Решение от 1 октомври 2019 г., Planet49, C‑673/17, EU:C:2019:801
Решението е постановено по преюдициално запитване, отправено от Bundesgerichtshof (Федерален върховен съд, Германия), в рамките на спор на Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Федерация на организациите и сдруженията на потребители — федерация на организациите на потребители, Германия) ( „федерацията“) с Planet49 GmbH, дружество, предлагащо онлайн игри, по повод на съгласието на участниците в промоционална игра, организирана от това дружество, за предаването на техни лични данни на спонсори и партньори на това дружество, както и за съхраняването на информация и достъпа до съхранената информация в устройствата на тези потребители.
Преюдициалното запитване е за тълкуване на член 2, буква е) и член 5, параграф 3 от Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63), изменена с Директива 2009/136/ЕО на Европейския парламент и на Съвета от 25 ноември 2009 г. (ОВ L 337, 2009 г., стр. 11) (наричана по-нататък „Директива 2002/58“), във връзка с член 2, буква з) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10), както и с член 6, параграф 1, буква а) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1).
Фактите по делото са следните. На 24 септември 2013 г. Planet49 организира промоционална игра на интернет сайта www.dein-macbook.de. Интернет потребителите, които желаят да се включат в играта, трябва да попълнят пощенския си код, което ги отвежда към уебстраница, в която въвеждат името и адреса си. Под полетата, в които се попълва адресът, се намират две изявления, до които има полета за отмятане. Първото изявление, до което полето не съдържа предварително отмятане (наричано по-нататък „първото поле за отбелязване“), е със следния текст:
„Съгласен съм някои спонсори и бизнес партньори да ме информират по пощата, по телефона или по имейл или със SMS за промоции в съответния търговски сектор. С настоящото мога сам да ги определя; в противен случай изборът ще бъде направен от организатора. Мога по всяко време да оттегля съгласието си. По-подробна информация във връзка с това е на разположение тук“.
Второто изявление, до което полето съдържа предварително отмятане (наричано по-нататък „второто поле за отбелязване“), е със следния текст:
„Съгласен съм при мен да се използва услугата за уебанализ Remintrex. Така след регистрацията в промоционалната игра нейният организатор, [Planet49], ще инсталира бисквитки, което ще му позволи с помощта на Remintrex да анализира сърфирането ми в интернет и посещенията ми на уебсайтове на рекламни партньори и да изпраща реклами според моите интереси. Бисквитките мога да изтрия по всяко време. За повече подробности тук“.
Участието в промоционалната игра е възможно едва след отмятане поне на първото поле за отбелязване. Електронната връзка, включена в изявлението към първото поле за отбелязване към думите „спонсори и бизнес партньори“ и „тук“, отвежда към списък с 57 предприятия, в който са посочени техните адреси, предметът на рекламираната дейност и средството за комуникация, използвано за рекламата (електронна поща, поща или телефон). След наименованието на всяко предприятие се намира думата „изключване“, която е подчертана. В началото на списъка е уточнено, че с кликването върху линка „изключване“ се изключва получаването на реклами от посочения партньор/спонсор.
От акта за преюдициално запитване следва, че бисквитките са файлове, които доставчикът на даден интернет сайт инсталира на компютъра на потребителя и до които може отново да получи достъп при повторно посещение на сайта от потребителя, за да улесни навигацията в интернет, извършването на транзакции или за да получи достъп до информация относно поведението на потребителя.
Федерацията твърди, че изявленията за съгласие, поискани от Planet49 с помощта на първото и второто поле за отбелязване, не отговарят на изискванията съгласно член 307 от BGB във връзка с член 7, параграф 2, точка 2 от Gesetz gegen den unlauteren Wettbewerb (Закон срещу нелоялната конкуренция) от 3 юли 2004 г. (BGBl. 2004 I, стр. 1414), в редакцията, приложима към спора в главното производство, и с членове 12 и сл. от TMG. Тя предявява пред Landgericht Frankfurt am Main (Областен съд Франкфурт на Майн, Германия) иск за осъждане на Planet49 да преустанови да изисква такива изявления за съгласие и да ѝ изплати сумата от 214 EUR ведно с лихвите след 15 март 2014 г.
Landgericht Frankfurt am Main (Областен съд Франкфурт на Майн) уважава иска частично. Planet49 подава въззивна жалба пред Oberlandesgericht Frankfurt am Main (Върховен областен съд Франкфурт на Майн, Германия). Тази юрисдикция счита, че искането на федерацията Planet49 да престане да включва изявлението към което второто поле за отбелязване е предварително отметнато, е неоснователно. Сезиран с жалба срещу това решение, Bundesgerichtshof (Федерален върховен съд, Германия) приема, че изходът на спора в главното производство зависи от тълкуването на разпоредбите на член 5, параграф 3 във връзка с тези на член 2, буква е) от Директива 2002/58, на член 2, буква з) от Директива 95/46 и на член 6, параграф 1, буква а) от Регламент 2016/679, поради което сезира Съда на ЕС по реда на преюдициалното производство по чл. 267 ДФЕС.
На първо място, запитващата юрисдикция иска по същество да установи дали член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 2, буква з) от Директива 95/46, както и с член 6, параграф 1, буква а) от Регламент 2016/679, трябва да се тълкуват в смисъл, че даването на споменатото в тези разпоредби съгласие е действително, когато съхраняването на информация или достъпът до информация, която вече е съхранена в крайното оборудване на потребител на интернет сайт, с помощта на бисквитки, се позволява чрез предварително маркирано с отметка квадратче, от което потребителят трябва да премахне отметката, за да откаже съгласието си.
Съдът отбелязва, че текстът на член 5, параграф 3 от Директива 2002/58 предвижда изрично, че потребителят трябва да „е дал своето съгласие“ за инсталирането и консултирането на бисквитки на своето крайно оборудване, но тази разпоредба не указва начина, по който трябва да се даде такова съгласие. Изразът „е дал своето съгласие“ допуска обаче буквално тълкуване, съгласно което е необходимо потребителят да извърши определено действие, за да изрази съгласието си. Така, „манифестирането“ на воля от страна на съответното лице очевидно изисква положително, а не отрицателно действие. Съгласието, дадено посредством предварително отметнато поле, обаче не е свързано с положително действие от страна на потребителя на интернет сайт. На практика е невъзможно да се определи обективно дали потребителят на интернет сайт действително е дал съгласие за обработването на своите лични данни, като не е премахнал отбелязването в предварително отметнато поле, както и при всички положения дали даденото съгласие е било информирано.
Ето защо, даването на съгласието не е действително, когато съхраняването на информация или достъпът до информация, която вече е съхранена на крайното оборудване на потребител на интернет сайт, се позволява чрез предварително маркирано от доставчика на услуга с отметка квадратче, от което потребителят трябва да премахне отметката, за да откаже съгласието си.
В този смисъл Регламент 2016/679 вече предвижда изрично активно даване на съгласие. В тази връзка трябва да се отбележи, че в съответствие със съображение 32 от този регламент изразяването на съгласие може да включва отбелязване с отметка в поле при посещението на интернет сайт. Съображението обаче изрично изключва наличието на съгласие в случай на „мълчание[…], предварително отметнати[…] полета или липса[…] на действие“.
С оглед на изложените съображения в тяхната цялост Съдът отговаря на въпроса в смисъл, че член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 2, буква з) от Директива 95/46, както и с член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 трябва да се тълкуват в смисъл, че даването на споменатото в тези разпоредби съгласие не е действително, когато съхраняването на информация или достъпът до информация, която вече е съхранена в крайното оборудване на потребител на интернет сайт, с помощта на бисквитки, се позволява чрез предварително маркирано с отметка квадратче, от което потребителят трябва да премахне отметката, за да откаже съгласието си.
На второ място, запитващата юрисдикция иска по същество да установи дали член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 2, буква з) от Директива 95/46, както и с член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 трябва да се тълкуват по различен начин в зависимост от това дали информацията, която се съхранява или консултира на крайното оборудване на потребител на интернет сайт, представлява или не лични данни по смисъла на Директива 95/46 и на Регламент 2016/679.
Съдът констатира, че член 5, параграф 3 от Директива 2002/58 говори за „съхраняване на информация“ и за „получаване на достъп до [вече съхранявана] информация“, без да квалифицира тази информация, нито да уточнява, че тя трябва да представлява лични данни. Поради това посочената разпоредба има за цел да защити потребителя от всяка намеса в личния му живот, независимо от въпроса дали намесата е свързана или не с лични данни.
Отговорът следователно е, че член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 2, буква з) от Директива 95/46, както и с член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 не трябва да се тълкуват по различен начин в зависимост от това дали информацията, която се съхранява или консултира на крайното оборудване на потребител на интернет сайт, представлява или не лични данни по смисъла на Директива 95/46 и на Регламент 2016/679.
На последно място, Съдът приема, че член 5, параграф 3 от Директива 2002/58 трябва да се тълкува в смисъл, че информацията, която доставчикът на услуги трябва да предостави на потребител на интернет сайт, включва продължителността на функциониране на бисквитките, както и дали трети лица имат или не възможност за достъп до тях.