Hozzájárulás-e az előre megadott négyzeten való jelölés?

Ez a cikk több mint egy éve került publikálásra. A cikkben szereplő információk a megjelenéskor pontosak voltak, de mára elavultak lehetnek.

Az érintett hozzájárulása nem tekinthető érvényesnek abban az esetben, ha valamely internetes oldal felhasználója a végberendezésében mentett információk cookie‑k segítségével történő tárolását vagy az ott már tárolt információkhoz cookie‑k segítségével történő hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést e felhasználónak a hozzájárulása megtagadásához törölnie kell.

Az Európai Bíróság ítélete a Planet49 GmbH kontra Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. ügyben[1]

1. Bevezetés

A németországi Fogyasztói Szervezetek és Egyesületek Szövetsége a Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (a továbbiakban: szövetség) és az online játékokat kínáló társaság a Planet49 GmbH ügyében az előzetes döntéshozatal iránti kérelmet a németországi Legfelsőbb Bíróság a Bundesgerichtshof terjesztett az Európai Bíróság (a továbbiakban: EUB) elé.

A felek közti jogvita tárgyát a Planet49 GmbH társaság által szervezett nyereményjátékban résztvevőknek a személyes adataiknak az e társaság által a szponzorai és partnerei részére történő továbbításához, az információknak e felhasználók végberendezésében való tárolásához valamint, az ott tárolt információkhoz való hozzáféréshez adott hozzájárulása képezte.

A megállapított tényállás szerint a Planet49 által szervezett nyereményjátékban való részvételhez az internethasználó két jelölőnégyzettel találta szemben magát, amelyeket be kellett jelölnie vagy a jelölést el kellett távolítania, mielőtt meg tudta volna nyomni a „részvételi gombot”. Az egyik jelölőnégyzetnél a felhasználónak el kellett fogadnia, hogy több vállalkozás promóciós ajánlatokkal keresi meg, míg a másik jelölőnégyzetnél a felhasználónak hozzá kellett járulnia ahhoz, hogy számítógépére cookie‑k települjenek.

E látszólag ártalmatlan tényállás mögött az uniós adatvédelmi jog alapvető kérdései húzódnak meg: pontosan milyen követelmények vonatkoznak az önkéntesen megadandó, megfelelő tájékoztatáson alapuló hozzájárulásra? Van‑e különbség a (kizárólag) személyes adatok kezelése, illetve a cookie‑k telepítése és az azokhoz való hozzáférés között? Mely jogi normák vonatkoznak rájuk[2]?

Egyáltalán, jelenti-e a Planet49 tényállás szerinti hozzájárulás beszerzése az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló kinyilvánítását, amellyel beleegyezését adja az őt érintő személyes adatok kezeléséhez?

Az előzetes döntéshozatal iránti kérelemben e kérdések kapcsán kért jogértelmezés az alábbiak értelmezésével függ össze:

• az adatvédelemről szóló 95/46/EK európai irányelv[3]cikkének h) pontjával, miszerint az irányelv alkalmazásában:

„»az érintett hozzájárulása« az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok feldolgozásához [helyesen: kezeléséhez].”

és az ezzel együttesen értelmezett,

• az elektronikus hírközlési adatvédelemről szóló 2002/58/EK, irányelv[4] fogalom meghatározásokról szóló  cikke f) pontjával,

miszerint:

„egy felhasználó vagy előfizető „hozzájárulása”: megegyezik az érintett hozzájárulásának a 95/46/EK irányelvben szereplő fogalmával;” továbbá,

• cikke (3) bekezdésének előírásával, miszerint:

„A tagállamok gondoskodnak arról, hogy az elektronikus hírközlő hálózatoknak egy előfizető vagy felhasználó végberendezésében történő adattárolásra való felhasználása, illetve az ott tárolt adatokhoz való hozzáférésre való felhasználása csak azzal a feltétellel legyen megengedett, ha az érintett előfizetőt vagy felhasználót a 95/46/EK irányelvvel összhangban egyértelműen és teljes körűen tájékoztatják – többek között – az adatkezelés céljairól, valamint ha az érintett előfizetőnek vagy felhasználónak joga van visszautasítani az adatkezelő által végzett ilyen adatkezelést”.

valamint

• a 2016/679/EU rendelet[5] az általános adatvédelmi rendelet a GDPR „Az adatkezelés jogszerűsége” címet viselő 6. cikke (1) bekezdése a) pontjának rendelkezésével, amely szerint:

„(1)      A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

1. a)      az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;”

illetve, ezen joghelyek  alkalmazására vonatkozik.

Az EUB Planet49 GmbH ügyében hozott ítélete az adatvédelem területén a továbbiakban mind a jogalkalmazók mind a jogalkotók számára iránymutatásul szolgál.

2. A tényállás[6]

2013. szeptember 24‑én a Planet49 nyereményjátékot szervezett a www.dein‑macbook.de internetes oldalon. Az e játékban részt venni kívánó internethasználóknak közölniük kellett a postai irányítószámukat, ez olyan weboldalra irányította őket, ahová a nevüket és címüket kellett felvinniük. A cím alatt kitöltendő rovatokban két szöveg állt, amelyeket jelölőnégyzetek követtek. Az első szöveg, amely esetén a jelölőnégyzetet nem jelölték be előre, a következőképpen szólt:

„Hozzájárulok ahhoz, hogy egyes szponzorok és együttműködő partnerek postai úton, telefonon vagy e‑mailben/sms‑ben a mindenkori üzleti tevékenységükkel kapcsolatos ajánlatokról tájékoztassanak. Ezeket kiválaszthatom itt magam, egyéb esetben a kiválasztás a szervező által történik. A hozzájárulásomat bármikor visszavonhatom. Ezzel kapcsolatban további információk itt.”

A második szöveg, amely esetén a jelölőnégyzetet előre bejelölték, a következőképpen szólt:

„Hozzájárulok a Remintrex webanalízis‑szolgáltatás beállításához. Ebből következően a nyereményjátékok szervezője, a [Planet49] a nyereményjátékra történő regisztrációt követően cookie‑kat telepít, ami a Planet49 részére lehetővé teszi, hogy a Remintrex kiértékelje az internethasználati szokásaimat és a hirdetési partnerek internetes oldalainak általam történő felkeresését, és az érdeklődésemnek megfelelő hirdetéseket jelenítsen meg. A cookie‑kat bármikor törölhetem. További információ itt.”

A nyereményjátékban csak azt követően lehetett részt venni, ha legalább az első jelölőnégyzetet bejelölték.

Az első jelölőnégyzethez tartozó szövegben a „szponzorok és együttműködő partnerek” és az „itt” szavakhoz kapcsolt elektronikus hivatkozás egy olyan listához vezetett, amely 57 vállalkozást, azok címét, a hirdetni kívánt gazdasági tevékenységet és a hirdetéshez használt kommunikációs módot (e‑mail, posta vagy telefon) tartalmazta. Minden egyes vállalkozás neve után szerepelt az aláhúzott „leiratkozás” szó. A lista előtt a következő tájékoztatás állt:

„A »leiratkozás« linkre kattintva nem adom meg a hozzájárulást a hirdetéshez a megnevezett partner/szponzor részére. Amennyiben nem vagy nem elegendő partner/szponzor kerül kiválasztásra, a Planet49 saját mérlegelése alapján jelöl ki számomra (legfeljebb 30) partnert/szponzort.”

A második jelölőnégyzethez tartozó szövegben az „itt” szónál szereplő linkre kattintva az alábbi tájékoztatás jelent meg:

„A ceng_cache, ceng_etag, ceng_png és gcr kiterjesztésű, beállított cookie‑k olyan kis fájlok, amelyeket az Ön által használt böngésző az Ön merevlemezén tárol, és amelyek egy bizonyos számú olyan információt továbbítanak, amelyek hatékonyabb és felhasználóbarátabb hirdetést tesznek lehetővé. A cookie‑k egy meghatározott, véletlenszerűen generált számot (ID) tartalmaznak, amely egyidejűleg hozzárendelésre kerül a regisztráció során megadott adataihoz. Amennyiben ezt követően meglátogatja valamely, a Remintrexre regisztrált hirdetési partner weboldalát (arról, hogy a hirdetési partner rendelkezik‑e regisztrációval, a hirdetési partner adatvédelmi nyilatkozata alapján győződhet meg), a Remintrex által befűzött IFrame révén automatikusan érzékeli a program, hogy Ön (vagyis a tárolt ID‑vel rendelkező felhasználó) felkereste az oldalt, hogy mely termék iránt érdeklődött, és hogy sor került‑e esetleg szerződéskötésre.

Ezt követően a nyereményjátékra történő regisztráció során megadott, hirdetési tevékenységhez való hozzájárulás esetén a [Planet49] reklámcélú e‑maileket küldhet Önnek, amelyek megfelelnek a hirdetési partnerek weboldalain mutatott érdeklődési körének. Természetesen a hirdetésekhez való hozzájárulás visszavonását követően a továbbiakban nem fog reklámcélú e‑maileket kapni.

A cookie‑k által továbbított információk kizárólag a hirdetési partner termékeinek bemutatását szolgáló hirdetésekhez kerülnek felhasználásra. Az információkat minden hirdetési partner számára elkülönítetten gyűjtik, rögzítik és használják fel. Több hirdetési partnert érintő felhasználói profilok semmilyen esetben sem hozhatók létre. Az egyes hirdetési partnerekhez semmilyen személyes adat nem jut el.

Amennyiben a továbbiakban nem kívánja a cookie‑k felhasználását, úgy azokat bármikor törölheti a böngészőjében. Erre vonatkozó útmutatót böngészője [»súgó«] menüpontjában talál.

A cookie‑k nem teszik lehetővé sem a programok kimásolását, sem a vírusok terjesztését.

Természetesen lehetőség van arra, hogy ezt a hozzájárulást bármikor visszavonja. A visszavonó nyilatkozatot eljuttathatja írásban a [Planet49] [cím] részére. Egyébként elegendő egy e‑mail küldése ügyfélszolgálatunkra [e‑mail‑cím].”

Az előzetes döntéshozatalra utaló határozatból kitűnik, hogy a cookie‑k olyan fájlok, amelyeket az internetes oldal működtetője az ezen oldalt felkereső felhasználó számítógépére telepít, és amelyekhez az oldal felhasználó általi ismételt felkeresése esetén újra hozzáférhet annak érdekében, hogy az interneten történő tájékozódást vagy a tranzakciókat megkönnyítse, vagy a felhasználói tevékenységről információkat gyűjtsön.

Egy eredménytelen felszólítás keretében a szövetség, amely a fogyasztói és más jogok megsértése esetén benyújtható, abbahagyásra kötelezés iránti keresetekről szóló törvény[7], szerinti minősített szervezetek listájába bejegyzett fogyasztóvédelmi szervezet, előadta, hogy a Planet49 által az első és a második jelölőnégyzet segítségével igényelt hozzájáruló nyilatkozatok nem feleltek meg a német polgári törvénykönyv, a BGB[8] és a és az elektronikus médiáról szóló törvény a TMG[9], továbbá a tisztességtelen verseny elleni harcról szóló törvény[10] rendelkezései által megkövetelt feltételeknek.

A szövetség, a Frankfurt am Main‑i regionális bíróság, a Landgericht Frankfurt am Main- hoz benyújtott keresetében a bíróságtól azt kérte, hogy kötelezze a Planet49‑et, hogy hagyjon fel az ilyen hozzájáruló nyilatkozatok megkövetelésével, és kötelezze arra, hogy fizessen meg számára 214 eurót, valamint annak 2014. március 15‑től esedékes kamatait. A bíróság e keresetnek részben helyt adott.

Az ezen ítélet ellen a Planet49 a Frankfurt am Main‑i tartományi felsőbírósághoz, az Oberlandesgericht Frankfurt am Mainhoz benyújtott fellebbezést követően e bíróság úgy ítélte meg, hogy nem megalapozott a szövetség arra irányuló kérelme, hogy a Planet49 hagyjon fel azzal, hogy a fogyasztókkal kötött, nyereményjátékra vonatkozó megállapodásaiba belefoglalja azon szöveget, amelynek második jelölőnégyzetét előre bejelölték, mivel egyrészt a felhasználónak tudomása volt arról, hogy e négyzet bejelölését törölni lehet, másrészt pedig azt kellően egyértelmű írásmóddal jelölték, és tájékoztatást nyújtottak a cookie‑k használatának szabályairól, anélkül hogy szükséges lenne felfedni azon harmadik személyek kilétét, akik hozzáférhetnek a gyűjtött adatokhoz.

A  német szövetségi legfelsőbb bíróság, a Bundesgerichtshof, – amelyhez a szövetség a Frankfurt am Main‑i tartományi felsőbíróság ítélete ellen felülvizsgálati kérelemmel fordult – úgy vélte, hogy a vita kimenetele a bevezetésben hivatkozott – 2002/58 irányelv 5. cikke (3) bekezdése és 2. cikke f) pontja, a 95/46 irányelv 2. cikke h) pontja és a 2016/679 rendelet 6. cikke (1) bekezdése a) pontja – rendelkezések együttes értelmezésétől függ. Mivel azonban kétségei voltak a tekintetben, hogy a Planet49 a www.dein‑macbook.de internetes oldal felhasználóitól érvényesen szerezte be hozzájárulásukat a második jelölőnégyzet segítségével, továbbá kétségei voltak a 2002/58 irányelv 5. cikkének (3) bekezdésében előírt tájékoztatási kötelezettség terjedelmével kapcsolatban, ezért az eljárást felfüggesztette, és előzetes döntéshozatal céljából kérdéseket terjesztett az EUB elé.

3. Az EUB értékelése és ítélete  

3.1.1. Az EUB a 95/46 irányelv és a 2016/679 rendelet együttes alkalmazhatóságáról

Az EUB, mivel a 2016/679 rendelet 2018. május 25‑i hatállyal hatályon kívül helyezte és felváltotta a 95/46 irányelvet, előzetesen megvizsgálta e jogforrások tényállás szerinti ügyre való alkalmazhatóságát.

Az előterjesztő bíróság az első kérdése egy részének vonatkozása kapcsán  az EUB megállapította, hogy a 2016/679 rendelet hatálybalépésének az időpontja későbbi, mint a kérdést előterjesztő bíróság utolsó tárgyalásának időpontja, amelyre 2017. július 14‑én került sor, valamint az az időpont, amikor az EUB -hoz az előterjesztett előzetes döntéshozatal iránti kérelmet benyújtották. Tekintettel a 2016/679 rendelet a 2018. május 25‑i hatálybalépésére, e rendeletet a tényállás szerinti ügy elbírálásakor figyelembe kell venni. Nem kizárt továbbá, hogy amennyiben a szövetség eljárása arra irányul, hogy megszüntesse a Planet49 magatartását a jövőre nézve, a 2016/679 rendelet időbeli hatályánál fogva az abbahagyásra kötelezés iránti keresetek tekintetében a vonatkozó jogi helyzetre irányadó nemzeti ítélkezési gyakorlat miatt alkalmazandó az alapügyben, aminek a vizsgálata a kérdést előterjesztő bíróság feladata[11].

E körülmények között, a 2016/679 rendelet 94. cikkének (2) bekezdése értelmében a 2002/58 irányelvben szereplő, a 95/46 irányelvre vonatkozó hivatkozások az említett rendeletre történő hivatkozásként értelmezendők, továbbá, a 2002/58 irányelv a szövetség kérelmeinek jellegétől és az érintett időszaktól függően vagy a 95/46 irányelvvel, vagy a 2016/679 rendelettel való együttesen alkalmazása nem zárható ki[12]. Másként fogalmazva, az EUB-nak az előterjesztett kérdéseket mind a 95/46 irányelv, mind a 2016/679 rendelet alapján kellett megválaszolnia.

3.1.2. Az EUB az első kérdés a) és c) pontjáról

Első kérdésének a) és c) pontjával a kérdést előterjesztő bíróság arra várt választ, hogy a 95/46 irányelv 2. cikkének h) pontjával, valamint a 2016/679 rendelet 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett 2002/58 irányelv 2. cikkének f) pontját és 5. cikkének (3) bekezdését úgy kell–e értelmezni, hogy az e rendelkezésekben foglalt hozzájárulás érvényes abban az esetben, ha valamely internetes oldal felhasználója a végberendezésében mentett információk cookie‑k segítségével történő tárolását vagy az ott már tárolt információkhoz cookie‑k segítségével történő hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést a felhasználónak a hozzájárulása megtagadásához törölnie kell[13].

Az EUB elöljáróban pontosította, hogy az előzetes döntéshozatalra utaló határozatban szereplő információk szerint azok a cookie‑k, amelyek a Planet49 által szervezett nyereményjátékban részt vevő felhasználó végberendezésében menthetők, az e felhasználóra – akinek nevét és címét az e játékban való részvételi nyomtatványon kell feltüntetnie – vonatkozó regisztrációs adatokhoz rendelt számot tartalmaznak. E szám és ezen adatok társítása a cookie‑k segítségével tárolt adatokat személyessé teszi, amennyiben a felhasználó internetet használ, így ezen adatoknak cookie‑k útján történő gyűjtése a személyes adatok kezelésének körébe tartozik.

E megállapításokat a Planet49 is megerősítette, amely az írásbeli észrevételeiben hangsúlyozta, hogy a második jelölőnégyzet szerinti hozzájárulás célja, hogy személyes adatok, nem pedig anonim információk gyűjtését és kezelését engedélyezze.

E tekintetben az EUB emlékeztetett arra, hogy az uniós jog egységes alkalmazásának követelményéből és az egyenlőség elvéből az következik, hogy a jelentésének és hatályának meghatározása érdekében a tagállamok jogára kifejezett utalást nem tartalmazó uniós jogi rendelkezést önállóan és egységesen kell értelmezni az egész Unióban[14], továbbá  állandó ítélkezési gyakorlata értelmében valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak kifejezéseit és az általa követett célokat kell figyelembe venni, hanem a szövegkörnyezetét, valamint az uniós jogi rendelkezések összességét is. Valamely uniós jogi rendelkezés keletkezéstörténete szintén releváns elemeket hordozhat értelmezése szempontjából[15].

Bár, a 2002/58 irányelv 5. cikke (3) bekezdése kifejezetten előírja, hogy a felhasználónak előzetesen „hozzá kell járulnia” a cookie‑knak a végberendezésén történő telepítéséhez és azok lehívásához, ez a rendelkezés azonban nem tartalmaz útmutatást arra vonatkozóan, hogy e hozzájárulást milyen módon kell megadni.  Mindazonáltal a „hozzájárult” kifejezés szó szerinti értelmezése szerint a felhasználó cselekménye szükséges a hozzájárulása kifejezéséhez. A 2002/58 irányelv (17) preambulumbekezdéséből az következik, hogy a felhasználónak az irányelv szerinti hozzájárulása bármely olyan megfelelő módon megadható, amely lehetővé teszi a szándékainak önkéntes, konkrét és a megfelelő információk birtokában történő kifejezését, többek között „valamely internetes honlap látogatása során egy rovat bejelölésével”[16].

A 2002/58 irányelv irányelv 2. cikkének h) pontja „az érintett hozzájárulását” a következőképpen határozza meg: „az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok kezeléséhez”. Vagyis az érintett akaratának „kinyilvánítása” vonatkozó követelmény egyértelműen aktív és nem passzív magatartásra utal. Egy, előre bejelölt négyzet útján adott hozzájárulás azonban az internetes oldal felhasználója részéről nem jelent aktív magatartást[17].

Ezt az értelmezést erősíti a 95/46 irányelv 7. cikke, amely kimerítő és korlátozó jellegű felsorolását írja elő azon eseteknek, amelyekben a személyes adatok kezelése ebben az értelemben jogszerűnek minősíthető[18]. Az érintett beleegyezése az ilyen adatkezelést jogszerűvé teheti, amennyiben az érintett ahhoz „egyértelmű” hozzájárulását adta. Márpedig e követelménynek csak az e személy által a hozzájárulásának kinyilvánítása érdekében tanúsított aktív magatartása felel meg.

Erre figyelemmel gyakorlatilag lehetetlennek tűnik objektív módon meghatározni azt, hogy valamely internetes oldal felhasználója ténylegesen hozzájárult‑e személyes adatai kezeléséhez, mivel nem törölte valamely, előre bejelölt négyzet jelölését, azt pedig egyáltalán nem, hogy e hozzájárulást megfelelő információk birtokában adta‑e meg. Nem zárható ki ugyanis, hogy az említett felhasználó nem olvasta az előre bejelölt négyzetet kísérő információt, sőt, lehet, hogy észre se vette ezt a négyzetet, és úgy folytatta a böngészést az általa látogatott internetes oldalon[19].

Következésképpen, a – 95/46 irányelv 2. cikkének h) pontjával összefüggésben értelmezett 2002/58 irányelv 2. cikkének f) pontja és 5. cikkének (3) bekezdése szerinti – hozzájárulás nem tekinthető érvényesen megadottnak akkor, ha valamely internetes oldal felhasználója a végberendezésében mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést a szolgáltató által előre bejelölt négyzettel engedélyezi, és e bejelölést a felhasználónak a hozzájárulása megtagadásához törölnie kell.  Ezen akaratnyilvánításnak azonban „kifejezettnek” kell lennie abban az értelemben, hogy pontosan az érintett adatkezelésre kell vonatkoznia, és nem elég, hogy az valamely eltérő tárgyú akaratnyilvánításból kikövetkeztethető[20]. A tárgyi ügyben, – a Planet49 állításával ellentétben, – az, hogy egy felhasználó rákattint az e társaság által szervezett nyereményjátékban való részvétel gombra, nem lehet ennek megfelelően elegendő ahhoz, hogy úgy lehessen tekinteni, hogy a felhasználó érvényesen hozzájárult a cookie‑k telepítéséhez[21].

Ez az értelmezés a 2016/679 rendelet fényében még inkább szükségszerű.

A 2016/679 rendelet 4. cikke 11. pontjának szövege, amely e rendelet alkalmazásában, és különösen a 6. cikke (1) bekezdésének a) pontja értelmében – amelyre az első kérdés c) pontja vonatkozik – határozza meg „az érintett hozzájárulását”, még szigorúbbnak bizonyul, mint a 95/46 irányelv 2. cikkének h) pontja, mivel az az érintett akaratának „önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű” kinyilvánítását követeli meg, amely vagy akaratnyilatkozat, vagy olyan „egyértelmű pozitív aktus” formáját ölti, amely kinyilvánítja a rá vonatkozó személyes adatok kezeléséhez való hozzájárulást[22].

A rendelet (32) preambulumbekezdése szerint:” Az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett –, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed.”

Az ítéletben foglaltak szerint – a 2016/679 rendelet 4. cikkének 11. pontjával és 6. cikke (1) bekezdésének a) pontjával összefüggésben értelmezett 2002/58 irányelv 2. cikkének f) pontja és 5. cikkének (3) bekezdése értelmében – a hozzájárulás nem tekinthető érvényesnek, ha valamely internetes oldal felhasználója a végberendezésében mentett információk tárolását vagy az ott tárolt információkhoz való hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést a felhasználónak a hozzájárulása megtagadásához törölnie kell[23].

Az EUB e megállapítások összességére tekintettel az első kérdés a) és c) pontjára adott válasza szerint a 95/46 irányelv 2. cikkének h) pontjával, valamint a 2016/679 rendelet 4. cikkének 11. pontjával és 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett 2002/58 irányelv 2. cikkének f) pontját és 5. cikkének (3) bekezdését úgy kell értelmezni, hogy az e rendelkezésekben foglalt hozzájárulás nem tekinthető érvényesnek abban az esetben, ha valamely internetes oldal felhasználója a végberendezésében mentett információk cookie‑k segítségével történő tárolását vagy az ott már tárolt információkhoz cookie‑k segítségével történő hozzáférést előre bejelölt négyzettel engedélyezi, és e bejelölést e felhasználónak a hozzájárulása megtagadásához törölnie kell.

3.1.3. Az első kérdés b) pontjáról

Első kérdésének b) pontjával az előterjesztő Bundesgerichtshof arra kereste a választ, hogy a 95/46 irányelv 2. cikkének h) pontjával, valamint a 2016/679 rendelet 4. cikke 11. pontjával és 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett 2002/58 irányelv 2. cikkének f) pontját és 5. cikkének (3) bekezdését eltérően kell‑e értelmezni attól függően, hogy a valamely internetes oldal felhasználójának végberendezésében tárolt vagy onnan lehívott információk a 95/46 irányelv és a 2016/679 rendelet értelmében vett személyes adatoknak minősülnek‑e, vagy sem[24].

Ez EUB elöljáróban megerősítette korábbi megállapítását, miszerint  az ügy tárgyát képező cookie‑k telepítése személyes adatok kezelésének körébe tartozik, továbbá pontosította, hogy a 2002/58 irányelv 5. cikkének (3) bekezdése az „adattárolásra” és a már tárolt „adatokhoz való hozzáférés” megszerzésére utal, anélkül hogy ezen adatokat minősítené vagy pontosítaná azt, hogy ezen adatoknak személyes adatoknak kell lenniük. E rendelkezés célja tehát az, hogy a felhasználót a magánéletébe való bármilyen beavatkozástól megvédje, függetlenül attól, hogy az ilyen beavatkozás során személyes adatokról vagy más adatokról van‑e szó.

Az EUB az első kérdés b) pontjára adott válasza szerint, a 95/46 irányelv 2. cikkének h) pontjával, valamint a 2016/679 rendelet 4. cikkének 11. pontjával és 6. cikke (1) bekezdésének a) pontjával együttesen értelmezett 2002/58 irányelv 2. cikkének f) pontját és 5. cikkének (3) bekezdését nem kell eltérően értelmezni attól függően, hogy a valamely internetes oldal felhasználójának végberendezésében tárolt vagy onnan lehívott információk a 95/46 irányelv és a 2016/679 rendelet értelmében vett személyes adatoknak minősülnek‑e, vagy sem[25].

3.2.  Az EUB a második kérdésről

Második kérdésével a kérdést előterjesztő bíróság arra vár választ, hogy a 2002/58 irányelv 5. cikkének (3) bekezdését úgy kell‑e értelmezni, hogy a szolgáltató által a valamely internetes oldal felhasználójának nyújtandó információk kiterjednek a cookie‑k működésének időtartamára, valamint arra, hogy harmadik személyek hozzáférhetnek‑e ezen cookie‑khoz, vagy sem[26].

Amint az EUB ezen ítéletében már megállapította, a 2002/58 irányelv 5. cikkének (3) bekezdése azt követeli meg, hogy a felhasználó „a [95/46] irányelvvel összhangban” történő – többek között az adatkezelés céljairól szóló – egyértelmű és teljes körű tájékoztatás alapján ehhez előzetes hozzájárulását adja. Az egyértelmű és teljes körű tájékoztatásnak a felhasználót olyan helyzetbe kell hoznia, hogy könnyedén el tudja dönteni, milyen következményekkel jár az általa esetleg megadott hozzájárulás, és biztosítania kell, hogy ezt a hozzájárulást a helyzet teljes ismeretében adják meg.

A tájékoztatásnak egyértelműen érthetőnek és kellően részletesnek kell lennie ahhoz, hogy a felhasználó az alkalmazott cookie‑k működését meg tudja érteni.  A tényállásbeli helyzetben szereplő cookie‑k a nyereményjáték szervezője partnereinek termékeivel kapcsolatos információk reklámcélú összegyűjtésére irányultak, a cookie‑k működésének időtartama, valamint az, hogy harmadik személyek hozzáférhettek‑e ezen cookie‑khoz, vagy sem, a felhasználó részére nyújtandó egyértelmű és teljes körű tájékoztatás részét képezik.

Az EUB e tekintetben megállapította, hogy az irányelv és a rendelet is felsorolja azokat az információkat, amelyeket az adatkezelőnek közölnie kell azzal a személlyel, akitől a rá vonatkozó adatokat gyűjti.  Ezek az információk a 95/46 irányelv 10. cikkének értelmében az adatkezelő személyazonosságán és az adatkezelés céljain túlmenően többek között minden olyan további adatra kiterjednek, amelyek az adatok tisztességes kezelésének biztosításához szükségesek.

Bár az adatkezelés időtartama nem szerepel ezen információk között, a 95/46 irányelv 10. cikkében szereplő „legalább” kifejezésből kitűnik, hogy azokat nem kimerítően sorolja fel. Márpedig a cookie‑k működésének időtartamára vonatkozó információt úgy kell tekinteni, mint amely megfelel az adatok tisztességes kezelésére vonatkozó, előírt követelménynek, amennyiben a hosszú, sőt korlátlan időtartam az internethasználati szokásokra és a nyereményjáték‑szervező hirdetési partnerei oldalainak a felhasználó általi esetleges felkeresésének gyakoriságára vonatkozóan számos adat gyűjtését eredményezi[27].

Harmadik személyek cookie‑khoz való hozzáférésének lehetőségét illetően az irányelvben és a rendeletben is említett információk között szereplő információról van szó, mivel ezek a rendelkezések kifejezetten megemlítik az adatok címzettjeit vagy a címzettek kategóriáit[28].

Az EUB e megfontolásokból következően a második kérdésre adott válasza szerint, a 2002/58 irányelv 5. cikkének (3) bekezdését úgy kell értelmezni, hogy a szolgáltató által a valamely internetes oldal felhasználójának nyújtandó információk kiterjednek a cookie‑k működésének időtartamára, valamint arra, hogy harmadik személyek hozzáférhetnek‑e ezen cookie‑khoz, vagy sem[29].

[1]2019. október 1-i C‑673/17. sz.  Planet49 GmbH kontra Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.ügy, ítélet ECLI:EU:C:2019:801 (a továbbiakban: Ítélet)

[2] Maciej Szpunar főtanácsnok indítványa a C‑673/17. sz. ügy Planet49 GmbH kontra Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (a továbbiakban: Indítvány) 2. pont.

[3]  A személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i európai parlamenti és tanácsi irányelv

[4] A 2009. november 25‑i 2009/136/EK európai parlamenti és tanácsi irányelvvel módosított, az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról [helyesen: a személyes adatok kezeléséről] és a magánélet védelméről szóló, 2002. július 12‑i irányelv „Elektronikus hírközlési adatvédelmi irányelv”

[5]  A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46 irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet

[6] Ítélet 25-37. pont.

[7]2001. november 26‑i Gesetz über Unterlassungsklagen bei Verbraucherrechts‑ und anderen Verstößen (Unterlassungsklagengesetz – UKlaG), a fogyasztói és más jogok megsértése esetén benyújtható, abbahagyásra kötelezés iránti keresetekről szóló törvény, BGBl. 2001 I, 3138. o. 4. §‑a szerinti

[8]A Bürgerliches Gesetzbuch (BGB) 307. §

[9]A 2007. február 26‑i Telemediengesetz TMG az elektronikus médiáról szóló törvény 12. §.

[10]2004. július 3‑i Gesetz gegen den unlauteren Wettbewerb a tisztességtelen verseny elleni harcról szóló törvény 7. §‑a (2) bekezdése 2. pontjának

[11] 2019. január 16‑i Deutsche Post ítélet, C‑496/17, EU:C:2019:26, 38. pont.

[12] Ítélet 41. pont.

[13] Ítélet 44. pont.

[14] 2019. március 26‑i SM ítélet C‑129/18, EU:C:2019:248, 50. pont; 2019. április 11‑i Tarola ítélet, C‑140/17, EU:C:2019:309, 36. pont.

[15] 2018. december 10‑i Wightman és társai ítélet, C‑621/18, EU:C:2018:999, 47. pont, valamint az ott hivatkozott ítélkezési gyakorlat.

[16] Ítélet 49. pont.

[17] Ítélet 50. pont.

[18] 2011. november 24‑i Asociación Nacional de Establecimientos Financieros de Crédito ítélet, C‑468/10 és C‑469/10, EU:C:2011:777, 30. pont; 2016. október 19‑i Breyer ítélet, C‑582/14, EU:C:2016:779, 57. pont.

[19] Ítélet 55. pont.

[20] Ítélet 58. pont.

[21] Ítélet 59.pont.

[22] Ítélet 61. pont.

[23] Ítélet 63. pont.

[24] Ítélet 66. pont.

[25] Ítélet 71. pont.

[26] Ítélet 72. pont.

[27] Ítélet 78. pont.

[28] Ítélet 80. pont.

[29] Ítélet 81.pont.

---