CELEX: 62019CC0061
Language: hr
Date: 2020-03-04 00:00:00
Title: Mišljenje nezavisnog odvjetnika M. Szpunara od 4. ožujka 2020.#Orange Romania SA protiv Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).#Zahtjev za prethodnu odluku koji je uputio Tribunalul Bucureşti.#Zahtjev za prethodnu odluku – Direktiva 95/46/EZ – Članak 2. točka (h) i članak 7. točka (a) – Uredba (EU) 2016/679 – Članak 4. točka 11. i članak 6. stavak 1. točka (a) – Obrada osobnih podataka i zaštita privatnosti ‐ Prikupljanje i pohrana preslika osobnih isprava od strane pružatelja mobilnih telekomunikacijskih usluga ‐ Pojam ‚privola’ ispitanika – Dobrovoljno dana, posebna i informirana izjava volje – Izjava o privoli putem polja za označivanje ‐ Potpisivanje ugovora od strane ispitanika – Teret dokazivanja.#Predmet C-61/19.

MIŠLJENJE NEZAVISNOG ODVJETNIKA
   MACIEJA SZPUNARA
   od 4. ožujka 2020. (
         1
      )
   
      Predmet C‑61/19
   
   Orange România SA
   protiv
   Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
   
      (zahtjev za prethodnu odluku koji je uputio Tribunalul Bucureşti (Viši sud u Bukureštu, Rumunjska))
   
   „Zahtjev za prethodnu odluku – Direktiva 95/46/EZ – Uredba (EU) 2016/679 – Zaštita pojedinaca u vezi s obradom osobnih podataka i slobodno kretanje takvih podataka – Mobilne telekomunikacijske usluge – Pojam privole ispitanika – Posebno i informirano izražavanje želje – Izjava o privoli označivanjem polja kvačicom –Teret dokaza”
   
            1. 
         
         
            Ovaj zahtjev za prethodnu odluku, koji je uputio Tribunalul Bucureşti (Viši sud u Bukureštu, Rumunjska), proizlazi iz spora između pružatelja telekomunikacijskih usluga i nacionalnog tijela za zaštitu podataka u vezi s obvezama prvonavedenog u okviru pregovora o ugovoru s kupcem kada je riječ o kopiranju i pohranjivanju preslike osobne iskaznice.
         
      
            2. 
         
         
            Sud će ovdje imati priliku dodatno pojasniti pojam „privole” ispitanika, što je središnja značajka prava Unije u području zaštite podataka, koje u konačnici ima uporište u temeljnom pravu na zaštitu podataka. S tim u vezi Sud bi također trebao razmotriti pitanje tereta dokaza o tome je li ispitanik dao privolu ili nije.
         
      
      Pravni okvir
   
   
      
         Pravo Unije
      
   
   
      Direktiva 95/46/EZ
   
   
            3.
         
         
            U skladu s člankom 2. točkom (h) Direktive 95/46/EZ (
                  2
               ) za potrebe te direktive „‚[privola ispitanika] znači svaka dobrovoljno dana, posebna i informirana izjava volje, kojom [ispitanik] daje svoju [privolu] da se obrade osobni podaci koji se na nj[ega] odnose”.
         
      
            4.
         
         
            Poglavlje II. te direktive odnosi se na opća pravila o zakonitosti obrade osobnih podataka.
         
      
            5.
         
         
            Članak 6. te direktive, koji se odnosi na „načela koja se odnose na kvalitetu podataka” (
                  3
               ), glasi:
            „1.   Države članice osiguravaju da su osobni podaci;
            
                     (a)
                  
                  
                     obrađeni pošteno i zakonito;
                  
               
                     (b)
                  
                  
                     prikupljeni u posebne, izričite i zakonite svrhe te da ih se dalje ne obrađuje na način koji bi bio nespojiv s tom svrhom. Daljnja obrada podataka u povijesne, statističke ili znanstvene svrhe ne smatra se nespojivom pod uvjetom da ta država članica osigura odgovarajuću zaštitu;
                  
               
                     (c)
                  
                  
                     prikladni, relevantni i da nisu pretjerani u odnosu na svrhu zbog koje se prikupljaju i/ili dalje obrađuju;
                  
               […]
            2.   Nadzornik mora osigurati postupanje u skladu sa stavkom 1. ovog članka.”
         
      
            6.
         
         
            Članak 7. Direktive odnosi se na „mjerila za zakonitost obrade podataka” (
                  4
               ). U skladu s tom odredbom:
            „Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:
            
                     (a)
                  
                  
                     je [ispitanik] nedvosmisleno da[o] svoju [privolu]; ili
                  
               
                     (b)
                  
                  
                     je obrada potrebna za izvršavanje ugovora kojem je [ispitanik] stranka ili kako bi se poduzele mjere na zahtjev [ispitanika] prije sklapanja ugovora; […]
                  
               […]”
         
      
      Uredba (EU) 2016/679
   
   
            7.
         
         
            Člankom 4. stavkom 11. Uredbe (EU) 2016/679 (
                  5
               ) za potrebe te uredbe „‚privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose”.
         
      
            8.
         
         
            Članak 6. stavak 1. točke (a) i (b) navedene uredbe glasi:
            „Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
            
                     (a)
                  
                  
                     ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
                  
               
                     (b)
                  
                  
                     obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora”.
                  
               
      
            9.
         
         
            Člankom 7. stavkom 1. navedene uredbe određuje se da „[k]ada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka”.
         
      
      
         Rumunjsko pravo
      
   
   
            10.
         
         
            Legeom nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație ima datum acestora (Zakon br. 677/2001 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka) (u daljnjem tekstu: Zakon br. 677/2001) (
                  6
               ) prenose se odredbe Direktive 95/46 u nacionalno pravo.
         
      
            11.
         
         
            Članak 32. tog zakona glasi:
            „Nadzornik ili osoba koju je imenovao nadzornik koja obrađuje osobne podatke protivno odredbama članaka 4. do 10. ili koja ne uzima u obzir prava iz članaka 12. do 15. ili iz članka 17. čini upravni prekršaj, osim ako on nije počinjen u takvim okolnostima da ima obilježja kaznenog djela, i kaznit će se novčanom kaznom u iznosu od 10000000 starih leua [1000 rumunjskih leua (RON)] do 250000000 starih leua [25000 RON].”
         
      
      Činjenično stanje, postupak i prethodna pitanja
   
   
            12.
         
         
            Orange România SA pružatelj je mobilnih telekomunikacijskih usluga na rumunjskom tržištu koji nudi usluge u sklopu sustava PrePay (
                  7
               ) i sklapanjem ugovora o pružanju usluga (
                  8
               ).
         
      
            13.
         
         
            Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Nacionalno tijelo za nadzor obrade osobnih podataka, Rumunjska) (u daljnjem tekstu: ANSPDCP) izdala je 28. ožujka 2018. na temelju članka 32. Zakona br. 677/2001, u vezi s člankom 8. tog zakona, izvještaj koji je obuhvaćao izricanje upravne sankcije društvu Orange România zbog toga što je prikupljalo i čuvalo preslike identifikacijskih isprava svojih kupaca bez njihove izričite privole.
         
      
            14.
         
         
            U vezi s time, ANSPDCP je istaknuo da je društvo Orange România u poslovnim prostorijama sklapalo ugovore o pružanju mobilnih telekomunikacijskih usluga s pojedinačnim kupcima u papirnatom obliku i da su preslike njihovih identifikacijskih isprava bile priložene tim ugovorima. Sadržaj tih ugovora uključivao je, inter alia, naznaku o činjenici da je kupac bio obaviješten i da se usuglasio s tim da društvo Orange România prikuplja i pohranjuje te preslike te da je postojanje privole kupaca utvrđeno označivanjem križićem poljâ u pisanoj dokumentaciji kojom se dokazuje ugovor.
         
      
            15.
         
         
            Relevantni odlomak predmetnih ugovora glasi:
            „Kupac izjavljuje da je:
            
                     (i.)
                  
                  
                     prije sklapanja ugovora obaviješten o odabranom tarifnom modelu, primjenjivim tarifama, minimalnom trajanju ugovora, uvjetima prestanka [ugovora] i uvjetima dobivanja i korištenja usluga, uključujući i područje pokrivenosti uslugama u skladu s odredbama članka 11. Odluke ANCOM‑a (Nacionalno tijelo za upravljanje i regulaciju komunikacija) br. 158/2015 i odredbama O. U. G.-a [br.] 34/2014 (Zakonodavna uredba br. 34/2104), kao i o njegovu pravu na jednostrani otkaz ugovora koje se može ostvariti u skladu s člankom 1.17. Općih uvjeta;
                  
               
                     (ii.)
                  
                  
                     Društvo Orange România pružilo je kupcu sve informacije potrebne kako bi mogao dati izričitu, slobodnu i posebnu privolu bez mana volje za sklapanje i izričito prihvaćanje ugovora, uključujući svu ugovornu dokumentaciju, odnosno Opće uvjete i informativni dokument o tarifama i uslugama;
                  
               
                     (iii.)
                  
                  
                     obaviješten i da je dao privolu vezano za:
                     obradu osobnih podataka u svrhe iz članka 1.15 Općih uvjeta,
                     činjenicu da će [društvo Orange] pohraniti preslike dokumenata s osobnim podacima u svrhu dokazivanja identiteta,
                     obradu osobnih podataka (kontaktni broj i adresa elektroničke pošte) u svrhu izravnog marketinga,
                     obradu osobnih podataka (kontaktni broj i adresa elektroničke pošte) u svrhu istraživanja tržišta,
                     pročitao/la sam i dajem izričitu privolu za pohranjivanje preslika isprava koje sadržavaju osobne podatke koji se odnose na zdravstveno stanje,
                     činjenicu da podaci iz članka 1.15 stavka 10. Općih uvjeta nisu uključeni u usluge informiranja vezane za pretplatnike i registre pretplatnika.”
                  
               
      
            16.
         
         
            ANSPDCP je smatrao da društvo Orange România nije dokazalo da su kupci informirano izabrali prikupljanje i pohranjivanje preslika njihovih identifikacijskih isprava.
         
      
            17.
         
         
            Društvo Orange România podnijelo je tužbu protiv novčane kazne od 28. ožujka 2018. sudu koji je uputio zahtjev.
         
      
            18.
         
         
            Prema utvrđenjima suda koji je uputio zahtjev, postoje ugovori u kojima se dobrovoljni izbor kupca u pogledu zadržavanja preslike njegove identifikacijske isprave izražava označivanjem polja križićem kao i suprotni slučajevi u kojima su kupci odbili dati takav pristanak. Iz „unutarnjih postupaka” prodaje društva Orange România proizlazi da je to društvo u potonjim slučajevima unijelo potrebne informacije o kupčevom odbijanju zadržavanja preslike identifikacijske isprave ispunjavanjem posebnog obrasca u tu svrhu te da je potom sklopilo ugovor. Stoga, unatoč navodima sadržanima u općim uvjetima društva Orange România, ono nije odbilo sklopiti sklapati ugovore o pretplati s kupcima, čak i kada su oni odbili dati privolu za zadržavanje preslike njihove osobne iskaznice.
         
      
            19.
         
         
            Sud koji je uputio zahtjev smatra da je u tim okolnostima osobito važno da Sud odluči o kriterijima na temelju kojih se može utvrditi je li privola „posebna” i „informirana” i, prema potrebi, o dokaznoj snazi potpisivanja ugovora poput onih o kojima je riječ u glavnom postupku.
         
      
            20.
         
         
            U tim je okolnostima odlukom od 14. studenoga 2018., koju je Sud zaprimio 29. siječnja 2019., Tribunalul Bucureşti (Viši sud u Bukureštu) uputio sljedeća prethodna pitanja:
            
                     „(1)
                  
                  
                     U smislu članka 2. točke (h) [Direktive 95/46/EZ], koji uvjeti moraju biti ispunjeni kako bi se izjava volje smatrala posebnom i informiranom?
                  
               
                     (2)
                  
                  
                     U smislu članka 2. točke (h) [Direktive 95/46/EZ] koji uvjeti moraju biti ispunjeni kako bi se izjava volje smatrala dobrovoljnom?”
                  
               
      
            21.
         
         
            Pisana očitovanja podnijele su stranke u glavnom postupku, rumunjska, talijanska, austrijska i portugalska vlada te Europska komisija. Društvo Orange România, rumunjska vlada i Europska komisija bili su zastupani na raspravi održanoj 11. prosinca 2019.
         
      
      Ocjena
   
   
            22.
         
         
            U ovom predmetu Sud je pozvan pojasniti uvjete pod kojima se privola za obradu osobnih podataka može smatrati valjanom.
         
      
      
         Uvodna razmatranja
      
   
   
      Primjenjivi pravni instrumenti
   
   
            23.
         
         
            Uredbom 2016/679, koja se primjenjuje od 25. svibnja 2018. (
                  9
               ), s učinkom od istog datuma stavljena je izvan snage Direktiva 95/46 (
                  10
               ).
         
      
            24.
         
         
            Odluka ANSPDCP‑a o kojoj je riječ u glavnom postupku donesena je 28. ožujka 2018., koji prethodi datumu od kojeg se primjenjuje Uredba 2016/679. Međutim, ANSPDCP nije samo izrekao novčanu kaznu društvu Orange România, nego je od njega zahtijevao i da uništi preslike predmetnih identifikacijskih isprava. Predmet spora u glavnom postupku odnosi se i na taj potonji nalog. Ovaj nalog proizvodi učinak u budućnosti, zbog čega se čini da je ta uredba primjenjiva ratione temporis.
         
      
            25.
         
         
            Stoga bi na prethodna pitanja trebalo odgovoriti uzimajući u obzir Direktivu 95/46 i Uredbu 2016/679 (
                  11
               ). Štoviše, ta se uredba mora uzeti u obzir pri analizi odredaba Direktive 95/46 (
                  12
               ).
         
      
      Određivanje dosega prethodnih pitanja
   
   
            26.
         
         
            Dva pitanja koja je postavio sud koji je uputio zahtjev formulirana su preopćenito i apstraktno te se trebaju u određenoj mjeri prilagoditi kako bi ih se povezalo s činjenicama glavnog postupka, a sve kako bi se sud koji je uputio zahtjev usmjerio i kako bi mu se dao koristan odgovor na pitanja. U tu svrhu čini mi se neophodnim kratko ukazati na činjenice iz glavnog postupka kako one proizlaze iz odluke suda koji je uputio zahtjev i informacija koje su predočile stranke u postupku, osobito na raspravi pred Sudom.
         
      
            27.
         
         
            Nacionalno tijelo za zaštitu podataka u Rumunjskoj, ANSPDCP, kaznilo je društvo Orange România zato što je prikupilo i zadržalo preslike identifikacijskih isprava svojih kupaca bez njihove privole. To je tijelo utvrdilo da je to trgovačko društvo sklopilo ugovore o pružanju mobilnih telekomunikacijskih usluga i da su tim ugovorima priložene preslike identifikacijskih isprava. U tim ugovorima navodno je bilo određeno da su kupci bili obaviješteni i da su dali privolu na prikupljanje i pohranu tih preslika, o čemu svjedoče križićem označena polja u ugovornim odredbama. Međutim, prema utvrđenjima ANSPDCP‑a, društvo Orange România nije dostavilo dokaz da su u trenutku sklapanja ugovora predmetni kupci informirano izabrali prikupljanje i pohranu tih preslika.
         
      
            28.
         
         
            Predstavnik trgovačkog društva Orange România koji savjetuje osobu koja želi stupiti u ugovorni odnos s tim trgovačkim društvom o odredbama određenog ugovora obično radi na računalu koristeći obrazac ugovora koji sadržava polja o zadržavanju identifikacijske isprave. Izgleda da je kupac obaviješten da se to polje ne mora označiti kvačicom. Ako kupac ne pristane na fotokopiranje i zadržavanje svoje identifikacijske isprave, dužan je to vlastoručno naznačiti u ugovoru. Čini se da potonji zahtjev vlastoručne naznake proizlazi iz unutarnjih pravila o prodaji društva Orange România. Nadalje, kupac je obaviješten da to može odbiti, ali samo usmeno, a ne u pisanom obliku.
         
      
            29.
         
         
            S obzirom na navedeno, shvaćam da tim dvama pitanjima, koja treba razmatrati zajedno, sud koji je uputio zahtjev nastoji utvrditi daje li ispitanik, koji s poduzetnikom namjerava stupiti u ugovorni odnos vezan za pružanje telekomunikacijskih usluga, svoju „posebnu i informiranu” i „dobrovoljno danu” privolu u skladu s člankom 2. točkom (h) Direktive 95/46 i s člankom 4. stavkom 11. Uredbe 2016/679 tom poduzetniku kada mora, na inače standardiziranom ugovoru, vlastoručno izjaviti da odbija dati privolu za fotokopiranje i zadržavanje svojih identifikacijskih isprava.
         
      
            30.
         
         
            U vezi s time, čini se da sud koji je uputio zahtjev treba smjernice kad je riječ o teretu i standardu dokazivanja tog poduzetnika.
         
      
      
         Privola kao preduvjet za obradu osobnih podataka
      
   
   
            31.
         
         
            Predmet o kojem je riječ odnosi se na obradu osobnih podataka prilikom sklapanja ugovora o pružanju telekomunikacijskih usluga.
         
      
            32.
         
         
            Prilikom svake obrade osobnih podataka potrebno je poštovati (
                  13
               ), kao prvo, načela koja se odnose na kvalitetu podataka iz članka 6. Direktive 95/46 ili iz članka 5. Uredbe 2016/679 i, kao drugo, jedno od mjerila za zakonitost obrade podataka iz članka 7. te direktive ili iz članka 6. te uredbe (
                  14
               ). Kao što je to istaknula Komisija, šest mjerila iz članka 7. Direktive 95/46 zapravo su izraz šireg načela iz članka 6. stavka 1. točke (a) te direktive kojim je određeno da se osobni podaci moraju obrađivati pošteno i zakonito.
         
      
            33.
         
         
            U članku 7. Direktive 95/46 utvrđuje se taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom (
                  15
               ). Obrada osobnih podataka može se provoditi jedino ako se primjenjuje jedno od šest mjerila vezanih za zakonitost obrade podataka. Postojanje nedvosmislene privole ispitanika jedno je od tih mjerila.
         
      
      
         Pojam privole
      
   
   
            34.
         
         
            Privola ispitanika određena je pak člankom 2. točkom (h) Direktive 95/46 kao svaka dobrovoljno dana, posebna i informirana izjava volje, kojom ispitanik daje svoju privolu da se obrade osobni podaci koji se na njega odnose.
         
      
            35.
         
         
            Ovaj tekst u većoj mjeri odgovara (
                  16
               ) tekstu članka 4. stavka 11. Uredbe 2016/679 u skladu s kojim privola ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose (
                  17
               ).
         
      
            36.
         
         
            Zahtjev koji se odnosi na privolu ispitanika središnja je značajka prava Unije u području zaštite podataka (
                  18
               ). Sadržan je i u Povelji Europske unije o temeljnim pravima čijim se člankom 8. propisuje da se podaci moraju obrađivati pošteno, u utvrđene svrhe i na temelju suglasnosti osobe o kojoj je riječ, ili na nekoj drugoj legitimnoj osnovi utvrđenoj zakonom. U širem kontekstu, pojam privole omogućuje dotičnom ispitaniku da sâm odluči o opravdanosti ograničenja njegova prava na zaštitu osobnih podataka (
                  19
               ).
         
      
            37.
         
         
            Vodeće načelo na kojem se temelji zakonodavstvo Unije o zaštiti podataka jest neovisna odluka pojedinca koji može odlučivati o korištenju i obradi svojih podataka (
                  20
               ). Zahtjevom privole omogućuje mu se taj izbor i njime ga se istovremeno štiti u situacijama koje su po samoj svojoj prirodi asimetrične (
                  21
               ). Samo dobrovoljna, posebna i informirana privola ispunjava zahtjeve iz Direktive 95/46 i Uredbe 2016/679.
         
      
            38.
         
         
            U ovoj fazi valja iznijeti još tri kratke napomene o očitoj razlici u tekstu tih odredaba.
         
      
            39.
         
         
            Kao prvo, članak 4. stavak 11. Uredbe 2016/679, suprotno članku 2. točki (h) Direktive 95/46, upućuje na „nedvosmisleno” izražavanje. Smatram da je razlog za to prilično jednostavan: člankom 7. točkom (a) te direktive, koji se odnosi na, već ranije navedena, mjerila za zakonitost obrade podataka, zahtijeva se da ispitanik „nedvosmisleno” dâ svoju privolu, dok odgovarajuća odredba Uredbe 2016/679, odnosno članak 6. stavak 1. točka (a), ne sadržava to određenje. Drugim riječima, to mjerilo nedvosmislenog izražavanja jednostavno je preneseno u općenitiju odredbu Uredbe 2016/679.
         
      
            40.
         
         
            Kao drugo, člankom 4. stavkom 11. Uredbe 2016/679 određuje se da se ispitanik izražava „izjavom ili jasnom potvrdnom radnjom”. To je pojašnjenje uistinu novo u uređenju i nema semantičkog odraza u Direktivi 95/46.
         
      
            41.
         
         
            Kao treće, kad je riječ o „informiranom” obilježju privole ispitanika, verzija Direktive 95/46 na francuskom jeziku razlikuje se od one Uredbe 2016/679. Naime, dok članak 2. točka (h) te direktive upućuje na „manifestation de volonté […] informée”, članak 4. stavak 11. te uredbe govori o „manifestation de volonté […] eclairée”.
         
      
            42.
         
         
            Usudio bih se reći da ta promjena teksta više zbunjuje nego što pojašnjava, pa je stoga, koliko mogu razabrati, verzija na francuskom jeziku jedina ili, barem, jedna od rijetkih jezičnih verzija kojom se pravi ta razlika. U više jezičnih verzija, uključujući, uzgredno, one drugih romanskih jezika, u vezi s tim jednostavno se upotrebljavaju potpuno isti pojmovi (
                  22
               ), dok se druge jezične verzije mogu ponešto razlikovati u tom pogledu, ali se i dalje ne razlikuju koliko i verzija na francuskom jeziku (
                  23
               ).
         
      
            43.
         
         
            U nastavku ću se vratiti na pojam „informirane” privole.
         
      
      Dobrovoljna privola
   
   
            44.
         
         
            Zahtjev postojanja „izražavanja” želje ispitanika jasno upućuje na aktivno, a ne pasivno ponašanje (
                  24
               ) i podrazumijeva da ispitanik uživa visok stupanj autonomije pri izboru želi li dati privolu ili ne (
                  25
               ). Kada je riječ o posebnoj situaciji internetske lutrije, Sud je utvrdio da privola dana u obliku unaprijed kvačicom označenog polja ne podrazumijeva aktivno ponašanje korisnika internetske stranice (
                  26
               ).
         
      
            45.
         
         
            Prema mojem mišljenju takvo je utvrđenje jednako primjenjivo u analognom svijetu: privola dana u obliku unaprijed kvačicom označenog polja ne može podrazumijevati aktivnu privolu osobe koja pred sobom ima dokument u fizičkom obliku koji na kraju potpisuje. Naime, u takvoj se situaciji ne može znati je li takav unaprijed sastavljeni tekst pročitan i pravilno shvaćen. Ona nije nedvosmislena. Tekst je možda pročitan a možda i nije. Moguće je da „čitatelj” nije pročitao tekst zbog pukog nemara pa nije moguće sa sigurnošću utvrditi je li privola dobrovoljno dana (
                  27
               ).
         
      
      Informirana privola
   
   
            46.
         
         
            Ne smije se ostaviti mjesta ni najmanjoj sumnji da ispitanik nije bio dovoljno informiran (
                  28
               ).
         
      
            47.
         
         
            Ispitanik mora biti obaviješten o svim okolnostima obrade podataka i njezinim posljedicama. Konkretno, on mora znati koji će se podaci obrađivati, trajanje te obrade, na koji način i u koju će se svrhu točno obrađivati. Također, on mora znati tko obrađuje podatke i jesu li oni namijenjeni prijenosu trećim stranama. Ključno je da bude obaviješten o posljedicama odbijanja privole: je li davanje privole za obradu podataka uvjet za sklapanje ugovora ili nije (
                  29
               )?
         
      
      
         Teret dokaza
      
   
   
            48.
         
         
            Ostaje nam odgovoriti na pitanje tko mora dokazati da je ispitanik bio u takvoj situaciji da je mogao dati svoju privolu na temelju upravo utvrđenih mjerila.
         
      
            49.
         
         
            Članak 7. stavak 1. Uredbe 2016/679 jasan je i ne ostavlja mjesta ikakvoj sumnji: kada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka (
                  30
               ). Ova odredba predstavlja pojašnjenje načela pouzdanosti, utvrđenog člankom 5. stavkom 2. Uredbe 2016/679. Smatram da svrha ove odredbe zahtijeva široko tumačenje na način da voditelj obrade ne samo da mora dokazati da je ispitanik dao svoju privolu, već mora također dokazati da su zadovoljeni svi uvjeti djelotvornosti (
                  31
               ).
         
      
            50.
         
         
            Neki autori imaju dvojbe o tome odnosi li se članak 7. stavak 1. Uredbe 2016/679 na teret dokaza, ukazujući na postupak donošenja te uredbe (
                  32
               ). Tvrdi se, iako su Komisija i Parlament predlagali formulaciju koja bi se izričito odnosila na „teret dokaza”, da se takva formulacija ne pojavljuje u usvojenom tekstu pa stoga ni u važećem pravu.
         
      
            51.
         
         
            Ta tvrdnja zaslužuje temeljitiju analizu.
         
      
            52.
         
         
            U prvom Komisijinu prijedlogu (
                  33
               ) uistinu se navodi da voditelj obrade snosi „teret dokaza”. Slično tomu, Parlament u prvom čitanju (
                  34
               ) nije osporavao tu formulaciju. Vijeće (
                  35
               ) je, kad je riječ o voditelju obrade, zamijenilo izraz „teret dokaza” izrazom „mora moći dokazati”. Konačni je tekst zatim usvojen u tom obliku.
         
      
            53.
         
         
            Ne bih pridavao preveliku važnost ovoj promjeni formulacije (
                  36
               ). Vijeće ni u jednoj točki u uvodnim izjavama svojeg stajališta nije navelo razloge predložene promjene formulacije (
                  37
               ). To je pokazatelj da je ta institucija samo nastojala izmijeniti formulaciju predmetne odredbe pritom ne mijenjajući njezino značenje. U tom smislu, izraz „mora moći dokazati” zapravo na pristupačniji način opisuje ono što se podrazumijeva pod izrazom „teret dokaza” (
                  38
               ).
         
      
            54.
         
         
            Stoga možemo sa sigurnošću pretpostaviti da se člankom 7. stavkom 1. Uredbe 2016/679 teret dokaza postojanja privole ispitanika za obradu osobnih podataka prebacuje na voditelja obrade (
                  39
               ). Sve sumnje vezane za davanje privole ispitanika treba ukloniti na temelju dokaza koji dostavlja voditelj obrade (
                  40
               ). Teret dokaza da je ispitanik doveden u položaj koji mu omogućuje davanje dobrovoljne, posebne i informirane privole jasno leži na subjektu koji provodi obradu.
         
      
            55.
         
         
            Pravna situacija se u skladu s Direktivom 95/46 u tom pogledu ne razlikuje.
         
      
            56.
         
         
            Čak i pod pretpostavkom da Direktiva 95/46 nije sadržavala zasebnu odredbu usporedivu s člankom 7. Uredbe 2016/679 o uvjetima privole, većina uvjeta navedenih u tom članku mogla bi se također naći u toj direktivi. Iako pravilo o teretu dokaza nije izričito predviđeno tom direktivom, iz njezinih odredaba barem neizravno proizlazi (
                  41
               ) da je „[ispitanik] nedvosmisleno da[o] svoju [privolu]” (
                  42
               ).
         
      
      Položaj društva Orange România
   
   
            57.
         
         
            Sada ću te kriterije primijeniti na predmetni slučaj.
         
      
            58.
         
         
            Najprije bih pojasnio da pitanje može li društvo Orange România zahtijevati od svojih kupaca privolu za kopiranje i pohranjivanje njihovih identifikacijskih isprava nije obuhvaćeno ovim predmetom jer, za tog poduzetnika, to nije preduvjet za sklapanje ugovora. Drugim riječima, predmet o kojem je riječ ne odnosi se na tumačenje članka 7. točke (b) Direktive 95/46 i članka 6. stavka 1. točke (b) Uredbe 2016/679. S obzirom na to, čini mi se legitimno da društvo traži od kupaca da dostave neke osobne podatke, a osobito da dokažu svoj identitet u svrhu sklapanja ugovora. Međutim, čini se da se zahtijevanjem privole kupca za kopiranje i pohranjivanje identifikacijskih isprava prekoračuje ono što je nužno za izvršenje ugovora.
         
      
            59.
         
         
            Na temelju dostupnih informacija, čini mi se da kupci društva Orange România u okolnostima koje je opisao sud koji je uputio zahtjev ne daju svoju slobodnu, posebnu i informiranu privolu.
         
      
            60.
         
         
            Kao prvo, nema dobrovoljno dane privole. Obvezivanje kupca da vlastoručno izjavi da ne daje privolu za kopiranje i pohranjivanje svoje osobne iskaznice ne omogućuje davanje dobrovoljne privole zato što je kupac doveden u položaj u kojem očito odstupa od redovnog postupka koji dovodi do sklapanja ugovora. U vezi s tim kupcima se ne smije činiti da njihovo odbijanje davanja privole za kopiranje i pohranjivanje njihovih identifikacijskih isprava nije u skladu s redovnim postupcima. U tom pogledu želim podsjetiti da je Sud stavio naglasak na aktivno ponašanje ispitanika u cilju izražavanja privole (
                  43
               ). Stoga se za davanje privole zahtijeva pozitivno djelovanje ispitanika. Čini se da je u ovom predmetu pak došlo do obrnute situacije: potrebno je pozitivno djelovanje za odbijanje privole. Uz ponovno upućivanje na presudu u predmetu Planet49 (
                  44
               ), ako se brisanje kvačice u unaprijed kvačicom označenom polju na internetskoj stranici smatra prevelikim opterećenjem za kupca, tada se a fortiori od kupca ne može razumno očekivati da odbije dati privolu u vlastoručnom obliku.
         
      
            61.
         
         
            Kao drugo, nema informirane privole. Kupcu nije savršeno jasno dano do znanja da odbijanje kopiranja i pohranjivanja njegove osobne iskaznice ne onemogućuje sklapanje ugovora. Kupac ne odlučuje informirano ako nije svjestan posljedica.
         
      
            62.
         
         
            Kao treće – i samo hipotetski – nema naznake da je društvo Orange România uspjelo dokazati da su kupci dali privolu za obradu svojih osobnih podatka. U tom pogledu, očiti nedostatak jasnoće u unutarnjim postupcima sigurno ne doprinosi dokazivanju da je kupac dao privolu. Takav nedostatak jasnoće i proturječne upute prodajnom osoblju očito ne mogu biti na štetu kupca, odnosno ispitanika u predmetnom slučaju.
         
      
      Zaključak
   
   
            63.
         
         
            S obzirom na sva prethodna razmatranja, predlažem Sudu da na pitanja koja je uputio Tribunalul Bucureşti (Viši sud u Bukureštu) odgovori na sljedeći način:
            Ispitanik koji namjerava stupiti u ugovorni odnos vezan za pružanje telekomunikacijskih usluga s poduzetnikom ne daje svoju „privolu”, odnosno ne izražava svoju „posebnu i informiranu” i „dobrovoljnu” želju u skladu s člankom 2. točkom (h) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca pri obradi osobnih podataka i o slobodnom kretanju takvih podataka i u skladu s člankom 4. stavkom 11. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) tom poduzetniku kada se od njega traži da vlastoručno, na inače standardiziranom ugovoru, izjavi da odbija dati privolu za fotokopiranje i pohranjivanje svojih identifikacijskih isprava.
         
      (
         1
      )	Izvorni jezik: engleski
   (
         2
      )	Direktiva Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)
   (
         3
      )	Članak 6. jedini je članak odjeljka I. poglavlja II. Direktive 95/46.
   (
         4
      )	Članak 7. jedini je članak odjeljka II. poglavlja II. Direktive 95/46.
   (
         5
      )	Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1.)
   (
         6
      )	Monitorul Oficial al României (Službeni list Rumunjske), Partea I, br. 790 od 12. prosinca 2001.
   (
         7
      )	U kojem slučaju primatelj usluga unaprijed plaća cijenu usluga koje se pružaju.
   (
         8
      )	U kojem slučaju primatelj usluga na temelju izdanih računa plaća cijenu usluga trgovačkog društva nakon njihova pružanja.
   (
         9
      )	Na temelju članka 99. stavka 2. Uredbe 2016/679
   (
         10
      )	Vidjeti članak 94. stavak 1. Uredbe 2016/679
   (
         11
      )	Vidjeti presudu od 1. listopada 2019., Planet49 (C‑673/17, EU:C:2019:801, t. 38. do 43.) za sličan pristup u usporedivoj situaciji i moje mišljenje u istom predmetu (C‑673/17, EU:C:2019:246, t. 44. do 49.). Također vidjeti presudu od 11. prosinca 2018., Weiss i dr. (C‑493/17, EU:C:2018:1000, t. 39.).
   (
         12
      )	Vidjeti presudu od 24. rujna 2019., GC i dr. (Uklanjanje poveznica na osjetljive podatke) (C‑136/17, EU:C:2019:773, t. 33.).
   (
         13
      )	Očito podložno iznimkama i ograničenjima iz članka 13. Direktive 95/46 i članka 23. Uredbe 2016/679.
   (
         14
      )	Vidjeti presudu od 16. siječnja 2019., Deutsche Post (C‑496/17, EU:C:2019:26, t. 57.). Vidjeti također presudu od 13. svibnja 2014., Google Spain i Google (C‑131/12, EU:C:2014:317, t. 71. i navedena sudska praksa) i presudu od 11. prosinca 2019., Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, t. 36.).
   (
         15
      )	Vidjeti presude od 24. studenoga 2011., Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 i C‑469/10, EU:C:2011:777, t. 30.), od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779, t. 57.) i od 1. listopada 2019., Planet49 (C‑673/17, EU:C:2019:801, t. 53.).
   (
         16
      )	Vidjeti također Bygrave, L. A., Tosoni, L., u Chr. Kuner, L. A. Bygrave, Chr. Docksey (urednici), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020., članak 4. stavak 11., C.1., str. 181.
   (
         17
      )	Očito su ova mjerila po prirodi kumulativna, što znači da je prag za valjanu privolu visok, vidjeti Bygrave, L. A., Tosoni, L., u Chr. Kuner, L. A. Bygrave, Chr. Docksey (urednici), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020., članak 4. stavak 11., C.1., str. 181.
   (
         18
      )	Vidjeti moje mišljenje u predmetu Planet49 (C‑673/17, EU:C:2019:246, t. 57. i sljedeće). Vidjeti također Heckmann, D. & Paschke, A., u Ehmann, E., Selmayr, M. (urednici), Datenschutz‑Grundverordnung, Kommentar, C. H. Beck, München, drugo izdanje, 2018., članak 7. t. 9.: „ključni temelj zaštite podataka”.
   (
         19
      )	Vidjeti u tom smislu Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006., str. 232., koji u tom kontekstu navodi pravo na samoodređenje (kako ga je njemački Ustavni sud razvio na temelju presude od 15. prosinca 1983., 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfG 65,1).
   (
         20
      )	Vidjeti također Klement, J. H. u S. Simitis, G. Hornung, I. Spieker gen. Döhmann I. (urednici), Datenschutzrecht, Nomos, Baden‑Baden, 2019., članak 7., t. 1., koji ističe da, u pravnom poretku koji se temelji na promicanju dostojanstva, slobode i odgovornosti osoba, obrada osobnih podataka mora biti opravdana neovisnom odlukom ispitanika.
   (
         21
      )	Vidjeti, također, uvodnu izjavu 43. Uredbe 2016/679 koja se odnosi na situacije u kojima postoji „jasna neravnoteža između ispitanika i voditelja obrade”.
   (
         22
      )	Vidjeti, primjerice, verziju na španjolskom („manifestación de voluntad […] informada”), portugalskom („manifestação de vontade […] informada”), rumunjskom („manifestare de voință […] informată”), danskom („informeret viljetilkendegivelse”), švedskom („informerad viljeyttring”) i malteškom („infurmata”).
   (
         23
      )	Vidjeti, primjerice, verzije na nizozemskom („op informatie berustende wilsuiting” u Direktivi i „geïnformeerde wilsuiting” u Uredbi), poljskom („świadome […] wskazanie” u Direktivi i „świadome […] okazanie woli” u Uredbi) i njemačkom („Willensbekundung, die […] in Kenntnis der Sachlage erfolgt” u Direktivi i „in informierter Weise … abgegebene Willensbekundung” u Uredbi) jeziku.
   (
         24
      )	Vidjeti presudu od 1. listopada 2019., Planet49 (C‑673/17, EU:C:2019:801, t. 52.)
   (
         25
      )	Vidjeti Bygrave, L. A., Tosoni, L., u Chr. Kuner, L. A. Bygrave, Chr. Docksey (urednici), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020., članak 4. stavak 11., C.1., str. 182.
   (
         26
      )	Ibid.
   
   (
         27
      )	Vidjeti po analogiji moje mišljenje u predmetu Planet49 (C‑673/17, EU:C:2019:246, t. 62.). Također vidjeti presudu od 1. listopada 2019., Planet49 (C‑673/17, EU:C:2019:801, t. 55.).
   (
         28
      )	U konačnici, informirani pristanak usađen je u načelo transparentnosti, utvrđeno člankom 5. stavkom 1. točkom (a) Uredbe 2016/679, vidjeti Bygrave, L. A., Tosoni, L., u Chr. Kuner, L. A. Bygrave, Chr. Docksey (urednici), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020., članak 4. stavak 11., C.4., str. 184.
   (
         29
      )	Prema nekim autorima, katalog informacija iz članaka 10. i 11. Direktive 95/46 nije taksativan, tako da nadzornik može ispitaniku dostaviti i druge relevantne informacije o uvjetima korištenja osobnih podataka. Vidjeti, na primjer, Mednis, A., „Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46”, Monitor Prawniczy (dodatak) 2012., br. 7, str. 27.
   (
         30
      )	U skladu s tom odredbom, voditelj obrade mora biti odgovoran i mora biti u stanju dokazati poštovanje činjenice da se osobni podaci ispitanika obrađuju zakonito, pošteno i transparentno.
   (
         31
      )	Vidjeti u tom pogledu Stemmer, B., u St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, München, 30. izdanje, stanje 1. studenoga 2019., članak 7. DSGVO, točka 87., i Buchner, J., Kühling, B., u J. Buchner, B. Kühling (urednici), Datenschutz‑Grundverordnung/BDSG, Kommentar, C. H. Beck, München, drugo izdanje 2018., članak 7. DS‑GVO, t. 22.
   (
         32
      )	Vidjeti Klement, J. H., u S. Simitis, G. Hornung, I. Spieker gen. Döhmann (urednici), Datenschutzrecht, Nomos, Baden‑Baden, 2019., članak 7., t. 46.
   (
         33
      )	U prvom Komisijinu prijedlogu, članak 7. stavak 1. glasio je: „Voditelj obrade snosi teret dokaza postojanja privole ispitanika na obradu njegovih osobnih podataka u navedene svrhe.” Vidjeti prijedlog Uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca pri obradi osobnih podataka i o slobodnom kretanju takvih podataka (Opća uredba o zaštiti podataka) COM (2012) 11 final, str. 45.
   (
         34
      )	Parlament u prvom čitanju nije predložio izmjenu formulacije članka 7. stavka 1. vezano za izraz „teret dokaza”. Samo je pojasnio da se članak 7. stavak 1. odnosi na situaciju u kojoj se obrada temelji na privoli. Vidjeti Zakonodavnu rezoluciju Europskog parlamenta od 12. ožujka 2014. o prijedlogu Uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca pri obradi osobnih podataka i o slobodnom kretanju takvih podataka (Opća uredba o zaštiti podataka) (COM(2012) 11, (SL 2017., C 378, str. 399., na str. 428.).
   (
         35
      )	„Kada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.” Vidjeti stajalište Vijeća (EU) br. 6/2016 u prvom čitanju s ciljem donošenja Uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka), koje je Vijeće usvojilo 8. travnja 2016. (SL 2016., C 159, str. 1.), str. 36.
   (
         36
      )	Vidjeti u tom smislu također Kosta, E., u Chr. Kuner, L. A. Bygrave, Chr. Docksey (urednici), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020., članak 7., C.2., str. 349.‑350.
   (
         37
      )	Vidjeti osobito uvodne izjave 42. i 43. kojima se obrazlaže članak 7.
   (
         38
      )	Zanimljivo objašnjenje koncepta prema kojemu je teret dokaza na voditelju obrade iznio je Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006., str. 243.‑245., koji utvrđuje sličnost sa situacijom, u skladu s nacionalnim pravom, odgovornosti liječnikâ pri čemu je teret dokaza također na onima koji ograničavaju predmetno pravo.
   (
         39
      )	To je uostalom prevladavajuće stajalište u pravnoj literaturi, vidjeti Klabunde, A., u Ehmann, M. Selmayr (urednici), Datenschutz‑Grundverordnung, Kommentar, drugo izdanje, C. H. Beck, München, 2018., članak 4., t. 52.; Stemmer, B., u St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, München, 30. izdanje, stanje 1. studenoga 2019., članak 7. DSGVO, t. 87.; Buchner, J., Kühling, B., u J. Buchner, B. Kühling (urednici), Datenschutz‑Grundverordnung/BDSG, Kommentar, C. H. Beck, München, drugo izdanje 2018., članak 7. DS‑GVO, t. 22. i Barta, P., Kawecki, M., u P. Litwiński (urednik), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C. H. Beck, Varšava, 2018., članak 7. Uredbe, t. 1.
   (
         40
      )	Vidjeti također u tom smislu Heckmann, D., Paschke, A., u Ehmann, M. Selmayr (urednici), Datenschutz‑Grundverordnung, Kommentar, drugo izdanje, C. H. Beck, München, 2018., članak 7., t. 72.
   (
         41
      )	Vidjeti članak 7. točku (a) Direktive 95/46. Moje isticanje
   (
         42
      )	Vidjeti također u tom smislu, među brojnima, Buchner, J., Kühling, B., u J. Buchner, B. Kühling (urednici), Datenschutz‑Grundverordnung/BDSG, Kommentar, C. H. Beck, München, drugo izdanje, 2018., članak 7. DS‑GVO, t. 5. i 22.
   (
         43
      )	Vidjeti presudu od 1. listopada 2019., Planet49 (C‑673/17, EU:C:2019:801, t. 54.)
   (
         44
      )	Vidjeti presudu od 1. listopada 2019. (C‑673/17, EU:C:2019:801)