Language of document : ECLI:EU:C:2020:158

SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA

MACIEJA SZPUNARJA,

predstavljeni 4. marca 2020(1)

Zadeva C61/19

Orange România SA

proti

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Tribunalul Bucureşti (višje sodišče v Bukarešti, Romunija))

„Predlog za sprejetje predhodne odločbe – Direktiva 95/46/ES – Uredba (EU) 2016/679 – Varstvo posameznikov pri obdelavi osebnih podatkov in prosti pretok takih podatkov – Mobilne telekomunikacijske storitve – Pojem privolitve posameznika, na katerega se nanašajo osebni podatki – Navedba izrecne in informirane izjave volje – Izjava o privolitvi z označitvijo polja – Dokazno breme“






1.        Ta predlog za sprejetje predhodne odločbe, ki ga je vložilo Tribunalul Bucureşti (višje sodišče v Bukarešti, Romunija), izvira iz spora med ponudnikom telekomunikacijskih storitev in nacionalnim organom za varstvo podatkov glede obveznosti prvonavedenega v okviru pogodbenih pogajanj s stranko v zvezi s fotokopiranjem in shranjevanjem fotokopije osebne izkaznice.

2.        Sodišču daje priložnost, da podrobneje pojasni pojem „privolitev“ posameznika, na katerega se nanašajo osebni podatki, osrednje značilnosti prava EU o varstvu podatkov, ki je navsezadnje vsebovana v temeljni pravici do varstva podatkov. V zvezi s tem bi moralo Sodišče obravnavati tudi vprašanje o dokaznem bremenu v zvezi s tem, ali je posameznik, na katerega se nanašajo osebni podatki, dal svojo privolitev.

 Pravni okvir

 Pravo EU

 Direktiva 95/46/ES

3.        V skladu s členom 2(h) Direktive 95/46/ES(2) v tej direktivi „‚privolitev posameznika, na katerega se nanašajo osebni podatki‘ pomeni vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo“.

4.        Poglavje II navedene direktive obravnava splošna pravila o zakonitosti obdelave osebnih podatkov.

5.        Člen 6 iste direktive o „načelih v zvezi s kakovostjo podatkov“(3) določa:

„1.      Države članice določijo, da morajo biti osebni podatki:

(a)      pošteno in zakonito obdelani;

(b)      zbrani za določene, izrecne ter zakonite namene in se ne smejo naprej obdelovati na način, ki je nezdružljiv s temi nameni. Nadaljnja obdelava podatkov v zgodovinske, statistične ali znanstvene namene se ne šteje za nezdružljivo, če države članice zagotovijo ustrezne zaščitne ukrepe;

(c)      primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali nadalje obdelujejo;

[…]

2.      Upravljavec mora zagotoviti, da se ravna skladno z odstavkom 1.“

6.        Člen 7 Direktive 95/46 obravnava „merila za zakonitost obdelave podatkov“.(4) V skladu s to določbo:

„[d]ržave članice določijo, da se lahko osebni podatki obdelujejo samo, če:

(a)      je posameznik, na katerega se osebni podatki nanašajo, nedvoumno dal svojo privolitev; ali

(b)      je obdelava potrebna za izvajanje pogodbe, katere stranka je posameznik, na katerega se nanašajo osebni podatki, ali pa za izvajanje ukrepov na zahtevo posameznika, na katerega se osebni podatki nanašajo, pred sklenitvijo pogodbe;

[…].“

 Uredba (EU) 2016/679

7.        V skladu s členom 4(4) Uredbe (EU) 2016/679(5) v tej uredbi „‚privolitev posameznika, na katerega se nanašajo osebni podatki“ pomeni vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj“.

8.        Člen 6(1)(a) in (b) te uredbe določa:

„Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)      posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)      obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe“.

9.        Člen 7(1) iste uredbe določa, da „[k]adar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov“.

 Romunsko pravo

10.      Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (zakon št. 677/2001 o varstvu oseb pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov; v nadaljevanju zakon št. 677/2001)(6) določa, da je treba določbe Direktive 95/46 prenesti v nacionalno pravo.

11.      Člen 32 navedenega zakona določa:

„Če upravljavec ali oseba, ki jo je ta zadolžil, obdela osebne podatke, tako da krši določbe členov od 4 do 10 ali tako, da ne upošteva pravic, določenih s členi od 12 do 15 ali členom 17, je to kršitev upravne dolžnosti, če ta ni storjena v takšnih okoliščinah, da je kaznivo dejanje, in se kaznuje z denarno kaznijo od 10.000.000 starih levov [1000 romunskih levov (RON)] do 250.000.000 starih levov [25.000 RON].“

 Dejansko stanje, postopek in predloženi vprašanji

12.      Družba Orange România SA (v nadaljevanju: Orange România) je ponudnica mobilnih telekomunikacijskih storitev na romunskem trgu, ki ponuja storitve po sistemu „PrePay“(7) in na podlagi sklenjene pogodbe o storitvah(8).

13.      Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (nacionalni organ za nadzor nad obdelavo osebnih podatkov, Romunija; v nadaljevanju: ANSPDCP) je 28. marca 2018 na podlagi člena 32 zakona št. 677/2001 v povezavi s členom 8 tega zakona izdal poročilo, ki je vključevalo naložitev upravne sankcije družbi Orange România, ker naj bi ta zbirala in hranila fotokopije osebnih dokumentov svojih strank, ne da bi od teh pridobila izrecno privolitev.

14.      V zvezi s tem je ANSPDCP navedel, da je družba Orange România s posameznimi strankami v poslovnih prostorih sklenila pogodbe v papirnati obliki o zagotavljanju mobilnih telekomunikacijskih storitev in da so bile fotokopije njihovih osebnih dokumentov priložene k tem pogodbam. Vsebina teh pogodb je med drugim vključevala izjavo, da je bila stranka obveščena in je privolila, da družba (Orange România) zbira in shranjuje navedene fotokopije, in da je bil obstoj privolitve strank ugotovljen s križcem označenimi polji v pisni dokumentaciji, ki je dokazovala obstoj pogodbe.

15.      Upoštevni odlomek spornih pogodb se glasi:

„Stranka v izjavi navaja, da:

(i)      je bila pred sklenitvijo pogodbe seznanjena z izbranim tarifnim načrtom, veljavnimi tarifami, minimalnim trajanjem pogodbe, s pogoji prenehanja [pogodbe] in pogoji za pridobitev in uporabo storitev, vključno z območjem pokrivanja storitev, v skladu s členom 11 odločbe št. 158/2015, ki jo je izdal ANCOM [nacionalni organ za upravljanje in regulacijo komunikacij], in odločbo O.U.G. [št.] 34/2014 (zakonska uredba št. 34/2104) ter s svojo pravico do enostranske odpovedi pogodbe, ki se lahko uveljavlja v skladu s členom 1.17 splošnih pogojev poslovanja;

(ii)      je družba Orange România stranki dala na voljo vse potrebne informacije, da bi ta lahko izrazila svojo ustrezno, izrecno, prostovoljno in posebno privolitev v sklenitev in izrecno sprejetje pogodbe, vključno z vso pogodbeno dokumentacijo, splošnimi pogoji poslovanja ter brošuro o tarifah in storitvah;

(iii)      je bila seznanjena in je izrecno privolila:

v obdelavo osebnih podatkov v namene, navedene v členu 1.15 splošnih pogojev poslovanja;

v to, da družba [Orange] hrani fotokopije dokumentov, ki vsebujejo osebne podatke, zaradi ugotavljanja istovetnosti;

v obdelavo osebnih podatkov (kontaktna številka in elektronski naslov) zaradi neposrednega trženja;

v obdelavo osebnih podatkov (kontaktna številka in elektronski naslov) zaradi izvajanja tržnih raziskav;

prebral/‑a sem in izrecno soglašam, da se hranijo dokumenti, ki vsebujejo osebne podatke o zdravstvenem stanju;

da podatki iz člena 1.15(10) splošnih pogojev poslovanja niso vključeni v informativne storitve za naročnike in storitve v zvezi z imeniki naročnikov.“

16.      ANSPDCP navaja, da družba Orange România ni dokazala, da so stranke sprejele informirano odločitev glede zbiranja in shranjevanja fotokopij svojih osebnih dokumentov.

17.      Družba Orange România je dne 28. marca 2018 pri predložitvenem sodišču vložila tožbo zoper globo.

18.      V skladu z ugotovitvami predložitvenega sodišča obstajajo pogodbe, v katerih je svoboden izraz privolitve stranke v hrambo fotokopije njenega osebnega dokumenta razviden iz križca, vstavljenega v ustrezno polje, pa tudi pogodbe, v katerih so stranke tako privolitev odklonile. Na podlagi „notranjih postopkov“, ki se nanašajo na prodajo, družbe Orange România se zdi, da je družba Orange România v zadnjenavedenih primerih zagotovila potrebne informacije glede strankine odklonitve privolitve v hrambo fotokopije osebnega dokumenta tako, da je v zvezi s tem izpolnila posebni obrazec in nato sklenila pogodbo. Tako kljub navedbam, vsebovanim v splošnih pogojih poslovanja družbe Orange România, slednja ni odklonila sklenitve pogodb o naročniških razmerjih s strankami, tudi če te niso privolile v hrambo fotokopije svoje osebne izkaznice.

19.      Predložitveno sodišče meni, da je v teh okoliščinah še posebej pomembno, da Sodišče odloči o merilih za določanje, ali je privolitev „posebna“ in „informirana“ ter po potrebi o dokazni moči podpisa pogodb, kot so sporne pogodbe v postopku v glavni stvari.

20.      V teh okoliščinah je Tribunalul Bucureşti (višje sodišče v Bukarešti) z odločbo z dne 14. novembra 2018, ki jo je Sodišče prejelo 29. januarja 2019, v predhodno odločanje predložilo ti vprašanji:

„1.      Kateri pogoji morajo biti v skladu s členom 2(h) [Direktive 95/46] izpolnjeni, da se lahko šteje, da je izjava volje posebna in informirana izjava?

2.      Kateri pogoji morajo biti v skladu s členom 2(h) [Direktive 95/46] izpolnjeni, da se lahko šteje, da je izjava volje prostovoljno dana izjava?“

21.      Pisna stališča so predložile stranki v postopku v glavni stvari, romunska, italijanska, avstrijska in portugalska vlada ter Evropska komisija. Družba Orange România, romunska vlada in Evropska komisija so bile zastopane na obravnavi 11. decembra 2019.

 Presoja

22.      V obravnavani zadevi je Sodišče pozvano, naj specificira pogoje, pod katerimi se lahko privolitev v obdelavo osebnih podatkov šteje za veljavno.

 Uvodne pripombe

 Upoštevni pravni instrumenti

23.      Uredba 2016/679, ki se uporablja od 25. maja 2018,(9) je z učinkom od istega datuma razveljavila Direktivo 95/46.(10)

24.      Sporna odločba ANSPDCP v postopku v glavni stvari je bila sprejeta 28. marca 2018, kar je pred datumom, od katerega se uporablja Uredba 2016/679. Kljub temu ANSPDCP družbi Orange România ni naložil le globe, temveč je od nje zahteval tudi, naj uniči fotokopije spornih osebnih dokumentov. Spor o glavni stvari je prav tako povezan z zadnjenavedeno sodno odredbo. Ta sodna odredba učinkuje v prihodnosti, zaradi česar se zdi, da se navedena uredba uporablja v smislu ratione temporis.

25.      Posledično bi bilo treba na predloženi vprašanji odgovoriti ob upoštevanju Direktive 95/46 in Uredbe 2016/679.(11) Poleg tega bo treba navedeno uredbo upoštevati pri analizi določb Direktive 95/46.(12)

 Opredelitev obsega vprašanj za predhodno odločanje

26.      Vprašanji za predhodno odločanje, ki ju je postavilo predložitveno sodišče, sta oblikovani presplošno in preabstraktno, zato ju je treba nekoliko prilagoditi, da bi se ujemali z dejanskim stanjem v postopku v glavni stvari, s čimer bi se predložitvenemu sodišču zagotovili napotki in koristen odgovor na vprašanji. Zato se mi zdi bistveno na kratko opozoriti na dejansko stanje v postopku v glavni stvari, kakor izhaja iz odločbe predložitvenega sodišča, ter na informacije, ki sta jih predložili stranki v postopku, in sicer med obravnavo pred Sodiščem.

27.      Nacionalni organ za varstvo podatkov v Romuniji, ANSPDCP, je družbo Orange România kaznoval zaradi zbiranja in hrambe fotokopij osebnih dokumentov njenih strank brez njihove privolitve. Navedeni organ je ugotovil, da je družba sklenila pogodbe za zagotavljanje mobilnih telekomunikacijskih storitev in da so bile fotokopije osebnih dokumentov priložene k tem pogodbam. V navedenih pogodbah naj bi bilo zapisano, da so bile stranke obveščene in so privolile v zbiranje in shranjevanje navedenih fotokopij, kot so to dokazovala s križcem označena polja v pogodbenih določilih. Vendar v skladu z ugotovitvami ANSPDCP družba Orange România ni dokazala, da so se zadevne stranke ob sklenitvi pogodb informirano odločile glede zbiranja in shranjevanja navedenih fotokopij.

28.      Kadar posamezniku, ki želi skleniti pogodbeno razmerje z družbo Orange România, predstavnik navedene družbe svetuje glede določil posamezne pogodbe, navedeni predstavnik običajno dela na računalniku s predlogo pogodbe, ki vsebuje okvirček glede shranjevanja osebnega dokumenta. Stranka naj bi bila seznanjena, da tega okvirčka ni treba odkljukati. Če stranka ne soglaša s fotokopiranjem in shranjevanjem svojega osebnega dokumenta, mora to ročno dokumentirati na pogodbi. Zadnjenavedena zahteva glede ročnega zapisa je določena z internimi prodajnimi pravili družbe Orange România. Poleg tega je stranka z možnostjo odklonitve seznanjena le ustno, ne pa v pisni obliki.

29.      Ob upoštevanju navedenega ti vprašanji, ki bi ju bilo treba preučiti skupaj, razumem tako, da želi predložitveno sodišče izvedeti, ali posameznik, na katerega se nanašajo osebni podatki in ki namerava skleniti pogodbeno razmerje za zagotavljanje telekomunikacijskih storitev s podjetjem, da svojo „posebno in informirano“ ter „prostovoljno izraženo“ privolitev v smislu člena 2(h) Direktive 95/46 in člena 4(11) Uredbe 2016/679 navedenemu podjetju, če mora na sicer standardizirani pogodbi ročno zapisati, da odklanja privolitev v fotokopiranje in shranjevanje svojih osebnih dokumentov.

30.      V zvezi s tem se zdi, da predložitveno sodišče potrebuje napotke glede dokaznega bremena in standarda navedenega podjetja.

 Privolitev kot predpogoj za obdelavo osebnih podatkov

31.      Obravnavana zadeva se nanaša na obdelavo osebnih podatkov v primeru sklenitve pogodbe za zagotavljanje telekomunikacijskih storitev.

32.      Kakršna koli obdelava osebnih podatkov pa mora biti(13) po eni strani v skladu z načeli glede kakovosti podatkov, ki so določena v členu 6 Direktive 95/46 ali členu 5 Uredbe 2016/679, in po drugi strani ustrezati enemu od meril za zakonitost obdelave podatkov, ki so navedena v členu 7 navedene direktive ali v členu 6 navedene uredbe.(14) Kot opozarja Komisija, je šest meril, določenih v členu 7 Direktive 95/46, dejansko izraz širšega načela, določenega v členu 6(1)(a) navedene direktive, ki določa, da morajo biti osebni podatki obdelani pošteno in zakonito.

33.      Člen 7 Direktive 95/46 določa izčrpen seznam primerov, v katerih je mogoče obdelavo osebnih podatkov šteti za zakonito.(15) Osebni podatki se lahko obdelujejo, le če se uporablja najmanj eno od šestih meril v zvezi z zakonitostjo obdelave podatkov. Obstoj nedvoumne privolitve posameznika, na katerega se nanašajo osebni podatki, je eno od navedenih meril.

 Pojem privolitve

34.      Privolitev posameznika, na katerega se nanašajo osebni podatki, je v členu 2(h) Direktive 95/46 opredeljena kot vsaka prostovoljno dana posebna in informirana izjava volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo.

35.      To besedilo pretežno ustreza(16) besedilu člena 4(11) Uredbe 2016/679, v skladu s katerim privolitev posameznika, na katerega se nanašajo osebni podatki, pomeni vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj.(17)

36.      Zahteva glede privolitve posameznika, na katerega se nanašajo osebni podatki, je osrednja značilnost, na kateri temelji zakonodaja EU o varstvu podatkov.(18) Pojavi se tudi v Listini Evropske unije o temeljnih pravicah, kjer je v členu 8 določeno, da se morajo osebni podatki obdelovati pošteno, za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom. Pojem privolitve posamezniku, na katerega se nanašajo osebni podatki, širše gledano, omogoča, da se sam odloči glede zakonitosti omejitev svoje pravice do varstva osebnih podatkov.(19)

37.      Vodilno načelo, ki je podlaga zakonodaje EU o varstvu podatkov, je samostojna odločitev posameznika, ki se je sposoben odločati glede uporabe in obdelave svojih podatkov.(20) Zahteva glede privolitve je tista, ki mu omogoča, da sprejme odločitev glede tega, hkrati pa ga ščiti v položajih, ki so že sami po sebi asimetrični.(21) Le kadar je privolitev posebna in informirana ter dana prostovoljno, izpolnjuje zahteve preskusa Direktive 95/46 in Uredbe 2016/679.

38.      V tej fazi bi bilo treba podati tri nadaljnje kratke pripombe glede očitne razlike v besedilih teh določb.

39.      Prvič, člen 4(11) Uredbe 2016/679 se v nasprotju s členom 2(h) Direktive 95/46 nanaša na „nedvoumnost“. Opozoriti moram, da je razlog za to dokaj preprost: člen 7(a) navedene direktive o merilih za zakonitost obdelave podatkov, že zgoraj omenjen, od posameznika, na katerega se nanašajo osebni podatki, zahteva, da poda „nedvoumno“ privolitev, medtem ko ustrezna določba v Uredbi 2016/679 – člen 6(1)(a) – te podrobnosti ne vsebuje. Drugače povedano, navedeno merilo nedvoumnosti je bilo preprosto premaknjeno v splošnejšo določbo v Uredbi 2016/679.

40.      Drugič, člen 4(11) Uredbe 2016/679 podrobno določa, da posameznik, na katerega se nanašajo osebni podatki, izrazi svojo voljo „z izjavo ali jasnim pritrdilnim dejanjem“. To pojasnilo je dejansko novo v Uredbi in se pomensko ne odraža v Direktivi 95/46.

41.      Tretjič, v zvezi z „informiranostjo“ privolitve posameznika, na katerega se nanašajo osebni podatki, se francoska jezikovna različica Direktive 95/46 razlikuje od francoske jezikovne različice Uredbe 2016/679. Medtem ko se člen 2(h) navedene direktive nanaša na „manifestation de volonté […] informé“, pa člen 4(11) navedene uredbe govori o „manifestation de volonté […] eclairée“.

42.      Opozoriti moram, da ta sprememba v besedilu prej zmede kot pa kaj razjasni, kajti kolikor lahko ugotovim, je francoska jezikovna različica edina ali pa vsaj ena izmed redkih jezikovnih različic, ki vsebuje to razlikovanje. Številne jezikovne različice, med njimi naključno drugi romanski jeziki, precej preprosto uporabljajo popolnoma enake pojme v zvezi s tem,(22) medtem ko se lahko druge jezikovne različice na tem mestu rahlo razlikujejo, a še vedno ne vsebujejo razlike, kot jo francoska jezikovna različica.(23)

43.      K pojmu „informirane“ privolitve se bom vrnil spodaj.

 Prostovoljno dana privolitev

44.      Zahteva glede jasne „navedbe“ volje posameznika, na katerega se nanašajo osebni podatki, kaže prej na aktivno kot pa na pasivno ravnanje(24) in na nujnost avtonomnosti navedenega posameznika pri odločanju, ali bo dal soglasje.(25) V zvezi s specifičnim položajem spletne loterije na spletnem mestu je Sodišče odločilo, da privolitev, dana prek vnaprej označenega potrditvenega polja, ne pomeni aktivnega ravnanja uporabnika spletnega mesta.(26)

45.      Sam trdim, da je tako ugotovitev mogoče v enaki meri uporabiti za podobno besedo: privolitev v obliki vnaprej označenega potrditvenega polja ne more pomeniti aktivne privolitve osebe, ki ima opravka s fizičnim dokumentom, ki ga na koncu podpiše. V takem položaju se namreč ne ve, ali je bilo takšno vnaprej oblikovano besedilo prebrano in razumljeno. Položaj ni nedvoumen. Uporabnik je besedilo lahko prebral ali pa ne. Lahko ga je prezrl iz gole malomarnosti, zaradi česar ni mogoče ugotoviti, ali je bila privolitev dana prostovoljno.(27)

 Informirana privolitev

46.      Ne sme biti nobenega prostora za kakršen koli dvom, da posameznik, na katerega se nanašajo osebni podatki, ni bil dovolj informiran.(28)

47.      Posameznik, na katerega se nanašajo osebni podatki, mora biti seznanjen z vsemi okoliščinami v zvezi z obdelavo podatkov in njenimi posledicami. Zlasti mora vedeti, kateri podatki se bodo obdelovali, koliko časa bo obdelava trajala, kako bo potekala in za kateri specifični namen. Prav tako mora vedeti, kdo obdeluje podatke in ali so podatki namenjeni prenosu tretjim osebam. Ključnega pomena pa je, da je seznanjen s posledicami zavrnitve privolitve: ali je privolitev v obdelavo podatkov pogoj za sklenitev pogodbe ali ne?(29)

 Dokazno breme

48.      Postavlja se vprašanje, kdo mora dokazati, da je posameznik, na katerega se nanašajo osebni podatki, bil v položaju, ki mu je omogočal, da je dal svojo privolitev na podlagi pravkar ugotovljenih meril.

49.      Člen 7(1) Uredbe 2016/679 je jasen in ne dopušča dvoma: kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.(30) Ta določba pomeni specifikacijo načela odgovornosti, vsebovanega v členu 5(2) Uredbe 2016/679. Trdil bi, da namen te določbe zahteva široko razlago v zvezi s tem, da mora upravljavec poleg tega, da dokaže, da je posameznik, na katerega se nanašajo osebni podatki, dal svojo privolitev, dokazati tudi, da so bili izpolnjeni vsi pogoji za učinkovitost.(31)

50.      Nekateri dvomijo v to, da člen 7(1) Uredbe 2016/679 obravnava dokazno breme in opozarjajo na zgodovino nastanka navedene uredbe.(32) Čeprav naj bi tako Komisija kot tudi Parlament predlagala besedilo, ki se je izrecno nanašalo na „dokazno breme“, tako besedilo ni izraženo v sprejetem besedilu in torej obstoječem pravu.

51.      Ta trditev je vredna podrobnejše analize.

52.      Prvotni predlog Komisije(33) se namreč nanaša na „dokazno breme“, ki ga mora nositi upravljavec. Podobno Parlament v prvi obravnavi(34) ni nasprotoval temu besedilu. Svet(35) pa je v zvezi z upravljavcem nadomestil besedno zvezo „dokazno breme“ z besedno zvezo „mora biti zmožen dokazati“. Končno besedilo je bilo nato sprejeto v tej obliki.

53.      Sam tej spremembi besedila ne bi pripisoval velikega pomena.(36) Svet nikjer v uvodnih izjavah svojega stališča ne utemeljuje predlagane spremembe besedila.(37) To je znak, da je navedena institucija želela zadevno določbo le jezikovno preoblikovati, ne da bi spremenila njen pomen. S tega vidika besedna zveza „mora biti zmožen dokazati“ dejansko bolj razumljivo opisuje to, kar je mišljeno z „dokaznim bremenom“.(38)

54.      Zato se lahko zanesljivo sklepa, da člen 7(1) Uredbe 2016/679 dokazno breme glede privolitve posameznika, na katerega se nanašajo osebni podatki, v obdelavo osebnih podatkov nalaga upravljavcu.(39) Vse pomisleke glede dane privolitve posameznika, na katerega se nanašajo osebni podatki, mora upravljavec odpraviti z dokazi.(40) Dokazno breme, da je bil posameznik, na katerega se nanašajo osebni podatki, postavljen v položaj, ki mu omogoča, da da prostovoljno, posebno in informirano privolitev, nedvomno nosi subjekt, ki obdeluje podatke.

55.      Pravni položaj na podlagi Direktive 95/46 ni glede tega nič drugačen.

56.      Čeprav Direktiva 95/46 ni vsebovala ločene določbe, primerljive s členom 7 Uredbe 2016/679 o pogojih za privolitev, je večino pogojev, določenih v navedenem členu, mogoče najti tudi v navedeni direktivi. Čeprav pravilo o dokaznem bremenu ni izrecno določeno v navedeni direktivi, pa to izhaja vsaj posredno iz njene določbe,(41) da „je posameznik, na katerega se osebni podatki nanašajo, nedvoumno dal svojo privolitev“.(42)

 Položaj družbe Orange România

57.      V nadaljevanju bi ta merila rad uporabil za obravnavano zadevo.

58.      Uvodoma ugotavljam, da vprašanje, ali lahko družba Orange România od svojih strank zahteva, da privolijo v fotokopiranje in shranjevanje njihovih osebnih dokumentov, ali ne, ne spada na področje te zadeve, saj to za navedeno podjetje ni predpogoj za sklenitev pogodbe. Drugače povedano, v obravnavani zadevi ne gre za razlago člena 7(b) Direktive 95/46 in člena 6(1)(b) Uredbe 2016/679. Glede na to menim, da ima podjetje pravico od strank zahtevati, da zagotovijo nekatere osebne podatke in zlasti da dokažejo svojo istovetnost za sklenitev pogodbe. Zahtevati od stranke, da privoli v fotokopiranje in shranjevanje osebnih dokumentov, pa očitno presega to, kar je potrebno za izvajanje pogodbe.

59.      Na podlagi razpoložljivih informacij menim, da stranke družbe Orange România v okoliščinah, ki jih je opisalo predložitveno sodišče, ne dajejo svoje prostovoljne, posebne in informirane privolitve.

60.      Prvič, ni prostovoljno dane privolitve. Zahtevati od stranke, naj ročno zapiše, da ne soglaša s fotokopiranjem in shranjevanjem svoje osebne izkaznice, ne omogoča prostovoljne privolitve v smislu, da je stranka postavljena v položaj, v katerem se ji zdi, da odstopa od običajnega postopka, ki vodi v sklenitev pogodbe. Stranke v zvezi s tem ne smejo imeti občutka, da njihova odklonitev privolitve v fotokopiranje in shranjevanje njihovih osebnih dokumentov ni v skladu z običajnimi postopki. V zvezi s tem bi rad spomnil na to, da je Sodišče v zvezi z dajanjem privolitve posameznika, na katerega se nanašajo osebni podatki, poudarilo njegovo aktivno ravnanje.(43) Za privolitev se torej zahteva pozitivno ukrepanje posameznika, na katerega se nanašajo osebni podatki. V obravnavani zadevi pa je položaj obraten: za zavrnitev privolitve je potrebno pozitivno ukrepanje. Ponovno napotujem na sodbo v zadevi Planet49(44) in ugotavljam, da če se za odznačevanje potrditvenega polja, ki vsebuje vnaprej nastavljeno kljukico, šteje, da stranki nalaga preveliko breme, potem je še manj razumno od stranke pričakovati, da bo zavrnitev svoje privolitve zapisala ročno.

61.      Drugič, ni informirane privolitve. Stranki ni popolnoma jasno, da zaradi zavrnitve privolitve v fotokopiranje in shranjevanje njene osebne izkaznice sklenitev pogodbe ni nemogoča. Stranka se ne odloča na informiran način, če se ne zaveda posledic.

62.      Tretjič – in le hipotetično – nobenega indica ni, da je družbi Orange România uspelo dokazati, da so stranke privolile v obdelavo svojih osebnih podatkov. V zvezi s tem očitno pomanjkanje jasnosti notranjih postopkov zagotovo ne prispeva k predložitvi dokaza, da je stranka dala privolitev. Takega pomanjkanja jasnosti in spornih navodil prodajnemu osebju očitno ni mogoče šteti v škodo stranke, ki je v obravnavanem primeru posameznik, na katerega se nanašajo osebni podatki.

 Predlog

63.      Na podlagi zgornjih preudarkov Sodišču predlagam, naj na vprašanji za predhodno odločanje, ki ju je predložilo Tribunalul Bucureşti (višje sodišče v Bukarešti, Romunija), odgovori:

Posameznik, na katerega se nanašajo osebni podatki in ki namerava skleniti pogodbeno razmerje za zagotavljanje telekomunikacijskih storitev s podjetjem, navedenemu podjetju ne da svoje „privolitve“, in torej ne da „izrecne, informirane“ in „prostovoljne“ izjave volje v smislu člena 2(h) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter člena 4(11) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov), če mora na sicer standardizirani pogodbi ročno zapisati, da odklanja privolitev v fotokopiranje in hrambo svojih osebnih dokumentov.


1      Jezik izvirnika: angleščina.


2      Direktiva Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).


3      Člen 6 je edini člen oddelka I poglavja II Direktive 95/46.


4      Člen 7 je edini člen oddelka II poglavja II Direktive 95/46.


5      Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1).


6      Monitorul Oficial al României, Partea I, št. 790 z dne 12. decembra 2001.


7      V tem primeru prejemniki vnaprej plačajo ceno storitev, ki jim bodo dobavljene kasneje.


8      V tem primeru ceno za storitve, ki jih je opravila družba, prejemniki plačajo po dobavi teh storitev na podlagi izdanih računov.


9      Na podlagi člena 99(2) Uredbe 2016/679.


10      Glej člen 94(1) Uredbe 2016/679.


11      Glej sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točke od 38 do 43), za podoben pristop v primerljivem položaju in moje sklepne predloge v isti zadevi (C‑673/17, EU:C:2019:246, točke od 44 do 49). Glej tudi sodbo z dne 11. decembra 2018, Weiss in drugi (C‑493/17, EU:C:2018:1000, točka 39).


12      Glej sodbo z dne 24. septembra 2019, GC in drugi (Odstranitev občutljivih podatkov) (C‑136/17, EU:C:2019:773, točka 33).


13      Očitno predmet izjem in omejitev, določenih v členu 13 Direktive 95/46 in členu 23 Uredbe 2016/679.


14      Glej sodbo z dne 16. januarja 2019, Deutsche Post (C‑496/17, EU:C:2019:26, točka 57). Glej tudi sodbi z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317, točka 71 in navedena sodna praksa), in z dne 11. decembra 2019, Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, točka 36).


15      Glej sodbe z dne 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito, (C‑468/10 in C‑469/10, EU:C:2011:777, točka 30); z dne 19. oktobra 2016, Breyer (C‑582/14, EU:C:2016:779, točka 57), in z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točka 53).


16      Glej tudi Bygrave, L. A., Tosoni, L., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 4(11), C.1., str. 181.


17      Ta merila so očitno kumulativna, kar pomeni, da se za veljavno privolitev zahteva visok prag, glej Bygrave, L. A., Tosoni, L., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 4(11), C.1., str. 181.


18      Glej moje sklepne predloge v zadevi Planet49 (C‑673/17, EU:C:2019:246, točka 57 in naslednje). Glej tudi Heckmann, D. & Paschke, A., in Ehmann, E., Selmayr, M. (ured.), DatenschutzGrundverordnung, Kommentar, C. H. Beck, München, 2. izdaja, 2018, člen 7, točka 9: „ključni temelj varstva podatkov“.


19      Glej v tem smislu Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, str. 232, ki se sklicuje na pravico do samoodločanja glede informacij v tem okviru (kot je to razvilo nemško ustavno sodišče od sodbe z dne 15. decembra 1983, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65,1).


20      Glej tudi Klement, J. H., v S. Simitis, G. Hornung, I. Spieker gen. Döhmann (ured.), Datenschutzrecht, Nomos, Baden‑Baden, 2019, člen 7, točka 1, ki poudarja, da mora biti v pravnem redu, ki temelji na dostojanstvu, osebni svobodi in odgovornosti ter si prizadeva zanje, obdelava osebnih podatkov zakonita na podlagi samostojne odločitve posameznika, na katerega se nanašajo osebni podatki.


21      Glej tudi uvodno izjavo 43 Uredbe 2016/679, ki se nanaša na položaje, v katerih lahko obstaja očitno neravnotežje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem.


22      Glej na primer špansko („manifestación de voluntad […] informada“), portugalsko („manifestação de vontade […] informada“), romunsko („manifestare de voință […] informată“), dansko („informeret viljetilkendegivelse“), švedsko („informerad viljeyttring“) in malteško („infurmata“) jezikovno različico.


23      Glej na primer nizozemsko („op informatie berustende wilsuiting“ v Direktivi in „geïnformeerde wilsuiting“ v Uredbi), poljsko („świadome […] wskazanie“ v Direktivi in „świadome […] okazanie woli“ v Uredbi) ter nemško („Willensbekundung, die […] in Kenntnis der Sachlage erfolgt“ v Direktivi in „in informierter Weise […] abgegebene Willensbekundung“ v Uredbi) jezikovno različico.


24      Glej sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točka 52).


25      Glej Bygrave, L. A., Tosoni, L., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 4(11), C.1., str. 182.


26      Prav tam.


27      Glej po analogiji moje sklepne predloge v zadevi Planet49 (C‑673/17, EU:C:2019:246, točka 62). Glej tudi sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točka 55).


28      Nazadnje, informirana privolitev temelji na načelu transparentnosti, kot je to določeno v členu 5(1)(a) Uredbe 2016/679, glej Bygrave, L. A., Tosoni, L., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 4(11), C.4., str. 184.


29      Nekateri menijo, da seznam informacij iz členov 10 in 11 Direktive 95/46 ni izčrpen, tako da lahko upravljavec posamezniku, na katerega se nanašajo osebni podatki, predloži tudi druge relevantne podatke o pogojih uporabe osebnih podatkov. Glej, na primer, „Mednis, A.,‘Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46“, Monitor Prawniczy (dodatek) 2012, št. 7, str. 27.


30      V skladu s to določbo je upravljavec odgovoren in mora biti zmožen dokazati skladnost z dejstvom, da so osebni podatki obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki.


31      Glej v tem smislu tudi Stemmer, B., v St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, München, 30. izdaja, stanje na dan 1. novembra 2019, člen 7 DSGVO, točka 87, in Buchner, J., Kühling, B., v J. Buchner, B. Kühling (ured.), DatenschutzGrundverordnung/BDSG, Kommentar, C. H. Beck, München, 2. izdaja 2018, člen 7 DS‑GVO, točka 22.


32      Glej Klement, J. H., v S. Simitis, G. Hornung, I. Spieker gen. Döhmann (ured.), Datenschutzrecht, Nomos, Baden‑Baden, 2019, člen 7, točka 46.


33      V prvotnem predlogu Komisije se je člen 7(1) glasil: „Upravljavec mora dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo njegovih osebnih podatkov v določene namene.“ Glej predlog uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov), COM(2012) 11 final, str. 45.


34      Parlament v prvi obravnavi ni predlagal, naj se besedilo člena 7(1) spremeni v zvezi z besedno zvezo „dokazno breme“. Zadovoljil se je le z določitvijo, da se člen 7(1) nanaša na položaj, v katerem obdelava temelji na privolitvi. Glej Zakonodajno resolucijo Evropskega parlamenta z dne 12. marca 2014 o predlogu uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov), COM(2012) 11 (UL 2017, C 378, str. 399) str. 428.


35      „Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.“ Glej Stališče Sveta (EU) št. 6/2016 v prvi obravnavi z namenom sprejetja uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov), sprejeto s strani Sveta dne 8. aprila 2016 (UL 2016, C 159, str. 1), str. 36.


36      Glej tudi Kosta, E., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 7, C.2., str. 349–350.


37      Glej zlasti uvodni izjavi 42 in 43, ki utemeljujeta člen 7.


38      Zanimivo pojmovno razlago o tem, zakaj dokazno breme nosi upravljavec, je predstavil Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, str. 243–245, ki je vzpostavil vzporednico s položajem na podlagi nacionalnega prava o odgovornosti zdravstvenih delavcev, v katerem dokazno breme prav tako nosijo tisti, ki izvajajo omejitve zadevne pravice.


39      Poleg tega je to večinoma prevladujoče stališče v pravni literaturi, glej Klabunde, A., v E. Ehmann, M. Selmayr (ured.), DatenschutzGrundverordnung, Kommentar, 2. izdaja, C. H. Beck, München, 2018, člen 4, točka 52; Stemmer, B., v St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, München, 30. izdaja, stanje na dan 1. novembra 2019, člen 7 DSGVO, točka 87, Buchner, J., Kühling, B., v J. Buchner, B. Kühling (ured.), DatenschutzGrundverordnung/BDSG, Kommentar, C. H. Beck, München, 2. izdaja 2018, člen 7 DS‑GVO, točka 22, in Barta, P., Kawecki, M., in P. Litwiński (ured.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C. H. Beck, Varšava 2018, člen 7(1) Uredbe.


40      Glej v tem smislu tudi Heckmann, D., Paschke, A., v E. Ehmann, M. Selmayr (ured.), DatenschutzGrundverordnung, Kommentar, 2. izdaja, C. H. Beck, München, 2018, člen 7, točka 72.


41      Glej člen 7(a) Direktive 95/46. Moj poudarek.


42      Glej v tem smislu med številnimi tudi Buchner, J., Kühling, B., v J. Buchner, B. Kühling (ured.), DatenschutzGrundverordnung/BDSG, Kommentar, C. H. Beck, München, 2. izdaja, 2018, člen 7 DS‑GVO, točki 5 in 22.


43      Glej sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točka 54).


44      Glej sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801).