Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband e.V. v Planet49 GmbH.

• Jurisdiction: European Union
• Court: Court of Justice (European Union)
• Date: 01 October 2019

ARRÊT DE LA COUR (grande chambre)

1er octobre 2019 ( *1 )

« Renvoi préjudiciel – Directive 95/46/CE – Directive 2002/58/CE – Règlement (UE) 2016/679 – Traitement des données à caractère personnel et protection de la vie privée dans le secteur des communications électroniques – Cookies – Notion de consentement de la personne concernée – Déclaration de consentement au moyen d’une case cochée par défaut »

Dans l’affaire C‑673/17,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Bundesgerichtshof (Cour fédérale de justice, Allemagne), par décision du 5 octobre 2017, parvenue à la Cour le 30 novembre 2017, dans la procédure

Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV

contre

Planet49 GmbH,

LA COUR (grande chambre),

composée de M. K. Lenaerts, président, Mme R. Silva de Lapuerta, vice-présidente, MM. J.‑C. Bonichot, M. Vilaras, T. von Danwitz, Mme C. Toader, M. F. Biltgen, Mme K. Jürimäe et M. C. Lycourgos, présidents de chambre, MM. A. Rosas (rapporteur), L. Bay Larsen, M. Safjan et S. Rodin, juges,

avocat général : M. M. Szpunar,

greffier : M. D. Dittert, chef d’unité,

vu la procédure écrite et à la suite de l’audience du 13 novembre 2018,

considérant les observations présentées :

– pour le Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, par Me P. Wassermann, Rechtsanwalt,

– pour Planet49 GmbH, par Mes M. Jaschinski, J. Viniol et T. Petersen, Rechtsanwälte,

– pour le gouvernement allemand, par M. J. Möller, en qualité d’agent,

– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de M. F. De Luca, avvocato dello Stato,

– pour le gouvernement portugais, par MM. L. Inez Fernandes et M. Figueiredo ainsi que par Mmes L. Medeiros et C. Guerra, en qualité d’agents,

– pour la Commission européenne, par MM. G. Braun et H. Kranenborg ainsi que par Mme P. Costa de Oliveira, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 21 mars 2019,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte sur l’interprétation de l’article 2, sous f), et de l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO 2002, L 201, p. 37), telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009 (JO 2009, L 337, p. 11) (ci-après la « directive 2002/58 »), lus en combinaison avec l’article 2, sous h), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), ainsi que de l’article 6, paragraphe 1, sous a), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46 (règlement général sur la protection des données) (JO 2016, L 119, p. 1).

2 Cette demande a été introduite dans le cadre d’un litige opposant le Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (fédération des organisations et associations de consommateurs – fédération des organisations de consommateurs, Allemagne) (ci-après la « fédération ») à Planet49 GmbH, société proposant des jeux en ligne, au sujet du consentement des participants à un jeu promotionnel organisé par cette société au transfert de leurs données à caractère personnel à des sponsors et partenaires de celle-ci ainsi qu’au stockage d’informations et à l’accès à des informations stockées dans l’équipement terminal de ces utilisateurs.

Le cadre juridique

Le droit de l’Union

La directive 95/46

3 L’article 1er de la directive 95/46 prévoit : « 1. Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel. 2. Les États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1. »

4 L’article 2 de cette directive dispose : « Aux fins de la présente directive, on entend par : a) “données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ; b) “traitement de données à caractère personnel” (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ; [...] h) “consentement de la personne concernée” : toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement. »

5 L’article 7 de ladite directive énonce : « Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si : a) la personne concernée a indubitablement donné son consentement [...] »

6 Aux termes de l’article 10 de la même directive : « Les États membres prévoient que le responsable du traitement ou son représentant doit fournir à la personne auprès de laquelle il collecte des données la concernant au moins les informations énumérées ci-dessous, sauf si la personne en est déjà informée : a) l’identité du responsable du traitement et, le cas échéant, de son représentant ; b) les finalités du traitement auquel les données sont destinées ; c) toute information supplémentaire telle que : – les destinataires ou les catégories de destinataires des données, – le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse, – l’existence d’un droit d’accès aux données la concernant et de rectification de ces données, dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données. »

La directive 2002/58

7 Les considérants 17 et 24 de la directive 2002/58 énoncent : « (17) Aux fins de la présente directive, le consentement d’un utilisateur ou d’un abonné, que ce dernier soit une personne physique ou morale, devrait avoir le même sens que le consentement de la personne concernée tel que défini et précisé davantage par la directive [95/46]. Le consentement peut être donné selon toute modalité appropriée permettant à l’utilisateur d’indiquer ses souhaits librement, de manière spécifique et informée, y compris en cochant une case lorsqu’il visite un site Internet. [...] (24) L’équipement terminal de l’utilisateur d’un réseau de communications électroniques ainsi que toute information stockée sur cet équipement relèvent de la vie privée de l’utilisateur, qui doit être protégée au titre de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales[, signée à Rome le 4 novembre 1950]. Or, les logiciels espions, les pixels invisibles (web bugs), les identificateurs cachés et les autres dispositifs analogues peuvent pénétrer dans le terminal de l’utilisateur à son insu afin de pouvoir accéder à des informations, stocker des informations cachées ou suivre les activités de l’utilisateur, et peuvent porter gravement atteinte à la vie privée de ce dernier. L’utilisation de tels dispositifs ne devrait être autorisée qu’à des fins légitimes, et en étant portée à la connaissance de l’utilisateur concerné. »

8 L’article 1er de la directive 2002/58 prévoit : « 1. La présente directive prévoit l’harmonisation des dispositions nationales nécessaires pour assurer un niveau équivalent de protection des droits et libertés fondamentaux, et en particulier du droit à la vie privée et à la confidentialité, en ce qui concerne le traitement des données à caractère personnel dans le secteur des communications électroniques, ainsi que la libre circulation de ces données et des équipements et services de communications électroniques dans [l’Union européenne]. 2. Les dispositions de la présente directive précisent et complètent la directive [95/46] aux fins énoncées au paragraphe...