C-61/1962019CC0061EU:C:2020:1580001111313

Заключение на M. Szpunar — Дело C‑61/19

Orange Romania

<TI><P><HT TYPE="UC">Заключение на генералния адвокат</HT></P><P><HT TYPE="UC">M. Szpunar</HT></P><P>представено на <DATE ISO="20200304">4 март 2020 година</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="ARAB" NUMBERING.CONTINUED="YES" NOTE.ID="E0001"><P>Език на оригиналния текст: английски.</P></NOTE></P></TI><STI><P><HT TYPE="BOLD">Дело C‑61/19</HT></P><P>Orange România SA</P><P>срещу</P><P>Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)</P><P><HT TYPE="NORMAL">(Преюдициално запитване, отправено от Tribunalul Bucureşti (Градски съд Букурещ, Румъния)</HT></P></STI>Преюдициално запитванеДиректива 95/46/ЕОРегламент (ЕС) 2016/679Защита на физическите лица при обработването на лични данни и свободното движение на тези данниМобилни далекосъобщителни услугиПонятие за съгласие на субекта на данниКонкретно и информирано изразена воляДеклариране на съгласие чрез отметка в поле за отбелязванеТежест на доказване1.В основата на настоящото преюдициално запитване, отправено от Tribunalul Bucureşti (Градски съд Букурещ, Румъния), е спор между доставчик на далекосъобщителни услуги и национален орган за защита на данните във връзка със задълженията на първия в контекста на преговори за сключване на договор с клиент, когато се копира и се съхранява копие от карта за самоличност.2.Запитването предоставя на Съда възможност да изясни в по-голяма степен понятието съгласие на субекта на данни, което е основно за правото на Съюза в областта на защитата на данните и което в крайна сметка произтича от основното право на защита на данните. Във връзка с това Съдът следва да разгледа и въпроса за доказателствената тежест, що се отнася до това дали субектът на данни е дал или не съгласие.<TI><P><HT TYPE="BOLD">Правна уредба</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Право на Съюза</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Директива 95/46/ЕО</HT></P></TI>3.Съгласно член 2, буква з) от Директива 95/46/ЕО

Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281,1995 г. стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10).

 за целите на тази директива съгласие на съответното физическо лице“ означава всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него.4.Глава II от тази директива съдържа общите правила за законосъобразност на обработването на лични данни.5.Член 6 от същата директива за [п]ринципи[те], отнасящи се до качеството на данните

Член 6 е единствен член в глава II, раздел I от Директива 95/46.

, гласи следното:

1.

Държавите членки предвиждат, че личните данни трябва:

а)да се обработват справедливо и законно;б)да се събират за конкретни, ясно формулирани и законни цели и да не бъдат допълнително обработени по начин, който е несъвместим с тези цели. Допълнителната обработка на данните за исторически, статистически или научни цели няма да се разглежда като несъвместима, при условие че държавите членки предоставят необходимите гаранции за това;в)да бъдат адекватни, релевантни, и да не са прекомерни по отношение на целите, за които се събират и/или обработват допълнително;

[…]

2.Администраторът осигурява спазването на параграф 1.

6.Член 7 от Директива 95/46 установява [к]ритерии за законосъобразност на обработването на лични данни

Член 7 е единствен член в глава II, раздел II от Директива 95/46.

. Съгласно посочената разпоредба:

Държавите членки предвиждат, че обработването на лични данни може да се извършва, само ако:

а)съответното физическо лице е дало недвусмислено своето съгласие за това; илиб)обработването е необходимо за изпълнението на договор, по който съответното физическо лице е страна, или за да се предприемат стъпки по искане на съответното физическо лице преди сключването на договора;

[…].

<TI><P><HT TYPE="ITALIC">Регламент (ЕС) 2016/679</HT></P></TI>7.Съгласно член 4, параграф 11 от Регламент (ЕС) 2016/679

Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1).

 за целите на този регламент съгласие на субекта на данните означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени“.8.Член 6, параграф 1, букви а) и б) от този регламент гласят следното:

„Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

а)субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;б)обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;

9.Член 7, параграф 1 от същия регламент гласи, че [к]огато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Румънското право</HT></HT></P></TI>10.Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulaţie a acestor date (Закон № 677/2001 за защита на лицата при обработването на личните данни и за свободното движение на тези данни, наричан по-нататък Закон № 677/2001)

Monitorul Oficial al României, № 790 от 12 декември 2001 г.

 транспонира разпоредбите на Директива 95/46 в националното право.11.Член 32 от този закон гласи следното:

Обработването на личните данни от администратор или от лице, упълномощено от него, в нарушение на разпоредбите на членове 4—10 или при несъблюдаване на правата, предвидени в членове 12—15 или в член 17, представлява административно нарушение, доколкото не осъществява състав на престъпление, и се наказва с глоба от 10000000 стари леи [1000 RON (румънски леи)] до 250000000 стари леи [25000 RON].

<TI><P><HT TYPE="BOLD">Факти, производство и преюдициални въпроси</HT></P></TI>12.Orange România SA е доставчик на мобилни далекосъобщителни услуги на румънския пазар, който предлага тези услуги или в системата PrePay

Като в този случай потребителите заплащат авансово цената на услугите, които следва да им бъдат доставени.

, или чрез сключване на договори за предоставяне на услугите

При което цената на предоставяните от дружеството услуги се заплаща от потребителите след доставянето им въз основа на издадените от него фактури.

.13.На 28 март 2018 г., на основание член 32 от Закон № 677/2001 във връзка с член 8 от същия закон Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Национален орган за надзор върху обработването на лични данни, Румъния, наричан по-нататък ANSPDCP) изготвя констативен протокол, с който на Orange România е наложена административна санкция глоба с мотива, че събирането и съхраняването на копия от документите за самоличност на клиентите се извършва без изричното съгласие на последните.14.В това отношение ANSPDCP отбелязва, че Orange România е сключило в офиса си договори на хартиен носител за мобилни далекосъобщителни услуги с клиенти — физически лица, като към тези договори са приложени копия на документите за самоличност на съответните клиенти. Тези договори съдържат по-специално отбелязване, че съответните клиенти са информирани и са изразили съгласието си Orange România да задържи и съхранява тези копия, като съгласието на клиентите е установено с отметка в документите, удостоверяващи сключването на договорите.15.Съответните клаузи от въпросните договори гласят следното:

– „Клиентът заявява, че:

i)е информиран преди сключването на договора за избрания тарифен план, за приложимите тарифи, за минималния срок на договора, за условията, при които той се прекратява, и за условията за достъп до и ползване на услугите, включително за зоните, покрити от услугите, в съответствие с разпоредбите на член 11 от Решение № 158/2015 на ANCOM [Национален орган за управление и регулация в областта на комуникациите] и с разпоредбите на O.U.G. [№] 34/2014 (Законодателен декрет № 34/2104), както и относно правото му на едностранно прекратяване, което може да бъде упражнено съгласно член 1.17 от Общите условия за ползването на услугите на Orange;ii)Orange România предоставя на клиента цялата необходима информация, за да изрази неопорочено, изрично, свободно и конкретно съгласие за сключването и изричното приемане на договора, включително на цялата документация по договора — Общите условия за ползването на услугите на Orange и Брошурата за тарифите и услугите;(iii)е информиран и дава съгласието си за:

обработването на личните данни за целите, предвидени в член 1.15 от Общите условия за ползването на услугите на Orange,

съхраняването [от Orange] с идентификационна цел на копия от документите, които съдържат лични данни,

обработването на личните данни (телефон за контакт, адрес на електронната поща) за целите на директния маркетинг,

обработването на личните данни (телефон за контакт, адрес на електронната поща) за целите на извършването на маркетингови проучвания,

прочетох и изрично се съгласявам да бъде съхранявано копие от документите, които съдържат лични данни за здравето,

данните, посочени в член 1.15, т. (10) от Общите условия за ползването на услугите на Orange, да не бъдат включвани в информационните услуги за абонатите и в телефонните указатели“.

16.Според ANSPDCP Orange România не е доказало, че клиентите са направили информиран избор относно събирането и съхраняването на копията от техните документи за самоличност.17.Orange România обжалва глобата от 28 март 2018 г. пред запитващата юрисдикция.18.Съгласно констатациите на запитващата юрисдикция съществуват договори, при които свободно изразеният от клиента избор за задържане на копие от документа за самоличност е отбелязан с отметка в съответното поле, както и обратни случаи, в които клиентите са отказали да дадат такова съгласие. Видно от вътрешната процедура за продажби на Orange România, в такива случаи дружеството прави необходимото отбелязване, че клиентът отказва задържане на копие от документа за самоличност, като за целта се попълва специален формуляр и след това се сключва договорът. Следователно въпреки предвиденото в общите условия на Orange România дружеството не е отказвало на клиентите сключване на абонаментни договори дори при отказ да дадат съгласие за задържане на копие от личната им карта.19.Запитващата юрисдикция счита, че при тези условия е особено важно Съдът да се произнесе относно критериите, съгласно които може да се установи дали едно съгласие е конкретно и информирано, и доколкото е целесъобразно, относно доказателствената стойност на подписването на договори като разглежданите в главното производство.20.При тези обстоятелства, с определение от 14 ноември 2018 г., постъпило в Съда на 29 януари 2019 г., Tribunalul Bucureşti (Градски съд Букурещ) поставя следните преюдициални въпроси:1)Кои са условията, които трябва да бъдат изпълнени, за да може да се приеме, че волята е изразена конкретно и информирано по смисъла на член 2, буква з) от Директива 95/46/ЕО?2)Кои са условията, които трябва да бъдат изпълнени, за да може да се приеме, че волята е изразена свободно по смисъла на член 2, буква з) от Директива 95/46/ЕО?.21.Писмени становища представят страните в главното производство, румънското, италианското, австрийското и португалското правителство, както и Европейската комисия. Orange România, румънското правителство и Европейската комисия са представлявани в съдебното заседание, проведено на 11 декември 2019 г.<TI><P><HT TYPE="BOLD">Преценка</HT></P></TI>22.В настоящия случай от Съда се иска да уточни условията, при които съгласието за обработване на лични данни може да се счита за валидно.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Предварителни бележки</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">По приложимите правни актове</HT></P></TI>23.Регламент 2016/679, който се прилага от 25 май 2018 г.

Съгласно член 99, параграф 2 от Регламент 2016/679.

, отменя Директива 95/46, считано от същата дата

Вж. член 94, параграф 1 от Регламент 2016/679.

.24.Разглежданото в главното производство решение на ANSPDCP е прието на 28 март 2018 г., преди датата, от която се прилага Регламент № 2016/679. ANSPDCP обаче не само налага глоба на Orange România, но и изисква от него да унищожи копията на въпросните документи за самоличност. Спорът в главното производство се отнася и до последното разпореждане. Разпореждането произвежда действие за в бъдеще, поради което този регламент се оказва приложим ratione temporis.25.Ето защо на поставените въпроси следва да се отговори както с оглед на Директива 95/46, така и с оглед на Регламент 2016/679

Подобен подход в сходно положение вж. в решение от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 38—43), и заключението ми по същото дело (C‑673/17, EU:C:2019:246, т. 44—49). Вж. още решение от 11 декември 2018 г., Weiss и др. (C‑493/17, EU:C:2018:1000, т. 39).

. Освен това регламентът трябва да се вземе предвид при анализа на разпоредбите на Директива 95/46

Вж. решение от 24 септември 2019 г., GC и др. (Премахване на чувствителни данни от резултатите при търсене) (C‑136/17, EU:C:2019:773, т. 33).

.<TI><P><HT TYPE="ITALIC">Определяне на обхвата на преюдициалните въпроси</HT></P></TI>26.Поставените от запитващата юрисдикция два въпроса са формулирани твърде общо и абстрактно и трябва да бъдат в известна степен адаптирани, така че да се свържат с фактите в главното производство, за да се насочи запитващата юрисдикция и да ѝ се даде полезен отговор. За тази цел ми се струва необходимо да припомня накратко фактите по спора в главното производство, изведени от акта за преюдициално запитване и от сведенията, предоставени от страните по спора, по-специално в съдебното заседание пред Съда.27.Националният орган за защита на данните в Румъния, ANSPDCP, налага санкция на Orange România, заради това че е събирало и съхранявало копия от документите за самоличност на своите клиенти без тяхно съгласие. Този орган констатира, че дружеството е сключило договори за предоставяне на мобилни далекосъобщителни услуги и че към тях са приложени копия от документи за самоличност. Твърди се, че съгласно тези договори клиентите са информирани и са дали съгласието си за събирането и съхраняването на тези копия, което се удостоверявало от отбелязването с отметка в текста на договорите. ANSPDCP обаче констатира, че Orange România не е доказало, че към момента на сключване на договорите съответните клиенти са имали възможност да направят информиран избор относно събирането и съхраняването на тези копия.28.Когато представител на Orange România разяснява клаузите на конкретен договор на лице, желаещо да встъпи в договорни отношения с това дружество, този представител обикновено работи на компютър с образец на договор, който съдържа поле за отметка относно съхранението на документ за самоличност. Изглежда, че клиентът се уведомява, че не е необходимо да поставя отметка в съответното поле. Ако клиентът не е съгласен да бъде направено и запазено фотокопие на документа му за самоличност, той трябва да впише това на ръка в договора. Това изискване за вписване на ръка явно произтича от вътрешните правила за продажбите на Orange România. Освен това клиентът се информира само устно, а не в писмена форма, че може да откаже.29.В този контекст тълкувам двата въпроса, които следва да се разгледат заедно, в смисъл, че запитващата юрисдикция иска да се установи дали субектът на данни, който възнамерява да встъпи в договорно правоотношение с предприятие за предоставянето на мобилни далекосъобщителни услуги, дава на това предприятие своето конкретно и информирано и свободно изразено съгласие по смисъла на член 2, буква з) от Директива 95/46, при положение че трябва да декларира, записвайки на ръка в иначе стандартизиран договор, че отказва да даде съгласие за фотокопиране и съхраняване на неговите документи за самоличност.30.В това отношение запитващата юрисдикция се нуждае от насоки относно обстоятелствата, чието доказване е в тежест на това предприятие, и относно степента, в която то трябва да ги докаже.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Съгласието като предпоставка за обработването на лични данни</HT></HT></P></TI>31.Разглежданото дело се отнася до обработването на лични данни при сключването на договор за предоставяне на далекосъобщителни услуги.32.Всяко обработване на лични данни трябва да отговаря

Разбира се, при зачитане на изключенията и ограниченията, предвидени в член 13 от Директива 95/46 и в член 23 от Регламент 2016/679.

, от една страна, на отнасящите се до качеството на данните принципи, прогласени в член 6 от Директива 95/46 или в член 5 от Регламент 2016/679, и от друга страна, на някой от критериите за законосъобразност на обработването на лични данни, изброени в член 7 от посочената директива или в член 6 от посочения регламент

Вж. решение от 16 януари 2019 г., Deutsche Post (C‑496/17, EU:C:2019:26, т. 57). Вж. още решения от 13 май 2014 г., Google Spain и Google (C‑131/12, EU:C:2014:317, т. 71 и цитираната съдебна практика), и от 11 декември 2019 г., Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, т. 36).

. Както изтъква Комисията, шестте критерия, посочени в член 7 от Директива 95/46, всъщност са израз на по-широк принцип, установен в член 6, параграф 1, буква а) от тази директива, съгласно който личните данни трябва да се обработват справедливо и законно.33.Член 7 от Директива 95/46 съдържа изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно

Вж. решения от 24 ноември 2011 г., Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 и C‑469/10, EU:C:2011:777, т. 30), от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779, т. 57), и от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 53).

. Обработването на лични данни може да се извърши само ако е приложим поне един от шестте критерия за законосъобразност на обработването на лични данни. Недвусмисленото съгласие на субекта на данни е един от тези критерии.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">По отношение на понятието за съгласие</HT></HT></P></TI>34.Понятието за съгласие на субекта на данни на свой ред е дефинирано в член 2, буква з) от Директива 95/46 като всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него.35.Тази формулировка до голяма степен съответства

Вж. също Bygrave, L. A., Tosoni, L. — In: Chr. Kuner, L.A. Bygrave, Chr. Docksey (eds), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4(11), C.1., р. 181.

 на текста на член 4, параграф 11 от Регламент 2016/679, съгласно който съгласие на субекта на данните означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени

Очевидно тези критерии по естеството си са кумулативни, което означава, че съществува висок праг за валидност на съгласието, вж. Bygrave, L. A., Tosoni, L. — In: Chr. Kuner, L. A. Bygrave, Chr. Docksey (eds). The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4(11), C.1., р. 181.

.36.Изискването за съгласие на субекта на данните е съществено изискване, залегнало в основата на правото на Съюза в областта на защитата на данните

Вж. заключението ми по дело Planet49 (C‑673/17, EU:C:2019:246, т. 57 и сл.). Вж. още Heckmann, D., Paschke, A. — In: Ehmann, E., Selmayr M. (eds), Datenschutz-Grundverordnung, Kommentar. C.H. Beck, Munich, 2. ed., 2018, Artikel 7, pt. 9: ‘key cornerstone of data protection’.

. То се съдържа в Хартата на основните права на Европейския съюз, чийто член 8 предвижда, че данните трябва да бъдат обработвани добросъвестно, за точно определени цели и въз основа на съгласието на заинтересованото лице или по силата на друго предвидено от закона легитимно основание. Разглеждано в по-широк контекст, понятието за съгласие позволява съответният субект на данни сам да прецени дали ограниченията на правото му на защита на личните данни са законосъобразни

Вж. в този смисъл Buchner, B. Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, р. 232, който се позовава на правото на информационно самоопределение в този контекст (както е развито в практиката на германския конституционен съд след решение от 15 декември 1983 г., 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65,1).

.37.Ръководният принцип, залегнал в правото на Съюза в областта на защитата на данните, е принципът на самостоятелно вземане на решение от физическо лице, което е способно да избере как да се използват и обработват неговите данни

Вж. още Klement, J. H. — In: S. Simitis, G. Hornung, I. Spieker gen. Döhmann (eds), Datenschutzrecht, Nomos, Baden-Baden, 2019, Artikel 7, т. 1, който подчертава, че в правен ред, който се основава на и има за цел да насърчи достойнството, свободата на личността и отговорността, обработването на лични данни трябва да бъде узаконено чрез самостоятелно решение на субекта на данните.

. Именно изискването за предоставяне на съгласие му позволява да направи този избор, като същевременно го защитава в ситуации, които по своето естество са асиметрични

Вж. освен това съображение 43 от Регламент 2016/679, където се споменават хипотези, в които е възможно да съществува очевидна неравнопоставеност между субекта на данните и администратора.

. Изискванията на Директива 95/46 и на Регламент 2016/679 са изпълнени само когато е налице свободно изразено, конкретно и информирано съгласие.38.На този етап следва да се направят още три кратки бележки относно явната разлика в текстовете на тези разпоредби.39.Първо, в член 4, параграф 11 от Регламент 2016/679, за разлика от член 2, буква з) от Директива 95/46, се говори за недвусмислено указание. Според мен причината за това е съвсем проста: Член 7, буква а) от същата директива относно критериите за законосъобразност на обработването на данни, вече посочени по-горе, изисква съответното физическо лице да е дало недвусмислено своето съгласие, докато съответстващата му разпоредба от Регламент 2016/679 — член 6, параграф 1, буква а) — не съдържа това уточнение. С други думи, този критерий за наличие на недвусмислено указание просто е бил преместен в по-общата разпоредба в Регламент 2016/679.40.Второ, в член 4, параграф 11 от Регламент 2016/679 се уточнява, че субектът на данните изразява волята си посредством изявление или ясно потвърждаващо действие. Това уточнение несъмнено е ново за посочения регламент и не намира семантично отражение в Директива 95/46.41.Трето, що се отнася до информирания характер на съгласието на субекта на данните, текстът на френски език на Директива 95/46 се различава от този на Регламент 2016/679. Докато в член 2, буква з) от посочената директива се използва изразът manifestation de volonté […] informée, в член 4, параграф 11 от този регламент се говори за manifestation de volonté […] eclairée.42.Смятам, че тази промяна във формулировката внася повече объркване, отколкото яснота, тъй като, доколкото разбирам, текстът на френски език е единственият или поне един от малкото измежду текстовете на различните езици, който прави това разграничение. Текстовете на някои от езиците, сред които между другото и останалите романски езици, използват съвсем идентични термини в това отношение

Вж. например текстовете на испански (manifestación de voluntad […] informada), португалски (manifestação de vontade […] informada), румънски (manifestare de voință […] informată), датски (informeret viljetilkendegivelse), шведски (informerad viljeyttring) и малтийски (infurmata).

, докато текстовете на други езици, макар и леко да се различават в това отношение, не са толкова различни, колкото текстът на френски език

Вж. например текстовете на нидерландски (op informatie berustende wilsuiting в Директивата и geïnformeerde wilsuiting в Регламента), полски (świadome […] wskazanie в Директивата и świadome […] okazanie woli в Регламента) и немски (Willensbekundung, die […] in Kenntnis der Sachlage erfolgt в Директивата и in informierter Weise […] abgegebene Willensbekundung в Регламента).

.43.По-нататък ще се спра отново на понятието информирано съгласие.<TI><P><HT TYPE="ITALIC">Свободно изразено съгласие</HT></P></TI>44.Изискването за указание за волята на съответното лице очевидно сочи положително, а не отрицателно действие

Вж. решение от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 52).

 и изисква субектът на данни да се ползва от висока степен на автономия при избора дали да даде, или да не дава съгласие

Вж. Bygrave, L.A., Tosoni, L. — In: Chr. Kuner, L.A. Bygrave, Chr. Docksey (eds). The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4 (11), C.1., р. 182.

. По отношение на конкретния случай на онлайн игра, организирана на интернет сайт, Съдът е приел, че съгласието, дадено посредством предварително отметнато поле, не е свързано с положително действие от страна на потребителя на интернет сайт

Пак там.

.45.Смятам, че тази констатация е приложима и за аналоговия свят: съгласието, дадено посредством предварително отметнато поле, не може да се счита за активно даване на съгласие от страна на лицето, боравещо с физически документ, който в крайна сметка подписва. В действителност в този случай не е сигурно дали предварително формулираният текст е бил прочетен и осмислен. Положението не е недвусмислено. Текстът може да е бил или да не е бил прочетен. Читателят може да е пропуснал да го направи просто поради небрежност, като в такъв случай не е възможно да се установи дали съгласието е било свободно изразено

Вж. по аналогия заключението ми по дело Planet49 (C‑673/17, EU:C:2019:246, т. 62). Вж. още решение от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 55).

.<TI><P><HT TYPE="ITALIC">Информирано съгласие</HT></P></TI>46.Не трябва да има ни най-малко съмнение, че съответното физическо лице не е било достатъчно информирано

Информираното съгласие в крайна сметка произтича от приниципа на прозрачност, както е прогласен в член 5, параграф 1, буква a) от Регламент 2016/679; вж. Bygrave, L. A., Tosoni, L. — In: Chr. Kuner, L. A. Bygrave, Chr. Docksey (eds). The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4 (11), C.4., р. 184.

.47.Субектът на данните трябва да бъде информиран за всички обстоятелства, свързани с обработването на данните, и за последиците от него. По-специално той трябва да знае какви данни ще се обработват, по какъв начин и с каква конкретна цел, както и продължителността на обработката. Освен това трябва да знае кой обработва данните и дали те ще бъдат предоставяни на трети страни. Особено важно е да бъде информиран за последиците от отказа да даде съгласие: дали съгласието за обработване на данните е условие за сключването на договора

Според някои автори списъкът с информация по членове 10 и 11 от Директива 95/46 не е изчерпателен, така че администраторът на данни може да предостави на субекта на данни и друга информация от значение за условията на използване на личните данни. Вж. по-специално Mednis, A. Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46. — Monitor Prawniczy (dodatek) 2012, No 7, р. 27.

.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">По отношение на тежестта на доказване</HT></HT></P></TI>48.Остава да се изясни въпросът в чия тежест е да докаже, че субектът на данните се е намирал в положение, което му позволява да даде съгласието си въз основа на установените по-горе критерии.49.Член 7, параграф 1 от Регламент 2016/679 посочва ясно и категорично: когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на неговите данни

Съгласно тази разпоредба администраторът отговаря за и е в състояние да докаже, че личните данни са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните.

. Тази разпоредба представлява конкретно проявление на принципа на отчетност, закрепен в член 5, параграф 2 от Регламент 2016/679. Считам, че целта на тази разпоредба изисква широко тълкуване, в смисъл че администраторът трябва да докаже не само че съответното физическо лице е дало своето съгласие, но и че са изпълнени всички условия за ефективност

В този смисъл вж. още Stemmer, B. — In: St. Brink, H.A. Wolff. Beck’scher Onlinekommentar Datenschutzrecht. C.H. Beck, Munich, 30. ed., положение към 1 ноември 2019 г., Artikel 7 DSGVO, т. 87, и Buchner, J., Kühling, B. — In: J. Buchner, B. Kühling (eds). Datenschutz-Grundverordnung/BDSG, Kommentar. C.H. Beck, Munich, 2. ed. 2018, Artikel 7 DS-GVO, pt. 22.

.50.Някои автори изразяват съмнения, че член 7, параграф 1 от Регламент 2016/679 се отнася до тежестта на доказване, позовавайки се на законодателната история на този регламент

Вж. Klement, J.H. — In: S. Simitis, G. Hornung, I. Spieker gen. Döhmann (eds). Datenschutzrecht, Nomos, Baden-Baden, 2019, Artikel 7, pt. 46.

. Твърди се, че макар Комисията и Парламентът да са предлагали формулировка, която изрично включва тежестта на доказване, такава формулировка не намира място в окончателно приетия текст, а следователно и в действащото към момента законодателство.51.Това твърдение заслужава по-задълбочен анализ.52.Действително в първоначалното предложение на Комисията

Според първоначалното предложение на Комисията член 7, параграф 1 гласи: Администраторът носи тежестта на доказване, че субектът на данните е дал съгласието си за обработването на неговите лични данни за определени цели. Вж. Предложение за регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните) COM(2012) 11 окончателен, стр. 45.

 се посочва тежестта на доказване, която носи администраторът. Освен това Парламентът на първо четене

На първо четене Парламентът не предлага да се измени текстът на член 7, параграф 1, що се отнася до израза тежестта на доказване. Той само уточнява, че член 7, параграф 1 се отнася до положение, когато обработването се основава на даване на съгласие. Вж. Законодателна резолюция на Европейския парламент от 12 март 2014 г. относно предложението за регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните), COM(2012) 0011 окончателен (ОВ C 378, 2017 г., стр. 399, на стр. 428).

 не оспорва тази формулировка. Съветът

Когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни. Вж. Позиция (ЕС) № 6/2016 на Съвета на първо четене с оглед на приемането на Регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните), приета от Съвета на 8 април 2016 година (ОВ C 159, 2016 г., стр. 1, на стр. 36).

 обаче заменя израза тежестта на доказване с израза е в състояние да докаже, отнасящ се за администратора. Впоследствие окончателният текст е приет в този вид.53.Не съм склонен да отдам прекалено голямо значение на тази промяна в текста

Вж. в този смисъл също Kosta, E. — In: Chr. Kuner, L.A. Bygrave, Chr. Docksey (eds). The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 7, C.2., 349—350.

. Никъде в съображенията на позицията Съветът не посочва мотиви за предложената промяна в текста

Вж. по-специално съображения 42 и 43, които обосновават член 7.

. Това показва, че целта на тази институция е била само да измени формулировката на въпросната разпоредба, без да променя смисъла ѝ. От тази гледна точка изразът трябва да е в състояние да докаже всъщност описва по по-достъпен начин какво трябва да се разбира под тежест на доказване

Интересно концептуално обяснение защо тежестта на доказване се носи от администратора представя Buchner, B. Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, 243—245, който прави аналогия с отговорността на лекарите съгласно националното право, при която доказателствената тежест също се носи от лицата, които осъществяват ограничението на разглежданото право.

.54.Следователно със сигурност може да се приеме, че член 7, параграф 1 от Регламент 2016/679 възлага на администратора тежестта да докаже, че субектът на данни е дал съгласие за обработване на личните му данни

Още повече че това е широко преобладаващото мнение в правната литература, вж. Klabunde, A. — In: E. Ehmann, M. Selmayr (eds). Datenschutz-Grundverordnung, Kommentar. 2. ed., C.H. Beck, Munich, 2018, Artikel 4, pt. 52; Stemmer, B. — In: St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht. C.H. Beck, Munich, 30. ed., положение към 1 ноември 2019 г., Artikel 7 DSGVO, pt. 87; и Buchner, J., Kühling, B. — In: J. Buchner, B. Kühling (eds). Datenschutz-Grundverordnung/BDSG, Kommentar. C.H. Beck, Munich, 2. ed. 2018, Artikel 7 DS-GVO, pt. 22 и Barta, P., Kawecki, M. — In: P. Litwiński (ed). Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz. C.H. Beck, Varsovi 2018, член 7 от Регламента, т. 1.

. Всички съмнения относно съгласието на субекта на данните следва да се опровергаят с представени от администратора доказателства

В този смисъл вж. още Heckmann, D., Paschke, A. — In: E. Ehmann, M. Selmayr (eds), Datenschutz-Grundverordnung, Kommentar. 2. ed., C.H. Beck, Munich, 2018, Artikel 7, pt. 72.

. Тежестта да се докаже, че субектът на данните се е намирал в положение, което му е позволявало да даде свободно, конкретно и информирано съгласие, пада изцяло върху обработващия данните субект.55.В това отношение правното положение съгласно Директива 95/46 не се различава.56.Макар Директива 95/46 да не съдържа отделна разпоредба, съпоставима с член 7 от Регламент 2016/679 относно условията за даване на съгласие, по-голямата част от посочените в този член условия биха могли да се открият и в Директивата. Въпреки че правилото относно тежестта на доказване не е изрично предвидено в Директивата, то най-малкото косвено следва от условието

Вж. член 7, буква а) от Директива 95/46. Курсивът е мой.

, че съответното физическо лице е дало недвусмислено своето съгласие за това

В този смисъл вж. още, наред с много други, Buchner, J., Kühling, B. — In: J. Buchner, B. Kühling (eds). Datenschutz-Grundverordnung/BDSG, Kommentar. C.H. Beck, Munich, 2. ed., 2018, Artikel 7 DS‑GVO, pt. 5—22.

.<TI><P><HT TYPE="BOLD">По отношение на положението на Orange România</HT></P></TI>57.Сега бих искал да приложа тези критерии към разглеждания случай.58.Най-напред бих искал да уточня, че въпросът дали Orange România може да изисква от клиентите си да дадат съгласие за копирането и съхраняването на техните документи за самоличност, е извън обсега на настоящото дело, доколкото за това предприятие даването на такова съгласие не е необходимо условие за сключването на договор. С други думи, разглежданото дело не се отнася до тълкуването на член 7, буква б) от Директива 95/46 и на член 6, параграф 1, буква б) от Регламент 2016/679. С това уточнение ми се струва оправдано дадено предприятие да иска от клиентите да предоставят някои лични данни, и по-специално да удостоверят своята самоличност за целите на сключването на договор. Да се изисква от клиента да даде съгласие за копирането и съхраняването на документи за самоличност, обаче надхвърля необходимото за изпълнението на договора.59.Въз основа на наличната информация ми се струва, че при описаните от запитващата юрисдикция обстоятелства клиентите на Orange România не дават своето свободно, конкретно и информирано съгласие.60.Първо, не е налице свободно дадено съгласие. Вменяването в задължение на клиента да запише на ръка, че не е съгласен личната му карта да бъде копирана и съхранявана, не позволява да се даде свободно съгласие, доколкото клиентът бива поставен в положение, което явно се отклонява от обичайната процедура за сключване на договор. В този контекст клиентите не трябва да остават с впечатлението, че отказът да дадат съгласие за копирането и съхраняването на техните документи за самоличност, не съответства на обичайните процедури. В това отношение държа да припомня, че Съдът поставя ударението върху положително действие от страна на съответното лице с оглед на даването на съгласие

Вж. решение от 1 октомври 2019 г., Planet49 (C‑673/17, EU:C:2019:801, т. 54).

. Следователно, за да се даде съгласие, е необходимо положително действие от страна на субекта на данните. В разглеждания случай обаче е налице обратната хипотеза — необходимо е положително действие, за да се откаже даването на съгласие. Връщайки се отново към решение Planet49

Вж. решение от 1 октомври 2019 г. (C‑673/17, EU:C:2019:801).

, ако премахването на отметката в предварително отметнато поле на уебсайт се счита за твърде обременително за клиента, то тогава a fortiori не може основателно да се очаква от клиента в ръкописна форма да откаже да даде съгласието си.61.Второ, липсва информирано съгласие. На клиента не става съвсем ясно, че отказът да даде съгласие за копирането и съхраняването на личната му карта не прави невъзможно сключването на договор. Клиентът не може да направи информиран избор, ако не е наясно с последиците.62.Трето, и само хипотетично, няма никакви данни Orange România да е успяло да докаже, че клиентите са дали съгласие за обработката на личните им данни. В това отношение очевидната липса на яснота на вътрешните правила със сигурност не способства, за да се докаже, че клиентът е дал съгласието си. Подобна липса на яснота и противоречивите указания към персонала по продажбите очевидно не може да бъдат в ущърб на клиента, който в случая е субектът на данни.<TI><P><HT TYPE="BOLD">Заключение</HT></P></TI>63.С оглед на гореизложените съображения предлагам на Съда да отговори на поставените от Tribunalul Bucureşti (Градски съд Букурещ, Румъния) преюдициални въпроси по следния начин:

Субект на данни, който възнамерява да встъпи в договорно правоотношение с предприятие за предоставянето на мобилни далекосъобщителни услуги, не дава на това предприятие своето съгласие, тоест конкретно и информирано и свободно изразено указание за волята си по смисъла на член 2, буква з) от Директива № 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни и на член 4, параграф 11 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), при положение че от него се изисква да декларира, записвайки на ръка в иначе стандартизиран договор, че отказва да даде съгласие за фотокопиране и съхраняване на неговите документи за самоличност.