Domstolens dom (stora avdelningen) den 1 oktober 2019

I mål C‑673/17, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Bundesgerichtshof (Federala högsta domstolen, Tyskland) genom beslut av den 5 oktober 2017, som inkom till domstolen den 30 november 2017, i målet

DOMSTOLEN (stora avdelningen) sammansatt av ordföranden K. Lenaerts, vice ordföranden R. Silva de Lapuerta, avdelningsordförandena J.–C. Bonichot, M. Vilaras, T. von Danwitz, C. Toader, F. Biltgen, K. Jürimäe och C. Lycourgos samt domarna A. Rosas (referent), L. Bay Larsen, M. Safjan och S. Rodin, generaladvokat: M. Szpunar, justitiesekreterare: enhetschefen D. Dittert,

efter det skriftliga förfarandet och förhandlingen den 13 november 2018,

med beaktande av de yttranden som avgetts av: Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, genom P. Wassermann, Rechtsanwalt, Planet49 GmbH, genom M. Jaschinski, J. Viniol och T. Petersen, Rechtsanwälte, Tysklands regering, genom J. Möller, i egenskap av ombud, Italiens regering, genom G. Palmieri, i egenskap av ombud, biträdd av F. De Luca, avvocato dello Stato, Portugals regering, genom L. Inez Fernandes, M. Figueiredo, L. Medeiros och C. Guerra, samtliga i egenskap av ombud, Europeiska kommissionen, genom G. Braun, H. Kranenborg och P. Costa de Oliveira, samtliga i egenskap av ombud,

och efter att den 21 mars 2019 ha hört generaladvokatens förslag till avgörande,

följande

Dom

Tillämpliga bestämmelser

Unionsrätt

Direktiv 95/46

Direktiv 2002/58

Förordning 2016/679

Tysk rätt

Målet vid den nationella domstolen och tolkningsfrågorna

Prövning av tolkningsfrågorna

Inledande synpunkter

Frågorna 1 a och 1 c

Fråga 1 b

Fråga 2

Rättegångskostnader

1 Begäran om förhandsavgörande avser tolkningen av artikel 2 f och artikel 5.3 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37), i dess lydelse enligt Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 (EUT L 337, 2009, s. 11) (nedan kallat direktiv 2002/58), jämförda med artikel 2 h i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31), samt av artikel 6.1 a i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46 (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).

2 Begäran har framställts i ett mål mellan Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (sammanslutningen av konsumentskyddsorganisationer och konsumentförbund – sammanslutningen av konsumentorganisationer, Tyskland) (nedan kallad Bundesverband) och Planet49 GmbH, ett bolag som erbjuder onlinespel. Målet rör det samtycke som deltagare lämnade, i samband med en pristävling som anordnas av bolaget, till överföring av deras personuppgifter till bolagets sponsorer och samarbetspartners, samt till lagring av information och tillgång till information som lagrats i dessa användares terminalutrustning.

3 Artikel 1 i direktiv 95/46 har följande lydelse:

4 I artikel 2 i direktivet anges följande:

5 I artikel 7 i direktivet föreskrivs följande:

6 I artikel 10 i direktivet anges följande:

7 I skälen 17 och 24 i direktiv 2002/58 anges följande:

8 Artikel 1 i direktiv 2002/58 har följande lydelse:

9 I artikel 2 i direktivet anges följande:

10 I artikel 5.3 i direktivet föreskrivs följande:

11 I skäl 32 i förordning 2016/679 anges följande:

12 Artikel 4 i denna förordning har följande lydelse:

13 I artikel 6 i nämnda förordning föreskrivs följande:

14 Artikel 7.4 i samma förordning har följande lydelse:

15 I artikel 13.1 och 13.2 i förordning 2016/679 föreskrivs följande:

16 Artikel 94 i denna förordning har följande lydelse:

17 Enligt 307 § stycke 1 första meningen i Bürgerliches Gesetzbuch (civillagen, nedan kallad BGB) saknar bestämmelser i allmänna avtalsvillkor verkan om de oskäligt missgynnar användarens avtalspart på ett sätt som strider mot tro och heder.

18 I 307 § stycke 2 led 1 BGB föreskrivs att vid tvivel ska en bestämmelse anses missgynna en avtalspart på ett oskäligt sätt när bestämmelsen strider mot den grundläggande målsättningen med den lagstiftning som bestämmelsen avviker från.

19 I 12 § Telemediengesetz (lagen om elektronisk media) av den 26 februari 2007 (BGBI. 2007 I, s. 179), i den lydelse som är tillämplig i det nationella målet (nedan kallad TMG), föreskrivs följande:

20 Enligt 13 § stycke 1 TMB ska tjänsteleverantören när användningen inleds på ett lättbegripligt sätt informera användaren om arten och omfattningen av och syftet med insamlingen och användningen av personuppgifter, om sådan information inte redan har lämnats. Om processen sker automatiskt och möjliggör senare identifiering av användaren samt inhämtande och användning av personuppgifter ska användaren informeras vid processens början.

21 Enligt 15 § stycke 3 TMG får tjänsteleverantören, genom pseudonymer, upprätta användarprofiler för reklam, marknadsundersökningar eller behovsanpassad utformning av elektroniska informations- och kommunikationstjänster, om användaren inte motsätter sig detta efter att ha blivit informerad om sin rätt att göra invändningar.

22 Enligt 3 § stycke 1 i Bundesdatenschutzgesetz (federala dataskyddslagen) av den 20 december 1990 (BGB1. 1990 I, s. 2954), i den lydelse som är tillämplig i det nationella målet (nedan kallad BDSG), avses med personuppgifter enskilda uppgifter om en definierad eller definierbar fysisk persons (den registrerades) personliga eller materiella förhållanden.

23 Enligt definitionen i 3 § stycke 3 BDSG avses med begreppet insamling anskaffning av uppgifter om den registrerade.

24 I 4a § stycke 1 första meningen BDSG, som införlivar artikel 2 h i direktiv 95/46, föreskrivs att samtycket bara har verkan om det är baserat på den registrerades frivilliga beslut.

25 Den 24 september 2013 anordnade Planet49 en pristävling i reklamsyfte på webbplatsen www.dein-macbook.de.

26 De internetanvändare som önskade delta i denna tävling behövde lämna sina postnummer, vilket omdirigerade dem till en webbplats där de behövde uppge namn och adressuppgifter. Under adressfälten fanns två texter med tillhörande kryssrutor. Den första texten, där rutan (nedan kallad den första kryssrutan) inte var ikryssad på förhand, hade följande lydelse:

27 Den andra texten, där rutan (nedan kallad den andra kryssrutan) var ikryssad på förhand, hade följande lydelse:

28 Det var endast möjligt att delta i pristävlingen om åtminstone den första kryssrutan hade kryssats i.

29 Den elektroniska länken sponsorer och samarbetspartners och här i den texten som tillhörde den första kryssrutan ledde till en förteckning med 57 företag, deras adresser, det affärsområde som reklamen skulle avse och det kommunikationssätt som skulle användas för reklamen (e-post, brev eller telefon). Efter namnet på varje företag fanns det understrukna ordet avanmälan. Före förteckningen fanns följande text:

30 Genom att följa den elektroniska länken här i den texten som tillhörde den andra kryssrutan, kom följande uppgifter upp:

31 Det framgår av begäran om förhandsavgörande att kakor (cookies) är textfiler som leverantören av en webbplats lagrar i webbplatsanvändarens dator och, när användaren går in på webbplatsen igen, kan hämta på nytt för att underlätta navigeringen på internet eller transaktioner eller hämta information om användarbeteendet.

32 Inom ramen för en formell underrättelse som inte gav något resultat har Bundesverband, som är registrerad i förteckningen över godkända inrättningar enligt 4 § i Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (lag om förbudsföreläggande vid åsidosättanden av konsumenträtten och andra överträdelser) av den 26 november 2001 (BGB1. 2001 I, s. 3138), gjort gällande att de förklaringar om samtycke som Planet49 använder genom den första och den andra kryssrutan inte uppfyller kraven i 307 § BGB, 7 § stycke 2 led 2 i Gesetz gegen den unlauteren Wettbewerb (konkurrenslagen) av den 3 juli 2004 (BGB1. 2004 I, s. 1414) i den lydelse som är tillämplig i det nationella målet, samt 12 § och följande paragrafer i TMG.

33 Bundesverband väckte talan vid Landgericht Frankfurt am Main (Regionala domstolen i Frankfurt am Main, Tyskland) och yrkade i huvudsak att Planet49 skulle föreläggas att sluta använda sådana förklaringar om samtycke och förpliktas att betala ett belopp om 214 euro till Bundesverband jämte ränta från och med den 15 mars 2014.

34 Landgericht Frankfurt am Main (Regionala domstolen i Frankfurt am Main) biföll delvis talan.

35 Domen överklagades av Planet49 till Oberlandesgericht Frankfurt am Main (Regionala överdomstolen i Frankfurt am Main, Tyskland) som fann att Bundesverbands begäran – som syftade till att Planet49 skulle upphöra att i avtal med konsumenter om tävlingar inkludera den förklaring som anges ovan i punkt 27, där den andra kryssrutan var ikryssad på förhand – var ogrundad, eftersom dels användaren förstod att det var möjligt att avmarkera rutan, dels förklaringen var tillräckligt tydligt utformad i typografiskt hänseende och information lämnades om hur kakor används, utan att det var nödvändigt att röja identiteten på tredje parter som hade tillgång till den information som samlades in.

36 Bundesverband överklagade till Bundesgerichtshof (Federala högsta domstolen, Tyskland), som anser att utgången i det nationella målet är beroende av tolkningen av bestämmelserna i artikel 5.3 och artikel 2 f i direktiv 2002/58, artikel 2 h i direktiv 95/46 samt artikel 6.1 a i förordning 2016/679.

37 Eftersom Bundesgerichtshof (Federala högsta domstolen) var tveksam till, med hänsyn till dessa bestämmelser, huruvida Planet49:s inhämtade samtycken från användarna på webbplatsen www.dein-macbook.de, avseende den andra kryssrutan, var giltiga liksom omfattningen av den informationsskyldighet som föreskrivs i artikel 5.3 i direktiv 2002/58, beslutade den att vilandeförklara målet och ställa följande frågor till EU-domstolen:

38 Domstolen ska inledningsvis pröva huruvida direktiv 95/46 och förordning 2016/679 är tillämpliga på omständigheterna i det nationella målet.

39 Med verkan från och med den 25 maj 2018 upphörde direktiv 95/46 att gälla och ersattes av förordning 2016/679, i enlighet med artikel 94.1 i den sistnämnda förordningen.

40 Detta datum är visserligen efter datumet för den sista förhandlingen vid den hänskjutande domstolen, vilken ägde rum den 14 juli 2017, liksom datumet då den hänskjutande domstolen inkom med sin begäran om förhandsavgörande till EU-domstolen.

41 Med anledning av att förordning 2016/679 trädde i kraft den 25 maj 2018 har den hänskjutande domstolen emellertid angett att det är sannolikt att denna förordning ska beaktas när det nationella målet ska avgöras. Förordningen är, för övrigt, en del av den första frågan. Därutöver har Tysklands regering, under den muntliga förhandlingen vid EU-domstolen, angett att det inte är uteslutet att förordning 2016/679, i den mån som det förfarande som anhängiggjorts av Bundesverband syftar till att förhindra Planet49:s förklaring i framtiden, är tillämplig i tiden (ratione temporis) i det nationella målet, på grund av nationell rättspraxis om den relevanta rättsliga situationen vid talan om förbudsföreläggande, vilket det ankommer på den hänskjutande domstolen att kontrollera (se, rörande en talan om fastställelse, dom av den 16 januari 2019, Deutsche Post, C‑496/17, EU:C:2019:26, punkt 38).

42 Mot denna bakgrund och med hänsyn till att, i enlighet med artikel 94.2 i förordning 2016/679, hänvisningar i direktiv 2002/58 till direktiv 95/46 ska anses som hänvisningar till nämnda förordning, är det i förevarande fall inte uteslutet att direktiv 2002/58 är tillämpligt tillsammans med antingen direktiv 95/46 eller förordning nr 2016/679 beroende på Bundesverbands begäran och den berörda perioden.

43 Frågorna ska följaktligen besvaras med beaktande av både direktiv 95/46 och förordning 2016/679.

44 Den hänskjutande domstolen har ställt frågorna 1 a och 1 c för att få klarhet i huruvida artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46 och artikel 6.1 a i förordning 2016/679, ska tolkas så, att det samtycke som avses i dessa bestämmelser är giltigt när lagring av information eller tillgång till information som redan är lagrad i webbplatsanvändarens terminalutrustning genom kakor, tillåts genom en på förhand ikryssad ruta som användaren måste avmarkera för att vägra samtycke.

45 Det ska inledningsvis påpekas att enligt vad som anges i begäran om förhandsavgörande innehåller kakorna – som kan placeras i terminalutrustningen hos en användare som deltar i en pristävling anordnad av Planet49 – ett nummer som kopplas till registreringsuppgifterna för användaren, som måste anmäla sig med namn och adress i tävlingens anmälningsformulär. Den hänskjutande domstolen har tillagt att genom att numret kopplas till dessa uppgifter knyts de uppgifter som har lagrats genom kakorna till en person när denna använder internet, så att insamlingen av dessa uppgifter genom kakor innebär en behandling av personuppgifter. Dessa uppgifter har bekräftats av Planet49, som i sitt skriftliga yttrande har påpekat att samtycket knutet till den andra kryssrutan är avsett att tillåta insamling och behandling av personuppgifter och inte anonyma uppgifter.

46 Efter denna precisering erinrar EU-domstolen om att enligt artikel 5.3 i direktiv 2002/58 ska medlemsstaterna se till att lagring av information eller tillgång till information som redan är lagrad i en användares terminalutrustning endast är tillåten på villkor att användaren i fråga har gett sitt samtycke efter att ha fått tillgång till tydlig och fullständig information, i enlighet med direktiv 95/46, bland annat om ändamålen med behandlingen av uppgifterna.

47 Det ska i detta avseende erinras om att det följer av såväl kravet på en enhetlig tillämpning av unionsrätten som av likhetsprincipen, att ordalydelsen i en unionsbestämmelse som inte innehåller någon uttrycklig hänvisning till medlemsstaternas rättsordningar för fastställandet av bestämmelsens innebörd och tillämpningsområde, i regel ska ges en självständig och enhetlig tolkning inom hela Europeiska unionen (dom av den 26 mars 2019, SM (Barn som omhändertagits enligt institutet kafala i algerisk rätt), C‑129/18, EU:C:2019:248, punkt 50, och dom av den 11 april 2019, Tarola, C‑483/17, EU:C:2019:309, punkt 36).

48 Dessutom ska vid tolkningen av en unionsbestämmelse enligt fast rättspraxis inte bara lydelsen och ändamålen beaktas, utan också sammanhanget och unionsrättens samtliga bestämmelser. Även förberedelsearbetet inför antagandet av en unionsrättsbestämmelse kan ge relevanta upplysningar om tolkningen av densamma (dom av den 10 december 2018, Wightman m.fl., C‑621/18, EU:C:2018:999, punkt 47 och där angiven rättspraxis).

49 Vad gäller ordalydelsen i artikel 5.3 i direktiv 2002/58, ska det påpekas att även om det i denna bestämmelse uttryckligen föreskrivs att användaren ska ha lämnat sitt samtycke till att kakor placeras i och att de kommunicerar med vederbörandes terminalutrustning, innehåller bestämmelsen däremot inte några uppgifter om hur detta samtycke ska lämnas. Uttrycket lämna sitt samtycke lämpar sig emellertid för en bokstavstolkning, enligt vilken en handling från användarens sida är nödvändig för att ge uttryck för sitt samtycke. I detta hänseende framgår det av skäl 17 i direktiv 2002/58 att en användares samtycke, vid tillämpningen av detta direktiv, kan ges i varje lämplig form som gör det möjligt att frivilligt lämna särskilda och informerade uppgifter om användarens önskemål, däribland genom markeringar i en ruta vid besök på en webbplats.

50 Vad gäller det sammanhang i vilket artikel 5.3 i direktiv 2002/58 ingår, bör det betonas att artikel 2 f i direktivet, som definierar samtycke i den mening som avses i detta direktiv, hänvisar, i detta hänseende, till den registrerades samtycke i direktiv 95/46. I skäl 17 i direktiv 2002/58 anges att en användares samtycke, vid tillämpningen av detta direktiv, bör ha samma betydelse som den registrerades samtycke enligt vad som definieras och i övrigt fastställs i direktiv 95/46.

51 Artikel 2 h i direktiv 95/46 definierar den registrerades samtycke som varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom.

52 Såsom generaladvokaten har påpekat i punkt 60 i sitt förslag till avgörande, pekar kravet på en viljeyttring av den registrerade tydligt på ett aktivt och inte ett passivt beteende. Ett samtycke som lämnas genom en på förhand ikryssad ruta innebär emellertid inte något aktivt beteende från webbplatsanvändarens sida.

53 Denna tolkning stöds av artikel 7 i direktiv 95/46, som innehåller en uttömmande uppräkning av de situationer när en behandling av personuppgifter kan anses vara tillåten (se, för ett liknande resonemang, dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 och C‑469/10, EU:C:2011:777, punkt 30, och dom av den 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punkt 57).

54 I artikel 7 a i direktiv 95/46 föreskrivs särskilt att den registrerades samtycke kan göra att en sådan behandling är tillåten under förutsättning att den registrerade otvetydigt har lämnat sitt samtycke. Endast ett aktivt beteende från denna person för att visa sitt samtycke uppfyller detta krav.

55 I detta avseende är det praktiskt taget omöjligt att på ett objektivt sätt avgöra huruvida webbplatsanvändaren faktiskt har gett sitt samtycke till behandling av sina personuppgifter genom att inte avmarkera en på förhand ikryssad ruta samt, under alla omständigheter, huruvida användaren lämnat ett välinformerat samtycke. Det går nämligen inte att utesluta att nämnda användare inte har läst den information som medföljer den på förhand ikryssade rutan, eller till och med att han eller hon inte har noterat denna ruta, innan vederbörande fortsätter med sin aktivitet på webbplatsen han eller hon besöker.

56 Vad slutligen beträffar förberedelsearbetet inför antagandet av artikel 5.3 i direktiv 2002/58, ska det konstateras att det i den ursprungliga lydelsen av denna bestämmelse endast föreskrevs ett krav på att användaren erbjuds rätten att vägra att kakor lagras, efter att, i enlighet med direktiv 95/46, ha fått tillgång till klar och fullständig information, bland annat om ändamålen med behandlingen. Genom direktiv 2009/136 infördes en väsentlig ändring av ordalydelsen i denna bestämmelse genom att ersätta detta uttryck med har gett sitt samtycke. Förberedelsearbetet inför antagandet av artikel 5.3 i direktiv 2002/58 tyder sålunda på att användarens samtycke inte längre kan presumeras utan måste följa av användarens aktiva beteende.

57 Mot bakgrund av ovanstående överväganden är ett samtycke i den mening som avses i artiklarna 2 f och 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46, följaktligen inte lämnat på ett giltigt sätt om lagring av information eller tillgång till information som redan är lagrad i en webbplatsanvändares terminalutrustning tillåts genom en av tjänsteleverantören på förhand ikryssad ruta som användaren måste avmarkera för att vägra samtycke.

58 Det ska tilläggas att den viljeyttring som avses i artikel 2 h i direktiv 95/46 bland annat måste vara särskild, i den meningen att den måste avse exakt den berörda behandlingen av uppgifter och kan inte härledas från en viljeyttring med ett annat syfte.

59 Tvärtemot vad Planet49 anfört, är det således inte tillräckligt att en användare trycker på knappen för att delta i detta bolags pristävling för att det ska anses att användaren har lämnat ett giltigt samtycke till lagring av kakor.

60 Nyssnämnda tolkning vinner stöd i än högre grad mot bakgrund av förordning 2016/679.

61 Såsom generaladvokaten konstaterade i punkt 70 i sitt förslag till avgörande framgår det nämligen att ordalydelsen i artikel 4 led 11 i förordning 2016/679, som definierar samtycke av den registrerade vid tillämpning av förordningen, och särskilt, i artikel 6.1 a i förordningen, som fråga 1 c avser, är striktare än den i artikel 2 h i direktiv 95/46, eftersom det krävs en frivillig, specifik, informerad och otvetydig viljeyttring av den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling genom vilken behandling av den registrerades personuppgifter godtas.

62 Ett aktivt samtycke föreskrivs således numera uttryckligen i förordning 2016/679. Det kan i detta sammanhang påpekas att enligt skäl 32 i denna förordning kan uttrycket samtycke inbegripa att en ruta kryssas i vid besök på en webbplats. I nämnda skäl anges däremot uttryckligen att [t]ystnad, på förhand ikryssade rutor eller inaktivitet inte bör utgöra samtycke.

63 Av detta följer att det inte utgör ett giltigt samtycke i den mening som avses i artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 4 led 11 och artikel 6.1 a i förordning nr 2016/679, om lagring av information eller tillgång till information som redan är lagrad i webbplatsanvändarens terminalutrustning tillåts genom en på förhand ikryssad ruta som användaren måste avmarkera för att vägra samtycke.

64 Slutligen bör det understrykas att den hänskjutande domstolen inte har ställt någon fråga till domstolen för att få klarhet i huruvida den omständigheten att en användares samtycke till behandling av personuppgifter för reklamändamål är avgörande för möjligheten för användaren att delta i en pristävling – vilket verkar vara fallet i det aktuella målet, enligt de uppgifter som anges i begäran om förhandsavgörande, i vart fall avseende den första kryssrutan – är förenligt med kravet på frivillig[t] samtycke, i den mening som avses i artikel 2 h i direktiv 95/46, liksom artikel 4 led 11 och artikel 7.4 i förordning 2016/679. Under dessa omständigheter saknas det anledning för domstolen att pröva denna fråga.

65 Mot bakgrund av det ovan anförda ska frågorna 1 a och 1 c besvaras enligt följande. Artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46 samt artikel 4 led 11 och artikel 6.1 a i förordning 2016/679, ska tolkas så, att det samtycke som avses i dessa bestämmelser inte är giltigt när lagring av information eller tillgång till information, som redan är lagrad i webbplatsanvändarens terminalutrustning genom kakor, tillåts genom en på förhand ikryssad ruta som denna användare måste avmarkera för att vägra samtycke.

66 Den hänskjutande domstolen har ställt fråga 1 b för att få klarhet i huruvida artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46 samt artikel 4 led 11 och artikel 6.1 a i förordning 2016/679, ska tolkas olika beroende på om den lagrade eller hämtade informationen i webbplatsanvändarens terminalutrustning utgör personuppgifter eller inte, i den mening som avses i direktiv 95/46 och i förordning 2016/679.

67 Såsom domstolen har påpekat i punkt 45 ovan, framgår det av begäran om förhandsavgörande att lagringen av de aktuella kakorna i det nationella målet innebär en behandling av personuppgifter.

68 Efter detta förtydligande kan det i vart fall konstateras att artikel 5.3 i direktiv 2002/58 hänvisar till lagring av information och tillgång till information som redan är lagrad, utan att kvalificera denna information eller precisera att den ska utgöras av personuppgifter.

69 Såsom generaladvokaten har konstaterat i punkt 107 i sitt förslag till avgörande syftar denna bestämmelse således till att skydda användaren från intrång i dennes privatliv, oavsett om intrånget rör personuppgifter eller inte.

70 Denna tolkning bekräftas av skäl 24 i direktiv 2002/58, enligt vilken all information som finns lagrad i terminalutrustningen för användare av elektroniska kommunikationsnät är en del av privatlivet för användarna och kräver skydd enligt Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Detta skydd gäller all information som finns lagrad på denna terminalutrustning, oavsett om det rör sig om personuppgifter eller inte och, såsom framgår av samma skäl, syftar till att bland annat skydda användarna mot riskerna med hemliga identifieringsuppgifter eller liknande som ger tillträde till användarnas terminalutrustning utan deras kännedom.

71 Mot bakgrund av det ovan anförda ska fråga 1 b besvaras enligt följande. Artikel 2 f och artikel 5.3 i direktiv 2002/58, jämförda med artikel 2 h i direktiv 95/46 samt artikel 4 led 11 och artikel 6.1 a i förordning 2016/679 ska inte tolkas olika beroende på om den lagrade eller hämtade informationen i webbplatsanvändarens terminalutrustning utgör personuppgifter eller inte, i den mening som avses i direktiv 95/46 och i förordning 2016/679.

72 Den hänskjutande domstolen har ställt fråga 2 för att få klarhet i huruvida artikel 5.3 i direktiv 2002/58 ska tolkas så, att den information som tjänsteleverantören ska lämna till webbplatsanvändaren omfattar kakornas funktionstid samt möjligheten för tredje part att få tillgång eller inte till dessa kakor.

73 Såsom redan framgår av punkt 46 ovan krävs det enligt artikel 5.3 i direktiv 2002/58 att användaren i fråga har gett sitt samtycke efter att ha fått tillgång till tydlig och fullständig information, i enlighet med direktiv [95/46], bland annat om ändamålen med behandlingen av uppgifterna.

74 Såsom generaladvokaten betonade i punkt 115 i sitt förslag till avgörande, innebär tydlig och fullständig information att en användare enkelt måste kunna avgöra följderna av ett eventuellt samtycke och säkerställa att ett välgrundat samtycke lämnas. Den måste vara lättförståelig och tillräckligt detaljerad så att användaren kan förstå hur de kakor som används fungerar.

75 I en sådan situation som den som är i fråga i det nationella målet, där kakor, enligt vad som framgår av handlingarna i målet, syftar till att samla in information för reklamändamål med avseende på en pristävlingsarrangörs samarbetspartners produkter, innefattar information om kakornas funktionstid och om huruvida tredje parter ges tillgång till kakorna eller inte en del av den tydliga och fullständiga information som ska lämnas till användaren i enlighet med artikel 5.3 i direktiv 2002/58.

76 I detta avseende ska det noteras att det i artikel 10 i direktiv 95/46, vilken artikel 5.3 i direktiv 2002/58 hänvisar till, samt i artikel 13 i förordning 2016/679 anges vilken information som den personuppgiftsansvarige ska tillhandahålla den person från vilken uppgifterna om vederbörande samlas in.

77 Denna information omfattar bland annat, enligt artikel 10 i direktiv 95/46, förutom den registeransvariges identitet och ändamålen med den behandling för vilken uppgifterna är avsedda, all ytterligare information, exempelvis mottagarna eller de kategorier som mottar uppgifterna, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling.

78 Även om tiden för behandlingen av uppgifterna inte ingår bland denna information, framgår det emellertid av uttrycket i vart fall i artikel 10 i direktiv 95/46 att det inte är någon uttömmande uppräkning. Information om kakornas funktionstid ska emellertid anses uppfylla kravet på en korrekt behandling av de uppgifter som föreskrivs i nämnda artikel, eftersom i en sådan situation som den som är i fråga i det nationella målet, en lång funktionstid, eller till och med obegränsad tid, innebär att mer information samlas in om användarens surfvanor och eventuella besök på pristävlingsarrangörens reklampartners webbplatser.

79 Denna tolkning stöds av artikel 13.2 a i förordning 2016/679, som föreskriver att den personuppgiftsansvarige ska till den registrerade lämna, för att säkerställa rättvis och transparent behandling, information om bland annat den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

80 Vad gäller möjligheten för tredje part att få tillgång eller inte till kakorna, rör det sig om information som ingår i den information som anges i artikel 10 c i direktiv 95/46 och i artikel 13.1 e i förordning 2016/679, eftersom mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna uttryckligen nämns i dessa bestämmelser.

81 Mot bakgrund av ovanstående överväganden ska fråga 2 besvaras enligt följande. Artikel 5.3 i direktiv 2002/58 ska tolkas så, att den information som tjänsteleverantören ska lämna till webbplatsanvändaren omfattar kakornas funktionstid samt möjligheten för tredje part att få tillgång eller inte till dessa kakor.

82 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

1 Rättegångsspråk: tyska.