C-61/19
ECLI:EU:C:2020:158
- Súd
- Súdny dvor Európskej únie
- IČS
- 62019CC0061
- Zdroj
- eur-lex.europa.eu ↗
62019CC0061
NÁVRHY GENERÁLNEHO ADVOKÁTA
MACIEJ SZPUNAR
prednesené 4. marca 2020 ( 1 )
Vec C‑61/19
Orange România SA
proti
Autoritatea Nažională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
[návrh na začatie prejudiciálneho konania, ktorý podal Tribunalul Bucureşti (Krajský súd Bukurešť, Rumunsko)]
„Prejudiciálna otázka – Smernica 95/46/ES – Nariadenie (EÚ) 2016/679 – Ochrana jednotlivcov pri spracúvaní osobných údajov a voľný pohyb takýchto údajov – Mobilné telekomunikačné služby – Pojem ‚súhlas dotknutej osoby‘ – Konkrétny a informovaný prejav vôle – Vyhlásenie o udelení súhlasu prostredníctvom políčka na zaškrtnutie – Dôkazné bremeno“
1.
Tento návrh na začatie prejudiciálneho konania, ktorý podal Tribunalul Bucureşti (Krajský súd Bukurešť, Rumunsko), má svoj pôvod v spore medzi poskytovateľom telekomunikačných služieb a vnútroštátnym orgánom na ochranu údajov týkajúcim sa povinností poskytovateľa telekomunikačných služieb v kontexte zmluvných rokovaní so zákazníkom pri získavaním a uchovávaní kópie dokladu totožnosti.
2.
Poskytne Súdnemu dvoru príležitosť ďalej objasniť pojem „súhlas“ dotknutej osoby, t. j. centrálny charakteristický znak práva EÚ v oblasti ochrany údajov, ktorý je v konečnom dôsledku zakorenený v základnom práve na ochranu údajov. V tejto súvislosti by sa Súdny dvor mal tiež zaoberať otázkou dôkazného bremena o tom, či dotknutá osoba udelila alebo neudelila súhlas.
Právny rámec
Právo EÚ
Smernica 95/46
3.
Podľa článku 2 písm. h) smernice 95/46/EHS ( 2 ) na účely tejto smernice „,súhlas osoby pracujúcej s údajmi‘ [dotknutej osoby – neoficiálny preklad ] znamená slobodne poskytnutú a informovanú indikáciu jeho prianí, ktorou osoba pracujúca s údajmi [dotknutá osoba – neoficiálny preklad ] prejaví svoj súhlas, aby sa osobné údaje, ktoré sa ho týkajú, spracovali“.
4.
Kapitola II tejto smernice sa obsahuje všeobecné nariadenia týkajúce sa zákonnosti spracúvania osobných údajov.
5.
Článok 6 tej istej smernice o „princípoch týkajúcich sa kvality údajov“ ( 3 ) stanovuje:
„1. Členské štáty zabezpečia, že osobné údaje musia byť:
a)
spracované spravodlivo a zákonne;
b)
zhromaždené na špecifikované, explicitné a zákonné účely a nebudú sa ďalej spracovávať spôsobmi, ktoré nie sú zlučiteľné s týmito účelmi. Ďalšie spracovanie údajov pre historické, štatistické alebo vedecké účely sa nepovažuje za nezlučiteľné, pod podmienkou, že členské štáty zabezpečia primerané bezpečnostné opatrenia;
c)
adekvátne, relevantné a nie neprimerané vo vzťahu k účelom, pre ktoré sú zhromažďované a/alebo ďalej spracované;
…
2. Úlohou kontrolóra [prevádzkovateľa – neoficiálny preklad ] je zaistiť, aby sa vyhovelo odseku 1.“
6.
Článok 7 smernice 95/46 sa zaoberá „kritériami na uzákonenie [kritériami zákonnosti – neoficiálny preklad ] spracovania údajov“. ( 4 ) Podľa uvedeného ustanovenia:
„Členské štáty zabezpečia, aby bolo možné osobné údaje spracovať, iba ak:
a)
osoba pracujúca s údajmi [dotknutá osoba – neoficiálny preklad ] poskytla svoj súhlas jednoznačne; alebo
b)
spracovanie je nevyhnutné pre výkon zmluvy, ktorej osoba pracujúca s údajmi [dotknutá osoba – neoficiálny preklad ] je zainteresovanou stranou, alebo aby sa vykonali opatrenia na požiadanie osoby pracujúcej s údajmi [dotknutej osoby – neoficiálny preklad ] pred uzatvorením zmluvy; …
…“
Nariadenie (EÚ) 2016/679
7.
Podľa článku 4 odsek 11 nariadenia (EÚ) 2016/679 ( 5 ) je pre účely tohto nariadenia „,súhlas‘ dotknutej osoby akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka“.
8.
Článok 6 ods. 1 písm. a) a b) uvedeného nariadenia je v tomto znení:
„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a)
dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
b)
spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy.“
9.
Článok 7 ods. 1 toho istého nariadenia uvádza, že „ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba udelila súhlas so spracúvaním svojich osobných údajov“.
Rumunské právo
10.
Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (zákon č. 677/2001 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ďalej len „zákon č. 677/2001“) ( 6 ) preberá ustanovenia smernice 95/46 do vnútroštátneho práva.
11.
Článok 32 tohto zákona uvádza:
„Spracúvanie osobných údajov prevádzkovateľom alebo ním poverenou osobou v rozpore s ustanoveniami článkov 4 až 10, alebo bez náležitého ohľadu na práva uvedené v článkoch 12 až 15, alebo článku 17 je správnym deliktom, okrem prípadu, že by došlo k jeho spáchaniu za takých okolností, že by takéto konanie malo znaky trestného činu, a potrestá sa pokutou vo výške od 10000000 starých lei [1000 rumunských lei (RON)] do 250000000 starých lei [25000 RON].“
Skutkový stav, konanie a prejudiciálne otázky
12.
Spoločnosť Orange România SA je poskytovateľom mobilných telekomunikačných služieb na rumunskom trhu a ponúka služby na základe systému „PrePay“ ( 7 ) a tiež aj na základe uzavretia zmluvy o poskytovaní služieb. ( 8 )
13.
Dňa 28. marca 2018 Autoritatea Nažională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Národný orgán dohľadu nad spracúvaním osobných údajov, Rumunsko, ďalej len „ANSPDCP“) vydal na základe článku 32 zákona č. 677/2001 v spojení s článkom 8 tohto zákona zápisnicu, ktorá obsahovala uloženie správnej sankcie spoločnosti Orange România z dôvodu, že kópie identifikačných dokladov jej zákazníkov uchovávala bez ich výslovného súhlasu.
14.
V tejto súvislosti ANSPDCP uviedol, že Orange România uzatvorila písomné zmluvy o poskytovaní mobilných telekomunikačných služieb s individuálnymi zákazníkmi v jej obchodných priestoroch a že k týmto zmluvám boli priložené kópie ich identifikačných dokladov. Tieto zmluvy obsahovali okrem iného vyhlásenie o tom, že zákazník bol informovaný a súhlasil so získavaním a uchovávaním (spoločnosťou Orange România) týchto kópií a že existencia súhlasu zákazníkov bola preukázaná začiarknutím políčok uvedených na písomnej dokumentácii, ktorá preukazuje uzavretie zmluvy.
15.
Príslušná časť predmetných zmlúv znie:
„Vyhlásenie zákazníka, že:
i)
bol pred uzatvorením zmluvy informovaný o zvolenom tarifnom pláne, o príslušných tarifách, o minimálnej dobe trvania zmluvy, o podmienkach ukončenia [zmluvy] a o podmienkach získania a využívania služieb, vrátane oblasti pokrytej službami, v súlade s článkom 11 rozhodnutia ANCOM [Národný úrad pre správu a reguláciu komunikácií] č. 158/2015 a s O. U. G. v [č.] 34/2014 (legislatívny dekrét č. 34/2104), a o svojom práve jednostranne ukončiť zmluvu, ktoré môže využiť podľa článku 1.17 všeobecných obchodných podmienok;
ii)
Orange România poskytla zákazníkovi všetky potrebné informácie, aby mohol vyjadriť svoj výslovný, slobodne daný a konkrétny súhlas bez akýchkoľvek vád s uzatvorením a výslovným prijatím zmluvných podmienok, vrátane všetkých zmluvných dokumentov, všeobecných obchodných podmienok a brožúry o tarifách a službách;
iii)
bol informovaný a súhlasil:
so spracúvaním osobných údajov na účely uvedené v článku 1.15 všeobecných obchodných podmienok,
s uchovávaním [spoločnosťou Orange] kópií dokumentov obsahujúcich osobné údaje na účely identifikácie,
s dohodou o spracúvaní osobných údajov (kontaktné číslo a e‑mail) na účely priameho marketingu,
s dohodou o spracúvaní osobných údajov (kontaktné číslo a e‑mail) na účely prieskumu trhu,
s tým, že si prečítal a výslovne súhlasil s uchovávaním dokumentov, ktoré obsahujú osobné údaje o zdravotnom stave,
s tým, že údaje uvedené v článku 1.15 ods. 10 všeobecných obchodných podmienok nie sú uvedené v informáciách o účastníkoch a ani v službách týkajúcich sa vedenia zoznamu účastníkov.“
16.
Podľa ANSPDCP Orange România nepreukázala, že zákazníci uskutočnili kvalifikovanú voľbu týkajúcu sa získavania a uchovávania kópií ich dokladov totožnosti.
17.
Orange România podala na vnútroštátny súd žalobu proti pokute z 28. marca 2018.
18.
Podľa zistení vnútroštátneho súdu existujú zmluvy, v ktorých je voľba zákazníka, pokiaľ ide o uchovávanie kópie jeho dokladu totožnosti, slobodne vyjadrená začiarknutím políčka, a naopak aj prípady, v ktorých zákazníci odmietli takýto súhlas udeliť. Z „interných postupov“ predaja platných v spoločnosti Orange România vyplýva, že v týchto prípadoch, kedy zákazník odmietol udeliť súhlas, Orange România uviedla potrebné informácie týkajúce sa odmietnutia udelenia súhlasu zo strany zákazníka s uchovávaním kópie dokladu totožnosti vyplnením osobitného formulára na tento účel a následne došlo k uzatvoreniu zmluvy. Teda napriek indikáciám uvedeným vo všeobecných obchodných podmienkach spoločnosti Orange România, táto neodmietla uzatvoriť účastnícke zmluvy so zákazníkmi, a to aj keď odmietli udeliť súhlas s uchovávaním kópie ich dokladu totožnosti.
19.
Vnútroštátny súd sa domnieva, že za týchto okolností je obzvlášť dôležité, aby Súdny dvor rozhodol o kritériách umožňujúcich určiť, či je súhlas „konkrétny“ a „informovaný“, a tam, kde to prichádza do úvahy, o dôkaznej hodnote podpísania zmlúv, akými sú tie, ktorých sa týka konanie vo veci samej.
20.
Za týchto podmienok Tribunalul Bucureşti (Krajský súd Bukurešť) rozhodnutím zo 14. novembra 2018, doručeným Súdnemu dvoru 29. januára 2019, položil tieto prejudiciálne otázky:
„1.
Aké podmienky musia byť v zmysle článku 2 písm. h) [smernice 95/46] splnené na to, aby sa prejav vôle mohol považovať za konkrétny a informovaný?
2.
Aké podmienky musia byť v zmysle článku 2 písm. h) [smernice 95/46] splnené na to, aby sa prejav vôle mohol považovať za slobodne daný?“
21.
Písomné pripomienky predložili účastníci konania vo veci samej, rumunská, talianska, rakúska a portugalská vláda a Európska komisia. Orange România, rumunská vláda a Európska komisia boli zastúpené na pojednávaní, ktoré sa konalo 11. decembra 2019.
Posúdenie
22.
V prejednávanej veci má Súdny dvor špecifikovať podmienky, na základe ktorých je možné súhlas so spracúvaním osobných údajov považovať za platný.
Úvodné poznámky
Príslušné právne nástroje
23.
Nariadenie 2016/679, ktoré sa uplatňuje od 25. mája 2018, ( 9 ) zrušilo smernicu 95/46, a to s účinnosťou od toho istého dňa. ( 10 )
24.
Rozhodnutie ANSPDCP, ktoré je predmetom konania vo veci samej, bolo prijaté 28. marca 2018, teda v deň, ktorý predchádza dňu, od ktorého sa uplatňuje nariadenie č. 2016/679. Napriek tomu ANSPDCP nielen uložila pokutu spoločnosti Orange România, ale tiež od nej žiadala zničiť kópie predmetných identifikačných dokladov. Spor vo veci samej sa tiež týka tejto žiadosti o zničenie kópií identifikačných dokladov. Toto rozhodnutie má účinky aj do budúcnosti, čo je dôvod, prečo sa toto nariadenie javí ako uplatniteľné z dôvodu ratione temporis .
25.
V dôsledku uvedeného by sa na prejudiciálne otázky malo odpovedať so zreteľom na znenie smernice 95/46, ako aj nariadenia 2016/679. ( 11 ) Okrem toho sa uvedené nariadenie bude musieť zohľadniť pri analýze ustanovení smernice 95/46. ( 12 )
Definícia rozsahu prejudiciálnych otázok
26.
Obe otázky položené vnútroštátnym súdom sú sformulované príliš všeobecne a abstraktne a je potrebné ich do určitej miery prispôsobiť tak, aby zodpovedali skutkovým okolnostiam konania vo veci samej, aby bolo možné usmerniť vnútroštátny súd, a poskytnúť mu užitočnú odpoveď na dané otázky. Na tento účel považujem za nevyhnutné stručne uviesť skutkové okolnosti sporu vo veci samej, ako vyplývajú z návrhu na začatie prejudiciálneho konania a z informácií poskytnutých účastníkmi konania, najmä na pojednávaní pred Súdnym dvorom.
27.
Národný orgán dohľadu nad spracúvaním osobných údajov v Rumunsku, ANSPDCP, sankcionoval Orange România za to, že získavala a uchovávala kópie dokladov totožnosti svojich zákazníkov bez ich súhlasu. Tento orgán konštatoval, že táto spoločnosť uzatvorila zmluvy o poskytovaní mobilných telekomunikačných služieb a že k nim boli pripojené kópie identifikačných dokladov. V týchto zmluvách malo byť uvedené, že zákazníci boli informovaní, a udelili ich súhlas so získavaním a uchovávaním týchto kópií, ako to preukazuje začiarknutie políčok zmluvných ustanovení. Podľa zistení ANSPDCP však Orange România nepredložila dôkaz o tom, že v čase uzatvorenia zmlúv dotknutí zákazníci uskutočnili informovanú voľbu, pokiaľ ide o získavanie a uchovávanie uvedených kópií.
28.
Keď zástupca spoločnosti Orange România poskytuje osobe, ktorá má záujem uzatvoriť zmluvný vzťah s touto spoločnosťou, informácie o ustanoveniach konkrétnej zmluvy, tento zástupca obvykle pracuje na počítači so vzorom zmluvy, ktorý obsahuje políčko určené na zaškrtnutie týkajúce sa uchovávania dokladu totožnosti. Zákazník sa týmto zdá byť informovaný, že toto políčko určené na zaškrtnutie nie je potrebné zaškrtnúť. Ak zákazník nesúhlasí so získavaním a uchovávaním svojho dokladu totožnosti, musí túto skutočnosť vlastnoručne napísať na zmluvu. Táto požiadavka týkajúca sa vlastnoručného písania podľa všetkého vyplýva z interných pravidiel predaja platných v spoločnosti Orange România. Okrem toho je zákazník informovaný, že môže odmietnuť udeliť takýto súhlas, ale len ústne, nie písomne.
29.
V tomto kontexte chápem obe otázky, ktoré je potrebné preskúmať spoločne tak, že ich cieľom je, aby vnútroštátny súd zistil, či dotknutá osoba, ktorá zamýšľa uzatvoriť zmluvný vzťah o poskytovaní telekomunikačných služieb s podnikom, udeľuje svoj „konkrétny a informovaný“ a „slobodne daný“ súhlas v zmysle článku 2 písm. h) smernice 95/46 a článku 4 odseku 11 nariadenia 2016/679 tomuto podniku v takom prípade, ak musí vlastnoručne napísať na inak štandardizovanú zmluvu, že odmieta udeliť súhlas so získavaním a uchovávaním jej dokladov totožnosti.
30.
V tejto súvislosti sa javí, že vnútroštátnemu súdu je potrebné poskytnúť usmernenie týkajúce sa dôkazného bremena a dôkaznej sily, ktoré má podnik preukázať.
Súhlas ako predpoklad spracúvania osobných údajov
31.
Táto vec sa týka spracúvania osobných údajov pri uzavretí zmluvy o poskytovaní telekomunikačných služieb.
32.
Každé spracúvanie osobných údajov musí byť v súlade ( 13 ) v prvom rade s princípmi týkajúcimi sa kvality údajov uvedenými v článku 6 smernice 95/46 alebo v článku 5 nariadenia 2016/679 a v druhom rade s jedným z kritérií, ktorými sa riadi zákonnosť spracúvania údajov uvedených v článku 7 tejto smernice alebo v článku 6 tohto nariadenia. ( 14 ) Ako poukazuje Komisia, šesť kritérií uvedených v článku 7 smernice 95/46 je v skutočnosti vyjadrením širšieho princípu uvedeného v článku 6 ods. 1 písm. a) tejto smernice, ktorý stanovuje, že osobné údaje musia byť spracúvané spravodlivo a zákonne.
33.
Článok 7 smernice 95/46 stanovuje taxatívny zoznam prípadov, v ktorých možno považovať spracúvanie osobných údajov za zákonné. ( 15 ) Spracúvanie osobných údajov sa môže uskutočniť iba pri uplatnení aspoň jedného zo šiestich kritérií týkajúcich sa zákonnosti spracúvania údajov. Jedným z týchto kritérií je existencia jednoznačného súhlasu dotknutej osoby.
Pojem súhlasu
34.
Súhlas dotknutej osoby je naopak definovaný v článku 2 písm. h) smernice 95/46 ako slobodne daný a informovaný prejav vôle dotknutej osoby, ktorým dotknutá osoba prejaví súhlas so spracúvaním osobných údajov, ktoré sa jej týkajú.
35.
Toto znenie do veľkej miery zodpovedá ( 16 ) zneniu článku 4 ods. 11 nariadenia 2016/679, podľa ktorého je súhlas dotknutej osoby akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia, alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týkajú. ( 17 )
36.
Požiadavka súhlasu dotknutej osoby je ústrednou črtou právnych predpisov EÚ týkajúcich sa ochrany údajov. ( 18 ) Nachádza sa v Charte základných práv Európskej únie, v ktorej je v článku 8 uvedené, že údaje musia byť riadne spracovávané na určené účely na základe súhlasu dotknutej osoby, alebo na inom oprávnenom základe ustanovenom zákonom. V širšom kontexte pojem súhlasu umožňuje dotknutej osobe, aby sama rozhodla o zákonnosti obmedzení svojho práva na ochranu osobných údajov. ( 19 )
37.
Hlavnou zásadou, ktorá je základom právnych predpisov EÚ o ochrane údajov, je sloboda rozhodovania jednotlivca, ktorý má možnosť voľby pri rozhodovaní o použití a spracúvaní svojich údajov. ( 20 ) Je to požiadavka súhlasu, ktorá mu umožňuje takúto voľbu uskutočniť a ktorá ho zároveň chráni v situáciách, ktoré sú vo svojej samotnej povahe rozmanité. ( 21 ) Iba slobodne daný, konkrétny a informovaný súhlas spĺňa požiadavky smernice 95/46 a nariadenia 2016/679.
38.
V tomto štádiu je potrebné uviesť tri ďalšie krátke poznámky o zjavne rozdielnom znení týchto ustanovení.
39.
Po prvé článok 4 ods. 11 nariadenia 2016/679, na rozdiel od článku 2 písm. h) smernice 95/46, hovorí o „jednoznačnom“ prejave. Poukázal by som na to, že dôvod, prečo je to tak, je viac‑menej jednoduchý: Článok 7 písm. a) tejto smernice týkajúci sa kritérií zákonnosti spracúvania údajov, o ktorom som sa už zmienil vyššie, vyžaduje, aby dotknutá osoba „jednoznačne“ udelila svoj súhlas, zatiaľ čo zodpovedajúce ustanovenie nariadenia 2016/679 – článok 6 ods. 1 písm. a) – takúto špecifikáciu neobsahuje. Inými slovami, toto kritérium jednoznačného prejavu bolo jednoducho presunuté do všeobecnejšieho ustanovenia nariadenia 2016/679.
40.
Po druhé článok 4 ods. 11 nariadenia 2016/679 špecifikuje, že dotknutá osoba ho vyjadruje „formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu“. Toto objasnenie je samozrejme nové v nariadení a v smernici 95/46 nemá svoje sémantické odzrkadlenie.
41.
Po tretie, pokiaľ ide o „informovaný“ charakter súhlasu dotknutej osoby, francúzske jazykové znenie smernice 95/46 sa odlišuje od znenia nariadenia 2016/679. Zatiaľ čo sa totiž v článku 2 písm. h) tejto smernice uvádza „manifestation de volonté… informée“, článok 4 ods. 11 uvedeného nariadenia hovorí o „manifestation de volonté… eclairée“.
42.
Dovolil by som si tvrdiť, že táto zmena znenia pôsobí skôr zmätočne, než by niečo objasňovala, pretože na základe toho, ako tomu rozumiem ja, francúzska jazyková verzia je jediná alebo prinajmenšom jednou z veľmi mála jazykových verzií, ktoré obsahujú takéto rozlíšenie. Viaceré jazykové verzie, medzi nimi mimochodom iné románske jazyky, totiž v tejto súvislosti jednoducho používajú rovnaké pojmy, ( 22 ) zatiaľ čo iné jazykové verzie sa v tomto bode môžu mierne líšiť, ale stále nedosahujú takú úroveň odlišnosti, ako je uvedené vo francúzskej jazykovej verzii. ( 23 )
43.
K pojmu „informovaného“ súhlasu sa vrátim neskôr.
Slobodne daný súhlas
44.
Požiadavka „prejavu“ vôle dotknutej osoby jasne poukazuje skôr na aktívne ako pasívne správanie ( 24 ) a vyžaduje, aby dotknutá osoba mala pri výbere, či udelí alebo neudelí súhlas, vysoký stupeň autonómie. ( 25 ) Pokiaľ ide o osobitnú situáciu on‑line lotérie na webovej stránke, Súdny dvor konštatoval, že súhlas udelený formou vopred zaškrtnutého políčka určeného na zaškrtnutie nepredstavuje aktívne správanie používateľa webovej stránky. ( 26 )
45.
Domnievam sa, že takéto zistenie sa rovnakým spôsobom uplatní aj v analógovom svete: súhlas formou vopred zaškrtnutého políčka určeného na zaškrtnutie nemôže predstavovať aktívne udelenie súhlasu osoby, ktorej je preložený hmotný dokument, ktorý napokon podpíše. V takejto situácii totiž nie je známe, či došlo k prečítaniu a pochopeniu predmetného vopred sformulovaného textu. Takáto situácia nie je jednoznačná. Text mohol, ale nemusel byť prečítaný. „Čitateľ“ ho mohol vynechať vyložene len z nedbanlivosti, čím sa znemožní jednoznačne určiť, či súhlas bol daný slobodne. ( 27 )
Informovaný súhlas
46.
Nesmie existovať priestor pre akékoľvek pochybnosti o tom, že by dotknutá osoba nebola dostatočne informovaná. ( 28 )
47.
Dotknutá osoba musí byť informovaná o všetkých okolnostiach súvisiacich so spracúvaním údajov a o jeho dôsledkoch. Musí najmä vedieť, aké údaje sa budú spracovávať, trvanie takéhoto spracúvania, jeho spôsob a konkrétny účel. Musí tiež vedieť, kto spracúva údaje a či sú tieto údaje určené na prenos tretím stranám. Je dôležité, aby bola informovaná o dôsledkoch odmietnutia udelenia súhlasu: Je súhlas so spracúvaním údajov podmienkou pre uzavretie zmluvy alebo nie? ( 29 )
Dôkazné bremeno
48.
Zostáva nám teda otázka, kto je povinný preukázať, že dotknutá osoba bola v takej situácii, že mohla udeliť svoj súhlas na základe kritérií, ktoré boli práve stanovené.
49.
Článok 7 ods. 1 nariadenia 2016/679 je jasný a neponecháva priestor pre akékoľvek pochybnosti: pri spracúvaní založenom na súhlase, je na prevádzkovateľovi, aby preukázal, že dotknutá osoba súhlasila so spracúvaním svojich údajov. ( 30 ) Toto ustanovenie predstavuje špecifikáciu zásady zodpovednosti zakotvenej v článku 5 ods. 2 nariadenia 2016/679. Podľa môjho názoru si účel tohto ustanovenia vyžaduje široký výklad v tom zmysle, že prevádzkovateľ musí nielen preukázať, že dotknutá osoba udelila svoj súhlas, ale musí tiež preukázať, že všetky podmienky na nadobudnutie účinnosti boli splnené. ( 31 )
50.
Niektorí autori majú pochybnosti o tom, že článok 7 ods. 1 nariadenia 2016/679 sa týka dôkazného bremena, pričom poukazujú na históriu tohto nariadenia. ( 32 ) Existujú tvrdenia, že zatiaľ čo Komisia aj Parlament navrhli znenie, ktoré výslovne hovorilo o „dôkaznom bremene“, takéto znenie sa nenachádza v prijatom texte, a teda nie je ani súčasťou práva ako takého.
51.
Toto tvrdenie si zaslúži podrobnejšiu analýzu.
52.
Prvý návrh ( 33 ) Komisie sa naozaj zmieňuje o „dôkaznom bremene“, ktoré nesie prevádzkovateľ. V rovnakom duchu Parlament v prvom čítaní ( 34 ) toto znenie nevidel ako problematické. Bola to Rada ( 35 ), ktorá nahradila slovné spojenie „dôkazné bremeno“ slovným spojením „musí vedieť preukázať“ vo vzťahu k prevádzkovateľovi. Následne bolo konečné znenie prijaté v takejto forme.
53.
Tejto zmene znenia by som nepripisoval príliš veľký význam. ( 36 ) Rada v odôvodneniach svojej pozície neuvádza dôvody navrhovanej zmeny znenia. ( 37 ) Toto naznačuje, že táto inštitúcia sa snažila iba zmeniť znenie dotknutého ustanovenia bez toho, aby zmenila jeho význam. Z tohto hľadiska slovné spojenie „musí vedieť preukázať“ v podstate prijateľnejším spôsobom opisuje to, čo sa myslí pod pojmom „dôkazné bremeno“ ( 38 ).
54.
Môžeme preto bezpečne predpokladať, že článok 7 ods. 1 nariadenia 2016/679 ukladá, aby dôkazné bremeno týkajúce sa súhlasu dotknutej osoby so spracúvaním osobných údajov, znášal prevádzkovateľ. ( 39 ) Akékoľvek pochybnosti týkajúce sa udelenia súhlasu zo strany dotknutej osoby musí odstrániť prevádzkovateľ prostredníctvom dôkazov, ktoré predloží. ( 40 ) Dôkazné bremeno o tom, že dotknutá osoba bola v takej situácii, ktorá jej umožňuje poskytnúť slobodne daný, konkrétny a informovaný súhlas, spočíva priamo na subjekte, ktorý uskutočňuje spracúvanie.
55.
Právna situácia podľa smernice 95/46 nie je v tomto ohľade odlišná.
56.
Ak by aj smernica 95/46 neobsahovala osobitné ustanovenie porovnateľné s článkom 7 nariadenia 2016/679 o podmienkach udelenia súhlasu, väčšinu podmienok uvedených v danom článku je možné nájsť v uvedenej smernici. Aj keď pravidlo dôkazného bremena nie je výslovne uvedené v tejto smernici, prinajmenšom nepriamo vyplýva z ustanovenia, ( 41 ) podľa ktorého „dotknutá osoba jednoznačne udelila svoj súhlas“ ( 42 ).
Situácia v spoločnosti Orange România
57.
Tieto kritériá by som chcel teraz uplatniť v prejednávanej veci.
58.
Na úvod by som rád uviedol, že otázka, či Orange România môže alebo nemôže vyžadovať od svojich zákazníkov, aby udelili súhlas so získavaním a uchovávaním ich dokladov totožnosti, nepatrí do rozsahu prejednávanej veci, keďže pre tento podnik to nie je predpokladom na uzavretie zmluvy. Inak povedané, prejednávaná vec sa netýka výkladu článku 7 písm. b) smernice 95/46 a článku 6 ods. 1 písm. b) nariadenia 2016/679. Napriek uvedenému sa mi javí ako legitímne, aby firma žiadala zákazníkov, aby poskytli určité osobné údaje, a najmä, aby preukázali svoju totožnosť na účely uzavretia zmluvy. Naproti tomu požadovať od zákazníka, aby súhlasil so získavaním a uchovávaním dokladov totožnosti, ide nad rámec toho, čo je nevyhnutné na splnenie zmluvy.
59.
Na základe dostupných informácií sa mi javí, že zákazníci spoločnosti Orange România neudeľujú svoj slobodný, konkrétny a informovaný súhlas za okolností opísaných vnútroštátnym súdom.
60.
Po prvé súhlas nie je slobodne daný. Skutočnosť, že zákazník je povinný vlastnoručne napísať, že nesúhlasí so získavaním a uchovávaním svojho dokladu totožnosti, neumožňuje udeliť svoj súhlas slobodne v tom zmysle, že zákazník sa ocitne v situácii, v ktorej sa citeľne odchyľuje od bežného postupu smerujúceho k uzavretiu zmluvy. Zákazníci v tejto súvislosti nesmú mať pocit, že ich odmietnutie udeliť súhlas so získavaním a uchovávaním ich dokladov totožnosti nie je v súlade s bežnými postupmi. V tejto súvislosti by som chcel pripomenúť, že Súdny dvor kládol dôraz na aktívne správanie dotknutej osoby s cieľom udelenia jej súhlasu. ( 43 ) Na udelenie súhlasu sa teda vyžaduje pozitívny úkon dotknutej osoby. V danom prípade sa však zdá, že nastane opačná situácia: na odmietnutie udelenia súhlasu je potrebné vykonať pozitívny úkon. Pokiaľ sa znovu vrátime k rozsudku vo veci Planet49 ( 44 ), ak sa zrušenie zaškrtnutia vopred zaškrtnutého políčka určeného na zaškrtnutie, ktoré je umiestnené na webovej stránke, považuje za príliš veľkú záťaž pre zákazníka, potom nemožno a fortiori od zákazníka odôvodnene požadovať, aby odmietol udeliť svoj súhlas tým, že takéto odmietnutie napíše vlastnoručne.
61.
Po druhé súhlas nie je informovaný. Zákazníkovi nie je jednoznačne vysvetlené, že odmietnutie udelenia súhlasu so získavaním a uchovávaním jeho dokladu totožnosti neznemožní uzavretie zmluvy. Pokiaľ zákazník nemá vedomosť o dôsledkoch, nemôže uskutočniť voľbu informovaným spôsobom.
62.
Po tretie – a iba hypoteticky – nič nenasvedčuje tomu, že sa spoločnosti Orange România podarilo preukázať, že zákazníci súhlasili so spracúvaním svojich osobných údajov. Z tohto hľadiska zreteľná nejasnosť interných postupov určite neprispieva k preukázaniu skutočnosti, že zákazník súhlas udelil. Takáto nejasnosť a protichodnosť pokynov adresovaných zamestnancom povereným predajom samozrejme nemôže byť na ujmu zákazníkovi, in casu dotknutej osobe.
Návrh
63.
Vzhľadom na vyššie uvedené úvahy navrhujem, aby Súdny dvor odpovedal na otázky, ktoré položil Tribunalul Bucureşti (Krajský súd Bukurešť), takto:
Dotknutá osoba, ktorá má v úmysle uzavrieť zmluvný vzťah na poskytovanie telekomunikačných služieb s podnikom, neudelí súhlas, t. j. neprejaví svoju konkrétnu a informovanú a slobodne danú vôľu, v zmysle článku 2 písm. h) smernice Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov a článku 4 ods. 11 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), danému podniku, keď sa od nej vyžaduje, aby vlastnoručne napísala na štandardizovanú zmluvu, že odmieta udeliť súhlas so získavaním a uchovávaním jej dokladov totožnosti.
( 1 ) Jazyk prednesu: angličtina.
( 2 ) Smernica Európskeho parlamentu a Rady z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES L 281, 1995, s. 31 ).
( 3 ) Článok 6 je jediným článkom oddielu I kapitoly II smernice 95/46.
( 4 ) Článok 7 je jediným článkom oddielu II kapitoly II smernice 95/46.
( 5 ) Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 ).
( 6 ) Monitorul Oficial al României , Partea I, č. 790, z 12. decembra 2001.
( 7 ) V takom prípade príjemca služieb vopred uhradí cenu za poskytované služby.
( 8 ) V takom prípade je cena za služby poskytované spoločnosťou zaplatená príjemcom služieb po tom, ako boli poskytnuté, na základe vystavených faktúr.
( 9 ) Podľa článku 99 ods. 2 nariadenia 2016/679.
( 10 ) Pozri článok 94 ods. 1 nariadenia 2016/679.
( 11 ) Pozri rozsudok z 1. októbra 2019, Planet49 ( C‑673/17 , EU:C:2019:801 , body 38 až 43 ), pokiaľ ide o podobný prístup v porovnateľnej situácii a moje návrhy v tej istej veci ( C‑673/17 , EU:C:2019:246 , body 44 až 49 ). Pozri tiež rozsudok z 11. decembra 2018, Weiss a i. ( C‑493/17 , EU:C:2018:1000 , bod 39 ).
( 12 ) Pozri rozsudok z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje) ( C‑136/17 , EU:C:2019:773 , bod 33 ).
( 13 ) Samozrejme, s výnimkami a obmedzeniami uvedenými v článku 13 smernice 95/46 a článku 23 nariadenia 2016/679.
( 14 ) Pozri rozsudok zo 16. januára 2019, Deutsche Post ( C‑496/17 , EU:C:2019:26 , bod 57 ). Pozri tiež rozsudky z 13. mája 2014, Google Spain a Google ( C‑131/12 , EU:C:2014:317 , bod 71 a citovaná judikatúra), a z 11. decembra 2019, Asociažia de Proprietari bloc M5A‑ScaraA ( C‑708/18 , EU:C:2019:1064 , bod 36 ).
( 15 ) Pozri rozsudky z 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito ( C‑468/10 a C‑469/10 , EU:C:2011:777 , bod 30 ); z 19. októbra 2016, Breyer ( C‑582/14 , EU:C:2016:779 , bod 57 ), a z 1. októbra 2019, Planet49 ( C‑673/17 , EU:C:2019:801 , bod 53 ).
( 16 ) Pozri tiež BYGRAVE, L. A., TOSONI, L. In: KUNER, Ch., BYGRAVE, L. A., DOCKSEY, Ch. (eds.): The EU General Data Protection Regulation (GDPR) . Oxford: OUP, 2020, článok 4 ods. 11, C.1., s. 181.
( 17 ) Je zrejmé, že tieto kritériá sú prirodzene kumulatívne, čo znamená, že pre platné udelenie súhlasu je potrebné splniť vysoko stanovené kritérium, pozri BYGRAVE, L. A., TOSONI, L. In: KUNER, Ch., BYGRAVE, L. A., DOCKSEY, Ch. (eds.): The EU General Data Protection Regulation (GDPR) . Oxford: OUP, 2020, článok 4 ods. 11, C.1., s. 181.
( 18 ) Pozri moje návrhy vo veci Planet49 ( C‑673/17 , EU:C:2019:246 , bod 57 a nasl.). Pozri tiež HECKMANN, D. & PASCHKE, A. In: EHMANN, E., SELMAYR, M. (Hrsgb.): Datenschutz‑Grundverordnung, Kommentar . München: C.H. Beck, 2018, 2. vydanie, článok 7, bod 9: „kľúčový základný kameň ochrany údajov“.
( 19 ) Pozri v tomto zmysle BUCHNER, B.: Informationelle Selbstbestimmung im Privatrecht . Tübingen: Mohr Siebeck, 2006, s. 232, ktorý sa odvoláva na právo na informačné sebaurčenie v tomto kontexte (ako ho rozvinul nemecký Ústavný súd od rozsudku z 15. decembra 1983, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfG 65,1).
( 20 ) Pozri tiež KLEMENT, J. H. In: SIMITIS, S., HORNUNG, G., SPIEKER, I. gen. DÖHMANN, I. (Hrsgb.): Datenschutzrecht . Baden‑Baden: Nomos, 2019, článok 7, bod 1, ktorý zdôrazňuje, že v právnom poriadku založenom na podpore a snahe o dosiahnutie dôstojnosti, individuálnej slobody a zodpovednosti, spracúvanie osobných údajov musí byť legitimizované slobodným rozhodnutím dotknutej osoby.
( 21 ) Pozri okrem iného odôvodnenie 43 nariadenia 2016/679, ktoré sa týka situácií, v ktorých „medzi postavením dotknutej osoby a prevádzkovateľa“ môže existovať „jednoznačný nepomer“.
( 22 ) Pozri napríklad španielsku („manifestación de voluntad… informada“), portugalskú („manifestação de vontade… informada“), rumunskú („manifestare de voință… informată“), dánsku („informeret viljetilkendegivelse“), švédsku („informerad viljeyttring“) and maltskú („infurmata“) jazykovú verziu.
( 23 ) Pozri napríklad holandskú („op informatie berustende wilsuiting“ v smernici a „geïnformeerde wilsuiting“ v nariadení), poľskú („świadome… wskazanie“ v smernici a „świadome… okazanie woli“ v nariadení) a nemeckú („Willensbekundung, die… in Kenntnis der Sachlage erfolgt“ v smernici a „in informierter Weise… abgegebene Willensbekundung“ v nariadení) jazykovú verziu.
( 24 ) Pozri rozsudok z 1. októbra 2019, Planet49 ( C‑673/17 , EU:C:2019:801 , bod 52 ).
( 25 ) Pozri BYGRAVE, L. A., TOSONI, L. In: KUNER, Ch., BYGRAVE, L. A., DOCKSEY, Ch. (eds.): The EU General Data Protection Regulation (GDPR) . Oxford: OUP, 2020, článok 4 ods. 11, C.1., s. 182.
( 26 ) Tamže.
( 27 ) Pozri analogicky moje návrhy, ktoré som predniesol vo veci Planet49 ( C‑673/17 , EU:C:2019:246 , bod 62 ). Pozri tiež rozsudok z 1. októbra 2019, Planet49 ( C‑673/17 , EU:C:2019:801 , bod 55 ).
( 28 ) Informovaný súhlas je v konečnom dôsledku zakorenený v zásade transparentnosti, ktorá je zakotvená v článku 5 ods. 1 písm. a) nariadenia 2016/679, pozri BYGRAVE, L. A., TOSONI, L. In: KUNER, Ch., BYGRAVE, L. A., DOKSEY, Ch. (eds.): The EU General Data Protection Regulation (GDPR) . Oxford: OUP, 2020, článok 4 ods. 11, C.4., s. 184.
( 29 ) Podľa niektorých autorov katalóg informácií uvedený v článkoch 10 a 11 smernice 95/46 nie je taxatívny, takže prevádzkovateľ môže dotknutej osobe poskytnúť aj ďalšie relevantné informácie o podmienkach používania osobných údajov. Pozri napríklad MEDNIS, A.: Cechy zgody na przetwarzanie danych osobowych w Opinionii Grupy Roboczej Art. 29 dyrektywy 95/46. In: Monitor Prawniczy (dodatek). 2012, č. 7, s. 27.
( 30 ) Podľa tohto ustanovenia prevádzkovateľ zodpovedá a má byť schopný preukázať, že osobné údaje týkajúce sa dotknutej osoby sú spracúvané zákonným spôsobom, spravodlivo a transparentne.
( 31 ) Pozri v tomto zmysle tiež STEMMER, B. In: BRINK, S, WOLFF, H. A.: Beck'scher Onlinekommentar Datenschutzrecht . München: C.H. Beck, 30. vydanie, stav k 1. novembru 2019, článok 7 DSGVO, bod 87, a BUCHNER, J., KÜHLING, B. In: BUCHNER, J., BUCHNER, B. (Hrsgb.): Datenschutz‑Grundverordnung/BDSG, Kommentar . München: C.H. Beck, 2. vydanie, 2018, článok 7 DS‑GVO, bod 22.
( 32 ) Pozri KLEMENT, J. H. In: SIMITIS, S., HORNUNG, G., SPIEKER, I. gen. DÖHMANN (Hrsgb.): Datenschutzrecht . Baden‑Baden: Nomos, 2019, článok 7, bod 46.
( 33 ) V pôvodnom návrhu Komisie mal článok 7 ods. 1 takéto znenie: „Dôkazné bremeno, že dotknutá osoba vyjadrila súhlas so spracovaním svojich osobných údajov na určené účely, znáša prevádzkovateľ“. Pozri návrh nariadenia Európskeho parlamentu a Rady o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov), COM(2012) 11 final, s. 45.
( 34 ) Parlament v prvom čítaní nenavrhol zmeniť znenie článku 7 ods. 1, pokiaľ ide o slovné spojenie „dôkazné bremeno“. Uspokojil sa iba s tým, že uviedol, že článok 7 ods. 1 sa týka situácie, v ktorej je spracúvanie založené na súhlase. Pozri legislatívne uznesenie Európskeho parlamentu z 12. marca 2014 o návrhu nariadenia Európskeho parlamentu a Rady o ochrane fyzických osôb pri spracúvaní osobných údajov a voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov) COM(2012) 11 ( Ú. v. EÚ C 378, 2017, s. 399 , 428).
( 35 ) „Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.“ Pozri Pozíciu Rady (EÚ) č. 6/2016 v prvom čítaní s cieľom prijať nariadenie Európskeho parlamentu a Rady o ochrane fyzických osôb pri spracúvaní osobných údajov a voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), prijatú Radou 8. apríla 2016 ( Ú. v. EÚ C 159, 2016, s. 1 ), s. 36.
( 36 ) Pozri v tomto zmysle tiež KOSTA, E. In: KUNER, Ch., BYGRAVE, L. A., DOKSEY, Ch. (eds.): The EU General Data Protection Regulation (GDPR) . Oxford: OUP, 2020, článok 7, C.2., s. 349 – 350.
( 37 ) Pozri najmä odôvodnenia 42 a 43, ktoré obsahujú zdôvodnenie článku 7.
( 38 ) Zaujímavé koncepčné vysvetlenie dôvodu, prečo nesie dôkazné bremeno prevádzkovateľ, uvádza BUCHNER, B.: Informationelle Selbestimmung im Privatrecht . Tübingen: Mohr Siebeck, 2006, s. 243 – 245, ktorý toto analogicky spája so situáciou, podľa vnútroštátneho práva, týkajúcou sa zodpovednosti lekárov, kedy dôkazné bremeno znášajú tiež tí, ktorí obmedzujú predmetné právo.
( 39 ) Toto je naviac prevažujúci názor v právnickej literatúre, pozri KLABUNDE, A. In: EHMANN, E., SELMAYR, M. (Hrsgb.): Datenschutz‑Grundverordnung, Kommentar . München: C.H. Beck, 2. vydanie, 2018, článok 4, bod 52; STEMMER, B. In: BRINK, S., WOLFF, H. A.: Beck'scher Onlinekommentar Datenschutzrecht . München: C.H. Beck, 30. vydanie, stav k 1. novembru 2019, článok 7 DSGVO, bod 87; BUCHNER, J., KÜHLING, B. In: BUCHNER, J., KÜHLING, B. (Hrsgb.): Datenschutz‑Grundverordnung/BDSG, Kommentar . München: C.H. Beck, 2. vydanie, 2018, článok 7 DS‑GVO, bod 22, a BARTA, P., KAWECKI, M. In: LITWIŃSKI (ed.): Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych . Komentarz . Warszawa: C.H. Beck, 2018, článok 7 nariadenia, bod 1.
( 40 ) Pozri tiež v tomto zmysle HECKMANN, D., PASCHKE, A. In: EHMANN, E., SELMAYR, M. (Hrsgb.): Datenschutz‑Grundverordnung , Kommentar . München: C.H. Beck, 2. vydanie, 2018, článok 7, bod 72.
( 41 ) Pozri článok 7 písm. a) smernice 95/46. Kurzívou zvýraznil generálny advokát.
( 42 ) Pozri v tomto zmysle okrem mnohých iných aj BUCHNER, J., KÜHLING, B. In: BUCHNER, B., KÜHLING, B. (Hrsgb.): Datenschutz‑Grundverordnung/BDSG, Kommentar . München: C.H. Beck, 2. vydanie, 2018, článok 7 DS‑GVO, body 5 a 22.
( 43 ) Pozri rozsudok z 1. októbra 2019, Planet49 ( C‑673/17 , EU:C:2019:801 , bod 54 ).
( ) Pozri rozsudok z 1. októbra 2019, Planet49 ( C‑673/17 , EU:C:2019:801 ).