UNIONIN TUOMIOISTUIMEN TUOMIO (toinen jaosto)
11 päivänä marraskuuta 2020 (*)
Ennakkoratkaisupyyntö – Direktiivi 95/46/EY – 2 artiklan h alakohta ja 7 artiklan a alakohta – Asetus (EU) 2016/679 – 4 artiklan 11 alakohta ja 6 artiklan 1 kohdan a alakohta – Henkilötietojen käsittely ja yksityisyyden suoja Matkaviestinpalvelujen tarjoaja kerää ja säilyttää henkilöllisyystodistusten kopioita Rekisteröidyn suostumuksen käsite – Vapaaehtoinen, yksilöity ja tietoinen tahdonilmaisu – Suostumuksen ilmaiseminen merkitsemällä rasti ruutuun Rekisteröity allekirjoittaa sopimuksen – Todistustaakka
Asiassa C-61/19,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Tribunalul Bucureşti (Bukarestin alueellinen tuomioistuin, Romania) on esittänyt 14.11.2018 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 29.1.2019, saadakseen ennakkoratkaisun asiassa
Orange România SA
vastaan
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),
UNIONIN TUOMIOISTUIN (toinen jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja A. Arabadjiev sekä tuomarit T. von Danwitz (esittelevä tuomari) ja P. G. Xuereb,
julkisasiamies: M. Szpunar,
kirjaaja: yksikön päällikkö D. Dittert,
ottaen huomioon kirjallisessa käsittelyssä ja 11.12.2019 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Orange România SA, edustajinaan D.-D. Dascălu, A.-M. Iordache ja I. Buga, avocaţi,
– Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), asiamiehinään A. G. Opre ja I. Ilie,
– Romanian hallitus, asiamiehinään aluksi E. Gane, O.-C. Ichim, L. Liţu ja C.‑R. Canţăr, sittemmin E. Gane, O.-C. Ichim ja L. Liţu
– Italian hallitus, asiamiehenään G. Palmieri, avustajanaan M. Russo, avvocato dello Stato,
– Itävallan hallitus, asiamiehinään aluksi J. Schmoll ja G. Hesse, sittemmin J. Schmoll,
– Portugalin hallitus, asiamiehinään L. Inez Fernandes, P. Barros da Costa, L. Medeiros ja I. Oliveira,
– Euroopan komissio, asiamiehinään H. Kranenborg, D. Nardi ja L. Nicolae,
kuultuaan julkisasiamiehen 4.3.2020 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 2 artiklan h alakohdan sekä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46 kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EYVL 2016, L 119, s. 1) 4 artiklan 11 alakohdan tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Orange România SA ja Autoritatea Națională de Supraveghere a Prelucrării Datelor cu caracter Personal (ANSPDCP) (henkilötietojen käsittelyä valvova kansallinen viranomainen, Romania) ja jossa on kyse kanteesta, jolla vaaditaan kumoamaan päätös, jolla viimeksi mainittu määräsi Orange Românialle sakon, koska tämä oli kerännyt ja säilyttänyt kopioita asiakkaidensa henkilöllisyystodistuksista ilman näiden pätevää suostumusta, ja velvoitti tämän tuhoamaan kyseiset kopiot.
Asiaa koskevat oikeussäännöt
Unionin oikeus
Direktiivi 95/46
3 Direktiivin 95/46 johdanto-osan 38 perustelukappaleessa todetaan, että ”oikeudenmukaisen tietojenkäsittelyn osalta edellytetään, että rekisteröidyt tietävät käsittelyn suorittamisesta ja että he saavat asianmukaiset ja täydelliset tiedot tietojen keräämisen olosuhteista, jos tietoja kerätään heiltä itseltään”.
4 Direktiivin 2 artiklan h alakohdassa säädetään muun muassa, että direktiivissä tarkoitetaan
”’rekisteröidyn suostumuksella’ kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn”.
5 Kyseisen direktiivin 6 artiklassa säädetään seuraavaa:
”1. Jäsenvaltioiden on säädettävä siitä, että
a) henkilötietoja käsitellään asianmukaisesti ja laillisesti,
– –
2. Rekisterinpitäjän on huolehdittava 1 kohdan noudattamisesta.”
6 Kyseisen direktiivin 7 artiklan a alakohdassa säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan,
a) jos rekisteröity on yksiselitteisesti antanut suostumuksensa – –”
7 Kyseisen direktiivin 10 artiklan sanamuoto on seuraava:
”Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjän tai hänen edustajansa on toimitettava rekisteröidylle, jolta tietoja kerätään, vähintään jäljempänä esitetyt tiedot, paitsi jos hän jo tietää ne:
a) rekisterinpitäjän henkilöllisyys ja tarvittaessa hänen edustajansa henkilöllisyys,
b) tietojenkäsittelyn tarkoitukset,
c) kaikenlaiset lisätiedot, kuten
– tietojen vastaanottajat tai vastaanottajaryhmät,
– tieto siitä, onko kysymyksiin vastaaminen pakollista vai vapaaehtoista, sekä vastaamatta jättämisen mahdolliset seuraukset,
– onko rekisteröidyllä oikeus saada itseään koskevia tietoja ja oikeus niiden oikaisuun,
siltä osin kuin nämä lisätiedot ovat tarpeen ottaen huomioon erityiset olosuhteet, joissa tietoja käsitellään, rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi.”
Asetus 2016/679
8 Asetuksen N:o 2016/679 johdanto-osan 32 ja 42 perustelukappaleessa todetaan seuraavaa:
”(32) Suostumus olisi annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, mukaan lukien sähköisellä, tai suullisella lausumalla, josta käy ilmi rekisteröidyn vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla hän hyväksyy henkilötietojensa käsittelyn. Toimi voisi esimerkiksi olla se, että rekisteröity rastittaa ruudun vieraillessaan internetsivustolla, valitsee tietoyhteiskunnan palvelujen teknisiä asetuksia tai esittää minkä tahansa muun lausuman tai toimii tavalla, joka selkeästi osoittaa tässä yhteydessä, että hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei sen vuoksi pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan.
– –
(42) Kun tietojenkäsittely perustuu rekisteröidyn suostumukseen, rekisterinpitäjän olisi voitava osoittaa, että rekisteröity on antanut suostumuksensa käsittelytoimiin. Etenkin jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi varmistettava suojatoimin, että rekisteröity on tietoinen antamastaan suostumuksesta ja siitä, kuinka pitkälle menevästä suostumuksesta on kyse. [Kuluttajasopimusten kohtuuttomista ehdoista 5.4.1993 annetun] neuvoston direktiivin 93/13/ETY [EYVL 1993, L 95, s. 29] mukaisesti rekisterinpitäjän ennalta muotoilema ilmoitus suostumuksesta olisi annettava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä eikä siihen pitäisi sisältyä kohtuuttomia ehtoja. Tietoisen suostumuksen antamiseksi rekisteröidyn olisi tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta tai jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa.”
9 Kyseisen asetuksen 4 artiklan 11 alakohdassa säädetään seuraavaa:
”rekisteröidyn ’suostumuksella’ [tarkoitetaan] mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen”.
10 Saman asetuksen 5 artiklassa säädetään seuraavaa:
”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (lainmukaisuus, kohtuullisuus ja läpinäkyvyys);
– –
2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (osoitusvelvollisuus).”
11 Asetuksen 2016/679 6 artiklan 1 kohdan a alakohdan sanamuoto on seuraava:
”1. Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
a) rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;
– –”
12 Asetuksen 2016/679 7 artiklan 1, 2 ja 4 kohdan sanamuoto on seuraava:
”1. Jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn.
2. Jos rekisteröity antaa suostumuksensa kirjallisessa ilmoituksessa, joka koskee myös muita asioita, suostumuksen antamista koskeva pyyntö on esitettävä selvästi erillään muista asioista helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Mikään tätä asetusta rikkova osa sellaisesta ilmoituksesta ei ole sitova.
– –
4. Arvioitaessa suostumuksen vapaaehtoisuutta on otettava mahdollisimman kattavasti huomioon muun muassa se, onko palvelun tarjoamisen tai muun sopimuksen täytäntöönpanon ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten.”
13 Kyseisen asetuksen 13 artiklan 1 ja 2 kohdassa säädetään seuraavaa:
”1. Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:
a) rekisterinpitäjän ja tämän mahdollisen edustajan identiteetti ja yhteystiedot;
– –
c) henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste;
– –
2. Edellä 1 kohdassa tarkoitettujen tietojen lisäksi rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle seuraavat lisätiedot, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn takaamiseksi:
a) henkilötietojen säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;
b) rekisteröidyn oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista taikka käsittelyn rajoittamista tai vastustaa käsittelyä sekä oikeutta siirtää tiedot järjestelmästä toiseen;
c) oikeus peruuttaa suostumus milloin tahansa tämän vaikuttamatta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen, jos käsittely perustuu 6 artiklan 1 kohdan a alakohtaan tai 9 artiklan 2 kohdan a alakohtaan”.
14 Asetuksen 2016/679 94 artiklan 1 kohdassa säädetään seuraavaa:
”Kumotaan direktiivi 95/46/EY 25 päivästä toukokuuta 2018.”
15 Asetusta 2016/679 on sovellettu sen 99 artiklan 2 kohdan nojalla 25.5.2018 alkaen.
Romanian oikeus
16 Henkilöiden suojasta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta annetussa laissa nro 677/2001 (legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date) (Monitorul Oficial al României, osa I, nro 790, 12.12.2001) säädetään direktiivin 95/46 säännösten saattamisesta osaksi kansallista lainsäädäntöä.
17 Kyseisen lain 5 §:n 1 momentissa säädetään seuraavaa:
”1) Henkilötietojen käsittely on sallittua vain, jos rekisteröity on nimenomaisesti ja yksiselitteisesti antanut suostumuksensa käsittelyyn, paitsi jos kyseessä ovat 7 §:n 1 momentissa sekä 8 ja 10 §:ssä mainittuihin ryhmiin kuuluvat tiedot.
– –”
18 Mainitun lain 8 §:ssä säädetään seuraavaa:
”(1) Henkilötunnusta tai muita henkilötietoja, joita yleisesti käytetään henkilöiden tunnistamiseen, voidaan käsitellä vain, jos
a) rekisteröity on antanut nimenomaisesti siihen suostumuksensa, tai
b) jos lainsäädännössä säädetään nimenomaisesti näiden tietojen käsittelemisestä.
(2) Valvontaviranomainen voi myös määrittää muita tapauksia, joissa 1 momentissa tarkoitettujen tietojen käsittely on mahdollista, edellyttäen, että se antaa riittävät takeet rekisteröityjen oikeuksien kunnioittamisen varmistamiseksi.”
19 Lain nro 667/2001 32 §:n sanamuoto on seuraava:
”Henkilötietojen käsitteleminen rekisterinpitäjän toimesta tai tämän toimeksiannosta jonkun muun toimesta 4–10 §:n säännösten vastaisesti tai siten, että 12–15 §:ssä tai 17 §:ssä säädettyjä oikeuksia ei oteta huomioon, merkitsee hallinnollista rikkomusta, jos sitä ei ole toteutettu sellaisissa olosuhteissa, että on katsottava sen olevan rikos, ja siitä määrätään seuraamukseksi [1 000–25 000 Romanian lein (RON)] suuruinen sakko.”
Pääasia ja ennakkoratkaisukysymykset
20 Orange România tarjoaa matkaviestinpalveluja Romanian markkinoilla.
21 ANSPDCP määräsi 28.3.2018 tekemällään päätöksellä Orange Românialle sakon sen vuoksi, että tämä oli säilyttänyt kopioita asiakkaidensa henkilöllisyystodistuksista osoittamatta, että kyseiset asiakkaat olivat antaneet tähän pätevän suostumuksensa, ja velvoitti sen tuhoamaan kyseiset kopiot.
22 Kyseisessä päätöksessä ANSPDCP totesi, että Orange România oli tehnyt 1.3.–26.3.2018 kirjallisesti sopimuksia matkaviestinpalvelujen tarjoamisesta luonnollisten henkilöiden kanssa ja että kopiot kyseisten henkilöiden henkilöllisyystodistuksista oli liitetty näihin sopimuksiin. ANSPDCP:n mukaan Orange România ei ole esittänyt näyttöä siitä, että sen asiakkaat, joiden sopimuksiin oli liitetty kopioita heidän henkilöllisyystodistuksestaan, olisivat antaneet pätevän suostumuksensa henkilöllisyystodistustensa kopioiden keräämiseen ja säilyttämiseen.
23 Asianomaisten sopimusten asian kannalta merkitykselliset ehdot oli laadittu seuraavasti:
”– Asiakas ilmoittaa, että
(i) hänelle on ilmoitettu ennen sopimuksen tekemistä valituista tariffitasosta, sovellettavista tariffeista, sopimuksen vähimmäiskestosta, sopimuksen päättämisen ehdoista ja palvelujen käyttöönoton ja käytön ehdoista, mukaan lukien palvelujen kattama alue – –;
(ii) Orange România on antanut asiakkaan käyttöön kaikki tarvittavat tiedot, jotta hän voisi antaa suostumuksensa sopimuksen tekemiseen ja nimenomaiseen hyväksymiseen virheettömästi, nimenomaisesti, vapaaehtoisesti ja yksilöidysti, mukaan lukien kaikki sopimusasiakirjat – Orangen palvelujen käyttöä koskevat yleiset sopimusehdot sekä tariffi- ja palvelutiedot sisältävän esitteen;
(iii) hänelle on annettu seuraavat tiedot ja hän on ilmaissut niihin suostumuksensa:
– henkilötietojen käsittely Orangen palvelujen käyttöä koskevien yleisten sopimusehtojen 1.15 kohdassa mainittuihin tarkoituksiin;
– tunnistamiseen tarvittavat henkilötiedot sisältävien asiakirjojen kopion säilyttäminen ;
– suostumus henkilötietojen (puhelinnumero, sähköpostiosoite) käsittelyyn suoramarkkinointitarkoituksia varten ;
– suostumus henkilötietojen (puhelinnumero, sähköpostiosoite) käsittelyyn markkinatutkimuksia varten ;
– rekisteröity on lukenut ja antanut nimenomaisen suostumuksensa siihen, että hänen terveydentilaansa liittyviä henkilötietoja sisältävien asiakirjojen kopiot säilytetään ;
– Orangen palvelujen käyttöä koskevien yleisten sopimusehtojen 1.15 kohdan 10 alakohdassa mainittuja tietoja ei sisällytetä tietopalveluihin, jotka liittyvät tilaajiin ja puhelinluetteloihin.”
24 Orange România nosti kanteen 28.3.2018 tehdystä päätöksestä Tribunalul Bucureştissa (Bukarestin alueellinen tuomioistuin, Romania).
25 Ennakkoratkaisua pyytäneen tuomioistuimen toteamusten mukaan on olemassa yhtäältä sopimuksia, joissa ruutuun on merkitty rasti, kun on kyse ehdosta, joka koskee henkilötietoja sisältävien asiakirjojen kopioiden säilyttämistä tunnistamistarkoituksessa, ja toisaalta sopimuksia, joissa tällaista rastia ei ole. Kyseinen tuomioistuin täsmentää, että Orange Românian yleisiin sopimusehtoihin sisältyvistä maininnoista huolimatta Orange România ei ole kieltäytynyt tekemästä asiakkaiden kanssa tilaussopimuksia, vaikka nämä eivät ole suostuneet siihen, että heidän henkilöllisyystodistuksensa kopio säilytetään. Kyseinen tuomioistuin toteaa vielä, että Orange Românian ”sisäiset myyntimenettelyt” edellyttivät, että kieltäytymisestä oli täytettävä erityinen lomake, joka näiden asiakkaiden oli allekirjoitettava ennen sopimuksen tekemistä.
26 Ennakkoratkaisua pyytänyt tuomioistuin pohtii, voidaanko tässä tilanteessa katsoa, että asianomaiset asiakkaat ovat pätevästi antaneet suostumuksensa henkilöllisyystodistuksensa kopioiden keräämiseen ja niiden liittämiseen sopimuksiin. Se pohtii lisäksi, voiko sopimuksen, johon sisältyy ehto, joka koskee henkilötietoja sisältävien asiakirjojen kopioiden säilyttämistä tunnistamistarkoituksessa, allekirjoitus olla osoitus tällaisen suostumuksen antamisesta.
27 Tässä tilanteessa Tribunalul București on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Mitkä ovat [direktiivin 95/46] 2 artiklan h alakohdan nojalla edellytykset, joiden on täytyttävä, jotta voidaan katsoa, että tahdonilmaisu on yksilöity ja tietoinen?
2) Mitkä ovat [direktiivin 95/46] 2 artiklan h alakohdan nojalla edellytykset, joiden on täytyttävä, jotta voidaan katsoa, että tahdonilmaisu on vapaaehtoinen?”
Ennakkoratkaisukysymysten tarkastelu
28 Aluksi on määritettävä, voidaanko direktiiviä 95/46 ja asetusta 2016/679 soveltaa pääasian tosiseikkoihin.
29 Direktiivi 95/46 kumottiin ja korvattiin 25.5.2018 alkaen asetuksella 2016/679 kyseisen asetuksen 94 artiklan 1 kohdan ja 99 artiklan 2 kohdan nojalla.
30 Koska pääasiassa kyseessä oleva ANSPDCP:n päätös tehtiin 28.3.2018 ja näin ollen ennen 25.5.2018, ennakkoratkaisua pyytänyt tuomioistuin katsoo perustellusti, että direktiiviä 95/46 sovelletaan ajallisesti pääasiaan.
31 Unionin tuomioistuimelle toimitetusta asiakirja-aineistosta ilmenee kuitenkin myös, että paitsi että ANSPDCP määräsi päätöksellään Orange Românialle sakon, se myös velvoitti tämän tuhoamaan kyseessä olevien henkilöllisyystodistusten kopiot, ja että pääasia koskee myös viimeksi mainittua velvoitetta. Koska asiakirja-aineistossa ei ole mitään mikä osoittaisi, että kyseistä velvoitetta olisi noudatettu ennen 25.5.2018, ei ole poissuljettua, että käsiteltävässä asiassa asetusta 2016/679 voidaan soveltaa ajallisesti sen osalta (ks. vastaavasti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 41 kohta).
32 Tässä tilanteessa on niin, että jotta unionin tuomioistuin voi antaa hyödyllisiä vastauksia ennakkoratkaisua pyytäneen tuomioistuimen esittämiin kysymyksiin, näihin kysymyksiin on vastattava sekä direktiivin 95/46 että asetuksen 2016/679 perusteella (ks. analogisesti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 43 kohta).
33 Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kahdella ennakkoratkaisukysymyksellään, joita on tarkasteltava yhdessä, lähinnä sitä, onko direktiivin 95/46 2 artiklan h alakohtaa ja 7 artiklan a alakohtaa sekä asetuksen 2016/679 4 artiklan 11 alakohtaa ja 6 artiklan 1 kohdan a alakohtaa tulkittava siten, että televiestinäpalvelujen tarjoamista koskeva sopimus, johon sisältyy ehto, jonka mukaan asianomaiselle henkilölle on ilmoitettu hänen henkilöllisyystodistuksensa kopion keräämisestä ja säilyttämisestä tunnistamistarkoituksessa ja hän on suostunut tähän, voi olla omiaan osoittamaan, että kyseinen henkilö on antanut pätevästi mainituissa säännöksissä tarkoitetun suostumuksensa kyseiseen keräämiseen ja säilyttämiseen.
34 Tämän osalta on palautettava mieleen, että direktiivin 95/46 7 artiklassa ja asetuksen 2016/679 6 artiklassa on tyhjentävä luettelo tapauksista, joissa henkilötietojen käsittelyn voidaan katsoa olevan lainmukaista (ks. direktiivin 95/46 7 artiklan osalta tuomio 19.10.2016, Breyer, C-582/14, EU:C:2016:779, 57 kohta oikeuskäytäntöviittauksineen ja tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 53 kohta). Erityisesti kyseisen direktiivin 7 artiklan a alakohdassa ja mainitun asetuksen 6 artiklan 1 kohdan a alakohdassa säädetään, että rekisteröidyn suostumus voi tehdä tällaisesta käsittelystä lainmukaista.
35 Kyseisen direktiivin 7 artiklan a alakohdassa säädetään tällaiselle suostumukselle asetetuista vaatimuksista, että rekisteröidyn on oltava ”yksiselitteisesti antanut suostumuksensa”, kun taas direktiivin 95/46 2 artiklan h alakohdassa määritellään ”suostumus” siten, että sillä tarkoitetaan ”kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn”. Koska kyseisissä säännöksissä säädetään, että rekisteröity ”ilmaisee tahtonsa” antaakseen ”yksiselitteisesti” suostumuksensa, huomioon voidaan ottaa ainoastaan tämän aktiivinen toiminta suostumuksensa ilmaisemiseksi (ks. vastaavasti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 52 ja 54 kohta).
36 Samaa vaatimusta sovelletaan myös asetuksen 2016/679 yhteydessä. Kyseisen asetuksen 4 artiklan 11 alakohdan, jossa määritellään ”rekisteröidyn suostumus” muun muassa sen 6 artiklan 1 kohdan a alakohtaa varten, sanamuoto on nimittäin vieläkin tiukempi kuin direktiivin 95/46 2 artiklan h alakohdan sanamuoto, koska siinä edellytetään rekisteröidyn ”vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä” tahdonilmaisua antamalla sellainen lausuma tai toteuttamalla sellainen ”selkeästi suostumusta ilmaiseva toimi”, joka ilmaisee rekisteröidyn hyväksyvän henkilötietojen käsittelyn. Asetuksessa 2016/679 säädetään siten vastedes nimenomaisesti aktiivisesta suostumuksesta (ks. vastaavasti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 61–63 kohta).
37 Tämän osalta on todettava, että kyseisen asetuksen johdanto-osan 32 perustelukappaleessa täsmennetään, että suostumus voidaan ilmaista muun muassa rastittamalla ruutu vierailtaessa internetsivustolla, mutta siinä suljetaan nimenomaisesti pois se mahdollisuus, että suostumus annetaan ”vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta”. Kuten unionin tuomioistuin on jo katsonut, tällaisessa tilanteessa on käytännössä mahdotonta määrittää objektiivisesti, onko internetsivuston käyttäjä tosiasiallisesti antanut suostumuksensa henkilötietojensa käsittelyyn, kun hän ei ole poistanut rastia valmiiksi rastitetusta ruudusta, ja onko tämä suostumus joka tapauksessa annettu tietoisesti. Ei nimittäin ole poissuljettua, ettei mainittu käyttäjä ole lukenut valmiiksi rastitetun ruudun vieressä olevia tietoja tai ettei hän ole edes huomannut kyseistä ruutua ennen toimintansa jatkamista vierailemallaan internetsivustolla (ks. vastaavasti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 55 ja 57 kohta).
38 Lisäksi direktiivin 95/46 2 artiklan h alakohdassa ja asetuksen 2016/679 4 artiklan 11 alakohdassa edellytetään ”yksilöityä” tahdonilmaisua siten, että sen on koskettava tarkalleen kyseessä olevaa tietojenkäsittelyä eikä sitä voida johtaa tahdonilmaisusta, jolla on eri kohde (ks. direktiivin 95/46 2 artiklan h alakohdan osalta tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 58 kohta).
39 Tämän osalta kyseisen asetuksen 7 artiklan 2 kohdan ensimmäisessä virkkeessä täsmennetään, että jos rekisteröity antaa suostumuksensa kirjallisessa ilmoituksessa, joka koskee myös muita asioita, suostumuksen antamista koskeva pyyntö on esitettävä selvästi erillään näistä muista asioista olevassa muodossa. Viimeksi mainitusta säännöksestä – tarkasteltuna yhdessä mainitun asetuksen johdanto-osan 42 perustelukappaleen kanssa – ilmenee erityisesti, että tällainen ilmoitus on annettava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä erityisesti silloin, kun on kyse rekisterinpitäjän ennalta muotoilemasta suostumusta koskevasta ilmoituksesta.
40 Direktiivin 95/46 2 artiklan h alakohdasta ja asetuksen 2016/679 4 artiklan 11 alakohdasta ilmenevästä vaatimuksesta, jonka mukaan suostumuksen on oltava ”tietoinen”, on todettava, että kyseinen vaatimus merkitsee kyseisen direktiivin 10 artiklan, tarkasteltuna sen johdanto-osan 38 perustelukappale huomioiden, ja kyseisen asetuksen 13 artiklan, tarkasteltuna sen johdanto-osan 42 perustelukappale huomioiden, mukaan sitä, että rekisterinpitäjä toimittaa rekisteröidylle tiedot kaikista tietojen käsittelyyn liittyvistä seikoista helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä, koska kyseisen henkilön on muun muassa voitava saada selville minkä tyyppisiä tietoja käsitellään, rekisterinpitäjän henkilöllisyys, kyseisen käsittelyn kesto ja tavat sekä sillä tavoitellut päämäärät. Rekisteröidyn on voitava tällaisten tietojen avulla helposti määrittää mahdollisesti antamansa suostumuksen seuraukset, ja näillä tiedoilla on taattava se, että tämä suostumus annetaan täysin tietoisena asiasta (ks. analogisesti tuomio 1.10.2019, Planet49, C‑673/17, EU:C:2019:801, 74 kohta).
41 Kuten komissio unionin tuomioistuimelle esittämissään huomautuksissa totesi, direktiivin 95/46 10 artiklan c alakohdan toisesta luetelmakohdasta ja asetuksen 2016/679 13 artiklan 2 kohdan b ja c alakohdasta – tarkasteltuna asetuksen johdanto-osan 42 perustelukappale huomioiden – ilmenee lisäksi, että jotta rekisteröidyllä olisi todellinen valinnanvapaus, sopimusmääräykset eivät saa johtaa häntä harhaan mahdollisuudesta tehdä sopimus, vaikka hän kieltäytyisi hyväksymästä tietojensa käsittelyä. Tällaisten tietojen puuttuessa ei voida katsoa, että rekisteröity olisi antanut suostumuksensa henkilötietojensa käsittelyyn vapaaehtoisesti tai että hän olisi antanut sen tietoisesti.
42 On lisättävä, että direktiivin 95/46 6 artiklan 1 kohdan a alakohdan ja 2 kohdan sekä asetuksen 2016/679 5 artiklan 1 kohdan a alakohdan mukaan henkilötietojen rekisterinpitäjän on varmistettava muun muassa näiden tietojen käsittelyn lainmukaisuus, ja – kuten kyseisen 5 artiklan 2 kohdassa täsmennetään – sen on kyettävä osoittamaan tämä lainmukaisuus. Erityisesti rekisteröidyn mahdollisesta suostumuksesta kyseisen direktiivin 7 artiklan a alakohdassa säädetään, että rekisteröidyn on täytynyt ”yksiselitteisesti” antaa suostumuksensa, mikä merkitsee – kuten julkisasiamies totesi ratkaisuehdotuksensa 56 kohdassa –, että todistustaakka pätevän suostumuksen olemassaolosta kuuluu rekisterinpitäjälle. Kyseisen asetuksen 7 artiklan 1 kohdassa säädetään nyttemmin, että jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn.
43 Nyt käsiteltävässä asiassa Orange România väitti unionin tuomioistuimelle toimittamissaan huomautuksissa, että pääasiassa kyseessä olevien sopimusten tekomenettelyn aikana sen myyntiedustajat ilmoittivat asianomaisille asiakkaille ennen sopimusten tekemistä muun muassa henkilöllisyystodistusten kopioiden keräämisen ja säilyttämisen tarkoituksesta sekä asiakkaiden valintamahdollisuuksista tämän keräämisen ja säilyttämisen osalta ennen kyseisten asiakkaiden suullista suostumusta mainittuun keräämiseen ja säilyttämiseen. Orange Românian mukaan henkilöllisyystodistusten kopioiden säilyttämistä koskeva ruutu oli siten rastitettu yksinomaan asianomaisten sopimusta tehtäessä vapaasti ilmaiseman suostumuksen perusteella.
44 Tässä tilanteessa ennakkoratkaisupyynnöllä pyritään lähinnä selvittämään, voidaanko tällainen suostumus kyseiseen henkilötietojen käsittelyyn osoittaa kyseisiin sopimuksiin sisältyvien sopimusehtojen perusteella.
45 Tämän osalta ennakkoratkaisupyyntöön sisältyvistä tiedoista ilmenee, että vaikka kyseisiin sopimuksiin sisältyy ehto, jonka mukaan asianomaisille asiakkaille on ilmoitettu heidän henkilöllisyystodistuksensa kopion säilyttämisestä tunnistamistarkoituksessa ja he ovat antaneet tähän suostumuksensa, Orange Românian myyntiedustajat olivat jo rastittaneet kyseistä ehtoa koskevan ruudun ennen asiakkaiden allekirjoitusta, joka koski kaikkien sopimusehtojen hyväksymistä, eli sekä mainittua ehtoa että muita, tietosuojaan liittymättömiä ehtoja. Ennakkoratkaisupyynnössä todetaan vielä, että Orange România suostui tekemään kyseiset sopimukset sellaisten asiakkaiden kanssa, jotka kieltäytyivät antamasta suostumustaan henkilöllisyystodistuksensa kopion säilyttämiseen, mutta tätä ei täsmennetty pääasiassa kyseessä olevissa sopimuksissa ja Orange România vaati, että tässä tapauksessa kyseiset asiakkaat allekirjoittavat erityisen lomakkeen, jossa mainitaan heidän kieltäytymisensä.
46 Koska näiden tietojen mukaan kyseiset asiakkaat eivät näytä itse rastineen kyseistä ehtoa koskenutta ruutua, pelkästään se seikka, että tämä ruutu on rastitettu, ei ole omiaan osoittamaan, että nämä asiakkaat olisivat ilmaisseet aktiivisesti suostumuksensa siihen, että heidän henkilöllisyystodistuksensa kopio kerätään ja säilytetään. Kuten julkisasiamies totesi ratkaisuehdotuksensa 45 kohdassa, pelkästään sen perusteella, että kyseiset asiakkaat allekirjoittivat sopimukset, jotka sisälsivät rastitetun ruudun, ei voida osoittaa tällaista suostumusta, jos ei ole olemassa tietoja, jotka vahvistaisivat, että kyseinen ehto oli todellakin luettu ja sisäistetty. Tätä koskevien tarpeellisten selvitysten toteuttaminen kuuluu ennakkoratkaisua pyytäneelle tuomioistuimelle.
47 Lisäksi on niin, että koska vaikuttaa siltä, että kyseisten tietojen käsittelyä koskevaa rastitettua ehtoa ei esitetty muodossa, joka erottaa sen selvästi muista sopimusehdoista, edellä mainitun tuomioistuimen on arvioitava, voidaanko – kun otetaan huomioon tämän tuomion 34 kohdassa esitetyt seikat – kyseisten sopimusten allekirjoittamisen, joka koskee useita sopimusehtoja, katsoa ilmaisevan direktiivin 95/46 2 artiklan h alakohdassa ja asetuksen 2016/679 4 artiklan 11 alakohdassa tarkoitetun yksilöidyn suostumuksen henkilötietojen keräämiseen ja säilyttämiseen.
48 Koska pääasiassa kyseessä olevassa sopimusehdossa tyydytään toteamaan – ilman minkäänlaisia muita mainintoja – henkilöllisyystodistusten kopioiden säilyttämisen tarkoitus eli asianomaisen henkilön tunnistaminen, ennakkoratkaisua pyytäneen tuomioistuimen on lisäksi selvitettävä, täyttävätkö rekisteröidylle annetut tiedot direktiivin 95/46 10 artiklan ja asetuksen 2016/679 13 artiklan vaatimukset; kyseisissä artikloissa säädetään tiedoista, jotka rekisterinpitäjän on toimitettava rekisteröidylle, jolta se kerää tätä koskevia tietoja, sen varmistamiseksi, että kyseiset tiedot käsitellään asianmukaisesti.
49 Kyseisen tuomioistuimen on myös arvioitava muun muassa sitä, saattoivatko pääasiassa kyseessä olevat sopimusmääräykset johtaa rekisteröityä harhaan mahdollisuudesta tehdä sopimus siitä huolimatta, että hän ei suostunut tietojensa käsittelyyn, kun tätä koskevia täsmennyksiä ei ollut, jolloin on kyseenalaista, oliko mainitulla allekirjoituksella ilmaistu suostumus tietoinen.
50 Kuten julkisasiamies totesi ratkaisuehdotuksensa 60 kohdassa, vaikuttaa lisäksi siltä, että kyseisen suostumuksen vapaaehtoisuus asetetaan kyseenalaiseksi sillä, että siinä tapauksessa, että suostumusta ei annettu, Orange România vaati – sopimuksen tekemiseen johtavasta tavanomaisesta menettelystä poiketen –, että kyseinen asiakas ilmoittaa kirjallisesti, ettei hän suostu henkilöllisyystodistuksensa kopion keräämiseen eikä säilyttämiseen. Kuten komissio istunnossa huomautti, tällainen lisävaatimus on nimittäin omiaan vaikuttamaan epäasianmukaisesti valinnanvapauteen vastustaa tällaista keräämistä ja säilyttämistä, mikä ennakkoratkaisua pyytäneen tuomioistuimen on myös tarkistettava.
51 Kuten tämän tuomion 35, 36 ja 42 kohdassa esitetystä ilmenee, rekisterinpitäjänä Orange Românian on joka tapauksessa osoitettava, että sen asiakkaat ovat aktiivisella toiminnallaan ilmaisseet suostumuksensa henkilötietojensa käsittelyyn, joten kyseinen yhtiö ei voi vaatia, että he ilmaisevat kieltäytymisensä aktiivisesti.
52 Edellä esitetyn perusteella esitettyihin kysymyksiin on vastattava, että direktiivin 95/46 2 artiklan h alakohtaa ja 7 artiklan a alakohtaa sekä asetuksen 2016/679 4 artiklan 11 alakohtaa ja 6 artiklan 1 kohdan a alakohtaa on tulkittava siten, että rekisterinpitäjän on osoitettava, että rekisteröity on aktiivisella toiminnallaan ilmaissut suostumuksensa henkilötietojensa käsittelyyn ja että hän on saanut etukäteen tiedon kaikista tätä käsittelyä koskevista olosuhteista helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä, jotta hän voi helposti määrittää kyseisen suostumuksen seuraukset, jolloin taataan, että suostumus on annettu täysin tietoisena asiasta. Televiestintäpalvelujen tarjoamista koskeva sopimus, johon sisältyy ehto, jonka mukaan rekisteröity on saanut tiedon henkilöllisyystodistuksensa kopion keräämisestä ja säilyttämisestä tunnistamistarkoituksessa ja hän on suostunut tähän, ei ole omiaan osoittamaan, että kyseinen henkilö olisi antanut pätevästi näissä säännöksissä tarkoitetun suostumuksensa tähän keräämiseen ja säilyttämiseen, kun
– rekisterinpitäjä on rastittanut tähän ehtoon liittyvän ruudun ennen sopimuksen allekirjoittamista tai
– kyseisen sopimuksen sopimusmääräykset saattavat johtaa rekisteröityä harhaan mahdollisuudesta tehdä kyseinen sopimus siitä huolimatta, että hän kieltäytyy antamasta suostumustaan tietojensa käsittelyyn, tai
– rekisterinpitäjä vaikuttaa epäasianmukaisesti valinnanvapauteen vastustaa tätä keräämistä ja säilyttämistä vaatimalla, että rekisteröidyn on suostumuksensa epäämiseksi täytettävä lisälomake, jossa kyseinen kieltäytyminen mainitaan.
Oikeudenkäyntikulut
53 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (toinen jaosto) on ratkaissut asian seuraavasti:
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 2 artiklan h alakohtaa ja 7 artiklan a alakohtaa sekä yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 4 artiklan 11 alakohtaa ja 6 artiklan 1 kohdan a alakohtaa on tulkittava siten, että rekisterinpitäjän on osoitettava, että rekisteröity on aktiivisella toiminnallaan ilmaissut suostumuksensa henkilötietojensa käsittelyyn ja että hän on saanut etukäteen tiedon kaikista tätä käsittelyä koskevista olosuhteista helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä, jotta hän voi helposti määrittää kyseisen suostumuksen seuraukset, jolloin taataan, että suostumus on annettu täysin tietoisena asiasta. Televiestintäpalvelujen tarjoamista koskeva sopimus, johon sisältyy ehto, jonka mukaan rekisteröity on saanut tiedon henkilöllisyystodistuksensa kopion keräämisestä ja säilyttämisestä tunnistamistarkoituksessa ja hän on suostunut tähän, ei ole omiaan osoittamaan, että kyseinen henkilö olisi antanut pätevästi näissä säännöksissä tarkoitetun suostumuksensa tähän keräämiseen ja säilyttämiseen, kun
– rekisterinpitäjä on rastittanut tähän ehtoon liittyvän ruudun ennen sopimuksen allekirjoittamista tai
– kyseisen sopimuksen sopimusmääräykset saattavat johtaa rekisteröityä harhaan mahdollisuudesta tehdä kyseinen sopimus siitä huolimatta, että hän kieltäytyy antamasta suostumustaan tietojensa käsittelyyn, tai
– rekisterinpitäjä vaikuttaa epäasianmukaisesti valinnanvapauteen vastustaa tätä keräämistä ja säilyttämistä vaatimalla, että rekisteröidyn on suostumuksensa epäämiseksi täytettävä lisälomake, jossa kyseinen kieltäytyminen mainitaan.
Allekirjoitukset