Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband e.V. v Planet49 GmbH.

JurisdictionEuropean Union
ECLIECLI:EU:C:2019:801
Date01 October 2019
Celex Number62017CJ0673
CourtCourt of Justice (European Union)
Procedure TypeReference for a preliminary ruling
Docket NumberC-673/17
62017CJ0673

ARRÊT DE LA COUR (grande chambre)

1er octobre 2019 ( *1 )

« Renvoi préjudiciel – Directive 95/46/CEDirective 2002/58/CERèglement (UE) 2016/679 – Traitement des données à caractère personnel et protection de la vie privée dans le secteur des communications électroniques – Cookies – Notion de consentement de la personne concernée – Déclaration de consentement au moyen d’une case cochée par défaut »

Dans l’affaire C‑673/17,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Bundesgerichtshof (Cour fédérale de justice, Allemagne), par décision du 5 octobre 2017, parvenue à la Cour le 30 novembre 2017, dans la procédure

Bundesverband der Verbraucherzentralen und VerbraucherverbändeVerbraucherzentrale Bundesverband eV

contre

Planet49 GmbH,

LA COUR (grande chambre),

composée de M. K. Lenaerts, président, Mme R. Silva de Lapuerta, vice-présidente, MM. J.‑C. Bonichot, M. Vilaras, T. von Danwitz, Mme C. Toader, M. F. Biltgen, Mme K. Jürimäe et M. C. Lycourgos, présidents de chambre, MM. A. Rosas (rapporteur), L. Bay Larsen, M. Safjan et S. Rodin, juges,

avocat général : M. M. Szpunar,

greffier : M. D. Dittert, chef d’unité,

vu la procédure écrite et à la suite de l’audience du 13 novembre 2018,

considérant les observations présentées :

pour le Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, par Me P. Wassermann, Rechtsanwalt,

pour Planet49 GmbH, par Mes M. Jaschinski, J. Viniol et T. Petersen, Rechtsanwälte,

pour le gouvernement allemand, par M. J. Möller, en qualité d’agent,

pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de M. F. De Luca, avvocato dello Stato,

pour le gouvernement portugais, par MM. L. Inez Fernandes et M. Figueiredo ainsi que par Mmes L. Medeiros et C. Guerra, en qualité d’agents,

pour la Commission européenne, par MM. G. Braun et H. Kranenborg ainsi que par Mme P. Costa de Oliveira, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 21 mars 2019,

rend le présent

Arrêt

1

La demande de décision préjudicielle porte sur l’interprétation de l’article 2, sous f), et de l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO 2002, L 201, p. 37), telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009 (JO 2009, L 337, p. 11) (ci-après la « directive 2002/58 »), lus en combinaison avec l’article 2, sous h), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), ainsi que de l’article 6, paragraphe 1, sous a), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46 (règlement général sur la protection des données) (JO 2016, L 119, p. 1).

2

Cette demande a été introduite dans le cadre d’un litige opposant le Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (fédération des organisations et associations de consommateurs – fédération des organisations de consommateurs, Allemagne) (ci-après la « fédération ») à Planet49 GmbH, société proposant des jeux en ligne, au sujet du consentement des participants à un jeu promotionnel organisé par cette société au transfert de leurs données à caractère personnel à des sponsors et partenaires de celle-ci ainsi qu’au stockage d’informations et à l’accès à des informations stockées dans l’équipement terminal de ces utilisateurs.

Le cadre juridique

Le droit de l’Union

La directive 95/46

3

L’article 1er de la directive 95/46 prévoit :

« 1. Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.

2. Les États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1. »

4

L’article 2 de cette directive dispose :

« Aux fins de la présente directive, on entend par :

a)

“données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ;

b)

“traitement de données à caractère personnel” (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ;

[...]

h)

“consentement de la personne concernée” : toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement. »

5

L’article 7 de ladite directive énonce :

« Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :

a)

la personne concernée a indubitablement donné son consentement

[...] »

6

Aux termes de l’article 10 de la même directive :

« Les États membres prévoient que le responsable du traitement ou son représentant doit fournir à la personne auprès de laquelle il collecte des données la concernant au moins les informations énumérées ci-dessous, sauf si la personne en est déjà informée :

a)

l’identité du responsable du traitement et, le cas échéant, de son représentant ;

b)

les finalités du traitement auquel les données sont destinées ;

c)

toute information supplémentaire telle que :

les destinataires ou les catégories de destinataires des données,

le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse,

l’existence d’un droit d’accès aux données la concernant et de rectification de ces données,

dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données. »

La directive 2002/58

7

Les considérants 17 et 24 de la directive 2002/58 énoncent :

« (17)

Aux fins de la présente directive, le consentement d’un utilisateur ou d’un abonné, que ce dernier soit une personne physique ou morale, devrait avoir le même sens que le consentement de la personne concernée tel que défini et précisé davantage par la directive [95/46]. Le consentement peut être donné selon toute modalité appropriée permettant à l’utilisateur d’indiquer ses souhaits librement, de manière spécifique et informée, y compris en cochant une case lorsqu’il visite un site Internet.

[...]

(24)

L’équipement terminal de l’utilisateur d’un réseau de communications électroniques ainsi que toute information stockée sur cet équipement relèvent de la vie privée de l’utilisateur, qui doit être protégée au titre de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales[, signée à Rome le 4 novembre 1950]. Or, les logiciels espions, les pixels invisibles (web bugs), les identificateurs cachés et les autres dispositifs analogues peuvent pénétrer dans le terminal de l’utilisateur à son insu afin de pouvoir accéder à des informations, stocker des informations cachées ou suivre les activités de l’utilisateur, et peuvent porter gravement atteinte à la vie privée de ce dernier. L’utilisation de tels dispositifs ne devrait être autorisée qu’à des fins légitimes, et en étant portée à la connaissance de l’utilisateur concerné. »

8

L’article 1er de la directive 2002/58 prévoit :

« 1. La présente directive prévoit l’harmonisation des dispositions nationales nécessaires pour assurer un niveau équivalent de protection des droits et libertés fondamentaux, et en particulier du droit à la vie privée et à la confidentialité, en ce qui concerne le traitement des données à caractère personnel dans le secteur des communications électroniques, ainsi que la libre circulation de ces données et des équipements et services de communications électroniques dans [l’Union européenne].

2. Les dispositions de la présente directive précisent et complètent la directive [95/46] aux fins énoncées au paragraphe...

To continue reading

Request your trial
26 practice notes
  • B v Latvijas Republikas Saeima.
    • European Union
    • Court of Justice (European Union)
    • 22 June 2021
    ...the European Union (judgments of 19 September 2000, Linster, C‑287/98, EU:C:2000:468, paragraph 43, and of 1 October 2019, Planet49, C‑673/17, EU:C:2019:801, paragraph 82 In the present instance, it is to be noted, first of all, that the GDPR does not contain any reference to national law s......
  • Orange Romania SA v Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
    • European Union
    • Court of Justice (European Union)
    • 11 November 2020
    ... im vorliegenden Fall auf diese Anordnung in zeitlicher Hinsicht anwendbar ist (vgl. in diesem Sinne Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801 , Rn. 32 Unter diesen Umständen sind die Fragen des vorlegenden Gerichts sowohl auf der Grundlage der Richtlinie 95/46 als au......
  • Opinion of Advocate General Szpunar delivered on 17 December 2020.
    • European Union
    • Court of Justice (European Union)
    • 17 December 2020
    ...also be processed under the control of judicial authority’. My emphasis. 55 See, by way of example, judgment of 1 October 2019, Planet49 (C‑673/17, EU:C:2019:801, paragraph 47 and the case-law 56 Ibid. 57 See judgment of 17 September 2020, JZ (Custodial sentence in the case of an entry ban)......
  • Opinion of Advocate General Szpunar in Orange Romania
    • European Union
    • Court of Justice (European Union)
    • 4 March 2020
    ...del Reglamento 2016/679. 10 Véase el artículo 94, apartado 1, del Reglamento 2016/679. 11 Véase la sentencia de 1 octubre de 2019, Planet49 (C‑673/17, EU:C:2019:801), apartados 38 a 43, para un planteamiento similar en una situación comparable, y mis conclusiones presentadas en dicho asunto......
  • Request a trial to view additional results
15 cases
  • B v Latvijas Republikas Saeima.
    • European Union
    • Court of Justice (European Union)
    • 22 June 2021
    ...the European Union (judgments of 19 September 2000, Linster, C‑287/98, EU:C:2000:468, paragraph 43, and of 1 October 2019, Planet49, C‑673/17, EU:C:2019:801, paragraph 82 In the present instance, it is to be noted, first of all, that the GDPR does not contain any reference to national law s......
  • Orange Romania SA v Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
    • European Union
    • Court of Justice (European Union)
    • 11 November 2020
    ... im vorliegenden Fall auf diese Anordnung in zeitlicher Hinsicht anwendbar ist (vgl. in diesem Sinne Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801 , Rn. 32 Unter diesen Umständen sind die Fragen des vorlegenden Gerichts sowohl auf der Grundlage der Richtlinie 95/46 als au......
  • Opinion of Advocate General Szpunar delivered on 17 December 2020.
    • European Union
    • Court of Justice (European Union)
    • 17 December 2020
    ...also be processed under the control of judicial authority’. My emphasis. 55 See, by way of example, judgment of 1 October 2019, Planet49 (C‑673/17, EU:C:2019:801, paragraph 47 and the case-law 56 Ibid. 57 See judgment of 17 September 2020, JZ (Custodial sentence in the case of an entry ban)......
  • Opinion of Advocate General Szpunar in Orange Romania
    • European Union
    • Court of Justice (European Union)
    • 4 March 2020
    ...del Reglamento 2016/679. 10 Véase el artículo 94, apartado 1, del Reglamento 2016/679. 11 Véase la sentencia de 1 octubre de 2019, Planet49 (C‑673/17, EU:C:2019:801), apartados 38 a 43, para un planteamiento similar en una situación comparable, y mis conclusiones presentadas en dicho asunto......
  • Request a trial to view additional results
11 firm's commentaries
  • The Way The Cookie Crumbles: CJEU Clarifies European Data Protection Rules For The Use Of Cookies
    • European Union
    • Mondaq European Union
    • 16 December 2019
    ...further legislative activity will address these concerns in the future. Footnotes 1 Verbraucherzentrale Bundesverband v. Planet49 (Case C-673/17) - available 2 Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with r......
  • CJEU: Consent on the Internet Means ‘Opt-In’
    • European Union
    • JD Supra European Union
    • 2 October 2019
    ...European Union (CJEU) handed down a crucial decision impacting the way that consent is obtained on the internet. The judgment relates to Case C-673/17 (Planet49 – a previous post outlining the background can be found In the Planet49 case, the German Federal Court referred a number of questi......
  • ECJ Issues First Cookie Decision After GDPR
    • European Union
    • JD Supra European Union
    • 3 October 2019
    ... ... der Verbraucherzerntralen und Verbraucherverbande – Verbracherzentrale Bundesverband eV v. r 49 GmbH, (Case C-673/17) (1 October 2019) (available at ... ...
  • CJEU Advocate General Opinion: A 'Pre-Checked Checkbox' Is Not Valid Consent To Cookies Under The GDPR
    • European Union
    • Mondaq European Union
    • 5 April 2019
    ...his opinion on a number of questions which, inter alia, relate to the validity of consent to cookies “by way of a pre-checked checkbox" (Case C 673/17). While the questions referred to the Court of Justice of the European Union (CJEU) primarily related to provisions of the Privacy and Elect......
  • Request a trial to view additional results

VLEX uses login cookies to provide you with a better browsing experience. If you click on 'Accept' or continue browsing this site we consider that you accept our cookie policy. ACCEPT