HOTĂRÂREA CURȚII (Camera a doua)
11 noiembrie 2020(*)
„Trimitere preliminară – Directiva 95/46/CE – Articolul 2 litera (h) și articolul 7 litera (a) – Regulamentul (UE) 2016/679 – Articolul 4 punctul 11 și articolul 6 alineatul (1) litera (a) – Prelucrarea datelor cu caracter personal și protecția vieții private – Colectarea și stocarea copiilor actelor de identitate de către un furnizor de servicii de telecomunicații mobile – Noțiunea de «consimțământ» al persoanei vizate – Manifestare de voință liberă, specifică și informată – Declarație de consimțământ prin intermediul unei căsuțe care trebuie bifată – Semnarea contractului de către persoana vizată – Sarcina probei”
În cauza C‑61/19,
având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Tribunalul București (România), prin decizia din 14 noiembrie 2018, primită de Curte la 29 ianuarie 2019, în procedura
Orange România SA
împotriva
Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),
Curtea (Camera a doua),
compusă din domnul A. Arabadjiev, președinte de cameră, și domnii T. von Danwitz (raportor) și P. G. Xuereb, judecători,
avocat general: domnul M. Szpunar,
grefier: domnul D. Dittert, șef de unitate,
având în vedere procedura scrisă și în urma ședinței din 11 decembrie 2019,
luând în considerare observațiile prezentate:
– pentru Orange România SA, de D‑D. Dascălu, A.‑M. Iordache și I. Buga, avocați;
– pentru Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), de A. G. Opre și I. Ilie, în calitate de agenți;
– pentru guvernul român, inițial de E. Gane, O.‑C. Ichim, L. Lițu și C.‑R. Canțăr, ulterior de E. Gane, O.‑C. Ichim și L. Lițu, în calitate de agenți;
– pentru guvernul italian, de G. Palmieri, în calitate de agent, asistată de M. Russo, avvocato dello Stato;
– pentru guvernul austriac, inițial de J. Schmoll și G. Hesse, ulterior de J. Schmoll, în calitate de agenți;
– pentru guvernul portughez, de L. Inez Fernandes, P. Barros da Costa, L. Medeiros și I. Oliveira, în calitate de agenți;
– pentru Comisia Europeană, de H. Kranenborg, D. Nardi și L. Nicolae, în calitate de agenți,
după ascultarea concluziilor avocatului general în ședința din 4 martie 2020,
pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 2 litera (h) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10), precum și a articolului 4 punctul 11 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1).
2 Această cerere a fost formulată în cadrul unui litigiu între Orange România SA, pe de o parte, și Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (România), pe de altă parte, în legătură cu o acțiune prin care se solicită anularea unei decizii prin care aceasta din urmă a aplicat societății Orange România o amendă pentru colectarea și stocarea copiilor actelor de identitate ale clienților săi fără consimțământul valabil al acestora și a obligat‑o să distrugă aceste copii.
Cadrul juridic
Dreptul Uniunii
Directiva 95/46
3 Considerentul (38) al Directivei 95/46 enunță că „dacă prelucrarea datelor este corectă, persoanele vizate ar trebui să aibă posibilitatea de a afla despre existența prelucrărilor și să beneficieze, atunci când datele sunt colectate de la acestea, de o informare precisă și completă, ținând seama de circumstanțele colectării”.
4 Articolul 2 litera (h) din această directivă prevede că, în sensul acesteia:
„«consimțământul persoanei vizate» înseamnă orice manifestare de voință liberă, specifică și informată prin care persoana vizată acceptă să fie prelucrate datele cu caracter personal care o privesc”.
5 Articolul 6 din directiva menționată prevede:
„(1) Statele membre stabilesc că datele cu caracter personal trebuie să fie:
(a) prelucrate în mod corect și legal;
[…]
(2) Operatorul are obligația să asigure respectarea alineatului (1).”
6 Potrivit articolului 7 litera (a) din aceeași directivă:
„Statele membre prevăd ca datele cu caracter personal să fie prelucrate numai dacă:
(a) persoana vizată și‑a dat consimțământul neechivoc […]”.
7 Articolul 10 din această directivă are următorul cuprins:
„Statele membre prevăd ca operatorul sau reprezentantul său să furnizeze persoanei de la care colectează date care o privesc cel puțin informațiile menționate mai jos, cu excepția cazului în care persoana este deja informată cu privire la aceste date:
(a) identitatea operatorului și, dacă este cazul, a reprezentantului;
(b) scopul prelucrării căreia îi sunt destinate datele;
(c) orice alte informații suplimentare, cum ar fi:
– destinatarii sau categoriile de destinatari ai datelor;
– dacă răspunsurile la întrebări sunt obligatorii sau voluntare, precum și consecințele posibile ale evitării răspunsului;
– existența dreptului de acces la datele care o privesc și de rectificare a datelor cu caracter personal,
în măsura în care, ținând seama de circumstanțele specifice în care sunt colectate datele, astfel de informații suplimentare sunt necesare pentru asigurarea unei prelucrări corecte a datelor cu privire la persoana vizată.”
Regulamentul 2016/679
8 Considerentele (32) și (42) ale Regulamentului 2016/679 au următorul cuprins:
„(32) Consimțământul ar trebui acordat printr‑o acțiune neechivocă care să constituie o manifestare liber exprimată, specifică, în cunoștință de cauză și clară a acordului persoanei vizate pentru prelucrarea datelor sale cu caracter personal, ca de exemplu o declarație făcută în scris, inclusiv în format electronic, sau verbal. Acesta ar putea include bifarea unei căsuțe atunci când persoana vizitează un site, alegerea parametrilor tehnici pentru serviciile societății informaționale sau orice altă declarație sau acțiune care indică în mod clar în acest context acceptarea de către persoana vizată a prelucrării propuse a datelor sale cu caracter personal. Prin urmare, absența unui răspuns, căsuțele bifate în prealabil sau absența unei acțiuni nu ar trebui să constituie un consimțământ. Consimțământul ar trebui să vizeze toate activitățile de prelucrare efectuate în același scop sau în aceleași scopuri. Dacă prelucrarea datelor se face în mai multe scopuri, consimțământul ar trebui dat pentru toate scopurile prelucrării. În cazul în care consimțământul persoanei vizate trebuie acordat în urma unei cereri transmise pe cale electronică, cererea respectivă trebuie să fie clară și concisă și să nu perturbe în mod inutil utilizarea serviciului pentru care se acordă consimțământul.
[…]
(42) În cazul în care prelucrarea se bazează pe consimțământul persoanei vizate, operatorul ar trebui să fie în măsură să demonstreze faptul că persoana vizată și‑a dat consimțământul pentru operațiunea de prelucrare. În special, în contextul unei declarații scrise cu privire la un alt aspect, garanțiile ar trebui să asigure că persoana vizată este conștientă de faptul că și‑a dat consimțământul și în ce măsură a făcut acest lucru. În conformitate cu Directiva 93/13/CEE a Consiliului [din 5 aprilie 1993 privind clauzele abuzive în contractele încheiate cu consumatorii (JO 1993, L 95, p. 29, Ediție specială, 15/vol. 2, p. 273)], ar trebui furnizată o declarație de consimțământ formulată în prealabil de către operator, într‑o formă inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, iar această declarație nu ar trebui să conțină clauze abuzive. Pentru ca acordarea consimțământului să fie în cunoștință de cauză, persoana vizată ar trebui să fie la curent cel puțin cu identitatea operatorului și cu scopurile prelucrării pentru care sunt destinate datele cu caracter personal. Consimțământul nu ar trebui considerat ca fiind acordat în mod liber dacă persoana vizată nu dispune cu adevărat de libertatea de alegere sau nu este în măsură să refuze sau să își retragă consimțământul fără a fi prejudiciată.”
9 Articolul 4 punctul 11 din regulamentul menționat prevede:
„«consimțământ» al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate”.
10 Potrivit articolului 5 din același regulament:
„(1) Datele cu caracter personal sunt:
(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»);
[…]
(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”
11 Articolul 6 alineatul (1) litera (a) din Regulamentul 2016/679 prevede:
„(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:
(a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unu sau mai multe scopuri specifice;
[…]”
12 Potrivit articolului 7 alineatele (1), (2) și (4) din Regulamentul 2016/679:
„(1) În cazul în care prelucrarea se bazează pe consimțământ, operatorul trebuie să fie în măsură să demonstreze că persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.
(2) În cazul în care consimțământul persoanei vizate este dat în contextul unei declarații scrise care se referă și la alte aspecte, cererea privind consimțământul trebuie să fie prezentată într‑o formă care o diferențiază în mod clar de celelalte aspecte, într‑o formă inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu. Nicio parte a respectivei declarații care constituie o încălcare a prezentului regulament nu este obligatorie.
[…]
(4) Atunci când se evaluează dacă consimțământul este dat în mod liber, se ține seama cât mai mult de faptul că, printre altele, executarea unui contract, inclusiv prestarea unui serviciu, este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract.”
13 Articolul 13 alineatele (1) și (2) din acest regulament prevede:
„(1) În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:
(a) identitatea și datele de contact ale operatorului și, după caz, ale reprezentantului acestuia;
[…]
(c) scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării;
[…]
(2) În plus față de informațiile menționate la alineatul (1), în momentul în care datele cu caracter personal sunt obținute, operatorul furnizează persoanei vizate următoarele informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă:
(a) perioada pentru care vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
(b) existența dreptului de a solicita operatorului, în ceea ce privește datele cu caracter personal referitoare la persoana vizată, accesul la acestea, rectificarea sau ștergerea acestora sau restricționarea prelucrării sau a dreptului de a se opune prelucrării, precum și a dreptului la portabilitatea datelor;
(c) atunci când prelucrarea se bazează pe articolul 6 alineatul (1) litera (a) sau pe articolul 9 alineatul (2) litera (a), existența dreptului de a retrage consimțământul în orice moment, fără a afecta legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia”.
14 Articolul 94 alineatul (1) din Regulamentul 2016/679 are următorul cuprins:
„[Directiva] 95/46/CE se abrogă cu efect de la 25 mai 2018.”
15 În temeiul articolului 99 alineatul (2) din Regulamentul 2016/679, acesta din urmă de aplică de la 25 mai 2018.
Dreptul român
16 Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Monitorul Oficial al României, Partea I, nr. 790 din 12 decembrie 2001) urmărește transpunerea dispozițiilor Directivei 95/46 în dreptul național.
17 Articolul 5 alineatul (1) din această lege prevede:
„(1) Orice prelucrare de date cu caracter personal, cu excepția prelucrărilor care vizează date din categoriile menționate la articolul 7 alineatul (1) [și] articolele 8 și 10, poate fi efectuată numai dacă persoana vizată și‑a dat consimțământul în mod expres și neechivoc pentru acea prelucrare.
[…]”
18 Articolul 8 din legea menționată prevede:
„(1) Prelucrarea codului numeric personal sau a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală poate fi efectuată numai dacă:
a) persoana vizată și‑a dat în mod expres consimțământul; sau
b) prelucrarea este prevăzută în mod expres de o dispoziție legală.
(2) Autoritatea de supraveghere poate stabili și alte cazuri în care se poate efectua prelucrarea datelor prevăzute la alineatul (1), numai cu condiția instituirii unor garanții adecvate pentru respectarea drepturilor persoanelor vizate.”
19 Potrivit articolului 32 din Legea nr. 677/2001:
„Prelucrarea datelor cu caracter personal de către un operator sau de o persoană împuternicită de acesta, cu încălcarea prevederilor articolelor 4-10 sau cu nesocotirea drepturilor prevăzute la articolele 12-15 sau la articolul 17, constituie contravenție, dacă nu este săvârșită în astfel de condiții încât să constituie infracțiune, și se sancționează cu amendă de la [1 000 RON] la [25 000 RON].”
Litigiul principal și întrebările preliminare
20 Orange România furnizează servicii de telecomunicații mobile pe piața românească.
21 Prin decizia din 28 martie 2018, ANSPDCP a aplicat societății Orange România o amendă pentru că a stocat copii ale actelor de identitate ale clienților săi fără să demonstreze că acești clienți își dăduseră consimțământul în mod valabil, obligând‑o totodată să distrugă aceste copii.
22 În această decizie, ANSPDCP a arătat că, în perioada cuprinsă între 1 și 26 martie 2018, Orange România a încheiat contracte de furnizare a unor servicii de telecomunicații mobile cu persoane fizice și că la respectivele contracte erau anexate copiile actelor de identitate ale acestor persoane. Potrivit ANSPDCP, societatea nu a făcut dovada faptului că clienții săi la ale căror contracte erau anexate copii ale actelor lor de identitate își dăduseră consimțământul cu privire la colectarea și la stocarea unor copii ale actelor lor de identitate.
23 Clauzele relevante ale contractelor în cauză aveau următorul cuprins:
„– Clientul declară că:
(i) a fost informat înainte de a încheia contractul despre planul tarifar ales, despre tarifele aplicabile, durata minimă a contractului, condițiile încetării acestuia și cele de obținere și utilizare a serviciilor, inclusiv aria de acoperire a serviciilor, […];
(ii) Orange România a pus la dispoziția clientului toate informațiile necesare pentru a‑și exprima consimțământul neviciat, expres, liber și specific cu privire la încheierea și asumarea expresă a contractului, inclusiv toată documentația contractuală – [Termenii și condițiile generale pentru utilizarea serviciilor Orange] și Broșura de tarife și servicii;
(iii) a fost informat și și‑a exprimat acordul cu privire la:
– prelucrarea datelor cu caracter personal în scopurile prevăzute la articolul 1.15 din [Termenii și condițiile generale pentru utilizarea serviciilor Orange];
– reținerea de copii de pe actele ce conțin date cu caracter personal cu funcție de identificare;
– acord[ul] [pentru] prelucrare[a] date[lor] cu caracter personal (număr de contact, e‑mail) în scopul marketingului direct;
– acord[ul] [pentru] prelucrare[a] date[lor] cu caracter personal (număr de contact, e‑mail) în scopul efectuării studiilor de piață;
– am citit și îmi dau acordul expres pentru reținerea de copii ale actelor ce conțin date cu caracter personal privind starea de sănătate;
– datele menționate la articolul 1.15 alineatul (10) din [Termenii și condițiile generale pentru utilizarea serviciilor Orange] să nu fie incluse în serviciile de informații privind abonații și registrele abonaților.”
24 Orange România a introdus o acțiune împotriva deciziei din 28 martie 2018 la Tribunalul București (România).
25 Potrivit constatărilor instanței de trimitere, există, pe de o parte, contracte în care a fost bifată căsuța referitoare la clauza privind păstrarea unor copii ale actelor care conțin date cu caracter personal cu funcție de identificare și, pe de altă parte, contracte în care o asemenea căsuță nu este bifată. Această instanță precizează că, în pofida mențiunilor incluse în Termenii și condițiile generale pentru utilizarea serviciilor Orange, Orange România nu a refuzat să încheie contracte de abonament cu clienții care au refuzat să consimtă la păstrarea copiei unuia dintre actele lor de identitate. Instanța menționată mai arată că „procedura internă” de vânzări a Orange România prevedea că acest refuz trebuia menționat într‑un formular specific pe care acești clienți trebuiau să îl semneze înainte de încheierea contractului.
26 Instanța de trimitere ridică problema dacă în aceste împrejurări se poate considera că clienții respectivi și‑au dat în mod valabil consimțământul pentru colectarea actului lor de identitate și pentru anexarea copiilor acestuia la contracte. În plus, aceasta se întreabă dacă semnarea unui contract în care figurează clauza privind păstrarea unor copii ale unor acte care conțin date cu caracter personal cu funcție de identificare permite să se dovedească existența unui asemenea consimțământ.
27 În aceste condiții, Tribunalul București a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1) În sensul articolului [2] litera (h) din Directiva 95/46, care sunt condițiile care trebuie să fie îndeplinite pentru a se putea considera că o manifestare de voință este una specifică și informată?
2) În sensul articolului 2 litera (h) din Directiva 95/46, care sunt condițiile care trebuie să fie îndeplinite pentru a se putea considera că o manifestare de voință este una liber exprimată?”
Cu privire la întrebările preliminare
28 Cu titlu introductiv, trebuie să se determine dacă Directiva 95/46 și Regulamentul 2016/679 sunt aplicabile situației de fapt în discuție în litigiul principal.
29 Cu efect de la 25 mai 2018, Directiva 95/46 a fost abrogată și înlocuită cu Regulamentul 2016/679, în temeiul articolului 94 alineatul (1) și al articolului 99 alineatul (2) din acest regulament.
30 Prin urmare, întrucât decizia ANSPDCP în discuție în litigiul principal a fost adoptată la 28 martie 2018, așadar, anterior datei de 25 mai 2018, instanța de trimitere consideră în mod întemeiat că Directiva 95/46 se aplică ratione temporis litigiului principal.
31 Cu toate acestea, din dosarul prezentat Curții reiese de asemenea că, prin decizia sa, ANSPDCP nu numai că a aplicat o amendă societății Orange Romania, ci a obligat‑o totodată să distrugă copiile actelor de identitate în cauză, iar litigiul principal privește și această din urmă obligație. Or, întrucât niciun element din acest dosar nu indică faptul că această obligație ar fi fost executată anterior datei de 25 mai 2018, nu este exclus ca Regulamentul 2016/679 să fie aplicabil în speță ratione temporis în privința respectivei obligații (a se vedea în acest sens Hotărârea din 1 octombrie 2019, Planet49, C‑673/17, EU:C:2019:801, punctul 41).
32 În aceste condiții, pentru a permite Curții să ofere răspunsuri utile la întrebările adresate de instanța de trimitere, se impune ca la aceste întrebări să se răspundă în temeiul atât al Directivei 95/46, cât și al Regulamentului 2016/679 (a se vedea prin analogie Hotărârea din 1 octombrie 2019, Planet49, C‑673/17, EU:C:2019:801, punctul 43).
33 Prin intermediul celor două întrebări preliminare adresate, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 2 litera (h) și articolul 7 litera (a) din Directiva 95/46, precum și articolul 4 punctul 11 și articolul 6 alineatul (1) litera (a) din Regulamentul 2016/679 trebuie interpretate în sensul că un contract privind furnizarea de servicii de telecomunicații care conține o clauză potrivit căreia persoana vizată a fost informată și și‑a dat consimțământul pentru colectarea, precum și pentru stocarea unei copii a actului său de identitate, în scop de identificare, poate fi de natură să demonstreze că această persoană și‑a dat în mod valabil consimțământul, în sensul acestor dispoziții, pentru această colectare și pentru această stocare.
34 În această privință trebuie amintit că articolul 7 din Directiva 95/46 și articolul 6 din Regulamentul 2016/679 prevăd o listă exhaustivă a cazurilor în care o prelucrare de date cu caracter personal poate fi considerată legală (a se vedea, în ceea ce privește articolul 7 din Directiva 95/46, Hotărârea din 19 octombrie 2016, Breyer, C‑582/14, EU:C:2016:779, punctul 57 și jurisprudența citată, precum și Hotărârea din 1 octombrie 2019, Planet49, C‑673/17, EU:C:2019:801, punctul 53). În special, articolul 7 litera (a) din această directivă și articolul 6 alineatul (1) litera (a) din regulamentul menționat prevăd că consimțământul persoanei vizate poate face ca o asemenea prelucrare să devină legală.
35 În ceea ce privește cerințele pe care trebuie să le îndeplinească un asemenea consimțământ, articolul 7 litera (a) din directiva menționată prevede că persoana vizată trebuie să își fi „dat consimțământul neechivoc”, în timp ce articolul 2 litera (h) din Directiva 95/46 definește termenul „consimțământ” ca reprezentând „orice manifestare de voință liberă, specifică și informată prin care persoana vizată acceptă să fie prelucrate datele cu caracter personal care o privesc”. În măsura în care aceste dispoziții prevăd că persoana vizată efectuează o „manifestare de voință” pentru a‑și da consimțământul „neechivoc”, numai un comportament activ din partea acestei persoane în vederea manifestării consimțământului său poate fi luat în considerare (a se vedea în acest sens Hotărârea din 1 octombrie 2019, Planet49, C‑673/17, EU:C:2019:801, punctele 52 și 54).
36 Aceeași cerință se aplică și în cadrul Regulamentului 2016/679. Într‑adevăr, formularea articolului 4 punctul 11 din acest regulament, care definește „consimțământul persoanei vizate” în sensul, printre altele, al articolului 6 alineatul (1) litera (a) din acesta, pare mult mai strictă decât cea a articolului 2 litera (h) din Directiva 95/46, prin faptul că impune o manifestare de voință „liberă, specifică, informată și lipsită de ambiguitate” a persoanei vizate, sub forma unei declarații sau a unei „acțiuni fără echivoc” care reprezintă acordul său pentru prelucrarea datelor cu caracter personal care o privesc. Astfel, un consimțământ activ este în prezent expres prevăzut de Regulamentul 2016/679 (a se vedea în acest sens Hotărârea din 1 octombrie 2019, Planet49, C‑673/17, EU:C:2019:801, punctele 61-63).
37 În această privință, considerentul (32) al acestui regulament precizează că, deși exprimarea consimțământului ar putea avea loc printre altele prin bifarea unei căsuțe atunci când persoana vizitează un site, „absența unui răspuns, căsuțele bifate în prealabil sau absența unei acțiuni” exclud, în schimb, în mod expres, potrivit acestuia, existența unui consimțământ. După cum Curtea a statuat deja, într‑o asemenea ipoteză pare practic imposibil să se stabilească în mod obiectiv dacă utilizatorul unui site internet și‑a dat în mod efectiv consimțământul la prelucrarea datelor sale cu caracter personal prin faptul că nu a debifat o căsuță bifată în prealabil, precum și, în orice caz, dacă acest consimțământ a fost dat în mod informat. Astfel, nu se poate exclude faptul ca utilizatorul menționat să nu fi citit informația care însoțea căsuța bifată în prealabil sau să nu fi observat această căsuță înainte de a‑și continua activitatea pe site‑ul internet pe care îl vizitează (a se vedea în acest sens Hotărârea din 1 octombrie 2019, Planet49, C‑673/17, EU:C:2019:801, punctele 55 și 57).
38 În plus, articolul 2 litera (h) din Directiva 95/46 și articolul 4 punctul 11 din Regulamentul 2016/679 impun o manifestare de voință „specifică”, în sensul că ea trebuie să privească în mod precis prelucrarea datelor în cauză și nu poate fi dedusă dintr‑o manifestare de voință care are un obiect distinct [a se vedea, în ceea ce privește articolul 2 litera (h) din Directiva 95/46, Hotărârea din 1 octombrie 2019, Planet49, C‑673/17, EU:C:2019:801, punctul 58].
39 În această privință, articolul 7 alineatul (2) prima teză din acest regulament precizează că, în cazul în care consimțământul persoanei vizate este dat în contextul unei declarații scrise care se referă și la alte aspecte, cererea privind consimțământul trebuie să fie prezentată într‑o formă care o diferențiază în mod clar de celelalte aspecte. În special, din această din urmă dispoziție coroborată cu considerentul (42) al regulamentului menționat reiese că o asemenea declarație trebuie să fie prezentată într‑o formă inteligibilă și ușor accesibilă și utilizând un limbaj clar și simplu, printre altele atunci când este vorba despre o declarație de consimțământ care trebuie redactată în prealabil de operatorul de date cu caracter personal.
40 În ceea ce privește cerința rezultată din articolul 2 litera (h) din Directiva 95/46 și din articolul 4 punctul 11 din Regulamentul 2016/679 potrivit căreia consimțământul trebuie să fie „informat”, această cerință presupune, conform articolului 10 din directiva respectivă interpretat în lumina considerentului (38) al acesteia, precum și articolului 13 din regulamentul menționat interpretat în lumina considerentului (42) al acestuia, ca operatorul să furnizeze persoanei vizate o informare cu privire la toate circumstanțele aferente prelucrării datelor, într‑o formă inteligibilă și ușor accesibilă, precum și utilizând un limbaj clar și simplu, această persoană trebuind să cunoască printre altele tipul de date care urmează să fie prelucrate, identitatea operatorului, durata și modalitățile acestei prelucrări, precum și scopurile specifice urmărite de această prelucrare. O asemenea informare trebuie să îi permită persoanei menționate să determine cu ușurință consecințele consimțământului pe care și l‑ar putea da și să garanteze că acest consimțământ este dat în deplină cunoștință de cauză (a se vedea prin analogie Hotărârea din 1 octombrie 2019, Planet49, C‑673/17, EU:C:2019:801, punctul 74).
41 În plus, astfel cum a arătat Comisia în observațiile prezentate Curții, din cuprinsul articolului 10 litera (c) a doua liniuță din Directiva 95/46, precum și din cel al articolului 13 alineatul (2) literele (b) și (c) din Regulamentul 2016/679 interpretat în lumina considerentului (42) al acestuia reiese că, pentru a asigura persoanei vizate o reală libertate de alegere, clauzele contractuale nu trebuie să inducă persoana vizată în eroare cu privire la posibilitatea de a încheia același contract dacă refuză să își dea consimțământul pentru prelucrarea datelor sale. În absența unor informații de această natură, consimțământul acestei persoane pentru prelucrarea datelor sale cu caracter personal nu poate fi considerat ca fiind dat în mod liber și nici, pe de altă parte, ca fiind dat în mod informat.
42 Trebuie adăugat că, în temeiul articolului 6 alineatul (1) litera (a) și alineatul (2) din Directiva 95/46, precum și al articolului 5 alineatul (1) litera (a) din Regulamentul 2016/679, operatorul de date cu caracter personal este obligat să asigure, printre altele, legalitatea prelucrării acestor date și, după cum precizează alineatul (2) al acestui articol 5, trebuie să fie în măsură să demonstreze această legalitate. În ceea ce privește, mai precis, un eventual consimțământ al persoanei vizate, articolul 7 litera (a) din această directivă prevede că persoana vizată trebuie să își fi dat în mod „neechivoc” consimțământul, ceea ce presupune, astfel cum a arătat domnul avocat general la punctul 56 din concluziile sale, că sarcina probei în ceea ce privește existența unui consimțământ valabil revine operatorului. Articolul 7 alineatul (1) din regulamentul menționat prevede în prezent că, în cazul în care prelucrarea se bazează pe consimțământ, acest operator trebuie să fie în măsură să demonstreze că persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.
43 În speță, Orange România a susținut în observațiile sale prezentate Curții că, în cadrul procedurii de încheiere a contractelor în discuție în litigiul principal, agenții săi de vânzări i‑ar informa pe clienții vizați, anterior încheierii contractelor, printre altele cu privire la scopurile colectării și ale stocării copiilor actelor de identitate, precum și cu privire la alegerea pe care clienții ar putea să o facă referitor la această colectare și la această stocare, înainte de a obține oral consimțământul acestor clienți pentru această colectare și pentru această stocare. Potrivit Orange România, căsuța referitoare la stocarea copiilor actelor de identitate era, prin urmare, bifată exclusiv pe baza acordului liber exprimat în acest sens de persoanele interesate cu ocazia încheierii contractului.
44 În aceste condiții, cererea de decizie preliminară vizează în esență clarificarea faptului dacă consimțământul astfel invocat pentru o asemenea prelucrare a datelor cu caracter personal poate fi stabilit în temeiul clauzelor contractuale cuprinse în aceste contracte.
45 În această privință, din informațiile care figurează în respectiva cerere reiese că, deși contractele menționate conțin o clauză potrivit căreia clienții vizați au fost informați și și‑au dat consimțământul pentru stocarea unei copii a actului lor de identitate, în scop de identificare, căsuța referitoare la această clauză fusese deja bifată de agenții de vânzări ai Orange România înainte ca acești clienți să își pună semnătura care semnifică acceptarea tuturor clauzelor contractuale, și anume atât a clauzei menționate, cât și a altor clauze care nu sunt legate de protecția datelor. În cererea menționată se mai arată, fără ca acest lucru să fie precizat în contractele în discuție în litigiul principal, că Orange România accepta să încheie aceste contracte cu clienți care refuzau să își dea consimțământul pentru stocarea unei copii a actului lor de identitate, impunând totodată ca, în acest caz, acești clienți să semneze un formular specific în care să fie menționat refuzul lor.
46 Or, din moment ce, potrivit acestor informații, clienții vizați nu păreau să fi bifat ei înșiși căsuța referitoare la clauza menționată, simplul fapt că această căsuță a fost bifată nu este de natură să stabilească o manifestare pozitivă a consimțământului acestor clienți pentru ca o copie a cărții lor de identitate să fie colectată și stocată. Astfel, după cum a arătat domnul avocat general la punctul 45 din concluziile sale, împrejurarea că respectivii clienți au semnat contractele care conțineau căsuța bifată nu permite prin ea însăși stabilirea unui asemenea consimțământ, în lipsa unor informații care să confirme că această clauză a fost efectiv citită și înțeleasă. Sarcina de a efectua verificările necesare în acest scop revine instanței de trimitere.
47 Pe de altă parte, în măsura în care clauza bifată referitoare la prelucrarea acestor date nu pare să fi fost prezentată într‑o formă care să o deosebească în mod clar de celelalte clauze contractuale, acestei instanțe îi revine sarcina să aprecieze dacă, ținând seama de considerațiile care figurează la punctul 34 din prezenta hotărâre, semnarea acestor contracte care privesc o pluralitate de clauze contractuale poate fi considerată drept manifestarea unui consimțământ specific pentru colectarea și stocarea datelor cu caracter personal, în sensul articolului 2 litera (h) din Directiva 95/46 și al articolului 4 punctul 11 din Regulamentul 2016/679.
48 În plus, întrucât clauza contractuală în discuție în litigiul principal se limitează la a indica, fără nicio altă mențiune, funcția de identificare a stocării copiilor actelor de identitate, instanței de trimitere îi revine sarcina să verifice dacă informarea persoanelor vizate îndeplinește cerințele prevăzute la articolul 10 din Directiva 95/46 și la articolul 13 din Regulamentul 2016/679, care stabilesc informațiile pe care operatorul trebuie să le furnizeze persoanei de la care colectează date care o privesc pentru a asigura față de aceasta o prelucrare corectă a datelor.
49 Acestei instanțe îi revine și sarcina să evalueze, printre altele, dacă clauzele contractuale în discuție în litigiul principal erau de natură să inducă persoana vizată în eroare cu privire la posibilitatea de a încheia contractul în pofida refuzului de a‑și da consimțământul pentru prelucrarea datelor sale, în lipsa unor precizări cu privire la acest aspect, repunând astfel în discuție caracterul informat al consimțământului exprimat prin semnarea menționată.
50 Pe de altă parte, după cum a arătat domnul avocat general la punctul 60 din concluziile sale, caracterul liber al acestui consimțământ pare să fie repus în discuție de împrejurarea că, în ipoteza neexprimării acestuia, Orange România impunea, abătându‑se de la procedura normală care conduce la încheierea contractului, ca clientul vizat să declare în scris că nu consimțea nici la colectarea, nici la stocarea copiei actului său de identitate. Astfel, după cum Comisia a remarcat în ședință, o asemenea cerință suplimentară este de natură să afecteze în mod nejustificat libera alegere de a se opune acestei colectări și acestei stocări, instanței de trimitere revenindu‑i sarcina de a verifica și acest aspect.
51 În orice caz, după cum rezultă din considerațiile care figurează la punctele 35, 36 și 42 din prezenta hotărâre, Orange România este cea căreia îi revine sarcina să stabilească, în calitate de operator de date, că clienții săi și‑au manifestat prin intermediul unui comportament activ consimțământul pentru prelucrarea datelor lor cu caracter personal, astfel încât această societate nu poate pretinde ca ei să își manifeste în mod activ refuzul.
52 Având în vedere considerațiile care precedă, trebuie să se răspundă la întrebările adresate că articolul 2 litera (h) și articolul 7 litera (a) din Directiva 95/46, precum și articolul 4 punctul 11 și articolul 6 alineatul (1) litera (a) din Regulamentul 2016/679 trebuie interpretate în sensul că operatorului de date îi revine sarcina să demonstreze că persoana vizată și‑a manifestat prin intermediul unui comportament activ consimțământul pentru prelucrarea datelor sale cu caracter personal și că aceasta a obținut în prealabil o informare cu privire la toate circumstanțele aferente acestei prelucrări, într‑o formă inteligibilă și ușor accesibilă, precum și utilizând un limbaj clar și simplu, care să îi permită să determine cu ușurință consecințele acestui consimțământ, astfel încât să se garanteze că acesta este dat în deplină cunoștință de cauză. Un contract privind furnizarea de servicii de telecomunicații care conține o clauză potrivit căreia persoana vizată a fost informată și și‑a dat consimțământul pentru colectarea, precum și pentru stocarea unei copii a actului său de identitate, în scop de identificare, nu este de natură să demonstreze că această persoană și‑a dat în mod valabil consimțământul, în sensul acestor dispoziții, pentru această colectare și pentru această stocare
– atunci când căsuța care se referă la această clauză a fost bifată de operatorul de date anterior semnării acestui contract sau
– atunci când clauzele contractului menționat sunt de natură să inducă persoana vizată în eroare cu privire la posibilitatea de a încheia contractul în discuție în pofida refuzului de a‑și da consimțământul pentru prelucrarea datelor sale sau
– atunci când libera alegere de a se opune acestei colectări și acestei stocări este afectată în mod nejustificat de acest operator prin cerința ca, pentru a refuza să își dea consimțământul, persoana vizată să completeze un formular suplimentar în care să fie menționat acest refuz.
Cu privire la cheltuielile de judecată
53 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.
Pentru aceste motive, Curtea (Camera a doua) declară:
Articolul 2 litera (h) și articolul 7 litera (a) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date, precum și articolul 4 punctul 11 și articolul 6 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretate în sensul că operatorului de date îi revine sarcina să demonstreze că persoana vizată și‑a manifestat prin intermediul unui comportament activ consimțământul pentru prelucrarea datelor sale cu caracter personal și că aceasta a obținut în prealabil o informare cu privire la toate circumstanțele aferente acestei prelucrări, într‑o formă inteligibilă și ușor accesibilă, precum și utilizând un limbaj clar și simplu, care să îi permită să determine cu ușurință consecințele acestui consimțământ, astfel încât să se garanteze că acesta este dat în deplină cunoștință de cauză. Un contract privind furnizarea de servicii de telecomunicații care conține o clauză potrivit căreia persoana vizată a fost informată și și‑a dat consimțământul pentru colectarea, precum și pentru stocarea unei copii a actului său de identitate, în scop de identificare, nu este de natură să demonstreze că această persoană și‑a dat în mod valabil consimțământul, în sensul acestor dispoziții, pentru această colectare și pentru această stocare
– atunci când căsuța care se referă la această clauză a fost bifată de operatorul de date anterior semnării acestui contract sau
– atunci când clauzele contractului menționat sunt de natură să inducă persoana vizată în eroare cu privire la posibilitatea de a încheia contractul în discuție în pofida refuzului de a‑și da consimțământul pentru prelucrarea datelor sale sau
– atunci când libera alegere de a se opune acestei colectări și acestei stocări este afectată în mod nejustificat de acest operator prin cerința ca, pentru a refuza să își dea consimțământul, persoana vizată să completeze un formular suplimentar în care să fie menționat acest refuz.
Arabadjiev | von Danwitz | Xuereb |
Pronunțată astfel în ședință publică la Luxemburg, la 11 noiembrie 2020.
Grefier | | Președintele Camerei a doua |
A. Calot Escobar | | A. Arabadjiev |