CONCLUSIE VAN ADVOCAAT-GENERAAL

M. SZPUNAR

van 4 maart 2020 ( 1 )

Zaak C‑61/19

Orange România SA

tegen

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

[verzoek van de Tribunal București (rechter in eerste aanleg Boekarest, Roemenië) om een prejudiciële beslissing]

„Prejudiciële verwijzing – Richtlijn 95/46/EG – Verordening (EU) 2016/679 – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en vrij verkeer van die gegevens – Mobieletelecommunicatiediensten – Begrip ‚toestemming van de betrokkene’ – Specifieke en op informatie berustende wilsuiting – Verlenen van toestemming via een selectievakje – Bewijslast”

1. Het onderhavige verzoek om een prejudiciële beslissing van de Tribunal București (rechter in eerste aanleg Boekarest, Roemenië) gaat terug op een geschil tussen een aanbieder van telecommunicatiediensten en een nationale gegevensbeschermingsautoriteit inzake de verplichtingen van die aanbieder in het kader van contractuele onderhandelingen met een klant bij het maken van een kopie van een identiteitskaart en het bewaren ervan.

2. Het biedt het Hof de gelegenheid een nadere invulling te geven aan het begrip „toestemming” van een betrokkene, een centraal element in het Unierecht inzake gegevensbescherming, dat uiteindelijk is geworteld in het grondrecht op bescherming van persoonsgegevens. In dit verband dient het Hof de kwestie van de bewijslast ook te benaderen met de vraag of de betrokkene al dan geen toestemming heeft verleend.

Toepasselijke bepalingen

Unierecht

Richtlijn 95/46

3. Volgens artikel 2, onder h), van richtlijn 95/46/EG ( 2 ) wordt onder „toestemming van de betrokkene”, in de zin van deze richtlijn, verstaan „elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”.

4. Hoofdstuk II van die richtlijn betreft algemene voorschriften voor de rechtmatigheid van de verwerking van persoonsgegevens.

5. Artikel 6 van die richtlijn, dat gaat over „beginselen betreffende de kwaliteit van de gegevens” ( 3 ), luidt als volgt: „1. De lidstaten bepalen dat de persoonsgegevens: a) eerlijk en rechtmatig moeten worden verwerkt; b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verkregen en vervolgens niet worden verwerkt op een wijze [die] onverenigbaar is met die doeleinden. Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden wordt niet als onverenigbaar beschouwd, mits de lidstaten passende garanties bieden; c) toereikend, ter zake dienend en niet bovenmatig moeten zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt; [...] 2. Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.”

6. Artikel 7 van richtlijn 95/46 gaat over „beginselen betreffende de toelaatbaarheid van gegevensverwerking”. ( 4 ) Volgens dit artikel geldt het volgende: „De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien: a) de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend, of b) de verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene, [...] [...]”

Verordening 2016/679

7. Volgens artikel 4, punt 11, van verordening (EU) 2016/679 ( 5 ) wordt onder „toestemming” van de betrokkene in de zin van deze verordening verstaan: „elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt”.

8. In artikel 6, lid 1, onder a) en b), van die verordening is het volgende bepaald: „De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”.

9. Artikel 7, lid 1, van die verordening bepaalt dat „[w]anneer de verwerking berust op toestemming, [...] de verwerkingsverantwoordelijke [moet] kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens”.

Roemeens recht

10. Lege nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (wet nr. 677/2001 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens; hierna: „wet nr. 677/2001”) ( 6 ) strekt tot omzetting van de bepalingen van richtlijn 95/46 in nationale wetgeving.

11. Artikel 32 van die wet luidt als volgt: „De verwerking van persoonsgegevens door een voor de verwerking verantwoordelijke of door een door hem gemachtigde persoon, die verricht wordt in strijd met de artikelen 4 tot en met 10 of zonder inachtneming van de in de artikelen 12 tot en met 15 en artikel 17 neergelegde rechten, vormt een bestuursrechtelijke overtreding, voor zover zij niet heeft plaatsgevonden in omstandigheden die een strafbaar feit opleveren, en wordt bestraft met een geldboete van 10000000 oude Roemeense leu (ROL) [(1000 Roemeense leu – RON)] tot 250000000 ROL [(25000 RON)].”

Feiten, procedure en prejudiciële vragen

12. Orange România SA is een aanbieder van mobieletelecommunicatiediensten op de Roemeense markt, die zowel diensten onder het PrePay-systeem ( 7 ) als diensten op basis van een dienstverleningsovereenkomst ( 8 ) aanbiedt.

13. Op 28 maart 2018 heeft de Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (nationale toezichthoudende autoriteit voor de verwerking van persoonsgegevens, Roemenië; hierna: „ANSPDCP”) krachtens artikel 32 juncto artikel 8 van wet nr. 677/2001 een proces-verbaal opgesteld waarbij onder meer een bestuursrechtelijke sanctie aan Orange România werd opgelegd, op grond dat die onderneming, zonder uitdrukkelijke toestemming van haar klanten, kopieën van hun identiteitsdocumenten had gemaakt en bewaard.

14. In dit verband heeft de ANSPDCP opgemerkt dat Orange România in het verkooppunt overeenkomsten op papier had afgesloten voor de levering van mobieletelecommunicatiediensten aan individuele klanten en dat kopieën van hun identiteitsdocumenten bij die overeenkomsten waren gevoegd. Die overeenkomsten bevatten onder meer een verklaring dat de klant ervan in kennis was gesteld en ermee had ingestemd dat die kopieën (door Orange România) werden verzameld en bewaard, en dat aangekruiste vakjes in de schriftelijke documenten houdende de overeenkomst het bewijs vormden voor de toestemming van de klanten.

15. De relevante passage van de betrokken overeenkomsten luidt als volgt: „De klant verklaart dat: (i) hij vóór de sluiting van de overeenkomst is geïnformeerd over het gekozen tariefplan, de toepasselijke tarieven, de minimumduur van de overeenkomst, de voorwaarden voor beëindiging van de overeenkomst en de gebruikmaking van de diensten, met inbegrip van het dekkingsgebied van de diensten, overeenkomstig artikel 11 van besluit nr. 158/2015 van de Ancom [(Autoritatea Naţională pentru Administrare şi Reglementare în Comunicaţii, nationale autoriteit voor beheer en reglementering inzake communicatie)] en [noodbesluit nr. 34/2014 van de regering], alsmede over zijn recht op eenzijdige opzegging van de overeenkomst dat kan worden uitgeoefend overeenkomstig artikel 1.17 van de algemene voorwaarden; (ii) Orange România de klant alle informatie heeft verstrekt die hij nodig heeft om geldig, uitdrukkelijk, vrijelijk en specifiek in te kunnen stemmen met het sluiten van de overeenkomst en deze overeenkomst uitdrukkelijk te aanvaarden, met inbegrip van alle contractuele documentatie, de algemene voorwaarden en de toelichting inzake tarieven en diensten; (iii) hij is geïnformeerd over en zijn toestemming heeft gegeven voor: de verwerking van de persoonsgegevens voor de in artikel 1.15 van de algemene voorwaarden genoemde doeleinden, het feit dat kopieën van de documenten met persoonsgegevens voor identificatiedoeleinden zullen worden bewaard [door Orange], de verwerking van persoonsgegevens (telefoonnummer en e-mail) voor direct-marketingdoeleinden, de verwerking van persoonsgegevens (telefoonnummer en e-mail) ten behoeve van marktonderzoeken. Ik heb ervan kennis genomen en stem er uitdrukkelijk mee in dat kopieën van documenten met persoonsgegevens betreffende de gezondheid zullen worden bewaard. De in artikel 1.15, punt 10, van de algemene voorwaarden vermelde gegevens worden niet opgenomen in de abonneegegevens, noch in de telefoongids.”

16. Volgens de ANSPDCP heeft Orange România niet aangetoond dat klanten een op informatie berustende keuze maakten betreffende de verzameling en opslag van kopieën van hun identiteitspapieren.

17. Orange România is tegen de geldboete van 28 maart 2018 opgekomen bij de verwijzende rechter.

18. Volgens de vaststellingen van de verwijzende rechter zijn er overeenkomsten waarin de vrij geuite keuze van de klant met betrekking tot het bewaren van een kopie van zijn of haar identiteitsdocument wordt aangegeven door een aangekruist vakje, en in tegengestelde gevallen blijkt uit de weigering die toestemming te uiten. Uit de „interne verkoopprocedures” van Orange România blijkt dat zij in laatstgenoemde gevallen de nodige informatie over de weigering van de klant om een kopie van zijn identiteitsdocument te bewaren heeft vermeld op een speciaal daarvoor bestemd formulier en vervolgens de overeenkomst met de klant heeft gesloten. Ondanks de aanwijzingen in haar algemene voorwaarden, heeft Orange România dus niet geweigerd om abonnementsovereenkomsten met klanten te sluiten, ook niet als die klanten weigerden toestemming te geven voor het bewaren van een kopie van hun identiteitskaart.

19. De verwijzende rechter is van oordeel dat het in deze omstandigheden bijzonder belangrijk is dat het Hof zich uitspreekt over de criteria aan de hand waarvan kan worden bepaald of er sprake is van „specifieke” en „op informatie berustende” toestemming en, in voorkomend geval, over de bewijskracht van de ondertekening van overeenkomsten als die welke in het hoofdgeding aan de orde zijn.

20. In deze omstandigheden heeft de Tribunal București, bij beslissing van 14 november 2018, ingekomen bij het Hof op 29 januari 2019, het Hof de volgende prejudiciële vragen voorgelegd: „1) Aan welke voorwaarden moet volgens artikel 2, onder h), van [richtlijn 95/46] worden voldaan om een wilsuiting te kunnen aanmerken als een specifieke en op informatie berustende wilsuiting? 2) Aan welke voorwaarden moet volgens artikel 2, onder h), van [richtlijn 95/46] worden voldaan om een wilsuiting te kunnen aanmerken als een vrije wilsuiting?”

21. Schriftelijke opmerkingen zijn ingediend door partijen in het hoofdgeding, de Roemeense, de Italiaanse, de Oostenrijkse en de Portugese regering en de Europese Commissie. Orange România, de Roemeense regering en de Europese Commissie waren vertegenwoordigd ter terechtzitting van 11 december 2019.

Beoordeling

22. In deze zaak wordt het Hof verzocht te verduidelijken onder welke voorwaarden toestemming voor de verwerking van persoonsgegevens als geldig kan worden beschouwd.

Voorafgaande opmerkingen

Toepasselijke rechtsinstrumenten

23. Bij verordening 2016/679, die sinds 25 mei 2018 van toepassing is ( 9 ), is richtlijn 95/46 met ingang van diezelfde datum ingetrokken. ( 10 )

24. Het in het hoofdgeding aan de orde zijnde besluit van de ANSPDCP is vastgesteld op 28 maart 2018, dus vóór de datum waarop verordening 2016/679 van toepassing is geworden. De ANSPDCP heeft Orange România echter niet alleen een geldboete opgelegd, maar ook van haar geëist dat zij de kopieën van de betrokken identiteitsdocumenten vernietigt. Het hoofdgeding heeft ook betrekking op dit laatste bevel. Dat bevel heeft gevolgen voor de toekomst, zodat de verordening ratione temporis van toepassing blijkt te zijn.

25. Bijgevolg moeten de gestelde vragen worden beantwoord op basis van zowel richtlijn 95/46 als verordening 2016/679. ( 11 ) Bovendien moet met die verordening rekening worden gehouden bij de analyse van de bepalingen van richtlijn 95/46. ( 12 )

Bepaling van de omvang van de prejudiciële vragen

26. De twee vragen van de verwijzende rechter zijn te algemeen en te abstract geformuleerd en moeten enigszins worden aangepast om ze in lijn te brengen met de feiten van het hoofdgeding, teneinde de verwijzende rechter een richtsnoer en een nuttig antwoord op de vragen te bieden. Daartoe lijkt het mij noodzakelijk om kort te herinneren aan de feiten van het hoofdgeding zoals zij blijken uit de verwijzingsbeslissing en uit de door partijen in het geding, met name ter terechtzitting voor het Hof, verstrekte gegevens.

27. De nationale autoriteit voor gegevensbescherming in Roemenië, de ANSPDCP, heeft Orange România een sanctie opgelegd wegens het verzamelen en bewaren van kopieën van identiteitsdocumenten van haar klanten zonder hun toestemming. Die autoriteit had vastgesteld dat die vennootschap overeenkomsten had afgesloten voor de levering van mobieletelecommunicatiediensten en dat bij die overeenkomsten kopieën van identiteitsdocumenten waren gevoegd. In die overeenkomsten was beweerdelijk vastgelegd dat de klanten in kennis waren gesteld van en hadden ingestemd met de verzameling en opslag van die kopieën, zoals gestaafd door de aangekruiste vakjes in de contractuele bepalingen. Volgens de vaststellingen van de ANSPDCP heeft Orange România echter geen bewijs geleverd dat de betrokken klanten op het moment van afsluiten van de overeenkomsten een geïnformeerde keuze hadden gemaakt met betrekking tot de verzameling en opslag van die kopieën.

28. Wanneer een persoon die een contractuele relatie met Orange România wil aangaan, door een vertegenwoordiger van die vennootschap wordt ingelicht over de bepalingen van een specifieke overeenkomst, werkt die vertegenwoordiger, meestal op een computer, met een modelovereenkomst met daarop een selectievakje met betrekking tot de bewaring van een identiteitsdocument. De klant lijkt ervan in kennis te worden gesteld dat het aankruisen van dit vakje niet verplicht is. Indien de klant niet instemt met het fotokopiëren en bewaren van zijn of haar identiteitsdocument, moet hij of zij dit vastleggen in een handgeschreven verklaring op de overeenkomst. Dit laatste vereiste blijkt voort te vloeien uit het interne verkoopreglement van Orange România. Bovendien wordt de klant enkel mondeling, en niet schriftelijk, in kennis gesteld van de mogelijkheid die hij of zij heeft om te weigeren.

29. In deze context vat ik de twee vragen, die samen moeten worden onderzocht, aldus op dat de verwijzende rechter wenst te vernemen of er kan worden gesteld dat een betrokken persoon die voornemens is met een onderneming een contractuele relatie aan te gaan voor de levering van telecommunicatiediensten, zijn „vrije, specifieke en op informatie berustende” toestemming in de zin van artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679 aan die onderneming verleent wanneer hij op een voor het overige gestandaardiseerde overeenkomst een handgeschreven verklaring dient aan te brengen dat hij toestemming weigert voor het fotokopiëren en bewaren van zijn identiteitsdocumenten.

30. In dit verband lijkt de verwijzende rechter behoefte te hebben aan richtsnoeren betreffende de bewijslast en de bewijsvereisten voor die onderneming.

Toestemming als een noodzakelijke voorwaarde voor de verwerking van persoonsgegevens

31. De onderhavige zaak betreft de verwerking van persoonsgegevens bij het sluiten van een overeenkomst voor de verstrekking van telecommunicatiediensten.

32. Elke verwerking van persoonsgegevens moet, ten eerste, stroken ( 13 ) met de in artikel 6 van richtlijn 95/46 of artikel 5 van verordening 2016/679 vastgelegde beginselen betreffende de kwaliteit van de gegevens en, ten tweede, beantwoorden aan een van de in artikel 7 van die richtlijn of artikel 6 van die verordening vermelde criteria voor de toelaatbaarheid van gegevensverwerking. ( 14 ) Zoals de Commissie heeft opgemerkt, zijn de zes in artikel 7 van richtlijn 95/46 genoemde criteria eigenlijk de uitdrukking van een in artikel 6, lid 1, onder a), van die richtlijn neergelegd ruimer beginsel, volgens hetwelk persoonsgegevens eerlijk en rechtmatig moeten worden verwerkt.

33. Artikel 7 van richtlijn 95/46 bevat een uitputtende lijst van gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt. ( 15 ) De verwerking van persoonsgegevens mag slechts plaatsvinden indien ten minste een van de zes criteria betreffende de toelaatbaarheid van de gegevensverwerking van toepassing is. Een van die criteria is het bestaan van de ondubbelzinnige toestemming van de betrokkene.

Begrip „toestemming”

34. Het begrip „toestemming van de betrokkene” wordt in artikel 2, onder h), van richtlijn 95/46 gedefinieerd als elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt.

35. Die definitie komt grotendeels overeen ( 16 ) met die in artikel 4, punt 11, van verordening 2016/679, volgens welke onder „toestemming” van de betrokkene wordt verstaan: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt. ( 17 )

36. Het vereiste van toestemming van een betrokkene is een spil in de Uniewetgeving inzake gegevensbescherming. ( 18 ) Het is opgenomen in het Handvest van de grondrechten van de Europese Unie, waarvan artikel 8 bepaalt dat gegevens eerlijk moeten worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. In een ruimere context biedt het begrip „toestemming” de betrokkene de mogelijkheid om zelf te beslissen over de toelaatbaarheid van beperkingen van zijn of haar recht op de bescherming van persoonsgegevens. ( 19 )

37. In het Unierecht inzake gegevensbescherming wordt in beginsel uitgegaan van een onafhankelijk genomen besluit van een individu dat in staat is keuzen te maken met betrekking tot het gebruik en de verwerking van zijn of haar gegevens. ( 20 ) Het vereiste van toestemming is datgene waardoor hij of zij die keuzen kan maken en hij tegelijkertijd wordt beschermd in situaties die naar hun aard asymmetrisch zijn. ( 21 ) Enkel een vrije, specifieke en op informatie berustende toestemming voldoet aan de voorwaarden van richtlijn 95/46 en verordening 2016/679.

38. Op dit punt moeten nog drie korte opmerkingen worden gemaakt over het klaarblijkelijke verschil in formulering van deze bepalingen.

39. Ten eerste verwijst artikel 4, punt 11, van verordening 2016/679, anders dan artikel 2, onder h), van richtlijn 95/46 naar een „ondubbelzinnige” wilsuiting. De reden daarvoor is mijns inziens vrij eenvoudig: volgens artikel 7, onder a), van deze richtlijn, over de hierboven reeds genoemde beginselen betreffende de toelaatbaarheid van gegevensverwerking, dient de betrokkene zijn „ondubbelzinnige” toestemming te verlenen, terwijl de overeenkomstige bepaling in verordening 2016/679, te weten artikel 6, lid 1, onder a), die specificatie niet bevat. Met andere woorden, dat criterium van een ondubbelzinnige wilsuiting is in verordening 2016/679 eenvoudigweg verplaatst naar de algemenere bepalingen.

40. Ten tweede preciseert artikel 4, punt 11, van verordening 2016/679 dat de betrokkene zijn mening kenbaar maakt „door middel van een verklaring of een ondubbelzinnige actieve handeling”. Deze verduidelijking in de verordening is inderdaad nieuw en heeft geen semantische tegenhanger in richtlijn 95/46.

41. Wat ten derde de „geïnformeerde” aard van de toestemming van de betrokkene betreft, verschilt de Franse taalversie van richtlijn 95/46 van die van verordening 2016/679. Terwijl artikel 2, onder h), van die richtlijn naar een „manifestation de volonté [...] informée” verwijst, is in artikel 4, lid 11, van die verordening sprake van een „manifestation de volonté [...] éclairée”.

42. Ik ben van mening dat die wijziging van de formulering de zaken eerder verwarder dan duidelijker maakt, aangezien de Franse taalversie, voor zover ik kan nagaan, de enige of op zijn minst een van de weinige taalversies is die dit onderscheid maakt. Een aantal taalversies, waaronder overigens de andere Romaanse talen, gebruiken in dit verband in de richtlijn respectievelijk de verordening eenvoudigweg precies dezelfde termen ( 22 ), terwijl in andere taalversies de formuleringen op dit punt enigszins kunnen verschillen, maar niet in dezelfde mate als in de Franse taalversie ( 23 ).

43. Ik kom hieronder terug op het begrip „op informatie berustende” toestemming.

Vrijelijk verleende toestemming

44. Het vereiste van een „wilsuiting” verwijst duidelijk naar een actieve en niet naar een passieve gedraging ( 24 ) en vergt dat de betrokkene een grote autonomie geniet bij zijn of haar keuze om al dan niet toestemming te verlenen. ( 25 ) Met betrekking tot de specifieke situatie van een onlineloterij op een website, heeft het Hof vastgesteld dat toestemming door middel van een standaard aangevinkt selectievakje geen actieve gedraging van de gebruiker van een website impliceert. ( 26 )

45. Ik ben van mening dat een dergelijke conclusie evenzeer toepasselijk is in de analoge wereld: toestemming door middel van een standaard aangevinkt selectievakje kan niet gelden als een actieve toestemming van een persoon die te maken krijgt met een fysiek document en dat uiteindelijk ondertekent. In een dergelijke situatie is het immers niet zeker of de vooraf geformuleerde tekst is gelezen en begrepen. De situatie is niet ondubbelzinnig: de tekst kan al dan niet zijn gelezen. De „lezer” heeft mogelijk uit pure nalatigheid de tekst niet gelezen, waardoor het onmogelijk wordt om duidelijk vast te stellen of toestemming vrijelijk is gegeven. ( 27 )

Op informatie berustende toestemming

46. Er mag geen enkele ruimte zijn voor twijfel dat de betrokkene niet voldoende was geïnformeerd. ( 28 )

47. De betrokkene moet over alle omstandigheden van de gegevensverwerking en de gevolgen ervan worden geïnformeerd. Hij of zij moet met name weten welke gegevens zullen worden verwerkt, hoelang die verwerking duurt, op welke wijze zij plaatsvindt en met welk specifiek doel. Hij of zij moet eveneens weten wie de gegevens verwerkt en of de gegevens aan derden worden doorgegeven. Het is cruciaal dat hij of zij op de hoogte wordt gesteld van de gevolgen van het weigeren van zijn toestemming: is toestemming voor de gegevensverwerking een voorwaarde voor het sluiten van de overeenkomst of niet? ( 29 )

Bewijslast

48. Nu rest nog de vraag wie moet aantonen dat de betrokkene zich in een situatie bevond waarin hij of zij zijn of haar toestemming op basis van de hierboven vastgestelde criteria kon geven.

49. Artikel 7, lid 1, van verordening 2016/679 is duidelijk en laat geen ruimte voor twijfel: wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn gegevens. ( 30 ) Deze bepaling vormt een specificering van het in artikel 5, lid 2, van verordening 2016/679 neergelegde beginsel van de verantwoordingsplicht. Ik ben van mening dat deze bepaling een ruime uitlegging vereist, in die zin dat de verwerkingsverantwoordelijke niet alleen moet bewijzen dat de betrokkene zijn of haar toestemming heeft gegeven, maar ook dat aan alle voorwaarden inzake doeltreffendheid is voldaan. ( 31 )

50. Sommige auteurs betwijfelen of dat artikel 7, lid 1, van verordening 2016/679 de bewijslast behandelt, waarbij zij wijzen op de ontstaansgeschiedenis van die verordening. ( 32 ) Zij stellen dat zowel de Commissie als het Parlement een formulering heeft voorgesteld die uitdrukkelijk naar de „bewijslast” [„burden of proof” in de Engelse taalversie] verwees, maar dat een dergelijke formulering niet is terug te vinden in de goedgekeurde tekst en dus in het huidige recht.

51. Deze stelling dient nader te worden onderzocht.

52. Het oorspronkelijke voorstel van de Commissie ( 33 ) vermeldt inderdaad de term „burden of proof” (in de Engelse taalversie), die op de verwerkingsverantwoordelijke rust. In dezelfde geest heeft het Parlement in eerste lezing ( 34 ) geen bezwaar gemaakt tegen deze formulering. Het was de Raad ( 35 ) die de term „burden of proof” met betrekking tot de verwerkingsverantwoordelijke heeft vervangen door „shall be able to demonstrate” (in de Nederlandse taalversies daarentegen is er geen verschil: in beide gevallen wordt de uitdrukking „moet kunnen aantonen” gebruikt). De definitieve tekst is dan in die vorm goedgekeurd.

53. Ik zou aan die wijziging in de bewoordingen geen al te groot belang hechten. ( 36 ) De Raad heeft nergens in de overwegingen van zijn standpunt redenen aangegeven voor de voorgestelde wijziging in de bewoordingen. ( 37 ) Dat is een aanwijzing dat die instelling enkel de bewoordingen van de betrokken bepaling heeft willen wijzigen zonder iets veranderen aan de betekenis ervan. Vanuit dit oogpunt is de uitdrukking „shall be able to demonstrate” een meer toegankelijke verwoording van wat met „burden of proof” wordt bedoeld. ( 38 )

54. Derhalve mag ervan worden uitgegaan dat artikel 7, lid 1, van verordening 2016/679 de bewijslast voor het feit dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens bij de gegevensverwerker legt. ( 39 ) Iedere twijfel over de vraag of de betrokkene zijn of haar toestemming heeft gegeven moet worden weggenomen door bewijs dat door de gegevensverwerker moet worden aangevoerd. ( 40 ) De bewijslast voor het feit dat de betrokkene in een situatie is gebracht waarin hij of zij zijn of haar vrije, specifieke en geïnformeerde toestemming kan geven, rust volledig op de gegevensverwerker.

55. De juridische situatie onder richtlijn 95/46 is in dit opzicht niet anders.

56. Ook al bevat richtlijn 95/46 geen afzonderlijke bepaling die vergelijkbaar is met artikel 7 van verordening 2016/679 betreffende de voorwaarden voor toestemming, komen de meeste in dat artikel genoemde voorwaarden ook in die richtlijn voor. Hoewel de regel inzake de bewijslast in de richtlijn niet uitdrukkelijk is vastgesteld, volgt hij minstens onrechtstreeks uit de bepaling van de richtlijn ( 41 ) dat „de betrokkene [...] zijn ondubbelzinnige toestemming heeft verleend”. ( 42 )

Situatie van Orange România

57. Ik zou deze criteria nu willen toepassen op de onderhavige zaak.

58. Als voorafgaande opmerking wil ik stellen dat de vraag of Orange România al dan niet kan eisen dat haar klanten instemmen met het kopiëren en opslaan van hun identiteitsdocumenten buiten de behandeling van deze zaak valt, aangezien die onderneming dat niet als noodzakelijke voorwaarde stelt voor het sluiten van een overeenkomst. De onderhavige zaak heeft met ander woorden geen betrekking op de uitlegging van artikel 7, onder b), van richtlijn 95/46 en artikel 6, lid 1, onder b), van verordening 2016/679. Dit gezegd zijnde, lijkt het mij gerechtvaardigd dat een bedrijf zijn klanten vraagt bepaalde persoonsgegevens te verstrekken en hun met name vraagt hun identiteit aan te tonen met het oog op het sluiten van een overeenkomst. Eisen dat een klant instemt met het kopiëren en opslaan van zijn identiteitsdocumenten lijkt echter verder te gaan dan wat nodig is voor de uitvoering van die overeenkomst.

59. Afgaande op de beschikbare informatie lijkt het mij dat de klanten van Orange România, in de door de verwijzende rechter beschreven omstandigheden, niet hun vrije, specifieke en op informatie berustende toestemming geven.

60. Ten eerste is er geen sprake van vrije toestemming. Wanneer een klant wordt verplicht een handgeschreven verklaring af te leggen dat hij of zij geen toestemming geeft voor het kopiëren en opslaan van zijn of haar identiteitskaart, kan hij niet zijn vrije toestemming geven, aangezien hij of zij in een situatie wordt geplaatst waarin hij of zij duidelijk afwijkt van de gebruikelijke procedure voor het sluiten van een overeenkomst. Klanten mogen in dit verband niet het gevoel hebben dat hun weigering om toestemming te geven voor het kopiëren en opslaan van hun identiteitsdocumenten niet in overeenstemming is met de gebruikelijke procedures. In dit verband wil ik eraan herinneren dat het Hof heeft benadrukt dat er sprake moet zijn van een actieve gedraging van de betrokkene met het oog op het geven van zijn toestemming. ( 43 ) De betrokkene moet dus een positieve handeling verrichten om zijn toestemming te geven. In casu lijkt zich echter de omgekeerde situatie voor te doen: er moet een positieve handeling worden verricht om toestemming te weigeren. Indien, zoals in het arrest in de zaak Planet49 is geoordeeld ( 44 ), het uitvinken van een standaard aangevinkt selectievakje op een website een te zware belasting voor een klant vormt, kan a fortiori niet van een klant worden verwacht dat hij of zij in handgeschreven vorm weigert zijn of haar toestemming te geven.

61. Ten tweede is er geen op informatie berustende toestemming. Het wordt niet glashelder aan de klant gecommuniceerd dat een weigering om zijn of haar identiteitskaart te laten kopiëren en opslaan, het sluiten van een overeenkomst niet onmogelijk maakt. Een klant maakt geen op informatie gebaseerde keuze wanneer hij of zij niet op de hoogte is van de gevolgen.

62. Ten derde, en louter op hypothetische basis, is er geen enkele aanwijzing dat Orange România heeft kunnen aantonen dat klanten hebben ingestemd met de verwerking van hun persoonsgegevens. Een kennelijk gebrek aan duidelijkheid van de interne procedures helpt in dit verband zeker niet om het bewijs te leveren dat de klant toestemming heeft gegeven. Een dergelijk gebrek aan duidelijkheid en de tegenstrijdige instructies aan het verkooppersoneel mogen uiteraard niet ten kosten gaan van de klant, in casu de betrokkene.

Conclusie

63. Gelet op een en ander geef ik het Hof in overweging de vragen van de Tribunal București te beantwoorden als volgt: „Een betrokkene die voornemens is met een onderneming een contractuele relatie aan te gaan voor de levering van telecommunicatiediensten, geeft die onderneming niet zijn of haar toestemming, dat wil zeggen dat er geen sprake is van een „vrije, specifieke en op informatie berustende” wilsuiting in de zin van artikel 2, onder h), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en artikel 4, punt 11, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), wanneer hij of zij op een voor het overige gestandaardiseerde overeenkomst een handgeschreven verklaring dient aan te brengen waarbij hij of zij weigert zijn of haar toestemming te geven voor het fotokopiëren en bewaren van zijn of haar identiteitsdocumenten.”

( 1 ) Oorspronkelijke taal: Engels.

( 2 ) Richtlijn van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31).

( 3 ) Artikel 6 is het enige artikel van afdeling I van hoofdstuk II van richtlijn 95/46.

( 4 ) Artikel 7 is het enige artikel van afdeling II van hoofdstuk II van richtlijn 95/46.

( 5 ) Verordening van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2).

( 6 ) Monitor Oficial al României, deel I, nr. 790 van 12 december 2001.

( 7 ) Waarbij de afnemer van de dienst vooraf betaalt voor de te verrichten diensten.

( 8 ) Waarbij de afnemer van de dienst voor de verrichte diensten betaalt op basis van de uitgereikte facturen.

( 9 ) Krachtens artikel 99, lid 2, van verordening 2016/679.

( 10 ) Zie artikel 94, lid 1, van verordening 2016/679.

( 11 ) Zie arrest van 1 oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, punten 38‑43), voor een soortgelijke benadering in een vergelijkbare situatie, en mijn conclusie in dezelfde zaak (EU:C:2019:246, punten 44‑49). Zie ook arrest van 11 december 2018, Weiss e.a. (C‑493/17, EU:C:2018:1000, punt 39).

( 12 ) Zie arrest van 24 september 2019, GC e.a. (Verwijdering van links naar gevoelige gegevens) (C‑136/17, EU:C:2019:773, punt 33).

( 13 ) Uiteraard met inachtneming van de in artikel 13 van richtlijn 95/46 en artikel 23 van verordening 2016/679 genoemde uitzonderingen en beperkingen.

( 14 ) Zie arrest van 16 januari 2019, Deutsche Post (C‑496/17, EU:C:2019:26, punt 57). Zie ook arresten van 13 mei 2014, Google Spain en Google (C 131/12, EU:C:2014:317, punt 71 en aldaar aangehaalde rechtspraak), en 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punt 36).

( 15 ) Zie arresten van 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 en C‑469/10, EU:C:2011:777, punt 30); 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779, punt 57), en 1 oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, punt 53).

( 16 ) Zie ook Bygrave, L.A., en Tosoni, L., in Kuner, C., Bygrave, L.A., en Docksey, C. (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, hoofdstuk 1, commentaar bij artikel 4, punt 11, blz. 181.

( 17 ) Deze criteria zijn natuurlijk cumulatief, waardoor de drempel voor geldige toestemming hoog ligt; ibidem.

( 18 ) Zie mijn conclusie in de zaak Planet49 (C‑673/17, EU:C:2019:246, punten 57 e.v.). Zie ook Heckmann, D. en Paschke, A., in Ehmann, E., Selmayr, M. (red.), Datenschutz-Grundverordnung, Kommentar, C.H. Beck, München, 2e druk, 2018, commentaar bij artikel 7, punt 9: „belangrijke hoeksteen van gegevensbescherming”.

( 19 ) Zie in die zin Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, blz. 232, die verwijst naar het recht op eigen beeldvorming in deze context [zoals ontwikkeld door het Bundesverfassungsgericht (federaal grondwettelijk hof, Duitsland) sinds zijn arrest van 15 december 1983, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65, 1].

( 20 ) Zie ook Klement, J.H., in Simitis, S., Hornung, G., Spiecker, I. gen. Döhmann (red.), Datenschutzrecht, Nomos, Baden-Baden, 2019, commentaar bij artikel 7, punt 1, die benadrukt dat in een rechtsorde die is gebaseerd op waardigheid, individuele vrijheid en verantwoordelijkheid, en die deze waarden wil bevorderen, de verwerking van persoonsgegevens moet worden geautoriseerd door een uit vrije wil genomen beslissing van de betrokkene.

( 21 ) Zie bovendien overweging 43 van verordening 2016/679, waarin gewag wordt gemaakt van situaties waarin „er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke”.

( 22 ) Zie bijvoorbeeld de Spaanse („manifestación de voluntad [...] informada”), Portugese („manifestação de vontade [...] informada”), Roemeense („manifestare de voință [...] informată”), Deense („informeret vilje(s)tilkendegivelse”), Zweedse („informerad viljeyttring”) en Maltese („infurmata”) taalversies.

( 23 ) Zie bijvoorbeeld de Nederlandse („op informatie berustende wilsuiting” in de richtlijn en „geïnformeerde [...] wilsuiting” in de verordening), Poolse („świadome [...] wskazanie” in de richtlijn en „świadome [...] okazanie woli” in de verordening) en Duitse („Willensbekundung, die [...] in Kenntnis der Sachlage erfolgt” in de richtlijn en „in informierter Weise [...] abgegebene Willensbekundung” in de verordening) taalversies.

( 24 ) Zie arrest van 1 oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, punt 52).

( 25 ) Zie Bygrave, L.A., en Tosoni, L., in Kuner, C., Bygrave, L.A., en Docksey, C. (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, hoofdstuk 1, commentaar bij artikel 4, punt 11, blz. 182.

( 26 ) Zie arrest van 1 oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, punt 52).

( 27 ) Zie naar analogie mijn conclusie in de zaak Planet49 (C‑673/17, EU:C:2019:246, punt 62). Zie ook arrest van 1 oktober 2019in die zaak (EU:C:2019:801, punt 55).

( 28 ) Op informatie berustende toestemming vloeit uiteindelijk voort uit het transparantiebeginsel dat is neergelegd in artikel 5, lid 1, onder a), van verordening 2016/679; zie Bygrave, L.A., en Tosoni, L., in Kuner, C., Bygrave, L.A., en Docksey, C. (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, hoofdstuk 1, commentaar bij artikel 4, punt 11, blz. 184.

( 29 ) Volgens sommige auteurs is de in de artikelen 10 en 11 van richtlijn 95/46 opgesomde informatie niet exhaustief, zodat de voor de verwerking verantwoordelijke de betrokkene ook andere relevante informatie kan verstrekken over de voorwaarden voor het gebruik van persoonsgegevens. Zie bijvoorbeeld Mednis, A., „Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46”, Monitor Prawniczy (dodatek), 2012, nr. 7, blz. 27

( 30 ) Krachtens deze bepaling is de verwerkingsverantwoordelijke ervoor verantwoordelijk dat persoonsgegevens worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, eerlijk en transparant is, en kan hij de naleving van die bepaling aantonen.

( 31 ) Zie in die zin ook Stemmer, B., inWolff, H.A., en Brink, S., Beck’scher Online-Kommentar Datenschutzrecht, C.H. Beck, München, 30e druk, toestand op 1 november 2019, commentaar bij artikel 7 van de algemene verordening gegevensbescherming (AVG), punt 87, en Buchner, B., Kühling, J., in Kühling, J., Buchner, B. (red.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2e druk, 2018, commentaar bij artikel 7 AVG, punt 22.

( 32 ) Zie Klement, J.H., in Simitis, S., Hornung, G., Spiecker gen. Döhmann, I. (red.), Datenschutzrecht, Nomos, Baden-Baden, 2019, commentaar bij artikel 7, punt 46.

( 33 ) In het oorspronkelijke voorstel van de Commissie luidt artikel 7, lid 1, als volgt: „De voor de verwerking verantwoordelijke moet kunnen aantonen [‚shall bear the burden of proof’ in de Engelse taalversie] dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens voor welbepaalde doeleinden.” Zie voorstel voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming), COM(2012) 11 final, blz. 45.

( 34 ) In eerste lezing heeft het Parlement niet voorgesteld de bewoordingen van artikel 7, lid 1, te wijzigen wat de uitdrukking „burden of proof” betreft. Het heeft enkel gespecificeerd dat artikel 7, lid 1, betrekking had op een situatie waarin de verwerking op toestemming is gebaseerd. Zie wetgevingsresolutie van het Europees Parlement van 12 maart 2014 over het voorstel voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming), COM(2012)11 (PB 2017, C 378, blz. 399), op blz. 428.

( 35 ) „Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen [‚shall be able to demonstrate’ in de Engelse taalversie] dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.” Zie standpunt (EU) nr. 6/2016 van de Raad in eerste lezing met het oog op de aanneming van een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), door de Raad vastgesteld op 8 april 2016 (PB 2016, C 159, blz. 1), op blz. 36.

( 36 ) Zie in die zin ook Kosta, E., in Kuner, C, Bygrave, L.A., en Docksey, C. (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, hoofdstuk 2, commentaar bij artikel 7, blz. 349‑350.

( 37 ) Zie met name de overwegingen 42 en 43, die de motivering vormen van artikel 7.

( 38 ) Een interessante conceptuele verklaring voor het feit dat de bewijslast op de gegevensverwerker rust, wordt aangereikt door Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, blz. 243‑245, die een analogie vaststelt met de aansprakelijkheid, onder het nationale recht, van artsen, waarbij de bewijslast eveneens rust op degene die zorgt voor de beperking van het recht in kwestie.

( 39 ) Dat is overigens de gangbare opvatting in de juridische literatuur; zie Klabunde, A., in Ehmann, E., en Selmayr, M. (red.), Datenschutz-Grundverordnung, Kommentar, C.H. Beck, München, 2e druk, 2018, commentaar bij artikel 4, punt 52; Stemmer, B., in Wolff, H.A., en Brink, S., Beck’scher Online-Kommentar Datenschutzrecht, C.H. Beck, München, 30e druk, versie van 1 november 2019, commentaar bij artikel 7 AVG, punt 87; Buchner, B., en Kühling, J., in Kühling, J., en Buchner, B. (red.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2e druk, 2018, commentaar bij artikel 7 AVG, punt 22, en Barta, P., Kawecki, M., in Litwiński, P., (ed), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C.H. Beck, Warschau, 2018, commentaar bij artikel 7 AVG, punt 1.

( 40 ) Zie in die zin ook Heckmann, D., Paschke, A., in Ehmann, E., en Selmayr, M. (red.), Datenschutz-Grundverordnung, Kommentar, C.H. Beck, München, 2e druk, 2018, commentaar bij artikel 7, punt 72.

( 41 ) Zie artikel 7, onder a), van richtlijn 95/46. Cursivering van mij.

( 42 ) Zie in die zin ook, onder meer, Buchner, B., Kühling, J., in Kühling, J., Buchner, B. (red.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2e druk, 2018, commentaar bij artikel 7 AVG, punten 5 en 22.

( 43 ) Zie arrest van 1 oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, punt 54).

( 44 ) Zie arrest van 1 oktober 2019 (C‑673/17, EU:C:2019:801).