HvJ EU, 01-10-2019, nr. C-673/17

Ingevolge § 307, lid 1, eerste volzin, van het Bürgerliche Gesetzbuch (hierna: ‘BGB’) ‘blijven de bepalingen uit algemene voorwaarden zonder gevolg wanneer deze de wederpartij van degene die deze voorwaarden hanteert, onevenredig benadelen in strijd met de goede trouw’.

Krachtens § 307, lid 2, punt 1, BGB wordt in geval van twijfel ‘uitgegaan van een onevenredige benadeling indien een bepaling onverenigbaar is met fundamentele overwegingen waarop de regeling waarvan wordt afgeweken, berust’.

In § 12 van het Telemediengesetz (wet betreffende onlinemedia) van 26 februari 2007 (BGBl. 2007 I, blz. 179), in de versie die van toepassing is op het hoofdgeding (hierna: ‘TMG’), wordt het volgende bepaald:

Ingevolge § 13, lid 1, TMG dient de aanbieder van diensten de gebruiker op het moment waarop met de gegevensverwerking wordt begonnen in algemeen begrijpelijke vorm in kennis te stellen van de wijze waarop zijn persoonsgegevens zullen worden verzameld, over de omvang van deze verzameling en over de doeleinden daarvan, tenzij dat eerder al is gebeurd. Bij geautomatiseerde procedures waardoor de gebruiker later geïdentificeerd kan worden en waarmee het verzamelen of het gebruik van persoonsgegevens wordt voorbereid, dient de gebruiker bij het begin van deze procedure te worden geïnformeerd.

Volgens § 15, lid 3, TMG mag de aanbieder van diensten met het oog op reclame, marktonderzoek of de gepaste vormgeving van zijn onlinemedia bij gebruik van pseudoniemen gebruikersprofielen opstellen, mits de gebruiker daartegen geen bezwaar maakt nadat hij op de hoogte is gesteld van zijn recht van bezwaar.

Volgens de definitie in § 3, lid 1, van het Bundesdatenschutzgesetz (federale wet betreffende gegevensbescherming) van 20 december 1990 (BGBl. 1990 I, blz. 2954), in de op het hoofdgeding toepasselijke versie (hierna: ‘BDSG’), zijn ‘[p]ersoonsgegevens […] specifieke gegevens over persoonlijke of zakelijke omstandigheden betreffende een geïdentificeerde of identificeerbare natuurlijke persoon (de betrokkene)’.

In § 3, lid 3, BDSG wordt verzamelen gedefinieerd als het inwinnen van gegevens over de betrokkene.

§ 4a, lid 1, eerste volzin, BDSG zet artikel 2, onder h), van richtlijn 95/46 om en bepaalt dat er alleen rechtsgeldig toestemming wordt verleend wanneer deze berust op de vrije beslissing van de betrokkene.

Om te beginnen moet de toepasselijkheid van richtlijn 95/46 en verordening 2016/679 op de feiten in het hoofdgeding worden onderzocht.

Met ingang van 25 mei 2018 is richtlijn 95/46 ingetrokken en vervangen door verordening 2016/679, overeenkomstig artikel 94, lid 1, van die verordening.

Deze datum viel uiteraard na de laatste terechtzitting bij de verwijzende rechter op 14 juli 2017, en ook na de datum waarop de verwijzende rechter het Hof verzocht om een prejudiciële beslissing.

De verwijzende rechter heeft echter aangegeven dat verordening 2016/679, waarop overigens een deel van de eerste vraag betrekking heeft, rekening houdend met de inwerkintreding ervan op 25 mei 2018, waarschijnlijk in aanmerking moet worden genomen bij de beslechting van het hoofdgeding. Aangezien de door het Bundesverband ingestelde procedure bedoeld is om Planet49 te dwingen dit gedrag in de toekomst na te laten, kan voorts, zoals de Duitse regering ter terechtzitting voor het Hof heeft aangegeven, niet worden uitgesloten dat verordening 2016/679 ratione temporis op het hoofdgeding van toepassing is op grond van de nationale rechtspraak over de betrokken juridische situatie bij verbodsacties. Het staat aan de verwijzende rechter om dit na te gaan (zie omtrent een declaratoire vordering arrest van 16 januari 2019, Deutsche Post, C-496/17, EU:C:2019:26, punt 38).

In deze omstandigheden en gelet op het feit dat de verwijzingen in richtlijn 2002/58 naar richtlijn 95/46 krachtens artikel 94, lid 2, van verordening 2016/679 moeten worden begrepen als verwijzingen naar die verordening, is het in het onderhavige geval niet uitgesloten dat richtlijn 2002/58 van toepassing is, gelezen in samenhang met ofwel richtlijn 95/46 ofwel verordening 2016/679 al naargelang van de aard van de vorderingen van het Bundesverband en de betrokken periode.

Daarom moeten de gestelde vragen worden beantwoord op basis van zowel richtlijn 95/46 als verordening 2016/679.

Met zijn eerste vraag, onder a) en c), wenst de verwijzende rechter in wezen te vernemen of artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 en met artikel 6, lid 1, onder a), van verordening 2016/679, aldus moeten worden uitgelegd dat de in deze bepalingen bedoelde toestemming rechtsgeldig is verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de eindapparatuur van de gebruiker van een website opgeslagen informatie via cookies wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te geven.

Om te beginnen moet worden opgemerkt dat volgens de aanwijzingen in de verwijzingsbeslissing de cookies die geplaatst kunnen worden op de eindapparatuur van een gebruiker die deelneemt aan een door Planet49 georganiseerde reclameloterij, een nummer bevatten dat wordt toegekend aan de registratiegegevens van deze gebruiker die zijn naam en adres dient op te geven op het formulier voor deelname aan deze loterij. De verwijzende rechter voegt daaraan toe dat dit nummer en deze gegevens gekoppeld worden met als gevolg dat de door de cookies opgeslagen gegevens gepersonaliseerd worden wanneer de gebruiker verbinding maakt met internet. Het verzamelen van deze gegevens door middel van cookies moet daardoor als verwerking van persoonsgegevens worden aangemerkt. Planet49 heeft deze aanwijzingen bevestigd door in haar schriftelijke opmerkingen te benadrukken dat de met het tweede selectievakje te geven toestemming voor het verzamelen en verwerken van gegevens geacht wordt betrekking te hebben op persoonsgegevens en niet op anonieme informatie.

In het verlengde hiervan moet worden opgemerkt dat de lidstaten ingevolge artikel 5, lid 3, van richtlijn 2002/58 er zorg voor dragen dat de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een gebruiker, alleen is toegestaan op voorwaarde dat de gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie overeenkomstig richtlijn 95/46, onder meer over de doeleinden van de verwerking.

In dit verband moet in herinnering worden gebracht dat de eenvormige toepassing van het Unierecht en het gelijkheidsbeginsel vereisen dat de bewoordingen van een bepaling van Unierecht die voor de vaststelling van de betekenis en de draagwijdte ervan niet uitdrukkelijk verwijst naar het recht van de lidstaten, normaliter in de gehele Unie autonoom en uniform worden uitgelegd [arresten van 26 maart 2019, SM (Onder Algerijnse kafala geplaatst kind), C-129/18, EU:C:2019:248, punt 50, en 11 april 2019, Tarola, C-483/17, EU:C:2019:309, punt 36].

Volgens vaste rechtspraak van het Hof dient bij de uitlegging van een bepaling van Unierecht bovendien niet alleen rekening te worden gehouden met de bewoordingen en de doelstellingen ervan, maar ook met de context ervan en met het Unierecht in zijn geheel. Ook de ontstaansgeschiedenis van een bepaling van Unierecht kan relevante gegevens voor de uitlegging van die bepaling bevatten (arrest van 10 december 2018, Wightman e.a., C-621/18, EU:C:2018:999, punt 47 en aldaar aangehaalde rechtspraak).

Wat de bewoordingen van artikel 5, lid 3, van richtlijn 2002/58 betreft, moet erop worden gewezen dat deze bepaling weliswaar uitdrukkelijk de voorwaarde stelt dat de gebruiker ‘toestemming heeft verleend’ voor het plaatsen en raadplegen van cookies op zijn eindapparatuur, maar dat deze bepaling daarentegen geen aanwijzingen bevat over de wijze waarop deze toestemming moet worden verleend. De woorden ‘toestemming heeft verleend’ zijn echter vatbaar voor een letterlijke uitlegging volgens welke een handeling van de gebruiker nodig is om zijn toestemming uit te drukken. In dit verband volgt uit overweging 17 van richtlijn 2002/58 dat de in deze richtlijn vereiste toestemming van een gebruiker voor de toepassing ervan kan worden gegeven op elke wijze die de gebruiker in staat stelt vrijelijk een specifieke en geïnformeerde indicatie te geven omtrent zijn wensen, onder andere ‘door bij een bezoek aan een internetwebsite op een vakje te klikken’.

Wat de context van artikel 5, lid 3, van richtlijn 2002/58 betreft, moet worden benadrukt dat artikel 2, onder f), van deze richtlijn, waarin ‘toestemming’ in de zin van deze richtlijn wordt gedefinieerd, in dit verband verwijst naar ‘toestemming van de betrokkene’ in de zin van richtlijn 95/46. Overweging 17 van richtlijn 2002/58 verduidelijkt dat voor de toepassing ervan ‘toestemming van een gebruiker’ dezelfde betekenis moet hebben als ‘toestemming van de betrokkene’ zoals gedefinieerd en nader bepaald in richtlijn 95/46.

Artikel 2, onder h), van voornoemde richtlijn definieert ‘toestemming van de betrokkene’ als ‘elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt’.

Zoals de advocaat-generaal in punt 60 van zijn conclusie heeft opgemerkt, wordt met de eis van een ‘wilsuiting’ van de betrokkene dus duidelijk naar een actieve en niet naar een passieve gedraging verwezen. Toestemming door middel van een standaard aangevinkt selectievakje impliceert echter geen actieve gedraging van de gebruiker van een website.

Deze uitlegging vindt steun in artikel 7 van richtlijn 95/46 dat een uitputtende lijst bevat van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt (zie in die zin arresten van 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 en C-469/10, EU:C:2011:777, punt 30, en 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 57).

In het bijzonder bepaalt artikel 7, onder a), van richtlijn 95/46 dat toestemming van de betrokkene er pas toe kan leiden dat een dergelijke verwerking rechtmatig geschiedt, als de betrokkene deze toestemming ‘ondubbelzinnig’ heeft verleend. Aan deze voorwaarde kan echter uitsluitend worden voldaan wanneer deze betrokkene met een actieve gedraging duidelijk blijk geeft van zijn toestemming.

In dit opzicht lijkt het praktisch onmogelijk om objectief vast te stellen of de gebruiker van een website door een standaard aangevinkt vakje niet uit te vinken, inderdaad toestemming heeft gegeven om zijn persoonsgegevens te verwerken en in ieder geval of deze toestemming op basis van informatie is verleend. Het kan immers niet worden uitgesloten dat deze gebruiker de informatie bij het standaard aangevinkte vakje niet heeft gelezen of dat hij dit vakje niet eens heeft opgemerkt voor hij zijn activiteiten op de bezochte website voortzette.

Ten slotte moet over de ontstaansgeschiedenis van artikel 5, lid 3, van richtlijn 2002/58 worden vastgesteld dat in de oorspronkelijke versie van deze bepaling alleen werd vereist dat de gebruiker ‘het recht krijgt aangeboden [om het plaatsen van cookies] te weigeren’, nadat hij overeenkomstig richtlijn 95/46 duidelijke en volledige informatie heeft verkregen over onder andere de doeleinden van de verwerking. Richtlijn 2009/136 heeft een wezenlijke wijziging in de bewoordingen van deze bepaling aangebracht door deze uitdrukking te vervangen door de woorden ‘toestemming heeft verleend’. De ontstaansgeschiedenis van artikel 5, lid 3, van richtlijn 2002/58 lijkt er dus op te wijzen dat de toestemming van de gebruiker voortaan niet langer kan worden verondersteld en moet voortvloeien uit een actieve gedraging zijnerzijds.

Gelet op een en ander is de toestemming van artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46, derhalve niet rechtsgeldig verleend wanneer de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van de gebruiker van een website, wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.

Toegevoegd moet worden dat de wilsuiting van artikel 2, onder h), van richtlijn 95/46 met name in die zin ‘specifiek’ moet zijn dat deze precies op de verwerking van de betrokken gegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft.

In het onderhavige geval kan, anders dan Planet49 stelt, dus niet enkel omdat de gebruiker op de knop voor deelname aan de door deze vennootschap georganiseerde reclameloterij heeft geklikt, al worden vastgesteld dat de gebruiker rechtsgeldig toestemming heeft gegeven voor het plaatsen van cookies.

De voorgaande uitlegging dringt zich des te meer op in het licht van verordening 2016/679.

De bewoordingen waarmee in artikel 4, punt 11, van verordening 2016/679 voor de toepassing van deze verordening het begrip ‘toestemming van de betrokkene’ is gedefinieerd en in het bijzonder de bewoordingen van artikel 6, lid 1, onder a), ervan, op welke bepaling de eerste vraag onder c), betrekking heeft, blijken, zoals de advocaat-generaal in punt 70 van zijn conclusie in wezen heeft vastgesteld, immers nog strikter dan die van artikel 2, onder h), van richtlijn 95/46, aangezien hier een ‘vrije, specifieke, geïnformeerde en ondubbelzinnige’ wilsuiting van de betrokkene wordt vereist, in de vorm van een verklaring of een ‘ondubbelzinnige actieve handeling’ die zijn toestemming voor een hem betreffende verwerking van persoonsgegevens weergeeft.

In verordening 2016/679 wordt nu dus uitdrukkelijk actieve toestemming voorgeschreven. In dit verband moet worden opgemerkt dat volgens overweging 32 van deze verordening de toestemming met name kan worden uitgedrukt door te klikken op een vakje bij een bezoek aan een website. Daarentegen sluit deze overweging uitdrukkelijk uit dat ‘stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit’ als toestemming mogen gelden.

Hieruit volgt dat de toestemming van artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, niet rechtsgeldig is verleend wanneer de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van de gebruiker van een website, wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.

Ten slotte moet erop worden gewezen dat de verwijzende rechter het Hof niet de vraag heeft voorgelegd of het verenigbaar is met het vereiste van ‘vrije’ toestemming in de zin van artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, en artikel 7, lid 4, van verordening 2016/679 dat een gebruiker — zoals gelet op de gegevens in de verwijzingsbeslissing in de onderhavige zaak in ieder geval bij het eerste selectievakje het geval lijkt te zijn — alleen kan deelnemen aan een loterij indien hij toestemming geeft voor de verwerking van zijn persoonsgegevens voor reclamedoeleinden. In deze omstandigheden hoeft het Hof deze vraag niet te onderzoeken.

Gelet op een en ander moet op de eerste vraag, onder a) en c), worden geantwoord dat artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 alsmede met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, aldus moeten worden uitgelegd dat de in deze bepalingen bedoelde toestemming niet rechtsgeldig is verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de eindapparatuur van de gebruiker van een website opgeslagen informatie via cookies wordt toegestaan door middel van een standaard aangevinkt selectievakje dat deze gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.

Met zijn eerste vraag, onder b), wenst de verwijzende rechter in wezen te vernemen of artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, verschillend moeten worden uitgelegd naargelang de informatie die is opgeslagen in de eindapparatuur van de gebruiker van een website of daaruit is opgevraagd, al dan niet bestaat in persoonsgegevens in de zin van richtlijn 95/46 en verordening 2016/679.

Zoals is opgemerkt in punt 45 van dit arrest, volgt uit de verwijzingsbeslissing dat het plaatsen van cookies zoals aan de orde in het hoofdgeding, gelijkstaat aan de verwerking van persoonsgegevens.

Na deze toelichting moet in ieder geval worden vastgesteld dat artikel 5, lid 3, van richtlijn 2002/58 verwijst naar ‘opslag van informatie’ en ‘het verkrijgen van toegang tot informatie die reeds is opgeslagen’ zonder deze informatie nader te omschrijven of aan te geven dat het hier moet gaan om persoonsgegevens.

Zoals de advocaat-generaal in punt 107 van zijn conclusie heeft vastgesteld, beoogt deze bepaling de gebruiker te beschermen tegen inmenging in zijn privéleven, ongeacht of die inmenging betrekking heeft op persoonsgegevens.

Deze uitlegging wordt bevestigd door overweging 24 van richtlijn 2002/58 waarin staat te lezen dat alle informatie die wordt bewaard in de eindapparatuur van gebruikers van netwerken voor elektronische communicatie, deel uitmaakt van de op grond van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden te beschermen persoonlijke levenssfeer van de gebruikers. Deze bescherming is van toepassing op alle informatie die is opgeslagen op deze eindapparatuur, ongeacht of het gaat om persoonsgegevens, en beoogt met name, zoals uit dezelfde overweging blijkt, de gebruikers te beschermen tegen het risico dat verborgen identificatoren en andere soortgelijke programmatuur zonder hun medeweten binnenkomen in hun eindapparatuur.

Gelet op het voorgaande moet op de eerste vraag, onder b), worden geantwoord dat artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 alsmede met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, niet verschillend moeten worden uitgelegd naargelang de informatie die is opgeslagen in de eindapparatuur van de gebruiker van een website of daaruit is opgevraagd, al dan niet bestaat in persoonsgegevens in de zin van richtlijn 95/46 en verordening 2016/679.

Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 3, van richtlijn 2002/58 aldus moet worden uitgelegd dat de informatie die de aanbieder van diensten aan de gebruiker van een website moet verstrekken, de informatie omvat hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben.

Zoals reeds volgt uit punt 46 van dit arrest, vereist artikel 5, lid 3, van richtlijn 2002/58 dat de gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie ‘overeenkomstig richtlijn [95/46]’, onder meer over de doeleinden van de verwerking.

Zoals de advocaat-generaal in punt 115 van zijn conclusie heeft opgemerkt, houdt duidelijke en volledige informatie in dat de gebruiker in staat is om gemakkelijk de gevolgen te bepalen van eventueel door hem te verlenen toestemming en dat gewaarborgd is dat hij deze toestemming met kennis van zaken verleent. Deze informatie moet duidelijk te begrijpen en voldoende gedetailleerd zijn om de gebruiker in staat te stellen de werking van de geplaatste cookies te begrijpen.

In een situatie als aan de orde in het hoofdgeding, waarin de cookies blijkens de aanwijzingen in het aan het Hof overgelegde dossier waren bedoeld om informatie te verzamelen voor reclamedoeleinden met betrekking tot producten van partners van de organisator van een reclameloterij, maken de vragen hoelang de cookies actief blijven en of derden al of niet toegang tot deze cookies kunnen hebben, deel uit van de duidelijke en volledige informatie die overeenkomstig artikel 5, lid 3, van richtlijn 2002/58 aan de gebruiker moet worden verstrekt.

In dit verband moet worden opgemerkt dat artikel 10 van richtlijn 95/46, waarnaar artikel 5, lid 3, van richtlijn 2002/58 en artikel 13 van verordening 2016/679 verwijzen, een opsomming bevat van de informatie die de voor de verwerking verantwoordelijke moet verstrekken aan de betrokkene bij wie hij de op die betrokkene zelf betrekking hebbende gegevens verkrijgt.

Krachtens artikel 10 van richtlijn 95/46 gaat het bij deze informatie niet alleen om de identiteit van de voor de verwerking verantwoordelijke en de doeleinden van de verwerking waarvoor de gegevens zijn bestemd, maar ook om verdere informatie zoals met name de ontvangers of de categorieën ontvangers van de gegevens voor zover die, met inachtneming van de specifieke omstandigheden waaronder deze verdere informatie verkregen wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.

Hoewel de duur van de gegevensverwerking niet bij de voornoemde informatie is opgenomen, blijkt uit de uitdrukking ‘ten minste’ in artikel 10 van richtlijn 95/46 duidelijk dat geen uitputtende opsomming van deze informatie is gegeven. Informatie over de vraag hoelang de cookies actief zijn, moet worden geacht te passen bij de in dit artikel opgenomen eis van een eerlijke gegevensverwerking, aangezien in een situatie zoals die in het hoofdgeding een lange of zelfs onbeperkte duur tot gevolg heeft dat veel informatie wordt verzameld over het surfgedrag van de gebruiker en de frequentie van diens eventuele bezoeken aan de sites van reclamepartners van de organisator van de loterij.

Deze uitlegging wordt bevestigd door artikel 13, lid 2, onder a), van verordening 2016/679, waarin is bepaald dat de verwerkingsverantwoordelijke, om een behoorlijke en transparante verwerking te waarborgen, de betrokkene informatie moet verstrekken over met name de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die periode.

De vraag of derden al dan niet toegang tot de cookies kunnen hebben, betreft informatie die valt onder de in artikel 10, onder c), van richtlijn 95/46 en artikel 13, lid 1, onder e), van verordening 2016/679 opgenomen informatie, aangezien in deze bepalingen uitdrukkelijk de ontvangers of categorieën ontvangers van de gegevens staan vermeld.

Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 5, lid 3, van richtlijn 2002/58 aldus moet worden uitgelegd dat de aanbieder van diensten de gebruiker van een website onder meer moet informeren over de vraag hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben.