FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT

M. SZPUNAR

fremsat den 4. marts 2020 ( 1 )

Sag C-61/19

Orange România SA

mod

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

(anmodning om præjudiciel afgørelse indgivet af Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien))

»Præjudiciel forelæggelse – direktiv 95/46/EF – forordning (EU) 2016/679 – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og fri udveksling af sådanne oplysninger – mobilkommunikationstjenester – begrebet den registreredes samtykke – specifik og informeret viljetilkendegivelse – erklæring om samtykke ved hjælp af et forudafkrydset felt – bevisbyrde«

1. Baggrunden for den foreliggende anmodning om præjudiciel afgørelse fra Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien) er en tvist mellem en leverandør af mobilkommunikationstjenester og et nationalt datatilsyn om førstnævntes forpligtelser i forbindelse med aftaleforhandlingerne med en kunde, når det gælder kopiering og opbevaring af et ID-kort.

2. Anmodningen giver Domstolen mulighed for yderligere at præcisere begrebet den registreredes »samtykke«, der er et centralt element i EU’s databeskyttelseslovgivning, som dybest set er forankret i den grundlæggende ret til databeskyttelse. Domstolen bør i denne forbindelse tillige behandle bevisbyrdespørgsmålet om, hvorvidt den registrerede har givet sit samtykke.

Retsforskrifter

EU-retten

Direktiv 95/46/EF

3. I henhold til artikel 2, litra h), i direktiv 95/46/EC ( 2 ) forstås ved »den registreredes samtykke« i dette direktivs forstand »enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling«.

4. Dette direktivs kapitel II omhandler almindelige betingelser for lovlig behandling af personoplysninger.

5. Det samme direktivs artikel 6 om »principper vedrørende oplysningernes pålidelighed« ( 3 ) har følgende ordlyd: »1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger: a) skal behandles rimeligt og lovligt b) skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; senere behandling af oplysninger i historisk, statistisk eller videnskabeligt øjemed anses ikke for at være uforenelig med disse formål, såfremt medlemsstaterne giver de fornødne garantier c) skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles […] 2. Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«

6. Artikel 7 i direktiv 95/46 omhandler »principper vedrørende grundlaget for behandling af oplysninger« ( 4 ). Følgende fremgår af denne bestemmelse: »Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis: a) der ikke hersker tvivl om, at den registrerede har givet sit samtykke, eller b) behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på dennes anmodning forud for indgåelsen af en sådan kontrakt, […] […]«

Forordning (EU) 2016/679

7. I henhold til artikel 4, nr. 11), i forordning (EU) 2016/679 ( 5 ) forstås ved »samtykke« fra den registrerede i denne forordnings forstand »enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling«.

8. Artikel 6, stk. 1, litra a) og b), har følgende ordlyd: »Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende: a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål. b) Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.«

9. Denne samme forordnings artikel 7, stk. 1, bestemmer, at »[h]vis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger«.

Rumænsk ret

10. Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (lov nr. 677/2001 om beskyttelse af fysiske personer med hensyn til behandling af personoplysninger og fri bevægelighed for sådanne oplysninger, herefter »lov nr. 677/2001«) ( 6 ) har til formål at gennemføre bestemmelserne i direktiv 95/46 i national ret.

11. Af denne lovs artikel 32 fremgår følgende: »Behandling af personoplysninger, som en registeransvarlig eller en af denne udpeget registerfører foretager i strid med bestemmelserne i artikel 4-10 eller uden at tage nødvendigt hensyn til rettighederne i kraft af artikel 12-15 eller artikel 17, udgør en administrativ overtrædelse, medmindre den foretages under sådanne omstændigheder, som indebærer en strafferetlig overtrædelse, og sanktioneres med en bøde på mellem 10000000 gamle lei [(1000 rumænske lei (RON))] og 250000000 gamle lei [(25000 RON)].«

De faktiske omstændigheder, retsforhandlingerne og de præjudicielle spørgsmål

12. Orange România SA er leverandør af mobilkommunikationstjenester på det rumænske marked og leverer tjenester både ved »PrePay«-systemet ( 7 ) og ved at indgå tjenesteaftaler ( 8 ).

13. Den 28. marts 2018 udstedte Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (den nationale tilsynsmyndighed for behandlingen af personoplysninger, Rumænien, herefter »ANSPDCP«) i henhold til artikel 32 i lov nr. 677/2001, sammenholdt med denne lovs artikel 8, en rapport, hvorved Orange România blev pålagt en administrativ sanktion, fordi genparter af kunders ID-dokumenter var blevet indsamlet og opbevaret uden indhentelse af deres udtrykkelige samtykke.

14. ANSPDCP bemærkede i denne forbindelse, at Orange România havde indgået aftaler i trykt form på forretningssteder om levering af mobilkommunikationstjenester med fysiske personer, og at genparter af kundernes ID-dokumenter blev vedhæftet disse aftaler. Indholdet af disse aftaler omfattede bl.a. den oplysning, at kunden var blevet informeret om og havde givet sit samtykke til indsamling og opbevaring (hos Orange România) af disse genparter, og at eksistensen af kundernes samtykke var konstateret i form af afkrydsning af felter i den skriftlige dokumentation, der attesterer aftalerne.

15. Den relevante del af de omhandlede aftaler har følgende ordlyd: »Kunden erklærer, at i) kunden inden indgåelse af aftalen er blevet informeret om den valgte takstplan, de anvendelige takster, den mindste aftaletid, betingelserne for opsigelse [af aftalen] og betingelserne for at modtage og benytte tjenesterne, herunder tjenesternes dækkeområde, i medfør af bestemmelserne i artikel 11 i afgørelse nr. 158/2015 fra ANCOM [(den nationale myndighed for forvaltning og regulering af kommunikation)] og i O.U.G. [nr.] 34/2014 (lovdekret nr. 34/2104), samt om retten til ensidig ophævelse, der kan udøves i henhold til artikel 1.17 i de almindelige vilkår og betingelser ii) Orange România har givet kunden alle de informationer, der er nødvendige for, at kunden kan give sit mangelfrie, udtrykkelige, frivillige og specifikke samtykke til indgåelsen af aftalen og den udtrykkelige godkendelse af aftalevilkårene, herunder den samlede aftaledokumentation, de almindelige vilkår og betingelser og informationsdokumentet om takster og tjenester iii) kunden er blevet informeret og har givet sit samtykke til: behandling af personoplysninger til de i artikel 1.15 i de almindelige vilkår og betingelser nævnte formål opbevaring [hos Orange] af genparter af dokumenter med personoplysninger, der muliggør identifikation af kunden behandling af personoplysninger (telefonnummer, e-mailadresse) til direkte markedsføring behandling af personoplysninger (telefonnummer, e-mailadresse) til markedsundersøgelser opbevaring af genparter af dokumenter med personoplysninger om kundens helbredstilstand, efter at denne har gennemlæst den pågældende aftale og givet specifikt samtykke dertil udelukkelsen af de i artikel 1.15, nr. 10, i de almindelige vilkår og betingelser nævnte oplysninger fra informationstjenester om abonnenter og abonnentfortegnelser.«

16. Ifølge ANSPDCP har Orange România ikke har bevist, at kunderne traf et informeret valg med hensyn til indsamlingen og opbevaringen af genparterne af deres identitetspapirer.

17. Orange România har anlagt sag til prøvelse af bødepålæggelsen af 28. marts 2018 ved den forelæggende ret.

18. Ifølge den forelæggende rets konstateringer foreligger der både aftaler, hvor kundens frivillige valg med hensyn til opbevaringen af dennes ID-dokumenter er tilkendegivet ved afkrydsning af et felt, såvel som aftaler, hvor kunderne omvendt har nægtet at give tilladelse hertil. Det fremgår af Orange Românias »interne salgsprocedure«, at Orange România i de sidstnævnte sager tilføjede de nødvendige oplysninger om kundens afvisning af, at en genpart af dennes ID-dokumenter opbevares, ved at udfylde en særlig formular i dette øjemed og dernæst indgik aftalen. Til trods for angivelserne i Orange Românias almindelige vilkår og betingelser afviste Orange România således ikke at indgå abonnementsaftaler med kunder, selv om de nægtede at samtykke til opbevaring af en genpart af deres ID-dokument.

19. Den forelæggende ret har anført, at det under disse omstændigheder er særlig vigtigt, at Domstolen træffer afgørelse om kriterierne for bestemmelsen af, om et samtykke er »specifik[t]« og »informeret«, og i givet fald om bevisværdien af undertegnelsen af sådanne aftaler som de i hovedsagen omhandlede.

20. Under disse omstændigheder har Tribunalul Bucureşti (retten i første instans i Bukarest) ved kendelse af 14. november 2018, indgået til Domstolen den 29. januar 2019, forelagt Domstolen følgende præjudicielle spørgsmål: »1) Hvilke betingelser skal være opfyldt for, at en viljetilkendegivelse kan opfattes som en specifik og informeret viljetilkendegivelse som omhandlet i artikel 2, litra h), i [direktiv 95/46]? 2) Hvilke betingelser skal være opfyldt for, at en viljetilkendegivelse kan opfattes som en frivillig viljetilkendegivelse som omhandlet i artikel 2, litra h), i [direktiv 95/46]?«

21. Der er indgivet skriftlige indlæg af hovedsagens parter, den italienske, den østrigske, den portugisiske og den rumænske regering samt Europa-Kommissionen. Orange România, den rumænske regering og Kommissionen deltog i retsmødet, der blevet afholdt den 11. december 2019.

Bedømmelse

22. I den foreliggende sag anmodes Domstolen om at præcisere betingelserne for, at et samtykke til behandling af personoplysninger kan anses for gyldigt.

Indledende bemærkninger

Om de gældende retlige instrumenter

23. Forordning 2016/679, som har fundet anvendelse siden den 25. maj 2018 ( 9 ), ophævede direktiv 95/46 med virkning fra den samme dag ( 10 ).

24. Den i hovedsagen omhandlede afgørelse blev truffet af ANSPDCP den 28. marts 2018 forud for den dato, hvor forordning 2016/679 finder anvendelse. Dog pålagde ANSPDCP ikke alene Orange România en bøde, men også at destruere de omhandlede genparter af ID-dokumenterne. Tvisten i hovedsagen vedrører endvidere dette sidstnævnte påbud. Dette påbud har fremtidig virkning, hvorfor denne forordning synes at finde anvendelse ratione temporis.

25. De præjudicielle spørgsmål skal derfor besvares i forhold til både direktiv 95/46 og forordning 2016/679 ( 11 ). Denne forordning skal endvidere tages i betragtning ved vurderingen af bestemmelserne i direktiv 95/46 ( 12 ).

Fastlæggelse af de præjudicielle spørgsmåls rækkevidde

26. Den forelæggende rets to spørgsmål er for generelt og abstrakt formuleret og skal til en vis grad tilpasses, så de stemmer overens med hovedsagens faktiske omstændigheder med henblik på at vejlede den forelæggende ret og give en brugbar besvarelse af spørgsmålene. Til dette formål finder jeg det vigtig kort at fremhæve hovedsagens faktiske omstændigheder, som de er anført i forelæggelsesafgørelsen fra den forelæggende ret, og de oplysninger, som sagens parter har indgivet, navnlig i retsmødet for Domstolen.

27. Den nationale databeskyttelsesmyndighed i Rumænien, ANSPDCP, sanktionerede Orange România for at indsamle og opbevare genparter af deres kunders ID-dokumenter uden samtykke. Denne myndighed fandt, at virksomheden havde indgået aftaler om levering af mobilkommunikationstjenester, og at genparter af ID-dokumenterne var vedhæftet disse aftaler. I disse aftaler var det angiveligt fastsat, at kunderne var blevet underrettet om og havde givet deres samtykke til indsamlingen og opbevaringen af disse genparter, hvilket giver sig til udtryk ved de afkrydsede felter i aftalebestemmelserne. Ifølge ANSPDCP’s konstateringer har Orange România imidlertid ikke fremlagt bevis for, at de omhandlede kunder på aftaletidspunktet havde foretaget et informeret valg med hensyn til indsamlingen og opbevaringen af disse genparter.

28. Når en person, der ønsker at indgå et aftaleforhold med Orange România, rådgives af en repræsentant for denne virksomhed om en specifik aftales betingelser, arbejder denne repræsentant – normalt på en computer – med et aftaleudkast, der indeholder et afkrydsningsfelt om opbevaringen af et ID-dokument. Kunden synes at blive informeret om, at dette afkrydsningsfelt ikke behøver at blive afkrydset. Hvis kunden ikke indvilliger i at lade sine ID-dokumenter blive fotokopieret og opbevaret, skal denne med håndskrift dokumentere dette på aftalen. Dette sidstnævnte krav vedrørende håndskrift synes at følge af Orange Românias interne slagsprocedure. Kunden informeres endvidere om, at denne kan nægte, men alene mundtligt og ikke skriftligt.

29. På denne baggrund opfatter jeg de to spørgsmål, som bør behandles samlet, således, at den forelæggende ret ønsker at klarlægge, om en registreret, som har til hensigt at indgå et aftaleforhold om leveringen af telekommunikationstjenester med en virksomhed, giver et »specifik[t] og informeret« samt »frivillig[t]« samtykke som omhandlet i artikel 2, litra h), i direktiv 95/46 og i artikel 4, nr. 11), i forordning 2016/679 til denne virksomhed, når den registrerede med håndskrift, på hvad der ellers er en standardaftale, skal anføre, at denne nægter at samtykke til fotokopieringen og opbevaringen af sine ID-dokumenter.

30. I denne sammenhæng synes den forelæggende ret at have behov for vejledning om bevisbyrde og beviskrav i forhold til denne virksomhed.

Samtykke som forudsætning for behandling af personoplysninger

31. Den foreliggende sag vedrører behandlingen af personoplysninger i forbindelse med indgåelse af en aftale om levering af telekommunikationstjenester.

32. Enhver behandling af personoplysninger skal for det første foregå i overensstemmelse ( 13 ) med både principperne vedrørende oplysningernes pålidelighed, der er fastsat i artikel 6 i direktiv 95/46 eller i artikel 5 i forordning 2016/679, og for det andet overholde et af de principper vedrørende grundlaget for behandling af oplysninger, der er opregnet i dette direktivs artikel 7 eller denne forordnings artikel 6 ( 14 ). Som Kommissionen har anført, er de seks principper i artikel 7 i direktiv 95/46 faktisk et udtryk for et bredere princip, der er fastsat i dette direktivs artikel 6, stk. 1, litra a), i henhold til hvilket personoplysninger skal behandles rimeligt og lovligt.

33. Artikel 7 i direktiv 95/46 fastsætter en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig ( 15 ). Behandlingen af personoplysninger må kun finde sted, hvis mindst ét af de seks principper vedrørende grundlaget for behandling af oplysninger er opfyldt. Den omstændighed, at der ikke hersker tvivl om, at den registrerede har givet sit samtykke, er ét af disse principper.

Om begrebet samtykke

34. Den registreredes samtykke er defineret i artikel 2, litra h), i direktiv 95/46 som enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.

35. Denne ordlyd svarer stort set ( 16 ) til ordlyden af artikel 4, nr. 11), i forordning 2016/679, i henhold til hvilken der ved samtykke fra den registrerede forstås enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling ( 17 ).

36. Kravet om den registreredes samtykke er en iboende del af EU’s lovgivning om databeskyttelse ( 18 ). Det forekommer i Den Europæiske Unions charter om grundlæggende rettigheder, hvor det i artikel 8 er fastsat, at oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag. Set i en bredere kontekst giver begrebet samtykke den registrerede mulighed for selv at tage stilling til legitimiteten af begrænsninger af dennes ret til beskyttelse af personoplysninger ( 19 ).

37. Det overordnede princip, som danner grundlaget for EU’s databeskyttelseslovgivning, er den autonome beslutning, som en borger, der er i stand til at træffe valg om anvendelsen og behandlingen af sine oplysninger, træffer ( 20 ). Det er samtykkekravet, der gør det muligt for den registrerede at træffe dette valg, og som samtidig beskytter den registrerede i tilfælde, som efter deres art er meget asymmetriske ( 21 ). Et samtykke opfylder kun kriterierne i direktiv 95/46 og i forordning 2016/679, når det er frivilligt, specifikt og informeret.

38. På dette stadie skal der fremsættes tre yderligere korte bemærkninger om den åbenbare forskel i disse bestemmelsers ordlyd.

39. For det første henviser artikel 4, nr. 11), i forordning 2016/679 i modsætning til artikel 2, litra h), i direktiv 95/46 til en »utvetydig« tilkendegivelse. Det er min opfattelse, at årsagen hertil er ganske enkel: Dette direktivs artikel 7, litra a), om principper vedrørende grundlaget for behandling af oplysninger, som allerede nævnt ovenfor, kræver, at der ikke hersker tvivl om (unambiguously), at den registrerede har givet sit samtykke, hvorimod den tilsvarende bestemmelse i forordning 2016/679 – artikel 6, stk. 1, litra a) – ikke indeholder denne præcisering. Med andre ord er kriteriet om utvetydig tilkendegivelse blot blevet flyttet til en mere generel bestemmelse i forordning 2016/679.

40. For det andet præciserer artikel 4, nr. 11), i forordning 2016/679, at den registrerede giver sig til kende ved erklæring eller klar bekræftelse. Denne præcisering er ny i forhold til forordningen og er ikke semantisk afspejlet i direktiv 95/46.

41. For det tredje adskiller den franske sprogversion af direktiv 95/46 sig fra sprogversionen af forordning 2016/679 hvad angår den registreredes samtykke som værende »informeret«. Hvor dette direktivs artikel 2, litra h), henviser til »manifestation de volonté […] informée«, omhandler denne forordnings artikel 4, nr. 11), »manifestation de volonté […] eclairée«.

42. Efter min opfattelse forvirrer denne ændring i ordlyden mere end den afklarer, da den franske sprogversion, så vidt jeg kan se, er den eneste eller i mindste en blandt ganske få sprogversioner, der foretager denne sondring. En række sprogversioner, deriblandt i øvrigt de andre romanske sprog, anvender ganske enkelt præcist de samme udtryk i denne forbindelse ( 22 ), mens andre sprogversioner muligvis varierer en anelse på dette punkt dog uden at svare til forskellen i de franske sprogversioner ( 23 ).

43. Jeg vender tilbage til begrebet »informeret« nedenfor.

Frivilligt samtykke

44. Kravet om en viljes »tilkendegivelse« fra den registreredes side peger tydeligt på en aktiv og ikke passiv adfærd ( 24 ) og kræver, at den registrerede har en høj grad af autonomi, når denne træffer valget om at give samtykke eller ikke ( 25 ). Domstolen har med hensyn til den særlige situation for salgsfremmende konkurrence på et internetwebsted fastslået, at et samtykke givet ved hjælp af et forudafkrydset felt ikke indebærer en aktiv adfærd fra brugeren af internetwebstedets side ( 26 ).

45. Jeg vil hævde, at en sådan konstatering finder tilsvarende anvendelse på den analoge verden: Et samtykke i form af et forudafkrydset felt indebærer ikke et aktivt samtykke fra en person, som har med et fysisk dokument at gøre, som den pågældende i sidste ende underskriver. I en sådan situation kan man ikke vide, om den omhandlede standardtekst er læst og forstået. Situationen er ikke entydig. Måske er teksten læst, måske er den ikke. »Læseren« kan have undladt at læse den på grund af ren og skær forsømmelighed, hvilket gør det umuligt med klarhed at fastslå, hvorvidt samtykke er afgivet frivilligt ( 27 ).

Informeret samtykke

46. Der må på ingen måde være plads til den mindste tvivl om, at den registrerede ikke var tilstrækkeligt informeret ( 28 ).

47. Den registrerede skal informeres om alle omstændigheder i forbindelse med behandlingen af oplysninger og dens konsekvenser. Navnlig skal den registrerede have kendskab til, hvilke oplysninger der skal behandles, varigheden af sådan behandling, på hvilken måde og med hvilket formål. Den registrerede skal endvidere have kendskab til, hvem der behandler oplysningerne, og om oplysningerne skal videregives til tredjemand. Det er afgørende, at den registrerede informeres om konsekvenserne af at modsætte sig samtykke: Er samtykke til behandling af oplysninger en betingelse for at indgå aftalen eller ikke ( 29 )?

On bevisbyrden

48. Dette efterlader os med spørgsmålet om, hvem det påhviler at påvise, at den registrerede befandt sig i en sådan situation, at denne kunne give sit samtykke på grundlag af de netop fastslåede kriterier.

49. Artikel 7, stk. 1, i forordning 2016/679 er klar og efterlader ingen tvivl: Hvis behandling er baseret på samtykke, skal den dataansvarlige påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger ( 30 ). Denne bestemmelse udgør en præcisering af ansvarlighedsprincippet i artikel 5, stk. 2, i forordning 2016/679. Jeg vil påstå, at formålet med denne bestemmelse skal fortolkes bredt, idet den dataansvarlige ikke blot skal godtgøre, at den registrerede har givet samtykke, men også at alle betingelserne med hensyn til effektivteten er opfyldt ( 31 ).

50. Nogle forfattere betvivler, at artikel 7, stk. 1, i forordning 2016/679 vedrører bevisbyrden med henvisning til denne forordnings forarbejder ( 32 ). Det anføres, at selv om både den af Kommissionen og Parlamentet foreslåede ordlyd udtrykkeligt henviste til »ansvaret for at bevise«, er en sådan ordlyd ikke afspejlet i den vedtagne tekst, som derfor er den gældende lovgivning.

51. Dette argument kræver en nærmere analyse.

52. I Kommissionens oprindelige forslag ( 33 ) henvises der således til »ansvaret for at bevise«, som den dataansvarlige skal bære. Ligeledes tog Parlamentet ved førstebehandlingen ( 34 ) ikke afstand fra denne ordlyd. Det var Rådet ( 35 ), som med hensyn til den dataansvarlige ændrede »ansvaret for at bevise« med »skal […] kunne påvise«. Den endelige tekst blev efterfølgende vedtaget i denne form.

53. Jeg ville ikke tillægge denne ændring af ordlyden for stor en betydning ( 36 ). På intet tidspunkt i betragtningerne til sin holdning angiver Rådet begrundelsen for den foreslåede ændring i ordlyden ( 37 ). Dette indikerer, at institutionen blot ønskede at ændre ordlyden af den omhandlede bestemmelse uden at ændre dens betydning. Set i lyset heraf beskriver udtrykket »skal […] kunne påvise« reelt på en mere tilgængelig måde, hvad der menes med »ansvaret for at bevise« ( 38 ).

54. Det kan derfor roligt antages, at artikel 7, stk. 1, i forordning 2016/679 lægger bevisbyrden for den registreredes samtykke til behandling af personoplysninger på den dataansvarlige ( 39 ). Enhver tvivl hvad angår den registreredes meddelelse af samtykke skal fjernes af bevis fremlagt af den dataansvarlige ( 40 ). Bevisbyrden for, at den registrerede er blevet bragt i en situation, hvor denne er i stand til at give et frivilligt, specifikt og informeret samtykke, ligger helt og holdent på den enhed, som foretager behandlingen.

55. Retsstillingen i direktiv 95/46 er ikke anderledes på dette punkt.

56. Selv om direktiv 95/46 ikke indeholdt en særskilt bestemmelse, der svarer til artikel 7 i forordning 2016/679 om betingelserne for samtykke, kunne de fleste betingelser i denne artikel ligeledes findes i dette direktiv. Selv om bevisbyrdereglen ikke udtrykkeligt er fastsat i dette direktiv, følger det i det mindste indirekte fra dets bestemmelse ( 41 ), at »der ikke hersker tvivl om, at den registrerede har givet sit samtykke« ( 42 ).

Om Orange Românias situation

57. Jeg vil nu anvende disse kriterier på den foreliggende sag.

58. Som en indledende bemærkning skal det anføres, at spørgsmålet om, hvorvidt Orange România kan kræve, at deres kunder samtykker til kopiering og opbevaring af deres ID-dokumenter, falder uden for rammerne af denne sag, da dette ikke er en forudsætning for aftaleindgåelsen i denne virksomheds tilfælde. Den foreliggende sag omhandler med andre ord ikke fortolkningen af artikel 7, litra b), i direktiv 95/46 og artikel 6, stk. 1, litra b), i forordning 2016/679. Når dette er sagt, er det efter min opfattelse legitimt, at en virksomhed anmoder kunder om personoplysninger og navnlig at legitimere sig med henblik på en aftaleindgåelse. Imidlertid synes det at gå videre, end hvad der er nødvendigt for aftalens opfyldelse, at kræve, at en kunde samtykker til kopiering og opbevaring af ID-dokumenter.

59. Ud fra de foreliggende oplysninger er det min opfattelse, at Orange Românias kunder ikke giver et frivilligt, specifikt og informeret samtykke under omstændigheder som de af den forelæggende ret beskrevne.

60. For det første er der ikke et frivilligt samtykke. En kunde, der pålægges i håndskreven form at skulle tilkendegive, at den pågældende ikke samtykker til kopiering og opbevaring af sit ID-kort, gives ikke mulighed for frivilligt samtykke, idet kunden sættes i en situation, som mærkbart afviger fra den normale procedure, der fører til en aftaleindgåelse. Kunder må i denne forbindelse ikke føle, at det ikke er i overensstemmelse med de almindelige procedurer at nægte samtykke til kopiering og opbevaring af deres ID-dokumenter. Jeg skal i denne henseende erindre om, at Domstolen har lagt vægt på aktiv adfærd fra den registrerede med henblik på at tilkendegive sit samtykke ( 43 ). Der kræves derfor en positiv handling fra den registreredes side for at tilkendegive samtykke. I den foreliggende sag synes den modsatte situation imidlertid at forekomme: Der kræves en positiv handling for at nægte samtykke. Hvis – for endnu en gang at henvise til Planet49-dommen ( 44 ) – et forudafkrydset felt på et internetwebsted anses for en alt for stor byrde for en kunde, så kan en kunde så meget desto mindre ikke med rimelighed forventes at nægte sit samtykke i håndskrevet form.

61. For det andet er der ikke et informeret samtykke. Det gøres ikke fuldstændigt klart for kunden, at nægtelse af kopiering og opbevaring af den pågældendes ID-kort ikke umuliggør aftaleindgåelsen. En kunde vælger ikke på et informeret grundlag, hvis denne ikke kender til konsekvenserne.

62. For det tredje – og alene på et hypotetisk grundlag – er der intet, der antyder, at Orange România har formået at påvise, at kunderne samtykkede til behandlingen af deres personoplysninger. I denne henseende bidrager en tydelig mangel på klarhed i de interne procedurer bestemt ikke til fremlæggelsen af bevis for, at kunden har givet sit samtykke. Sådan manglende klarhed og modstridende instrukser til salgspersonalet kan naturligvis ikke være til skade for kunden, som i dette tilfælde er den registrerede.

Forslag til afgørelse

63. På baggrund af ovenstående betragtninger foreslår jeg, at Domstolen besvarer de af Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien) forelagte spørgsmål på følgende måde: »En registreret, som har til hensigt at indgå et aftaleforhold om leveringen af telekommunikationstjenester med en virksomhed, giver ikke sit »samtykke«, dvs. tilkendegiver ikke en »specifik og informeret« samt »frivillig« vilje som omhandlet i artikel 2, litra h), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og i artikel 4, nr. 11), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) til denne virksomhed, når den registrerede med håndskrift, på hvad der ellers er en standardaftale, skal anføre, at denne nægter at samtykke til fotokopieringen og opbevaringen af sine ID-dokumenter.«

( 1 ) – Originalsprog: engelsk.

( 2 ) – Europa-Parlamentets og Rådets direktiv af 24.10.1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31).

( 3 ) – Artikel 6 er den eneste artikel i kapitel II, afdeling I, i direktiv 95/46.

( 4 ) – Artikel 7 er den eneste artikel i kapitel II, afdeling II, i direktiv 95/46.

( 5 ) – Europa-Parlamentets og Rådets forordning af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1).

( 6 ) – Monitorul Oficial al României, Partea I, nr. 790 af 12.12.2001.

( 7 ) – Dvs. at kunderne forhåndsbetaler prisen for de tjenester, som vil blive leveret efterfølgende.

( 8 ) – Dvs. at prisen for de af selskabet tilvejebragte tjenester betales af kunderne efter leveringen på grundlag af de udstedte fakturaer.

( 9 ) – I henhold til artikel 99, stk. 2, i forordning 2016/679.

( 10 ) – Jf. artikel 94, stk. 1, i forordning 2016/679.

( 11 ) – Jf. dom af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 38-43), for en lignende tilgang i en sammenlignelig situation og mit forslag til afgørelse i samme sag (C-673/17, EU:C:2019:246, punkt 44-49). Jf. endvidere dom af 11.12.2018, Weiss m.fl. (C-493/17, EU:C:2018:1000, præmis 39).

( 12 ) – Jf. dom af 24.9.2019, GC m.fl. (Fjernelse af følsomme oplysninger) (C-136/17, EU:C:2019:773, præmis 33).

( 13 ) – Naturligvis med forbehold for de undtagelser og begrænsninger, som er fastsat i artikel 13 i direktiv 95/46 og i artikel 23 i forordning 2016/679.

( 14 ) – Jf. dom af 16.1.2019, Deutsche Post (C-496/17, EU:C:2019:26, præmis 57). Jf. endvidere dom af 13.5.2014, Google Spain og Google (C-131/12, EU:C:2014:317, præmis 71 og den deri nævnte retspraksis), og af 11.12.2019, Asociaţia de Proprietari bloc M5A-ScaraA (C-708/18, EU:C:2019:1064, præmis 36).

( 15 ) – Jf. dom af 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito (C-468/10 og C-469/10, EU:C:2011:777, præmis 30), af 19.10.2016, Breyer (C-582/14, EU:C:2016:779, præmis 57), og af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 53).

( 16 ) – Jf. endvidere L.A. Bygrave og L. Tosoni i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 4, nr. 11, kapitel I, s. 181.

( 17 ) – Disse kriterier er naturligvis af kumulativ karakter, hvilket betyder, at tærsklen for et gyldigt samtykke er høj, jf. L.A. Bygrave og L. Tosoni i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 4, nr. 11, kapitel I, s. 181.

( 18 ) – Jf. mit forslag til afgørelse Planet49 (C-673/17, EU:C:2019:246, punkt 57 ff.). Jf. endvidere D. Heckmann og A. Paschke i E. Ehmann og M. Selmayr (red.), Datenschutz-Grundverordnung, Kommentar, C.H. Beck, München, 2. udgave, 2018, artikel 7, punkt 9: »Databeskyttelsens hovedhjørnesten«.

( 19 ) – Jf. i denne forbindelse B. Buchner, Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, s. 232, der henviser til selvbestemmelsesretten i denne sammenhæng (som udviklet af den tyske forfatningsdomstol siden dom af 15.12.1983, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65,1).

( 20 ) – Jf. endvidere J.H. Klement i S. Simitis, G. Hornung og I. Spieker gen. I. Döhmann (red.), Datenschutzrecht, Nomos, Baden-Baden, 2019, artikel 7, punkt 1, som fremhæver, at i en retsorden, der er baseret på og søger at fremme værdighed og individets frihed og ansvar, skal behandlingen af personoplysninger legitimeres af den registreredes autonome beslutning.

( 21 ) – Jf. endvidere 43. betragtning til forordning 2016/679, hvori der henvises til tilfælde, hvor der kan være en »klar skævhed mellem den registrerede og den dataansvarlige«.

( 22 ) – Jf. f.eks. den spanske (»manifestación de voluntad […] informada«), den portugisiske (»manifestação de vontade […] informada«), den rumænske (»manifestare de voință […] informată«), den danske (»informeret viljetilkendegivelse«), den svenske (»informerad viljeyttring«) og den maltesiske (»infurmata«) sprogversion.

( 23 ) – Jf. f.eks. den nederlandske (»op informatie berustende wilsuiting« i direktivet og »geïnformeerde wilsuiting« i forordningen), den polske (»świadome […] wskazanie« i direktivet og »świadome […] okazanie woli« i forordningen) og den tyske (»Willensbekundung, die […] in Kenntnis der Sachlage erfolgt« i direktivet og »in informierter Weise […] abgegebene Willensbekundung« i forordningen) sprogversion.

( 24 ) – Jf. dom af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 52).

( 25 ) – Jf. L.A. Bygrave og L. Tosoni i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 4, nr. 11, kapitel I, s. 182.

( 26 ) – Ibidem.

( 27 ) – Jf. analogt mit forslag til afgørelse Planet49 (C-673/17, EU:C:2019:246, punkt 62). Jf. endvidere dom af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 55).

( 28 ) – Informeret samtykke er i sidste ende forankret i gennemsigtighedsprincippet, som fastlagt i artikel 5, stk. 1, litra a), i forordning 2016/679, jf. L.A. Bygrave og L. Tosoni i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 4, nr. 11, kapitel I, s. 184.

( 29 ) – Ifølge visse forfattere er listen over informationer som omhandlet i artikel 10 og 11 i direktiv 95/46 ikke udtømmende, således at den dataansvarlige også kan give den registrerede anden relevant information om betingelserne for anvendelse af personoplysninger. Jf. f.eks. A. Mednis, »Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46«, Monitor Prawniczy (dodatek) 2012, nr. 7, s. 27.

( 30 ) – I henhold til denne bestemmelse har den dataansvarlige ansvaret for og skal kunne påvise, at personoplysningerne behandles lovligt, rimeligt og på en transparent måde i forhold til den registrerede.

( 31 ) – Jf. i denne retning B. Stemmer i S. Brink og H.A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, München, 30. udgave per 1.11.2019, artikel 7 DSGVO, punkt 87, og J. Buchner og B. Kühling i J. Buchner og B. Kühling (red.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2. udgave 2018, artikel 7 DS-GVO, punkt 22.

( 32 ) – Jf. J.H. Klement i S. Simitis, G. Hornung og I. Spieker gen. Döhmann (red.), Datenschutzrecht, Nomos, Baden-Baden, 2019, artikel 7, punkt 46.

( 33 ) – I Kommissionens oprindelige forslag havde artikel 7, stk. 1, følgende ordlyd: »Den registeransvarlige bærer ansvaret for at bevise, at den registrerede har givet sit samtykke til behandlingen af vedkommendes personoplysninger til de angivne formål«. Jf. forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse), COM(2012) 11 final, s. 45.

( 34 ) – Ved førstebehandlingen foreslog Parlamentet ikke at ændre ordlyden af artikel 7, stk. 1, hvad angår udtrykket »ansvaret for at bevise«. Det beskæftigede sig alene med at præcisere, at artikel 7, stk. 1, omhandler en situation, hvor behandlingen er baseret på samtykke. Jf. Europa-Parlamentets lovgivningsmæssige beslutning af 12.3.2014 om forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse), COM(2012) 11 (EUT 2017, C 378, s. 399, s. 428).

( 35 ) – »Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.« Jf. Rådets førstebehandlingsholdning (EU) nr. 6/2016 med henblik på vedtagelse af Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse), vedtaget af Rådet den 8.4.2016 (EUT 2016, C 159, s. 1), s. 36.

( 36 ) – Jf. i denne retning endvidere E. Kosta i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 7, kapitel II, s. 349 og 350.

( 37 ) – Jf. navnlig 42. og 43. betragtning, hvoraf begrundelsen for artikel 7 fremgår.

( 38 ) – En interessant begrebsmæssig forklaring på, hvorfor bevisbyrden påhviler den dataansvarlige, fremlægges af B. Buchner i Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, s. 243-245, der drager en parallel til lægers ansvar i national ret, hvor bevisbyrden ligeledes påhviler dem, som foretager begrænsningen af den omhandlede rettighed.

( 39 ) – Dette er desuden den mest fremherskende opfattelse i retslitteraturen, jf. A. Klabunde i E. Ehmann og M. Selmayr (red.), Datenschutz-Grundverordnung, Kommentar, 2. udgave, C.H. Beck, München, 2018, artikel 4, punkt 52, B. Stemmer i S. Brink og H.A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, München, 30. udgave pr. 1.11.2019, artikel 7 DSGVO, punkt 87, J. Buchner og B. Kühling i J. Buchner og B. Kühling (red.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2. udgave, 2018, artikel 7 DS-GVO, punkt 22, og P. Barta og M. Kawecki i P. Litwiński (red.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C.H. Beck, Warszawa 2018, forordningens artikel 7, punkt 1.

( 40 ) – Jf. endvidere i denne retning D. Heckmann og A. Paschke i E. Ehmann og M. Selmayr (red.), Datenschutz-Grundverordnung, Kommentar, 2. udgave, C.H. Beck, München, 2018, artikel 7, punkt 72.

( 41 ) – Jf. artikel 7, litra a), i direktiv 95/46. Min fremhævelse.

( 42 ) – Jf. i denne retning endvidere bl.a. J. Buchner og B. Kühling i J. Buchner og B. Kühling (red.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2. udgave, 2018, artikel 7 DS-GVO, punkt 5 og 22.

( 43 ) – Jf. dom af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 54).

( 44 ) – Jf. dom af 1.10.2019 (C-673/17, EU:C:2019:801).