C-61/1962019CC0061EU:C:2020:1580001111111

M. Szpunar secinājumi – Lieta C‑61/19

Orange România

<TI><P><HT TYPE="UC">Ģenerāladvokāta Maceja Špunara</HT> [<HT TYPE="ITALIC"><HT TYPE="UC">Maciej Szpunar</HT></HT>]</P><P><HT TYPE="UC">secinājumi</HT>,</P><P>sniegti <DATE ISO="20200304">2020. gada 4. martā</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="ARAB" NUMBERING.CONTINUED="YES" NOTE.ID="E0001"><P>Oriģinālvaloda – angļu.</P></NOTE></P></TI><STI><P><HT TYPE="BOLD">Lieta C‑61/19</HT></P><P><HT TYPE="ITALIC">Orange România SA</HT></P><P>pret</P><P><HT TYPE="ITALIC">Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)</HT></P><P><HT TYPE="NORMAL">(<HT TYPE="ITALIC">Tribunalul Bucureşti</HT> (Bukarestes apgabaltiesa, Rumānija) lūgums sniegt prejudiciālu nolēmumu)</HT></P></STI>Lūgums sniegt prejudiciālu nolēmumuDirektīva 95/46/EKRegula (ES) 2016/679Fizisko personu aizsardzība attiecībā uz personas datu apstrādi un šādu datu brīva apriteMobilo telekomunikāciju pakalpojumiDatu subjekta piekrišanas jēdziensNorāde uz konkrētām un apzinātām vēlmēmPiekrišanas apliecinājums, ar ķeksīti atzīmējot izvēles rūtiņuPierādīšanas pienākums1.Tribunalul Bucureşti (Bukarestes apgabaltiesa, Rumānija) lūgums sniegt prejudiciālu nolēmumu izriet no strīda starp telekomunikāciju pakalpojumu sniedzēju un valsts datu aizsardzības iestādi par tās pienākumiem līgumsarunās ar klientu attiecībā uz personu apliecinošu dokumentu kopiju kopēšanu un glabāšanu.2.Tas Tiesai sniegs iespēju detalizētāk izskaidrot datu subjekta piekrišanas jēdzienu, kas ir Savienības tiesību datu aizsardzības jomā galvenais elements un kas galu galā ir radies no pamattiesībām uz datu aizsardzību. Šajā ziņā Tiesai būtu jāizskata arī jautājums par pierādīšanas pienākumu attiecībā uz to, vai datu subjekts ir vai nav devis piekrišanu.<TI><P><HT TYPE="BOLD">Tiesiskais regulējums</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Savienības tiesības</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Direktīva 95/46/EK</HT></P></TI>3.Saskaņā ar Direktīvas 95/46/EK

Eiropas Parlamenta un Padomes Direktīva (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.).

 2. panta h) punktu šajā direktīvā datu subjekta piekrišana ir jebkurš labprātīgi sniegts šīs personas vēlmju konkrēts un paziņots norādījum[s], ar kuru datu subjekts izsaka savu piekrišanu uz viņu attiecināmu personas datu apstrādei.4.Minētās direktīvas II nodaļa attiecas uz vispārīgajiem noteikumiem par personas datu apstrādes likumību.5.Šīs pašas direktīvas 6. pants, kurš ietver principus, kas attiecas uz datu kvalitāti,

6. pants ir vienīgais Direktīvas 95/46 II nodaļas I iedaļas pants.

 ir izteikts šādi:

1.

Dalībvalstis nosaka to, ka personas datiem jābūt:

a)apstrādātiem godīgi un likumīgi;b)vāktiem konkrētiem, precīzi formulētiem un likumīgiem nolūkiem, un tos nedrīkst tālāk apstrādāt ar šiem nolūkiem nesavienojamā veidā. Turpmāka datu apstrāde vēsturiskiem, statistiskiem vai zinātniskiem nolūkiem nav uzskatāma par nesavienojamu ar noteikumu, ka dalībvalstis sniedz atbilstošas garantijas;c)adekvātiem, attiecīgiem un ne pārmērīgā apjomā attiecībā uz nolūkiem, kādiem tie savākti un/vai tālāk apstrādāti;

[..].

2.Personas datu apstrādātājam jānodrošina 1. punkta izpilde.

6.Direktīvas 95/46 7. pants attiecas uz kritērijiem datu apstrādes atzīšanai par likumīgu

7. pants ir vienīgais Direktīvas 95/46 II nodaļas II iedaļas pants.

. Atbilstoši šim noteikumam

dalībvalstis paredz to, ka personas datus var apstrādāt tikai, ja:

a)datu subjekts ir nepārprotami devis savu piekrišanu;b)vai apstrāde vajadzīga līguma, kurā datu subjekts ir līgumslēdzēja puse, izpildei vai pasākumu veikšanai pēc datu subjekta pieprasījuma pirms līguma noslēgšanas; [..]

[..].

<TI><P><HT TYPE="ITALIC">Regula (ES) 2016/679</HT></P></TI>7.Saskaņā ar Regulas (ES) 2016/679

Eiropas Parlamenta un Padomes Regula (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.).

 4. panta 11. punktu šajā regulā datu subjekta piekrišana ir jebkura brīvi sniegta, konkrēta, paziņota [apzināta] un viennozīmīga norāde uz datu subjekta vēlmēm, ar kuru viņš paziņojuma vai skaidri apstiprinošas darbības veidā sniedz piekrišanu savu personas datu apstrādei.8.Šīs regulas 6. panta 1. punkta a) un b) apakšpunkts ir izteikts šādi:

Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:

a)datu subjekts ir devis piekrišanu savu personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem;b)apstrāde ir vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei vai pasākumu veikšanai pēc datu subjekta pieprasījuma pirms līguma noslēgšanas.

9.Šīs pašas regulas 7. panta 1. punktā ir noteikts: Ja apstrāde pamatojas uz piekrišanu, personas datu apstrādātājam ir jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Rumānijas tiesības</HT></HT></P></TI>10.Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Likums Nr. 677/2001 par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti, turpmāk tekstā – Likums Nr. 677/2001)

Monitorul Oficial al României, Partea I, Nr. 790, 2001. gada 12. decembris.

 paredz Direktīvas 95/46 noteikumu transponēšanu valsts tiesību aktos.11.Šī likuma 32. pantā ir noteikts:

Personas datu apstrāde, ko veic personas datu apstrādātājs vai viņa pilnvarota persona, pārkāpjot 4.–10. panta normas vai pienācīgi neņemot vērā tiesības, kas ir paredzētas 12.–15. pantā vai 17. pantā, ir administratīvs pārkāpums, ja vien tas netiek veikts apstākļos, kādos tas ir uzskatāms par noziedzīgu nodarījumu, un ir sodāms ar naudas sodu no 10000000 veco leju [1000 Rumānijas leju (RON)] līdz 250000000 veco leju [25000 RON].

<TI><P><HT TYPE="BOLD">Fakti, tiesvedība un prejudiciālie jautājumi</HT></P></TI>12.Orange România SA ir mobilo telekomunikāciju pakalpojumu sniedzējs Rumānijas tirgū, kas piedāvā pakalpojumus gan saskaņā ar PrePay

Šajā gadījumā saņēmēji iepriekš maksā par pakalpojumiem, kas viņiem tiks sniegti vēlāk.

, gan saskaņā ar noslēgto pakalpojuma līgumu

Šajā gadījumā sabiedrības sniegto pakalpojumu cenu saņēmēji maksā pēc pakalpojumu sniegšanas, pamatojoties uz sabiedrības izrakstītiem rēķiniem.

.13.2018. gada 28. martā Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Personas datu apstrādes uzraudzības valsts iestāde, Rumānija; turpmāk tekstā – ANSPDCP) saskaņā ar Likuma Nr. 677/2001 32. pantu, skatot to kopā ar šī likuma 8. pantu, sastādīja protokolu, kurā Orange România bija uzlikts administratīvs sods, pamatojoties uz to, ka ir notikusi tā klientu personu apliecinošu dokumentu kopiju izgatavošana un glabāšana bez viņu skaidras piekrišanas.14.Šajā ziņā ANSPDCP atzīmēja, ka Orange România ir noslēgusi papīra formāta līgumus par mobilo telekomunikāciju pakalpojumu sniegšanu ar individuāliem klientiem uzņēmuma telpās un šiem līgumiem ir pievienotas viņu personu apliecinošu dokumentu kopijas. Šo līgumu saturs inter alia ietvēra paziņojumu par faktu, ka klients tika informēts un piekrīt šo kopiju iegūšanai un glabāšanai (sabiedrībā Orange România) un ka klientu piekrišanas fakts tika pierādīts, tiem rakstveida dokumentācijā ievelkot rūtiņās krustiņus līgumu apliecināšanai.15.Attiecīgais izskatāmo līgumu fragments ir izteikts šādi:

Klients paziņo, ka:

i)pirms līguma noslēgšanas viņš tika informēts par izvēlēto tarifu plānu, par piemērojamiem tarifiem, minimālo līguma darbības laiku, [līguma] izbeigšanas nosacījumiem un pakalpojumu saņemšanas un izmantošanas nosacījumiem, ieskaitot pakalpojumu pārklājuma zonu saskaņā ar ANCOM [Nacionālā komunikāciju vadības un pārvaldes iestāde] Lēmuma Nr. 158/2015 11. pantu un O.U.G. Lēmumu [Nr.] 34/2014 (Dekrētlikums Nr. 34/2014), kā arī par tiesībām vienpusēji izbeigt līgumu, kas var tikt izmantotas saskaņā ar vispārīgo noteikumu 1.17. punktu;ii)Orange România ir sniegusi klientam visu nepieciešamo informāciju, lai viņš varētu dot nepārprotamu, skaidru, brīvu un īpašu piekrišanu līgumam un skaidri to pieņemt ar visiem līguma dokumentiem, ieskaitot visu līguma dokumentāciju, Vispārīgos noteikumus, kā arī tarifu un pakalpojumu brošūru;iii)ir ticis informēts un ir piekritis, ka:

personas dati tiek apstrādāti mērķiem, kas ir paredzēti vispārīgo noteikumu 1.15. punktā;

dokumentu, kas satur personas datus, kopijas [sabiedrība Orange România] glabā identifikācijas nolūkā;

personas dati (kontakttālrunis un e‑pasts) tiek apstrādāti tiešā mārketinga nolūkos;

personas dati (kontakttālrunis un e‑pasts) tiek apstrādāti tirgus izpētes mērķiem;

ir iepazinies un skaidri piekrīt saglabāt personas datus par veselības stāvokli;

informācijā par abonentiem un abonentu reģistriem nav iekļauti vispārīgo noteikumu 1.15. punkta 10. apakšpunktā norādītie dati.

16.Saskaņā ar ANSPDCP Orange România nav pierādījusi, ka klienti ir izdarījuši apzinātu izvēli par viņu identitātes dokumentu kopiju izgatavošanu un glabāšanu.17.Orange România iesniedzējtiesā cēla prasību par 2018. gada 28. martā piemēroto naudas sodu.18.Saskaņā ar iesniedzējtiesas atzinumiem pastāv līgumi, kuros klienta brīvi izteikta izvēle attiecībā uz viņa vai viņas personu apliecinoša dokumenta kopijas saglabāšanu ir norādīta ar krustiņu ievilkšanu rūtiņā, kā arī pretēji gadījumi, kuros klienti ir atteikušies izteikt tamlīdzīgu piekrišanu. No Orange România iekšējām pārdošanas procedūrām izriet, ka pēdējos minētajos gadījumos Orange România sniedza nepieciešamo informāciju par klienta atteikumu saglabāt personu apliecinoša dokumenta kopiju, aizpildot īpašu veidlapu un pēc tam noslēdzot līgumu. Tādējādi, neraugoties uz norādēm, kas ietvertas Orange România vispārīgajos noteikumos, Orange România neatteicās parakstīt abonēšanas līgumus ar klientiem, pat ja viņi atteicās piekrist viņu personu apliecinoša dokumenta kopijas saglabāšanai.19.Iesniedzējtiesa uzskata, ka šādos apstākļos Tiesai ir ārkārtīgi svarīgi lemt par kritērijiem, lai noteiktu, vai piekrišana ir konkrēta un paziņota [apzināta], un attiecīgā gadījumā – par tādu līgumu parakstīšanas pierādīšanas spēku, kādi ir izskatāmi pamatlietā.20.Šādos apstākļos Tribunalul Bucureşti (Bukarestes apgabaltiesa) ar 2018. gada 14. novembra rīkojumu, kas Tiesā saņemts 2019. gada 29. janvārī, uzdeva šādus prejudiciālus jautājumus:1)Kādi nosacījumi saskaņā ar Direktīvas 95/46 2. panta h) punktu ir jāizpilda, lai varētu uzskatīt, ka gribas izteikums ir konkrēts un paziņots [apzināts]?2)Kādi nosacījumi saskaņā ar Direktīvas 95/46 2. panta h) punktu ir jāizpilda, lai varētu uzskatīt, ka gribas izteikums ir sniegts labprātīgi?21.Rakstveida apsvērumus iesniedza pamatlietas dalībnieki, Rumānijas, Itālijas, Austrijas un Portugāles valdības, kā arī Eiropas Komisija. Orange România, Rumānijas valdība un Eiropas Komisija bija pārstāvētas 2019. gada 11. decembrī notikušajā tiesas sēdē.<TI><P><HT TYPE="BOLD">Vērtējums</HT></P></TI>22.Šajā lietā Tiesai tiek lūgts precizēt nosacījumus, saskaņā ar kuriem piekrišana personas datu apstrādei var tikt uzskatīta par atbilstošu.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Ievada apsvērumi</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Par piemērojamiem tiesību aktiem</HT></P></TI>23.Ar Regulu 2016/679, kas ir piemērojama kopš 2018. gada 25. maija

Saskaņā ar Regulas 2016/679 99. panta 2. punktu.

, no tās pašas dienas tika atcelta Direktīva 95/46

Skat. Regulas 2016/679 94. panta 1. punktu.

.24.Pamatlietā izskatāmais ANSPDCP lēmums tika pieņemts 2018. gada 28. martā jeb pirms datuma, no kura ir piemērojama Regula 2016/679. Tomēr ANSPDCP ne tikai uzlika naudas sodu Orange România, bet arī pieprasīja tai iznīcināt attiecīgo personu apliecinošo dokumentu kopijas. Pamatlieta attiecas arī uz šo pēdējo rīkojumu. Šim rīkojumam ir ilgtermiņa ietekme, tāpēc šķiet, ka šī regula ir piemērojama ratione temporis.25.Līdz ar to uz uzdotajiem jautājumiem būtu jāatbild, ņemot vērā gan Direktīvu 95/46, gan Regulu 2016/679

Skat. spriedumu, 2019. gada 1. oktobris, Planet49 (C‑673/17, EU:C:2019:801, 38.–43. punkts), līdzīgai pieejai salīdzināmā situācijā un manus secinājumus tajā pašā lietā (C‑673/17, EU:C:2019:246, 44.–49. punkts). Skat. arī spriedumu, 2018. gada 11. decembris, Weiss u.c. (C‑493/17, EU:C:2018:1000, 39. punkts).

. Turklāt šī regula būs jāņem vērā, analizējot Direktīvas 95/46 noteikumus

Skat. spriedumu lietā, 2019. gada 24. septembris, GC u.c. (Atsauču uz konfidenciāliem datiem noņemšana) (C‑136/17, EU:C:2019:773, 33. punkts).

.<TI><P><HT TYPE="ITALIC">Prejudiciālo jautājumu apjoma noteikšana</HT></P></TI>26.Abi iesniedzējtiesas uzdotie jautājumi ir pārāk vispārīgi un abstrakti, tāpēc ir nepieciešams tos precīzāk pielāgot pamatlietas faktiem, lai iesniedzējtiesai sniegtu noderīgu informāciju un noderīgas atbildes uz jautājumiem. Lai to izdarītu, uzskatu, ka ir nepieciešams īsi norādīt uz pamatlietas faktiem, kādi izriet no iesniedzējtiesas rīkojuma un tiesvedības dalībnieku sniegtās informācijas, it īpaši tiesas sēdē Tiesā.27.Rumānijas valsts datu aizsardzības iestāde ANSPDCP sodīja Orange România par klientu personu apliecinošu dokumentu kopiju vākšanu un glabāšanu bez viņu piekrišanas. Šī iestāde konstatēja, ka uzņēmums ir noslēdzis līgumus par mobilo telekomunikāciju pakalpojumu sniegšanu un ka šiem līgumiem ir pievienotas personu apliecinošu dokumentu kopijas. Šajos līgumos tika apgalvots, ka klienti ir informēti un ir devuši piekrišanu šo eksemplāru iegūšanai un glabāšanai, par ko liecina krustiņu ievilkšana līguma noteikumos ietvertajās rūtiņās. Tomēr saskaņā ar ANSPDCP secinājumiem Orange România nav sniegusi pierādījumus tam, ka līgumu noslēgšanas laikā attiecīgie klienti bija izdarījuši apzinātu izvēli par šo kopiju izgatavošanu un glabāšanu.28.Ja persona vēlas noslēgt līgumattiecības ar Orange România, šī uzņēmuma pārstāvis, konsultējot par konkrēta līguma nosacījumiem, parasti strādā ar datoru, izmantojot līguma paraugu, kurā iekļauta izvēles rūtiņa par personu apliecinoša dokumenta saglabāšanu. Šķiet, ka klients ir informēts par to, ka šī izvēles rūtiņa nav jāatzīmē. Ja klients nepiekrīt tam, ka viņa vai viņas personu apliecinošs dokuments tiek kopēts un saglabāts, viņam vai viņai rokrakstā tas ir jādokumentē līgumā. Šķiet, ka šī pēdējā prasība attiecībā uz rokrakstu izriet no Orange România iekšējiem pārdošanas noteikumiem. Turklāt klients tiek informēts, ka viņš vai viņa var atteikties to darīt, taču informācija tiek sniegta tikai mutiski, nevis rakstiski.29.Ņemot vērā šo kontekstu, es saprotu, ka ar abiem jautājumiem, kas ir jāizskata kopā, iesniedzējtiesa vēlas noskaidrot, vai datu subjekts, kurš plāno noslēgt līgumattiecības par telekomunikāciju pakalpojumu sniegšanu ar uzņēmumu, dod uzņēmumam konkrētu un paziņotu [apzinātu] un brīvi paustu piekrišanu Direktīvas 95/46 2. panta h) punkta un Regulas 2016/679 4. panta 11. punkta izpratnē, ja viņš vai viņa ar roku paraksta atteikumu dot piekrišanu savu personu apliecinošu dokumentu kopijas izgatavošanai un glabāšanai citādi standartizētā līgumā.30.Šajā ziņā šķiet, ka iesniedzējtiesai ir nepieciešami norādījumi attiecībā uz šī uzņēmuma pierādīšanas pienākumu un apjomu.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Piekrišanas nepieciešamība personas datu apstrādei</HT></HT></P></TI>31.Izskatāmā lieta attiecas uz personas datu apstrādi, slēdzot līgumu par telekomunikāciju pakalpojumu sniegšanu.32.Visai personas datu apstrādei ir jāatbilst

Noteikti pakļaujoties atbrīvojumiem un ierobežojumiem, kas paredzēti Direktīvas 95/46 13. pantā un Regulas 2016/679 23. pantā.

, pirmkārt, principiem, kas attiecas uz datu kvalitāti, kuri izklāstīti Direktīvas 95/46 6. pantā vai Regulas 2016/679 5. pantā, un, otrkārt, vienam no datu apstrādes likumības kritērijiem, kas uzskaitīti minētās direktīvas 7. pantā vai minētās regulas 6. pantā

Skat. spriedumu, 2019. gada 16. janvāris, Deutsche Post (C‑496/17, EU:C:2019:26, 57. punkts). Skat. arī spriedumus, 2014. gada 13. maijs, Google Spain un Google (C‑131/12, EU:C:2014:317, 71. punkts un tajā minētā judikatūra), un 2019. gada 11. decembris, Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, 36. punkts).

. Kā norāda Komisija, seši Direktīvas 95/46 7. pantā izklāstītie kritēriji faktiski ir plašāka principa izpausme, kas nostiprināta šīs direktīvas 6. panta 1. punkta a) apakšpunktā, paredzot, ka personas datiem ir jābūt apstrādātiem godīgi un likumīgi.33.Direktīvas 95/46 7. pantā ir izklāstīts izsmeļošs to gadījumu saraksts, kuros personas datu apstrādi var uzskatīt par likumīgu

Skat. spriedumus, 2011. gada 24. novembris, Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 un C‑469/10, EU:C:2011:777, 30. punkts); 2016. gada 19. oktobris, Breyer (C‑582/14, EU:C:2016:779, 57. punkts), un 2019. gada 1. oktobris, Planet49 (C‑673/17, EU:C:2019:801, 53. punkts).

. Personas datu apstrāde var notikt tikai tad, ja ir spēkā vismaz viens no sešiem datu apstrādes likumības kritērijiem. Viens no šiem kritērijiem ir nepārprotamas datu subjekta piekrišanas esamība.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Par piekrišanas jēdzienu</HT></HT></P></TI>34.Datu subjekta piekrišana savukārt ir definēta Direktīvas 95/46 2. panta h) punktā kā jebkurš brīvi sniegts konkrēts un paziņots [apzināts] norādījums par viņa vai viņas vēlmēm, ar kuru datu subjekts izsaka piekrišanu uz viņu attiecināmu personas datu apstrādei.35.Šis formulējums lielā mērā atbilst

Skat. Bygrave, L.A., Tosoni, L., no: Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, 4. panta 11. punkts, C.1, 181. lpp.

 minētajam Regulas 2016/679 4. panta 11. punktam, saskaņā ar kuru datu subjekta piekrišana ir jebkura brīvi sniegta, konkrēta, apzināta un viennozīmīga norāde uz datu subjekta vēlmēm, ar kuru viņš paziņojuma vai skaidri apstiprinošas darbības veidā sniedz piekrišanu savu personas datu apstrādei

Acīmredzami šiem kritērijiem ir kumulatīvs raksturs, kas nozīmē, ka ir augsts spēkā esošas piekrišanas slieksnis; skat. Bygrave, L.A., Tosoni, L., no: Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, 4. panta 11. punkts, C.1, 181. lpp.

.36.Datu subjekta piekrišanas prasība ir galvenais Savienības datu aizsardzības tiesību elements

Skat. manus secinājumus lietā Planet49 (C‑673/17, EU:C:2019:246, 57. un nākamie punkti). Skat. arī Heckmann, D. & Paschke, A., no: Ehmann, E., Selmayr, M. (red.), Datenschutz‑Grundverordnung, Kommentar, C. H. Beck, Minhene, 2. izd., 2018, Artikel 7, 9. punkts: key cornerstone of data protection.

. Tas ir iekļauts Eiropas Savienības Pamattiesību hartā, kuras 8. pantā ir noteikts, ka dati ir jāapstrādā godprātīgi, noteiktiem mērķiem un ar attiecīgās personas piekrišanu vai ar citu likumīgu pamatojumu, kas paredzēts tiesību aktos. Raugoties plašākā kontekstā, piekrišanas jēdziens ļauj attiecīgajam datu subjektam pašam izlemt par viņa tiesību uz personas datu aizsardzību ierobežojumu likumību

Šajā kontekstā skat. Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, 232. lpp., kurš atsaucas uz tiesībām uz informatīvu pašnoteikšanos šajā kontekstā (kā to ir attīstījusi Vācijas Konstitucionālā tiesa kopš sprieduma, 1983. gada 15. decembris, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65,1).

.37.Pamatprincips, kas ir Savienības datu aizsardzības tiesību pamatā, ietver indivīda, kurš var izdarīt izvēli par savu datu izmantošanu un apstrādi, patstāvīgu lēmumu

Klement, J. H., no: S. Simitis, G. Hornung, I. Spieker gen. Döhmann (red.), Datenschutzrecht, Nomos, Bādenbādene, 2019, Artikel 7, 1. punkts, kurā ir uzsvērts, ka tiesību sistēmā, kuras pamatā ir cilvēka cieņas, brīvības un atbildības veicināšana, personas datu apstrādei, lai tā būtu likumīga, ir nepieciešama attiecīgās personas pašnoteikšanās.

. Tieši piekrišanas prasība viņam vai viņai ļauj izdarīt izvēli un vienlaikus aizsargā viņu situācijās, kuras pēc savas būtības ir asimetriskas

Skat. arī Regulas 2016/679 43. apsvērumu, kurā ir atsauce uz situācijām, kad var būt tā, ka datu subjekta un pārziņa attiecībās pastāv skaidra nevienlīdzība.

. Tikai tad, ja piekrišana ir brīvi sniegta, konkrēta un paziņota [apzināta], tā atbilst Direktīvas 95/46 un Regulas 2016/679 pārbaudei.38.Šajā brīdī ir jāsniedz vēl trīs īsi komentāri par iepriekš minēto noteikumu acīmredzami atšķirīgo formulējumu.39.Pirmkārt, Regulas 2016/679 4. panta 11. punktā pretēji Direktīvas 95/46 2. panta h) punktam ir atsauce uz viennozīmīgu norādi. Vēlos norādīt, ka iemesls tam ir diezgan vienkāršs: jau minētās direktīvas 7. panta a) punkts par kritērijiem datu apstrādes atzīšanai par likumīgu pieprasa, lai datu subjekts nepārprotami dod piekrišanu, turpretī attiecīgajā noteikumā Regulā 2016/679 – 6. panta 1. punkta a) apakšpunktā – šāda prasība nav ietverta. Citiem vārdiem, šis nepārprotamās norādes kritērijs ir vienkārši pārvietots uz vispārīgāku noteikumu Regulā 2016/679.40.Otrkārt, Regulas 2016/679 4. panta 11. punktā ir precizēts, ka datu subjekts pats atklāj savus nodomus paziņojuma vai skaidri apstiprinošas darbības veidā. Šis precizējums patiešām ir jauns regulai, un tas semantiski nav atspoguļots Direktīvā 95/46.41.Treškārt, attiecībā uz datu subjekta piekrišanas paziņoto raksturu Direktīvas 95/46 franču valodas versija atšķiras no tās, kas paredzēta Regulā 2016/679. Kamēr šīs direktīvas 2. panta h) punkts atsaucas uz manifestation de volonté [..] informée, šīs regulas 4. panta 11. punktā minēts manifestation de volonté [..] eclairée.42.Vēlos norādīt, ka šīs formulējuma izmaiņas mulsina vairāk nekā izskaidro, jo, cik noprotu, franču valodas versija ir vienīgā vai vismaz viena no ļoti nedaudzajām valodu versijām ar šādu atšķirību. Vairākās valodu versijās, starp kurām ir arī citas romāņu valodas, šajā ziņā vienkārši tiek izmantoti tieši tie paši termini

Skat. piemēram, spāņu (manifestación de voluntad [..] informada), portugāļu (manifestação de vontade [..] informada), rumāņu (manifestare de voință [..] informată), dāņu (informeret viljetilkendegivelse), zviedru (informerad viljeyttring) un maltiešu (infurmata) valodas versijas.

, savukārt citu valodu versijās šajā ziņā var būt nelielas atšķirības, taču tās nav tik nopietnas kā franču valodas versijā

Skat. piemēram, holandiešu (op informatie berustende wilsuiting direktīvā un geïnformeerde wilsuiting regulā), poļu (świadome [..] wskazanie direktīvā un świadome [..] okazanie woli regulā) un vācu (“Willensbekundung, die [..] in Kenntnis der Sachlage erfolgt’ direktīvā un in informierter Weise [..] abgegebene Willensbekundung regulā) valodas versijas.

.43.Atgriezīšos pie turpmāk minētā paziņotas [apzinātas] piekrišanas jēdziena.<TI><P><HT TYPE="ITALIC">Brīvi sniegta piekrišana</HT></P></TI>44.Prasība pēc datu subjekta vēlmju norādīšanas skaidri liecina drīzāk par aktīvu rīcību, nevis pasīvu attieksmi

Skat. spriedumu, 2019. gada 1. oktobris, Planet49 (C‑673/17, EU:C:2019:801, 52. punkts).

 un nozīmē, ka datu subjektam ir jāpiešķir plaša autonomija, izvēloties dot vai nedot piekrišanu

Skat. Bygrave, L.A., Tosoni, L., no: Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, 4. panta 11. punkts, C.1, 182. lpp.

. Attiecībā uz īpašo tiešsaistes loterijas interneta vietnē gadījumu Tiesa ir lēmusi, ka piekrišana, kas sniegta, izmantojot iepriekš ar ķeksīti atzīmētu izvēles rūtiņu, neparedz tīmekļa vietnes lietotāja aktīvu rīcību

Turpat.

.45.Uzskatu, ka šāds secinājums ir vienlīdz piemērojams arī analogā vidē: piekrišana iepriekš ar ķeksīti atzīmētas rūtiņas formā nevar liecināt par aktīvu piekrišanu no personas puses, kura, saskaroties ar fiziski taustāmu dokumentu, to galu galā paraksta. Patiešām, šādā situācijā nav zināms, vai attiecīgais iepriekš formulētais teksts ir lasīts un izprasts. Situācija nav viennozīmīga. Iespējams, ka teksts ir vai arī nav lasīts. Iespējams, ka lasītājs to nav ievērojis izteiktas nolaidības dēļ, padarot par neiespējamu skaidri noteikt, vai piekrišana ir tikusi dota brīvi

Pēc analoģijas skat. manus secinājumus lietā Planet49 (C‑673/17, EU:C:2019:246, 62. punkts). Skat. arī spriedumu lietā, 2019. gada 1. oktobris, Planet49 (C‑673/17, EU:C:2019:801, 55. punkts).

.<TI><P><HT TYPE="ITALIC">Paziņota [apzināta] piekrišana</HT></P></TI>46.Nevar būt nekādu šaubu par datu subjekta pietiekamo informētību

Visbeidzot, paziņota [apzināta] piekrišana sakņojas pārredzamības principā, kā noteikts Regulas 2016/679 5. panta 1. punkta a) apakšpunktā, skat. Bygrave, L.A., Tosoni, L., no: Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, 4. panta 11. punkts, C.4, 184. lpp.

.47.Datu subjekts ir jāinformē par visiem apstākļiem, kas saistīti ar datu apstrādi un šīs apstrādes sekām. Viņam vai viņai jo īpaši ir jāzina, kuri dati tiks apstrādāti, šādas apstrādes ilgums, kādā veidā un kādam konkrētam mērķim. Tāpat viņam vai viņai ir jāzina, kas apstrādās datus un vai tos ir paredzēts nodot trešajām personām. Ir būtiski viņu informēt par piekrišanas atteikuma sekām: vai piekrišana datu apstrādei ir vai nav līguma noslēgšanas nosacījums

Pēc dažu autoru domām, Direktīvas 95/46 10. un 11. pantā minētais informācijas katalogs nav pilnīgs, tāpēc pārzinis var sniegt datu subjektam arī citu būtisku informāciju par personas datu izmantošanas nosacījumiem. Skat., piemēram, Mednis, A., Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46, Monitor Prawniczy (dodatek) 2012, Nr. 7, 27. lpp.

?<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Par pierādīšanas pienākumu</HT></HT></P></TI>48.Tas liek uzdot jautājumu, kam ir jāpierāda, ka datu subjekts bija tādā situācijā, lai varētu sniegt savu piekrišanu, pamatojoties uz tikko noteiktajiem kritērijiem.49.Regulas 2016/679 7. panta 1. punkts ir skaidrs un neatstāj šaubas: ja apstrāde pamatojas uz piekrišanu, personas datu apstrādātājam ir jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei

Saskaņā ar šo noteikumu personas datu apstrādātājam ir jāatbild un jāspēj pierādīt atbilstību tam, ka personas dati tiek apstrādāti likumīgi, taisnīgi un pārskatāmā veidā attiecībā uz datu subjektu.

. Šis noteikums izsaka īpašu pārskatatbildības principa, kas nostiprināts Regulas 2016/679 5. panta 2. punktā, izpausmi. Uzskatu, ka šī noteikuma mērķis prasa plašu interpretāciju, jo personas datu apstrādātājam ir ne tikai jāpierāda, ka datu subjekts ir devis piekrišanu, bet arī jāpierāda, ka ir izpildīti visi efektivitātes nosacījumi

Skat. šajā kontekstā arī Stemmer, B., no: St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, Minhene, 30. izdevums, 2019. gada 1. novembrī, Artikel 7 DSGVO, 87. punkts, un Buchner, J., Kühling, B., no: J. Buchner, B. Kühling (red.), Datenschutz‑Grundverordnung/BDSG, Kommentar, C. H. Beck, Minhene, 2. izdevums, 2018, Artikel 7 DS‑GVO, 22. punkts.

.50.Daži autori apšauba, ka Regulas 2016/679 7. panta 1. punkts attiecas uz pierādīšanas pienākumu, norādot uz šīs regulas likumdošanas vēsturi

Skat. Klement, J. H., no: S. Simitis, G. Hornung, I. Spieker gen. Döhmann (red.), Datenschutzrecht, Nomos, Bādenbādene, 2019, Artikel 7, 46. punkts.

. Tiek apgalvots, ka gan Komisija, gan Parlaments ierosināja formulējumu, kas skaidri atsaucās uz pierādīšanas pienākumu, bet šāds formulējums nav atspoguļots pieņemtajā tekstā un līdz ar to arī pašreizējās tiesībās.51.Šis arguments ir pelnījis rūpīgāku analīzi.52.Sākotnējais Komisijas priekšlikums

Sākotnējā Komisijas priekšlikumā 7. panta 1. punktā tika noteikts: Personas datu apstrādātājam ir pienākums pierādīt, ka datu subjekts ir devis piekrišanu viņa personas datu apstrādei konkrētajos nolūkos. Skat. priekšlikumu Eiropas Parlamenta un Padomes regulai par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula), COM(2012) 11 final, 45. lpp.

 patiešām atsaucas uz pierādīšanas pienākumu, kas ir jāpārņem personas datu apstrādātājam. Līdzīgā veidā Parlaments pirmajā lasījumā

Parlaments pirmajā lasījumā neierosināja mainīt 7. panta 1. punkta formulējumu attiecībā uz terminu pierādīšanas pienākums. Tas aprobežojās ar precizēšanu, ka 7. panta 1. punkts attiecas uz situāciju, kad apstrāde balstās uz piekrišanu. Skat. Eiropas Parlamenta 2014. gada 12. marta normatīvo rezolūciju par priekšlikumu Eiropas Parlamenta un Padomes regulai par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un par šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula), COM(2012) 11 (OV 2017, C 378, 399. lpp.), 428. lpp.

 neiebilda pret šādu formulējumu. Tā bija Padome

Ja apstrāde pamatojas uz piekrišanu, personas datu apstrādātājam ir jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei. Skat. Padomes Nostāju (ES) Nr. 6/2016 pirmajā lasījumā, lai pieņemtu Eiropas Parlamenta un Padomes Regulu par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti, un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula), kuru Padome pieņēmusi 2016. gada 8. aprīlī (OV 2016, C 159, 1. lpp.), 36. lpp.

, kas terminu pierādīšanas pienākums aizstāja ar terminu, kurš attiecināms uz personas datu apstrādātāju, – jāspēj uzskatāmi parādīt. Galīgais teksts pēc tam tika pieņemts šādā formā.53.Es šai formulējuma maiņai nepiešķirtu pārāk lielu nozīmi

Šajā ziņā skat. arī Kosta, E., no: Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, 7. pants, C.2, 349.–350. lpp.

. Nevienā no savas nostājas apsvērumiem Padome neveicina ierosinātās izmaiņas formulējumā

It īpaši skat. 42. un 43. apsvērumu, kuri pamato 7. pantu.

. Tas norāda uz to, ka šī iestāde tikai mēģināja mainīt attiecīgā noteikuma tekstu, nemainot tā nozīmi. Raugoties no šī viedokļa, termins jāspēj uzskatāmi parādīt faktiski izprotamākā veidā apraksta to, kas tiek saprasts ar terminu pierādīšanas pienākums

Interesantu konceptuālu skaidrojumu tam, kāpēc pierādīšanas pienākums attiecas uz personas datu apstrādātāju, sniedz Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tībingene, 2006, 243.–245. lpp., norādot uz analoģisku situāciju valsts tiesībās attiecībā uz ārstniecības personu atbildību, ja pierādīšanas pienākums attiecas uz personām, kuras ierobežo attiecīgās tiesības.

.54.Tādējādi var droši pieņemt, ka Regulas 2016/679 7. panta 1. punkts uzliek personas datu apstrādātājam pierādīšanas pienākumu par datu subjekta piekrišanu personas datu apstrādei

Turklāt juridiskajā literatūrā tas ir visnotaļ dominējošs viedoklis, skat. Klabunde, A., no: E. Ehmann, M. Selmayr (red.), Datenschutz‑Grundverordnung, Kommentar, 2. izdevums, C. H. Beck, Minhene, 2018, Artikel 4, 52. punkts; Stemmers, B., no: St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, Minhene, 30. izdevums, 2019. gada 1. novembrī, Artikel 7 DSGVO, 87. punkts; Buchner, J., Kühling, B., no: J. Buchner, B. Kühling (red.), Datenschutz‑Grundverordnung/BDSG, Kommentar, C. H. Beck, Minhene, 2. izdevums, 2018, Artikel 7 DS‑GVO, 22. punkts, un Barta, P., Kawecki, M., P. Litwiński (izd.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C.H. Beck, Warsaw 2018, regulas 7. panta 1. punkts.

. Visas šaubas par datu subjekta piekrišanas piešķiršanu ir jānovērš ar pierādījumiem, kas jāsniedz pārzinim

Šajā kontekstā skat. arī Heckmann, D., Paschke, A., no: E. Ehmann, M. Selmayr (red.), Datenschutz‑Grundverordnung, Kommentar, 2. izdevums, C. H. Beck, Minhene, 2018, Artikel 7, 72. punkts.

. Pierādīšanas pienākums, ka datu subjekts atradās situācijā, kas ļāva viņam sniegt brīvu, konkrētu un paziņotu [apzinātu] piekrišanu, pilnībā attiecināms uz organizāciju, kura veic datu apstrādi.55.Šajā ziņā tiesiskais stāvoklis saskaņā ar Direktīvu 95/46 nav atšķirīgs.56.Lai arī Direktīvā 95/46 nebija atsevišķa noteikuma, kas piekrišanas nosacījumu ziņā būtu salīdzināms ar Regulas 2016/679 7. pantu, lielākā daļa šajā pantā paredzēto nosacījumu ir atrodami arī direktīvā. Lai gan noteikums par pierādīšanas pienākumu šajā direktīvā nav skaidri noteikts, tas vismaz netieši izriet no tās nosacījuma

Skat. Direktīvas 95/46 7. panta a) punktu. Mans izcēlums.

, ka datu subjekts ir viennozīmīgi sniedzis piekrišanu

Šajā kontekstā starp daudziem citiem skat. arī Buchner, J., Kühling, B., no: J. Buchner, B. Kühling (red.), Datenschutz‑Grundverordnung/BDSG, Kommentar, C. H. Beck, Minhene, 2. izdevums, 2018, Artikel 7 DS‑GVO, 5. un 22. punkts.

.<TI><P><HT TYPE="BOLD">Par Orange România situāciju</HT></P></TI>57.Tagad es vēlētos piemērot šos kritērijus attiecīgajai lietai.58.Vispirms es vēlos norādīt, ka jautājums par to, vai Orange România var pieprasīt klientiem piekrišanu viņu personu apliecinošu dokumentu kopēšanai un glabāšanai, nav attiecināmi uz šo lietu, ņemot vērā, ka šim uzņēmumam tas nav priekšnosacījums līguma noslēgšanai. Citiem vārdiem, attiecīgā lieta nav saistīta ar Direktīvas 95/46 7. panta b) punkta un Regulas 2016/679 6. panta 1. punkta b) apakšpunkta interpretāciju. Tomēr uzskatu, ka ir likumīgi firmai lūgt klientus sniegt atsevišķus personas datus un it īpaši pierādīt savu identitāti līguma noslēgšanas nolūkā. Tomēr šķiet, ka klienta piekrišanas prasība personu apliecinošu dokumentu kopēšanai un glabāšanai pārsniedz to, kas nepieciešams līguma izpildei.59.Balstoties uz pieejamo informāciju, šķiet, ka Orange România klienti iesniedzējtiesas aprakstītajos apstākļos nesniedz brīvu, konkrētu un paziņotu [apzinātu] piekrišanu.60.Pirmkārt, šajā gadījumā nav brīvas piekrišanas. Uzlikšana klientam par pienākumu rokrakstā norādīt, ka viņš vai viņa nepiekrīt sava personu apliecinošā dokumenta kopēšanai un glabāšanai, neļauj brīvi sniegt piekrišanu, ciktāl klients tiek nostādīts situācijā, kas acīmredzami atšķiras no parastās līguma noslēgšanas procedūras. Šajā ziņā klientiem nevajadzētu radīt iespaidu, ka viņu atteikums dot piekrišanu viņu personu apliecinošu dokumentu kopiju izgatavošanai un glabāšanai atšķiras no parastās procedūras. Šajā ziņā es gribētu atgādināt, ka Tiesa ir uzsvērusi aktīvu datu subjekta rīcību, lai sniegtu savu piekrišanu

Skat. spriedumu, 2019. gada 1. oktobris, Planet49 (C‑673/17, EU:C:2019:801, 54. punkts).

. Tādējādi, lai sniegtu piekrišanu, ir nepieciešama pozitīva datu subjekta rīcība. Tomēr šajā lietā, šķiet, ir radusies pretēja situācija: ir nepieciešama pozitīva rīcība, lai atteiktos no piekrišanas. Vēlreiz pievēršoties spriedumam lietā Planet49

Skat. spriedumu, 2019. gada 1. oktobris (C‑673/17, EU:C:2019:801).

, ja iepriekš [ar ķeksīti] atzīmētas izvēles rūtiņas ķeksīša izņemšana tīmekļa vietnē klientam tiek uzskatīta par pārāk lielu apgrūtinājumu, tātad a fortiori no klienta nevar pamatoti gaidīt atteikšanos no piekrišanas rokrakstā.61.Otrkārt, šajā gadījumā nav paziņotas [apzinātas] piekrišanas. Klientam nav viennozīmīgi izskaidrots, ka atteikšanās no viņa vai viņas personu apliecinoša dokumenta kopēšanas un glabāšanas nepadara līguma noslēgšanu par neiespējamu. Klients, kurš neapzinās sekas, nepieņem lēmumu, pilnībā pārzinot faktus.62.Treškārt – un tikai hipotētiski –, nekas neliecina par to, ka Orange România būtu spējusi pierādīt, ka klienti ir piekrituši viņu personas datu apstrādei. Šajā ziņā acīmredzams skaidrības trūkums iekšējās procedūrās noteikti nepalīdz pierādīt, ka klients ir sniedzis piekrišanu. Šāds skaidrības trūkums un pretrunīgi norādījumi tirdzniecības personālam acīmredzami nevar notikt uz klienta, in casu datu subjekta, rēķina.<TI><P><HT TYPE="BOLD">Secinājumi</HT></P></TI>63.Ņemot vērā iepriekš minētos apsvērumus, es iesaku Tiesai uz jautājumiem, kurus uzdevusi Tribunalul Bucureşti (Bukarestes apgabaltiesa, Rumānija), atbildēt šādi:

Datu subjekts, kas vēlas uzsākt līgumattiecības par telekomunikāciju pakalpojumu sniegšanu ar uzņēmumu, nedod savu piekrišanu, proti, nenorāda uz viņa vai viņas konkrētām un paziņotām [apzinātām] un brīvi paustām vēlmēm Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti 2. panta h) punkta, kā arī Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 4. panta 11. punkta izpratnē šim uzņēmumam gadījumā, kad viņam vai viņai citādi standartizētā līgumā rokrakstā ir jānorāda, ka viņš vai viņa atsakās sniegt piekrišanu viņa vai viņas personu apliecinošo dokumentu kopēšanai un glabāšanai.