Conclusie AG: Vooraf ingesteld selectievakje dat door de gebruiker moet worden gedeactiveerd is geen daadwerkelijke toestemming

Conclusie AG HvJ EU 21 maart 2019, IT 2730; IEFbe 2852; ECLI:EU:C:2019:246; C-673/17 (Planet49) Verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie. Cookies. Toestemming. Daadwerkelijke toestemming middel van een vooraf ingesteld selectievakje. Conclusie AG:

(1)      There is no valid consent within the meaning of Articles 5(3) and 2(f) (...Directive on privacy and electronic communications), read in conjunction with Article 2(h) of [Directive 95/46/EC] and on the free movement of such data in a situation such as that of the main proceedings where the storage of information, or access to information already stored in the user’s terminal equipment, is permitted by way of a pre-ticked checkbox which the user must deselect to refuse his consent and where consent is given not separately but at the same time as confirmation in the participation in an online lottery.

(2)      The same goes for the interpretation of Articles 5(3) and 2(f) of Directive 2002/58, read in conjunction with Article 4, point 11, of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46 (General Data Protection Regulation).

(3)      For the purposes of the application of Articles 5(3) and 2(f) of Directive 2002/58 in conjunction with Article 2(h) of Directive 95/46, it makes no difference whether the information stored or accessed constitutes personal data.

(4)      The clear and comprehensive information a service provider has to give to a user, under Article 5(3) of Directive 2002/58, includes the duration of the operation of the cookies and the question of whether third parties are given access to the cookies or not.

Gestelde vragen [IT 2474]:

1. a) Is er sprake van een daadwerkelijke toestemming in de zin van artikel 5, lid 3, en artikel 2, onder f), van richtlijn 2002/58/EG, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46/EG, wanneer de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen op de eindapparatuur van de gebruiker wordt toegestaan door middel van een vooraf ingesteld  selectievakje dat door de gebruiker moet worden gedeactiveerd ingeval hij weigert zijn toestemming te verlenen? 
b)         Maakt het bij de toepassing van artikel 5, lid 3, en artikel 2, onder f), van richtlijn 2002/58/EG, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46/EG, enig verschil dat de opgeslagen of opgevraagde gegevens persoonsgegevens zijn?  
c)         Is in de in prejudiciële vraag 1 a) beschreven omstandigheden sprake van een daadwerkelijke toestemming in de zin van artikel 6, lid 1, onder a), van verordening (EU) 2016/679? 
2. Welke gegevens dienen door de aanbieder van diensten aan de gebruiker te worden verstrekt in het kader van de ingevolge artikel 5, lid 3, van richtlijn 2002/58/EG te verstrekken duidelijke en volledige informatie? Vallen daaronder ook de informatie hoelang de cookies actief blijven en of derden toegang tot de cookies hebben?