ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ

M. SZPUNAR

представено на 4 март 2020 година ( 1 )

Дело C‑61/19

Orange România SA

срещу

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

(Преюдициално запитване, отправено от Tribunalul Bucureşti (Градски съд Букурещ, Румъния)

„Преюдициално запитване — Директива 95/46/ЕО — Регламент (ЕС) 2016/679 — Защита на физическите лица при обработването на лични данни и свободното движение на тези данни — Мобилни далекосъобщителни услуги — Понятие за „съгласие на субекта на данни“ — Конкретно и информирано изразена воля — Деклариране на съгласие чрез отметка в поле за отбелязване — Тежест на доказване“

1. В основата на настоящото преюдициално запитване, отправено от Tribunalul Bucureşti (Градски съд Букурещ, Румъния), е спор между доставчик на далекосъобщителни услуги и национален орган за защита на данните във връзка със задълженията на първия в контекста на преговори за сключване на договор с клиент, когато се копира и се съхранява копие от карта за самоличност.

2. Запитването предоставя на Съда възможност да изясни в по-голяма степен понятието „съгласие“ на субекта на данни, което е основно за правото на Съюза в областта на защитата на данните и което в крайна сметка произтича от основното право на защита на данните. Във връзка с това Съдът следва да разгледа и въпроса за доказателствената тежест, що се отнася до това дали субектът на данни е дал или не съгласие.

Правна уредба

Право на Съюза

Директива 95/46/ЕО

3. Съгласно член 2, буква з) от Директива 95/46/ЕО ( 2 ) за целите на тази директива „съгласие на съответното физическо лице“ означава всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него“.

4. Глава II от тази директива съдържа общите правила за законосъобразност на обработването на лични данни.

5. Член 6 от същата директива за „[п]ринципи[те], отнасящи се до качеството на данните“ ( 3 ), гласи следното: „1. Държавите членки предвиждат, че личните данни трябва: а) да се обработват справедливо и законно; б) да се събират за конкретни, ясно формулирани и законни цели и да не бъдат допълнително обработени по начин, който е несъвместим с тези цели. Допълнителната обработка на данните за исторически, статистически или научни цели няма да се разглежда като несъвместима, при условие че държавите членки предоставят необходимите гаранции за това; в) да бъдат адекватни, релевантни, и да не са прекомерни по отношение на целите, за които се събират и/или обработват допълнително; […] 2. Администраторът осигурява спазването на параграф 1“.

6. Член 7 от Директива 95/46 установява „[к]ритерии за законосъобразност на обработването на лични данни“ ( 4 ). Съгласно посочената разпоредба: „Държавите членки предвиждат, че обработването на лични данни може да се извършва, само ако: а) съответното физическо лице е дало недвусмислено своето съгласие за това; или б) обработването е необходимо за изпълнението на договор, по който съответното физическо лице е страна, или за да се предприемат стъпки по искане на съответното физическо лице преди сключването на договора; […]“.

Регламент (ЕС) 2016/679

7. Съгласно член 4, параграф 11 от Регламент (ЕС) 2016/679 ( 5 ) за целите на този регламент „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени“.

8. Член 6, параграф 1, букви а) и б) от този регламент гласят следното: „Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия: а) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;

9. Член 7, параграф 1 от същия регламент гласи, че „[к]огато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни“.

Румънското право

10. Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulaţie a acestor date (Закон № 677/2001 за защита на лицата при обработването на личните данни и за свободното движение на тези данни, наричан по-нататък „Закон № 677/2001“) ( 6 ) транспонира разпоредбите на Директива 95/46 в националното право.

11. Член 32 от този закон гласи следното: „Обработването на личните данни от администратор или от лице, упълномощено от него, в нарушение на разпоредбите на членове 4—10 или при несъблюдаване на правата, предвидени в членове 12—15 или в член 17, представлява административно нарушение, доколкото не осъществява състав на престъпление, и се наказва с глоба от 10000000 стари леи [1000 RON (румънски леи)] до 250000000 стари леи [25000 RON]“.

Факти, производство и преюдициални въпроси

12. Orange România SA е доставчик на мобилни далекосъобщителни услуги на румънския пазар, който предлага тези услуги или в системата PrePay ( 7 ), или чрез сключване на договори за предоставяне на услугите ( 8 ).

13. На 28 март 2018 г., на основание член 32 от Закон № 677/2001 във връзка с член 8 от същия закон Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Национален орган за надзор върху обработването на лични данни, Румъния, наричан по-нататък „ANSPDCP“) изготвя констативен протокол, с който на Orange România е наложена административна санкция глоба с мотива, че събирането и съхраняването на копия от документите за самоличност на клиентите се извършва без изричното съгласие на последните.

14. В това отношение ANSPDCP отбелязва, че Orange România е сключило в офиса си договори на хартиен носител за мобилни далекосъобщителни услуги с клиенти — физически лица, като към тези договори са приложени копия на документите за самоличност на съответните клиенти. Тези договори съдържат по-специално отбелязване, че съответните клиенти са информирани и са изразили съгласието си Orange România да задържи и съхранява тези копия, като съгласието на клиентите е установено с отметка в документите, удостоверяващи сключването на договорите.

15. Съответните клаузи от въпросните договори гласят следното: – „Клиентът заявява, че: i) е информиран преди сключването на договора за избрания тарифен план, за приложимите тарифи, за минималния срок на договора, за условията, при които той се прекратява, и за условията за достъп до и ползване на услугите, включително за зоните, покрити от услугите, в съответствие с разпоредбите на член 11 от Решение № 158/2015 на ANCOM [Национален орган за управление и регулация в областта на комуникациите] и с разпоредбите на O.U.G. [№] 34/2014 (Законодателен декрет № 34/2104), както и относно правото му на едностранно прекратяване, което може да бъде упражнено съгласно член 1.17 от Общите условия за ползването на услугите на Orange; ii) Orange România предоставя на клиента цялата необходима информация, за да изрази неопорочено, изрично, свободно и конкретно съгласие за сключването и изричното приемане на договора, включително на цялата документация по договора — Общите условия за ползването на услугите на Orange и Брошурата за тарифите и услугите; (iii) е информиран и дава съгласието си за: обработването на личните данни за целите, предвидени в член 1.15 от Общите условия за ползването на услугите на Orange, съхраняването [от Orange] с идентификационна цел на копия от документите, които съдържат лични данни, обработването на личните данни (телефон за контакт, адрес на електронната поща) за целите на директния маркетинг, обработването на личните данни (телефон за контакт, адрес на електронната поща) за целите на извършването на маркетингови проучвания, прочетох и изрично се съгласявам да бъде съхранявано копие от документите, които съдържат лични данни за здравето, данните, посочени в член 1.15, т. (10) от Общите условия за ползването на услугите на Orange, да не бъдат включвани в информационните услуги за абонатите и в телефонните указатели“.

16. Според ANSPDCP Orange România не е доказало, че клиентите са направили информиран избор относно събирането и съхраняването на копията от техните документи за самоличност.

17. Orange România обжалва глобата от 28 март 2018 г. пред запитващата юрисдикция.

18. Съгласно констатациите на запитващата юрисдикция съществуват договори, при които свободно изразеният от клиента избор за задържане на копие от документа за самоличност е отбелязан с отметка в съответното поле, както и обратни случаи, в които клиентите са отказали да дадат такова съгласие. Видно от „вътрешната процедура“ за продажби на Orange România, в такива случаи дружеството прави необходимото отбелязване, че клиентът отказва задържане на копие от документа за самоличност, като за целта се попълва специален формуляр и след това се сключва договорът. Следователно въпреки предвиденото в общите условия на Orange România дружеството не е отказвало на клиентите сключване на абонаментни договори дори при отказ да дадат съгласие за задържане на копие от личната им карта.

19. Запитващата юрисдикция счита, че при тези условия е особено важно Съдът да се произнесе относно критериите, съгласно които може да се установи дали едно съгласие е „конкретно“ и „информирано“, и доколкото е целесъобразно, относно доказателствената стойност на подписването на договори като разглежданите в главното производство.

20. При тези обстоятелства, с определение от 14 ноември 2018 г., постъпило в Съда на 29 януари 2019 г., Tribunalul Bucureşti (Градски съд Букурещ) поставя следните преюдициални въпроси: „1) Кои са условията, които трябва да бъдат изпълнени, за да може да се приеме, че волята е изразена конкретно и информирано по смисъла на член 2, буква з) от Директива 95/46/ЕО? 2) Кои са условията, които трябва да бъдат изпълнени, за да може да се приеме, че волята е изразена свободно по смисъла на член 2, буква з) от Директива 95/46/ЕО?“.

21. Писмени становища представят страните в главното производство, румънското, италианското, австрийското и португалското правителство, както и Европейската комисия. Orange România, румънското правителство и Европейската комисия са представлявани в съдебното заседание, проведено на 11 декември 2019 г.

Преценка

22. В настоящия случай от Съда се иска да уточни условията, при които съгласието за обработване на лични данни може да се счита за валидно.

Предварителни бележки

По приложимите правни актове

23. Регламент 2016/679, който се прилага от 25 май 2018 г. ( 9 ), отменя Директива 95/46, считано от същата дата ( 10 ).

24. Разглежданото в главното производство решение на ANSPDCP е прието на 28 март 2018 г., преди датата, от която се прилага Регламент № 2016/679. ANSPDCP обаче не само налага глоба на Orange România, но и изисква от него да унищожи копията на въпросните документи за самоличност. Спорът в главното производство се отнася и до последното разпореждане. Разпореждането произвежда действие за в бъдеще, поради което този регламент се оказва приложим ratione temporis.

25. Ето защо на поставените въпроси следва да се отговори както с оглед на Директива 95/46, така и с оглед на Регламент 2016/679 ( 11 ). Освен това регламентът трябва да се вземе предвид при анализа на разпоредбите на Директива 95/46 ( 12 ).

Определяне на обхвата на преюдициалните въпроси

26. Поставените от запитващата юрисдикция два въпроса са формулирани твърде общо и абстрактно и трябва да бъдат в известна степен адаптирани, така че да се свържат с фактите в главното производство, за да се насочи запитващата юрисдикция и да ѝ се даде полезен отговор. За тази цел ми се струва необходимо да припомня накратко фактите по спора в главното производство, изведени от акта за преюдициално запитване и от сведенията, предоставени от страните по спора, по-специално в съдебното заседание пред Съда.

27. Националният орган за защита на данните в Румъния, ANSPDCP, налага санкция на Orange România, заради това че е събирало и съхранявало копия от документите за самоличност на своите клиенти без тяхно съгласие. Този орган констатира, че дружеството е сключило договори за предоставяне на мобилни далекосъобщителни услуги и че към тях са приложени копия от документи за самоличност. Твърди се, че съгласно тези договори клиентите са информирани и са дали съгласието си за събирането и съхраняването на тези копия, което се удостоверявало от отбелязването с отметка в текста на договорите. ANSPDCP обаче констатира, че Orange România не е доказало, че към момента на сключване на договорите съответните клиенти са имали възможност да направят информиран избор относно събирането и съхраняването на тези копия.

28. Когато представител на Orange România разяснява клаузите на конкретен договор на лице, желаещо да встъпи в договорни отношения с това дружество, този представител обикновено работи на компютър с образец на договор, който съдържа поле за отметка относно съхранението на документ за самоличност. Изглежда, че клиентът се уведомява, че не е необходимо да поставя отметка в съответното поле. Ако клиентът не е съгласен да бъде направено и запазено фотокопие на документа му за самоличност, той трябва да впише това на ръка в договора. Това изискване за вписване на ръка явно произтича от вътрешните правила за продажбите на Orange România. Освен това клиентът се информира само устно, а не в писмена форма, че може да откаже.

29. В този контекст тълкувам двата въпроса, които следва да се разгледат заедно, в смисъл, че запитващата юрисдикция иска да се установи дали субектът на данни, който възнамерява да встъпи в договорно правоотношение с предприятие за предоставянето на мобилни далекосъобщителни услуги, дава на това предприятие своето „конкретно и информирано“ и „свободно изразено“ съгласие по смисъла на член 2, буква з) от Директива 95/46, при положение че трябва да декларира, записвайки на ръка в иначе стандартизиран договор, че отказва да даде съгласие за фотокопиране и съхраняване на неговите документи за самоличност.

30. В това отношение запитващата юрисдикция се нуждае от насоки относно обстоятелствата, чието доказване е в тежест на това предприятие, и относно степента, в която то трябва да ги докаже.

Съгласието като предпоставка за обработването на лични данни

31. Разглежданото дело се отнася до обработването на лични данни при сключването на договор за предоставяне на далекосъобщителни услуги.

32. Всяко обработване на лични данни трябва да отговаря ( 13 ), от една страна, на отнасящите се до качеството на данните принципи, прогласени в член 6 от Директива 95/46 или в член 5 от Регламент 2016/679, и от друга страна, на някой от критериите за законосъобразност на обработването на лични данни, изброени в член 7 от посочената директива или в член 6 от посочения регламент ( 14 ). Както изтъква Комисията, шестте критерия, посочени в член 7 от Директива 95/46, всъщност са израз на по-широк принцип, установен в член 6, параграф 1, буква а) от тази директива, съгласно който личните данни трябва да се обработват справедливо и законно.

33. Член 7 от Директива 95/46 съдържа изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно ( 15 ). Обработването на лични данни може да се извърши само ако е приложим поне един от шестте критерия за законосъобразност на обработването на лични данни. Недвусмисленото съгласие на субекта на данни е един от тези критерии.

По отношение на понятието за съгласие

34. Понятието за съгласие на субекта на данни на свой ред е дефинирано в член 2, буква з) от Директива 95/46 като всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него.

35. Тази формулировка до голяма степен съответства ( 16 ) на текста на член 4, параграф 11 от Регламент 2016/679, съгласно който „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени ( 17 ).

36. Изискването за съгласие на субекта на данните е съществено изискване, залегнало в основата на правото на Съюза в областта на защитата на данните ( 18 ). То се съдържа в Хартата на основните права на Европейския съюз, чийто член 8 предвижда, че данните трябва да бъдат обработвани добросъвестно, за точно определени цели и въз основа на съгласието на заинтересованото лице или по силата на друго предвидено от закона легитимно основание. Разглеждано в по-широк контекст, понятието за съгласие позволява съответният субект на данни сам да прецени дали ограниченията на правото му на защита на личните данни са законосъобразни ( 19 ).

37. Ръководният принцип, залегнал в правото на Съюза в областта на защитата на данните, е принципът на самостоятелно вземане на решение от физическо лице, което е способно да избере как да се използват и обработват неговите данни ( 20 ). Именно изискването за предоставяне на съгласие му позволява да направи този избор, като същевременно го защитава в ситуации, които по своето естество са асиметрични ( 21 ). Изискванията на Директива 95/46 и на Регламент 2016/679 са изпълнени само когато е налице свободно изразено, конкретно и информирано съгласие.

38. На този етап следва да се направят още три кратки бележки относно явната разлика в текстовете на тези разпоредби.

39. Първо, в член 4, параграф 11 от Регламент 2016/679, за разлика от член 2, буква з) от Директива 95/46, се говори за „недвусмислено“ указание. Според мен причината за това е съвсем проста: Член 7, буква а) от същата директива относно критериите за законосъобразност на обработването на данни, вече посочени по-горе, изисква съответното физическо лице да е дало „недвусмислено“ своето съгласие, докато съответстващата му разпоредба от Регламент 2016/679 — член 6, параграф 1, буква а) — не съдържа това уточнение. С други думи, този критерий за наличие на недвусмислено указание просто е бил преместен в по-общата разпоредба в Регламент 2016/679.

40. Второ, в член 4, параграф 11 от Регламент 2016/679 се уточнява, че субектът на данните изразява волята си „посредством изявление или ясно потвърждаващо действие“. Това уточнение несъмнено е ново за посочения регламент и не намира семантично отражение в Директива 95/46.

41. Трето, що се отнася до „информирания“ характер на съгласието на субекта на данните, текстът на френски език на Директива 95/46 се различава от този на Регламент 2016/679. Докато в член 2, буква з) от посочената директива се използва изразът „manifestation de volonté […] informée“, в член 4, параграф 11 от този регламент се говори за „manifestation de volonté […] eclairée“.

42. Смятам, че тази промяна във формулировката внася повече объркване, отколкото яснота, тъй като, доколкото разбирам, текстът на френски език е единственият или поне един от малкото измежду текстовете на различните езици, който прави това разграничение. Текстовете на някои от езиците, сред които между другото и останалите романски езици, използват съвсем идентични термини в това отношение ( 22 ), докато текстовете на други езици, макар и леко да се различават в това отношение, не са толкова различни, колкото текстът на френски език ( 23 ).

43. По-нататък ще се спра отново на понятието „информирано“ съгласие.

Свободно изразено съгласие

44. Изискването за „указание“ за волята на съответното лице очевидно сочи положително, а не отрицателно действие ( 24 ) и изисква субектът на данни да се ползва от висока степен на автономия при избора дали да даде, или да не дава съгласие ( 25 ). По отношение на конкретния случай на онлайн игра, организирана на интернет сайт, Съдът е приел, че съгласието, дадено посредством предварително отметнато поле, не е свързано с положително действие от страна на потребителя на интернет сайт ( 26 ).

45. Смятам, че тази констатация е приложима и за аналоговия свят: съгласието, дадено посредством предварително отметнато поле, не може да се счита за активно даване на съгласие от страна на лицето, боравещо с физически документ, който в крайна сметка подписва. В действителност в този случай не е сигурно дали предварително формулираният текст е бил прочетен и осмислен. Положението не е недвусмислено. Текстът може да е бил или да не е бил прочетен. „Читателят“ може да е пропуснал да го направи просто поради небрежност, като в такъв случай не е възможно да се установи дали съгласието е било свободно изразено ( 27 ).

Информирано съгласие

46. Не трябва да има ни най-малко съмнение, че съответното физическо лице не е било достатъчно информирано ( 28 ).

47. Субектът на данните трябва да бъде информиран за всички обстоятелства, свързани с обработването на данните, и за последиците от него. По-специално той трябва да знае какви данни ще се обработват, по какъв начин и с каква конкретна цел, както и продължителността на обработката. Освен това трябва да знае кой обработва данните и дали те ще бъдат предоставяни на трети страни. Особено важно е да бъде информиран за последиците от отказа да даде съгласие: дали съгласието за обработване на данните е условие за сключването на договора ( 29 ).

По отношение на тежестта на доказване

48. Остава да се изясни въпросът в чия тежест е да докаже, че субектът на данните се е намирал в положение, което му позволява да даде съгласието си въз основа на установените по-горе критерии.

49. Член 7, параграф 1 от Регламент 2016/679 посочва ясно и категорично: когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на неговите данни ( 30 ). Тази разпоредба представлява конкретно проявление на принципа на отчетност, закрепен в член 5, параграф 2 от Регламент 2016/679. Считам, че целта на тази разпоредба изисква широко тълкуване, в смисъл че администраторът трябва да докаже не само че съответното физическо лице е дало своето съгласие, но и че са изпълнени всички условия за ефективност ( 31 ).

50. Някои автори изразяват съмнения, че член 7, параграф 1 от Регламент 2016/679 се отнася до тежестта на доказване, позовавайки се на законодателната история на този регламент ( 32 ). Твърди се, че макар Комисията и Парламентът да са предлагали формулировка, която изрично включва „тежестта на доказване“, такава формулировка не намира място в окончателно приетия текст, а следователно и в действащото към момента законодателство.

51. Това твърдение заслужава по-задълбочен анализ.

52. Действително в първоначалното предложение на Комисията ( 33 ) се посочва „тежестта на доказване“, която носи администраторът. Освен това Парламентът на първо четене ( 34 ) не оспорва тази формулировка. Съветът ( 35 ) обаче заменя израза „тежестта на доказване“ с израза „е в състояние да докаже“, отнасящ се за администратора. Впоследствие окончателният текст е приет в този вид.

53. Не съм склонен да отдам прекалено голямо значение на тази промяна в текста ( 36 ). Никъде в съображенията на позицията Съветът не посочва мотиви за предложената промяна в текста ( 37 ). Това показва, че целта на тази институция е била само да измени формулировката на въпросната разпоредба, без да променя смисъла ѝ. От тази гледна точка изразът „трябва да е в състояние да докаже“ всъщност описва по по-достъпен начин какво трябва да се разбира под „тежест на доказване“ ( 38 ).

54. Следователно със сигурност може да се приеме, че член 7, параграф 1 от Регламент 2016/679 възлага на администратора тежестта да докаже, че субектът на данни е дал съгласие за обработване на личните му данни ( 39 ). Всички съмнения относно съгласието на субекта на данните следва да се опровергаят с представени от администратора доказателства ( 40 ). Тежестта да се докаже, че субектът на данните се е намирал в положение, което му е позволявало да даде свободно, конкретно и информирано съгласие, пада изцяло върху обработващия данните субект.

55. В това отношение правното положение съгласно Директива 95/46 не се различава.

56. Макар Директива 95/46 да не съдържа отделна разпоредба, съпоставима с член 7 от Регламент 2016/679 относно условията за даване на съгласие, по-голямата част от посочените в този член условия биха могли да се открият и в Директивата. Въпреки че правилото относно тежестта на доказване не е изрично предвидено в Директивата, то най-малкото косвено следва от условието ( 41 ), че „съответното физическо лице е дало недвусмислено своето съгласие за това“ ( 42 ).

По отношение на положението на Orange România

57. Сега бих искал да приложа тези критерии към разглеждания случай.

58. Най-напред бих искал да уточня, че въпросът дали Orange România може да изисква от клиентите си да дадат съгласие за копирането и съхраняването на техните документи за самоличност, е извън обсега на настоящото дело, доколкото за това предприятие даването на такова съгласие не е необходимо условие за сключването на договор. С други думи, разглежданото дело не се отнася до тълкуването на член 7, буква б) от Директива 95/46 и на член 6, параграф 1, буква б) от Регламент 2016/679. С това уточнение ми се струва оправдано дадено предприятие да иска от клиентите да предоставят някои лични данни, и по-специално да удостоверят своята самоличност за целите на сключването на договор. Да се изисква от клиента да даде съгласие за копирането и съхраняването на документи за самоличност, обаче надхвърля необходимото за изпълнението на договора.

59. Въз основа на наличната информация ми се струва, че при описаните от запитващата юрисдикция обстоятелства клиентите на Orange România не дават своето свободно, конкретно и информирано съгласие.

60. Първо, не е налице свободно дадено съгласие. Вменяването в задължение на клиента да запише на ръка, че не е съгласен личната му карта да бъде копирана и съхранявана, не позволява да се даде свободно съгласие, доколкото клиентът бива поставен в положение, което явно се отклонява от обичайната процедура за сключване на договор. В този контекст клиентите не трябва да остават с впечатлението, че отказът да дадат съгласие за копирането и съхраняването на техните документи за самоличност, не съответства на обичайните процедури. В това отношение държа да припомня, че Съдът поставя ударението върху положително действие от страна на съответното лице с оглед на даването на съгласие ( 43 ). Следователно, за да се даде съгласие, е необходимо положително действие от страна на субекта на данните. В разглеждания случай обаче е налице обратната хипотеза — необходимо е положително действие, за да се откаже даването на съгласие. Връщайки се отново към решение Planet49 ( 44 ), ако премахването на отметката в предварително отметнато поле на уебсайт се счита за твърде обременително за клиента, то тогава a fortiori не може основателно да се очаква от клиента в ръкописна форма да откаже да даде съгласието си.

61. Второ, липсва информирано съгласие. На клиента не става съвсем ясно, че отказът да даде съгласие за копирането и съхраняването на личната му карта не прави невъзможно сключването на договор. Клиентът не може да направи информиран избор, ако не е наясно с последиците.

62. Трето, и само хипотетично, няма никакви данни Orange România да е успяло да докаже, че клиентите са дали съгласие за обработката на личните им данни. В това отношение очевидната липса на яснота на вътрешните правила със сигурност не способства, за да се докаже, че клиентът е дал съгласието си. Подобна липса на яснота и противоречивите указания към персонала по продажбите очевидно не може да бъдат в ущърб на клиента, който в случая е субектът на данни.

Заключение

63. С оглед на гореизложените съображения предлагам на Съда да отговори на поставените от Tribunalul Bucureşti (Градски съд Букурещ, Румъния) преюдициални въпроси по следния начин: „Субект на данни, който възнамерява да встъпи в договорно правоотношение с предприятие за предоставянето на мобилни далекосъобщителни услуги, не дава на това предприятие своето „съгласие“, тоест „конкретно и информирано“ и „свободно изразено“ указание за волята си по смисъла на член 2, буква з) от Директива № 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни и на член 4, параграф 11 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), при положение че от него се изисква да декларира, записвайки на ръка в иначе стандартизиран договор, че отказва да даде съгласие за фотокопиране и съхраняване на неговите документи за самоличност“.

( 1 ) Език на оригиналния текст: английски.

( 2 ) Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281,1995 г. стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10).

( 3 ) Член 6 е единствен член в глава II, раздел I от Директива 95/46.

( 4 ) Член 7 е единствен член в глава II, раздел II от Директива 95/46.

( 5 ) Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1).

( 6 ) Monitorul Oficial al României, № 790 от 12 декември 2001 г.

( 7 ) Като в този случай потребителите заплащат авансово цената на услугите, които следва да им бъдат доставени.

( 8 ) При което цената на предоставяните от дружеството услуги се заплаща от потребителите след доставянето им въз основа на издадените от него фактури.

( 9 ) Съгласно член 99, параграф 2 от Регламент 2016/679.

( 10 ) Вж. член 94, параграф 1 от Регламент 2016/679.

( 11 ) Подобен подход в сходно положение вж. в решение от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 38—43), и заключението ми по същото дело (C‑673/17, EU:C:2019:246, т. 44—49). Вж. още решение от 11 декември 2018 г., Weiss и др. (C‑493/17, EU:C:2018:1000, т. 39).

( 12 ) Вж. решение от 24 септември 2019 г., GC и др. (Премахване на чувствителни данни от резултатите при търсене) (C‑136/17, EU:C:2019:773, т. 33).

( 13 ) Разбира се, при зачитане на изключенията и ограниченията, предвидени в член 13 от Директива 95/46 и в член 23 от Регламент 2016/679.

( 14 ) Вж. решение от 16 януари 2019 г., Deutsche Post (C‑496/17, EU:C:2019:26, т. 57). Вж. още решения от 13 май 2014 г., Google Spain и Google (C‑131/12, EU:C:2014:317, т. 71 и цитираната съдебна практика), и от 11 декември 2019 г., Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, т. 36).

( 15 ) Вж. решения от 24 ноември 2011 г., Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 и C‑469/10, EU:C:2011:777, т. 30), от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779, т. 57), и от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 53).

( 16 ) Вж. също Bygrave, L. A., Tosoni, L. — In: Chr. Kuner, L.A. Bygrave, Chr. Docksey (eds), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4(11), C.1., р. 181.

( 17 ) Очевидно тези критерии по естеството си са кумулативни, което означава, че съществува висок праг за валидност на съгласието, вж. Bygrave, L. A., Tosoni, L. — In: Chr. Kuner, L. A. Bygrave, Chr. Docksey (eds). The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4(11), C.1., р. 181.

( 18 ) Вж. заключението ми по дело Planet49 (C‑673/17, EU:C:2019:246, т. 57 и сл.). Вж. още Heckmann, D., Paschke, A. — In: Ehmann, E., Selmayr M. (eds), Datenschutz-Grundverordnung, Kommentar. C.H. Beck, Munich, 2. ed., 2018, Artikel 7, pt. 9: ‘key cornerstone of data protection’.

( 19 ) Вж. в този смисъл Buchner, B. Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, р. 232, който се позовава на правото на информационно самоопределение в този контекст (както е развито в практиката на германския конституционен съд след решение от 15 декември 1983 г., 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65,1).

( 20 ) Вж. още Klement, J. H. — In: S. Simitis, G. Hornung, I. Spieker gen. Döhmann (eds), Datenschutzrecht, Nomos, Baden-Baden, 2019, Artikel 7, т. 1, който подчертава, че в правен ред, който се основава на и има за цел да насърчи достойнството, свободата на личността и отговорността, обработването на лични данни трябва да бъде узаконено чрез самостоятелно решение на субекта на данните.

( 21 ) Вж. освен това съображение 43 от Регламент 2016/679, където се споменават хипотези, в които е възможно да съществува „очевидна неравнопоставеност между субекта на данните и администратора“.

( 22 ) Вж. например текстовете на испански („manifestación de voluntad […] informada“), португалски („manifestação de vontade […] informada“), румънски („manifestare de voință […] informată“), датски („informeret viljetilkendegivelse“), шведски („informerad viljeyttring“) и малтийски („infurmata“).

( 23 ) Вж. например текстовете на нидерландски („op informatie berustende wilsuiting“ в Директивата и „geïnformeerde wilsuiting“ в Регламента), полски („świadome […] wskazanie“ в Директивата и „świadome […] okazanie woli“ в Регламента) и немски („Willensbekundung, die […] in Kenntnis der Sachlage erfolgt“ в Директивата и „in informierter Weise […] abgegebene Willensbekundung“ в Регламента).

( 24 ) Вж. решение от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 52).

( 25 ) Вж. Bygrave, L.A., Tosoni, L. — In: Chr. Kuner, L.A. Bygrave, Chr. Docksey (eds). The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4 (11), C.1., р. 182.

( 26 ) Пак там.

( 27 ) Вж. по аналогия заключението ми по дело Planet49 (C‑673/17, EU:C:2019:246, т. 62). Вж. още решение от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 55).

( 28 ) Информираното съгласие в крайна сметка произтича от приниципа на прозрачност, както е прогласен в член 5, параграф 1, буква a) от Регламент 2016/679; вж. Bygrave, L. A., Tosoni, L. — In: Chr. Kuner, L. A. Bygrave, Chr. Docksey (eds). The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4 (11), C.4., р. 184.

( 29 ) Според някои автори списъкът с информация по членове 10 и 11 от Директива 95/46 не е изчерпателен, така че администраторът на данни може да предостави на субекта на данни и друга информация от значение за условията на използване на личните данни. Вж. по-специално Mednis, A. Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46. — Monitor Prawniczy (dodatek) 2012, No 7, р. 27.

( 30 ) Съгласно тази разпоредба администраторът отговаря за и е в състояние да докаже, че личните данни са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните.

( 31 ) В този смисъл вж. още Stemmer, B. — In: St. Brink, H.A. Wolff. Beck’scher Onlinekommentar Datenschutzrecht. C.H. Beck, Munich, 30. ed., положение към 1 ноември 2019 г., Artikel 7 DSGVO, т. 87, и Buchner, J., Kühling, B. — In: J. Buchner, B. Kühling (eds). Datenschutz-Grundverordnung/BDSG, Kommentar. C.H. Beck, Munich, 2. ed. 2018, Artikel 7 DS-GVO, pt. 22.

( 32 ) Вж. Klement, J.H. — In: S. Simitis, G. Hornung, I. Spieker gen. Döhmann (eds). Datenschutzrecht, Nomos, Baden-Baden, 2019, Artikel 7, pt. 46.

( 33 ) Според първоначалното предложение на Комисията член 7, параграф 1 гласи: „Администраторът носи тежестта на доказване, че субектът на данните е дал съгласието си за обработването на неговите лични данни за определени цели“. Вж. Предложение за регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните) COM(2012) 11 окончателен, стр. 45.

( 34 ) На първо четене Парламентът не предлага да се измени текстът на член 7, параграф 1, що се отнася до израза „тежестта на доказване“. Той само уточнява, че член 7, параграф 1 се отнася до положение, когато обработването се основава на даване на съгласие. Вж. Законодателна резолюция на Европейския парламент от 12 март 2014 г. относно предложението за регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните), COM(2012) 0011 окончателен (ОВ C 378, 2017 г., стр. 399, на стр. 428).

( 35 ) „Когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни“. Вж. Позиция (ЕС) № 6/2016 на Съвета на първо четене с оглед на приемането на Регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните), приета от Съвета на 8 април 2016 година (ОВ C 159, 2016 г., стр. 1, на стр. 36).

( 36 ) Вж. в този смисъл също Kosta, E. — In: Chr. Kuner, L.A. Bygrave, Chr. Docksey (eds). The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 7, C.2., 349—350.

( 37 ) Вж. по-специално съображения 42 и 43, които обосновават член 7.

( 38 ) Интересно концептуално обяснение защо тежестта на доказване се носи от администратора представя Buchner, B. Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, 243—245, който прави аналогия с отговорността на лекарите съгласно националното право, при която доказателствената тежест също се носи от лицата, които осъществяват ограничението на разглежданото право.

( 39 ) Още повече че това е широко преобладаващото мнение в правната литература, вж. Klabunde, A. — In: E. Ehmann, M. Selmayr (eds). Datenschutz-Grundverordnung, Kommentar. 2. ed., C.H. Beck, Munich, 2018, Artikel 4, pt. 52; Stemmer, B. — In: St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht. C.H. Beck, Munich, 30. ed., положение към 1 ноември 2019 г., Artikel 7 DSGVO, pt. 87; и Buchner, J., Kühling, B. — In: J. Buchner, B. Kühling (eds). Datenschutz-Grundverordnung/BDSG, Kommentar. C.H. Beck, Munich, 2. ed. 2018, Artikel 7 DS-GVO, pt. 22 и Barta, P., Kawecki, M. — In: P. Litwiński (ed). Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz. C.H. Beck, Varsovi 2018, член 7 от Регламента, т. 1.

( 40 ) В този смисъл вж. още Heckmann, D., Paschke, A. — In: E. Ehmann, M. Selmayr (eds), Datenschutz-Grundverordnung, Kommentar. 2. ed., C.H. Beck, Munich, 2018, Artikel 7, pt. 72.

( 41 ) Вж. член 7, буква а) от Директива 95/46. Курсивът е мой.

( 42 ) В този смисъл вж. още, наред с много други, Buchner, J., Kühling, B. — In: J. Buchner, B. Kühling (eds). Datenschutz-Grundverordnung/BDSG, Kommentar. C.H. Beck, Munich, 2. ed., 2018, Artikel 7 DS‑GVO, pt. 5—22.

( 43 ) Вж. решение от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 54).

( 44 ) Вж. решение от 1 октомври 2019 г. (C‑673/17, EU:C:2019:801).