Do Trybunału Sprawiedliwości Unii Europejskiej wpłynął wniosek o wydanie orzeczenia w trybie prejudycjalnym, złożony przez Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy) w postępowaniu Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV przeciwko Planet49 GmbH
Spółka X zorganizowała loterię promocyjną na swojej stronie internetowej. Internauci chcący wziąć udział w tej loterii musieli podać swój kod pocztowy, po czym byli przekierowywani na stronę internetową, na której musieli wpisać swoje imię i adres. Pod polami, w których należało wpisać adres, znajdowały się teksty dwóch oświadczeń wraz z okienkami wyboru. Tekst pierwszego oświadczenia, przy którym okienko wyboru nie było zaznaczone domyślnie, miał następujące brzmienie:
„Wyrażam zgodę na informowanie mnie przez niektórych sponsorów i partnerów listownie lub telefonicznie, lub e‑mailem/SMS‑em o ofertach z obszaru ich działalności. Sponsorów i partnerów mogę wybrać niniejszym samodzielnie, w przeciwnym razie wyboru dokona organizator. Zgodę mogę w dowolnym momencie wycofać. Dalsze informacje znajdują się tutaj”.
Tekst drugiego oświadczenia, przy którym okienko wyboru było zaznaczone domyślnie, miał następujące brzmienie:
„Wyrażam zgodę na stosowanie wobec mnie usługi analizy internetowej Y. Skutkuje to tym, że organizator loterii promocyjnej, po zarejestrowaniu uczestnika w loterii instaluje pliki cookie. Umożliwi to X ocenę mojego zachowania w zakresie odwiedzania i korzystania ze stron internetowych partnerów reklamowych i dopasowanie reklam do moich preferencji przez Y. Pliki cookies mogę usunąć w dowolnym czasie. Więcej na ten temat przeczytacie Państwo tutaj”.
Niemiecki związek organizacji konsumenckich, podniósł, że oświadczenia o wyrażeniu zgody, których złożenia poprzez zaznaczenie pierwszego i drugiego okienka wyboru domagała się spółka X nie były prawidłowe. Spółka X nie zareagowała na korespondencję z ww. podmiotu. Sprawa finalnie zakończyła się sporem sądowym, którego clou dotyczyło tego, aby spółka X zaprzestała zamieszczania w zawieranych z konsumentami umowach dotyczących loterii promocyjnej oświadczenia zgody na przetwarzanie danych osobowych z wykorzystaniem plików cookies, w wypadku którego okienko wyboru jest zaznaczane domyślnie. Podniesiono przy tym, że użytkownik często nie jest świadomy możliwości usunięcia zaznaczenia tego okienka.
W związku z wątpliwościami co do ważności uzyskania przez spółkę X zgody użytkowników strony internetowej na przetwarzanie ich danych osobowych z wykorzystaniem plików cookies za pomocą drugiego okienka wyboru (domyślnie zaznaczonego), Bundesgerichtshof (federalny trybunał sprawiedliwości) postanowił zawiesić postępowanie i zwrócić się do Trybunału Sprawiedliwości z pytaniami prejudycjalnymi, z których najistotniejsze były poniższe pytania:
Czy mamy do czynienia ze skuteczną zgodą, w sytuacji gdy przechowywanie informacji lub dostęp do informacji, które są już przechowywane w urządzeniu końcowym użytkownika, są dozwolone na podstawie domyślnie zaznaczonego okienka wyboru, z którego użytkownik musi usunąć zaznaczenie w celu odmówienia wyrażenia zgody?
Czy taka zgoda jest skuteczna w rozumieniu art. 6 ust. 1 lit. a RODO?
TSUE po dogłębnej analizie przepisów, wskazał, że praktycznie niemożliwe wydaje się ustalenie w sposób obiektywny, czy użytkownik strony internetowej rzeczywiście wyraził zgodę na przetwarzanie jego danych osobowych poprzez to, że nie usunął domyślnego zaznaczenia okienka wyboru, a w każdym razie czy zgoda ta została udzielona w sposób świadomy. Nie można bowiem wykluczyć, że wspomniany użytkownik nie przeczytał informacji towarzyszących domyślnie zaznaczonemu okienku wyboru czy wręcz nie zwrócił uwagi na to okienko przed podjęciem dalszej aktywności na odwiedzanej przezeń stronie internetowej.
Wyrażenie woli musi być w szczególności „konkretne”, to znaczy musi odnosić się dokładnie do określonego przetwarzania danych i nie może zostać wywnioskowane z treści wyrażenia woli mającego inny cel.
Czynna zgoda jest obecnie wyraźnie przewidziana w RODO. W tym względzie należy zauważyć, że zgodnie z motywem 32 tego rozporządzenia zgodę można wyrazić w szczególności poprzez zaznaczenie okienka wyboru przy przeglądaniu strony internetowej. Z drugiej strony wspomniany motyw wyraźnie wyklucza możliwość wyrażenia zgody poprzez „milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania”.
TSUE postawił ostatecznie tezę:
Zgoda na przetwarzanie danych osobowych nie jest ważna, jeżeli przechowywanie informacji lub dostęp do informacji już przechowywanych w urządzeniu końcowym użytkownika strony internetowej, za pośrednictwem plików cookie, zostały zaakceptowane za pomocą domyślnie zaznaczonego okienka wyboru, którego zaznaczenie użytkownik ten musi usunąć, aby odmówić udzielenia zgody.
Wyrok Trybunału Sprawiedliwości Unii Europejskiej z dnia 1 października 2019 r. C-673/17
opracował adw. Piotr Stankiewicz