ARREST VAN HET HOF (Tweede kamer)
11 november 2020 (*)
„Prejudiciële verwijzing – Richtlijn 95/46/EG – Artikel 2, onder h), en artikel 7, onder a) – Verordening (EU) 2016/679 – Artikel 4, punt 11, en artikel 6, lid 1, onder a) – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer – Verzamelen en bewaren van kopieën van identiteitsbewijzen door een aanbieder van mobieletelecommunicatiediensten – Begrip ‚toestemming’ van de betrokkene – Vrije, specifieke en op informatie berustende wilsuiting – Verlenen van toestemming door een vakje aan te vinken – Ondertekening van de overeenkomst door de betrokkene – Bewijslast”
In zaak C‑61/19,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Tribunal Bucureşti (rechter in eerste aanleg Boekarest, Roemenië) bij beslissing van 14 november 2018, ingekomen bij het Hof op 29 januari 2019, in de procedure
Orange România SA
tegen
Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),
wijst
HET HOF (Tweede kamer),
samengesteld als volgt: A. Arabadjiev, kamerpresident, T. von Danwitz (rapporteur) en P. G. Xuereb, rechters,
advocaat-generaal: M. Szpunar,
griffier: D. Dittert, hoofd van een administratieve eenheid,
gezien de stukken en na de terechtzitting op 11 december 2019,
gelet op de opmerkingen van:
– Orange România SA, vertegenwoordigd door D.-D Dascălu, A.‑M. Iordache en I. Buga, avocaţi,
– de Autoritate Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), vertegenwoordigd door A. G. Opre en I. Ilie als gemachtigden,
– de Roemeense regering, aanvankelijk vertegenwoordigd door E. Gane, O.‑C. Ichim, L. Liţu en C.‑R. Canţăr, vervolgens door E. Gane, O.‑C. Ichim, L. Liţu als gemachtigden,
– de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door M. Russo, avvocato dello Stato,
– de Oostenrijkse regering, aanvankelijk vertegenwoordigd door J. Schmoll en G. Hesse, vervolgens door J. Schmoll als gemachtigden,
– de Portugese regering, vertegenwoordigd door L. Inez Fernandes, P. Barros da Costa, L. Medeiros en I. Oliveira als gemachtigden,
– de Europese Commissie, vertegenwoordigd door H. Kranenborg, D. Nardi en L. Nicolae als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 4 maart 2020,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 2, onder h), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), en van artikel 4, punt 11, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1).
2 Dit verzoek is ingediend in het kader van een geding tussen Orange România SA en de Autoritate Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (nationale toezichthoudende autoriteit voor de verwerking van persoonsgegevens, Roemenië) inzake een beroep tot nietigverklaring van een besluit waarbij de ANSPDCP Orange România een geldboete heeft opgelegd wegens het verzamelen en bewaren van kopieën van de identiteitsbewijzen van haar klanten zonder geldige toestemming van die klanten, en haar heeft gelast deze kopieën te vernietigen.
Toepasselijke bepalingen
Unierecht
Richtlijn 95/46
3 In overweging 38 van richtlijn 95/46 staat te lezen dat „eerlijke verwerking van gegevens veronderstelt dat de betrokkenen van het bestaan van de verwerkingen op de hoogte kunnen zijn en, wanneer van hen gegevens worden verkregen, daadwerkelijk en volledig worden ingelicht over de omstandigheden waaronder deze gegevens worden verkregen”.
4 Artikel 2, onder h), van die richtlijn bepaalt dat daarin wordt verstaan onder:
„‚toestemming van de betrokkene’: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt.”
5 Artikel 6 van deze richtlijn bepaalt:
„1. De lidstaten bepalen dat de persoonsgegevens:
a) eerlijk en rechtmatig moeten worden verwerkt;
[…]
2. Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.”
6 Artikel 7, onder a), van voornoemde richtlijn luidt:
„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:
a) de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend, […]”
7 Artikel 10 van die richtlijn is aldus verwoord:
„De lidstaten bepalen dat de voor de verwerking verantwoordelijke of diens vertegenwoordiger aan de betrokkene, bij wie de betrokkene zelf betreffende gegevens worden verkregen, ten minste de hierna volgende informatie moet verstrekken, behalve indien de betrokkene daarvan reeds op de hoogte is:
a) de identiteit van de voor verwerking verantwoordelijke en, in voorkomend geval, van diens vertegenwoordiger,
b) de doeleinden van de verwerking waarvoor de gegevens zijn bestemd,
c) verdere informatie zoals
– de ontvangers of de categorieën ontvangers van de gegevens;
– antwoord op de vraag of men al dan niet verplicht is om te antwoorden en de eventuele gevolgen van niet-beantwoording,
– het bestaan van een recht op toegang tot zijn eigen persoonsgegevens en op rectificatie van deze gegevens,
voor zover die, met inachtneming van de specifieke omstandigheden waaronder de verdere informatie verkregen wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.”
Verordening 2016/679
8 De overwegingen 32 en 42 van verordening nr. 2016/679 luiden als volgt:
„(32) Toestemming dient te worden gegeven door middel van een duidelijke actieve handeling, bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt. Hiertoe zou kunnen behoren het klikken op een vakje bij een bezoek aan een internetwebsite, het selecteren van technische instellingen voor diensten van de informatiemaatschappij of een andere verklaring of een andere handeling waaruit in dit verband duidelijk blijkt dat de betrokkene instemt met de voorgestelde verwerking van zijn persoonsgegevens. Stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit mag derhalve niet als toestemming gelden. De toestemming moet gelden voor alle verwerkingsactiviteiten die hetzelfde doel of dezelfde doeleinden dienen. Indien de verwerking meerdere doeleinden heeft, moet toestemming voor elk daarvan worden verleend. Indien de betrokkene zijn toestemming moet geven na een verzoek via elektronische middelen, dient dat verzoek duidelijk en beknopt te zijn en niet onnodig storend voor het gebruik van de dienst in kwestie.
[…]
(42) Indien de verwerking plaatsvindt op grond van toestemming van de betrokkene, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking. Met name in de context van een schriftelijke verklaring over een andere zaak dient te worden gewaarborgd dat de betrokkene zich ervan bewust is dat hij toestemming geeft en hoever deze toestemming reikt. In overeenstemming met richtlijn 93/13/EEG van de Raad [van 5 april 1993 betreffende oneerlijke bedingen in consumentenovereenkomsten (PB 1993, L 95, blz. 29)] stelt de verwerkingsverantwoordelijke vooraf een verklaring van toestemming op in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal; deze verklaring mag geen oneerlijke bedingen bevatten. Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene ten minste bekend zijn met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens. Toestemming mag niet worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.”
9 Artikel 4, punt 11, van die verordening luidt:
„‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt;”.
10 Artikel 5 van deze verordening bepaalt:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
[…]
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
11 Artikel 6, lid 1, onder a), van verordening 2016/679 luidt:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
[…]”
12 Artikel 7, leden 1, 2 en 4, van verordening 2016/679 is aldus verwoord:
„1. Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.
2. Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. Wanneer een gedeelte van een dergelijke verklaring een inbreuk vormt op deze verordening, is dit gedeelte niet bindend.
[…]
4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.”
13 Artikel 13, leden 1 en 2, van deze verordening bepaalt:
„1. Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
[…]
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor de verwerking;
[…]
2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:
a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn;
b) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;
c) wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
[…]”
14 Artikel 94, lid 1, van verordening nr. 2016/679 luidt als volgt:
„Richtlijn [95/46] wordt met ingang van 25 mei 2018 ingetrokken.”
15 Krachtens artikel 99, lid 2, van verordening 2016/679 is deze verordening met ingang van 25 mei 2018 van toepassing.
Roemeens recht
16 Lege nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (wet nr. 677/2001 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens) (Monitorul Oficial al României, deel I, nr. 790 van 12 december 2001) strekt tot omzetting van de bepalingen van richtlijn 95/46 in nationale wetgeving.
17 Artikel 5, lid 1, van die wet bepaalt:
„1) Verwerking van persoonsgegevens kan alleen plaatsvinden als de betrokken persoon zijn uitdrukkelijke en ondubbelzinnige toestemming voor deze verwerking heeft gegeven, tenzij het gaat om gegevens die behoren tot de in artikel 7, lid 1, en de artikelen 8 en 10 genoemde categorieën.
[…]”
18 Artikel 8 van deze wet luidt:
„1) De verwerking van het persoonlijke identificatienummer of van andere persoonsgegevens die in het algemeen ter identificatie dienen, mag slechts geschieden indien:
a) de betrokkene zijn uitdrukkelijke toestemming daarvoor heeft verleend, of
b) een wettelijke bepaling uitdrukkelijk in de verwerking voorziet.
2) De toezichthoudende autoriteit kan andere gevallen vaststellen waarin verwerking van de in lid 1 bedoelde gegevens kan geschieden, mits de eerbiediging van de rechten van de betrokken personen adequaat wordt gewaarborgd.”
19 Artikel 32 van wet nr. 677/2001 is aldus verwoord:
„De verwerking van persoonsgegevens door een voor de verwerking verantwoordelijke of door een door hem gemachtigde persoon, die verricht wordt in strijd met de artikelen 4 tot en met 10 of zonder inachtneming van de in de artikelen 12 tot en met 15 en artikel 17 neergelegde rechten, vormt een bestuursrechtelijke overtreding, voor zover zij niet heeft plaatsgevonden in omstandigheden die een strafbaar feit opleveren, en wordt bestraft met een geldboete van [1 000 RON] tot [25 000 RON].”
Hoofdgeding en prejudiciële vragen
20 Orange România levert mobieletelecommunicatiediensten op de Roemeense markt.
21 Bij besluit van 28 maart 2018 heeft de ANSPDCP Orange România een geldboete opgelegd omdat zij kopieën van de identiteitsbewijzen van haar klanten had bewaard terwijl zij niet kon aantonen dat deze klanten op geldige wijze hun toestemming hadden gegeven, en haar gelast die kopieën te vernietigen.
22 In dat besluit heeft de ANSPDCP opgemerkt dat Orange România in de periode van 1 tot en met 26 maart 2018 schriftelijke overeenkomsten voor het aanbieden van mobieletelecommunicatiediensten had gesloten met natuurlijke personen en dat bij die overeenkomsten kopieën van de identiteitsbewijzen van deze personen waren gevoegd. Volgens de ANSPDCP heeft Orange România niet bewezen dat haar klanten, bij wier overeenkomsten kopieën van hun identiteitsbewijs waren gevoegd, op geldige wijze hun toestemming hadden gegeven voor het verzamelen en bewaren van die kopieën.
23 De relevante bedingen van de betrokken overeenkomsten luidden als volgt:
„– De klant verklaart dat:
(i) hij vóór de sluiting van de overeenkomst is geïnformeerd over het gekozen tariefplan, de toepasselijke tarieven, de minimumduur van de overeenkomst, de voorwaarden voor beëindiging van de overeenkomst en de gebruikmaking van de diensten, met inbegrip van het dekkingsgebied van de diensten, […];
(ii) Orange România de klant alle informatie heeft verstrekt die hij nodig heeft om geldig, uitdrukkelijk, vrijelijk en specifiek in te kunnen stemmen met het sluiten van de overeenkomst en deze overeenkomst uitdrukkelijk te aanvaarden, met inbegrip van alle contractuele documentatie, de algemene voorwaarden en de toelichting inzake tarieven en diensten;
(iii) hij is geïnformeerd over en zijn toestemming heeft gegeven voor:
– de verwerking van de persoonsgegevens voor de in artikel 1.15 van de algemene voorwaarden genoemde doeleinden,
– het feit dat kopieën van de documenten met persoonsgegevens voor identificatiedoeleinden zullen worden bewaard;
– de verwerking van persoonsgegevens (telefoonnummer en e-mail) voor direct-marketingdoeleinden;
– de verwerking van persoonsgegevens (telefoonnummer en e-mail) ten behoeve van marktonderzoeken;
– Ik heb ervan kennis genomen en stem er uitdrukkelijk mee in dat kopieën van documenten met persoonsgegevens betreffende de gezondheid zullen worden bewaard;
– De in artikel 1.15, punt 10, van de algemene voorwaarden vermelde gegevens worden niet opgenomen in de abonneegegevens, noch in de telefoongids.”
24 Orange România heeft tegen het besluit van 28 maart 2018 beroep ingesteld bij de Tribunal Bucureşti (rechter in eerste aanleg Boekarest, Roemenië).
25 Volgens de vaststellingen van de verwijzende rechter is sprake van zowel overeenkomsten waarin het vakje voor het beding betreffende het bewaren van kopieën van documenten met persoonsgegevens voor identificatiedoeleinden is aangevinkt, als overeenkomsten waarin dat vakje niet is aangevinkt. Deze rechter preciseert dat Orange România, ondanks de aanwijzingen in haar algemene voorwaarden, niet heeft geweigerd om abonnementsovereenkomsten te sluiten met klanten die geen toestemming geven voor het bewaren van de kopie van hun identiteitsbewijs. Voornoemde rechter merkt verder op dat de „interne verkoopprocedures” van Orange România bepaalden dat deze weigering moest worden vastgelegd op een speciaal formulier, dat deze klanten vóór de sluiting van de overeenkomst dienden te ondertekenen.
26 De verwijzende rechter vraagt zich af of in die omstandigheden de betrokken klanten kunnen worden geacht op geldige wijze ermee te hebben ingestemd dat hun identiteitsbewijs zou worden ingezameld en dat een kopie daarvan bij de overeenkomsten zouden worden gevoegd. Voorts vraagt hij zich af of de ondertekening van een overeenkomst die het beding betreffende het bewaren van kopieën van documenten met persoonsgegevens voor identificatiedoeleinden bevat, het bestaan van een dergelijke toestemming kan aantonen.
27 Tegen deze achtergrond heeft de Tribunal Bucureşti de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Aan welke voorwaarden moet volgens artikel 2, onder h), van richtlijn 95/46 worden voldaan om een wilsuiting te kunnen aanmerken als een specifieke en op informatie berustende wilsuiting?
2) Aan welke voorwaarden moet volgens artikel 2, onder h), van richtlijn 95/46 worden voldaan om een wilsuiting te kunnen aanmerken als een vrije wilsuiting?”
Beantwoording van de prejudiciële vragen
28 Om te beginnen moet worden vastgesteld of richtlijn 95/46 en verordening 2016/679 toepasselijk zijn op de feiten in het hoofdgeding.
29 Met ingang van 25 mei 2018 is richtlijn 95/46 ingetrokken en vervangen door verordening 2016/679, krachtens artikel 94, lid 1, en artikel 99, lid 2, van die verordening.
30 Aangezien het in het hoofdgeding aan de orde zijnde besluit van de ANSPDCP is vastgesteld op 28 maart 2018 en dus vóór 25 mei 2018, is de verwijzende rechter terecht van oordeel dat richtlijn 95/46 ratione temporis van toepassing is op het hoofdgeding.
31 Uit het aan het Hof overgelegde dossier blijkt ook dat de ANSPDCP met haar besluit Orange România niet alleen een geldboete heeft opgelegd maar ook heeft gelast de kopieën van de betrokken identiteitsbewijzen te vernietigen, en dat het hoofdgeding ook betrekking heeft op dit laatste bevel. Aangezien niets in dit dossier erop wijst dat vóór 25 mei 2018 gevolg is gegeven aan dit bevel, is het niet uitgesloten dat in casu verordening 2016/679 ratione temporis van toepassing is wat dat bevel betreft (zie in die zin arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 41).
32 Om het Hof in staat te stellen een bruikbaar antwoord te geven op de vragen van de verwijzende rechter, moeten deze vragen dus worden beantwoord op basis van zowel richtlijn 95/46 als verordening 2016/679 (zie naar analogie arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 43).
33 Met zijn twee prejudiciële vragen, die gezamenlijk dienen te worden onderzocht, wenst de verwijzende rechter in essentie te vernemen of artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46 alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679 aldus moeten worden uitgelegd dat een overeenkomst inzake de verstrekking van telecommunicatiediensten die een clausule bevat volgens welke de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en bewaren van een kopie van zijn identiteitsbewijs, kan aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven – in de zin van die bepalingen – voor dat verzamelen en dat bewaren.
34 In dit verband dient in herinnering te worden gebracht dat artikel 7 van richtlijn 95/46 en artikel 6 van verordening 2016/679 een uitputtende lijst bevatten van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt (zie met betrekking tot artikel 7 van richtlijn 95/46, arresten van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 57 en aldaar aangehaalde rechtspraak, en 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 53). In het bijzonder bepalen artikel 7, onder a), van deze richtlijn en artikel 6, lid 1, onder a), van die verordening dat een dergelijke verwerking rechtmatig is indien de betrokkene zijn toestemming heeft gegeven.
35 Wat betreft de vereisten waaraan een dergelijke toestemming is onderworpen, bepaalt artikel 7, onder a), van richtlijn 95/46 dat de betrokkene „zijn ondubbelzinnige toestemming” moet hebben gegeven, en definieert artikel 2, onder h), van deze richtlijn de term „toestemming” als „elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”. Aangezien deze bepalingen bepalen dat de betrokkene een „wilsuiting” doet teneinde zijn „ondubbelzinnige” toestemming te geven, kan alleen een actieve gedraging van die persoon waarmee hij zijn toestemming kenbaar maakt in aanmerking worden genomen (zie in die zin arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punten 52 en 54).
36 Dit vereiste geldt ook in het kader van verordening 2016/679. De bewoordingen van artikel 4, punt 11, van deze verordening, dat voor onder meer artikel 6, lid 1, onder a), ervan een definitie geeft van de „toestemming van de betrokkene”, lijken immers nog strikter dan die van artikel 2, onder h), van richtlijn 95/46, aangezien voor die toestemming een „vrije, specifieke, geïnformeerde en ondubbelzinnige” wilsuiting van de betrokkene is vereist, in de vorm van een verklaring of „een ondubbelzinnige actieve handeling” die erop duidt dat hij de verwerking van hem betreffende persoonsgegevens aanvaardt. In verordening 2016/679 wordt dus uitdrukkelijk actieve toestemming voorgeschreven (zie in die zin arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punten 61‑63).
37 In dit verband preciseert overweging 32 van die verordening weliswaar dat toestemming onder meer kan worden uitgedrukt door bij het bezoeken van een website een vakje aan te klikken, maar mag volgens deze overweging „[s]tilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit” niet als toestemming gelden. Zoals het Hof reeds heeft geoordeeld, lijkt het in een dergelijk geval praktisch onmogelijk om objectief vast te stellen of de gebruiker van een website door een standaard aangevinkt vakje niet uit te vinken, inderdaad toestemming heeft gegeven om zijn persoonsgegevens te verwerken en in ieder geval of deze toestemming op informatie berust. Het kan immers niet worden uitgesloten dat deze gebruiker de informatie bij het standaard aangevinkte vakje niet heeft gelezen of dat hij dit vakje niet eens heeft opgemerkt voor hij zijn activiteiten op de bezochte website voortzette (zie in die zin arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punten 55 en 57).
38 Voorts moet een wilsuiting volgens artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679 „specifiek” zijn, in die zin dat deze precies op de verwerking van de betrokken gegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft (zie met betrekking tot artikel 2, onder h), van richtlijn 95/46, arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 58).
39 In dit verband specificeert artikel 7, lid 2, eerste volzin, van deze verordening dat, wanneer de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, het verzoek om toestemming zodanig wordt gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. In het bijzonder volgt uit deze laatste bepaling, gelezen in samenhang met overweging 42 van die verordening, dat een dergelijke verklaring in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal moet worden opgesteld, met name wanneer het gaat om een verklaring van toestemming die de voor de verwerking van persoonsgegevens verantwoordelijke vooraf opstelt.
40 Het uit artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679 voortvloeiende vereiste dat de toestemming „op informatie berust” of „geïnformeerd” moet zijn, houdt overeenkomstig artikel 10 van deze richtlijn, gelezen in het licht van overweging 38 ervan, en artikel 13 van deze verordening, gelezen in het licht van overweging 42 ervan, in dat de verwerkingsverantwoordelijke de betrokkene informatie verstrekt over alle omstandigheden waarin de verwerking van persoonsgegevens plaatsvindt, in een begrijpelijke en gemakkelijk toegankelijke vorm en geformuleerd in duidelijke en eenvoudige taal, waarbij die betrokkene met name in kennis moet worden gesteld van het soort gegevens dat zal worden verwerkt, de identiteit van de verwerkingsverantwoordelijke, hoe lang en op welke wijze deze verwerking zal plaatsvinden alsmede de specifieke doeleinden ervan. Dergelijke informatie moet de betrokkene in staat stellen om gemakkelijk de gevolgen te bepalen van de door hem eventueel te verlenen toestemming, en waarborgen dat hij deze toestemming met kennis van zaken verleent (zie naar analogie arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 74).
41 Zoals de Commissie in haar bij het Hof ingediende opmerkingen heeft aangegeven, volgt bovendien uit artikel 10, onder c), tweede streepje, van richtlijn 95/46 en uit artikel 13, lid 2, onder b) en c), van verordening 2016/679, gelezen in het licht van overweging 42 ervan, dat, om te waarborgen dat de betrokkene een echte vrije keuze heeft, de contractuele bedingen de betrokkene niet mogen misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de verwerking van zijn gegevens. Bij gebreke van dergelijke informatie kan de toestemming van die betrokkene voor de verwerking van zijn persoonsgegevens niet worden geacht vrij te zijn gegeven, noch daarnaast op informatie te hebben berust of geïnformeerd te zijn.
42 Hieraan dient te worden toegevoegd dat krachtens artikel 6, lid 1, onder a), en lid 2, van richtlijn 95/46 en artikel 5, lid 1, onder a), van verordening 2016/679 de voor de verwerking van persoonsgegevens verantwoordelijke er met name zorg voor draagt dat de verwerking van die gegevens rechtmatig is en, zoals verduidelijkt in artikel 5, lid 2, van die verordening, deze rechtmatigheid moet kunnen aantonen. Wat meer in het bijzonder de eventuele toestemming van de betrokkene betreft, bepaalt artikel 7, onder a), van die richtlijn dat de betrokkene zijn „ondubbelzinnige” toestemming moet hebben gegeven, hetgeen impliceert dat, zoals de advocaat-generaal in punt 56 van zijn conclusie heeft uiteengezet, de bewijslast voor het feit dat de betrokkene op geldige wijze toestemming heeft gegeven op de verwerkingsverantwoordelijke rust. Artikel 7, lid 1, van verordening 2016/679 bepaalt thans dat wanneer de verwerking berust op toestemming, de verwerkingsverantwoordelijke moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.
43 In casu heeft Orange România in haar bij het Hof ingediende opmerkingen aangevoerd dat haar verkopers, tijdens de procedure voor de sluiting van de in het hoofdgeding aan de orde zijnde overeenkomsten, de betrokken klanten vóór de sluiting van de overeenkomsten hebben geïnformeerd, met name over de doeleinden van het verzamelen en bewaren van kopieën van identiteitsbewijzen en over de keuze waarover die klanten met betrekking tot die verzameling en bewaring beschikken, alvorens van deze klanten mondeling toestemming te verkrijgen voor deze verzameling en bewaring. Volgens Orange România was het vakje betreffende de bewaring van kopieën van identiteitsbewijzen aldus uitsluitend aangevinkt op basis van de vrijwillige instemming daarmee van de betrokkenen bij het sluiten van de overeenkomst.
44 In die omstandigheden strekt het verzoek om een prejudiciële beslissing er in essentie toe om te verduidelijken of de aldus ingeroepen toestemming voor een dergelijke verwerking van persoonsgegevens kan worden aangetoond op basis van de bedingen in die overeenkomsten.
45 In dit verband blijkt uit de aanwijzingen in dat verzoek dat voornoemde overeenkomsten weliswaar een beding bevatten volgens hetwelk de betrokken klanten zijn geïnformeerd over en toestemming hebben gegeven voor het bewaren van een kopie van hun identiteitsbewijs voor identificatiedoeleinden, maar dat de verkopers van Orange România het vakje betreffende dat beding reeds hadden aangevinkt voordat deze klanten door hun handtekening te plaatsen alle contractuele bedingen, te weten zowel dat beding als andere bedingen die geen verband houden met gegevensbescherming, accepteerden. Voorts wordt in dat verzoek aangegeven dat, zonder dat dit in de in het hoofdgeding aan de orde zijnde overeenkomsten werd vermeld, Orange România ermee instemde om die overeenkomsten te sluiten met klanten die weigerden toestemming te geven voor het bewaren van een kopie van hun identiteitsbewijs, maar wel verlangde dat die klanten in dat geval een specifiek formulier zouden ondertekenen dat blijk gaf van hun weigering.
46 Aangezien – volgens deze aanwijzingen – de betrokken klanten het vakje betreffende dat beding niet zelf lijken te hebben aangevinkt, kan niet op grond van het enkele feit dat dit vakje is aangevinkt, worden aangetoond dat deze klanten ermee hebben ingestemd dat een kopie van hun identiteitskaart zou worden verzameld en bewaard. Zoals de advocaat-generaal in punt 45 van zijn conclusie heeft opgemerkt, kan niet op basis van de enkele omstandigheid dat die klanten de overeenkomsten met het aangevinkte vakje hebben ondertekend, worden aangetoond dat een dergelijke toestemming is gegeven wanneer geen sprake is van aanwijzingen die bevestigen dat dit beding daadwerkelijk is gelezen en begrepen. Het staat aan de verwijzende rechter om de daartoe vereiste controles te verrichten.
47 Aangezien het aangevinkte beding betreffende de verwerking van deze gegevens niet zodanig blijkt te zijn gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere contractuele bedingen, staat het voorts aan de verwijzende rechter om te beoordelen of, rekening houdend met de overwegingen in punt 34 van het onderhavige arrest, met de ondertekening van deze overeenkomsten – die ziet op een verscheidenheid aan contractuele bedingen – specifieke toestemming wordt gegeven voor het verzamelen en bewaren van persoonsgegevens in de zin van artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679.
48 Aangezien het in het hoofdgeding aan de orde zijnde contractuele beding enkel aangeeft dat de kopieën van identiteitskaarten worden bewaard voor identificatiedoeleinden, zonder enige andere vermelding, staat het daarenboven aan de verwijzende rechter om na te gaan of de aan de betrokkenen verstrekte informatie voldoet aan de vereisten van artikel 10 van richtlijn 95/46 en artikel 13 van verordening 2016/679, die vermelden welke informatie de verwerkingsverantwoordelijke moet verstrekken aan de persoon bij wie hij gegevens betreffende die persoon verzamelt, om te waarborgen dat diens gegevens eerlijk worden verwerkt.
49 Deze rechter dient ook met name na te gaan of, bij gebreke van verduidelijking op dit punt, de in het hoofdgeding aan de orde zijnde contractuele bedingen de betrokkene konden misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de verwerking van zijn gegevens, waardoor ter discussie kan worden gesteld of de door voornoemde ondertekening tot uitdrukking gebrachte toestemming geïnformeerd was en op informatie berustte.
50 Zoals de advocaat-generaal in punt 60 van zijn conclusie heeft opgemerkt, wordt de vrije aard van die toestemming bovendien in twijfel getrokken door het feit dat Orange România, ingeval geen toestemming werd gegeven, afweek van de normale procedure voor het sluiten van de overeenkomst, door te eisen dat de betrokken klant schriftelijk verklaart niet in te stemmen met het verzamelen en het bewaren van de kopie van zijn identiteitsbewijs. Zoals de Commissie ter terechtzitting heeft opgemerkt, kan een dergelijk aanvullend vereiste immers onnodig afbreuk doen aan de vrije keuze om zich tegen deze verzameling en bewaring te verzetten, hetgeen de verwijzende rechter eveneens dient na te gaan.
51 Zoals volgt uit de overwegingen in de punten 35, 36 en 42 van het onderhavige arrest, staat het hoe dan ook aan Orange România, als verantwoordelijke voor de verwerking van de gegevens, om aan te tonen dat haar klanten met een actieve gedraging blijk hebben gegeven van hun toestemming voor de verwerking van hun persoonsgegevens, wat betekent dat Orange România niet kan eisen dat zij actief blijk geven van hun weigering.
52 Gelet op voorgaande overwegingen moet op de gestelde vragen worden geantwoord dat artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46 alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679 aldus moeten worden uitgelegd dat het aan de voor de gegevensverwerking verantwoordelijke staat om aan te tonen dat de betrokkene met een actieve gedraging blijk heeft gegeven van zijn toestemming voor de verwerking van zijn persoonsgegevens, en dat die betrokkene vooraf geïnformeerd is over alle omstandigheden rond deze verwerking, in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal, zodat hij gemakkelijk kan bepalen welke gevolgen die toestemming heeft en wordt gewaarborgd dat de toestemming met kennis van zaken wordt verleend. Een overeenkomst inzake de verstrekking van telecommunicatiediensten die een beding bevat volgens hetwelk de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en het bewaren van een kopie van zijn identiteitsbewijs voor identificatiedoeleinden, kan niet aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven – in de zin van die bepalingen – voor dat verzamelen en dat bewaren, wanneer
– het vakje betreffende dat beding door de voor de gegevensverwerking verantwoordelijke is aangevinkt vóór de ondertekening van die overeenkomst,
– de bedingen van die overeenkomst de betrokkene kunnen misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de verwerking van zijn gegevens, of
– de vrije keuze om zich tegen dat verzamelen en dat bewaren te verzetten, onnodig wordt aangetast door deze verantwoordelijke doordat geëist wordt dat de betrokkene, om te weigeren toestemming te geven, een aanvullend formulier invult waaruit die weigering blijkt.
Kosten
53 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Tweede kamer) verklaart voor recht:
Artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moeten aldus worden uitgelegd dat het aan de voor de gegevensverwerking verantwoordelijke staat om aan te tonen dat de betrokkene met een actieve gedraging blijk heeft gegeven van zijn toestemming voor de verwerking van zijn persoonsgegevens, en dat die betrokkene vooraf geïnformeerd is over alle omstandigheden rond deze verwerking, in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal, zodat hij gemakkelijk kan bepalen welke gevolgen die toestemming heeft en wordt gewaarborgd dat de toestemming met kennis van zaken wordt verleend. Een overeenkomst inzake de verstrekking van telecommunicatiediensten die een beding bevat volgens hetwelk de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en het bewaren van een kopie van zijn identiteitsbewijs voor identificatiedoeleinden, kan niet aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven – in de zin van die bepalingen – voor dat verzamelen en dat bewaren, wanneer
– het vakje betreffende dat beding door de voor de gegevensverwerking verantwoordelijke is aangevinkt vóór de ondertekening van die overeenkomst,
– de contractuele bedingen van die overeenkomst de betrokkene kunnen misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de verwerking van zijn gegevens, of
– de vrije keuze om zich tegen dat verzamelen en dat bewaren te verzetten, onnodig wordt aangetast door deze verantwoordelijke doordat geëist wordt dat de betrokkene, om te weigeren toestemming te geven, een aanvullend formulier invult waaruit die weigering blijkt.
ondertekeningen