CELEX: 62019CJ0061
Преюдициално запитване
Директива 95/46/ЕО
Член 2, буква з) и член 7, буква a)
Регламент (ЕС) 2016/679
Член 4, точка 11 и член 6, параграф 1, буква a)
Обработване на лични данни и защита на личния живот
Събиране и съхраняване на копия от документи за самоличност от доставчик на мобилни далекосъобщителни услуги
Понятие за „съгласие“ на субекта на данни
Свободно, конкретно и информирано изразяване на воля
Деклариране на съгласие чрез отметка в съответното поле
Подписване на договора от субекта на данни
Тежест на доказване

Преюдициалното запитване се отнася до тълкуването на член 2, буква з) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (
ОВ L 281, 1995 г. стр. 31
; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10) и на член 4, точка 11 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (
ОВ L 119, 2016 г., стр. 1
).
Това запитване е отправено по дело между Orange România SA и Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Национален орган за надзор върху обработването на лични данни, Румъния) (наричан по-нататък „ANSPDCP“), образувано по жалба за отмяна на решение, с което последният е наложил на Orange România глоба за това, че е събирало и съхранявало копия от документите за самоличност на своите клиенти без надлежно съгласие от тяхна страна, и го е задължил да унищожи тези копия.
Правна уредба
Правото на Съюза
Директива 95/46
Съображение 38 от Директива 95/46 гласи, че „за да може процесът на обработка на данните да бъде справедлив, съответното физическо лице трябва да може да научи за съществуването на операция по обработката, и когато данните се събират от него, трябва да получи точна и пълна информация, като се отчитат обстоятелствата по събирането на тези данни“.
Член 2, буква з) от тази директива предвижда, че за целите на директивата:
„съгласие на съответното физическо лице“ означава всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него“.
Член 6 от посочената директива предвижда:
„1.   Държавите членки предвиждат, че личните данни трябва:
а)
да се обработват справедливо и законно;
[…]
2.   Администраторът осигурява спазването на параграф 1“.
Съгласно член 7, буква а) от посочената директива:
„Държавите членки предвиждат, че обработването на лични данни може да се извършва, само ако:
а)
съответното физическо лице е дало недвусмислено своето съгласие за това […]“.
Член 10 от тази директива гласи следното:
„Държавите членки предвиждат, че администраторът или неговият представител трябва да предостави на съответното физическо лице, от което се събират данни, отнасящи се за сам[ото] него, най-малкото следната информация, освен в случаите, когато то вече я притежава:
а)
самоличността на администратора или на неговия представител, когато има такъв;
б)
целта на обработването, за което данните са предназначени;
в)
всякаква допълнителна информация, като:
–
получателите или категориите получатели на данни,
–
дали отговорите на въпросите са задължителни или доброволни, както и евентуалните последици при липса на отговор,
–
наличието на право на достъп и на право на поправка на данните, които се отнасят до него,
доколкото подобна допълнителна информация е необходима като се отчитат конкретните обстоятелства, при които се събират данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице“.
Регламент 2016/679
Съображения 32 и 42 от Регламент 2016/679 гласят:
„(32)
Съгласие следва да се дава чрез ясно утвърдителен акт, с който да се изразява свободно дадено, конкретно, информирано и недвусмислено заявление за съгласие от страна на субекта на данни за обработване на свързани с него лични данни, например чрез писмена декларация, включително по електронен път, или устна декларация. Това може да включва отбелязване с отметка в поле при посещението на уебсайт в интернет, избиране на технически настройки за услуги на информационното общество или друго заявление или поведение, което ясно показва, че субектът на данни е съгласен с предложеното обработване на неговите лични данни. Поради това мълчанието, предварително отметнатите полета или липсата на действие не следва да представляват съгласие. Съгласието следва да обхваща всички дейности по обработване, извършени за една и съща цел или цели. Когато обработването преследва повече цели, за всички тях следва да бъде дадено съгласие. Ако съгласието на субекта на данни трябва да се даде след искане по електронен път, искането трябва да е ясно, сбито и да не нарушава излишно използването на услугата, за която се предвижда.
[…]
(42)
Когато обработването се извършва въз основа на съгласието на субекта на данните, администраторът следва да може да докаже, че субектът на данните е дал съгласието си за операцията по обработване. По-специално, в случай на писмена декларация по друг въпрос, с гаранциите следва да се обезпечи, че субектът на данни е информиран за това, че дава съгласието си, и в каква степен го дава. В съответствие с Директива 93/13/EИО на Съвета [от 5 април 1993 година относно неравноправните клаузи в потребителските договори (
ОВ L 95, 1993 г., стр. 29
; Специално издание на български език 2007 г., глава 15, т. 2, стр. 273)] следва да бъде осигурена предварително съставена от администратора декларация за съгласие в разбираема и леснодостъпна форма, на ясен и прост език, която не следва да съдържа неравноправни клаузи. За да бъде съгласието информирано, субектът на данни следва да знае поне самоличността на администратора и целите на обработването, за което са предназначени личните данни. Съгласието не следва да се разглежда като свободно дадено, ако субектът на данни няма истински и свободен избор и не е в състояние да откаже или да оттегли съгласието си, без това да доведе до вредни последици за него“.
Член 4, точка 11 от посочения регламент предвижда:
„съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени“.
Член 5 от същия регламент гласи:
„1.   Личните данни са:
а)
обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);
[…]
2.   Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.
Съгласно член 6, параграф 1, буква а) от Регламент № 2016/679:
„1.   Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
а)
субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
[…]“.
Член 7, параграфи 1, 2 и 4 от Регламент 2016/679 гласи следното:
„1.   Когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни.
2.   Ако съгласието на субекта на данните е дадено в рамките на писмена декларация, която се отнася и до други въпроси, искането за съгласие се представя по начин, който ясно да го отличава от другите въпроси, в разбираема и леснодостъпна форма, като използва ясен и прост език. Никоя част от такава декларация, която представлява нарушение на настоящия регламент не е обвързваща.
[…]
4.   Когато се прави оценка дали съгласието е било свободно изразено, се отчита най-вече дали, inter alia, изпълнението на даден договор, включително предоставянето на дадена услуга, е поставено в зависимост от съгласието за обработване на лични данни, което не е необходимо за изпълнението на този договор“.
Член 13, параграфи 1 и 2 от този регламент гласи:
„1.   Когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните цялата посочена по-долу информация:
а)
данните, които идентифицират администратора и координатите за връзка с него и, когато е приложимо, тези на представителя на администратора;
[…]
в)
целите на обработването, за което личните данни са предназначени, както и правното основание за обработването;
[…]
2.   Освен информацията, посочена в параграф 1, в момента на получаване на личните данни администраторът предоставя на субекта на данните следната допълнителна информация, която е необходима за осигуряване на добросъвестно и прозрачно обработване:
а)
срока, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определяне на този срок;
б)
съществуването на право да се изиска от администратора достъп до, коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или право да се направи възражение срещу обработването, както и правото на преносимост на данните;
в)
когато обработването се основава на член 6, параграф 1, буква а) или член 9, параграф 2, буква а), съществуването на право на оттегляне на съгласието по всяко време, без да се засяга законосъобразността на обработването въз основа на съгласие, преди то да бъде оттеглено“.
Член 94, параграф 1 от Регламент 2016/679 предвижда:
„Директива 95/46/ЕО се отменя, считано от 25 май 2018 г.“.
Съгласно член 99, параграф 2 от Регламент 2016/679 последният се прилага от 25 май 2018 г.
Румънското право
Целта на Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Закон № 677/2001 за защита на лицата при обработването на личните данни и за свободното движение на тези данни) (
Monitorul Oficial al României
, част I, бр. 790 от 12 декември 2001 г.) е да транспонира разпоредбите на Директива 95/46 в националното право.
Член 5, параграф 1 от този закон гласи:
„1)   Всяко обработване на лични данни, освен когато се отнася до данните от категориите, посочени в член 7, параграф 1 и членове 8 и 10, може да се извърши само ако субектът на данни изрично и недвусмислено е дал своето съгласие за това.
[…]“.
Съгласно член 8 от посочения закон:
„1)   С оглед на това, че обработването на личния граждански номер или на други лични данни има функция за общоприложимо идентифициране, то може да се извършва само ако:
а)
субектът на данни е дал изрично съгласието си; или
b)
обработването е предвидено изрично от правна разпоредба.
2)   Надзорният орган може да определи други случаи, в които може да се обработват данните, посочени в параграф 1, при условие че предвиди подходящи гаранции за спазване на правата на субектите на данни“.
Член 32 от Закон 677/2001 гласи следното:
„Обработването на личните данни от администратор или от лице, упълномощено от него, в нарушение на разпоредбите на членове 4—10 или при несъблюдаване на правата, предвидени в членове 12—15 или в член 17, представлява административно нарушение, доколкото не осъществява състав на престъпление, и се наказва с глоба от [1000] RON до [25000] RON“.
Спорът в главното производство и преюдициалните въпроси
Orange România е доставчик на мобилни далекосъобщителни услуги на румънския пазар.
С решение от 28 март 2018 г. ANSPDCP налага на Orange România глоба за това, че съхранява копия от документите за самоличност на своите клиенти, без да е доказало, че тези клиенти са дали надлежно съгласие, и го задължава да унищожи тези копия.
В това решение ANSPDCP посочва, че в периода от 1 до 26 март 2018 г. Orange România е сключило писмено договори за предоставяне на мобилни далекосъобщителни услуги с физически лица и че копия от документите за самоличност на тези лица са приложени към договорите. Според ANSPDCP Orange România не е доказало, че неговите клиенти, към чиито договори са приложени копия от документите им за самоличност, са дали надлежно съгласие за събирането и съхраняването на копия от документите им за самоличност.
Релевантните клаузи от въпросните договори гласят следното:
„– Клиентът заявява, че:
(i)
е информиран преди сключването на договора за избрания тарифен план, за приложимите тарифи, за минималния срок на договора, за условията при които той се прекратява и за условията за достъп до и ползване на услугите, включително за зоните, покрити от услугите, […],
(ii)
Orange România предоставя на клиента цялата необходима информация, за да изрази неопорочено, изрично, свободно и конкретно съгласие за сключването и изричното приемане на договора, включително на цялата документация по договора — Общите условия за ползването на услугите на Orange и Брошурата за тарифите и услугите,
(iii)
е информиран и дава съгласието си за:
–
обработването на личните данни за целите, предвидени в член 1.15 от Общите условия за ползването на услугите на Orange;
–
съхраняването с идентификационна цел на копия от документите, които съдържат лични данни;
–
обработването на личните данни (телефон за контакт, адрес на електронната поща) за целите на директния маркетинг;
–
обработването на личните данни (телефон за контакт, адрес на електронната поща) за целите на извършването на маркетингови проучвания;
–
прочетох и изрично се съгласявам да бъде съхранявано копие от документите, които съдържат лични данни за здравето;
–
данните, посочени в член 1.15, параграф 10 от Общите условия за ползването на услугите на Orange, да не бъдат включвани в информационните услуги за абонатите и в телефонните указатели“.
Orange România обжалва решението от 28 март 2018 г. пред Tribunalul Bucureşti (Градски съд Букурещ, Румъния).
Съгласно установеното от запитващата юрисдикция съществуват, от една страна, договори, в които с кръстче е отметнато полето относно клаузата за съхранение с идентификационна цел на съдържащи лични данни документи, и от друга страна, договори, в които няма такова кръстче. Тази юрисдикция уточнява, че въпреки посоченото в общите му условия за продажба, Orange România не е отказвало сключване на абонаментни договори с клиенти, които отказват да дадат съгласие за съхранение на копие от някой от документите им за самоличност. Посочената юрисдикция отбелязва също, че „вътрешните процедури“ за продажби на Orange România предвиждат, че този отказ трябва да се отрази в специален формуляр, който се подписва от клиентите преди сключването на договора.
Запитващата юрисдикция иска да установи дали при тези обстоятелства може да се счита, че съответните клиенти са дали надлежно съгласие за събирането на техните документи за самоличност и за прилагането на копия от тях към договорите. Освен това тя се пита дали подписването на договор, в който е включена клауза относно съхраняването с идентификационна цел на копия от съдържащите лични данни документи, позволява да се докаже наличието на такова съгласие.
При тези обстоятелства Tribunalul București (Градски съд Букурещ) решава да спре производството по делото и да постави на Съда следните преюдициални въпроси:
„1)
Кои са условията, които трябва да бъдат изпълнени, за да може да се приеме, че волята е изразена конкретно и информирано по смисъла на член [2], буква з) от Директива 95/46/ЕО?
2)
Кои са условията, които трябва да бъдат изпълнени, за да може да се приеме, че волята е изразена свободно по смисъла на член 2, буква з) от Директива 95/46/ЕО?“.
По преюдициалните въпроси
Най-напред следва да се определи дали Директива 95/46 и Регламент 2016/679 са приложими по отношение на фактите в главното производство.
По силата на член 94, параграф 1 и член 99, параграф 2 от Регламент 2016/679, Директива 95/46 е отменена и заменена с този регламент, считано от 25 май 2018 г.
Следователно, тъй като обжалваното в главното производство решение на ANSPDCP е прието на 28 март 2018 г., тоест преди 25 май 2018 г., правилно запитващата юрисдикция счита, че Директива 95/46 се прилага ratione temporis към спора в главното производство.
Въпреки това, от предоставената на Съда преписка също така е видно, че с решението си ANSPDCP не само е наложила глоба на Orange România, но и му е разпоредила да унищожи разглежданите копия от документи за самоличност и че спорът в главното производство се отнася и до това разпореждане. Тъй като нищо в преписката не сочи посоченото разпореждане да е било изпълнено преди 25 май 2018 г., не е изключено в случая, що се отнася до него, да се окаже приложим ratione temporis Регламент 2016/679 (вж. в този смисъл решение от 1 октомври 2019 г., Planet49,
C‑673/17
,
EU:C:2019:801
, т.
).
При тези обстоятелства, за да може да са полезни, отговорите на Съда на въпросите, поставени от запитващата юрисдикция, следва да се основават както на Директива 95/46, така и на Регламент 2016/679 (вж. по аналогия решение от 1 октомври 2019 г., Planet49,
C‑673/17
,
EU:C:2019:801
, т.
).
С двата си преюдициални въпроса, които следва да бъдат разгледани заедно, запитващата юрисдикция по същество иска да установи дали член 2, буква з) и член 7, буква a) от Директива 95/46, както и член 4, точка 11 и член 6, параграф 1, буква a) от Регламент 2016/679 трябва да се тълкуват в смисъл, че с договор за предоставяне на далекосъобщителни услуги, съдържащ клауза, според която субектът на данни е информиран за събирането и съхраняването на копие от документа му за самоличност и е дал съгласието си за тях, може да се докаже, че по смисъла на тези разпоредби това лице е дало надлежно съгласие за събирането и съхраняването.
В това отношение следва да се припомни, че член 7 от Директива 95/46 и член 6 от Регламент 2016/679 предвиждат изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно (вж., що се отнася до член 7 от Директива 95/46, решение от 19 октомври 2016 г., Breyer,
C‑582/14
,
EU:C:2016:779
, т.
и цитираната съдебна практика и от 1 октомври 2019 г., Planet49,
C‑673/17
,
EU:C:2019:801
, т.
). По-специално член 7, буква a) от тази директива и член 6, параграф 1, буква a) от посочения регламент предвиждат, че при съгласие на субекта на данни това обработване може да е законно.
Що се отнася до изискванията относно това съгласие, член 7, буква a) от посочената директива предвижда субектът на данни да „е дал[…] недвусмислено своето съгласие“, докато член 2, буква з) от Директива 95/46 определя понятието „съгласие“ като „всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него“. Доколкото тези разпоредби предвиждат, че субектът на данни трябва да изрази „волята“ си, за да даде „недвусмислено“ своето съгласие, само активното поведение на това лице, насочено към изразяване на съгласието му, може да се вземе предвид (вж. в този смисъл решение от 1 октомври 2019 г., Planet49,
C‑673/17
,
EU:C:2019:801
, т.
и
)
Същото изискване се прилага и в рамките на Регламент 2016/679. Всъщност текстът на член 4, точка 11 от този регламент, който определя „съгласие[то] на субекта на данни“ за целите по-специално на член 6, параграф 1, буква a) от Регламента, се оказва още по-стриктен от този на член 2, буква з) от Директива 95/46, доколкото изисква „свободно изразено, конкретно, информирано и недвусмислено“ указание за волята на субекта на данни под формата на изявление или „ясно потвърждаващо действие“, което изразява съгласието му свързаните с него лични данни да бъдат обработени. Така активното даване на съгласие сега е вече изрично предвидено в Регламент 2016/679 (вж. в този смисъл решение от 1 октомври 2019 г., Planet49,
C‑673/17
,
EU:C:2019:801
, т.
—
).
В това отношение, макар да уточнява, че съгласието може да бъде изразено по-специално чрез отбелязване с отметка в поле при посещението на уебсайт, съображение 32 от този регламент изключва наличието на съгласие в случаите на „мълчание[…], предварително отметнати[…] полета или липса[…] на действие“. Както Съдът вече е приел, в такава хипотеза се оказва практически невъзможно да се определи обективно дали потребителят на уебсайт действително е дал съгласие за обработването на неговите лични данни, като не е премахнал отбелязването в предварително отметнато поле, както и при всички положения дали даденото съгласие е било информирано. Всъщност не може да се изключи, че въпросният потребител не е прочел информацията към предварително отметнатото поле или не го е забелязал, преди да продължи с действията си на уебсайта, който посещава (вж. в този смисъл решение от 1 октомври 2019 г., Planet49,
C‑673/17
,
EU:C:2019:801
, т.
и
).
Освен това член 2, буква з) от Директива 95/46 и член 4, точка 11 от Регламент 2016/679 изискват „конкретно“ изразена воля в смисъл, че тя трябва да се отнася именно за съответното обработване на данни и не би могла да се извежда от волеизявление със самостоятелен предмет (вж. в този смисъл, що се отнася до член 2, буква з) от Директива 95/46, решение от 1 октомври 2019 г., Planet49,
C‑673/17
,
EU:C:2019:801
, т.
).
В това отношение член 7, параграф 2, първо изречение от този регламент уточнява, че когато съгласието на субекта на данните е дадено в рамките на писмена декларация, която се отнася и до други въпроси, искането за съгласие се представя по начин, който ясно да го отличава от другите въпроси. По-специално от тази разпоредба във връзка със съображение 42 от посочения регламент следва, че подобна декларация трябва да бъде в разбираема и леснодостъпна форма, на ясен и прост език, по-специално когато става въпрос за декларация за съгласие, която се изготвя предварително от администратора на личните данни.
Що се отнася до произтичащото от член 2, буква з) от Директива 95/46 и член 4, точка 11 от Регламент 2016/679 изискване съгласието да бъде „информирано“, в съответствие с член 10 във връзка със съображение 38 от тази директива и с член 13 във връзка със съображение 42 от този регламент, това изискване означа, администраторът да предостави на субекта на данни, при отчитане на всички обстоятелства по обработването на данните, информация в разбираема и леснодостъпна форма, на ясен и прост език, като субектът на данни трябва да бъде запознат по-специално с вида на данните, които ще бъдат обработвани, самоличността на администратора, продължителността на обработването, реда, по който то ще се извърши, и конкретните му цели. Подобна информация трябва да позволи на посочения субект лесно да определи последиците от евентуално даденото съгласие и да гарантира, че съгласието се дава при пълно познаване на фактите (вж. по аналогия решение от 1 октомври 2019 г., Planet49,
C‑673/17
,
EU:C:2019:801
, т.
).
Освен това, както отбелязва Комисията в представеното пред Съда становище, от член 10, буква в), второ тире от Директива 95/46 и от член 13, параграф 2, букви б) и в) във връзка със съображение 42 от Регламент 2016/679 следва, че за да се осигури на субекта на данни истински свободен избор, клаузите на договора не трябва да въвеждат субекта на данни в заблуждение, що се отнася до възможността да сключи договора, дори да отказва да даде съгласие за обработване на неговите данни. При липса на информация от такова естество, съгласието на това лице за обработване на личните му данни не може да се счита за свободно дадено, нито освен това за информирано.
Следва да се добави, че съгласно член 6, параграф 1, буква a) и параграф 2 от Директива 95/46 както и съгласно член 5, параграф 1, буква а) от Регламент 2016/679 администраторът на лични данни е длъжен да гарантира по-специално законосъобразността на обработването на тези данни и, както уточнява параграф 2 от този член 5, трябва да може да докаже, че то е законосъобразно. Що се отнася по-специално до евентуалното съгласие на субекта на данни, член 7, буква a) от тази директива предвижда, че субектът на данни трябва да е дало „недвусмислено“ своето съгласие, което означава, както посочва генералният адвокат в точка 56 от заключението си, че доказването на наличието на надлежно съгласие е в тежест на администратора на лични данни. Член 7, параграф 1 от посочения регламент вече предвижда, че когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни.
В случая в становището си пред Съда Orange România изтъква, че процедурата за сключване на разглежданите в главното производство договори била преди сключването на договорите неговите агенти по продажби да информират съответните клиенти по-специално за целта, за която се събират и съхраняват копия от документите за самоличност, както и за избора, с който клиентите разполагат във връзка с това събиране и съхраняване, и след това да получат устно съгласието на тези клиенти за събирането и съхраняването. Orange România твърди, че така отметката в полето относно съхраняването на копия от документи за самоличност била правена въз основа на свободно изразеното при сключването на договора съгласие на заинтересованите лица в този смисъл.
При тези условия целта на преюдициалното запитване основно е да се изясни дали така твърдяното съгласие за такова обработване на лични данни може да бъде установено въз основа на клаузите, съдържащи се в тези договори.
В това отношение от данните в това запитване следва, че макар посочените договори да съдържат клауза, съгласно която съответните клиенти са информирани и са дали съгласието си за съхраняване с идентификационна цел на копие от документа им за самоличност, в полето относно тази клауза вече е била направена отметка от агентите по продажби на Orange România още преди тези клиенти да положат подпис и така да приемат всички договорни клаузи, тоест както посочената клауза, така и други клаузи, които не са свързани със защитата на данните. В запитването е посочено също така, че без това да е било уточнено в разглежданите договори, Orange România е приемало да сключва тези договори с клиенти, отказващи да дадат съгласие за съхраняване на копие от документа им за самоличност, като обаче в тази случаи е изисквало клиентите да подпишат специален формуляр, отразяващ отказа им.
След като съгласно посоченото в запитването съответните клиенти, изглежда, не са правили лично отметката в полето относно посочената клауза, само по себе си обстоятелството, че това поле е отметнато, не може да докаже изразено с потвърждаващо действие съгласие за събирането и съхраняването на копие от документа им за самоличност. Всъщност, както отбелязва генералният адвокат в точка 45 от заключението си, обстоятелството, че посочените клиенти са подписали договори, съдържащи отметнатото поле, само по себе си не позволява да се установи такова съгласие при липсата на данни, потвърждаващи, че тази клауза действително е била прочетена и осмислена. Запитващата юрисдикция следва да направи необходимите в това отношение проверки.
Освен това, доколкото не личи отметнатата клауза, отнасяща се до обработването на тези данни, да е представена по начин, който ясно я отличава от станалите клаузи в договорите, запитващата юрисдикция трябва да прецени дали, като се имат предвид съображенията в точка 34 от настоящото решение, подписването на договорите, отнасящо се до множество клаузи, може да се счита за израз на конкретно съгласие за събиране и съхраняване на лични данни по смисъла на член 2, буква з) от Директива 95/46 и член 4, точка 11 от Регламент 2016/679.
Нещо повече, тъй като в разглежданата в главното производство клауза се посочва само идентификационната цел на съхраняването на копията от лични карти и нищо друго, запитващата юрисдикция трябва да провери дали информирането на субектите на данни отговаря на изискванията на член 10 от Директива 95/46 и член 13 от Регламент 2016/679, които посочват информацията, която администраторът на лични данни трябва да предостави на лицето, от което събира отнасящи се до него лични данни, за да му гарантира добросъвестно обработване на данните.
Тази юрисдикция трябва също така по-специално да прецени дали, при липса на съответните уточнения, разглежданите в главното производство договорни клаузи са можели да въведат субекта на данни в заблуждение относно възможността да сключи договора, макар да отказва да даде съгласие за обработване на неговите данни, и така да поставят под въпрос информираността на съгласието, изразено посредством посоченото подписване.
Освен това, както отбелязва генералният адвокат в точка 60 от заключението си, в случая свободата на съгласието се оказва накърнена поради обстоятелството, че в случай на отказ за даване на съгласие Orange România е изисквало, в отклонение от обичайната процедура за сключване на договора, съответният клиент да заяви писмено, че не е съгласен със събирането и съхраняването на копие от документа му за самоличност. Всъщност, както Комисията отбелязва в съдебното заседание, подобно допълнително изискване може неоправдано да наруши свободния избор във връзка с това събиране и съхраняване, което запитващата юрисдикция също следва да провери.
При всяко положение, както следва от съображенията, изложени в точки 35, 36 и 42 от настоящото решение, Orange România, като администратор на лични данни, трябва да докаже, че неговите клиенти с активно поведение са изразили съгласието си за обработване на техните лични данни, така че това дружество не е имало основание да изисква те активно да изразят отказа си.
Като се имат предвид изложените по-горе съображения, на поставените въпроси следва да се отговори, че член 2, буква з) и член 7, буква a) от Директива 95/46, както и член 4, точка 11 и член 6, параграф 1, буква a) от Регламент 2016/679 трябва да се тълкуват в смисъл, че администраторът на лични данни трябва да докаже, че субектът на данни с активно поведение е изразил съгласието си за обработване на неговите лични данни и че предварително е бил информиран за всички обстоятелства по това обработване в разбираема и леснодостъпна форма, на ясен и прост език, позволяващи му лесно да определи последиците от това съгласие, така че да се гарантира, че същото е дадено при пълно познаване на фактите. Договор за предоставяне на далекосъобщителни услуги, съдържащ клауза, че субектът на данни е информиран за и се е съгласил със събирането и съхраняването с идентификационна цел на копие от документа му за самоличност, не е годен да докаже, че субектът на данни е дал надлежно по смисъла на тези разпоредби съгласие за събирането и съхраняването, когато:
–
полето относно тази клауза е отметнато от администратора на лични данни преди подписването на договора или когато
–
уговорките в посочения договор могат да въведат субекта на данни в заблуждение относно възможността да сключи договора дори ако отказва да даде съгласие за обработването на неговите лични данни, или когато
–
този администратор неоправдано е нарушил свободния избор на субекта на данни да се противопостави на събирането и съхраняването, като е изисквал от него, за да откаже да даде съгласието си, да попълни допълнителен формуляр, отразяващ този отказ.
По съдебните разноски
С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (втори състав) реши:

Член 2, буква з) и член 7, буква a) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни, както и член 4, точка 11 и член 6, параграф 1, буква a) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че администраторът на лични данни трябва да докаже, че субектът на данни с активно поведение е изразил съгласието си за обработване на неговите лични данни и че предварително е бил информиран за всички обстоятелства по това обработване в разбираема и леснодостъпна форма, на ясен и прост език, позволяващи му лесно да определи последиците от това съгласие, така че да се гарантира, че същото е дадено при пълно познаване на фактите. Договор за предоставяне на далекосъобщителни услуги, съдържащ клауза, че субектът на данни е информиран за и се е съгласил със събирането и съхраняването с идентификационна цел на копие от документа му за самоличност, не е годен да докаже, че субектът на данни е дал надлежно по смисъла на тези разпоредби съгласие за събирането и съхраняването, когато:

–
полето относно тази клауза е отметнато от администратора на лични данни преди подписването на договора или когато
–
уговорките в посочения договор могат да въведат субекта на данни в заблуждение относно възможността да сключи договора дори ако отказва да даде съгласие за обработването на неговите лични данни, или когато
–
този администратор неоправдано е нарушил свободния избор на субекта на данни да се противопостави на събирането и съхраняването, като е изисквал от него, за да откаже да даде съгласието си, да попълни допълнителен формуляр, отразяващ този отказ.

Подписи
(
*1
)	Език на производството: румънски.