CELEX: 62019CJ0061
Language: sl
Date: 2020-11-11 00:00:00
Title: Sodba Sodišča (drugi senat) z dne 11. novembra 2020.#Orange Romania SA proti Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).#Predlog za sprejetje predhodne odločbe, ki ga je vložilo Tribunalul Bucureşti.#Predhodno odločanje – Direktiva 95/46/ES – Člen 2(h) in člen 7(a) – Uredba (EU) 2016/679 – Člen 4, točka 11, in člen 6(1)(a) – Obdelava osebnih podatkov in varstvo zasebnosti Zbiranje in hramba kopij osebnih dokumentov, ki ju izvaja ponudnik mobilnih telekomunikacijskih storitev Pojem ,privolitev‘ posameznika, na katerega se nanašajo osebni podatki – Prostovoljna, posebna in informirana izjava volje – Izjava o privolitvi s potrditvenim poljem Podpis pogodbe s strani posameznika, na katerega se nanašajo osebni podatki – Dokazno breme.#Zadeva C-61/19.

SODBA SODIŠČA (drugi senat)
   z dne 11. novembra 2020 (
         *1
      )
   „Predhodno odločanje – Direktiva 95/46/ES – Člen 2(h) in člen 7(a) – Uredba (EU) 2016/679 – Člen 4, točka 11, in člen 6(1)(a) – Obdelava osebnih podatkov in varstvo zasebnosti – Zbiranje in hramba kopij osebnih dokumentov, ki ju izvaja ponudnik mobilnih telekomunikacijskih storitev – Pojem ‚privolitev‘ posameznika, na katerega se nanašajo osebni podatki – Prostovoljna, posebna in informirana izjava volje – Izjava o privolitvi s potrditvenim poljem – Podpis pogodbe s strani posameznika, na katerega se nanašajo osebni podatki – Dokazno breme“
   V zadevi C‑61/19,
   katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Tribunalul Bucureşti (okrožno sodišče v Bukarešti, Romunija) z odločbo z dne 14. novembra 2018, ki je na Sodišče prispela 29. januarja 2019, v postopku
   
      Orange România SA
   
   proti
   
      Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),
   
   SODIŠČE (drugi senat),
   v sestavi A. Arabadjiev, predsednik senata, T. von Danwitz (poročevalec) in P. G. Xuereb, sodnika,
   generalni pravobranilec: M. Szpunar,
   sodni tajnik: D. Dittert, vodja oddelka,
   na podlagi pisnega postopka in obravnave z dne 11. decembra 2019,
   ob upoštevanju stališč, ki so jih predložili:
   
            –
         
         
            za Orange România SA D.‑D. Dascălu, A.-M. Iordache in I. Buga, avocaţi,
         
      
            –
         
         
            za Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) A. G. Opre in I. Ilie, agentki,
         
      
            –
         
         
            za romunsko vlado sprva E. Gane, O.-C. Ichim, L. Liţu in C.-R. Canţăr, nato E. Gane, O.-C. Ichim in L. Liţu, agenti,
         
      
            –
         
         
            za italijansko vlado G. Palmieri, agentka, skupaj z M. Russo, avvocato dello Stato,
         
      
            –
         
         
            za avstrijsko vlado sprva J. Schmoll in G. Hesse, nato J. Schmoll, agentki,
         
      
            –
         
         
            za portugalsko vlado L. Inez Fernandes, P. Barros da Costa, L. Medeiros in I. Oliveira, agenti,
         
      
            –
         
         
            za Evropsko komisijo H. Kranenborg, D. Nardi in L. Nicolae, agenti,
         
      po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 4. marca 2020
   izreka naslednjo
   
      Sodbo
   
   
            1
         
         
            Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 2(h) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355) ter člena 4, točka 11, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1).
         
      
            2
         
         
            Ta predlog je bil vložen v okviru spora med družbo Orange România SA in Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (nacionalni organ za nadzor nad obdelavo osebnih podatkov, Romunija) v zvezi s tožbo za odpravo odločbe, s katero je zadnjenavedeni organ družbi Orange România naložil globo zaradi zbiranja in hrambe kopij osebnih dokumentov svojih strank brez njihove veljavne privolitve in s katero ji je naložil uničenje teh kopij.
         
      
      Pravni okvir
   
   
      
         Pravo Unije
      
   
   
      Direktiva 95/46
   
   
            3
         
         
            V uvodni izjavi 38 Direktive 95/46 je navedeno, da „če naj bo obdelava podatkov poštena, mora imeti posameznik, na katerega se osebni podatki nanašajo, možnost seznaniti se z obstojem postopka obdelave, in kadar se podatki zbirajo pri njem, se mu morajo dati natančne in polne informacije ob upoštevanju okoliščin zbiranja“.
         
      
            4
         
         
            Člen 2(h) te direktive določa, da v tej direktivi:
            „,privolitev posameznika, na katerega se nanašajo osebni podatki‘ pomeni vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo.“
         
      
            5
         
         
            Člen 6 navedene direktive določa:
            „1.   Države članice določijo, da morajo biti osebni podatki:
            
                     (a)
                  
                  
                     pošteno in zakonito obdelani;
                  
               […]
            2.   Upravljavec mora zagotoviti, da se ravna v skladu z odstavkom 1.“
         
      
            6
         
         
            Člen 7(a) iste direktive določa:
            „Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:
            
                     (a)
                  
                  
                     je posameznik, na katerega se osebni podatki nanašajo, nedvoumno dal svojo privolitev […]“.
                  
               
      
            7
         
         
            Člen 10 te direktive določa:
            „Države članice določijo, da morata upravljavec ali njegov predstavnik zagotoviti posamezniku, na katerega se osebni podatki nanašajo in od katerega se podatki v zvezi z njim zbirajo, vsaj naslednje informacije, razen kadar jih že ima:
            
                     (a)
                  
                  
                     istovetnost upravljavca ali njegovega predstavnika, če obstaja;
                  
               
                     (b)
                  
                  
                     namene obdelave podatkov;
                  
               
                     (c)
                  
                  
                     vse nadaljnje informacije, npr.
                     
                              –
                           
                           
                              prejemnike ali vrste prejemnikov podatkov,
                           
                        
                              –
                           
                           
                              ali so odgovori na vprašanja obvezni ali prostovoljni, pa tudi možne posledice, če ne odgovori,
                           
                        
                              –
                           
                           
                              obstoj pravice do dostopa in pravice do popravka podatkov, ki se nanašajo nanj,
                           
                        
               kolikor so take nadaljnje informacije potrebne, ob upoštevanju posebnih okoliščin, v katerih se podatki zbirajo, za zagotovitev poštene obdelave glede na posameznika, na katerega se osebni podatki nanašajo.“
         
      
      Uredba 2016/679
   
   
            8
         
         
            V uvodnih izjavah 32 in 42 Uredbe 2016/679 je navedeno:
            
                     „(32)
                  
                  
                     Privolitev bi morala biti dana z jasnim pritrdilnim dejanjem, ki pomeni, da je posameznik, na katerega se nanašajo osebni podatki, prostovoljno, specifično, ozaveščeno in nedvoumno izrazil soglasje k obdelavi osebnih podatkov v zvezi z njim, kot je s pisno, tudi z elektronskimi sredstvi, ali ustno izjavo. To lahko vključuje označitev okenca ob obisku spletne strani, izbiro tehničnih nastavitev za storitve informacijske družbe ali katero koli drugo izjavo ali ravnanje, ki v tem okviru jasno kaže na to, da posameznik, na katerega se nanašajo osebni podatki, sprejema predlagano obdelavo svojih osebnih podatkov. Molk, vnaprej označena okenca ali nedejavnost zato ne pomenijo privolitve. Privolitev bi morala zajemati vse dejavnosti obdelave, izvedene v isti namen ali namene. Kadar je obdelava večnamenska, bi bilo treba privolitev dati za vse namene obdelave. Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana na podlagi zahteve z elektronskimi sredstvi, mora biti zahteva jasna in natančna, prav tako pa ne sme po nepotrebnem ovirati uporabe storitve, za katero se zagotavlja.
                  
               […]
            
                     (42)
                  
                  
                     Kadar obdelava temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, bi moral biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v dejanje obdelave. Zlasti v okviru pisne izjave o drugi zadevi bi morali zaščitni ukrepi zagotoviti, da se posameznik, na katerega se nanašajo osebni podatki, zaveda dejstva, da daje privolitev in v kakšnem obsegu jo daje. V skladu z Direktivo Sveta 93/13/EGS z dne 5. aprila 1993 o nedovoljenih pogojih v potrošniških pogodbah (UL, posebna izdaja v slovenščini, poglavje 15, zvezek 2, str. 288) bi moral upravljavec vnaprej pripraviti izjavo o privolitvi, ki bi morala biti [bi morala biti izjava o privolitvi, ki jo vnaprej pripravi upravljavec,] v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku in ne bi smela vsebovati nedovoljenih pogojev. Da bi posameznik, na katerega se nanašajo osebni podatki, lahko dal ozaveščeno privolitev, bi moral poznati vsaj identiteto upravljavca in namene obdelave osebnih podatkov. Privolitev se ne bi smela šteti za prostovoljno, če posameznik, na katerega se nanašajo osebni podatki, nima možnosti dejanske ali prostovoljne izbire ali privolitve ne more zavrniti ali preklicati brez škode.“
                  
               
      
            9
         
         
            Člen 4, točka 11, navedene uredbe določa:
            „,privolitev posameznika, na katerega se nanašajo osebni podatki‘ pomeni vsako prostovoljno, izrecno [posebno], informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj“.
         
      
            10
         
         
            Člen 5 te uredbe določa:
            „1.   Osebni podatki so:
            
                     (a)
                  
                  
                     obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki (,zakonitost, pravičnost in preglednost‘);
                  
               […]
            2.   Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (,odgovornost‘).“
         
      
            11
         
         
            Člen 6(1)(a) Uredbe 2016/679 določa:
            „1.   Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
            
                     (a)
                  
                  
                     posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
                  
               […]“.
         
      
            12
         
         
            Člen 7(1), (2) in (4) Uredbe št. 2016/679 določa:
            „1.   Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.
            2.   Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, se zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Deli take izjave, ki predstavljajo kršitev te uredbe, niso zavezujoči.
            […]
            4.   Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe.“
         
      
            13
         
         
            Člen 13 te uredbe v odstavkih 1 in 2 določa:
            „1.   Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije:
            
                     (a)
                  
                  
                     identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja;
                  
               […]
            
                     (c)
                  
                  
                     namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
                  
               […]
            2.   Poleg informacij iz odstavka 1 upravljavec takrat, ko pridobi osebne podatke posamezniku, na katerega se ti nanašajo, zagotovi naslednje dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave:
            
                     (a)
                  
                  
                     obdobje hrambe osebnih podatkov ali, kadar to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
                  
               
                     (b)
                  
                  
                     obstoj pravice, da se od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov ali omejitev obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora obdelavi in pravice do prenosljivosti podatkov;
                  
               
                     (c)
                  
                  
                     kadar obdelava temelji na točki (a) člena 6(1) ali točki (a) člena 9(2), obstoj pravice, da se lahko privolitev kadar koli prekliče, ne da bi to vplivalo na zakonitost obdelave podatkov, ki se je na podlagi privolitve izvajala do njenega preklica“.
                  
               
      
            14
         
         
            Člen 94(1) Uredbe 2016/679 določa:
            „Direktiva 95/46/ES se razveljavi z učinkom od 25. maja 2018.“
         
      
            15
         
         
            V skladu s členom 99(2) Uredbe 2016/679 se ta uredba uporablja od 25. maja 2018.
         
      
      
         Romunsko pravo
      
   
   
            16
         
         
            Namen Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (zakon št. 677/2001 o varstvu oseb pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov) (Monitorul Oficial al României, del I, št. 790 z dne 12. decembra 2001) je prenos določb Direktive 95/46 v nacionalno pravo.
         
      
            17
         
         
            Člen 5(1) tega zakona določa:
            „1.   Vsaka obdelava osebnih podatkov, razen če se nanaša na podatke iz kategorij, navedenih v členu 7(1) ter v členih 8 in 10, se lahko opravi le, če je posameznik, na katerega se nanašajo osebni podatki, v to izrecno in nedvoumno privolil.
            […]“.
         
      
            18
         
         
            Člen 8 navedenega zakona določa:
            „1.   Obdelava osebne matične številke ali drugih osebnih podatkov, ki imajo identifikacijsko funkcijo za splošno rabo, se lahko izvaja le, če:
            
                     (a)
                  
                  
                     je posameznik, na katerega se osebni podatki nanašajo, izrecno dal svojo privolitev; ali
                  
               
                     (b)
                  
                  
                     je obdelava izrecno določena z zakonsko določbo.
                  
               2.   Nadzorni organ lahko določi tudi druge primere, v katerih je mogoče izvajati obdelavo podatkov iz odstavka 1, če določi ustrezne zaščitne ukrepe za zagotovitev spoštovanja pravic posameznikov, na katere se nanašajo osebni podatki.“
         
      
            19
         
         
            Člen 32 zakona 677/2001 določa:
            „Če upravljavec ali oseba, ki jo je ta zadolžil, obdela osebne podatke tako, da krši določbe členov od 4 do 10, ali tako, da ne upošteva pravic, določenih s členi od 12 do 15 ali členom 17, gre za prekršek, če ta ni storjen v takšnih okoliščinah, da gre za kaznivo dejanje, in se kaznuje z denarno kaznijo od [1000] (RON) do [25.000] RON.“
         
      
      Spor o glavni stvari in vprašanji za predhodno odločanje
   
   
            20
         
         
            Družba Orange România je ponudnica mobilnih telekomunikacijskih storitev na romunskem trgu.
         
      
            21
         
         
            ANSPDCP je z odločbo z dne 28. marca 2018 družbi Orange România naložil globo zaradi hrambe kopij osebnih dokumentov svojih strank brez dokaza, da so te stranke v to veljavno privolile, hkrati pa ji je naložila, naj te kopije uniči.
         
      
            22
         
         
            ANSPDCP je v tej odločbi navedel, da je družba Orange România v obdobju od 1. do 26. marca 2018 s fizičnimi osebami pisno sklepala pogodbe o zagotavljanju mobilnih telekomunikacijskih storitev in da so kopije osebnih dokumentov teh oseb priložene tem pogodbam. Po mnenju ANSPDCP ni dokaza, da so njene stranke, k pogodbam katerih so bile priložene kopije njihovih osebnih dokumentov, veljavno privolile v zbiranje in hrambo kopij njihovih osebnih dokumentov.
         
      
            23
         
         
            Upoštevne določbe zadevnih pogodb se glasijo:
            „Stranka v izjavi navaja, da:
            
                     (i)
                  
                  
                     je bila pred sklenitvijo pogodbe seznanjena z izbranim tarifnim načrtom, veljavnimi tarifami, minimalnim trajanjem pogodbe, s pogoji njenega prenehanja ter pogoji za pridobitev in uporabo storitev, vključno z območjem pokrivanja storitev […];
                  
               
                     (ii)
                  
                  
                     je družba Orange România stranki dala na voljo vse potrebne informacije, da bi ta lahko izrazila svojo ustrezno, izrecno, prostovoljno in posebno privolitev v sklenitev in izrecno sprejetje pogodbe, vključno z vso pogodbeno dokumentacijo, splošnimi pogoji poslovanja v zvezi z uporabo storitev družbe Orange ter brošuro o tarifah in storitvah;
                  
               
                     (iii)
                  
                  
                     je bila seznanjena in je izrecno privolila:
                     
                              –
                           
                           
                              v obdelavo osebnih podatkov v namene, navedene v členu 1.15 splošnih pogojev poslovanja v zvezi z uporabo storitev družbe Orange;
                           
                        
                              –
                           
                           
                              z dejstvom, da se bodo kopije dokumentov, ki vsebujejo osebne podatke za identifikacijo, hranile ;
                           
                        
                              –
                           
                           
                              v obdelavo osebnih podatkov (kontaktna številka in elektronski naslov) zaradi neposrednega trženja ;
                           
                        
                              –
                           
                           
                              v obdelavo osebnih podatkov (kontaktna številka in elektronski naslov) zaradi izvajanja tržnih raziskav ;
                           
                        
                              –
                           
                           
                              prebral/-a sem in izrecno soglašam, da se hranijo kopije dokumentov, ki vsebujejo osebne podatke o zdravstvenem stanju ;
                           
                        
                              –
                           
                           
                              da podatki iz člena 1.15 splošnih pogojev poslovanja v zvezi z uporabo storitev družbe Orange niso vključeni v informativne storitve za naročnike in storitve v zvezi z imeniki naročnikov .“
                           
                        
               
      
            24
         
         
            Družba Orange România je zoper odločbo z dne 28. marca 2018 vložila tožbo pri Tribunalul Bucureşti (okrožno sodišče v Bukarešti, Romunija).
         
      
            25
         
         
            V skladu z ugotovitvami predložitvenega sodišča na eni strani obstajajo pogodbe, v katerih je bil križec vključen v polje v zvezi z določbo o hrambi kopij dokumentov, ki vsebujejo osebne podatke za identifikacijo, in na drugi strani pogodbe, v katerih takega križca ni. To sodišče pojasnjuje, da družba Orange România kljub navedbam, vsebovanim v njenih splošnih pogojih poslovanja, ni odklonila sklenitve pogodb o naročniških razmerjih s strankami, ki niso privolile v hrambo kopije enega od svojih osebnih dokumentov. Navedeno sodišče navaja tudi, da je bilo v „notranjih postopkih“ prodaje družbe Orange România določeno, da mora biti ta zavrnitev dokumentirana s posebnim obrazcem, ki ga morajo te stranke podpisati pred sklenitvijo pogodbe.
         
      
            26
         
         
            Predložitveno sodišče se sprašuje, ali je v teh okoliščinah za zadevne stranke mogoče šteti, da so veljavno privolile v pridobitev njihovega osebnega dokumenta in v to, da se kopija tega dokumenta priloži pogodbam. Poleg tega se sprašuje, ali je mogoče s podpisom pogodbe, v kateri je določba o hrambi kopij dokumentov, ki vsebujejo osebne podatke za identifikacijo, dokazati obstoj take privolitve.
         
      
            27
         
         
            V teh okoliščinah je Tribunalul București (okrožno sodišče v Bukarešti) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji:
            
                     „1.
                  
                  
                     Kateri pogoji morajo biti v skladu s členom 2(h) Direktive 95/46 izpolnjeni, da se lahko šteje, da je izjava volje posebna in informirana?
                  
               
                     2.
                  
                  
                     Kateri pogoji morajo biti v skladu s členom 2(h) Direktive 95/46 izpolnjeni, da se lahko šteje, da je izjava volje dana prostovoljno?“
                  
               
      
      Vprašanji za predhodno odločanje
   
   
            28
         
         
            Najprej je treba preučiti možnost uporabe Direktive 95/46 in Uredbe 2016/679 za dejansko stanje iz postopka v glavni stvari.
         
      
            29
         
         
            Direktiva 95/46 je bila z učinkom od 25. maja 2018 razveljavljena in nadomeščena z Uredbo 2016/679, in sicer na podlagi člena 94(1) in člena 99(2) te uredbe.
         
      
            30
         
         
            Ker je bila odločba ANSPDCP iz postopka v glavni stvari sprejeta 28. marca 2018, torej pred 25. majem 2018, predložitveno sodišče zato pravilno meni, da se Direktiva 95/46 ratione temporis uporablja za spor o glavni stvari.
         
      
            31
         
         
            Ob tem je iz spisa, predloženega Sodišču, razvidno tudi, da ANSPDCP s svojo odločbo družbi Orange România ni naložil le globe, temveč tudi, naj uniči zadevne kopije osebnih dokumentov, in da se spor o glavni stvari nanaša tudi na zadnjenavedeno odredbo. Ker pa iz nobenega elementa tega spisa ni razvidno, da bi bilo navedeni odredbi ugodeno pred 25. majem 2018, ni izključeno, da se v obravnavanem primeru v zvezi s to odredbo ratione temporis uporabi Uredba 2016/679 (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 41).
         
      
            32
         
         
            Da bi Sodišče lahko podalo koristne odgovore na vprašanji, ki ju je postavilo predložitveno sodišče, je treba v teh okoliščinah na ti vprašanji odgovoriti tako na podlagi Direktive 95/46 kot tudi Uredbe 2016/679 (glej po analogiji sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 43).
         
      
            33
         
         
            Predložitveno sodišče z vprašanjema za predhodno odločanje, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 2(h) in člen 7(a) Direktive 95/46 ter člen 4, točka 11, in člen 6(1)(a) Uredbe 2016/679 razlagati tako, da je s pogodbo o zagotavljanju telekomunikacijskih storitev, ki vsebuje določbo, v skladu s katero je bil posameznik, na katerega se nanašajo osebni podatki, obveščen o pridobitvi in hrambi kopije njegovega osebnega dokumenta za identifikacijo ter v skladu s katero je v to privolil, mogoče dokazati, da je ta posameznik v smislu teh določb veljavno privolil v to pridobitev in hrambo.
         
      
            34
         
         
            V zvezi s tem je treba opozoriti, da člen 7 Direktive 95/46 in člen 6 Uredbe 2016/679 določata izčrpen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita (glej v zvezi s členom 7 Direktive 95/46 sodbo z dne 19. oktobra 2016, Breyer, C‑582/14, EU:C:2016:779, točka 57 in navedena sodna praksa, ter z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 53). Natančneje, člen 7(a) te direktive in člen 6(1)(a) navedene uredbe določata, da lahko taka obdelava s privolitvijo posameznika, na katerega se nanašajo osebni podatki, postane zakonita.
         
      
            35
         
         
            V zvezi z zahtevami, ki veljajo za tako privolitev, člen 7(a) navedene direktive določa, da mora posameznik, na katerega se nanašajo osebni podatki, „nedvoumno privoliti“, medtem ko člen 2(h) Direktive 95/46 pojem „privolitev“ opredeljuje kot „vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo“. Ker iz teh določb izhaja, da posameznik, na katerega se nanašajo osebni podatki, poda „izjavo volje“, da bi „nedvoumno“ privolil, se lahko upošteva le aktivno ravnanje tega posameznika, katerega namen je izjava njegove privolitve (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točki 52 in 54).
         
      
            36
         
         
            Ista zahteva velja tudi v okviru Uredbe 2016/679. Besedilo člena 4, točka 11, te uredbe, v katerem je „privolitev posameznika, na katerega se nanašajo osebni podatki“, med drugim opredeljena za namene njenega člena 6(1)(a), je namreč očitno še strožje od besedila člena 2(h) Direktive 95/46, ker se z njim zahteva „prostovoljna, posebna, informirana in nedvoumna“ izjava volje posameznika, na katerega se nanašajo osebni podatki, v obliki izjave ali „jasnega pritrdilnega dejanja“, ki izraža njegovo soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. Tako je odslej z Uredbo 2016/679 izrecno določena aktivna privolitev (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točke od 61 do 63).
         
      
            37
         
         
            V zvezi s tem je v uvodni izjavi 32 te uredbe pojasnjeno, da se privolitev sicer lahko med drugim poda z označitvijo okenca ob obisku spletnega mesta, vendar je v njej izrecno izključeno, da bi do privolitve prišlo z „molkom, vnaprej označenimi okenci ali nedejavnostjo“. Kot je Sodišče že presodilo, je v takem primeru očitno praktično nemogoče objektivno ugotoviti, ali je uporabnik spletnega mesta svojo privolitev v obdelavo svojih osebnih podatkov dejansko podal s tem, da ni odznačil vnaprej označenega polja, kot tudi nikakor, ali je bila ta privolitev podana informirano. Ni namreč mogoče izključiti, da navedeni uporabnik pred nadaljevanjem svoje dejavnosti na obiskanem spletnem mestu ni prebral informacije poleg vnaprej označenega potrditvenega polja ali celo, da tega potrditvenega polja ni opazil (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točki 55 in 57).
         
      
            38
         
         
            Poleg tega člen 2(h) Direktive 95/46 in člen 4, točka 11, Uredbe 2016/679 zahtevata „posebno“ izjavo volje v smislu, da se mora nanašati prav na obdelavo zadevnih podatkov in je ni mogoče izpeljati iz izjave volje, ki ima drug cilj (glej v zvezi s členom 2(h) Direktive 95/46 sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 58).
         
      
            39
         
         
            V zvezi s tem člen 7(2), prvi stavek, te uredbe natančneje določa, da se zahteva za privolitev, če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, predloži na način, ki se jasno razlikuje od drugih zadev. Natančneje, iz zadnjenavedene določbe v povezavi z uvodno izjavo 42 navedene uredbe izhaja, da mora biti taka izjava v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, zlasti kadar gre za izjavo o privolitvi, ki jo vnaprej pripravi upravljavec obdelave osebnih podatkov.
         
      
            40
         
         
            Zahteva iz člena 2(h) Direktive 95/46 in člena 4, točka 11, Uredbe 2016/679, v skladu s katero mora biti privolitev med drugim „informirana“ oziroma „ozaveščena“, pa v skladu s členom 10 te direktive v povezavi z njeno uvodno izjavo 38 ter členom 13 te uredbe v povezavi z njeno uvodno izjavo 42 zajema, da upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotovi obvestitev v zvezi z vsemi okoliščinami obdelave podatkov v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, saj mora biti ta posameznik med drugim seznanjen z vrsto podatkov, ki se obdelujejo, istovetnostjo upravljavca, trajanjem in načinom te obdelave ter nameni, ki se s tem dosegajo. Takšna obvestitev mora navedenemu posamezniku omogočiti, da z lahkoto ugotovi posledice morebitne dane privolitve, in zagotoviti, da je ta privolitev dana ob popolni seznanjenosti z dejstvi (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 74).
         
      
            41
         
         
            Kot je Komisija navedla v stališčih, ki jih je predložila Sodišču, poleg tega iz člena 10(c), druga alinea, Direktive 95/46 ter člena 13(2)(b) in (c) Uredbe 2016/679 v povezavi z njeno uvodno izjavo 42 izhaja, da za to, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovi resnična svoboda izbire, pogodbene določbe posameznika, na katerega se nanašajo osebni podatki, ne smejo zavesti glede možnosti sklenitve pogodbe, tudi če zavrne privolitev v obdelavo svojih podatkov. Ob neobstoju takih informacij ni mogoče šteti, da je bila privolitev tega posameznika v obdelavo svojih osebnih podatkov dana prostovoljno, kot tudi ne, da je bila dana informirano in ozaveščeno.
         
      
            42
         
         
            Dodati je treba, da mora upravljavec obdelave osebnih podatkov na podlagi člena 6(1)(a) in (2) Direktive 95/46 ter člena 5(1)(a) Uredbe 2016/679 med drugim zagotoviti zakonitost obdelave teh podatkov in da mora biti, kot je natančneje določeno v odstavku 2 tega člena 5, zmožen to zakonitost dokazati. Natančneje v zvezi z morebitno privolitvijo posameznika, na katerega se nanašajo osebni podatki, člen 7(a) te direktive določa, da mora posameznik, na katerega se nanašajo osebni podatki, „nedvoumno“ privoliti, kar pomeni, kot je generalni pravobranilec navedel v točki 56 sklepnih predlogov, da dokazno breme glede obstoja veljavne privolitve nosi upravljavec. Člen 7(1) navedene uredbe odslej določa, da mora biti, kadar obdelava temelji na privolitvi, ta upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.
         
      
            43
         
         
            V obravnavanem primeru je družba Orange România v stališčih, ki jih je predložila Sodišču, trdila, da so njeni prodajni zastopniki med postopkom sklepanja pogodb iz postopka v glavni stvari zadevne stranke pred sklenitvijo pogodb med drugim obvestili o namenu zbiranja in hrambe kopij osebnih dokumentov ter o izbiri, ki naj bi jo imele stranke v zvezi s tem zbiranjem in hrambo, preden so ustno pridobili privolitev teh strank v to zbiranje in hrambo. Po mnenju družbe Orange România je bilo polje v zvezi s hrambo kopij osebnih dokumentov označeno samo na podlagi soglasja, ki so ga zadevne osebe v tem smislu prostovoljno izrazile ob sklenitvi pogodbe.
         
      
            44
         
         
            V teh okoliščinah se želi s predlogom za sprejetje predhodne odločbe v bistvu razjasniti, ali je mogoče tako zatrjevano privolitev v tako obdelavo osebnih podatkov dokazati s pogodbenimi določili iz teh pogodb.
         
      
            45
         
         
            V zvezi s tem je iz navedb v tem predlogu razvidno, da navedene pogodbe sicer vsebujejo določbo, v skladu s katero so bile zadevne stranke obveščene o pridobitvi in hrambi kopije njihovega osebnega dokumenta za identifikacijo ter v skladu s katero so v to privolile, vendar so prodajni zastopniki družbe Orange România polje v zvezi s to določbo že označili pred podpisom teh strank, ki pomeni sprejetje vseh pogodbenih določb, to je tako navedene določbe kot tudi preostalih določb, ki se ne nanašajo na varstvo podatkov. V tem predlogu je navedeno tudi, da je družba Orange România, ne da bi bilo to pojasnjeno v pogodbah iz postopka v glavni stvari, soglašala tudi s sklenitvijo teh pogodb s strankami, ki ne privolijo v hrambo kopije njihovega osebnega dokumenta, pri čemer je zahtevala, da te stranke v tem primeru podpišejo poseben obrazec, ki potrjuje njihovo zavrnitev.
         
      
            46
         
         
            Ker pa se v skladu s temi navedbami ne zdi, da bi zadevne stranke same označile polje v zvezi z navedeno določbo, zgolj s tem, da je bilo to polje označeno, ni mogoče dokazati pozitivnega izraza privolitve teh strank, da se kopija njihove osebne izkaznice pridobi in hrani. Kot je namreč generalni pravobranilec navedel v točki 45 sklepnih predlogov, zgolj z okoliščino, da so navedene stranke podpisale pogodbe, ki vsebujejo označeno polje, ob neobstoju indicev, ki bi potrjevali, da je bila ta določba dejansko prebrana in vključena, take privolitve ni mogoče dokazati. Predložitveno sodišče mora v zvezi s tem opraviti potrebna preverjanja.
         
      
            47
         
         
            Ker se ne zdi, da bi bila označena določba v zvezi z obdelavo teh podatkov predložena na način, ki jo jasno razlikuje od preostalih pogodbenih določb, mora poleg tega preučiti, ali je ob upoštevanju preudarkov iz točke 34 te sodbe podpis teh pogodb, ki se nanaša na večino pogodbenih pogojev, mogoče šteti za izjavo posebne privolitve v zbiranje in hrambo osebnih podatkov v smislu člena 2(h) Direktive 95/46 in člena 4, točka 11, Uredbe 2016/679.
         
      
            48
         
         
            Ker je poleg tega v pogodbeni določbi iz postopka v glavni stvari brez vsakršne nadaljnje navedbe opredeljeno le, da je namen hrambe kopij osebnih izkaznic identifikacija, mora predložitveno sodišče preveriti, ali so z obveščanjem posameznikov, na katere se nanašajo osebni podatki, izpolnjene zahteve iz člena 10 Direktive 95/46 in člena 13 Uredbe 2016/679, ki določata informacije, ki jih mora upravljavec zagotoviti posamezniku, od katerega zbira podatke, ki se nanašajo nanj, da se v zvezi z njim zagotovi poštena obdelava podatkov.
         
      
            49
         
         
            To sodišče mora med drugim oceniti tudi, ali bi lahko pogodbene določbe iz postopka v glavni stvari posameznika, na katerega se nanašajo osebni podatki, zavedle glede možnosti sklenitve pogodbe ne glede na zavrnitev privolitve v obdelavo svojih podatkov, če v zvezi s tem ne obstaja pojasnilo, s čimer je ogrožena ozaveščenost in informiranost privolitve, ki je izražena z navedenim podpisom.
         
      
            50
         
         
            Kot je generalni pravobranilec navedel v točki 60 sklepnih predlogov, je poleg tega prostovoljnost te privolitve očitno ogrožena zaradi okoliščine, da je družba Orange România z odstopanjem od navadnega postopka, ki vodi do sklenitve pogodbe, zahtevala, da zadevna stranka pisno izjavi, da ne privoli niti v pridobitev niti v hrambo kopije njenega osebnega dokumenta. Kot je namreč Komisija navedla na obravnavi, lahko taka dodatna zahteva neupravičeno vpliva na svobodno izbiro, da se tej pridobitvi in tej hrambi nasprotuje, kar mora prav tako preveriti predložitveno sodišče.
         
      
            51
         
         
            Vsekakor mora družba Orange România kot upravljavec obdelave podatkov, kot to izhaja iz preudarkov v točkah 35, 36 in 42 te sodbe, dokazati, da so njene stranke z aktivnim ravnanjem izjavile privolitev v obdelavo svojih osebnih podatkov, tako da ta družba ne more zahtevati, da aktivno izjavijo svojo zavrnitev.
         
      
            52
         
         
            Glede na zgoraj navedene preudarke je treba na postavljeni vprašanji odgovoriti, da je treba člen 2(h) in člen 7(a) Direktive 95/46 ter člen 4, točka 11, in člen 6(1)(a) Uredbe 2016/679 razlagati tako, da mora upravljavec obdelave podatkov dokazati, da je posameznik, na katerega se nanašajo osebni podatki, z aktivnim ravnanjem izjavil privolitev v obdelavo svojih osebnih podatkov, in da je bil ta posameznik predhodno obveščen o vseh okoliščinah te obdelave v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, s čimer mu je bilo omogočeno, da z lahkoto ugotovi posledice te privolitve, tako da je zagotovljeno, da je ta privolitev dana ob popolni seznanjenosti z dejstvi. S pogodbo o zagotavljanju telekomunikacijskih storitev, ki vsebuje določbo, v skladu s katero je bil posameznik, na katerega se nanašajo osebni podatki, obveščen o pridobitvi in hrambi kopije njegovega osebnega dokumenta za identifikacijo ter v skladu s katero je v to privolil, ni mogoče dokazati, da je ta posameznik v smislu teh določb veljavno privolil v to pridobitev in hrambo, če
            
                     –
                  
                  
                     je upravljavec obdelave podatkov pred podpisom te pogodbe označil polje, ki se nanaša na to določbo, ali če
                  
               
                     –
                  
                  
                     lahko pogodbene določbe navedene pogodbe zavedejo posameznika, na katerega se nanašajo osebni podatki, glede možnosti sklenitve pogodbe, tudi če zavrne privolitev v obdelavo svojih podatkov, ali če
                  
               
                     –
                  
                  
                     ta upravljavec v prosto izbiro, da se takemu zbiranju in hrambi nasprotuje, neupravičeno poseže s tem, da zahteva, da posameznik, na katerega se nanašajo osebni podatki, da bi zavrnil svojo privolitev, izpolni dodatni obrazec, ki to zavrnitev potrjuje.
                  
               
      
      Stroški
   
   
            53
         
         
            Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
         
       
         
            Iz teh razlogov je Sodišče (drugi senat) razsodilo:
         
       
            
               
                  Člen 2(h) in člen 7(a) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter člen 4, točka 11, in člen 6(1)(a) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) je treba razlagati tako, da mora upravljavec obdelave podatkov dokazati, da je posameznik, na katerega se nanašajo osebni podatki, z aktivnim ravnanjem izjavil privolitev v obdelavo svojih osebnih podatkov in da je bil ta posameznik predhodno obveščen o vseh okoliščinah te obdelave v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, s čimer mu je bilo omogočeno, da z lahkoto ugotovi posledice te privolitve, tako da je zagotovljeno, da je ta privolitev dana ob popolni seznanjenosti z dejstvi. S pogodbo o zagotavljanju telekomunikacijskih storitev, ki vsebuje določbo, v skladu s katero je bil posameznik, na katerega se nanašajo osebni podatki, obveščen o pridobitvi in hrambi kopije njegovega osebnega dokumenta za identifikacijo ter v skladu s katero je v to privolil, ni mogoče dokazati, da je ta posameznik v smislu teh določb veljavno privolil v to pridobitev in hrambo, če
               
            
          
            
               
                        –
                     
                     
                        
                           je upravljavec obdelave podatkov pred podpisom te pogodbe označil polje, ki se nanaša na to določbo, ali če
                        
                     
                  
                        –
                     
                     
                        
                           lahko pogodbene določbe navedene pogodbe zavedejo posameznika, na katerega se nanašajo osebni podatki, glede možnosti sklenitve pogodbe, tudi če zavrne privolitev v obdelavo svojih podatkov, ali če
                        
                     
                  
                        –
                     
                     
                        
                           ta upravljavec v prosto izbiro, da se takemu zbiranju in hrambi nasprotuje, neupravičeno poseže s tem, da zahteva, da posameznik, na katerega se nanašajo osebni podatki, da bi zavrnil svojo privolitev, izpolni dodatni obrazec, ki to zavrnitev potrjuje.
                        
                     
                  
          
            
               
                  Podpisi
               
            
         (
         *1
      )	Jezik postopka: romunščina.