STANOVISKO GENERÁLNÍHO ADVOKÁTA

MACIEJE SZPUNARA

přednesené dne 4. března 2020 ( 1 )

Věc C‑61/19

Orange România SA

proti

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

[žádost o rozhodnutí o předběžné otázce podaná Tribunalul Bucureşti (soud prvního stupně v Bukurešti, Rumunsko)]

„Žádost o rozhodnutí o předběžné otázce – Směrnice 95/46/ES – Nařízení (EU) 2016/679 – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů a volný pohyb těchto údajů – Mobilní telekomunikační služby – Pojem ‚souhlas subjektu údajů‘ – Konkrétní a informovaný projev vůle – Vyjádření souhlasu prostřednictvím zaškrtnutí políčka – Důkazní břemeno“

1. Tato žádost o rozhodnutí o předběžné otázce podaná Tribunalul Bucureşti (soud prvního stupně v Bukurešti, Rumunsko) vychází ze sporu mezi poskytovatelem telekomunikačních služeb a vnitrostátním orgánem pro ochranu údajů ohledně povinností prvně jmenovaného v případě kopírování a ukládání kopií průkazů totožnosti v rámci smluvních jednání se zákazníky.

2. Soudnímu dvoru poskytne příležitost blíže objasnit pojem „souhlas“ subjektu údajů, který představuje ústřední prvek unijního práva v oblasti ochrany údajů a který je zakotven v základním právu na ochranu údajů. V této souvislosti by se Soudní dvůr měl také zabývat otázkou důkazního břemene týkající se toho, zda subjekt údajů dal souhlas, či nikoli.

Právní rámec

Unijní právo

Směrnice 95/46/ES

3. Podle čl. 2 písm. h) směrnice 95/46/ES ( 2 ) se pro účely této směrnice „ ‚souhlasem subjektu údajů‘ [rozumí] jakýkoli svobodný, výslovný a vědomý projev vůle, kterým subjekt údajů dává své svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování“.

4. Kapitola II uvedené směrnice upravuje obecné podmínky pro zákonnost zpracování osobních údajů.

5. Článek 6 téže směrnice upravující „zásady pro kvalitu údajů“ ( 3 ) zní takto: „1. Členské státy stanoví, že osobní údaje musejí být: a) zpracovány korektně a zákonným způsobem; b) shromažďovány pro stanovené účely, výslovně vyjádřené a legitimní, a nesmějí být dále zpracovávány způsobem neslučitelným s těmito účely. Další zpracování pro historické, statistické nebo vědecké účely není považováno za neslučitelné, pokud členské státy poskytnou vhodná ochranná opatření; c) přiměřené, podstatné a nepřesahující míru s ohledem na účely, pro které jsou shromažďovány a/nebo dále zpracovávány; […] 2. Dodržování odstavce 1 zajistí správce.“

6. Článek 7 směrnice 95/46 upravuje „zásady pro oprávněné zpracování údajů“ ( 4 ). Podle tohoto ustanovení platí, že: „[č]lenské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud: a) subjekt údajů nezpochybnitelně udělil souhlas; nebo b) je zpracování nezbytné pro splnění smlouvy, kde je subjekt údajů jednou ze stran, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu; […] […]“

Nařízení (EU) 2016/679

7. Podle čl. 4 odst. 11 nařízení (EU) 2016/679 ( 5 ) se pro účely tohoto nařízení rozumí „ ‚souhlasem‘ subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů“.

8. Článek 6 odst. 1 písm. a) a b) uvedeného nařízení zní takto: „Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu: a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů; b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů“.

9. Článek 7 odst. 1 téhož nařízení stanoví, že „[p]okud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů“.

Rumunské právo

10. Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (zákon č. 677/2001 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, dále jen „zákon č. 677/2001“) ( 6 ) provádí ustanovení směrnice 95/46 do vnitrostátního práva.

11. Článek 32 tohoto zákona zní následovně: „Zpracování osobních údajů správcem nebo jím pověřenou osobou v rozporu s články 4 až 10 nebo bez náležitého zohlednění práv stanovených v článcích 12 až 15 nebo v článku 17 se považuje za správní delikt, pokud ke zpracování nedošlo za okolností, jež mohou naplňovat skutkovou podstatu trestného činu, přičemž se trestá pokutou ve výši od 10000000 starých rumunských lei [nyní 1000 nových rumunských lei (RON)] do 250000000 starých rumunských lei [nyní 25000 RON].“

Skutkový stav, řízení a předběžné otázky

12. Společnost Orange România SA je poskytovatelkou mobilních telekomunikačních služeb na rumunském trhu, která nabízí služby buď prostřednictvím předplatného „PrePay“ ( 7 ), nebo prostřednictvím uzavření smluv o poskytování služeb ( 8 ).

13. Dne 28. března 2018 Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Národní úřad pro dohled nad zpracováním osobních údajů, Rumunsko, dále jen „ANSPDCP“) vyhotovil na základě článku 32 zákona č. 677/2001 ve spojení s článkem 8 tohoto zákona protokol, kterým byla společnosti Orange România uložena správní sankce z důvodu, že k uchovávání a shromažďování kopií dokladů totožnosti jejích zákazníků docházelo bez výslovného souhlasu zákazníků.

14. V této souvislosti ANSPDCP poznamenal, že společnost Orange România uzavřela na své pobočce s fyzickými osobami papírové smlouvy o poskytování mobilních telekomunikačních služeb, k nimž byly připojeny kopie dokladů totožnosti těchto osob. Tyto smlouvy obsahují zejména údaj, že dotyční zákazníci byli informováni a udělili souhlas se shromažďováním a uchováním těchto kopií (společností Orange România) a že existence souhlasu zákazníků byla potvrzena zaškrtnutím políčka obsaženého ve smluvních ujednáních.

15. Relevantní část dotčených smluv zní následovně: – „Zákazník prohlašuje, že: (i) byl před uzavřením smlouvy informován o vybraném plném tarifu, platných tarifech, minimální délce platnosti smlouvy, podmínkách ukončení platnosti smlouvy, podmínkách přístupu ke službám a užívání služeb, včetně zón pokrytí službami, v souladu s článkem 11 rozhodnutí ANCOM [národní úřad pro správu a regulaci komunikace] č. 158/2015 a rozhodnutí O. U. G. [č.] 34/2014 (legislativní nařízení č. 34/2014), a o právu na jednostranné odstoupení od smlouvy, které může být vykonáno v souladu s článkem 1.17 všeobecných obchodních podmínek; (ii) Společnost Orange România zpřístupnila zákazníkovi veškeré nezbytné informace k tomu, aby mohl dát řádný, výslovný, svobodný a konkrétní souhlas s uzavřením smlouvy a výslovně potvrdil tuto smlouvu, včetně veškeré smluvní dokumentace, všeobecných obchodních podmínek a brožuru o tarifech a službách; (iii) byl informován a souhlasil s následujícím: zpracováním osobních údajů pro účely uvedené v článku 1.15 všeobecných obchodních podmínek; uchováváním kopií dokumentů obsahujících osobní údaje pro účely identifikace; vyjádřením souhlasu se zpracováním osobních údajů (kontaktní číslo, e-mailová adresa) pro účely přímého marketingu; vyjádřením souhlasu se zpracováním osobních údajů (kontaktní číslo, e-mailová adresa) pro účely průzkumů trhu; Přečetl jsem si a udělil výslovný souhlas s uchováváním kopií dokumentů obsahujících osobní údaje o zdravotním stavu; údaje uvedené v čl. 1.15 odst. 10 všeobecných obchodních podmínek nejsou zahrnuty do informačních služeb o předplatitelích a seznamech předplatitelů.“

16. Podle ANSPDCP společnost Orange România neprokázala, že zákazníci učinili vědomou volbu, pokud jde o shromažďování a uchovávání kopií jejich dokladů totožnosti.

17. Společnost Orange România podala proti pokutě ze dne 28. března 2018 žalobu k předkládajícímu soudu.

18. Podle zjištění předkládajícího soudu existují smlouvy, ve kterých je volba svobodně vyjádřená zákazníkem, pokud jde o uchování kopie jeho dokladu totožnosti, provedena zaškrtnutím políčka, ale i opačné případy, ve kterých zákazníci takovýto souhlas odmítli vyjádřit. Z „interních prodejních postupů“ společnosti Orange România vyplývá, že v posledně jmenovaných případech společnost Orange România uvedla nezbytné informace týkající se odepření souhlasu zákazníka s uchováním kopie jeho dokladu totožnosti ve zvláštním formuláři a následně smlouvu uzavřela. Navzdory údajům obsaženým ve všeobecných obchodních podmínkách společnosti Orange România tato společnost neodmítla se zákazníky uzavřít smlouvy o předplatném, i když zákazníci nesouhlasili s tím, aby kopie jejich dokladů totožnosti byly uchovávány.

19. Předkládající soud má za to, že za těchto okolností je zvláště důležité, aby Soudní dvůr rozhodl o kritériích určujících, zda je souhlas „výslovný“ a „vědomý“, a případně i o důkazní hodnotě podpisu takových smluv, jako jsou smlouvy, které jsou předmětem sporu v původním řízení.

20. Za těchto okolností Tribunalul Bucureşti (soud prvního stupně v Bukurešti) položil usnesením ze dne 14. listopadu 2018, doručeným Soudnímu dvoru dne 29. ledna 2019, následující předběžné otázky: „1) Jaké podmínky musí být ve smyslu čl. 2 písm. h) [směrnice 95/46] splněny, aby mohl být projev vůle považován za výslovný a vědomý? 2) Jaké podmínky musí být ve smyslu čl. 2 písm. h) [směrnice 95/46] splněny, aby mohl být projev vůle považován za svobodný?“

21. Písemná vyjádření předložili účastníci původního řízení, rumunská, italská, rakouská a portugalská vláda a Evropská komise. Na jednání konaném dne 11. prosince 2019 byly zastoupeny společnost Orange România, rumunská vláda a Evropská komise.

Posouzení

22. V projednávané věci je Soudní dvůr vyzván, aby vymezil podmínky, za nichž lze souhlas se zpracováním osobních údajů považovat za platný.

Úvodní poznámky

K použitelným právním nástrojům

23. Nařízením 2016/679, které se použije ode dne 25. května 2018 ( 9 ), byla s účinkem od téhož data zrušena směrnice 95/46 ( 10 ).

24. Rozhodnutí ANSPDCP dotčené v původním řízení bylo přijato dne 28. března 2018, což předchází datu, od kterého se použije nařízení 2016/679. ANSPDCP nicméně společnosti Orange România uložil nejen pokutu, ale také požadoval, aby zničila kopie dotčených dokladů totožnosti. Spor v původním řízení se týká rovněž tohoto posledně uvedeného příkazu. Tento příkaz má účinek do budoucnosti, a proto se v tomto rozsahu dané nařízení jeví jako použitelné ratione temporis.

25. V důsledku toho je na položené otázky třeba odpovědět s ohledem jak na směrnici 95/46, tak na nařízení 2016/679 ( 11 ). Kromě toho bude třeba toto nařízení zohlednit v rámci analýzy ustanovení směrnice 95/46 ( 12 ).

Vymezení rozsahu předběžných otázek

26. Obě otázky položené předkládajícím soudem jsou formulovány příliš obecným a abstraktním způsobem a je třeba je poněkud upravit, aby je bylo možné sladit se skutkovými okolnostmi původního řízení s cílem poskytnout předkládajícímu soudu vodítko a užitečnou odpověď na tyto otázky. Za tímto účelem považuji za nezbytné stručně poukázat na skutkový stav v původním řízení, který vyplývá z usnesení předkládajícího soudu a informací poskytnutých účastníky řízení, zejména během jednání před Soudním dvorem.

27. Vnitrostátní orgán pro ochranu údajů v Rumunsku, ANSPDCP, uložil společnosti Orange România sankci za shromažďování a uchovávání kopií dokladů totožnosti zákazníků bez jejich souhlasu. Tento orgán shledal, že společnost uzavřela smlouvy o poskytování mobilních telekomunikačních služeb a že k těmto smlouvám byly přiloženy kopie dokladů totožnosti. Tyto smlouvy údajně obsahovaly ujednání o tom, že zákazníci byli informováni a udělili souhlas se shromažďováním a uchováváním těchto kopií, což je doloženo zaškrtnutím políček v příslušných smluvních ujednáních. Podle zjištění ANSPDCP však společnost Orange România neposkytla důkazy o tom, že v době uzavření smluv měli dotyční zákazníci možnost vědomé volby, pokud jde o shromažďování a uchovávání těchto kopií.

28. Ve chvíli, kdy je osoba, která si přeje vstoupit do smluvního vztahu se společností Orange România, informována zástupcem této společnosti o ujednáních konkrétní smlouvy, pracuje tento zástupce obvykle na počítači se vzorem smlouvy, který obsahuje zaškrtávací políčko potvrzující volbu uchovávání dokladu totožnosti. Zákazník je patrně informován, že toto zaškrtávací políčko nemusí být zaškrtnuto. Pokud zákazník nesouhlasí s okopírováním a uchováváním kopie svého dokladu totožnosti, musí to do smlouvy vlastnoručně uvést. Tento posledně uvedený požadavek patrně vyplývá z interních prodejních pravidel společnosti Orange România. Zákazník je navíc o možnosti odmítnout informován, ale pouze ústně, a nikoli písemnou formou.

29. Na základě těchto skutečností chápu obě otázky, které je třeba zkoumat společně, tak, že předkládající soud se snaží zjistit, zda subjekt údajů, který má v úmyslu vstoupit do smluvního vztahu za účelem poskytování telekomunikačních služeb se společností, uděluje této společnosti „výslovný a vědomý“ a „svobodně vyjádřený“ souhlas ve smyslu čl. 2 písm. h) směrnice 95/46 a čl. 4 odst. 11 nařízení 2016/679, pokud musí na jinak standardizované smlouvě vlastnoručně uvést, že nesouhlasí s okopírováním a uchováváním svých dokladů totožnosti.

30. V této souvislosti předkládající soud potřebuje podle všeho vodítko stran důkazního břemene a úrovně důkazů dané společnosti.

Souhlas jako předpoklad pro zpracování osobních údajů

31. Dotčený případ se týká zpracování osobních údajů při uzavírání smlouvy o poskytování telekomunikačních služeb.

32. Jakékoli zpracování osobních údajů přitom musí být zaprvé v souladu ( 13 ) se zásadami pro kvalitu údajů uvedenými v článku 6 směrnice 95/46 nebo článku 5 nařízení 2016/679 a zadruhé musí odpovídat některé ze zásad pro oprávněné zpracování údajů uvedených v článku 7 této směrnice nebo v článku 6 tohoto nařízení ( 14 ). Jak zdůrazňuje Komise, šest kritérií stanovených v článku 7 směrnice 95/46 je ve skutečnosti vyjádřením širší zásady stanovené v čl. 6 odst. 1 písm. a) uvedené směrnice, která stanoví, že osobní údaje musí být zpracovány korektně a zákonným způsobem.

33. Článek 7 směrnice 95/46 stanoví taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné ( 15 ). Ke zpracování osobních údajů může dojít pouze tehdy, pokud se použije alespoň jedna ze šesti zásad pro oprávněné zpracování údajů. Jednou z těchto zásad je existence nezpochybnitelného souhlasu subjektu údajů.

K pojmu „souhlas“

34. Souhlas subjektu údajů je pak definován v čl. 2 písm. h) směrnice 95/46 jako jakýkoli svobodný, výslovný a vědomý projev vůle, kterým subjekt údajů dává svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování.

35. Tato formulace do značné míry odpovídá ( 16 ) znění čl. 4 odst. 11 nařízení 2016/679, podle něhož se souhlasem subjektu údajů rozumí jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením svolení ke zpracování svých osobních údajů ( 17 ).

36. Požadavek souhlasu subjektu údajů je zásadním prvkem unijních předpisů o ochraně údajů ( 18 ). Je uveden také v Listině základních práv Evropské unie, jejíž článek 8 stanoví, že údaje musí být zpracovány korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem. V širším kontextu umožňuje pojem souhlas dotčenému subjektu údajů rozhodnout se o legitimitě omezení jeho práva na ochranu osobních údajů ( 19 ).

37. Hlavní zásadou, jež tvoří základ unijního práva v oblasti ochrany údajů, je zásada sebeurčené rozhodnutí jednotlivce, který je schopen rozhodnout o použití a zpracování svých údajů ( 20 ). Učinit takové rozhodnutí mu umožňuje požadavek souhlasu, který jej zároveň chrání v situacích, které jsou ze své povahy asymetrické ( 21 ). Pouze v případě, je-li souhlas svobodný, výslovný a vědomý, splňuje kritéria ve smyslu směrnice 95/46 a nařízení 2016/679.

38. V této fázi je ještě třeba uvést tři stručné poznámky ke zjevným rozdílům ve formulaci těchto ustanovení.

39. Zaprvé čl. 4 odst. 11 nařízení 2016/679 na rozdíl od čl. 2 písm. h) směrnice 95/46, používá pojem „jednoznačný“ projev vůle. Řekl bych, že důvod je poměrně jednoduchý: Jak již bylo uvedeno výše, čl. 7 písm. a) uvedené směrnice upravující zásady pro oprávněné zpracování údajů vyžaduje, aby subjekt údajů „nezpochybnitelně“ udělil souhlas, zatímco odpovídající ustanovení nařízení 2016/679 – čl. 6 odst. 1 písm. a) – tuto specifikaci neobsahuje. Jinými slovy, kritérium jednoznačného projevu vůle bylo prostě přesunuto do obecnějšího ustanovení nařízení 2016/679.

40. Zadruhé čl. 4 odst. 11 nařízení 2016/679 stanoví, že subjekt údajů projevuje svou vůli „prohlášením či jiným zjevným potvrzením“. Toto upřesnění je v nařízení skutečně nové a ve směrnici 95/46 nemá sémantický ekvivalent.

41. Zatřetí, co se týče „vědomého“ charakteru souhlasu subjektu údajů, francouzská jazyková verze směrnice 95/46 se liší od téže verze nařízení 2016/679. Zatímco čl. 2 písm. h) této směrnice užívá formulaci „manifestation de volonté […] informée“, čl. 4 odst. 11 uvedeného nařízení hovoří o „manifestation de volonté […] eclairée“.

42. Domnívám se, že tento posun ve formulaci je spíše matoucí, protože, pokud to dokážu posoudit, francouzská jazyková verze je jedinou, nebo alespoň jednou z mála jazykových verzí, která takové rozlišení obsahuje. Řada jazykových verzí, mezi nimiž jsou mimochodem i ostatní románské jazyky, v této souvislosti jednoduše používá totožné termíny ( 22 ), zatímco některé jiné jazykové verze v tomto místě obsahují mírné rozdíly, avšak ne tak výrazné, jako francouzská jazyková verze ( 23 ).

43. K pojmu „vědomý“ souhlas se vrátím níže.

Svobodný souhlas

44. Požadavek „projevu“ vůle subjektu údajů jasně poukazuje na aktivní, nikoliv pasivní jednání ( 24 ) a vyžaduje, aby měl subjekt údajů při volbě, zda dát souhlas, či nikoli, vysoký stupeň autonomie ( 25 ). S ohledem na specifickou situaci on-line loterie na internetové stránce Soudní dvůr stanovil, že souhlas udělený předem zaškrtnutým políčkem nepředstavuje aktivní jednání ze strany uživatele internetových stránek ( 26 ).

45. Mám za to, že uvedený závěr je aplikovatelný i na analogový svět: souhlas ve formě předem zaškrtnutého políčka nemůže představovat aktivní souhlas ze strany osoby vyplňující fyzický dokument, který nakonec podepíše. V takové situaci skutečně není jasné, zda předmětný předem formulovaný text byl přečten a pochopen. Taková situace není jednoznačná. Text mohl, ale také nemusel být přečten. „Čtenář“ mohl jeho čtení opomenout z čiré nedbalosti, takže není možné prokázat, zda byl souhlas poskytnut svobodně ( 27 ).

Vědomý souhlas

46. Nesmí existovat ani nejmenší pochybnost o tom, že subjekt údajů byl dostatečně informován ( 28 ).

47. Subjekt údajů musí být informován o všech okolnostech zpracování údajů a jejich důsledcích. Zejména musí být seznámen s tím, jaké údaje mají být zpracovány, po jak dlouhou dobu a za jakým konkrétním účelem. Musí také vědět, kdo bude tyto údaje zpracovávat a zda mají být předány třetím stranám. Podstatné je, že musí být informován o důsledcích odmítnutí souhlasu: je souhlas se zpracováním údajů podmínkou pro uzavření smlouvy, nebo ne ( 29 )?

Důkazní břemeno

48. Zbývá otázka, kdo je povinen prokázat, že se subjekt údajů nacházel v takové situaci, že byl schopen udělit souhlas na základě právě stanovených kritérií.

49. Ustanovení čl. 7 odst. 1 nařízení 2016/679 je jednoznačné a neponechává žádný prostor pro pochybnosti: dochází-li ke zpracování na základě souhlasu, je povinností správce, aby prokázal, že subjekt údajů se zpracováním svých údajů souhlasil ( 30 ). Toto ustanovení představuje upřesnění zásady odpovědnosti zakotvené v čl. 5 odst. 2 nařízení 2016/679. Mám za to, že s ohledem na účel tohoto ustanovení je třeba jej vykládat široce v tom smyslu, že správce musí prokázat nejen to, že subjekt údajů udělil souhlas, ale také, že byly splněny všechny podmínky pro jeho účinnost ( 31 ).

50. Někteří autoři s poukazem na legislativní historii nařízení 2016/679 zpochybňují, že čl. 7 odst. 1 tohoto nařízení upravuje důkazní břemeno ( 32 ). Tvrdí se, že zatímco Komisí i Parlamentem navržené znění výslovně odkazovalo na „důkazní břemeno“, tato formulace nebyla do přijatého textu, a tedy ani do platného práva, promítnuta.

51. Toto tvrzení si zaslouží hlubší analýzu.

52. Původní návrh Komise ( 33 ) skutečně používá pojem „důkazní břemeno“, které musí nést správce. Obdobně se v prvním čtení ( 34 ) proti tomuto znění nevymezil ani Parlament. Rada ( 35 ) však ve vztahu ke správci nahradila výraz „důkazní břemeno“ formulací „musí být schopen doložit“. Konečné znění bylo následně přijato v této podobě.

53. Této změně formulace bych nepřikládal příliš velký význam ( 36 ). Rada v žádném bodě odůvodnění svého stanoviska navrhovanou změnu formulace nezdůvodňuje ( 37 ). Uvedené svědčí o tom, že snahou tohoto orgánu bylo pouze přeformulování znění dotčeného ustanovení, aniž by došlo ke změně jeho významu. Z tohoto úhlu pohledu pojem „schopen doložit“ ve skutečnosti srozumitelnějším způsobem vyjadřuje to, co se rozumí pod pojmem „důkazní břemeno“ ( 38 ).

54. Můžeme tedy s určitostí předpokládat, že podle čl. 7 odst. 1 nařízení 2016/679 leží důkazní břemeno týkající se souhlasu subjektu údajů se zpracováním osobních údajů na správci ( 39 ). Veškeré pochybnosti týkající se udělení souhlasu subjektu údajů musí být vyvráceny na základě důkazů předložených správcem ( 40 ). Důkazní břemeno stran toho, že se subjekt údajů nacházel v situaci, kdy mohl udělit svobodný, výslovný a vědomý souhlas, leží přímo na subjektu, který provádí zpracování.

55. Právní stav podle směrnice 95/46 se v tomto ohledu neliší.

56. I když směrnice 95/46 neobsahovala samostatné ustanovení srovnatelné s článkem 7 nařízení 2016/679 upravujícím podmínky vyjádření souhlasu, většinu zde uvedených podmínek bylo možno rovněž nalézt v uvedené směrnici. Ačkoli pravidlo o důkazním břemenu není v této směrnici výslovně stanoveno, z tohoto článku ( 41 ) přinejmenším nepřímo vyplývá, že „subjekt údajů nezpochybnitelně udělil souhlas“ ( 42 ).

K situaci společnosti Orange România

57. Rád bych nyní aplikoval uvedená kritéria na projednávanou věc.

58. Na úvod bych rád konstatoval, že otázka, zda společnost Orange România může požadovat, aby její zákazníci souhlasili s kopírováním a uchováváním svých dokladů totožnosti, překračuje rámec tohoto případu, protože v případě této společnosti nejde o předpoklad pro uzavření smlouvy. Jinými slovy, v dotčeném případě se nejedná o výklad čl. 7 písm. b) směrnice 95/46 a čl. 6 odst. 1 písm. b) nařízení 2016/679. Mám za to, že z hlediska firmy je legitimní žádat zákazníky o poskytnutí některých osobních údajů, zejména o prokázání jejich totožnosti pro účely uzavření smlouvy. Požadavek, aby zákazník souhlasil s kopírováním a uchováváním dokladů totožnosti, jde nicméně patrně nad rámec toho, co je pro plnění smlouvy nezbytné.

59. Na základě dostupných informací mám za to, že za okolností popsaných předkládajícím soudem zákazníci společnosti Orange România neudělují svobodný, výslovný a vědomý souhlas.

60. Zaprvé se nejedná o souhlas, který byl dán svobodně. Povinnost zákazníka vyjádřit vlastnoručně psanou formou nesouhlas s okopírováním a uložením svého průkazu totožnosti neumožňuje udělení svobodného souhlasu v tom smyslu, že se zákazník dostává do situace, kdy se citelně odchyluje od běžného postupu, který vede k uzavření smlouvy. Zákazníci v této souvislosti nesmějí mít pocit, že jejich odmítnutí souhlasu s okopírováním a uchováváním dokladů totožnosti není v souladu s běžnými postupy. V této souvislosti bych rád připomněl, že Soudní dvůr klade důraz na aktivní jednání této osoby za účelem projevení jejího souhlasu ( 43 ). Pro udělení souhlasu je proto nezbytný aktivní úkon subjektu údajů. Zdá se však, že v projednávané věci nastala opačná situace: aktivní úkon je nezbytný k odmítnutí souhlasu. Pokud se vrátíme k rozsudku ve věci Planet49 ( 44 ), je-li zrušení předem zaškrtnutého políčka na internetové stránce považováno za příliš velkou zátěž pro zákazníka, nelze tím pádem a fortiori rozumně očekávat, že zákazník odmítne svůj souhlas vlastnoručně psanou formou.

61. Zadruhé není dán vědomý souhlas. Zákazníkovi nebylo zcela jasně řečeno, že odmítnutí okopírování a uchovávání jeho průkazu totožnosti neznemožňuje uzavření smlouvy. Zákazník neprovede volbu vědomým způsobem, jestliže si není vědom důsledků.

62. Zatřetí – a to pouze v hypotetické rovině – nic nenasvědčuje tomu, že by společnost Orange România byla schopna prokázat, že zákazníci se zpracováním svých osobních údajů souhlasili. Zjevná nejednoznačnost interních postupů v této souvislosti jistě nenapomáhá k prokázání skutečnosti, že ze strany zákazníka došlo k udělení souhlasu. Takováto nejednoznačnost a protichůdné pokyny prodejců samozřejmě nemohou jít k tíži zákazníka, in casu subjektu údajů.

Závěry

63. Vzhledem k výše uvedenému navrhuji, aby Soudní dvůr na otázky položené Tribunalul Bucureşti (soud prvního stupně v Bukurešti, Rumunsko) odpověděl následovně: „Subjekt údajů, který má v úmyslu vstoupit do smluvního vztahu za účelem poskytování telekomunikačních služeb se společností, neuděluje této společnosti svůj souhlas, tj. „svobodný, výslovný a vědomý“ projev vůle ve smyslu čl. 2 písm. h) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a „svobodný, konkrétní, informovaný“ projev vůle ve smyslu čl. 4 odst. 11 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), pokud musí na jinak standardizované smlouvě vlastnoručně uvést, že nesouhlasí s okopírováním a uchováváním svých dokladů totožnosti.“

( 1 ) – Původní jazyk: angličtina.

( 2 ) – Směrnice Evropského parlamentu a Rady ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355).

( 3 ) – Článek 6 je jediným článkem oddílu I kapitoly II směrnice 95/46.

( 4 ) – Článek 7 je jediným článkem oddílu II kapitoly II směrnice 95/46.

( 5 ) – Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1).

( 6 ) – Monitorul Oficial al României, Partea I, č. 790 ze dne 12. prosince 2001.

( 7 ) – Kdy zákazníci zaplatí předem cenu za služby, které jim budou poskytovány.

( 8 ) – Kdy zákazníci zaplatí cenu za služby poskytované danou společností po uzavření těchto smluv, na základě vystavených faktur.

( 9 ) – Podle čl. 99 odst. 2 nařízení 2016/679.

( 10 ) – Viz čl. 94 odst. 1 nařízení 2016/679.

( 11 ) – Viz rozsudek ze dne 1. října 2019, Planet49 (C‑673/17, EU:C:2019:801, body 38 až 43), pokud jde o podobný přístup ve srovnatelné situaci, a moje stanovisko v téže věci (C‑673/17, EU:C:2019:246, body 44 až 49). Viz rovněž rozsudek ze dne 11. prosince 2018, Weiss a další (C‑493/17, EU:C:2018:1000, bod 39).

( 12 ) – Viz rozsudek ze dne 24. září 2019, GC a další (Odstranění odkazu na citlivé údaje) (C‑136/17, EU:C:2019:773, bod 33).

( 13 ) – Přičemž podléhají výjimkám a omezením stanoveným v článku 13 směrnice 95/46 a článku 23 nařízení 2016/679.

( 14 ) – Viz rozsudek ze dne 16. ledna 2019, Deutsche Post (C‑496/17, EU:C:2019:26, bod 57). Viz rovněž rozsudky ze dne 13. května 2014, Google Spain a Google (C 131/12, EU:C:2014:317, bod 71 a citovaná judikatura), a ze dne 11. prosince 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, bod 36).

( 15 ) – Viz rozsudky ze dne 24. listopadu 2011, Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 a C‑469/10, EU:C:2011:777, bod 30); ze dne 19. října 2016, Breyer (C‑582/14, EU:C:2016:779, bod 57), a ze dne 1. října 2019, Planet49 (C‑673/17, EU:C:2019:801, bod 53).

( 16 ) – Viz rovněž Bygrave, L. A., Tosoni, L., v Chr. Kuner, L. A. Bygrave, Chr. Docksey (eds), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, článek 4 odst. 11, C.1., na s. 181.

( 17 ) – Tato kritéria mají samozřejmě kumulativní charakter, což znamená, že existuje vysoký práh pro platný souhlas, viz Bygrave, L. A., Tosoni, L., v Chr. Kuner, L. A. Bygrave, Chr. Docksey (eds), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, článek 4 odst. 11, C.1., na s. 181.

( 18 ) – Viz mé stanovisko ve věci Planet49 (C‑673/17, EU:C:2019:246, bod 57 a násl.). Viz rovněž Heckmann, D. & Paschke, A., v Ehmann, E., Selmayr, M. (eds.), Datenschutz-Grundverordnung, Kommentar, C. H. Beck, Mnichov, 2. vydání, 2018, článek 7, bod 9: „key cornerstone of data protection (klíčový pilíř ochrany dat“.

( 19 ) – V tomto smyslu viz Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, s. 232, který v této souvislosti hovoří o právu na informační sebeurčení (jak jej definoval německý ústavní soud v rozsudku ze dne 15. prosince 1983, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65,1).

( 20 ) – Viz rovněž Klement, J. H., v Simitis, S., Hornung, G., Spieker, I. gen. Döhmann I. (eds.), Datenschutzrecht, Nomos, Baden-Baden, 2019, článek 7, bod 1, který zdůrazňuje, že v právním řádu založeném na snaze o podporu důstojnosti, osobní svobody a odpovědnosti musí být zpracování osobních údajů legitimizováno sebeurčujícím rozhodnutím subjektu údajů.

( 21 ) – Viz dále bod 43 odůvodnění nařízení 2016/679, který se týká situací, ve kterých může existovat „mezi subjektem údajů a správcem […] jasná nerovnováha“.

( 22 ) – Viz například španělskou („manifestación de voluntad […] informada“), portugalskou („manifestação de vontade […] informada“), rumunskou („manifestare de voință […] informată“), dánskou („informeret viljetilkendegivelse“), švédskou („informerad viljeyttring“) a maltskou („infurmata“) jazykovou verzi.

( 23 ) – Viz například nizozemskou („op informatie berustende wilsuiting“ ve směrnici a „geïnformeerde wilsuiting“ v nařízení), polskou („świadome […] wskazanie“ ve směrnici a „świadome […] okazanie woli“ v nařízení) a německou („Willensbekundung, die […] in Kenntnis der Sachlage erfolgt“ ve směrnici a „in informierter Weise […] abgegebene Willensbekundung“ v nařízení) jazykovou verzi.

( 24 ) – Viz rozsudek ze dne 1. října 2019, Planet49 (C‑673/17, EU:C:2019:801, bod 52).

( 25 ) – Viz Bygrave, L. A., Tosoni, L., v Chr. Kuner, L. A. Bygrave, Chr. Docksey (eds), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, článek 4 odst. 11, C.1., na s. 182.

( 26 ) – Tamtéž.

( 27 ) – Obdobně viz mé stanovisko ve věci Planet49 (C‑673/17, EU:C:2019:246, bod 62). Viz rovněž rozsudek ze dne 1. října 2019, Planet49 (C‑673/17, EU:C:2019:801, bod 55).

( 28 ) – V konečném důsledku je vědomý souhlas zakořeněn v zásadě transparentnosti, jak je zakotvena v čl. 5 odst. 1 písm. a) nařízení 2016/679, viz Bygrave, L. A., Tosoni, L., v Chr. Kuner, L. A. Bygrave, Chr. Docksey (eds), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, článek 4 odst. 11, C.4., na s. 184.

( 29 ) – Podle některých autorů není katalog informací uvedený v článcích 10 a 11 směrnice 95/46 vyčerpávající, takže správce může subjektu údajů rovněž poskytnout další relevantní informace o podmínkách použití osobních údajů. Viz například Mednis, A., „Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46“, Monitor Prawniczy (dodatek) 2012, č. 7, s. 27.

( 30 ) – Podle tohoto ustanovení správce odpovídá za to, že osobní údaje jsou ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem, a musí být schopen toto dodržení souladu doložit.

( 31 ) – V tomto smyslu viz rovně Stemmer, B., v Brink, St., Wolff, H. A., Beck'scher Onlinekommentar Datenschutzrecht, C. H. Beck, Mnichov, 30. vydání, stav k 1. listopadu 2019, článek 7 DSGVO, bod 87, a Buchner, J., Kühling, B., v Buchner, J., Kühling, B., (eds.), Datenschutz-Grundverordnung/BDSG, Kommentar, C. H. Beck, Mnichov, 2. vydání, 2018, článek 7 DS-GVO, bod 22.

( 32 ) – Viz Klement, J. H., v Simitis, S., Hornung, G., Spieker, I., gen. Döhmann (eds.), Datenschutzrecht, Nomos, Baden-Baden, 2019, článek 7, bod 46.

( 33 ) – V původním návrhu Komise zní čl. 7 odst. 1 takto: „Správce nese důkazní břemeno stran souhlasu subjektu údajů se zpracováním svých osobních údajů pro stanovené účely“. Viz návrh nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováváním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně údajů), COM(2012) 11 final, s. 45.

( 34 ) – Parlament v prvním čtení nenavrhl změnu znění čl. 7 odst. 1, pokud jde o pojem „důkazní břemeno“. Spokojil se pouze s upřesněním, že čl. 7 odst. 1 se týká situace, kdy je zpracování založeno na souhlasu. Viz legislativní usnesení Evropského parlamentu ze dne 12. března 2014 o návrhu nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně údajů) COM(2012) 11 (Úř. věst. 2017, C 378, s. 399, na s. 428).

( 35 ) – „Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.“ Viz stanovisko Rady (EU) č. 6/2016 v prvním čtení k přijetí nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně údajů), přijaté Radou dne 8. dubna 2016 (Úř. věst. 2016, C 159, s. 1), na s. 36.

( 36 ) – V tomto smyslu viz Kosta, E., v Chr. Kuner, L. A. Bygrave, Chr. Docksey (eds), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, článek 7, C.2., na s. 349-350.

( 37 ) – Viz zejména body 42 a 43 odůvodnění, které zdůvodňují článek 7.

( 38 ) – Zajímavé koncepční vysvětlení toho, proč důkazní břemeno leží na správci, předkládá Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, s. 243–245, který je ilustruje analogickým příkladem odpovědnosti lékařů podle vnitrostátního práva, kdy důkazní břemeno rovněž leží na těch, kteří omezují dotčené právo.

( 39 ) – Toto je navíc do značné míry převládající pohled v právní literatuře, viz Klabunde, A., v Ehmann, E., Selmayr, M., (eds.), Datenschutz-Grundverordnung, Kommentar, 2. vydání, C. H. Beck, Mnichov, 2018, článek 4, bod 52; Stemmer, B., v Brink, St., Wolff, H. A., Beck'scher Onlinekommentar Datenschutzrecht, C. H. Beck, Mnichov, 30. vydání, stav k 1. listopadu 2019, článek 7 DSGVO, bod 87; Buchner, J., Kühling, B., v Buchner, J., Kühling, B., (eds.), Datenschutz-Grundverordnung/BDSG, Kommentar, C. H. Beck, Mnichov, 2. vydání, 2018, článek 7 DS-GVO, bod 22, a Barta, P., Kawecki, M., v P. Litwiński (ed), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C. H. Beck, Varšava 2018, článek 7 nařízení, bod 1.

( 40 ) – V tomto smyslu viz též Heckmann, D., Paschke, A., v Ehmann, E., Selmayr, M., (eds.), Datenschutz-Grundverordnung, Kommentar, 2. vydání, C. H. Beck, Mnichov, 2018, článek 7, bod 72.

( 41 ) – Viz čl. 7 písm. a) směrnice 95/46. Kurzivou zvýraznil autor stanoviska.

( 42 ) – V tomto smyslu viz rovněž, mimo jiné, Buchner, J., Kühling, B., v Buchner, J., Kühling, B., (eds.), Datenschutz-Grundverordnung/BDSG, Kommentar, C. H. Beck, Mnichov, 2. vydání, 2018, článek 7 DS-GVO, body 5 a 22.

( 43 ) – Viz rozsudek ze dne 1. října 2019, Planet49 (C‑673/17, EU:C:2019:801, bod 54).

( 44 ) – Viz rozsudek ze dne 1. října 2019 (C‑673/17, EU:C:2019:801).