ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
MACIEJ SZPUNAR
της 4ης Μαρτίου 2020(1)
Υπόθεση C-61/19
Orange România SA
κατά
Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
[αίτηση του Tribunalul Bucureşti (πρωτοδικείου Βουκουρεστίου, Ρουμανία)
για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Οδηγία 95/46/EC – Κανονισμός (ΕΕ) 2016/679 – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ελεύθερη κυκλοφορία των δεδομένων αυτών – Υπηρεσίες κινητής τηλεφωνίας – Έννοια της συγκατάθεσης του υποκειμένου των δεδομένων – Ρητή και εν πλήρει επιγνώσει δήλωση βούλησης – Δήλωση συγκατάθεσης μέσω της συμπλήρωσης τετραγωνιδίου – Βάρος απόδειξης»
1. Η υπό κρίση αίτηση προδικαστικής αποφάσεως του Tribunalul Bucureşti (πρωτοδικείου Βουκουρεστίου, Ρουμανία) αφορά διαφορά μεταξύ παρόχου υπηρεσιών τηλεφωνίας και εθνικής αρχής προστασίας δεδομένων σχετικά με τις υποχρεώσεις του παρόχου, στο πλαίσιο διαπραγματεύσεων με πελάτη για τη σύναψη σύμβασης, όσον αφορά τη λήψη και την αποθήκευση αντιγράφου δελτίου ταυτότητας.
2. Η αίτηση αυτή παρέχει στο Δικαστήριο την ευκαιρία να αποσαφηνίσει την έννοια της «συγκατάθεσης» του υποκειμένου των δεδομένων, η οποία αποτελεί βασικό στοιχείο του δικαίου της Ένωσης στον τομέα της προστασίας των δεδομένων και ερείδεται, εν τέλει, στο θεμελιώδες δικαίωμα της προστασίας των δεδομένων. Συναφώς, το Δικαστήριο πρέπει, επίσης, να εξετάσει το ζήτημα του ποιος φέρει το βάρος αποδείξεως ότι το υποκείμενο των δεδομένων παρέσχε τη συγκατάθεσή του.
Νομικό πλαίσιο
Το δίκαιο της Ένωσης
Η οδηγία 95/46/ΕΚ
3. Το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46/ΕΚ ορίζει ότι (2), για τους σκοπούς της εν λόγω οδηγίας νοείται ως «“συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα”, κάθε δήλωση βουλήσεως, ελευθέρας, ρητής και εν πλήρει επιγνώσει, με την οποία το πρόσωπο στο οποίο αναφέρονται τα δεδομένα δέχεται να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν».
4. Το κεφάλαιο II της οδηγίας αυτής αφορά τις γενικές προϋποθέσεις σχετικά με τη θεμιτή επεξεργασία δεδομένων προσωπικού χαρακτήρα.
5. Όσον αφορά τις «αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων» (3), το άρθρο 6 της εν λόγω οδηγίας ορίζει τα εξής:
«1. Τα κράτη μέλη προβλέπουν ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει:
α) να υφίστανται σύννομη και θεμιτή επεξεργασία·
β) να συλλέγονται για καθορισμένους, σαφείς και νόμιμους σκοπούς και η μεταγενέστερη επεξεργασία τους να συμβιβάζεται με τους σκοπούς αυτούς. Η μεταγενέστερη επεξεργασία για ιστορικούς, στατιστικούς ή επιστημονικούς σκοπούς δεν θεωρείται ασυμβίβαστη εφόσον τα κράτη μέλη προβλέπουν κατάλληλες εγγυήσεις·
γ) να είναι κατάλληλα, συναφή προς το θέμα και όχι υπερβολικά σε σχέση με τους σκοπούς για τους οποίους συλλέγονται και υφίστανται επεξεργασία·
[…]
2. Εναπόκειται στον υπεύθυνο της επεξεργασίας να εξασφαλίσει την τήρηση της παραγράφου 1.»
6. Το άρθρο 7 της οδηγίας 95/46 ρυθμίζει τις «βασικές αρχές της νόμιμης επεξεργασίας δεδομένων» (4). Κατά την εν λόγω διάταξη:
«[τ]α κράτη μέλη προβλέπουν ότι επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να γίνεται μόνον εάν:
α) το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δώσει τη ρητή συγκατάθεσή του ή
β) είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το ενδιαφερόμενο πρόσωπο είναι συμβαλλόμενο μέρος ή για την εκτέλεση προσυμβατικών μέτρων ληφθέντων αιτήσει του· […]
[…]».
Ο κανονισμός (ΕΕ) 2016/679
7. Το άρθρο 4, σημείο 11, του κανονισμού (ΕΕ) 2016/679 (5), ορίζει ότι, για τους σκοπούς του κανονισμού αυτού, νοείται ως «“συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν».
8. Το άρθρο 6, παράγραφος 1, στοιχεία αʹ και βʹ, του κανονισμού αυτού ορίζει τα εξής:
«Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης».
9. Το άρθρο 7, παράγραφος 1, του ίδιου κανονισμού προβλέπει ότι «[ό]ταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα».
Το ρουμανικό δίκαιο
10. Ο Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (νόμος 677/2001 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, στο εξής: νόμος 677/2001) (6) θεσπίστηκε με σκοπό τη μεταφορά της οδηγίας 95/46 στο ρουμανικό δίκαιο.
11. Το άρθρο 32 του νόμου αυτού ορίζει τα εξής:
«H επεξεργασία δεδομένων προσωπικού χαρακτήρα από υπεύθυνο επεξεργασίας ή από πρόσωπο που έχει οριστεί από αυτόν η οποία διενεργείται κατά παράβαση των διατάξεων των άρθρων 4 έως 10 ή χωρίς να ληφθούν δεόντως υπόψη τα δικαιώματα που προβλέπονται στα άρθρα 12 έως 15 ή 17, συνιστά διοικητική παράβαση, αν δεν τελείται υπό συνθήκες που συνιστούν ποινικό αδίκημα, και τιμωρείται με χρηματική ποινή από 10 000 000 [1 000 ρουμανικά λέι (RON)] έως 250 000 000 παλαιά λέι [25 000 RON]».
Πραγματικά περιστατικά, διαδικασία και προδικαστικά ερωτήματα
12. Η Orange România SA είναι πάροχος υπηρεσιών κινητής τηλεφωνίας στη ρουμανική αγορά και προσφέρει υπηρεσίες είτε με το σύστημα «PrePay» (7) είτε μέσω της σύναψης συμβάσεων παροχής υπηρεσιών (8).
13. Στις 28 Μαρτίου 2018, η Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (εθνική εποπτική αρχή της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, Ρουμανία, στο εξής: ANSPDCP) συνέταξε έκθεση βάσει της οποίας, μεταξύ άλλων, σύμφωνα με τις διατάξεις του άρθρου 32 του νόμου 677/2001, σε συνδυασμό με το άρθρο 8 του ίδιου νόμου, επέβαλε στην Orange România διοικητική κύρωση με την αιτιολογία ότι η συλλογή και η αποθήκευση αντιγράφων των εγγράφων ταυτότητας των πελατών της πραγματοποιούνταν χωρίς τη ρητή συγκατάθεσή τους.
14. Συναφώς, η ANSPDCP διαπίστωσε ότι η Orange România συνήψε, στα καταστήματα της, συμβάσεις σε έντυπη μορφή για την παροχή υπηρεσιών κινητής τηλεφωνίας με φυσικά πρόσωπα και ότι αντίγραφα των εγγράφων ταυτότητας των πελατών επισυνάφθηκαν στις προαναφερόμενες συμβάσεις. Στις εν λόγω συμβάσεις εκτίθεται, μεταξύ άλλων, ότι οι πελάτες ενημερώθηκαν και εξέφρασαν τη συγκατάθεσή τους σχετικά με τη συλλογή και την αποθήκευση (από την Orange România) αυτών των αντιγράφων και ότι η ύπαρξη της συγκατάθεσης των πελατών δηλώνεται μέσω της συμπλήρωσης τετραγωνιδίων στις αντίστοιχες συμβατικές ρήτρες.
15. Το σχετικό χωρίο των επίμαχων συμβάσεων έχει ως εξής:
«Ο πελάτης δηλώνει τα ακόλουθα:
(i) ενημερώθηκε πριν από τη σύναψη της σύμβασης σχετικά με το επιλεχθέν σύστημα τιμολόγησης, σχετικά με τα ισχύοντα τιμολόγια, την ελάχιστη διάρκεια της σύμβασης, τους όρους καταγγελίας της σύμβασης και τους όρους απόκτησης και χρήσης των υπηρεσιών, συμπεριλαμβανομένης της περιοχής που καλύπτουν οι υπηρεσίες, σύμφωνα με τις διατάξεις του άρθρου 11 της Decizia ANCOM nr. 158/2015 (απόφασης 158/2015 της εθνικής αρχής για τη διαχείριση και ρύθμιση των τηλεπικοινωνιών, στο εξής: ANCOM) και εκείνων της O.U.G. 34/2014 (πράξεως νομοθετικού περιεχομένου 34/2104), καθώς και σχετικά με το δικαίωμα μονομερούς υπαναχώρησης που μπορεί να ασκηθεί σύμφωνα με το άρθρο 1.17 των γενικών όρων χρήσης των υπηρεσιών·
(ii) η Orange România έθεσε στη διάθεση του πελάτη όλες τις απαραίτητες πληροφορίες ώστε ο τελευταίος να μπορεί να δώσει την απαλλαγμένη ελαττωμάτων, ρητή, ελεύθερη και συγκεκριμένη συγκατάθεσή του για τη σύναψη της σύμβασης και τη ρητή ανάληψη των δεσμεύσεων από αυτήν καθώς και από το σύνολο των συμβατικών εγγράφων, τους γενικούς όρους χρήσης των υπηρεσιών της Orange και το φυλλάδιο τιμών και υπηρεσιών·
(iii) έχει ενημερωθεί και έχει παράσχει τη συγκατάθεσή του σχετικά με τα εξής:
την επεξεργασία των δεδομένων προσωπικού χαρακτήρα για τους σκοπούς του άρθρου 1.15 των γενικών όρων χρήσης των υπηρεσιών της Orange,
την αποθήκευση αντιγράφων εγγράφων που περιέχουν δεδομένα προσωπικού χαρακτήρα, για σκοπούς ταυτοποίησης,
την επεξεργασία δεδομένων προσωπικού χαρακτήρα (αριθμός επικοινωνίας, ηλεκτρονικό ταχυδρομείο) για σκοπούς άμεσης εμπορικής προώθησης,
την επεξεργασία δεδομένων προσωπικού χαρακτήρα (αριθμός επικοινωνίας, ηλεκτρονικό ταχυδρομείο) με σκοπό την πραγματοποίηση ερευνών αγοράς,
έχει διαβάσει και συμφωνεί ρητώς για την αποθήκευση εγγράφων που περιέχουν δεδομένα προσωπικού χαρακτήρα σχετικά με την υγεία,
το να μην περιληφθούν τα στοιχεία που μνημονεύονται στο άρθρο 1.15, παράγραφος 10, των γενικών όρων χρήσης των υπηρεσιών της Orange στις υπηρεσίες ενημέρωσης που αφορούν τους συνδρομητές και τα μητρώα συνδρομητών.»
16. Κατά την ANSPDCP, η Orange România δεν απέδειξε ότι οι πελάτες προέβησαν σε επιλογή εν πλήρει επιγνώσει όσον αφορά τη συλλογή και αποθήκευση αντιγράφων των εγγράφων ταυτότητάς τους.
17. Στις 28 Μαρτίου 2018 η Orange România άσκησε προσφυγή ενώπιον του αιτούντος δικαστηρίου κατά της απόφασης επιβολής προστίμου.
18. Σύμφωνα με τις διαπιστώσεις του αιτούντος δικαστηρίου, υπάρχουν συμβάσεις στο κείμενο των οποίων η ελεύθερα εκφραζόμενη επιλογή του πελάτη όσον αφορά την αποθήκευση αντιγράφου του εγγράφου ταυτότητάς του προκύπτει από τη συμπλήρωση του αντίστοιχου τετραγωνιδίου, καθώς και αντίθετες περιπτώσεις, όπου πελάτες αρνήθηκαν να δηλώσουν τη συγκατάθεσή τους. Όπως προκύπτει από τις «εσωτερικές διαδικασίες» πωλήσεων της Orange România, στις τελευταίες αυτές περιπτώσεις, η Orange România έκανε μνεία των απαραίτητων πληροφοριών σχετικά με την άρνηση του πελάτη όσον αφορά την αποθήκευση αντιγράφου του εγγράφου ταυτότητας, συμπληρώνοντας για τον σκοπό αυτό ειδικό έντυπο, και στη συνέχεια συνήπτε τη σύμβαση. Συνεπώς, παρά τα όσα αναφέρονται στους γενικούς όρους και προϋποθέσεις της Orange România, η εταιρία δεν αρνήθηκε να συνάψει συμβάσεις παροχής υπηρεσιών κινητής τηλεφωνίας με πελάτες, ακόμη και στην περίπτωση που αυτοί αρνούνταν να συγκατατεθούν στην αποθήκευση αντιγράφου του εγγράφου ταυτότητας.
19. Το αιτούν δικαστήριο εκτιμά ότι, υπό αυτές τις συνθήκες, είναι εξαιρετικά σημαντικό το Δικαστήριο να αποφανθεί ως προς τα κριτήρια βάσει των οποίων δύναται να διαπιστωθεί αν η συγκατάθεση είναι «ρητή» και «εν πλήρει επιγνώσει» και, κατά περίπτωση, ως προς την αποδεικτική ισχύ της υπογραφής συμβάσεων όπως οι επίμαχες στην κύρια δίκη.
20. Υπό τις συνθήκες αυτές, με διάταξη που εκδόθηκε στις 14 Νοεμβρίου 2018, η οποία περιήλθε στο Δικαστήριο στις 29 Ιανουαρίου 2019, το Tribunalul Bucureşti (πρωτοδικείο Βουκουρεστίου) υπέβαλε τα ακόλουθα προδικαστικά ερωτήματα:
«1) Ποιες είναι οι προϋποθέσεις που πρέπει να πληρούνται, σύμφωνα με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, για να γίνει δεκτό ότι μια δήλωση βούλησης είναι ρητή και έγινε εν πλήρει επιγνώσει;
2) Ποιες είναι οι προϋποθέσεις που πρέπει να πληρούνται, σύμφωνα με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, για να γίνει δεκτό ότι μια δήλωση βούλησης είναι ελεύθερη;»
21. Γραπτές παρατηρήσεις κατέθεσαν οι διάδικοι της κύριας δίκης, η Ρουμανική, η Ιταλική, η Αυστριακή και η Πορτογαλική Κυβέρνηση, καθώς και η Ευρωπαϊκή Επιτροπή. Η Orange România, η Ρουμανική Κυβέρνηση και η Ευρωπαϊκή Επιτροπή εκπροσωπήθηκαν κατά την επ’ ακροατηρίου συζήτηση της 11ης Δεκεμβρίου 2019.
Εκτίμηση
22. Στην υπό κρίση υπόθεση, το Δικαστήριο καλείται να διευκρινίσει τις προϋποθέσεις υπό τις οποίες μπορεί να θεωρηθεί έγκυρη η συγκατάθεση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα.
Προκαταρκτικές παρατηρήσεις
Επί των εφαρμοστέων νομικών πράξεων
23. Ο κανονισμός 2016/679, που άρχισε να ισχύει στις 25 Μαΐου 2018 (9), κατάργησε την οδηγία 95/46 με ισχύ από την ίδια ημερομηνία (10).
24. Η επίμαχη στην κύρια δίκη απόφαση της ANSPDCP εκδόθηκε στις 28 Μαρτίου 2018 και, ως εκ τούτου, πριν από την έναρξη ισχύος του κανονισμού 2016/679. Εντούτοις, η ANSPDCP δεν επέβαλε μόνο πρόστιμο στην Orange România, αλλά και απαίτησε από αυτήν να καταστρέψει τα αντίγραφα των επίμαχων εγγράφων ταυτότητας. Η διαφορά της κύριας δίκης αφορά, συνεπώς, και την επιβληθείσα καταστροφής των αντιγράφων. Η απόφαση επί του ζητήματος αυτού αφορά το μέλλον, λόγος για τον οποίο άλλωστε ο κανονισμός είναι εφαρμοστέος ratione temporis.
25. Κατά συνέπεια, απάντηση στα υποβληθέντα προδικαστικά ερωτήματα πρέπει να δοθεί τόσο βάσει της οδηγίας 95/46 όσο και βάσει του κανονισμού 2016/679 (11). Επιπλέον, ο κανονισμός θα πρέπει να ληφθεί υπόψη για την ανάλυση των διατάξεων της οδηγίας (12).
Οριοθέτηση του αντικειμένου των προδικαστικών ερωτημάτων
26. Τα δύο ερωτήματα του αιτούντος δικαστηρίου είναι διατυπωμένα κατά τρόπο πολύ γενικό και αφηρημένο και πρέπει κατά κάποιο τρόπο να συγκεκριμενοποιηθούν για να συσχετιστούν με τα πραγματικά περιστατικά της διαφοράς της κύριας δίκης, ούτως ώστε να καθοδηγηθεί το αιτούν δικαστήριο και να δοθεί μία χρήσιμη απάντηση στα προδικαστικά ερωτήματα. Προς τούτο, θεωρώ απαραίτητο να επισημάνω, εν συντομία, τα πραγματικά περιστατικά της διαφοράς της κύριας δίκης, όπως προκύπτουν από τη διάταξη περί παραπομπής και από τα στοιχεία που υπέβαλαν οι διάδικοι, ιδίως κατά την επ’ ακροατηρίου συζήτηση ενώπιον του Δικαστηρίου.
27. Η εθνική αρχή προστασίας δεδομένων στη Ρουμανία, η ANSPDCP, επέβαλε κυρώσεις στην Orange România με την αιτιολογία ότι η συλλογή και η αποθήκευση αντιγράφων των εγγράφων ταυτότητας των πελατών της πραγματοποιούνταν χωρίς τη συγκατάθεσή τους. Η εν λόγω αρχή διαπίστωσε ότι η εταιρία αυτή συνήψε συμβάσεις παροχής υπηρεσιών κινητής τηλεφωνίας και ότι αντίγραφα των εγγράφων ταυτότητας επισυνάφθηκαν στις συμβάσεις αυτές. Στις συμβάσεις εκτίθεται ότι οι πελάτες ενημερώθηκαν και εξέφρασαν τη συγκατάθεσή τους για τη συλλογή και αποθήκευση αυτών των αντιγράφων, όπως αποδεικνύεται από τη συμπλήρωση τετραγωνιδίων που υπάρχουν στις αντίστοιχες συμβατικές ρήτρες. Σύμφωνα, όμως, με τις διαπιστώσεις της ANSPDCP, η Orange România δεν απέδειξε ότι, κατά τον χρόνο σύναψης των συμβάσεων, οι ενδιαφερόμενοι πελάτες προέβησαν σε επιλογή εν πλήρει επιγνώσει όσον αφορά τη συλλογή και την αποθήκευση αυτών των αντιγράφων.
28. Όταν κάποιος πελάτης που επιθυμεί να συμβληθεί με την Orange România ενημερώνεται από εκπρόσωπο της εταιρίας για τους όρους μιας συγκεκριμένης σύμβασης, ο εκπρόσωπος αυτός εργάζεται συνήθως σε ηλεκτρονικό υπολογιστή με βάση ένα υπόδειγμα σύμβασης, το οποίο περιέχει τετραγωνίδιο επιλογής όσον αφορά την αποθήκευση του εγγράφου ταυτότητας. Ο πελάτης φαίνεται να ενημερώνεται ότι δεν απαιτείται η τοποθέτηση ένδειξης στο εν λόγω τετραγωνίδιο. Αν ο πελάτης δεν συμφωνεί με τη λήψη και την αποθήκευση αντιγράφου του εγγράφου ταυτότητάς του, οφείλει να το δηλώσει στη σύμβαση και, μάλιστα, ιδιοχείρως. Αυτή η απαίτηση για ιδιόχειρη δήλωση φαίνεται να απορρέει από τους εσωτερικούς κανόνες πωλήσεων της Orange România. Επιπλέον, ο πελάτης ενημερώνεται, αλλά μόνον προφορικώς και όχι εγγράφως, ότι μπορεί να αρνηθεί.
29. Υπό το πρίσμα αυτό, αντιλαμβάνομαι τα δύο προδικαστικά ερωτήματα, τα οποία πρέπει να συνεξεταστούν, υπό την έννοια ότι το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν το υποκείμενο των δεδομένων, το οποίο προτίθεται να συνάψει συμβατική σχέση για την παροχή υπηρεσιών κινητής τηλεφωνίας με μια επιχείρηση, παρέχει στην επιχείρηση αυτή «ρητή και εν πλήρει επιγνώσει» και «ελεύθερη» συγκατάθεση, κατά την έννοια του άρθρου 2, στοιχείο ηʹ, της οδηγίας 95/46 και του άρθρου 4, σημείο 11, του κανονισμού 2016/679, στην περίπτωση κατά την οποία πρέπει να δηλώσει ιδιοχείρως, σε μία κατά τα λοιπά τυποποιημένη σύμβαση, την άρνησή του να συγκατατεθεί στη λήψη και διατήρηση αντιγράφου των εγγράφων ταυτότητάς του.
30. Συναφώς, το αιτούν δικαστήριο φαίνεται να έχει ανάγκη από διευκρινίσεις όσον αφορά το βάρος και τον βαθμό απόδειξης που φέρει η εν λόγω επιχείρηση.
Η συγκατάθεση ως προϋπόθεση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα
31. Η επίμαχη υπόθεση αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τη σύναψη σύμβασης παροχής τηλεπικοινωνιακών υπηρεσιών.
32. Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη (13), πρώτον, προς τις αρχές σχετικά με την ποιότητα των δεδομένων, κατά το άρθρο 6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, δεύτερον, προς τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της εν λόγω οδηγίας ή το άρθρο 6 του εν λόγω κανονισμού (14). Όπως παρατηρεί η Επιτροπή, οι έξι βασικές αρχές που προβλέπει το άρθρο 7 της οδηγίας 95/46 αποτελούν, κατ’ ουσίαν, έκφραση της γενικότερης αρχής που προβλέπει το άρθρο 6, παράγραφος 1, στοιχείο αʹ, της εν λόγω οδηγίας, κατά το οποίο τα δεδομένα προσωπικού χαρακτήρα πρέπει να υφίστανται σύννομη και θεμιτή επεξεργασία.
33. Το άρθρο 7 της οδηγίας 95/46 περιλαμβάνει εξαντλητική απαρίθμηση των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί σύννομη (15). Η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να πραγματοποιηθεί μόνον εάν ισχύει τουλάχιστον μία από τις έξι βασικές αρχές της νόμιμης επεξεργασίας δεδομένων. Η ύπαρξη της ρητής συγκατάθεσης του προσώπου στο οποίο αναφέρονται τα δεδομένα αποτελεί μία από αυτές τις βασικές αρχές.
Επί της έννοιας της συγκατάθεσης
34. Εν συνεχεία, η συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα ορίζεται στο άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, ως κάθε δήλωση βουλήσεως, ελευθέρας, ρητής και εν πλήρει επιγνώσει, με την οποία το πρόσωπο στο οποίο αναφέρονται τα δεδομένα δέχεται να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν.
35. Η διατύπωση αυτή αντιστοιχεί (16) σε μεγάλο βαθμό σε εκείνη του άρθρου 4, σημείο 11, του κανονισμού 2016/679, κατά το οποίο ως συγκατάθεση του υποκειμένου των δεδομένων νοείται κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν (17).
36. Η απαίτηση για συγκατάθεση του υποκειμένου των δεδομένων είναι θεμελιώδες στοιχείο του δικαίου της Ένωσης για την προστασία των δεδομένων (18). Διατυπώνεται στον Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης όπου, κατά το άρθρο 8, η επεξεργασία των δεδομένων πρέπει να γίνεται νομίμως, για καθορισμένους σκοπούς και με βάση τη συγκατάθεση του ενδιαφερομένου ή για άλλους θεμιτούς λόγους που προβλέπονται από τον νόμο. Η έννοια της συγκατάθεσης, σε ένα ευρύτερο πλαίσιο, παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να καθορίζει με δική του απόφαση τους θεμιτούς περιορισμούς στο δικαίωμά του για προστασία των δεδομένων προσωπικού χαρακτήρα (19).
37. Το δίκαιο της Ένωσης για την προστασία των δεδομένων βασίζεται στην κατευθυντήρια αρχή της αυτοδιάθεσης του ατόμου που είναι σε θέση να προβαίνει σε επιλογές όσον αφορά τη χρήση και επεξεργασία των δεδομένων του (20). Η απαίτηση για συγκατάθεση, αφενός, επιτρέπει στο άτομο να πραγματοποιεί αυτή την επιλογή και, αφετέρου, το προστατεύει σε περιπτώσεις που χαρακτηρίζονται από εγγενή ασυμμετρία (21). Μόνον όταν η συγκατάθεση χορηγείται ελεύθερα, ρητά και εν πλήρει επιγνώσει πληρούνται τα κριτήρια της οδηγίας 95/46 και του κανονισμού 2016/679.
38. Εν προκειμένω, επιβάλλονται τρεις σύντομες σκέψεις όσον αφορά την προφανή διαφορά στο γράμμα αυτών των διατάξεων.
39. Πρώτον, το άρθρο 4, σημείο 11, της αγγλικής απόδοσης του κανονισμού 2016/679, σε αντίθεση με το άρθρο 2, στοιχείο ηʹ, της αγγλικής απόδοσης της οδηγίας 95/46, απαιτεί η ένδειξη να είναι «unambiguous» (σαφής). Φρονώ ότι ο λόγος είναι μάλλον απλός: Κατά το άρθρο 7, στοιχείο αʹ, της αγγλικής απόδοσης της οδηγίας, όσον αφορά τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων, οι οποίες επισημάνθηκαν ανωτέρω, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να δώσει τη συγκατάθεσή του «unambiguously» (σαφώς), ενώ η αντίστοιχη διάταξη του κανονισμού 2016/679 –άρθρο 6, παράγραφος 1, στοιχείο αʹ– δεν περιέχει αυτή τη διευκρίνιση. Εν ολίγοις, αυτή η βασική αρχή απλώς μεταφέρθηκε στη γενικότερη διάταξη του κανονισμού 2016/679.
40. Δεύτερον, το άρθρο 4, σημείο 11, του κανονισμού 2016/679 ορίζει ότι το υποκείμενο των δεδομένων εκδηλώνεται «με δήλωση ή με σαφή θετική ενέργεια». Η διευκρίνιση αυτή είναι βεβαίως νέα σε σχέση με τον εν λόγω κανονισμό και δεν βρίσκει σημασιολογική αντιστοιχία στην οδηγία 95/46.
41. Τρίτον, όσον αφορά τον «εν πλήρει επιγνώσει» χαρακτήρα της συγκατάθεσης του υποκειμένου των δεδομένων, το γαλλικό κείμενο της οδηγίας 95/46 διαφέρει από το γαλλικό κείμενο του κανονισμού 2016/679. Μολονότι το άρθρο 2, στοιχείο ηʹ, της οδηγίας αναφέρει «manifestation de volonté […] informée», το άρθρο 4, σημείο 11, του κανονισμού χρησιμοποιεί τη φράση «manifestation de volonté […] eclairée».
42. Φρονώ ότι αυτή η τροποποίηση της διατύπωσης περισσότερο προκαλεί σύγχυση παρά αποσαφηνίζει τον όρο, διότι, εξ όσων μπορώ να συμπεράνω, η απόδοση στη γαλλική γλώσσα είναι η μόνη ή, τουλάχιστον, μία από τις ελάχιστες γλωσσικές αποδόσεις που προβαίνει σε αυτή τη διάκριση. Διάφορες γλωσσικές αποδόσεις –μεταξύ των οποίων, παρεμπιπτόντως, και οι αποδόσεις σε άλλες λατινογενείς γλώσσες– χρησιμοποιούν απλώς τους ίδιους όρους ως προς το σημείο αυτό (22), ενώ άλλες γλωσσικές αποδόσεις διαφέρουν ελαφρώς, αλλά και πάλι απέχουν πολύ από τη γαλλική απόδοση (23).
43. Θα επανέλθω στην έννοια της «εν πλήρει επιγνώσει» συγκατάθεσης.
Επί της ελεύθερης συγκατάθεσης
44. Η απαίτηση περί «δήλωσης» βούλησης του υποκειμένου των δεδομένων αναφέρεται σαφώς σε ενεργή και όχι παθητική συμπεριφορά (24) και προϋποθέτει υψηλό βαθμό αυτονομίας του υποκειμένου των δεδομένων όταν επιλέγει να δώσει ή να αρνηθεί τη συγκατάθεσή του (25). Όσον αφορά τη συγκεκριμένη περίπτωση της συμμετοχής χρήστη ιστοτόπου σε ηλεκτρονικό διαφημιστικό παιχνίδι, το Δικαστήριο έκρινε ότι η παροχή συγκατάθεσης μέσω προσυμπληρωμένου τετραγωνιδίου δεν υποδηλώνει ενεργή συμπεριφορά εκ μέρους του χρήστη ιστοτόπου (26).
45. Θεωρώ ότι αυτή η διαπίστωση ισχύει και σε ανάλογες περιπτώσεις: η παροχή συγκατάθεσης μέσω προσυμπληρωμένου τετραγωνιδίου δεν μπορεί να υποδηλώνει ενεργή συμπεριφορά εκ μέρους προσώπου που έρχεται αντιμέτωπο με έγγραφο, σε υλική μορφή, το οποίο, εν τέλει, υπογράφει. Συγκεκριμένα, στην τελευταία αυτή περίπτωση, δεν είναι γνωστό κατά πόσον το εν λόγω προδιατυπωμένο κείμενο έχει αναγνωσθεί και έχει γίνει κατανοητό. Η κατάσταση δεν είναι σαφής. Το κείμενο μπορεί να έχει, ή να μην έχει, αναγνωσθεί. Ο «αναγνώστης» μπορεί να έχει παραλείψει να το διαβάσει από καθαρή αμέλεια, οπότε είναι αδύνατον να εξακριβωθεί κατά πόσον έχει δοθεί ελεύθερη συγκατάθεση (27).
Επί της εν πλήρει επιγνώσει συγκατάθεσης
46. Είναι αναμφισβήτητο ότι το υποκείμενο των δεδομένων δεν ήταν επαρκώς ενημερωμένο (28).
47. Το υποκείμενο των δεδομένων πρέπει να ενημερώνεται για όλες τις περιστάσεις που σχετίζονται με την επεξεργασία των δεδομένων και τις συνέπειές της. Πρέπει να γνωρίζει, ιδίως, ποια δεδομένα υπόκεινται σε επεξεργασία, τη διάρκεια, τον τρόπο και τον συγκεκριμένο σκοπό της επεξεργασίας αυτής. Πρέπει, επίσης, να γνωρίζει ποιος επεξεργάζεται τα δεδομένα και αν αυτά πρόκειται να διαβιβαστούν σε τρίτους. Ειδικότερα, πρέπει να έχει ενημερωθεί για τις συνέπειες σε περίπτωση που αρνηθεί να δώσει συγκατάθεση: συνιστά η παροχή συγκατάθεσης προϋπόθεση για τη σύναψη της σύμβασης ή όχι (29);
Επί του βάρους απόδειξης
48. Τίθεται επομένως το ερώτημα ποιος φέρει το βάρος απόδειξης ότι το υποκείμενο των δεδομένων ήταν σε θέση να δώσει τη συγκατάθεσή του βάσει των κριτηρίων που μόλις διαπιστώθηκαν.
49. Η διάταξη του άρθρου 7, παράγραφος 1, του κανονισμού 2016/679 είναι σαφής και δεν αφήνει περιθώριο αμφιβολίας: όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας φέρει το βάρος να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του (30). Η διάταξη αυτή συνιστά ειδική εφαρμογή της αρχής της λογοδοσίας που καθιερώνει το άρθρο 5, παράγραφος 2, του κανονισμού 2016/679. Εκτιμώ ότι, λαμβανομένου υπόψη του σκοπού της, στη διάταξη αυτή πρέπει να δοθεί ευρεία ερμηνεία υπό την έννοια ότι ο υπεύθυνος της επεξεργασίας δεν πρέπει να αποδείξει μόνον ότι το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του, αλλά και ότι έχουν τηρηθεί όλες οι προϋποθέσεις αποτελεσματικότητας (31).
50. Ορισμένοι συγγραφείς διατηρούν αμφιβολίες ως προς το αν το άρθρο 7, παράγραφος 1, του κανονισμού 2016/679 ρυθμίζει το βάρος της απόδειξης, λαμβανομένου υπόψη του ιστορικού θέσπισης του εν λόγω κανονισμού (32). Προβάλλεται το επιχείρημα ότι η διατύπωση που πρότεινε η Επιτροπή και το Κοινοβούλιο, η οποία αναφερόταν ρητά στο «βάρος της απόδειξης», δεν αντανακλάται στο κείμενο που θεσπίστηκε και, συνεπώς, στο ισχύον δίκαιο.
51. Το επιχείρημα αυτό χρήζει λεπτομερέστερης ανάλυσης.
52. Η αρχική πρόταση της Επιτροπής (33) αναφέρεται στο «βάρος της απόδειξης» το οποίο πρέπει να φέρει ο υπεύθυνος επεξεργασίας. Ομοίως, το Κοινοβούλιο στην πρώτη ανάγνωση (34) δεν αμφισβήτησε αυτή τη διατύπωση. Η φράση «βάρος της απόδειξης» αντικαταστάθηκε από το Συμβούλιο (35) με τη φράση ότι ο υπεύθυνος επεξεργασίας «είναι σε θέση να αποδείξει». Στη συνέχεια, το οριστικό κείμενο εγκρίθηκε υπό αυτή τη μορφή.
53. Δεν θα έδινα υπερβολική σημασία σε αυτή την τροποποίηση της διατύπωσης (36). Σε κανένα σημείο των αιτιολογικών σκέψεων της θέσης του Συμβουλίου δεν αιτιολογείται η προτεινόμενη τροποποίηση της διατύπωσης (37). Αυτό αποτελεί ένδειξη ότι το Συμβούλιο επιδίωξε απλώς να τροποποιήσει τη διατύπωση της εν λόγω διάταξης, χωρίς να μεταβάλει την έννοιά της. Υπό το πρίσμα αυτό, η φράση «είναι σε θέση να αποδείξει» αποδίδει, κατ’ ουσίαν, με τρόπο πιο προσιτό, την έννοια του όρου «βάρος της απόδειξης» (38).
54. Μπορεί επομένως με ασφάλεια να συναχθεί ότι, κατά το άρθρο 7, παράγραφος 1, του κανονισμού 2016/679, ο υπεύθυνος επεξεργασίας φέρει το βάρος της απόδειξης ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα (39). Τυχόν αμφιβολίες όσον αφορά τη χορήγηση της συγκατάθεσης του υποκειμένου των δεδομένων πρέπει να αίρονται με βάση αποδεικτικά στοιχεία που προσκομίζει ο υπεύθυνος επεξεργασίας (40). Είναι σαφές ότι η οντότητα που πραγματοποιεί την επεξεργασία φέρει το βάρος της απόδειξης ότι το υποκείμενο των δεδομένων βρέθηκε σε κατάσταση που του επέτρεπε να δώσει ελεύθερη, συγκεκριμένη και εν πλήρει επιγνώσει συγκατάθεση.
55. Συναφώς, το ίδιο νομικό καθεστώς ισχύει και στο πλαίσιο της οδηγίας 95/46.
56. Μολονότι η οδηγία 95/46 δεν περιείχε χωριστή διάταξη παρόμοια με εκείνη του άρθρου 7 του κανονισμού 2016/679 σχετικά με τις προϋποθέσεις χορήγησης συγκατάθεσης, η πλειονότητα των προϋποθέσεων που προβλέπονται στο εν λόγω άρθρο μπορούσαν να εντοπιστούν και στην οδηγία αυτή. Μολονότι ο κανόνας του βάρους της απόδειξης δεν περιλαμβάνεται ρητά στην οδηγία, συνάγεται τουλάχιστον εμμέσως από τη διάταξή της (41) ότι «το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δώσει τη ρητή συγκατάθεσή του» (42).
Όσον αφορά την περίπτωση της Orange România
57. Εν συνεχεία, πρέπει να εφαρμόσω τα ανωτέρω κριτήρια στην υπό εξέταση υπόθεση.
58. Προκαταρκτικώς, θα ήθελα να επισημάνω ότι το ζήτημα αν η Orange România μπορεί να απαιτήσει από τους πελάτες της συγκατάθεση για τη λήψη και την αποθήκευση αντιγράφου των εγγράφων ταυτότητάς τους δεν εμπίπτει στο πλαίσιο της επίμαχης υπόθεσης, δεδομένου ότι, για την εν λόγω επιχείρηση, τούτο δεν συνιστά απαραίτητη προϋπόθεση για τη σύναψη σύμβασης. Εν ολίγοις, η επίμαχη υπόθεση δεν αφορά την ερμηνεία του άρθρου 7, στοιχείο βʹ, της οδηγίας 95/46 και του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του κανονισμού 2016/679. Εκτιμώ, πάντως, ότι είναι σύννομο μια επιχείρηση να ζητεί από τους πελάτες να παρέχουν ορισμένα δεδομένα προσωπικού χαρακτήρα και ιδίως να αποδεικνύουν την ταυτότητά τους με σκοπό τη σύναψη σύμβασης. Αντιθέτως, το να απαιτείται από τον πελάτη να συγκατατίθεται στη λήψη και στην αποθήκευση αντιγράφου των εγγράφων ταυτότητάς του βαίνει προφανώς πέραν του αναγκαίου για την εκτέλεση της σύμβασης.
59. Βάσει των διαθέσιμων στοιχείων, φρονώ ότι, υπό τις περιστάσεις που περιγράφει το αιτούν δικαστήριο, η συγκατάθεση που δίνουν οι πελάτες της Orange România δεν είναι ελεύθερη, ρητή και εν πλήρει επιγνώσει.
60. Πρώτον, δεν υπάρχει ελεύθερη συγκατάθεση. Το γεγονός ότι ο πελάτης υποχρεώνεται να δηλώσει ιδιοχείρως ότι δεν συγκατατίθεται στη λήψη αντιγράφου και στην αποθήκευση του εγγράφου ταυτότητάς του, δεν επιτρέπει την παροχή ελεύθερης συγκατάθεσης υπό την έννοια ότι ο πελάτης βρίσκεται σε κατάσταση η οποία παρεκκλίνει αισθητά από τη συνήθη διαδικασία που ακολουθείται για τη σύναψη μιας σύμβασης. Συναφώς, οι πελάτες δεν πρέπει να αισθάνονται ότι η άρνηση να δηλώσουν τη συγκατάθεσή τους για τη λήψη και την αποθήκευση αντιγράφου των εγγράφων ταυτότητάς τους αποτελεί παρέκκλιση από τις κανονικές διαδικασίες. Υπενθυμίζω εν προκειμένω ότι το Δικαστήριο έχει δώσει έμφαση στην ενεργή συμπεριφορά εκ μέρους του υποκειμένου των δεδομένων με σκοπό τη δήλωση της συγκατάθεσής του (43). Απαιτείται, συνεπώς, θετική ενέργεια εκ μέρους του υποκειμένου των δεδομένων όταν δηλώνει τη συγκατάθεσή του. Εν προκειμένω, όμως, φαίνεται να βρισκόμαστε ενώπιον μιας αντίθετης περίπτωσης: απαιτείται θετική ενέργεια για την άρνηση της παροχής της συγκατάθεσης. Υπό το πρίσμα και πάλι της απόφασης στην υπόθεση Planet49 (44), εάν η αποεπιλογή τετραγωνιδίου που έχει ήδη προσυμπληρωθεί σε ιστότοπο είναι υπερβολικό βάρος για έναν πελάτη, τότε, κατά μείζονα λόγο, δεν είναι εύλογο να αναμένεται από έναν πελάτη να παράσχει σε χειρόγραφη μορφή την άρνησή του να δώσει συγκατάθεση.
61. Δεύτερον, η συγκατάθεση δεν είναι εν πλήρει επιγνώσει. Δεν καθίσταται απολύτως σαφές στον πελάτη ότι η άρνηση για τη λήψη και την αποθήκευση αντιγράφου του εγγράφου ταυτότητάς του δεν καθιστά αδύνατη τη σύναψη σύμβασης. Ένας πελάτης δεν επιλέγει εν πλήρει επιγνώσει, αν δεν γνωρίζει τις συνέπειες.
62. Τρίτον –και μόνον σε υποθετική βάση– δεν υπάρχει απολύτως καμία ένδειξη ότι η Orange România κατόρθωσε να αποδείξει ότι οι πελάτες συγκατατέθηκαν στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα τους. Εξάλλου, η πρόδηλη έλλειψη σαφήνειας στις εσωτερικές διαδικασίες ασφαλώς και είναι αρνητικό στοιχείο όσον αφορά την απόδειξη ότι η συγκατάθεση δόθηκε από τον πελάτη. Αυτή η έλλειψη σαφήνειας και οι αντιφατικές οδηγίες προς το επιφορτισμένο με τις πωλήσεις προσωπικό δεν μπορεί, βεβαίως, να αποβεί σε βάρος του πελάτη, εν προκειμένω του υποκειμένου των δεδομένων.
Πρόταση
63. Υπό το πρίσμα των προεκτεθέντων, προτείνω στο Δικαστήριο να απαντήσει στα προδικαστικά ερωτήματα του Tribunalul Bucureşti (πρωτοδικείου Βουκουρεστίου, Ρουμανία) ως εξής:
Υποκείμενο των δεδομένων που προτίθεται να συνάψει συμβατική σχέση για την παροχή υπηρεσιών τηλεπικοινωνίας με μια επιχείρηση, δεν δίνει στην εν λόγω επιχείρηση τη «συγκατάθεσή» του, δηλαδή δεν προβαίνει σε δήλωση βούλησης «ρητή και εν πλήρει επιγνώσει» και «ελεύθερη», κατά την έννοια του άρθρου 2, στοιχείο ηʹ, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, και του άρθρου 4, σημείο 11, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), σε περίπτωση κατά την οποία απαιτείται να δηλώσει ιδιοχείρως, στο πλαίσιο μιας κατά τα λοιπά τυποποιημένης σύμβασης, ότι αρνείται να συγκατατεθεί στη λήψη και στην αποθήκευση αντιγράφου των εγγράφων ταυτότητάς του.