–

за Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, от P. Wassermann, Rechtsanwalt,

–

за Planet49 GmbH, от M. Jaschinski, J. Viniol и T. Petersen, Rechtsanwälte,

–

за германското правителство, от J. Möller, в качеството на представител,

–

за италианското правителство, от G. Palmieri, в качеството на представител, подпомагана от F. De Luca, avvocato dello Stato,

–

за португалското правителство, от L. Inez Fernandes, M. Figueiredo, L. Medeiros и C. Guerra, в качеството на представители,

–

за Европейската комисия, от G. Braun, H. Kranenborg и P. Costa de Oliveira, в качеството на представители,

1

Преюдициалното запитване е за тълкуване на член 2, буква е) и член 5, параграф 3 от Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63), изменена с Директива 2009/136/ЕО на Европейския парламент и на Съвета от 25 ноември 2009 г. (ОВ L 337, 2009 г., стр. 11) (наричана по-нататък „Директива 2002/58“), във връзка с член 2, буква з) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10), както и с член 6, параграф 1, буква а) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1).

2

Запитването е отправено в рамките на спор на Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Федерация на организациите и сдруженията на потребители — федерация на организациите на потребители, Германия) (наричана по-нататък „федерацията“) с Planet49 GmbH, дружество, предлагащо онлайн игри, по повод на съгласието на участниците в промоционална игра, организирана от това дружество, за предаването на техни лични данни на спонсори и партньори на това дружество, както и за съхраняването на информация и достъпа до съхранената информация в крайното оборудване на тези потребители.

Правна уредба

Правото на Съюза

Директива 95/46

3

Член 1 от Директива 95/46 предвижда:

4

Член 2 от тази директива гласи:

5

Член 7 от посочената директива гласи:

6

Съгласно член 10 от същата директива:

–

получателите или категориите получатели на данни,

–

дали отговорите на въпросите са задължителни или доброволни, както и евентуалните последици при липса на отговор,

–

наличието на право на достъп и на право на поправка на данните, които се отнасят до него,

Директива 2002/58

7

Съображения 17 и 24 от Директива 2002/58 гласят:

8

Член 1 от Директива 2002/58 предвижда:

9

Член 2 от тази директива гласи:

10

Член 5, параграф 3 от посочената директива предвижда:

Регламент 2016/679

11

Съображение 32 от Регламент 2016/679 гласи:

12

Член 4 от този регламент гласи:

13

Член 6 от същия регламент предвижда:

14

Член 7, параграф 4 от същия регламент гласи:

15

Съгласно член 13, параграфи 1 и 2 от Регламент 2016/679:

16

Член 94 от този регламент гласи:

Германското право

17

Съгласно член 307, параграф 1, първо изречение от Bürgerliches Gesetzbuch (Граждански кодекс, наричан по-нататък „BGB“), „клаузите от прилаганите от търговец общи условия са недействителни, ако неоправдано и в противоречие с изискването за добросъвестност увреждат интересите на съдоговорителя на страната, която прилага общи договорни условия“.

18

Член 307, параграф 2, точка 1 от BGB гласи, че в случай на съмнение „следва да се приеме, че е налице неоправдано увреждане на интересите, когато дадена клауза е несъвместима с основните идеи на нормативната уредба, която дерогира“.

19

Член 12 от Telemediengesetz (Закон за електронните медии) от 26 февруари 2007 г. (BGBl. 2007 I, стр. 179) в редакцията, приложима към спора по главното производство (наричан по-нататък „TMG“), гласи:

20

Съгласно член 13, параграф 1 от TMG от започване на използването доставчикът на услуги следва да информира потребителя в общоразбираема форма относно начина, обхвата и целите на събирането и употребата на лични данни, ако потребителят вече не е бил информиран предварително за това. В случай на автоматизирана операция, която позволява последващото идентифициране на потребителя и подготвя събирането или използването на лични данни, потребителят трябва да бъде информиран в началото на тази операция.

21

Съгласно член 15, параграф 3 от TMG за целите на рекламата, проучването на пазара или с цел структуриране на електронните медии съобразно конкретните потребности доставчикът на услуги може да създава потребителски профили, като използва псевдоними, доколкото потребителят, след като е бил уведомен за правото му да възрази, не е възразил.

22

Съгласно определението, дадено в член 3, параграф 1 от Bundesdatenschutzgesetz (Федерален закон за защита на личните данни) от 20 декември 1990 г. (BGBl. 1990 I, стр. 2954), в редакцията, приложима към спора по главното производство (наричан по-нататък „BDSG“), „лични данни са всяка самостоятелна информация, отнасяща се до лични или фактически обстоятелства на физическо лице, което е идентифицирано или може да бъде идентифицирано (засегнато лице)“.

23

Съгласно определението в член 3, параграф 3 от BDSG събирането на лични данни е набавянето на данни за засегнатото лице.

24

Член 4a, параграф 1, първо изречение от BDSG, който транспонира член 2, буква з) от Директива 95/46, гласи, че съгласието е действително само ако изразява свободното решение на съответното лице.

Спорът в главното производство и преюдициалните въпроси

25

На 24 септември 2013 г. Planet49 организира промоционална игра на интернет сайта www.dein-macbook.de.

26

Интернет потребителите, които желаят да се включат в играта, трябва да попълнят пощенския си код, което ги отвежда към уебстраница, в която въвеждат името и адреса си. Под полетата, в които се попълва адресът, се намират две изявления, до които има полета за отмятане. Първото изявление, до което полето (наричано по-нататък „първото поле за отбелязване“) не съдържа предварително отмятане, е със следния текст:

27

Второто изявление, до което полето (наричано по-нататък „второто поле за отбелязване“) съдържа предварително отмятане, е със следния текст:

28

Участието в промоционалната игра е възможно едва след отмятане поне на първото поле за отбелязване.

29

Електронната връзка, включена в изявлението към първото поле за отбелязване към думите „спонсори и бизнес партньори“ и „тук“, отвежда към списък с 57 предприятия, в който са посочени техните адреси, предметът на рекламираната дейност и средството за комуникация, използвано за рекламата (електронна поща, поща или телефон). След наименованието на всяко предприятие се намира думата „изключване“, която е подчертана. В началото на списъка е поместена следната забележка:

30

При задействане на електронната връзка към думата „тук“, съдържаща се в изявлението до второто поле за отбелязване, се появява следната информация:

31

От акта за преюдициално запитване следва, че бисквитките са файлове, които доставчикът на даден интернет сайт инсталира на компютъра на потребителя и до които може отново да получи достъп при повторно посещение на сайта от потребителя, за да улесни навигацията в интернет, извършването на транзакции или за да получи достъп до информация относно поведението на потребителя.

32

След безрезултатно отправена официална покана федерацията, вписана в списъка с процесуално легитимирани организации по член 4 от Gesеtz über Unterlassungklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (Закон за исковете за преустановяване на нарушения във връзка с потребителски и други права) от 26 ноември 2001 г. (BGBl. 2001 I, стр. 3138), твърди, че изявленията за съгласие, поискани от Planet49 с помощта на първото и второто поле за отбелязване, не отговарят на изискванията съгласно член 307 от BGB във връзка с член 7, параграф 2, точка 2 от Gesetz gegen den unlauteren Wettbewerb (Закон срещу нелоялната конкуренция) от 3 юли 2004 г. (BGBl. 2004 I, стр. 1414), в редакцията, приложима към спора в главното производство, и с членове 12 и сл. от TMG.

33

По същество федерацията предявява пред Landgericht Frankfurt am Main (Областен съд Франкфурт на Майн, Германия) иск за осъждане на Planet49 да преустанови да изисква такива изявления за съгласие и да ѝ изплати сумата от 214 EUR ведно с лихвите след 15 март 2014 г.

34

Landgericht Frankfurt am Main (Областен съд Франкфурт на Майн) уважава иска частично.

35

След подадена от Planet49 въззивна жалба пред Oberlandesgericht Frankfurt am Main (Върховен областен съд Франкфурт на Майн, Германия) тази юрисдикция счита, че искането на федерацията Planet49 да престане да включва в договорите за промоционални игри, сключени с потребители, изявлението, възпроизведено в точка 27 от настоящото решение, към което второто поле за отбелязване е предварително отметнато, е неоснователно, тъй като, от една страна, потребителят е бил запознат с възможността да премахне попълването от полето, и от друга страна, текстът е достатъчно ясно типографски оформен и съдържа информация относно реда и условията за използване на бисквитките, без да се налага разкриване на самоличността на трети лица, които биха могли да имат достъп до събраната информация.

36

Сезиран с ревизионна жалба от федерацията, Bundesgerichtshof (Федерален върховен съд, Германия) приема, че изходът на спора в главното производство зависи от тълкуването на разпоредбите на член 5, параграф 3 във връзка с тези на член 2, буква е) от Директива 2002/58, на член 2, буква з) от Директива 95/46 и на член 6, параграф 1, буква а) от Регламент 2016/679.

37

Тъй като изпитва съмнения относно действителността с оглед на тези разпоредби на съгласието на потребителите на интернет сайта www.dein-macbook.de, получено с помощта на второто поле за отбелязване, както и относно обхвата на задължението за информиране, предвидено в член 5, параграф 3 от Директива 2002/58, Bundesgerichtshof (Федерален върховен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:

По преюдициалните въпроси

Предварителни бележки

38

Най-напред следва да се разгледа приложимостта на Директива 95/46 и на Регламент 2016/679 по отношение на разглежданите в главното производство обстоятелства.

39

Считано от 25 май 2018 г., Директива 95/46 се отменя и заменя с Регламент 2016/679 в съответствие с член 94, параграф 1 от него.

40

Посочената дата действително е след датата на последното заседание, проведено пред запитващата юрисдикция на 14 юли 2017 г., както и след датата на сезиране на Съда с преюдициалното запитване, изпратено от тази юрисдикция.

41

Запитващата юрисдикция посочва обаче, че предвид влизането в сила на Регламент 2016/679 на 25 май 2018 г., за който впрочем се отнася част от първия въпрос, има вероятност да се наложи същият да се вземе под внимание в момента на произнасяне по спора в главното производство. Освен това, както посочва германското правителство в заседанието пред Съда, не е изключено, доколкото производството, започнато по инициатива на федерацията, има за цел преустановяване на действията на Planet49 за в бъдеще, Регламент 2016/679 да се окаже приложим ratione temporis в спора в главното производство поради националната съдебна практика във връзка с релевантните правни положения по исковете за преустановяване на нарушение, което следва да се провери от запитващата юрисдикция (вж. относно установителните искове решение от 16 януари 2019 г., Deutsche Post, C‑496/17, EU:C:2019:26, т. 38).

42

При това положение и предвид обстоятелството, че съгласно член 94, параграф 2 от Регламент 2016/679 позоваванията в Директива 2002/58 на Директива 95/46 се тълкуват като позовавания на този регламент, в случая не е изключено Директива 2002/58 да се приложи съвместно или с Директива 95/46, или с Регламент 2016/679 в зависимост от естеството на исканията на федерацията и съответния период.

43

Ето защо на поставените въпроси следва да се отговори както с оглед на Директива 95/46, така и на Регламент 2016/679.

По първия въпрос, букви а) и в)

44

С първия въпрос, букви а) и в), запитващата юрисдикция иска по същество да установи дали член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 2, буква з) от Директива 95/46, както и с член 6, параграф 1, буква а) от Регламент 2016/679, трябва да се тълкуват в смисъл, че даването на споменатото в тези разпоредби съгласие е действително, когато съхраняването на информация или достъпът до информация, която вече е съхранена в крайното оборудване на потребител на интернет сайт, с помощта на бисквитки, се позволява чрез предварително маркирано с отметка квадратче, от което потребителят трябва да премахне отметката, за да откаже съгласието си.

45

Най-напред следва да се уточни, че съгласно информацията, съдържаща се в акта за преюдициално запитване, бисквитките, които могат да бъдат инсталирани на крайното оборудване на потребител, който участва в организираната от Planet49 промоционална игра, съдържат номер, обозначаващ регистрационните данни за потребителя, който трябва да въведе името и адреса си във формуляра за участие в играта. Запитващата юрисдикция добавя, че асоциирането на този номер с посочените данни персонализира съхранените от бисквитките данни, когато потребителят използва интернет, поради което събирането на данните с помощта на бисквитки представлява обработване на лични данни. Тази информация се потвърждава от Planet49, което подчертава в писменото си становище, че съгласието, което се дава с второто поле за отбелязване, е за събиране и обработване на лични данни, а не на анонимна информация.

46

След това уточнение следва да се отбележи, че в съответствие с член 5, параграф 3 от Директива 2002/58 държавите членки гарантират, че съхраняването на информация или получаването на достъп до информация, вече съхранявана в крайното оборудване на ползвателя, е позволено само при условие че съответният ползвател е дал своето съгласие след получаване на ясна и изчерпателна информация в съответствие с Директива 95/46, inter alia, относно целите на обработката.

47

Във връзка с това следва да се припомни, че както от изискването за еднакво прилагане на правото на Съюза, така и от принципа за равенство следва, че разпоредба от правото на Съюза, чийто текст не съдържа изрично препращане към правото на държава членка с оглед на определяне на нейния смисъл и обхват, трябва по принцип да получи самостоятелно и еднакво тълкуване навсякъде в Съюза (решения от 26 март 2019 г., SM (дете, поставено под алжирския режим кафала), C‑129/18, EU:C:2019:248, т. 50 и от 11 април 2019 г., Tarola, C‑483/17, EU:C:2019:309, т. 36).

48

Освен това съгласно постоянната практика на Съда при тълкуването на разпоредба от правото на Съюза следва да се вземат предвид не само нейният текст и целите ѝ, но също и нейният контекст, както и всички разпоредби на правото на Съюза. Генезисът на разпоредбата от правото на Съюза също може да разкрие обстоятелства, които са релевантни за тълкуването ѝ (решение от 10 декември 2018 г., Wightman и др., C‑621/18, EU:C:2018:999, т. 47 и цитираната съдебна практика).

49

Относно текста на член 5, параграф 3 от Директива 2002/58 следва да се отбележи, че макар тази разпоредба да предвижда изрично, че потребителят трябва да „е дал своето съгласие“ за инсталирането и консултирането на бисквитки на своето крайно оборудване, тази разпоредба не указва начина, по който трябва да се даде такова съгласие. Изразът „е дал своето съгласие“ допуска обаче буквално тълкуване, съгласно което е необходимо потребителят да извърши определено действие, за да изрази съгласието си. В тази връзка от съображение 17 от Директива 2002/58 следва, че по смисъла на тази директива потребителят може да даде съгласие по всеки подходящ начин, позволяващ свободно да се посочи специфичен и уведомителен знак за желанията на потребителя, включително „чрез отбелязване в графа, при посещение на интернет страница“.

50

Що се отнася до контекста, в който се разполага член 5, параграф 3 от Директива 2002/58, следва да се подчертае, че член 2, буква е) от нея, който дефинира „съгласието“ по смисъла на същата, в това отношение препраща към „съгласието на съответното физическо лице“ — израз, съдържащ се в Директива 95/46. Съображение 17 от Директива 2002/58 уточнява, че за целите на тази директива съгласието на потребителя трябва да има същото значение като съгласието на съответното физическо лице, както е определено и допълнително уточнено в Директива 95/46.

51

Член 2, буква з) от последната директива дефинира „съгласие[то] на съответното физическо лице“ като „всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него“.

52

В този смисъл, както подчертава генералният адвокат в точка 60 от заключението си, изискването за „манифестиране“ на воля от страна на съответното лице очевидно изисква положително, а не отрицателно действие. Съгласието, дадено посредством предварително отметнато поле, обаче не е свързано с положително действие от страна на потребителя на интернет сайт.

53

Това тълкуване се потвърждава от член 7 от Директива 95/46, който предвижда изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно (вж. в този смисъл решения от 24 ноември 2011 г., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 и C‑469/10, EU:C:2011:777, т. 30, и от 19 октомври 2016 г., Breyer, C‑582/14, EU:C:2016:779, т. 57).

54

По-конкретно член 7, буква а) от Директива 95/46 предвижда, че съгласието на съответното физическо лице може да направи такова обработване законосъобразно, ако това лице е дало „недвусмислено“ своето съгласие. Следователно само положително действие от страна на лице, с което то манифестира съгласие, може да изпълни това изискване.

55

В това отношение се оказва практически невъзможно да се определи обективно дали потребителят на интернет сайт действително е дал съгласие за обработването на своите лични данни, като не е премахнал отбелязването в предварително отметнато поле, както и при всички положения дали даденото съгласие е било информирано. Всъщност не може да се изключи, че въпросният потребител не е прочел информацията към предварително отметнатото поле или не го е забелязал, преди да продължи дейността си на интернет сайта, който посещава.

56

Накрая, що се отнася до генезиса на член 5, параграф 3 от Директива 2002/58, следва да се констатира, че първоначалният вариант на тази разпоредба предвижда само изискването потребителят „да има право да откаже“ инсталирането на бисквитки след получаване на предоставена ясна и изчерпателна информация в съответствие с Директива 95/46/ЕО, inter alia, относно целите на обработката. Директива 2009/136 внася съществено изменение в текста на тази разпоредба, като заменя посочения израз с думите „е дал своето съгласие“. В този смисъл генезисът на член 5, параграф 3 от Директива 2002/58 показва, че съгласието на потребителя вече не може да се презумира и трябва да произтича от негово положително действие.

57

С оглед на изложените съображения даването на съгласието по смисъла на член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 2, буква з) от Директива 95/46 не е действително, когато съхраняването на информация или достъпът до информация, която вече е съхранена на крайното оборудване на потребител на интернет сайт, се позволява чрез предварително маркирано от доставчика на услуга с отметка квадратче, от което потребителят трябва да премахне отметката, за да откаже съгласието си.

58

Следва да се добави, че волеизявлението съгласно член 2, буква з) от Директива 95/46 трябва по-специално да бъде „конкретно“ в смисъл, че трябва да се отнася именно за съответното обработване на данни и не би могло да се извежда от волеизявление със самостоятелен предмет.

59

В случая, противно на твърденията на Planet49, обстоятелството, че потребителят натиска бутона за участие в промоционалната игра, организирана от това дружество, при това положение не би могло да бъде достатъчно, за да се счита, че е налице действително даване на съгласие от потребителя за инсталиране на бисквитки.

60

Изложеното тълкуване произтича по аргумент за по-силното основание и с оглед на Регламент 2016/679.

61

Действително, както по същество констатира генералният адвокат в точка 70 от своето заключение, текстът на член 4, точка 11 от Регламент 2016/679, който определя „съгласието на субекта на данните“ за целите на този регламент, и по-конкретно на член 6, параграф 1, буква а) от него, визиран в първия въпрос, буква в), е още по-стриктен от този на член 2, буква з) от Директива 95/46, тъй като изисква указание за волята на субекта на данните, което е „свободно изразено, конкретно, информирано и недвусмислено“, под формата на изявление или „ясно потвърждаващо действие“, с което той заявява съгласие свързаните с него лични данни да бъдат обработени.

62

В този смисъл Регламент 2016/679 вече предвижда изрично активно даване на съгласие. В тази връзка трябва да се отбележи, че в съответствие със съображение 32 от този регламент изразяването на съгласие може да включва отбелязване с отметка в поле при посещението на интернет сайт. Съображението обаче изрично изключва наличието на съгласие в случай на „мълчание[…], предварително отметнати[…] полета или липса[…] на действие“.

63

От това следва, че даването на съгласието по член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 не е действително, когато съхраняването на информация или достъпът до информация, която вече е съхранена на крайното оборудване на потребител на интернет сайт, се позволява чрез предварително маркирано с отметка квадратче, от което потребителят трябва да премахне отметката, за да откаже съгласието си.

64

Накрая следва да се подчертае, че запитващата юрисдикция не сезира Съда по въпроса дали обстоятелството, че съгласието на потребителя за обработването на неговите лични данни с рекламна цел обуславя възможността той да участва в промоционална игра, както изглежда е в случая според изложеното в акта за преюдициално запитване, поне що се отнася до първото поле за отбелязване, е съвместимо с изискването за „свободно“ съгласие по смисъла на член 2, буква з) от Директива 95/46, както и на член 4, точка 11 и член 7, параграф 4 от Регламент 2016/679. При това положение няма основание Съдът да разглежда този въпрос.

65

С оглед на изложените съображения в тяхната цялост следва на първия въпрос, букви а) и в), да се отговори, че член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 2, буква з) от Директива 95/46, както и с член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 трябва да се тълкуват в смисъл, че даването на споменатото в тези разпоредби съгласие не е действително, когато съхраняването на информация или достъпът до информация, която вече е съхранена в крайното оборудване на потребител на интернет сайт, с помощта на бисквитки, се позволява чрез предварително маркирано с отметка квадратче, от което потребителят трябва да премахне отметката, за да откаже съгласието си.

По първия въпрос, буква б)

66

С първия въпрос, буква б) запитващата юрисдикция иска по същество да установи дали член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 2, буква з) от Директива 95/46, както и с член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 трябва да се тълкуват по различен начин в зависимост от това дали информацията, която се съхранява или консултира на крайното оборудване на потребител на интернет сайт, представлява или не лични данни по смисъла на Директива 95/46 и на Регламент 2016/679.

67

Както бе отбелязано в точка 45 от настоящото решение, от акта за преюдициално запитване е видно, че инсталирането на разглежданите в главното производство бисквитки е част от обработването на лични данни.

68

След това уточнение във всички случаи следва да се констатира, че член 5, параграф 3 от Директива 2002/58 говори за „съхраняване на информация“ и за „получаване на достъп до [вече съхранявана] информация“, без да квалифицира тази информация, нито да уточнява, че тя трябва да представлява лични данни.

69

Както констатира генералният адвокат в точка 107 от своето заключение, поради това посочената разпоредба има за цел да защити потребителя от всяка намеса в личния му живот, независимо от въпроса дали намесата е свързана или не с лични данни.

70

Това тълкуване се потвърждава от съображение 24 от Директива 2002/58, съгласно което всяка информация, съхранявана в крайното оборудване на потребителите на електронни комуникационни мрежи, се отнася до частния живот на потребителите, изискващ защита съгласно Европейската конвенция за защита на правата на човека и основните свободи. Тази защита се прилага за всяка информация, съхранявана в такова крайно оборудване, независимо дали става дума за лични данни, и както следва от същото съображение, има по-специално за цел да защити потребителите срещу риска скрити идентификатори и други подобни устройства да проникнат в крайното им оборудване без тяхно знание.

71

С оглед на изложените съображения на първия въпрос, буква б), следва да се отговори, член 2, буква е) и член 5, параграф 3 от Директива 2002/58 във връзка с член 2, буква з) от Директива 95/46, както и с член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 не трябва да се тълкуват по различен начин в зависимост от това дали информацията, която се съхранява или консултира на крайното оборудване на потребител на интернет сайт, представлява или не лични данни по смисъла на Директива 95/46 и на Регламент 2016/679.

По втория въпрос

72

С втория си въпрос запитващата юрисдикция иска по същество да установи дали член 5, параграф 3 от Директива 2002/58 трябва да се тълкува в смисъл, че информацията, която доставчикът на услуги трябва да предостави на потребител на интернет сайт, включва продължителността на функциониране на бисквитките, както и дали трети лица имат или не възможност за достъп до тях.

73

Видно от точка 46 от настоящото решение, член 5, параграф 3 от Директива 2002/58 изисква потребителят да е дал съгласие, след получаване на ясна и изчерпателна информация „в съответствие с Директива [95/46]“, по-специално относно целите на обработването.

74

Както подчертава генералният адвокат в точка 115 от своето заключение, ясната и изчерпателна информация трябва да позволи на потребителя лесно да определи последиците от евентуално даденото съгласие и да гарантира, че съгласието се дава напълно съзнателно. Тя трябва да бъде ясна за разбиране и достатъчно подробна, за да може потребителят да разбере функционирането на използваните бисквитки.

75

В положение като разглежданото в главното производство, при което съгласно материалите по делото, представени на Съда, целта е с помощта на бисквитки да се събира информация с цел рекламиране на стоките на партньорите на организатора на промоционална игра, продължителността на функционирането на бисквитките, както и възможността трети лица да имат или не достъп до тези бисквитки, са част от ясната и изчерпателна информация, която трябва да се предостави на потребителя в съответствие с член 5, параграф 3 от Директива 2002/58.

76

В тази връзка следва да се отбележи, че член 10 от Директива 95/46, на която се позовава член 5, параграф 3 от Директива 2002/58, както и член 13 от Регламент 2016/679 посочват информацията, която администраторът трябва да предостави на лицето, от което събира свързани с него данни.

77

Съгласно член 10 от Директива 95/46 тази информация по-специално включва, освен самоличността на администратора и целта на обработването, за което данните са предназначени, и всякаква друга информация, например получателите или категориите получатели на данни, доколкото подобна допълнителна информация е необходима, като се отчитат конкретните обстоятелства, при които се събират данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице.

78

Макар продължителността на обработването на данните да не фигурира като част от тази информация, от израза „най-малкото“, съдържащ се в член 10 от Директива 95/46, личи, че видовете информация не са изброени изчерпателно. Информацията относно продължителността на функционирането на бисквитките трябва да се счита за отговаряща на изискването за справедлива обработка на данните, предвидено в този член, тъй като в положение като разглежданото в главното производство голямата, ако не и неограничена продължителност е свързана със събирането на множество различни видове информация относно навиците на сърфиране и честотата на евентуалните посещения на потребителя на сайтовете на рекламните партньори на организатора на промоционалната игра.

79

Това тълкуване се потвърждава от член 13, параграф 2, буква а) от Регламент 2016/679, който предвижда, че за осигуряване на добросъвестно и прозрачно обработване администраторът предоставя на субекта на данните информация относно по-специално срока, за който ще се съхраняват личните данни, а ако това е невъзможно, относно критериите, използвани за определяне на този срок.

80

Що се отнася до възможността трети лица да имат достъп до бисквитките, тази информация е сред посочената в член 10, буква в) от Директива 95/46, както и в член 13, параграф 1, буква д) от Регламент 2016/679, тъй като тези разпоредби изрично упоменават получателите или категориите получатели на данните.

81

С оглед на изложените съображения на втория въпрос следва да се отговори, че член 5, параграф 3 от Директива 2002/58 трябва да се тълкува в смисъл, че информацията, която доставчикът на услуги трябва да предостави на потребител на интернет сайт, включва продължителността на функциониране на бисквитките, както и дали трети лица имат или не възможност за достъп до тях.

По съдебните разноски

82

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

1)

Член 2, буква е) и член 5, параграф 3 от Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации), изменена с Директива 2009/136/ЕО на Европейския парламент и на Съвета от 25 ноември 2009 година, във връзка с член 2, буква з) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни, както и с член 4, точка 11 и член 6, параграф 1, буква а) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 (Общ регламент относно защитата на данните), трябва да се тълкуват в смисъл, че даването на споменатото в тези разпоредби съгласие не е действително, когато съхраняването на информация или достъпът до информация, която вече е съхранена в крайното оборудване на потребител на интернет сайт, с помощта на бисквитки, се позволява чрез предварително маркирано с отметка квадратче, от което потребителят трябва да премахне отметката, за да откаже съгласието си.

2)

Член 2, буква е) и член 5, параграф 3 от Директива 2002/58, изменена с Директива 2009/136, във връзка с член 2, буква з) от Директива 95/46, както и с член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 не трябва да се тълкуват по различен начин в зависимост от това дали информацията, която се съхранява или консултира на крайното оборудване на потребител на интернет сайт, представлява или не лични данни по смисъла на Директива 95/46 и на Регламент 2016/679.

3)

Член 5, параграф 3 от Директива 2002/58, изменена с Директива 2009/136, трябва да се тълкува в смисъл, че информацията, която доставчикът на услуги трябва да предостави на потребител на интернет сайт, включва продължителността на функциониране на бисквитките, както и дали трети лица имат или не възможност за достъп до тях.