A BÍRÓSÁG ÍTÉLETE (második tanács)
2020. november 11.(*)
„Előzetes döntéshozatal – 95/46/EK irányelv – A 2. cikk h) pontja és a 7. cikk a) pontja – (EU) 2016/679 rendelet – A 4. cikk 11. pontja és a 6. cikk (1) bekezdésének a) pontja – A személyes adatok kezelése és a magánélet védelme – A személyazonosító okmányok másolatának mobiltávközlési‑szolgáltató általi gyűjtése és tárolása ‐ Az érintett személy »hozzájárulásának« fogalma – Önkéntes, konkrét és megfelelő tájékoztatáson alapuló akaratnyilvánítás – Bejelölendő négyzet útján adott hozzájáruló nyilatkozat – A szerződés érintett személy általi aláírása – Bizonyítási teher”
A C‑61/19. sz. ügyben,
az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a Tribunalul Bucureşti (bukaresti törvényszék, Románia) a Bírósághoz 2019. január 29‑én érkezett, 2018. november 14‑i határozatával terjesztett elő
az Orange România SA
és
az Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
között folyamatban lévő eljárásban,
A BÍRÓSÁG (második tanács),
tagjai: A. Arabadjiev tanácselnök, T. von Danwitz (előadó) és P. G. Xuereb bírák,
főtanácsnok: M. Szpunar,
hivatalvezető: D. Dittert egységvezető,
tekintettel az írásbeli szakaszra és a 2019. december 11‑i tárgyalásra,
figyelembe véve a következők által előterjesztett észrevételeket:
– az Orange România SA képviseletében D.‑D. Dascălu, A.‑M. Iordache és I. Buga avocaţi,
– az Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) képviseletében A. G. Opre és I. Ilie, meghatalmazotti minőségben,
– a román kormány képviseletében kezdetben: E. Gane, O.‑C. Ichim, L. Liţu és C.‑R. Canţăr, később: E. Gane, O.‑C. Ichim és L. Liţu, meghatalmazotti minőségben,
– az olasz kormány képviseletében G. Palmieri, meghatalmazotti minőségben, segítője: M. Russo avvocato dello Stato,
– az osztrák kormány képviseletében kezdetben: J. Schmoll és G. Hesse, később: J. Schmoll, meghatalmazotti minőségben,
– a portugál kormány képviseletében L. Inez Fernandes, P. Barros da Costa, L. Medeiros és I. Oliveira, meghatalmazotti minőségben,
– az Európai Bizottság képviseletében H. Kranenborg, D. Nardi és L. Nicolae, meghatalmazotti minőségben,
a főtanácsnok indítványának a 2020. március 4‑i tárgyaláson történt meghallgatását követően,
meghozta a következő
Ítéletet
1 Az előzetes döntéshozatal iránti kérelem a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.) 2. cikke h) pontjának és a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.) 4. cikke 11. pontjának értelmezésére irányul.
2 Ezt a kérelmet az Orange România SA és az Autoritatea Najahedinională de Supraveghere a Prelucrării Datelor Personal (ANSPDCP) (a személyes adatok kezelésének felügyeletéért felelős nemzeti hatóság, Románia; a továbbiakban: ANSPDCP) között azon határozat megsemmisítése iránti kereset tárgyában folyamatban lévő jogvitában terjesztették elő, amelyben az ANSPDCP egyrészt bírságot szabott ki az Orange Româniával szemben amiatt, hogy az utóbbi az ügyfelei érvényes hozzájárulása nélkül gyűjtötte és tárolta azok személyazonosító okmányainak másolatát, másrészt kötelezte az Orange Româniát e másolatok megsemmisítésére.
Jogi háttér
Az uniós jog
A 95/46 irányelv
3 A 95/46 irányelv (38) preambulumbekezdése kimondja, hogy „mivel annak érdekében, hogy az adatfeldolgozás [helyesen: adatkezelés] tisztességes legyen, az érintettnek tudnia kell az adatfeldolgozási [helyesen: adatkezelési] műveletről, és amennyiben adatokat gyűjtenek róla, arról pontos és teljes tájékoztatást kell kapjon, figyelembe véve az adatgyűjtés körülményeit”.
4 Az irányelv 2. cikkének h) pontja többek között úgy rendelkezik, hogy ezen irányelv alkalmazásában:
„»az érintett hozzájárulása« az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok feldolgozásához [helyesen: kezeléséhez]”.
5 Az említett irányelv 6. cikke a következőképpen rendelkezik:
„(1) A tagállamok rendelkeznek arról, hogy a személyes adatok:
a) feldolgozását [helyesen: kezelését] tisztességesen és törvényesen kell végezni;
[…]
(2) Az adatkezelő feladata gondoskodni arról, hogy az (1) bekezdés rendelkezései teljesüljenek.”
6 Ugyanezen irányelv 7. cikkének a) pontja értelmében:
„A tagállamok rendelkeznek arról, hogy a személyes adatok csak abban az esetben dolgozhatók fel, ha:
a) az érintett ahhoz egyértelmű hozzájárulását adta […]”
7 Ezen irányelv 10. cikkének szövege a következő:
„A tagállamoknak rendelkezniük kell arról, hogy az adatkezelőnek vagy képviselőjének legalább az alábbiakról tájékoztatnia kell az érintettet, akitől a rá vonatkozó adatokat gyűjtik, kivéve, ha az érintett már rendelkezik ezen információkkal:
a) az adatkezelő, vagy ha van ilyen, képviselőjének személye;
b) az adatfeldolgozás [helyesen: adatkezelés] célja, amelyre az adatokat szánják;
c) minden olyan további adat, mint például:
– az adatok címzettjei vagy a címzettek kategóriái,
– hogy a kérdések megválaszolása kötelező vagy önkéntes, továbbá a válaszadás elmulasztásának lehetséges következményei,
– betekintési jog és az érintettre vonatkozó adatok helyesbítéséhez való jog,
amennyiben e további információk, tekintettel az adatgyűjtés sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás [helyesen: adatkezelés] biztosításához szükségesek.”
A 2016/679 rendelet
8 A 2016/679 rendelet (32) és (42) preambulumbekezdése kimondja:
„(32) Az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett – vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni. Ha az érintett hozzájárulását elektronikus felkérést követően adja meg, a felkérésnek egyértelműnek és tömörnek kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét, amely vonatkozásában a hozzájárulást kérik.
[…]
(42) Ha az adatkezelés az érintett hozzájárulásán alapul, az adatkezelő számára lehetővé kell tenni, hogy bizonyítani tudja, hogy az adatkezelési művelethez az érintett hozzájárult. Különösen a más ügyben tett írásbeli nyilatkozattal összefüggésben garanciákkal szükséges biztosítani azt, hogy az érintett tisztában legyen azzal a ténnyel, hogy hozzájárulását adta, valamint azzal, hogy ezt milyen mértékben tette. A [fogyasztókkal kötött szerződésekben alkalmazott tisztességtelen feltételekről szóló, 1993. április 5‑i] 93/13/EGK tanácsi irányelvnek [HL 1993. L 95., 29. o.; magyar nyelvű különkiadás 15. fejezet, 2. kötet, 288. o.] megfelelően az adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. Ahhoz, hogy a hozzájárulás tájékoztatáson alapulónak minősüljön, az érintettnek tisztában kell lennie legalább az adatkezelő kilétével és a személyes adatok kezelésének céljával. A hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna.”
9 Az említett rendelet 4. cikkének 11. pontja szerint:
„»az érintett hozzájárulása« az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;”
10 Ugyanezen rendelet 5. cikke a következőképpen rendelkezik:
„(1) A személyes adatok:
a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni (»jogszerűség, tisztességes eljárás és átláthatóság«);
[…]
(2) Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására (»elszámoltathatóság«).”
11 A 2016/679 rendelet 6. cikke (1) bekezdésének a) pontja szerint:
„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
[…]”
12 A 2016/679 rendelet 7. cikkének (1), (2) és (4) bekezdése a következőképpen fogalmaz:
„(1) Ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.
(2) Ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az érintett hozzájárulását tartalmazó ilyen nyilatkozat bármely olyan része, amely sérti e rendeletet, kötelező erővel nem bír.
[…]
(4) Annak megállapítása során, hogy a hozzájárulás önkéntes‑e, a lehető legnagyobb mértékben figyelembe kell venni azt a tényt, egyebek mellett, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását is – feltételéül szabták‑e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek a szerződés teljesítéséhez.”
13 E rendelet 13. cikkének (1) és (2) bekezdése kimondja:
„(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
[…]
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
[…]
(2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:
a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;
b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;
c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;”
14 A 2016/679 rendelet 94. cikkének (1) bekezdése szerint:
„A 95/46/EK irányelv 2018. május 25‑i hatállyal hatályát veszti.”
15 A 2016/679 rendeletet a 99. cikkének (2) bekezdése értelmében 2018. május 25‑től kell alkalmazni.
A román jog
16 A legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (a személyes adatok kezelése vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 677/2001. sz. törvény, a Monitorul Oficial al României 2001. december 12‑i 790. számának I. része) rendelkezik a 95/46 irányelv rendelkezéseinek a nemzeti jogba történő átültetéséről.
17 E törvény 5. cikkének (1) bekezdése a következőképpen rendelkezik:
„(1) Személyes adatok, a 7. cikk (1) bekezdésében, valamint a 8. és 10. cikkben említett kategóriákba tartozó adatok kivételével, csak akkor kezelhetők, ha az érintett személy e kezeléshez kifejezett és egyértelmű hozzájárulását adta.
[…]”
18 Az említett törvény 8. cikke szerint:
„(1) A személyazonosító szám és általában a személyazonosítást szolgáló más személyes adatok kizárólag akkor kezelhetők, ha
a) az érintett ahhoz kifejezett hozzájárulását adta, vagy
b) az adatkezelést jogszabály kifejezetten előírja.
(2) A felügyelő hatóság más eseteket is meghatározhat, amelyekben lehetséges az (1) bekezdésben említett adatok kezelése, feltéve hogy megfelelő biztosítékokat nyújtanak az érintett személyek jogai tiszteletben tartásának biztosítása érdekében.”
19 A 677/2001. sz. törvény 32. cikke a következőképpen fogalmaz:
„Amennyiben az adatkezelő vagy az általa megbízott személy a személyes adatokat a 4–10. cikkben foglalt rendelkezések megsértésével vagy a 12–15. cikkben, illetve a 17. cikkben biztosított jogok kellő figyelembevétele nélkül kezeli, szabálysértést vagy – bizonyos feltételek teljesülése esetén – bűncselekményt követ el, és [1000] RON‑tól [25 000] RON‑ig terjedő pénzbüntetéssel büntethető.”
Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések
20 Az Orange România távközlési szolgáltatásokat nyújt a román piacon.
21 2018. március 28‑i határozatával az ANSPDCP bírsággal sújtotta az Orange Româniát amiatt, hogy az ügyfelei személyazonosító okmányainak másolatát tárolta, anélkül hogy bizonyította volna, hogy ez utóbbiak érvényes hozzájárulás adtak volna a tároláshoz, továbbá kötelezte az Orange Româniát e másolatok megsemmisítésére.
22 E határozatban az ANSPDCP megállapította, hogy a 2018. március 1‑je és március 26‑a közötti időszakban az Orange România írásban kötött mobiltávközlési szolgáltatások nyújtására vonatkozó szerződéseket természetes személyekkel, és hogy e személyek személyazonosító okmányainak másolatát mellékelték e szerződésekhez. Az ANSPDCP szerint az Orange România nem bizonyította, hogy ügyfelei – akiknek szerződéseihez mellékelték a személyazonosító igazolványuk másolatait – érvényes hozzájárulásukat adták volna a személyazonosító okmányaik másolatainak gyűjtése és tárolása tekintetében.
23 A szóban forgó szerződések releváns feltételei a következőképpen szólnak:
„– Az ügyfél kijelenti, hogy:
(i) a szerződés megkötése előtt […] tájékoztatták a választott díjszabásról, az irányadó díjakról, a szerződés minimális időtartamáról, a szerződés megszűnésének feltételeiről, valamint a szolgáltatások igénybevételének és felhasználásának feltételeiről, ezen belül a szolgáltatások lefedettségi területéről, […];
(ii) az Orange România az ügyfél számára megadott minden olyan tájékoztatást, amely szükséges ahhoz, hogy az utóbbi a teljes szerződési dokumentációt – vagyis az ÁSZF‑et, valamint a díjszabásról és a szolgáltatásokról tájékoztató dokumentumokat – magában foglaló szerződés megkötéséhez és kifejezett elfogadásához érvényes, egyértelmű, önkéntes és kifejezett hozzájárulását adja;
(iii) tájékoztatták és hozzájárulását fejezte ki az alábbiakkal kapcsolatban:
– a személyes adatok kezelése az Orange szolgáltatásainak igénybevételére vonatkozó általános feltételek 1.15. cikkében előírt célokból;
– a személyes adatokat tartalmazó személyazonosító okmányai másolatainak [az Orange általi] tárolása;
– hozzájárulás a személyes adatok (telefonszám, e‑mail‑cím) direkt marketing céljából történő kezeléséhez;
– hozzájárulás a személyes adatok (telefonszám, e‑mail‑cím) piackutatások végzése céljából történő kezeléséhez;
– elolvasta és kifejezett hozzájárulását adja az egészségi állapottal kapcsolatos személyes adatokat tartalmazó okmányok másolatainak tárolásához;
– az Orange szolgáltatásainak igénybevételére vonatkozó általános feltételek 1.15. cikkének (10) bekezdésében említett adatokat nem használják fel az előfizetőkkel és az előfizetői nyilvántartásokkal kapcsolatos információs szolgáltatások keretében.”
24 Az Orange România keresetet terjesztett elő a 2018. március 28‑i határozattal szemben a Tribunalul Bucureştin (bukaresti törvényszék, Románia).
25 A kérdést előterjesztő bíróság megállapításai szerint egyrészt vannak olyan szerződések, amelyekben a személyes adatokat tartalmazó okiratok másolatainak azonosítás céljából történő tárolására vonatkozó feltételre vonatkozó négyzetet bejelölték, másrészt vannak olyan szerződések is, amelyekben ez a négyzet nincs bejelölve. Ez a bíróság kifejti, hogy az Orange România az általános szerződési feltételeiben foglaltak ellenére nem tagadta meg az előfizetői szerződések megkötését azon ügyfelek esetében, akik nem járultak hozzá a személyazonosító okmány másolatának tárolásához. Az említett bíróság megállapítja továbbá, hogy az Orange România „belső szabályzata” szerint e megtagadó nyilatkozatot külön formanyomtatványon kell megtenni, amelyet ezen ügyfelek a szerződés megkötése előtt aláírnak.
26 A kérdést előterjesztő bíróság arra keresi a választ, hogy ilyen körülmények között úgy lehet‑e tekinteni, hogy az érintett ügyfelek érvényesen hozzájárultak a személyazonosító okmányuk gyűjtéséhez, valamint ahhoz, hogy ezen okmányok másolatait mellékeljék a szerződésekhez. Ezenkívül ez a bíróság arra keresi a választ, hogy a szerződés aláírása, amelyben szerepel a személyes adatokat tartalmazó személyazonosító okmányok másolatainak tárolására vonatkozó feltétel, lehetővé teszi‑e az ilyen hozzájárulás fennállásának bizonyítását.
27 E körülmények között a Tribunalul București (bukaresti törvényszék) felfüggesztette az eljárást, és előzetes döntéshozatal céljából a következő kérdést terjesztette a Bíróság elé:
„1) A 95/46 irányelv [2.] cikkének h) pontja értelmében mely feltételeknek kell teljesülnie ahhoz, hogy az érintett akaratának kinyilvánítása konkrétnak és megfelelő tájékoztatáson alapulónak minősüljön?
2) A [95/46 irányelv] 2. cikkének h) pontja értelmében mely feltételeknek kell teljesülnie ahhoz, hogy az érintett akaratának kinyilvánítása önkéntesen adottnak minősüljön?”
Az előzetes döntéshozatalra előterjesztett kérdésekről
28 Előzetesen meg kell vizsgálni a 95/46 irányelvnek és a 2016/679 rendeletnek az alapügyben szereplő tényállásra való alkalmazhatóságát.
29 2018. május 25‑i hatállyal a 2016/679 rendelet – a 94. cikkének (1) bekezdése és 99. cikkének (2) bekezdése értelmében – hatályon kívül helyezte a 95/46 irányelvet, és annak helyébe lépett.
30 Következésképpen, mivel az ANSPDCP alapügyben szóban forgó határozatát 2018. március 28‑án, tehát 2018. május 25. előtt fogadták el, a kérdést előterjesztő bíróság helyesen véli úgy, hogy az időbeli hatálya folytán a 95/46 irányelv alkalmazandó az alapeljárásra.
31 Mindemellett a Bírósághoz benyújtott iratokból az is kitűnik, hogy az ANSPDCP nemcsak bírságot szabott ki az Orange Româniával szemben, hanem arra is kötelezte, hogy semmisítse meg a szóban forgó személyazonosító okmányok másolatait, és hogy az alapeljárás ez utóbbi meghagyásra is vonatkozik. Márpedig, mivel ezen iratok egyike sem utal arra, hogy az említett meghagyást 2018. május 25. előtt teljesítették volna, nem kizárt, hogy a jelen ügyben e meghagyás vonatkozásában, időbeli hatálya folytán a 2016/679 rendeletet kell alkalmazni (lásd ebben az értelemben: 2019. október 1‑jei Planet49 ítélet, C‑673/17, EU:C:2019:801, 41. pont).
32 E körülmények között, annak érdekében, hogy a kérdést előterjesztő bíróság által feltett kérdésekre a Bíróság hasznos választ adhasson, kérdések megválaszolásához mind a 95/46 irányelvet, mind pedig a 2016/679 rendeletet figyelembe kell venni (lásd ebben az értelemben: 2019. október 1‑jei Planet49 ítélet, C‑673/17, EU:C:2019:801, 43. pont).
33 Előzetes döntéshozatalra előterjesztett két kérdésével, amelyeket együttesen célszerű vizsgálni, a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy a 95/46 irányelv 2. cikkének h) pontját és 7. cikkének a) pontját, valamint a 2016/679 rendelet 4. cikkének 11. pontját és 6. cikke (1) bekezdésének a) pontját úgy kell‑e értelmezni, hogy a távközlési szolgáltatások nyújtására irányuló szerződés, amely olyan feltételt tartalmaz, amely szerint az érintett személyt a személyes adatokat tartalmazó személyazonosító okmányai másolatainak gyűjtéséről, valamint tárolásáról tájékoztatták, és ahhoz hozzájárult, alkalmas lehet annak bizonyítására, hogy ez a személy e rendelkezések értelmében érvényesen hozzájárulást adott ehhez a gyűjtéshez és ehhez a tároláshoz.
34 E tekintetben emlékeztetni kell arra, hogy a 95/46 irányelv 7. cikke és a 2016/679 rendelet 6. cikke kimerítően felsorolja azokat az eseteket, amikor a személyes adatok kezelése jogszerűnek tekinthető (a 95/46 irányelv 7. cikkét illetően lásd: 2016. október 19‑i Breyer ítélet, C‑582/14, EU:C:2016:779, 57. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2019. október 1‑jei Planet49 ítélet, C‑673/17, EU:C:2019:801, 53. pont). Így különösen ezen irányelv 7. cikkének a) pontja és az említett rendelet 6. cikke (1) bekezdésének a) pontja előírja, hogy az érintett hozzájárulása az ilyen adatkezelést jogszerűvé teheti.
35 Ami az ilyen hozzájárulásra vonatkozó követelményeket illeti, az említett irányelv 7. cikkének a) pontja szerint szükséges, hogy az érintett „ahhoz egyértelmű hozzájárulását adta”, míg a 95/46 irányelv 2. cikkének h) pontja úgy határozza meg a „hozzájárulás” fogalmát, hogy az „az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok kezeléséhez”. Mivel e rendelkezések szerint az érintettnek az hozzájárulásának „egyértelmű” megadása céljából „ki kell nyilvánítania a kívánságát”, kizárólag az e személynek a hozzájárulása kinyilvánítása érdekében tanúsított aktív magatartását lehet figyelembe venni (lásd ebben az értelemben: 2019. október 1‑jei Planet49 ítélet, C‑673/17, EU:C:2019:801, 52 és 54.. pont).
36 Ugyanezt a követelményt kell alkalmazni a 2016/679 rendelet keretében is. E rendelet 4. cikke 11. pontjának szövege ugyanis, amely meghatározza, hogy többek között a rendelet 6. cikke (1) bekezdésének a) pontja alkalmazásában mi minősül az „érintett hozzájárulásának”, még szigorúbbnak tűnik, mint a 95/46 irányelv 2. cikke h) pontjának szövege, amennyiben az az érintett személy akaratának „önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű” kinyilvánítását követeli meg, amely nyilatkozat, vagy „félreérthetetlenül kifejező cselekedet” útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. A 2016/679 rendelet tehát jelenleg kifejezetten rendelkezik az aktív hozzájárulásról (lásd ebben az értelemben: 2019. október 1‑jei Planet49 ítélet, C‑673/17, EU:C:2019:801, 61–63. pont).
37 E tekintetben e rendelet (32) preambulumbekezdése pontosítja, hogy bár a hozzájárulást többek között valamely internetes honlap megtekintése során egy négyzet bejelölésével is ki lehet fejezni, kifejezetten kizárja, hogy hozzájárulásnak minősüljön a „hallgatás, az előre bejelölt négyzet vagy a nem cselekvés”. Amint azt a Bíróság már megállapította, ilyen esetben gyakorlatilag lehetetlennek tűnik objektív módon meghatározni, hogy valamely internetes oldal felhasználója ténylegesen hozzájárult‑e személyes adatai kezeléséhez azáltal, hogy valamely előre bejelölt négyzet jelölését nem törölte, és mindenesetre annak a megállapítása is, hogy e hozzájárulást megfelelő információk birtokában adta‑e meg. Nem zárható ki ugyanis, hogy az említett felhasználó nem olvasta az előre bejelölt négyzetet kísérő információt, sőt, lehet, hogy észre sem vette ezt a négyzetet, és úgy folytatta a böngészést az általa látogatott internetes oldalon (lásd ebben az értelemben: 2019. október 1‑jei Planet49 ítélet, C‑673/17, EU:C:2019:801, 55. és 57. pont).
38 Ezenkívül a 95/46 irányelv 2. cikkének h) pontja és a 2016/679 rendelet 4. cikkének 11. pontja „kifejezett” akaratnyilvánítást követel meg abban az értelemben, hogy pontosan az érintett adatkezelésre kell vonatkoznia, és nem elég, hogy az valamely eltérő tárgyú akaratnyilvánításból kikövetkeztethető (lásd a 95/46 irányelv 2. cikkének h) pontját illetően: 2019. október 1‑jei Planet49 ítélet, C‑673/17, EU:C:2019:801, 58. pont).
39 E tekintetben e rendelet 7. cikke (2) bekezdésének első mondata pontosítja, hogy ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni. Így különösen ez utóbbi rendelkezésből – az említett rendelet (42) preambulumbekezdésével összefüggésben értelmezve – az tűnik ki, hogy az ilyen nyilatkozatot érthető és könnyen hozzáférhető formában kell rendelkezésre bocsátani, nyelvezetének pedig világosnak és egyszerűnek kell lennie, különösen ha a személyes adatok kezelője által előre megszövegezett hozzájárulási nyilatkozatról van szó.
40 A 95/46 irányelv 2. cikkének h) pontjából és a 2016/679 rendelet 4. cikkének 11. pontjából eredő azon követelményt illetően, amely szerint a hozzájárulásnak „megfelelő tájékoztatáson alapulónak” kell lennie, e követelmény – az ezen irányelv (38) preambulumbekezdésével összefüggésben értelmezett 10. cikke, valamint az e rendelet (42) preambulumbekezdésével összefüggésben értelmezett 13. cikke értelmében – azt jelenti, hogy az adatkezelőnek az érintett rendelkezésére kell bocsátania az adatkezelés összes körülményére vonatkozó információt, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel, és az érintett személynek tisztában kell lennie többek között az adatkezelő kilétével, az adatkezelés időtartamával és módjaival, valamint a személyes adatok kezelésének céljával. Az ilyen tájékoztatásnak lehetővé kell tennie az említett személy számára, hogy könnyen meghatározza az általa adható hozzájárulás következményeit, és biztosítania kell, hogy e hozzájárulást az ügy teljes ismeretében adja meg (lásd analógia útján: 2019. október 1‑jei Planet49 ítélet, C‑673/17, EU:C:2019:801, 74. pont).
41 Ezenkívül, amint arra a Bizottság a Bírósághoz benyújtott észrevételeiben rámutatott, a 95/46 irányelv 10. cikke c) pontjának második francia bekezdéséből és a 2016/679 rendelet 13. cikke (2) bekezdésének b) és c) pontjából – e rendelet (42) preambulumbekezdésével összefüggésben értelmezve – az következik, hogy annak érdekében, hogy az érintett számára valódi választási szabadságot biztosítsanak, a szerződéses rendelkezések nem vezethetik félre az érintett személyt a szerződés megkötésének lehetőségét illetően, még akkor sem, ha megtagadja az adatkezeléshez való hozzájárulását. Ilyen jellegű információk hiányában e személynek a személyes adatai kezeléséhez való hozzájárulását sem önként megadottnak, sem pedig megfelelő tájékoztatáson alapján megadottnak nem lehet tekinteni.
42 Hozzá kell tenni, hogy a 95/46 irányelv 6. cikke (1) bekezdésének a) pontja és (2) bekezdése, valamint a 2016/679 rendelet 5. cikke (1) bekezdésének a) pontja értelmében a személyes adatok kezelője köteles biztosítani többek között ezen adatok kezelésének jogszerűségét, továbbá, amint azt ezen 5. cikk (2) bekezdése kifejti, képesnek kell lennie e jogszerűség bizonyítására. Ami közelebbről az érintett esetleges hozzájárulását illeti, ezen irányelv 7. cikkének a) pontja előírja, hogy az érintettnek a hozzájárulását „egyértelműen” kell megadnia, ami azt jelenti – amint azt a főtanácsnok az indítványának 56. pontjában kifejtette –, hogy az érvényes hozzájárulás fennállásával kapcsolatos bizonyítási teher az adatkezelőre hárul. E rendelet 7. cikkének (1) bekezdése jelenleg azt írja elő, hogy ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.
43 A jelen ügyben az Orange România a Bírósághoz benyújtott észrevételeiben arra hivatkozott, hogy az alapügyben szóban forgó szerződések megkötésére irányuló eljárás során az értékesítő ügynökei a szerződések megkötését megelőzően tájékoztatják az érintett ügyfeleket többek között a személyazonosító okmányuk másolatai gyűjtésének és tárolásának céljáról, valamint az e gyűjtéssel és tárolással kapcsolatban az ezen ügyfelek rendelkezésére álló választási lehetőségről, mielőtt ezen ügyfelektől megszereznék a szóbeli hozzájárulást e gyűjtéshez és tároláshoz. Az Orange România szerint a személyazonosító okmányok másolatainak tárolására vonatkozó négyzetet így kizárólag az érintettek által a szerződés megkötésekor erre vonatkozóan önkéntesen kinyilvánított hozzájárulás alapján jelölték meg.
44 E körülmények között az előzetes döntéshozatal iránti kérelem lényegében annak tisztázására irányul, hogy a személyes adatok ilyen kezeléséhez így hivatkozott hozzájárulás bizonyítható‑e az e szerződésekben foglalt szerződési feltételek alapján.
45 E tekintetben az e kérelemben szereplő információkból kitűnik, hogy noha az említett szerződések olyan feltételt tartalmaznak, amely szerint az érintett ügyfeleket tájékoztatták a személyazonosító okmányuk másolatának tárolásáról, és az ügyfelek ehhez hozzájárultak, az Orange România értékesítési ügynökei az e feltételre vonatkozó négyzetet már azt megelőzően bejelölték, hogy ezek az ügyfelek az összes szerződéses feltételt, vagyis mind az említett feltételt, mind pedig a többi, az adatvédelemhez nem kapcsolódó feltételt aláírásukkal elfogadták volna. Az említett kérelemben az is szerepel, hogy az Orange România – anélkül, hogy ezt az alapügyben szóban forgó szerződések kifejtették volna – beleegyezett abba, hogy e szerződéseket olyan ügyfelekkel kösse meg, akik megtagadták a személyazonosító okmány másolatának tárolásához való hozzájárulásukat, ugyanakkor megkövetelte, hogy ebben az esetben ezen ügyfelek aláírják a megtagadó nyilatkozatukat tartalmazó külön formanyomtatványt.
46 Márpedig, mivel ezen információk szerint úgy tűnik, hogy az említett feltétellel kapcsolatos négyzetet nem maguk az érintett ügyfelek jelölték be, e négyzet bejelölésének ténye önmagában nem bizonyítja, hogy ezen ügyfelek egyértelműen kinyilvánították volna, hogy hozzájárulnak a személyazonosító okmányuk másolatának gyűjtéséhez és tárolásához. Ugyanis, amint arra a főtanácsnok az indítványának 45. pontjában rámutatott, az a körülmény, hogy az említett ügyfelek a bejelölt négyzetet tartalmazó szerződéseket aláírták, önmagában nem teszi lehetővé e hozzájárulás megtörténtének bizonyítását az azt megerősítő információk hiányában, hogy az ügyfelek e feltételt ténylegesen olvasták és elfogadták. Az e tekintetben szükséges vizsgálatokat a kérdést előterjesztő bíróságnak kell elvégeznie.
47 Egyébiránt, mivel úgy tűnik, hogy az ezen adatok kezelésére vonatkozó bejelölt feltételt nem olyan formában tüntették fel, amely azt egyértelműen megkülönbözteti a többi szerződési feltételtől, a kérdést előterjesztő bíróság feladata annak értékelése, hogy a jelen ítélet 34. pontjában szereplő megfontolásokra figyelemmel a több szerződési feltételre vonatkozó szerződések aláírása tekinthető‑e úgy, mint amely a 95/46 irányelv 2. cikkének h) pontja és a 2016/679 rendelet 4. cikkének 11. pontja értelmében vett kifejezett hozzájárulást jelent a személyes adatok gyűjtéséhez és tárolásához.
48 Ráadásul, mivel az alapügyben szóban forgó szerződési feltétel arra szorítkozik, hogy minden további megjegyzés nélkül megjelölje a személyazonosító okmányok másolatai tárolásának célját, a kérdést előterjesztő bíróság feladata annak vizsgálata, hogy az érintettek tájékoztatása megfelel‑e a 95/46 irányelv 10. cikkében és a 2016/679 rendelet 13. cikkében foglalt követelményeknek, amelyek rögzítik az információkat, amelyeket az érintettre vonatkozó személyes adatokat gyűjtő adatkezelőnek közölnie kell azon személlyel, akitől a rá vonatkozó adatokat gyűjti annak érdekében, hogy vele szemben tisztességes adatkezelést biztosítson.
49 Szintén e bíróság feladata többek között annak vizsgálata, hogy az alapügyben szóban forgó szerződéses rendelkezések alkalmasak voltak‑e az érintett személy azzal kapcsolatos megtévesztésére, hogy a szerződés megkötésére az adatkezeléshez való hozzájárulás megtagadása ellenére is lehetőség van‑e, hiszen erre nem vonatkoznak pontos rendelkezések, ami kétségessé teszi az említett aláírással kifejezett hozzájárulás tájékoztatáson alapuló jellegét.
50 Egyébiránt, amint arra a főtanácsnok az indítványának 60. pontjában rámutatott, úgy tűnik, hogy e hozzájárulás önkéntes jellegét kétségessé teszi az a körülmény, hogy annak megtagadása esetén az Orange România a szerződéskötéshez vezető rendes eljárástól eltérve megkövetelte, hogy az érintett ügyfél írásban nyilatkozzon arról, hogy nem járul hozzá a személyazonosító okmánya másolatának gyűjtéséhez vagy tárolásához. Ugyanis, amint azt a Bizottság a tárgyaláson megjegyezte, az ilyen további követelmény alkalmas arra, hogy jogellenesen befolyásolja az e gyűjtés és tárolás megtiltására vonatkozó döntési szabadságot, aminek vizsgálata szintén a kérdést előterjesztő bíróság feladata.
51 Mindenesetre, amint az a jelen ítélet 35., 36. és 42. pontjában szereplő megfontolásokból következik, adatkezelőként az Orange România feladata annak bizonyítása, hogy ügyfelei aktív magatartással kifejezték a személyes adataik kezeléséhez való hozzájárulásukat, ezért e társaság nem követelheti meg, hogy aktívan nyilvánítsák ki a megtagadásukat.
52 A fenti megfontolásokra tekintettel az előterjesztett kérdésekre azt a választ kell adni, hogy a 95/46 irányelv 2. cikkének h) pontját és 7. cikkének a) pontját, valamint a 2016/679 rendelet 4. cikkének 11. pontját és 6. cikke (1) bekezdésének a) pontját úgy kell értelmezni, hogy az adatkezelő feladata annak bizonyítása, hogy az érintett személy a személyes adatai kezeléséhez való hozzájárulását aktív magatartással fejezte ki, és az adatkezelés összes körülményére vonatkozó információt érthető, könnyen hozzáférhető, világos és egyszerű nyelvezetű formában előzetesen megkapta, ami lehetővé tette számára, hogy könnyen meghatározza e hozzájárulás következményeit úgy, hogy e hozzájárulásnak az ügy teljes ismeretében történő megadása biztosított legyen. A távközlési szolgáltatások nyújtására irányuló szerződés, amely olyan feltételt tartalmaz, amely szerint az érintett személyt a személyes adatokat tartalmazó személyazonosító okmányai másolatainak gyűjtéséről és tárolásáról tájékoztatták, és ahhoz hozzájárult, nem alkalmas annak bizonyítására, hogy ez a személy e rendelkezések értelmében érvényesen hozzájárulást adott ehhez a gyűjtéshez, valamint ehhez a tároláshoz, ha
– az adatkezelő a szerződés aláírása előtt bejelölte az e feltételre vonatkozó négyzetet, vagy ha
– az említett szerződés rendelkezései alkalmasak az érintett személy azzal kapcsolatos megtévesztésére, hogy a kérdéses szerződés megkötésére az adatkezeléshez való hozzájárulás megtagadása ellenére is lehetőség van‑e, vagy ha
– ez az adatkezelő jogellenesen befolyásolja e gyűjtés és e tárolás megtiltására vonatkozó döntési szabadságot annak megkövetelésével, hogy az érintett személy a hozzájárulás megtagadása céljából az e megtagadást tartalmazó kiegészítő formanyomtatványt töltsön ki.
A költségekről
53 Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.
A fenti indokok alapján a Bíróság (második tanács) a következőképpen határozott:
A személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv 2. cikkének h) pontját és 7. cikkének a) pontját, valamint a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 4. cikkének 11. pontját és 6. cikke (1) bekezdésének a) pontját úgy kell értelmezni, hogy az adatkezelő feladata annak bizonyítása, hogy az érintett személy a személyes adatai kezeléséhez való hozzájárulását aktív magatartással fejezte ki, és az adatkezelés összes körülményére vonatkozó információt érthető, könnyen hozzáférhető, világos és egyszerű nyelvezetű formában előzetesen megkapta, ami lehetővé tette számára, hogy könnyen meghatározza e hozzájárulás következményeit úgy, hogy e hozzájárulásnak az ügy teljes ismeretében történő megadása biztosított legyen. A távközlési szolgáltatások nyújtására irányuló szerződés, amely olyan feltételt tartalmaz, amely szerint az érintett személyt a személyes adatokat tartalmazó személyazonosító okmányai másolatainak gyűjtéséről és tárolásáról tájékoztatták, és ahhoz hozzájárult, nem alkalmas annak bizonyítására, hogy ez a személy e rendelkezések értelmében érvényesen hozzájárulást adott ehhez a gyűjtéshez, valamint ehhez a tároláshoz, ha
– az adatkezelő a szerződés aláírása előtt bejelölte az e feltételre vonatkozó négyzetet, vagy ha
– az említett szerződés rendelkezései alkalmasak az érintett személy azzal kapcsolatos megtévesztésére, hogy a kérdéses szerződés megkötésére az adatkezeléshez való hozzájárulás megtagadása ellenére is lehetőség van‑e, vagy ha
– ez az adatkezelő jogellenesen befolyásolja e gyűjtés és e tárolás megtiltására vonatkozó döntési szabadságot annak megkövetelésével, hogy az érintett személy a hozzájárulás megtagadása céljából az e megtagadást tartalmazó kiegészítő formanyomtatványt töltsön ki.
Aláírások