Generaladvokat: unavngivne 'partneres' samtykke rækker ikke til markedsføring

En generaladvokat har rådet Domstolen til, at samtykke givet til en internetudbyder til databehandling fra dennes unavngivne partnere ikke kan bære senere elektronisk direkte markedsføring fra en af disse partnere uden nyt samtykkeEuropa. I udtalelsen af 17. september 2026 i sag C-317/25Europa foreslår generaladvokat Spielmann, at artikel 4, nr. 11, i GDPR med artikel 13 og 14 i GDPR og artikel 13 i direktiv 2002/58 læses således, at partnerkategorisamtykke, hvis modtagere var ukendte ved indsamlingen, ikke er informeret samtykke til markedsføring fra noget medlem af kategorienEuropa. Udtalelsen foreslår et svar; Domstolens fortolkningsdom vil vejlede Conseil d'État, hvor appellen over CNIL-bøden verserer.

Forelæggelsen kommer fra Conseil d'ÉtatEuropa i Groupe Canal + SAS' anfægtelse af CNIL-afgørelse SAN-2023-015Europa af 12. oktober 2023Europa, som pålagde selskabet en bøde på 600 000 EUREuropa for elektronisk direkte markedsføring uden gyldigt samtykkeEuropa. Personer havde ved indsamling hos internetudbydere givet samtykke til overførsler til uopfordrede kommercielle henvendelser til partnere, som ikke var identificeret, da samtykket blev givetEuropa. Groupe Canal +, ikke specifikt nævnt blandt disse partnereEuropa, markedsførte derefter til demEuropa; selskabet hævder, at ISP-samtykket var tilstrækkeligt informeretEuropa, mens CNIL, Kommissionen samt den franske og den spanske regering er uenigeEuropa; Italien har afgivet skriftlige indlæg, hvis holdning udtalelsen ikke gengiver. Den forelæggende ret spørger først, om kategorisamtykke rækker, eller om hver uidentificeret modtager må indhente samtykke som ny dataansvarligEuropa, og dernæst, hvor præcis en modtagerkategori skal væreEuropa.

Hvad angår det første spørgsmål, begrunder udtalelsen ud fra ordlyd, kontekst og formål. Artikel 13, stk. 1, i direktiv 2002/58 tillader kun elektronisk direkte markedsføring til abonnenter, der har givet forudgående samtykkeEuropa, og dette samtykke betyder GDPR-samtykke: frivillig, specifik, informeret og utvetydig tilkendegivelse ved erklæring eller klar bekræftende handlingEuropa. Informeret samtykke kræver oplysningerne i artikel 13 og 14 i GDPREuropa, og på markedsføringsstadiet ankommer data indirekte, så artikel 14 gælderEuropa: den dataansvarlige skal identificere sig efter artikel 14, stk. 1, litra a)Europa og informere senest ved første henvendelse efter artikel 14, stk. 3, litra b)Europa. I betragtning 42 i GDPR hedder det, at den registrerede som minimum bør kende den dataansvarliges identitet og formålene. Artikel 13, stk. 2's soft opt-in for en sælgers egne tilsvarende produkter gælder ikke, fordi markedsføreren ikke er den indsamlende ISPEuropa.

Konteksten peger samme vej: gennemsigtighed og rimelighed efter artikel 5, stk. 1, litra a), i GDPR med betragtning 60 og 61 kræver, at registrerede får besked om modtagerændringer, så de kan vurdere virkningen og udøve tilbagekaldelse eller indsigelseEuropa, og undtagelserne i artikel 14, stk. 5, er udtømmende opregnede og uanvendeligeEuropa — identiteten blev aldrig oplystEuropa, og oplysning kræver ikke uforholdsmæssig indsats, da Groupe Canal + kunne aftale med ISP'er at navngive modtagere eller føre en opdateret liste, eller selv indhente samtykke ved første kontaktEuropa. Et afmeldingslink helbreder intet med tilbagevirkende kraftEuropa. Deutsche Telekom- og Proximus-fortegnelsespraksis, der tillader ét samtykke på tværs af katalogoperationer med samme formålEuropa, vedrører artikel 12 i direktiv 2002/58Europa og kræver endda fornyet samtykke til yderligere formålEuropa, så den hjælper ikke Groupe Canal +.

Subsidiært vedrørende det andet spørgsmål foretrækker udtalelsen en præcisionsfølsom tilgang: en modtagerkategori kunne kun bære samtykke, hvis den registrerede rimeligt kan forvente henvendelse fra den pågældende givet indsamlingskontekstenEuropa, og ISP-partnere er for vagtEuropa — et kontraktligt-kommercielt forhold, der intet siger om varer, tjenester, sektor eller stedEuropa, i strid med Artikel 29-Gruppens gennemsigtighedsvejledningEuropa. Jo vagere kategorien er, desto mindre sandsynligt er gyldigt samtykke. Retsgrundlaget står i én afsluttende sætning: den foreslåede læsning anvender artikel 4, nr. 11, med artikel 13 og 14 i GDPR og artikel 13 i direktiv 2002/58Europa.