1.

В основата на настоящото преюдициално запитване, отправено от Tribunalul Bucureşti (Градски съд Букурещ, Румъния), е спор между доставчик на далекосъобщителни услуги и национален орган за защита на данните във връзка със задълженията на първия в контекста на преговори за сключване на договор с клиент, когато се копира и се съхранява копие от карта за самоличност.

2.

Запитването предоставя на Съда възможност да изясни в по-голяма степен понятието „съгласие“ на субекта на данни, което е основно за правото на Съюза в областта на защитата на данните и което в крайна сметка произтича от основното право на защита на данните. Във връзка с това Съдът следва да разгледа и въпроса за доказателствената тежест, що се отнася до това дали субектът на данни е дал или не съгласие.

Правна уредба

Право на Съюза

Директива 95/46/ЕО

3.

Съгласно член 2, буква з) от Директива 95/46/ЕО ( 2 ) за целите на тази директива „съгласие на съответното физическо лице“ означава всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него“.

4.

Глава II от тази директива съдържа общите правила за законосъобразност на обработването на лични данни.

5.

Член 6 от същата директива за „[п]ринципи[те], отнасящи се до качеството на данните“ ( 3 ), гласи следното:

6.

Член 7 от Директива 95/46 установява „[к]ритерии за законосъобразност на обработването на лични данни“ ( 4 ). Съгласно посочената разпоредба:

Регламент (ЕС) 2016/679

7.

Съгласно член 4, параграф 11 от Регламент (ЕС) 2016/679 ( 5 ) за целите на този регламент „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени“.

8.

Член 6, параграф 1, букви а) и б) от този регламент гласят следното:

9.

Член 7, параграф 1 от същия регламент гласи, че „[к]огато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни“.

Румънското право

10.

Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulaţie a acestor date (Закон № 677/2001 за защита на лицата при обработването на личните данни и за свободното движение на тези данни, наричан по-нататък „Закон № 677/2001“) ( 6 ) транспонира разпоредбите на Директива 95/46 в националното право.

11.

Член 32 от този закон гласи следното:

Факти, производство и преюдициални въпроси

12.

Orange România SA е доставчик на мобилни далекосъобщителни услуги на румънския пазар, който предлага тези услуги или в системата PrePay ( 7 ), или чрез сключване на договори за предоставяне на услугите ( 8 ).

13.

На 28 март 2018 г., на основание член 32 от Закон № 677/2001 във връзка с член 8 от същия закон Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Национален орган за надзор върху обработването на лични данни, Румъния, наричан по-нататък „ANSPDCP“) изготвя констативен протокол, с който на Orange România е наложена административна санкция глоба с мотива, че събирането и съхраняването на копия от документите за самоличност на клиентите се извършва без изричното съгласие на последните.

14.

В това отношение ANSPDCP отбелязва, че Orange România е сключило в офиса си договори на хартиен носител за мобилни далекосъобщителни услуги с клиенти — физически лица, като към тези договори са приложени копия на документите за самоличност на съответните клиенти. Тези договори съдържат по-специално отбелязване, че съответните клиенти са информирани и са изразили съгласието си Orange România да задържи и съхранява тези копия, като съгласието на клиентите е установено с отметка в документите, удостоверяващи сключването на договорите.

15.

Съответните клаузи от въпросните договори гласят следното:

–

„Клиентът заявява, че:

16.

Според ANSPDCP Orange România не е доказало, че клиентите са направили информиран избор относно събирането и съхраняването на копията от техните документи за самоличност.

17.

Orange România обжалва глобата от 28 март 2018 г. пред запитващата юрисдикция.

18.

Съгласно констатациите на запитващата юрисдикция съществуват договори, при които свободно изразеният от клиента избор за задържане на копие от документа за самоличност е отбелязан с отметка в съответното поле, както и обратни случаи, в които клиентите са отказали да дадат такова съгласие. Видно от „вътрешната процедура“ за продажби на Orange România, в такива случаи дружеството прави необходимото отбелязване, че клиентът отказва задържане на копие от документа за самоличност, като за целта се попълва специален формуляр и след това се сключва договорът. Следователно въпреки предвиденото в общите условия на Orange România дружеството не е отказвало на клиентите сключване на абонаментни договори дори при отказ да дадат съгласие за задържане на копие от личната им карта.

19.

Запитващата юрисдикция счита, че при тези условия е особено важно Съдът да се произнесе относно критериите, съгласно които може да се установи дали едно съгласие е „конкретно“ и „информирано“, и доколкото е целесъобразно, относно доказателствената стойност на подписването на договори като разглежданите в главното производство.

20.

При тези обстоятелства, с определение от 14 ноември 2018 г., постъпило в Съда на 29 януари 2019 г., Tribunalul Bucureşti (Градски съд Букурещ) поставя следните преюдициални въпроси:

21.

Писмени становища представят страните в главното производство, румънското, италианското, австрийското и португалското правителство, както и Европейската комисия. Orange România, румънското правителство и Европейската комисия са представлявани в съдебното заседание, проведено на 11 декември 2019 г.

Преценка

22.

В настоящия случай от Съда се иска да уточни условията, при които съгласието за обработване на лични данни може да се счита за валидно.

Предварителни бележки

По приложимите правни актове

23.

Регламент 2016/679, който се прилага от 25 май 2018 г. ( 9 ), отменя Директива 95/46, считано от същата дата ( 10 ).

24.

Разглежданото в главното производство решение на ANSPDCP е прието на 28 март 2018 г., преди датата, от която се прилага Регламент № 2016/679. ANSPDCP обаче не само налага глоба на Orange România, но и изисква от него да унищожи копията на въпросните документи за самоличност. Спорът в главното производство се отнася и до последното разпореждане. Разпореждането произвежда действие за в бъдеще, поради което този регламент се оказва приложим ratione temporis.

25.

Ето защо на поставените въпроси следва да се отговори както с оглед на Директива 95/46, така и с оглед на Регламент 2016/679 ( 11 ). Освен това регламентът трябва да се вземе предвид при анализа на разпоредбите на Директива 95/46 ( 12 ).

Определяне на обхвата на преюдициалните въпроси

26.

Поставените от запитващата юрисдикция два въпроса са формулирани твърде общо и абстрактно и трябва да бъдат в известна степен адаптирани, така че да се свържат с фактите в главното производство, за да се насочи запитващата юрисдикция и да ѝ се даде полезен отговор. За тази цел ми се струва необходимо да припомня накратко фактите по спора в главното производство, изведени от акта за преюдициално запитване и от сведенията, предоставени от страните по спора, по-специално в съдебното заседание пред Съда.

27.

Националният орган за защита на данните в Румъния, ANSPDCP, налага санкция на Orange România, заради това че е събирало и съхранявало копия от документите за самоличност на своите клиенти без тяхно съгласие. Този орган констатира, че дружеството е сключило договори за предоставяне на мобилни далекосъобщителни услуги и че към тях са приложени копия от документи за самоличност. Твърди се, че съгласно тези договори клиентите са информирани и са дали съгласието си за събирането и съхраняването на тези копия, което се удостоверявало от отбелязването с отметка в текста на договорите. ANSPDCP обаче констатира, че Orange România не е доказало, че към момента на сключване на договорите съответните клиенти са имали възможност да направят информиран избор относно събирането и съхраняването на тези копия.

28.

Когато представител на Orange România разяснява клаузите на конкретен договор на лице, желаещо да встъпи в договорни отношения с това дружество, този представител обикновено работи на компютър с образец на договор, който съдържа поле за отметка относно съхранението на документ за самоличност. Изглежда, че клиентът се уведомява, че не е необходимо да поставя отметка в съответното поле. Ако клиентът не е съгласен да бъде направено и запазено фотокопие на документа му за самоличност, той трябва да впише това на ръка в договора. Това изискване за вписване на ръка явно произтича от вътрешните правила за продажбите на Orange România. Освен това клиентът се информира само устно, а не в писмена форма, че може да откаже.

29.

В този контекст тълкувам двата въпроса, които следва да се разгледат заедно, в смисъл, че запитващата юрисдикция иска да се установи дали субектът на данни, който възнамерява да встъпи в договорно правоотношение с предприятие за предоставянето на мобилни далекосъобщителни услуги, дава на това предприятие своето „конкретно и информирано“ и „свободно изразено“ съгласие по смисъла на член 2, буква з) от Директива 95/46, при положение че трябва да декларира, записвайки на ръка в иначе стандартизиран договор, че отказва да даде съгласие за фотокопиране и съхраняване на неговите документи за самоличност.

30.

В това отношение запитващата юрисдикция се нуждае от насоки относно обстоятелствата, чието доказване е в тежест на това предприятие, и относно степента, в която то трябва да ги докаже.

Съгласието като предпоставка за обработването на лични данни

31.

Разглежданото дело се отнася до обработването на лични данни при сключването на договор за предоставяне на далекосъобщителни услуги.

32.

Всяко обработване на лични данни трябва да отговаря ( 13 ), от една страна, на отнасящите се до качеството на данните принципи, прогласени в член 6 от Директива 95/46 или в член 5 от Регламент 2016/679, и от друга страна, на някой от критериите за законосъобразност на обработването на лични данни, изброени в член 7 от посочената директива или в член 6 от посочения регламент ( 14 ). Както изтъква Комисията, шестте критерия, посочени в член 7 от Директива 95/46, всъщност са израз на по-широк принцип, установен в член 6, параграф 1, буква а) от тази директива, съгласно който личните данни трябва да се обработват справедливо и законно.

33.

Член 7 от Директива 95/46 съдържа изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно ( 15 ). Обработването на лични данни може да се извърши само ако е приложим поне един от шестте критерия за законосъобразност на обработването на лични данни. Недвусмисленото съгласие на субекта на данни е един от тези критерии.

По отношение на понятието за съгласие

34.

Понятието за съгласие на субекта на данни на свой ред е дефинирано в член 2, буква з) от Директива 95/46 като всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него.

35.

Тази формулировка до голяма степен съответства ( 16 ) на текста на член 4, параграф 11 от Регламент 2016/679, съгласно който „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени ( 17 ).

36.

Изискването за съгласие на субекта на данните е съществено изискване, залегнало в основата на правото на Съюза в областта на защитата на данните ( 18 ). То се съдържа в Хартата на основните права на Европейския съюз, чийто член 8 предвижда, че данните трябва да бъдат обработвани добросъвестно, за точно определени цели и въз основа на съгласието на заинтересованото лице или по силата на друго предвидено от закона легитимно основание. Разглеждано в по-широк контекст, понятието за съгласие позволява съответният субект на данни сам да прецени дали ограниченията на правото му на защита на личните данни са законосъобразни ( 19 ).

37.

Ръководният принцип, залегнал в правото на Съюза в областта на защитата на данните, е принципът на самостоятелно вземане на решение от физическо лице, което е способно да избере как да се използват и обработват неговите данни ( 20 ). Именно изискването за предоставяне на съгласие му позволява да направи този избор, като същевременно го защитава в ситуации, които по своето естество са асиметрични ( 21 ). Изискванията на Директива 95/46 и на Регламент 2016/679 са изпълнени само когато е налице свободно изразено, конкретно и информирано съгласие.

38.

На този етап следва да се направят още три кратки бележки относно явната разлика в текстовете на тези разпоредби.

39.

Първо, в член 4, параграф 11 от Регламент 2016/679, за разлика от член 2, буква з) от Директива 95/46, се говори за „недвусмислено“ указание. Според мен причината за това е съвсем проста: Член 7, буква а) от същата директива относно критериите за законосъобразност на обработването на данни, вече посочени по-горе, изисква съответното физическо лице да е дало „недвусмислено“ своето съгласие, докато съответстващата му разпоредба от Регламент 2016/679 — член 6, параграф 1, буква а) — не съдържа това уточнение. С други думи, този критерий за наличие на недвусмислено указание просто е бил преместен в по-общата разпоредба в Регламент 2016/679.

40.

Второ, в член 4, параграф 11 от Регламент 2016/679 се уточнява, че субектът на данните изразява волята си „посредством изявление или ясно потвърждаващо действие“. Това уточнение несъмнено е ново за посочения регламент и не намира семантично отражение в Директива 95/46.

41.

Трето, що се отнася до „информирания“ характер на съгласието на субекта на данните, текстът на френски език на Директива 95/46 се различава от този на Регламент 2016/679. Докато в член 2, буква з) от посочената директива се използва изразът „manifestation de volonté […] informée“, в член 4, параграф 11 от този регламент се говори за „manifestation de volonté […] eclairée“.

42.

Смятам, че тази промяна във формулировката внася повече объркване, отколкото яснота, тъй като, доколкото разбирам, текстът на френски език е единственият или поне един от малкото измежду текстовете на различните езици, който прави това разграничение. Текстовете на някои от езиците, сред които между другото и останалите романски езици, използват съвсем идентични термини в това отношение ( 22 ), докато текстовете на други езици, макар и леко да се различават в това отношение, не са толкова различни, колкото текстът на френски език ( 23 ).

43.

По-нататък ще се спра отново на понятието „информирано“ съгласие.

Свободно изразено съгласие

44.

Изискването за „указание“ за волята на съответното лице очевидно сочи положително, а не отрицателно действие ( 24 ) и изисква субектът на данни да се ползва от висока степен на автономия при избора дали да даде, или да не дава съгласие ( 25 ). По отношение на конкретния случай на онлайн игра, организирана на интернет сайт, Съдът е приел, че съгласието, дадено посредством предварително отметнато поле, не е свързано с положително действие от страна на потребителя на интернет сайт ( 26 ).

45.

Смятам, че тази констатация е приложима и за аналоговия свят: съгласието, дадено посредством предварително отметнато поле, не може да се счита за активно даване на съгласие от страна на лицето, боравещо с физически документ, който в крайна сметка подписва. В действителност в този случай не е сигурно дали предварително формулираният текст е бил прочетен и осмислен. Положението не е недвусмислено. Текстът може да е бил или да не е бил прочетен. „Читателят“ може да е пропуснал да го направи просто поради небрежност, като в такъв случай не е възможно да се установи дали съгласието е било свободно изразено ( 27 ).

Информирано съгласие

46.

Не трябва да има ни най-малко съмнение, че съответното физическо лице не е било достатъчно информирано ( 28 ).

47.

Субектът на данните трябва да бъде информиран за всички обстоятелства, свързани с обработването на данните, и за последиците от него. По-специално той трябва да знае какви данни ще се обработват, по какъв начин и с каква конкретна цел, както и продължителността на обработката. Освен това трябва да знае кой обработва данните и дали те ще бъдат предоставяни на трети страни. Особено важно е да бъде информиран за последиците от отказа да даде съгласие: дали съгласието за обработване на данните е условие за сключването на договора ( 29 ).

По отношение на тежестта на доказване

48.

Остава да се изясни въпросът в чия тежест е да докаже, че субектът на данните се е намирал в положение, което му позволява да даде съгласието си въз основа на установените по-горе критерии.

49.

Член 7, параграф 1 от Регламент 2016/679 посочва ясно и категорично: когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на неговите данни ( 30 ). Тази разпоредба представлява конкретно проявление на принципа на отчетност, закрепен в член 5, параграф 2 от Регламент 2016/679. Считам, че целта на тази разпоредба изисква широко тълкуване, в смисъл че администраторът трябва да докаже не само че съответното физическо лице е дало своето съгласие, но и че са изпълнени всички условия за ефективност ( 31 ).

50.

Някои автори изразяват съмнения, че член 7, параграф 1 от Регламент 2016/679 се отнася до тежестта на доказване, позовавайки се на законодателната история на този регламент ( 32 ). Твърди се, че макар Комисията и Парламентът да са предлагали формулировка, която изрично включва „тежестта на доказване“, такава формулировка не намира място в окончателно приетия текст, а следователно и в действащото към момента законодателство.

51.

Това твърдение заслужава по-задълбочен анализ.

52.

Действително в първоначалното предложение на Комисията ( 33 ) се посочва „тежестта на доказване“, която носи администраторът. Освен това Парламентът на първо четене ( 34 ) не оспорва тази формулировка. Съветът ( 35 ) обаче заменя израза „тежестта на доказване“ с израза „е в състояние да докаже“, отнасящ се за администратора. Впоследствие окончателният текст е приет в този вид.

53.

Не съм склонен да отдам прекалено голямо значение на тази промяна в текста ( 36 ). Никъде в съображенията на позицията Съветът не посочва мотиви за предложената промяна в текста ( 37 ). Това показва, че целта на тази институция е била само да измени формулировката на въпросната разпоредба, без да променя смисъла ѝ. От тази гледна точка изразът „трябва да е в състояние да докаже“ всъщност описва по по-достъпен начин какво трябва да се разбира под „тежест на доказване“ ( 38 ).

54.

Следователно със сигурност може да се приеме, че член 7, параграф 1 от Регламент 2016/679 възлага на администратора тежестта да докаже, че субектът на данни е дал съгласие за обработване на личните му данни ( 39 ). Всички съмнения относно съгласието на субекта на данните следва да се опровергаят с представени от администратора доказателства ( 40 ). Тежестта да се докаже, че субектът на данните се е намирал в положение, което му е позволявало да даде свободно, конкретно и информирано съгласие, пада изцяло върху обработващия данните субект.

55.

В това отношение правното положение съгласно Директива 95/46 не се различава.

56.

Макар Директива 95/46 да не съдържа отделна разпоредба, съпоставима с член 7 от Регламент 2016/679 относно условията за даване на съгласие, по-голямата част от посочените в този член условия биха могли да се открият и в Директивата. Въпреки че правилото относно тежестта на доказване не е изрично предвидено в Директивата, то най-малкото косвено следва от условието ( 41 ), че „съответното физическо лице е дало недвусмислено своето съгласие за това“ ( 42 ).

По отношение на положението на Orange România

57.

Сега бих искал да приложа тези критерии към разглеждания случай.

58.

Най-напред бих искал да уточня, че въпросът дали Orange România може да изисква от клиентите си да дадат съгласие за копирането и съхраняването на техните документи за самоличност, е извън обсега на настоящото дело, доколкото за това предприятие даването на такова съгласие не е необходимо условие за сключването на договор. С други думи, разглежданото дело не се отнася до тълкуването на член 7, буква б) от Директива 95/46 и на член 6, параграф 1, буква б) от Регламент 2016/679. С това уточнение ми се струва оправдано дадено предприятие да иска от клиентите да предоставят някои лични данни, и по-специално да удостоверят своята самоличност за целите на сключването на договор. Да се изисква от клиента да даде съгласие за копирането и съхраняването на документи за самоличност, обаче надхвърля необходимото за изпълнението на договора.

59.

Въз основа на наличната информация ми се струва, че при описаните от запитващата юрисдикция обстоятелства клиентите на Orange România не дават своето свободно, конкретно и информирано съгласие.

60.

Първо, не е налице свободно дадено съгласие. Вменяването в задължение на клиента да запише на ръка, че не е съгласен личната му карта да бъде копирана и съхранявана, не позволява да се даде свободно съгласие, доколкото клиентът бива поставен в положение, което явно се отклонява от обичайната процедура за сключване на договор. В този контекст клиентите не трябва да остават с впечатлението, че отказът да дадат съгласие за копирането и съхраняването на техните документи за самоличност, не съответства на обичайните процедури. В това отношение държа да припомня, че Съдът поставя ударението върху положително действие от страна на съответното лице с оглед на даването на съгласие ( 43 ). Следователно, за да се даде съгласие, е необходимо положително действие от страна на субекта на данните. В разглеждания случай обаче е налице обратната хипотеза — необходимо е положително действие, за да се откаже даването на съгласие. Връщайки се отново към решение Planet49 ( 44 ), ако премахването на отметката в предварително отметнато поле на уебсайт се счита за твърде обременително за клиента, то тогава a fortiori не може основателно да се очаква от клиента в ръкописна форма да откаже да даде съгласието си.

61.

Второ, липсва информирано съгласие. На клиента не става съвсем ясно, че отказът да даде съгласие за копирането и съхраняването на личната му карта не прави невъзможно сключването на договор. Клиентът не може да направи информиран избор, ако не е наясно с последиците.

62.

Трето, и само хипотетично, няма никакви данни Orange România да е успяло да докаже, че клиентите са дали съгласие за обработката на личните им данни. В това отношение очевидната липса на яснота на вътрешните правила със сигурност не способства, за да се докаже, че клиентът е дал съгласието си. Подобна липса на яснота и противоречивите указания към персонала по продажбите очевидно не може да бъдат в ущърб на клиента, който в случая е субектът на данни.

Заключение

63.

С оглед на гореизложените съображения предлагам на Съда да отговори на поставените от Tribunalul Bucureşti (Градски съд Букурещ, Румъния) преюдициални въпроси по следния начин: