loterie, jak se tomu zdá být v projednávané věci podle informací uvedených v předkládacím rozhodnutí, alespoň v případě prvního políčka k zaškrtnutí, je slučitelná s požadavkem „svobodného“ souhlasu ve smyslu čl. 2 písm. h) směrnice 95/46, jakož i čl. 4 bodu 11 a čl. 7 odst. 4 nařízení 2016/679. Za těchto okolností není namístě, aby Soudní dvůr tuto otázku posuzoval.
S ohledem na výše uvedené úvahy je třeba na první otázku pod písmeny a) a c) odpovědět tak, že čl. 2 písm. f) a čl. 5 odst. 3 směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46, jakož i čl. 4 bodem 11 a čl. 6 odst. 1 písm. a) nařízení 2016/679, musí být vykládány v tom smyslu, že souhlas uvedený v těchto ustanoveních není právoplatně udělen, pokud je ukládání informací nebo přístup k již uloženým informacím v koncovém zařízení uživatele internetových stránek prostřednictvím souborů cookies povoleno předem zaškrtnutým políčkem, jehož zaškrtnutí musí tento uživatel k odmítnutí svého souhlasu zrušit.
K první otázce pod písmenem b)
Podstatou první otázky pod písmenem b) předkládajícího soudu je, zda musí být čl. 2 písm. f) a čl. 5 odst. 3 směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46, jakož i čl. 4 bodem 11 a čl. 6 odst. 1 písm. a) nařízení 2016/679 vykládány odlišně v závislosti na tom, zda informace uložené nebo prohlížené v koncovém zařízení uživatele internetových stránek jsou nebo nejsou osobními údaji ve smyslu směrnice 95/46 a nařízení 2016/679.
Jak je uvedeno v bodě 45 tohoto rozsudku, z předkládacího rozhodnutí vyplývá, že umístění souborů cookies dotčených ve věci v původním řízení je součástí zpracování osobních údajů.
Je však třeba každopádně konstatovat, že čl. 5 odst. 3 směrnice 2002/58 odkazuje na „[ukládání] informací“ a „získávání přístupu k již [uloženým] informacím“, aniž tyto informace kvalifikuje nebo upřesňuje, že by se mělo jednat o osobní údaje.
Jak uvedl generální advokát v bodě 107 svého stanoviska, toto ustanovení má tedy za cíl chránit uživatele před zásahem do jeho soukromé sféry, a to bez ohledu na to, zda se tento zásah vztahuje na osobní nebo jiné údaje.
Tento výklad je potvrzen bodem 24 odůvodnění směrnice 2002/58, podle kterého jakékoli informace uložené na koncovém zařízení uživatele sítí elektronických komunikací tvoří součást soukromí uživatele, které vyžaduje ochranu v souladu s Evropskou úmluvou o ochraně lidských práv a základních svobod. Tato ochrana se vztahuje na veškeré informace uložené na tomto koncovém zařízení, bez ohledu na to, zda se týkají osobních údajů či nikoliv, a má za cíl zejména, jak vyplývá z tohoto bodu odůvodnění, chránit uživatele před rizikem pronikání skrytých identifikátorů nebo jiných podobných nástrojů do koncového zařízení těchto uživatelů bez jejich vědomí.
S ohledem na výše uvedené je třeba na první otázku pod písmenem b) odpovědět tak, že čl. 2 písm. f) a čl. 5 odst. 3 směrnice 2002/58 ve spojení s čl. 2 písm. h) směrnice 95/46, jakož i čl. 4 bodem 11 a čl. 6 odst. 1 písm. a) nařízení 2016/679 nelze vykládat odlišně v závislosti na tom, zda informace uložené nebo prohlížené v koncovém zařízení uživatele internetových stránek jsou nebo nejsou osobními údaji ve smyslu směrnice 95/46 a nařízení 2016/679.
K druhé otázce
Podstatou druhé otázky předkládajícího soudu je, zda musí být čl. 5 odst. 3 směrnice 2002/58 vykládán v tom smyslu, že informace, které musí poskytovatel služeb poskytnout uživateli internetových stránek, zahrnují dobu funkčnosti souborů cookies, jakož i možnost, aby k těmto souborům cookies měly přístup třetí osoby.
Jak již bylo uvedeno v bodě 46 tohoto rozsudku, čl. 5 odst. 3 směrnice 2002/58 vyžaduje, aby uživatel poskytl souhlas poté, co mu byly poskytnuty jasné a úplné informace „v souladu se směrnicí [95/46]“, mimo jiné o účelu zpracování.
Jak zdůraznil generální advokát v bodě 115 svého stanoviska, jasné a úplné informace musí uživateli umožnit jednoduše rozpoznat důsledky souhlasu, který by mohl udělit, a zajistit, aby byl takový souhlas udělen s plnou znalostí věci. Musí být jednoznačně srozumitelné a dostatečně podrobné, aby uživateli umožnily pochopit fungování použitých souborů cookies.
V takové situaci, jako je situace ve věci v původním řízení, ve které je podle informací poskytnutých ve spise předloženém Soudnímu dvoru účelem souborů cookies získávat informace pro reklamní účely týkající se produktů partnerů pořadatele reklamní loterie, jsou přitom doba funkčnosti souborů cookies, jakož i možnost přístupu třetích osob k těmto souborům cookies součástí jasných a úplných informací, které musí být uživateli poskytnuty v souladu s čl. 5 odst. 3 směrnice 2002/58.
V tomto ohledu je třeba uvést, že článek 10 směrnice 95/46, na který odkazuje čl. 5 odst. 3 směrnice 2002/58, jakož i článek 13 nařízení 2016/679, stanoví informace, které musí správce poskytnout osobě, od které získává údaje, které se jí týkají.
Mezi tyto informace patří, zejména podle článku 10 směrnice 95/46, kromě totožnosti správce a účelech zpracování, pro které jsou údaje určeny, veškeré doplňující informace, jako jsou příjemci nebo kategorie příjemců údajů, v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů vůči subjektu údajů, s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány.
Ačkoli se doba zpracování údajů v těchto informacích neobjevuje, z výrazu „alespoň“ v článku 10 směrnice 95/46 nicméně vyplývá, že se nejedná o taxativní výčet informací. Informace o době fungování souborů cookies přitom musí být považována za informaci, která je v souladu s požadavkem řádného zpracování údajů stanoveným v tomto článku, jelikož v situaci, o jakou se jedná ve věci původním řízení, dlouhá, či dokonce neomezená doba znamená shromažďování velkého počtu informací o zvycích při prohlížení a o frekvenci případných návštěv uživatele na stránkách reklamních partnerů pořadatele reklamní loterie.
Tento výklad je podporován čl. 13 odst. 2 písm. a) nařízení 2016/679, který stanoví, že správce poskytne subjektu údajů za účelem zajištění spravedlivého a transparentního zpracování informace týkající se mimo jiné doby, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby.
Pokud jde o možnost přístupu třetích osob k souborům cookies, jedná se o informaci obsaženou v informacích uvedených v čl. 10 písm. c) směrnice 95/46, jakož i v čl. 13 odst. 1 písm. e) nařízení 2016/679, jelikož tato ustanovení výslovně uvádějí příjemce nebo kategorie příjemců údajů.
S ohledem na výše uvedené je třeba na druhou otázku odpovědět tak, že čl. 5 odst. 3 směrnice 2002/58 musí být vykládán v tom smyslu, že informace, které musí poskytovatel služeb poskytnout uživateli internetových stránek, zahrnují dobu funkčnosti souborů cookies, jakož i možnost, aby k těmto souborům cookies měly přístup třetí osoby.
K nákladům řízení
Vzhledem k tomu, že řízení má, pokud jde o účastnice původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:

1)
Článek 2 písm. f) a čl. 5 odst. 3 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009, ve spojení s čl. 2 písm. h) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, jakož i čl. 4 bodem 11 a čl. 6 odst. 1 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46 (obecné nařízení o ochraně osobních údajů), musí být vykládány v tom smyslu, že souhlas uvedený v těchto ustanoveních není právoplatně udělen, pokud je ukládání informací nebo přístup k již uloženým informacím v koncovém zařízení uživatele internetových stránek prostřednictvím souborů cookies povoleno předem zaškrtnutým políčkem, jehož zaškrtnutí musí tento uživatel k odmítnutí svého souhlasu zrušit.

2)
Článek 2 písm. f) a čl. 5 odst. 3 směrnice 2002/58, ve znění směrnice 2009/136, ve spojení s čl. 2 písm. h) směrnice 95/46, jakož i čl. 4 bodem 11 a čl. 6 odst. 1 písm. a) nařízení 2016/679, nelze vykládat odlišně v závislosti na tom, zda informace uložené nebo prohlížené v koncovém zařízení uživatele internetových stránek jsou nebo nejsou osobními údaji ve smyslu směrnice 95/46 a nařízení 2016/679.

3)
Článek 5 odst. 3 směrnice 2002/58, ve znění směrnice 2009/136, musí být vykládán v tom smyslu, že informace, které musí poskytovatel služeb poskytnout uživateli internetových stránek, zahrnují dobu funkčnosti souborů cookies, jakož i možnost, aby k těmto souborům cookies měly přístup třetí osoby.

Podpisy.
(
*1
) – Jednací jazyk: němčina.