Generaladvokat: samtycke till onämnda partner räcker inte för marknadsföring

En generaladvokat har rått domstolen till att samtycke som getts till en internetleverantör för dataanvändning från dennes onämnda partner inte kan bära senare elektronisk direktmarknadsföring från en av dessa partner utan nytt samtyckeEuropa. I förslaget till avgörande av den 17 september 2026 i mål C-317/25Europa föreslår generaladvokat Spielmann att artikel 4.11 i GDPR med artiklarna 13 och 14 i GDPR och artikel 13 i direktiv 2002/58 läses så att partnerkategorisamtycke vars mottagare var okända vid insamlingen inte är informerat samtycke till marknadsföring från någon medlem av kategorinEuropa. Förslaget föreslår ett svar; domstolens tolkningsdom kommer att vägleda Conseil d'État, där överklagandet av CNIL-böterna pågår.

Hänskjutandet kommer från Conseil d'ÉtatEuropa i Groupe Canal + SAS' angripande av CNIL-beslut SAN-2023-015Europa av den 12 oktober 2023Europa som ålade bolaget 600 000 EUR i böterEuropa för elektronisk direktmarknadsföring utan giltigt samtyckeEuropa. Personer hade vid insamling hos internetleverantörer samtyckt till överföringar för oönskade kommersiella meddelanden till partner som inte var identifierade när samtycket gavsEuropa. Groupe Canal +, inte särskilt nämnd bland dessa partnerEuropa, marknadsförde därefter till demEuropa; bolaget hävdar att ISP-samtycket var tillräckligt informeratEuropa, medan CNIL, kommissionen samt franska och spanska regeringarna invänderEuropa; Italien har avgett skriftliga yttranden vars hållning förslaget inte återger. Den hänskjutande domstolen frågar först om kategorisamtycke räcker eller om varje oidentifierad mottagare måste inhämta samtycke som ny personuppgiftsansvarigEuropa, och för det andra hur precis en mottagarkategori måste varaEuropa.

Vad gäller den första frågan motiverar förslaget med ordalydelse, sammanhang och mål. Artikel 13.1 i direktiv 2002/58 tillåter endast elektronisk direktmarknadsföring till abonnenter som gett förhandssamtyckeEuropa, och detta samtycke betyder GDPR-samtycke: frivillig, specifik, informerad och otvetydig viljeyttring genom förklaring eller tydlig bekräftande handlingEuropa. Informerat samtycke kräver informationen i artiklarna 13 och 14 i GDPREuropa, och i marknadsföringssteget anländer data indirekt, så artikel 14 gällerEuropa: Den personuppgiftsansvarige måste identifiera sig enligt artikel 14.1 aEuropa och informera senast vid första kommunikationen enligt artikel 14.3 bEuropa. I skäl 42 i GDPR anges att den registrerade åtminstone bör känna den personuppgiftsansvariges identitet och ändamålen. Artikel 13.2:s mjuka opt-in för säljarens egna liknande produkter gäller inte eftersom marknadsföraren inte är den insamlande ISP:nEuropa.

Sammanhanget pekar åt samma håll: öppenhet och rättvisa enligt artikel 5.1 a i GDPR med skälen 60 och 61 kräver att registrerade underrättas om mottagarändringar så att de kan bedöma verkan och utöva återkallelse eller invändningEuropa, och undantagen i artikel 14.5 är uttömmande uppräknade och otillämpligaEuropa — identiteten avslöjades aldrigEuropa, och information kräver inte oproportionerlig ansträngning eftersom Groupe Canal + kunde avtala med ISP:er om att namnge mottagare eller föra en uppdaterad lista, eller själv inhämta samtycke vid första kontaktenEuropa. En avregistreringslänk läker inget retroaktivtEuropa. Deutsche Telekom- och Proximus-katalogpraxis som tillåter ett samtycke över katalogåtgärder med samma ändamålEuropa avser artikel 12 i direktiv 2002/58Europa och kräver till och med förnyat samtycke för ytterligare ändamålEuropa, så den hjälper inte Groupe Canal +.

Subsidiärt beträffande den andra frågan föredrar förslaget en precisionkänslig ansats: En mottagarkategori skulle endast kunna bära samtycket om den registrerade rimligen kan förvänta sig kontakt från denne med hänsyn till insamlingskontextenEuropa, och ISP-partner är för vagtEuropa — ett avtalsmässigt-kommersiellt förhållande som intet säger om varor, tjänster, sektor eller platsEuropa, i strid med Artikel 29-gruppens transparensvägledningEuropa. Ju vagare kategorin är, desto mindre sannolikt är giltigt samtycke. Den rättsliga grunden står i en enda avslutande mening: Den föreslagna läsningen tillämpar artikel 4.11 med artiklarna 13 och 14 i GDPR och artikel 13 i direktiv 2002/58Europa.