CELEX: 62019CJ0061
Lūgums sniegt prejudiciālu nolēmumu
Direktīva 95/46/EK
2. panta h) punkts un 7. panta a) punkts
Regula (ES) 2016/679
4. panta 11. punkts un 6. panta 1. punkta a) apakšpunkts
Personas datu apstrāde un privātās dzīves aizsardzība
Personu apliecinošu dokumentu kopiju vākšana un glabāšana, ko veic mobilo telekomunikāciju pakalpojumu sniedzējs
Datu subjekta “piekrišanas” jēdziens
Brīvi sniegta, konkrēta un apzināta norāde uz vēlmēm
Paziņojums par piekrišanu, ar ķeksīti atzīmējot izvēles rūtiņu
Datu subjekta veikta līguma parakstīšana
Pierādīšanas pienākums

Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (
OV 1995, L 281, 31. lpp.
) 2. panta h) punktu, kā arī Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (
OV 2016, L 119, 1. lpp.
), 4. panta 11. punktu.
Šis lūgums ir iesniegts tiesvedībā starp
Orange România SA
un
Autoritatea Naţională Mediavillaională de Supraveghere a Prelucrării Datelor cu caracter Personal
(
ANSPDCP
) (Personas datu apstrādes uzraudzības valsts iestāde, Rumānija) saistībā ar prasību atcelt lēmumu, ar kuru minētā iestāde ir uzlikusi
Orange România
naudas sodu par tās klientu personu apliecinošo dokumentu kopiju vākšanu un glabāšanu bez to pienācīgas piekrišanas un uzdevusi tai iznīcināt šīs kopijas.
Atbilstošās tiesību normas
Savienības tiesības
Direktīva 95/46
Direktīvas 95/46 38. apsvērumā ir noteikts – “ja datu apstrāde ir godprātīga, datu subjektam ir jāuzzina par datu apstrādes darbību un, ja dati ir ievākti no viņa, tam jāsaņem precīza un pilnīga informācija, paturot prātā vākšanas apstākļus”.
Šīs direktīvas 2. panta h) punktā tostarp ir paredzēts, ka šajā direktīvā:
“datu subjekta piekrišana” ir jebkurš labprātīgi sniegts šīs personas vēlmju konkrēts un paziņots norādījum[s], ar kuru datu subjekts izsaka savu piekrišanu uz viņu attiecināmu personas datu apstrādei.”
Minētās direktīvas 6. pantā ir paredzēts:
“1.   Dalībvalstis nosaka to, ka personas datiem jābūt:
a)
apstrādātiem godīgi un likumīgi;
[..].
2.   Personas datu apstrādātājam jānodrošina 1. punkta izpilde.”
Šīs direktīvas 7. panta a) punktā ir noteikts:
“Dalībvalstis paredz to, ka personas datus var apstrādāt tikai, ja:
a)
datu subjekts nepārprotami ir devis savu piekrišanu [..]”
Šīs direktīvas 10. pants ir izteikts šādi:
“Dalībvalstis paredz to, ka personas datu apstrādātājs vai viņa pārstāvis sniedz datu subjektam, no kura ievāc datus, kas uz viņu attiecas, vismaz šādu informāciju, ja vien datu subjektam tā nav zināma:
a)
personas datu apstrādātāja un viņa pārstāvja, ja tāds ir, personas dati;
b)
apstrādes, kurai dati paredzēti, nolūki;
c)
jebkura turpmāka informācija, kā:
–
datu saņēmēji vai datu saņēmēju kategorijas,
–
vai atbildes uz jautājumiem ir obligātas vai brīvprātīgas, kā arī atbildes nesniegšanas iespējamās sekas,
–
datu piekļuves tiesību un tiesību koriģēt datus, kas uz viņu attiecas, pastāvēšana,
ciktāl šāda turpmāka informācija vajadzīga, ņemot vērā konkrētos apstākļus, kādos dati ievākti, lai garantētu godprātīgu apstrādi attiecībā uz datu subjektu.”
Regula 2016/679
Regulas 2016/679 preambulas 32. un 42. apsvērumā ir noteikts:
“(32)
Piekrišana būtu jādod ar skaidri apstiprinošu darbību, kas nozīmē brīvi sniegtu, konkrētu, apzinātu un viennozīmīgu norādi par datu subjekta piekrišanu ar viņu saistīto personas datu apstrādei, piemēram, ar rakstisku, tostarp elektronisku, vai mutisku paziņojumu. Tas varētu ietvert laukuma atzīmēšanu ar ķeksīti interneta tīmekļa vietnē, informācijas sabiedrības pakalpojumu tehnisko iestatījumu izvēli vai citu paziņojumu vai rīcību, kas šajā gadījumā skaidri norāda, ka datu subjekts piekrīt piedāvātajai savu personas datu apstrādei. Klusēšana, iepriekš atzīmēti laukumi vai atturēšanās no darbības tādējādi nebūtu jāuzskata par piekrišanu. Piekrišanai būtu jāattiecas uz visām apstrādes darbībām, ko veic vienā un tajā pašā nolūkā vai nolūkos. Ja apstrādei ir vairāki nolūki, piekrišana būtu jādod visiem nolūkiem. Ja datu subjekta piekrišana ir jādod pēc elektroniska pieprasījuma, pieprasījumam jābūt skaidram, kodolīgam, un tam nav nevajadzīgi jāpārtrauc tā pakalpojuma izmantošana, par ko tas tiek sniegts.”
[..]
(42)
Ja apstrāde pamatojas uz datu subjekta piekrišanu, pārzinim būtu jāspēj uzskatāmi parādīt, ka datu subjekts ir devis piekrišanu apstrādes darbībai. Jo īpaši saistībā ar rakstisku deklarāciju kādā citā jautājumā aizsardzības pasākumiem būtu jānodrošina, ka datu subjekts apzinās to, ka viņš sniedz piekrišanu un kādā apmērā viņš to dara. Saskaņā ar Padomes Direktīvu 93/13/EEK [(1993. gada 5. aprīlis) par negodīgiem noteikumiem patērētāju līgumos (
OV 1993, L 95, 29. lpp.
)] piekrišanas deklarācija, ko pārzinis ir iepriekš noformulējis, būtu jāsniedz saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, un tajā nevajadzētu būt negodīgiem noteikumiem. Lai piekrišanu būtu apzināta, datu subjektam vajadzētu būt informētam vismaz par pārziņa identitāti un paredzētās personas datu apstrādes nolūkiem. Piekrišana nebūtu uzskatāma par brīvi izteiktu, ja datu subjektam nav īstas vai brīvas izvēles, vai viņš nevar atteikties vai atsaukt savu izvēli bez nelabvēlīgām sekām.”
Minētās regulas 4. panta 11. punktā ir paredzēts:
“datu subjekta “piekrišana” ir jebkura brīvi sniegta, konkrēta, apzināta un viennozīmīga norāde uz datu subjekta vēlmēm, ar kuru viņš paziņojuma vai skaidri apstiprinošas darbības veidā sniedz piekrišanu savu personas datu apstrādei.”
Šīs pašas regulas 5. pantā ir noteikts:
“1.   Personas dati:
a)
tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā (“likumīgums, godprātība un pārredzamība”);
[..].
2.   Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”
Saskaņā ar Regulas 2016/679 6. panta 1. punkta a) apakšpunktu:
“1.   Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:
a)
datu subjekts ir devis piekrišanu savu personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem;
[..].”
Regulas 2016/679 7. panta 1., 2. un 4. punktā ir paredzēts:
“1.   Ja apstrāde pamatojas uz piekrišanu, pārzinim ir jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei.
2.   Ja datu subjekta piekrišanu dod saistībā ar rakstisku deklarāciju, kas attiecas arī uz citiem jautājumiem, lūgumu dot piekrišanu norāda tā, lai to varētu skaidri atšķirt no citiem jautājumiem, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu. Jebkura šādas deklarācijas daļa, kura ir šīs regulas pārkāpums, nav saistoša.
[..]
4.   Novērtējot to, vai piekrišana ir dota brīvi, maksimāli ņem vērā to, vai cita starpā līguma izpilde, tostarp pakalpojuma sniegšana, ir atkarīga no piekrišanas tādai personas datu apstrādei, kura nav nepieciešama minētā līguma izpildei.”
Šīs direktīvas 13. panta 1. un 2. punktā ir noteikts:
“1.   Ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz visu šādu informāciju:
a)
pārziņa un attiecīgā gadījumā pārziņa pārstāvja identitāte un kontaktinformācija;
[..].
c)
apstrādes nolūki, kam paredzēti personas dati, kā arī apstrādes juridiskais pamats;
[..].
2.   Papildus 1. punktā minētajai informācijai pārzinis personas datu iegūšanas laikā datu subjektam sniedz šādu papildu informāciju, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi
a)
laikposms, cik ilgi personas dati tiks glabāti, vai, ja tas nav iespējams, kritēriji, ko izmanto minētā laikposma noteikšanai;
b)
tas, ka pastāv tiesības pieprasīt pārzinim piekļuvi datu subjekta personas datiem un to labošanu vai dzēšanu, vai apstrādes ierobežošanu attiecībā uz datu subjektu, vai tiesības iebilst pret apstrādi, kā arī tiesības uz datu pārnesamību;
c)
ja apstrāde pamatojas uz 6. panta 1. punkta a) apakšpunktu vai 9. panta 2. punkta a) apakšpunktu – tiesības jebkurā brīdī atsaukt piekrišanu, neietekmējot tādas apstrādes likumīgumu, kuras pamatā ir pirms atsaukuma sniegta piekrišana.”
Regulas 2016/679 94. panta 1. punktā ir paredzēts:
“Direktīvu 95/46/EK atceļ no 2018. gada 25. maija.”
Regulu 2016/679 saskaņā ar tās 99. panta 2. punktu piemēro no 2018. gada 25. maija.
Rumānijas tiesības
Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date
(Likums Nr. 677/2001 par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti; 2001. gada 12. decembra
Monitorul Oficial al României
, I daļa, Nr. 790) paredz Direktīvas 95/46 noteikumu transponēšanu valsts tiesībās.
Šī likuma 5. panta 1. punktā ir paredzēts:
“1)   Jebkāda personas datu apstrāde, izņemot, ja tā attiecas uz datiem, kas ietilpst 7. panta 1. punktā un 8. un 10. pantā minētajās kategorijās, var tikt veikta vienīgi tad, ja datu subjekts ir skaidri un nepārprotami devis savu piekrišanu šai apstrādei.
[..]”
Saskaņā ar minētā likuma 8. pantu:
“1)   Personas identifikācijas numura vai citu personas datu ar vispārējas piemērojamības identifikācijas funkciju apstrādi var veikt tikai tad, ja:
a)
datu subjekts tieši ir devis savu piekrišanu; vai
b)
apstrāde tieši ir paredzēta tiesību normā.
2)   Uzraudzības iestāde var noteikt arī citus gadījumus, kuros var veikt 1. punktā minēto datu apstrādi, ar nosacījumu, ka nodrošinātas atbilstošas garantijas datu subjektu tiesību ievērošanai.”
Likuma 677/2001 32. pants ir izteikts šādi:
“Personas datu apstrāde, ko veic personas datu apstrādātājs vai viņa pilnvarota persona, pārkāpjot 4.–10. panta noteikumus vai pienācīgi neņemot vērā 12.–15. pantā vai 17. pantā paredzētās tiesības, ir administratīvs pārkāpums, ja vien tas nav izdarīts apstākļos, kādos tas ir uzskatāms par noziedzīgu nodarījumu, un ir sodāms ar naudas sodu no [1000] RON [Rumānijas lejas] līdz [25000] RON.”
Pamatlieta un prejudiciālie jautājumi
Orange România
ir mobilo telekomunikāciju pakalpojumu sniedzējs Rumānijas tirgū.
Ar 2018. gada 28. marta lēmumu
ANSPDCP
uzlika
Orange România
naudas sodu par tās klientu personu apliecinošo dokumentu kopiju glabāšanu, nepierādot, ka šie klienti devuši pienācīgu piekrišanu, vienlaikus uzdodot tai iznīcināt šīs kopijas.
Šajā lēmumā
ANSPDCP
norādīja, ka laikposmā no 2018. gada 1. marta līdz 26. martam
Orange România
bija rakstveidā noslēgusi līgumus par mobilo telekomunikāciju pakalpojumu sniegšanu ar fiziskām personām un ka šiem līgumiem bija pievienotas šo klientu personu apliecinošo dokumentu kopijas.
ANSPDCP
uzskata, ka tā nav iesniegusi pierādījumus, ka tās klienti, kuru līgumiem bija pievienotas viņu personu apliecinošo dokumentu kopijas, bija snieguši pienācīgu piekrišanu attiecībā uz savu personu apliecinošo dokumentu kopiju vākšanu un glabāšanu.
Attiecīgo līgumu noteikumi, kuriem ir nozīme lietā, ir formulēti šādi:
“ – Klients paziņo, ka:
i)
pirms līguma noslēgšanas viņš ir ticis informēts par izvēlēto tarifu plānu, piemērojamiem tarifiem, minimālo līguma darbības laiku, [līguma] izbeigšanas nosacījumiem un pakalpojumu saņemšanas un izmantošanas nosacījumiem, ieskaitot pakalpojumu pārklājuma zonu, [..];
ii)
Orange România
ir darījusi klientam pieejamu visu informāciju, lai tas varētu paust savu apzinātu, tiešu, brīvi sniegtu un konkrētu piekrišanu līguma noslēgšanai un ar to tieši saistītajiem dokumentiem, ieskaitot visiem ar līgumu saistītiem dokumentiem, –
Orange
pakalpojumu izmantošanas vispārējiem noteikumiem un brošūrai par tarifiem un pakalpojumiem;
iii)
ir ticis informēts un sniedzis savu piekrišanu:
–
personas datu apstrādei mērķiem, kas ir paredzēti
Orang
e pakalpojumu izmantošanas vispārējo noteikumu 1.15. punktā;
–
dokumentu, kuros ietverti to identificējoši personas dati, kopiju glabāšanai identifikācijas mērķiem;
–
personas datu (kontakttālrunis un e‑pasts) apstrādei tiešā mārketinga mērķiem;
–
personas datu (kontakttālrunis un e‑pasts) apstrādei tirgus izpētes mērķiem;
–
pēc izlasīšanas izsaku tiešu piekrišanu dokumentu, kuros ietverti personas dati attiecībā uz veselības stāvokli, kopiju glabāšanai;
–
tam, ka
Orange
pakalpojumu vispārējo izmantošanas noteikumu 1.15. punkta 10. apakšpunktā minētie dati nav iekļauti informācijas pakalpojumos, kas ir saistīti ar abonentiem un abonentu reģistriem.”
Orange România
apstrīdēja 2018. gada 28. marta lēmumu
Tribunalul Bucureşti
(Bukarestes apgabaltiesa, Rumānija).
Saskaņā ar iesniedzējtiesas konstatējumiem pastāv, pirmkārt, līgumi, kuros izvēles rūtiņā attiecībā uz noteikumiem par personas datus saturošu dokumentu kopiju saglabāšanu ir iekļauts krustiņš, un, otrkārt, līgumi, kuros šāda krustiņa nav. Šī tiesa precizē, ka, neraugoties uz šajos vispārējos pārdošanas noteikumos iekļautajām norādēm,
Orange România
nav atteikusies noslēgt abonēšanas līgumus ar klientiem, kuri atteicās piekrist sava personu apliecinošā dokumenta kopijas glabāšanai. Minētā tiesa arī norāda, ka
Orange România
pārdošanas “iekšējās procedūras” paredzēja, ka šis atteikums bija jādokumentē īpašā veidlapā, kas šiem klientiem bija jāparaksta pirms līguma noslēgšanas.
Iesniedzējtiesa šaubās par to, vai šādos apstākļos var uzskatīt, ka attiecīgie klienti ir pienācīgi piekrituši sava personu apliecinošā dokumenta iegūšanai un tā kopiju pievienošanai līgumiem. Turklāt tā jautā, vai tāda līguma parakstīšana, kurā ietverts noteikums par personas datus saturošu dokumentu kopiju glabāšanu identifikācijas mērķiem, ļauj pierādīt šādas piekrišanas esamību.
Šādos apstākļos
Tribunalul București
(Bukarestes apgabaltiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:
“1)
Kādi nosacījumi saskaņā ar Direktīvas 95/46 [2.] panta h) punktu ir jāizpilda, lai varētu uzskatīt, ka gribas izteikums ir konkrēts un apzināts?
2)
Kādi nosacījumi saskaņā ar Direktīvas 95/46 2. panta h) punktu ir jāizpilda, lai varētu uzskatīt, ka gribas izteikums ir sniegts labprātīgi?”
Par prejudiciālajiem jautājumiem
Vispirms ir jāizvērtē Direktīvas 95/46 un Regulas 2016/679 piemērojamība pamatlietas faktiskajiem apstākļiem.
Direktīva 95/46 no 2018. gada 25. maija ir atcelta un aizstāta ar Regulu 2016/679 saskaņā ar šīs regulas 94. panta 1. punktu un 99. panta 2. punktu.
Līdz ar to, tā kā pamatlietā aplūkotais
ANSPDCP
lēmums ir pieņemts 2018. gada 28. martā un līdz ar to pirms 2018. gada 25. maija, iesniedzējtiesa pamatoti uzskata, ka pamatlietā
ratione temporis
ir piemērojama Direktīva 95/46.
Ņemot to vērā, no Tiesai iesniegtajiem lietas materiāliem arī izriet, ka
ANSPDCP
ar savu lēmumu ir ne vien uzlikusi
Orange România
naudas sodu, bet arī pienākumu iznīcināt attiecīgo personu apliecinošo dokumentu kopijas, un ka pamatlieta attiecas arī uz pēdējo minēto rīkojumu. Taču, tā kā neviens no šīs lietas materiālu elementiem neliecina, ka minētais rīkojums būtu izpildīts pirms 2018. gada 25. maija, nav izslēgts, ka izskatāmajā lietā attiecībā uz to
ratione temporis
ir piemērojama Regula 2016/679 (šajā nozīmē skat. spriedumu, 2019. gada 1. oktobris, Planet49,
C‑673/17
,
EU:C:2019:801
,
41.
punkts).
Šādos apstākļos, lai Tiesai dotu iespēju sniegt lietderīgas atbildes uz iesniedzējtiesas uzdotajiem jautājumiem, uz šiem jautājumiem ir jāatbild, pamatojoties gan uz Direktīvu 95/46, gan Regulu 2016/679 (pēc analoģijas skat. spriedumu, 2019. gada 1. oktobris, Planet49,
C‑673/17
,
EU:C:2019:801
,
43.
punkts).
Ar abiem prejudiciālajiem jautājumiem, kuri ir analizējami kopā, iesniedzējtiesa būtībā jautā, vai Direktīvas 95/46 2. panta h) punkts un 7. panta a) punkts, kā arī Regulas 2016/679 4. panta 11. punkts un 6. panta 1. punkta a) apakšpunkts ir jāinterpretē tādējādi, ka līgums par telekomunikāciju pakalpojumu sniegšanu, kurā ir ietverta klauzula, saskaņā ar kuru datu subjekts ir ticis informēts un piekritis tā personu apliecinošā dokumenta kopijas vākšanai un glabāšanai identifikācijas mērķiem, var būt izmantojams, lai pierādītu, ka šis datu subjekts ir pienācīgi sniedzis savu piekrišanu šo tiesību normu izpratnē šai vākšanai un glabāšanai.
Šajā ziņā ir jāatgādina, ka Direktīvas 95/46 7. pantā un Regulas 2016/679 6. pantā ir paredzēts izsmeļošs to gadījumu saraksts, kuros personas datu apstrāde var tikt uzskatīta par likumīgu (attiecībā uz Direktīvas 95/46 7. pantu skat. spriedumu, 2016. gada 19. oktobris, Breyer,
C‑582/14
,
EU:C:2016:779
,
57.
punkts un tajā minētā judikatūra, kā arī 2019. gada 1. oktobris, Planet49,
C‑673/17
,
EU:C:2019:801
,
53.
punkts). It īpaši šīs direktīvas 7. panta a) punktā un minētās regulas 6. panta 1. punkta a) apakšpunktā ir paredzēts, ka datu subjekta piekrišana šādu apstrādi var padarīt likumīgu.
Attiecībā uz prasībām, kurām ir pakļauta šāda piekrišana, minētās direktīvas 7. panta a) punktā ir noteikts, ka datu subjektam ir jābūt “nepārprotami devu[šam] savu piekrišanu”, savukārt Direktīvas 95/46 2. panta h) punktā jēdziens “piekrišana” ir definēta kā “jebkurš labprātīgi sniegts šīs personas vēlmju konkrēts un paziņots norādījum[s], ar kuru datu subjekts izsaka savu piekrišanu uz viņu attiecināmu personas datu apstrādei”. Ciktāl šajās tiesību normās ir paredzēts, ka datu subjekts sniedz “vēlmju norādījumu”, lai “nepārprotami” dotu savu piekrišanu, var tikt ņemta vērā tikai šīs personas aktīva rīcība, lai norādītu savu piekrišanu (šajā nozīmē skat. spriedumu, 2019. gada 1. oktobris, Planet49,
C‑673/17
,
EU:C:2019:801
,
52.
un
54.
punkts).
Šī pati prasība attiecas arī uz Regulu 2016/679. Proti, formulējums, kas izmantots šīs regulas 4. panta 11. punktā, kurā definēta “datu subjekta piekrišana” tostarp šīs regulas 6. panta 1. punkta a) apakšpunkta mērķiem, izrādās esam vēl striktāks nekā Direktīvas 95/46 2. panta h) punktā izmantotais formulējums, ciktāl tas paredz, lai datu subjekta gribas norāde būtu “brīvi sniegta, konkrēta, apzināta un viennozīmīga” un izpaustos paziņojuma vai “skaidri apstiprinošas darbības” veidā, ar kuru tiek apstiprināta viņa piekrišana savu personas datu apstrādei. Tādējādi šobrīd Regulā 2016/679 ir skaidri paredzēta aktīva piekrišana (šajā ziņā skat. spriedumu, 2019. gada 1. oktobris, Planet49,
C‑673/17
,
EU:C:2019:801
,
61.
–
63.
punkts).
Šajā ziņā, ja šīs regulas 32. apsvērumā ir precizēts, ka piekrišana varētu tikt dota, tostarp atzīmējot izvēles rūtiņu ar ķeksīti interneta vietnes aplūkošanas laikā, tas skaidri izslēdz piekrišanas esamību “klusēšanas, iepriekš atzīmētu laukumu vai atturēšanās no darbības” gadījumā. Kā Tiesa jau ir nospriedusi, šādā gadījumā izrādās praktiski neiespējami objektīvi noskaidrot nedz to, vai tīmekļvietnes lietotājs ir faktiski devis savu piekrišanu savu personas datu apstrādei, neizņemdams ķeksīti no iepriekš ar to atzīmētas izvēles rūtiņas, nedz arī katrā ziņā to, vai šī piekrišana ir sniegta apzināti. Proti, nevar tikt izslēgts, ka minētais lietotājs nav izlasījis ar ķeksīti iepriekš atzīmētās izvēles rūtiņas pavadinformāciju vai pat ir turpinājis darboties apmeklētajā tīmekļvietnē, šo izvēles rūtiņu vispār neievērojis (šajā nozīmē skat. spriedumu, 2019. gada 1. oktobris, Planet49,
C‑673/17
,
EU:C:2019:801
,
55.
un
57.
punkts).
Turklāt Direktīvas 95/46 2. panta h) punktā un Regulas 2016/679 4. panta 11. punktā ir paredzēta “konkrēta” gribas izpausme tādā ziņā, ka tai ir jāattiecas tieši uz attiecīgo datu apstrādi un to nevar izsecināt no gribas izpausmes ar atšķirīgu priekšmetu (attiecībā uz Direktīvas 95/46 2. panta h) punktu skat. spriedumu, 2019. gada 1. oktobris, Planet49,
C‑673/17
,
EU:C:2019:801
,
58.
punkts.
Šajā ziņā šīs regulas 7. panta 2. punkta pirmajā teikumā ir precizēts, ka tad, ja datu subjekta piekrišanu dod saistībā ar rakstisku deklarāciju, kas attiecas arī uz citiem jautājumiem, lūgumu dot piekrišanu norāda tā, lai to varētu skaidri atšķirt no citiem jautājumiem. It īpaši no pēdējās minētās tiesību normas, lasot to kopsakarā ar minētās regulas 42. apsvērumu, izriet, ka šāda deklarācija ir jāsniedz saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, it īpaši attiecībā uz paziņojumu par piekrišanu, kas iepriekš ir jāsagatavo personas datu pārzinim.
Attiecībā uz prasību, kas izriet no Direktīvas 95/46 2. panta h) punkta un Regulas 2016/679 4. panta 11. punkta, saskaņā ar kuru piekrišanai ir jābūt attiecīgi “informētai” vai “apzinātai”, šī prasība atbilstoši šīs direktīvas 10. pantam, aplūkojot to 38. apsvēruma gaismā, kā arī šīs regulas 13. pantam, aplūkojot to 42. apsvēruma gaismā, nozīmē, ka datu apstrādātājam ir jāsniedz datu subjektam informācija par visiem ar datu apstrādi saistītiem apstākļiem saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, un šim datu subjektam it īpaši jābūt zināmam apstrādājamo datu veidam, personas datu apstrādātāja personas datiem, šīs apstrādes ilgumam un noteikumiem, kā arī nolūkiem, kuriem tā ir paredzēta. Šādai informācijai ir jāļauj minētajam subjektam viegli noteikt viņa iespējami sniegtas piekrišanas sekas un jāgarantē, ka šī piekrišana tiek dota, pilnībā apzinoties visus apstākļus (pēc analoģijas skat. spriedumu, 2019. gada 1. oktobris, Planet49,
C‑673/17
,
EU:C:2019:801
,
74.
punkts).
Turklāt, kā Komisija ir norādījusi Tiesai iesniegtajos apsvērumos, no Direktīvas 95/46 10. panta c) punkta otrā ievilkuma un Regulas 2016/679 13. panta 2. punkta b) un c) apakšpunkta, aplūkojot tos 42. apsvēruma gaismā, izriet, ka, lai datu subjektam nodrošinātu patiesu izvēles brīvību, līguma noteikumi nedrīkst maldināt datu subjektu par iespēju noslēgt līgumu, pat ja tas atsakās piekrist savu datu apstrādei. Ja šāda veida informācija nav sniegta, nevar uzskatīt, ka šī subjekta piekrišana savu personas datu apstrādei būtu sniegta brīvi, ne arī par tādu, kas sniegta apzināti un informēti.
Jāpiebilst, ka saskaņā ar Direktīvas 95/46 6. panta 1. punkta a) apakšpunktu un 2. punktu, kā arī Regulas 2016/679 5. panta 1. punkta a) apakšpunktu personas datu pārzinim tostarp ir jānodrošina šo datu apstrādes likumība un, kā precizēts šī 5. panta 2. punktā, tam ir jāspēj pierādīt šo likumību. Konkrētāk, runājot par datu subjekta iespējamo piekrišanu, šīs direktīvas 7. panta a) punktā ir paredzēts, ka datu subjektam ir “nepārprotami” jābūt sniegušam savu piekrišanu, kas nozīmē, kā ģenerāladvokāts to ir norādījis savu secinājumu 56. punktā, ka pārzinim ir pierādīšanas pienākums par pienācīgas piekrišanas esamību. Minētās regulas 7. panta 1. punktā šobrīd ir noteikts, ka tad, ja apstrāde ir pamatota ar piekrišanu, šim pārzinim ir jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei.
Izskatāmajā lietā
Orange România
Tiesai iesniegtajos apsvērumos ir norādījusi, ka pamatlietā aplūkoto līgumu noslēgšanas procedūras laikā tās pārdošanas aģenti pirms līgumu noslēgšanas informē attiecīgos klientus, it īpaši par personu apliecinošu dokumentu kopiju vākšanas un glabāšanas mērķiem, kā arī par klientiem pieejamo izvēli attiecībā uz šo vākšanu un glabāšanu, pirms tie saņem šo klientu mutvārdu piekrišanu šādai vākšanai un glabāšanai.
Orange România
uzskata, ka ar personu apliecinošu dokumentu kopiju glabāšanu saistītā izvēles rūtiņa tādējādi tika atzīmēta, balstoties vienīgi uz brīvi sniegtu piekrišanu, kuru šajā ziņā līguma noslēgšanas laikā paudušas attiecīgās personas.
Šādos apstākļos lūguma sniegt prejudiciālu nolēmumu mērķis būtībā ir noskaidrot, vai šādi norādītā piekrišana tādai personas datu apstrādei var tikt pierādīta, pamatojoties uz šajos līgumos ietvertajām līguma klauzulām.
Šajā ziņā no šajā lūgumā sniegtajām norādēm izriet, ka, lai gan minētajos līgumos ir ietverta klauzula, saskaņā ar kuru attiecīgie klienti ir tikuši informēti un devuši piekrišanu sava personu apliecinošā dokumenta kopijas glabāšanai,
Orange România
pārdošanas aģenti ar šo klauzulu saistīto izvēles rūtiņu jau bija atzīmējuši ar ķeksīti, pirms šie klienti bija parakstījušies par piekrišanu visiem līguma noteikumiem, proti, gan minētajai klauzulai, gan citiem ar datu aizsardzību nesaistītiem noteikumiem. Minētajā lūgumā vēl ir norādīts – lai gan pamatlietā aplūkotajos līgumos tas nav precizēts –, ka
Orange România
piekrita noslēgt šos līgumus ar klientiem, kuri atteicās dot piekrišanu sava personu apliecinošā dokumenta kopijas glabāšanai, vienlaikus šajā gadījumā pieprasot, lai šie klienti parakstītu īpašu veidlapu, kurā norādīts viņu atteikums.
Taču, tā kā saskaņā ar šīm norādēm nešķiet, ka attiecīgie klienti paši būtu atzīmējuši ar minēto klauzulu saistīto izvēles rūtiņu ar ķeksīti, tas vien, ka šī rūtiņa ir atzīmēta ar ķeksīti, neļauj konstatēt šo klientu pozitīvas piekrišanas izpausmi viņu personu apliecinošā dokumenta kopijas vākšanai un glabāšanai. Kā ģenerāladvokāts ir norādījis secinājumu 45. punktā, apstāklis, saskaņā ar kuru minētie klienti ir parakstījuši līgumus, kuros ietverta ar ķeksīti atzīmēta izvēles rūtiņa, pats par sevi neļauj konstatēt šādu piekrišanu, ja nav norāžu, kas apstiprinātu, ka šī klauzula faktiski ir tikusi izlasīta un izprasta. Iesniedzējtiesai ir jāveic nepieciešamās pārbaudes šajā ziņā.
Turklāt, ciktāl nešķiet, ka ar šo datu apstrādi saistītā izvēles rūtiņa būtu tikusi noformēta tādā veidā, kas to skaidri nošķirtu no citiem līguma noteikumiem, tai ir jāizvērtē, vai, ņemot vērā šī sprieduma 34. punktā esošos apsvērumus, šo līgumu parakstīšana, kas attiecas uz vairākiem līguma noteikumiem, var tikt uzskatīta par norādi uz konkrētu piekrišanu personas datu vākšanai un glabāšanai Direktīvas 95/46 2. panta h) punkta izpratnē un Direktīvas 2016/679 4. panta 11) punkta izpratnē.
Turklāt, tā kā pamatlietā aplūkotajā līguma klauzulā ir vienīgi norādīta personu apliecinošu dokumentu glabāšana identifikācijas mērķiem bez jebkādām citām norādēm, iesniedzējtiesai ir jāpārbauda, vai datu subjektu informēšana atbilst prasībām, kuras izvirzītas Direktīvas 95/46 10. pantā un Regulas 2016/679 13. pantā, kuros ir norādīta informācija, kas personas datu apstrādātājam ir jāsniedz personai, no kuras viņš ievāc datus, kas uz viņu attiecas, lai tai nodrošinātu godprātīgu datu apstrādi.
Šai tiesai tostarp arī ir jāizvērtē, vai pamatlietā aplūkotie līguma noteikumi var maldināt datu subjektu attiecībā uz iespēju noslēgt līgumu, neraugoties uz atteikumu piekrist savu datu apstrādei, ja nav sniegti precizējumi par šo jautājumu, tādējādi radot šaubas par minētajā parakstīšanas brīdī paustās piekrišanas apzinātību un informētību.
Turklāt, kā ģenerāladvokāts ir norādījis secinājumu 60. punktā, šīs piekrišanas brīvo raksturu liek apšaubīt apstāklis, ka tās atteikuma gadījumā
Orange România
, atkāpjoties no parastās procedūras, kuras rezultātā tiek noslēgts līgums, pieprasīja, lai attiecīgais klients rakstveidā paziņotu, ka viņš nepiekrīt ne viņa personu apliecinošā dokumenta kopijas vākšanai, ne glabāšanai. Kā tiesas sēdē norādīja Komisija, šāda papildu prasība var nepamatoti ietekmēt brīvu izvēli iebilst pret šādu vākšanu un glabāšanu, un arī tas ir jāpārbauda iesniedzējtiesai.
Katrā ziņā, kā izriet no šī sprieduma 35., 36. un 42. punktā izklāstītajiem apsvērumiem,
Orange România
kā datu apstrādātājai ir jāpierāda, ka tās klienti ar aktīvu rīcību ir norādījuši piekrišanu savu personas datu apstrādei tādējādi, ka šī sabiedrība nevarētu pieprasīt, lai tie aktīvi paustu atteikumu.
Ņemot vērā iepriekš minētos apsvērumus, uz uzdotajiem jautājumiem ir jāatbild, ka Direktīvas 95/46 2. panta h) punkts un 7. panta a) punkts, kā arī Regulas 2016/679 4. panta 11. punkts un 6. panta 1. punkta a) apakšpunkts ir jāinterpretē tādējādi, ka datu apstrādātājam ir jāpierāda, ka datu subjekts ar aktīvu rīcību ir norādījis piekrišanu savu personas datu apstrādei un ka tas iepriekš ir saņēmis informāciju attiecībā uz visiem ar šo apstrādi saistītajiem apstākļiem saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, kas ļauj viņam viegli izprast šīs piekrišanas sekas tādējādi, ka tiek nodrošināts, ka tā ir sniegta, pilnībā apzinoties visus apstākļus. Līgums par telekomunikāciju pakalpojumu sniegšanu, kurā ir ietverta klauzula, saskaņā ar kuru datu subjekts ir ticis informēts un piekritis sava personu apliecinošā dokumenta kopijas vākšanai un glabāšanai identifikācijas mērķiem, nevar pierādīt, ka šis subjekts ir pienācīgi sniedzis piekrišanu šo tiesību normu izpratnē šai vākšanai un glabāšanai, ja:
–
datu pārzinis pirms līguma parakstīšanas ir atzīmējis ar ķeksīti izvēles rūtiņu, kas attiecas uz šo klauzulu, vai ja
–
minētā līguma noteikumi var maldināt datu subjektu attiecībā uz iespēju noslēgt attiecīgo līgumu pat tad, ja tas atsakās piekrist savu datu apstrādei, vai ja
–
šis pārzinis netaisnīgi ir ietekmējis brīvu izvēli iebilst pret šo vākšanu un glabāšanu, pieprasot, lai datu subjekts, atsakoties sniegt piekrišanu, aizpildītu papildu veidlapu, kurā norādīts šis atteikums.
Par tiesāšanās izdevumiem
Attiecībā uz pamatlietas pusēm šī tiesvedība ir stadija procesā, kuru izskata iesniedzējtiesa, un tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav pamatlietas dalībnieku izdevumi, nav atlīdzināmi.

Ar šādu pamatojumu Tiesa (otrā palāta) nospriež:

Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti 2. panta h) punkts un 7. panta a) punkts, kā arī Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46 (Vispārīgā datu aizsardzības regula) 4. panta 11. punkts un 6. panta 1. punkta a) apakšpunkts ir jāinterpretē tādējādi, ka datu apstrādātājam ir jāpierāda, ka datu subjekts ar aktīvu rīcību ir norādījis piekrišanu savu personas datu apstrādei un ka tas iepriekš ir saņēmis informāciju attiecībā uz visiem ar šo apstrādi saistītajiem apstākļiem saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, kas ļauj viņam viegli izprast šīs piekrišanas sekas tādējādi, ka tiek nodrošināts, ka tā ir sniegta, pilnībā apzinoties visus apstākļus. Līgums par telekomunikāciju pakalpojumu sniegšanu, kurā ir ietverta klauzula, saskaņā ar kuru datu subjekts ir ticis informēts un piekritis sava personu apliecinošā dokumenta kopijas vākšanai un glabāšanai identifikācijas mērķiem, nevar pierādīt, ka šis subjekts ir pienācīgi sniedzis piekrišanu šo tiesību normu izpratnē šai vākšanai un glabāšanai, ja:

–
datu pārzinis pirms līguma parakstīšanas ir atzīmējis ar ķeksīti izvēles rūtiņu, kas attiecas uz šo klauzulu, vai ja
–
minētā līguma noteikumi var maldināt datu subjektu attiecībā uz iespēju noslēgt attiecīgo līgumu pat tad, ja tas atsakās piekrist savu datu apstrādei, vai ja
–
šis pārzinis netaisnīgi ir ietekmējis brīvu izvēli iebilst pret šo vākšanu un glabāšanu, pieprasot, lai datu subjekts, atsakoties sniegt piekrišanu, aizpildītu papildu veidlapu, kurā norādīts šis atteikums.

[Paraksti]
(
*1
)	Tiesvedības valoda – rumāņu.