Generaladvokat: samtykke til unavngitte partnere holder ikke til markedsføring

En generaladvokat har rådet domstolen til at samtykke gitt til en internettleverandør til databruk fra dennes unavngitte partnere ikke kan bære senere elektronisk direkte markedsføring fra en av disse partnerne uten nytt samtykkeEuropa. I forslaget til avgjørelse av 17. september 2026 i sak C-317/25Europa foreslår generaladvokat Spielmann å lese GDPR artikkel 4 nr. 11 med artikkel 13 og 14 i GDPR og artikkel 13 i direktiv 2002/58 slik at partnerkategorisamtykke hvis mottakere var ukjente ved innsamlingen, ikke er informert samtykke til markedsføring fra noe medlem av kategorienEuropa. Forslaget foreslår et svar; domstolens fortolkende dom vil veilede Conseil d'État, der klagen over CNIL-boten verserer.

Foreleggelsen kommer fra Conseil d'ÉtatEuropa i Groupe Canal + SAS' anfektelse av CNIL-vedtak SAN-2023-015Europa av 12. oktober 2023Europa som ila selskapet 600 000 EUR i botEuropa for elektronisk direkte markedsføring uten gyldig samtykkeEuropa. Personer hadde ved innsamling hos internettleverandører samtykket til overføringer til uoppfordrede kommersielle henvendelser til partnere som ikke var identifisert da samtykket ble gittEuropa. Groupe Canal +, ikke særskilt nevnt blant disse partnerneEuropa, markedsførte deretter til demEuropa; selskapet hevder ISP-samtykket var tilstrekkelig informertEuropa, mens CNIL, Kommisjonen samt den franske og den spanske regjeringen er uenigeEuropa; Italia har avgitt skriftlige innlegg hvis holdning forslaget ikke gjengir. Den foreleggende rett spør først om kategorisamtykke rekker eller om hver uidentifisert mottaker må innhente samtykke som ny behandlingsansvarligEuropa, og dernest hvor presis en mottakerkategori må væreEuropa.

Hva gjelder det første spørsmålet, begrunner forslaget med ordlyd, kontekst og formål. Artikkel 13 nr. 1 i direktiv 2002/58 tillater kun elektronisk direkte markedsføring til abonnenter som har gitt forhåndssamtykkeEuropa, og dette samtykket betyr GDPR-samtykke: frivillig, spesifikk, informert og utvetydig viljesytring ved erklæring eller klar bekreftende handlingEuropa. Informert samtykke krever opplysningene i artikkel 13 og 14 i GDPREuropa, og på markedsføringsstadiet ankommer data indirekte, så artikkel 14 gjelderEuropa: Den behandlingsansvarlige må identifisere seg etter artikkel 14 nr. 1 bokstav a)Europa og informere senest ved første henvendelse etter artikkel 14 nr. 3 bokstav b)Europa. I fortale 42 i GDPR heter det at den registrerte som minimum bør kjenne den behandlingsansvarliges identitet og formålene. Artikkel 13 nr. 2s myke opt-in for selgers egne tilsvarende produkter gjelder ikke fordi markedsføreren ikke er den innsamlende ISPEuropa.

Konteksten peker samme vei: åpenhet og rimelighet etter artikkel 5 nr. 1 bokstav a) i GDPR med fortale 60 og 61 krever at registrerte får beskjed om mottakerendringer slik at de kan vurdere virkningen og utøve tilbaketrekking eller innsigelseEuropa, og unntakene i artikkel 14 nr. 5 er uttømmende oppregnet og uanvendeligeEuropa — identiteten ble aldri opplystEuropa, og opplysning krever ikke uforholdsmessig innsats siden Groupe Canal + kunne avtale med ISP-er å navngi mottakere eller føre en oppdatert liste, eller selv innhente samtykke ved første kontaktEuropa. En avmeldingslenke helbreder intet med tilbakevirkende kraftEuropa. Deutsche Telekom- og Proximus-katalogpraksis som tillater ett samtykke på tvers av katalogoperasjoner med samme formålEuropa, gjelder artikkel 12 i direktiv 2002/58Europa og krever endog fornyet samtykke til ytterligere formålEuropa, så den hjelper ikke Groupe Canal +.

Subsidiært vedrørende det andre spørsmålet foretrekker forslaget en presisjonssensitiv tilnærming: En mottakerkategori kunne bare bære samtykke dersom den registrerte rimelig kan forvente henvendelse fra vedkommende gitt innsamlingskontekstenEuropa, og ISP-partnere er for vagtEuropa — et kontraktsfestet-kommersielt forhold som intet sier om varer, tjenester, sektor eller stedEuropa, i strid med Artikkel 29-gruppens åpenhetsveiledningEuropa. Jo vagere kategorien er, desto mindre sannsynlig er gyldig samtykke. Rettsgrunnlaget står i én avsluttende setning: Den foreslåtte lesningen anvender artikkel 4 nr. 11 med artikkel 13 og 14 i GDPR og artikkel 13 i direktiv 2002/58Europa.