C-61/1962019CC0061EU:C:2020:1580001111111

Sklepni predlogi M. Szpunarja – Zadeva C‑61/19

Orange Romania

<TI><P><HT TYPE="UC">Sklepni predlogi generalnega pravobranilca</HT></P><P><HT TYPE="UC">Macieja Szpunarja,</HT></P><P>predstavljeni <DATE ISO="20200304">4. marca 2020</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="ARAB" NUMBERING.CONTINUED="YES" NOTE.ID="E0001"><P>Jezik izvirnika: angleščina.</P></NOTE></P></TI><STI><P><HT TYPE="BOLD">Zadeva C‑61/19</HT></P><P>Orange România SA</P><P>proti</P><P>Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)</P><P><HT TYPE="NORMAL">(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Tribunalul Bucureşti (višje sodišče v Bukarešti, Romunija))</HT></P></STI>Predlog za sprejetje predhodne odločbeDirektiva 95/46/ESUredba (EU) 2016/679Varstvo posameznikov pri obdelavi osebnih podatkov in prosti pretok takih podatkovMobilne telekomunikacijske storitvePojem privolitve posameznika, na katerega se nanašajo osebni podatkiNavedba izrecne in informirane izjave voljeIzjava o privolitvi z označitvijo poljaDokazno breme1.Ta predlog za sprejetje predhodne odločbe, ki ga je vložilo Tribunalul Bucureşti (višje sodišče v Bukarešti, Romunija), izvira iz spora med ponudnikom telekomunikacijskih storitev in nacionalnim organom za varstvo podatkov glede obveznosti prvonavedenega v okviru pogodbenih pogajanj s stranko v zvezi s fotokopiranjem in shranjevanjem fotokopije osebne izkaznice.2.Sodišču daje priložnost, da podrobneje pojasni pojem privolitev posameznika, na katerega se nanašajo osebni podatki, osrednje značilnosti prava EU o varstvu podatkov, ki je navsezadnje vsebovana v temeljni pravici do varstva podatkov. V zvezi s tem bi moralo Sodišče obravnavati tudi vprašanje o dokaznem bremenu v zvezi s tem, ali je posameznik, na katerega se nanašajo osebni podatki, dal svojo privolitev.<TI><P><HT TYPE="BOLD">Pravni okvir</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Pravo EU</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Direktiva 95/46/ES</HT></P></TI>3.V skladu s členom 2(h) Direktive 95/46/ES

Direktiva Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).

 v tej direktivi privolitev posameznika, na katerega se nanašajo osebni podatki pomeni vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo.4.Poglavje II navedene direktive obravnava splošna pravila o zakonitosti obdelave osebnih podatkov.5.Člen 6 iste direktive o načelih v zvezi s kakovostjo podatkov

Člen 6 je edini člen oddelka I poglavja II Direktive 95/46.

 določa:

1.

Države članice določijo, da morajo biti osebni podatki:

(a)pošteno in zakonito obdelani;(b)zbrani za določene, izrecne ter zakonite namene in se ne smejo naprej obdelovati na način, ki je nezdružljiv s temi nameni. Nadaljnja obdelava podatkov v zgodovinske, statistične ali znanstvene namene se ne šteje za nezdružljivo, če države članice zagotovijo ustrezne zaščitne ukrepe;(c)primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali nadalje obdelujejo;

[…]

2.Upravljavec mora zagotoviti, da se ravna skladno z odstavkom 1.

6.Člen 7 Direktive 95/46 obravnava merila za zakonitost obdelave podatkov.

Člen 7 je edini člen oddelka II poglavja II Direktive 95/46.

 V skladu s to določbo:

[d]ržave članice določijo, da se lahko osebni podatki obdelujejo samo, če:

(a)je posameznik, na katerega se osebni podatki nanašajo, nedvoumno dal svojo privolitev; ali(b)je obdelava potrebna za izvajanje pogodbe, katere stranka je posameznik, na katerega se nanašajo osebni podatki, ali pa za izvajanje ukrepov na zahtevo posameznika, na katerega se osebni podatki nanašajo, pred sklenitvijo pogodbe;

[…].

<TI><P><HT TYPE="ITALIC">Uredba (EU) 2016/679</HT></P></TI>7.V skladu s členom 4(4) Uredbe (EU) 2016/679

Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1).

 v tej uredbi privolitev posameznika, na katerega se nanašajo osebni podatki pomeni vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj.8.Člen 6(1)(a) in (b) te uredbe določa:

Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe.

9.Člen 7(1) iste uredbe določa, da [k]adar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Romunsko pravo</HT></HT></P></TI>10.Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (zakon št. 677/2001 o varstvu oseb pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov; v nadaljevanju zakon št. 677/2001)

Monitorul Oficial al României, Partea I, št. 790 z dne 12. decembra 2001.

 določa, da je treba določbe Direktive 95/46 prenesti v nacionalno pravo.11.Člen 32 navedenega zakona določa:

Če upravljavec ali oseba, ki jo je ta zadolžil, obdela osebne podatke, tako da krši določbe členov od 4 do 10 ali tako, da ne upošteva pravic, določenih s členi od 12 do 15 ali členom 17, je to kršitev upravne dolžnosti, če ta ni storjena v takšnih okoliščinah, da je kaznivo dejanje, in se kaznuje z denarno kaznijo od 10.000.000 starih levov [1000 romunskih levov (RON)] do 250.000.000 starih levov [25.000 RON].

<TI><P><HT TYPE="BOLD">Dejansko stanje, postopek in predloženi vprašanji</HT></P></TI>12.Družba Orange România SA (v nadaljevanju: Orange România) je ponudnica mobilnih telekomunikacijskih storitev na romunskem trgu, ki ponuja storitve po sistemu PrePay

V tem primeru prejemniki vnaprej plačajo ceno storitev, ki jim bodo dobavljene kasneje.

 in na podlagi sklenjene pogodbe o storitvah

V tem primeru ceno za storitve, ki jih je opravila družba, prejemniki plačajo po dobavi teh storitev na podlagi izdanih računov.

.13.Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (nacionalni organ za nadzor nad obdelavo osebnih podatkov, Romunija; v nadaljevanju: ANSPDCP) je 28. marca 2018 na podlagi člena 32 zakona št. 677/2001 v povezavi s členom 8 tega zakona izdal poročilo, ki je vključevalo naložitev upravne sankcije družbi Orange România, ker naj bi ta zbirala in hranila fotokopije osebnih dokumentov svojih strank, ne da bi od teh pridobila izrecno privolitev.14.V zvezi s tem je ANSPDCP navedel, da je družba Orange România s posameznimi strankami v poslovnih prostorih sklenila pogodbe v papirnati obliki o zagotavljanju mobilnih telekomunikacijskih storitev in da so bile fotokopije njihovih osebnih dokumentov priložene k tem pogodbam. Vsebina teh pogodb je med drugim vključevala izjavo, da je bila stranka obveščena in je privolila, da družba (Orange România) zbira in shranjuje navedene fotokopije, in da je bil obstoj privolitve strank ugotovljen s križcem označenimi polji v pisni dokumentaciji, ki je dokazovala obstoj pogodbe.15.Upoštevni odlomek spornih pogodb se glasi:

Stranka v izjavi navaja, da:

(i)je bila pred sklenitvijo pogodbe seznanjena z izbranim tarifnim načrtom, veljavnimi tarifami, minimalnim trajanjem pogodbe, s pogoji prenehanja [pogodbe] in pogoji za pridobitev in uporabo storitev, vključno z območjem pokrivanja storitev, v skladu s členom 11 odločbe št. 158/2015, ki jo je izdal ANCOM [nacionalni organ za upravljanje in regulacijo komunikacij], in odločbo O.U.G. [št.] 34/2014 (zakonska uredba št. 34/2104) ter s svojo pravico do enostranske odpovedi pogodbe, ki se lahko uveljavlja v skladu s členom 1.17 splošnih pogojev poslovanja;(ii)je družba Orange România stranki dala na voljo vse potrebne informacije, da bi ta lahko izrazila svojo ustrezno, izrecno, prostovoljno in posebno privolitev v sklenitev in izrecno sprejetje pogodbe, vključno z vso pogodbeno dokumentacijo, splošnimi pogoji poslovanja ter brošuro o tarifah in storitvah;(iii)je bila seznanjena in je izrecno privolila:

v obdelavo osebnih podatkov v namene, navedene v členu 1.15 splošnih pogojev poslovanja;

v to, da družba [Orange] hrani fotokopije dokumentov, ki vsebujejo osebne podatke, zaradi ugotavljanja istovetnosti;

v obdelavo osebnih podatkov (kontaktna številka in elektronski naslov) zaradi neposrednega trženja;

v obdelavo osebnih podatkov (kontaktna številka in elektronski naslov) zaradi izvajanja tržnih raziskav;

prebral/‑a sem in izrecno soglašam, da se hranijo dokumenti, ki vsebujejo osebne podatke o zdravstvenem stanju;

da podatki iz člena 1.15(10) splošnih pogojev poslovanja niso vključeni v informativne storitve za naročnike in storitve v zvezi z imeniki naročnikov.

16.ANSPDCP navaja, da družba Orange România ni dokazala, da so stranke sprejele informirano odločitev glede zbiranja in shranjevanja fotokopij svojih osebnih dokumentov.17.Družba Orange România je dne 28. marca 2018 pri predložitvenem sodišču vložila tožbo zoper globo.18.V skladu z ugotovitvami predložitvenega sodišča obstajajo pogodbe, v katerih je svoboden izraz privolitve stranke v hrambo fotokopije njenega osebnega dokumenta razviden iz križca, vstavljenega v ustrezno polje, pa tudi pogodbe, v katerih so stranke tako privolitev odklonile. Na podlagi notranjih postopkov, ki se nanašajo na prodajo, družbe Orange România se zdi, da je družba Orange România v zadnjenavedenih primerih zagotovila potrebne informacije glede strankine odklonitve privolitve v hrambo fotokopije osebnega dokumenta tako, da je v zvezi s tem izpolnila posebni obrazec in nato sklenila pogodbo. Tako kljub navedbam, vsebovanim v splošnih pogojih poslovanja družbe Orange România, slednja ni odklonila sklenitve pogodb o naročniških razmerjih s strankami, tudi če te niso privolile v hrambo fotokopije svoje osebne izkaznice.19.Predložitveno sodišče meni, da je v teh okoliščinah še posebej pomembno, da Sodišče odloči o merilih za določanje, ali je privolitev posebna in informirana ter po potrebi o dokazni moči podpisa pogodb, kot so sporne pogodbe v postopku v glavni stvari.20.V teh okoliščinah je Tribunalul Bucureşti (višje sodišče v Bukarešti) z odločbo z dne 14. novembra 2018, ki jo je Sodišče prejelo 29. januarja 2019, v predhodno odločanje predložilo ti vprašanji:1.Kateri pogoji morajo biti v skladu s členom 2(h) [Direktive 95/46] izpolnjeni, da se lahko šteje, da je izjava volje posebna in informirana izjava?2.Kateri pogoji morajo biti v skladu s členom 2(h) [Direktive 95/46] izpolnjeni, da se lahko šteje, da je izjava volje prostovoljno dana izjava?21.Pisna stališča so predložile stranki v postopku v glavni stvari, romunska, italijanska, avstrijska in portugalska vlada ter Evropska komisija. Družba Orange România, romunska vlada in Evropska komisija so bile zastopane na obravnavi 11. decembra 2019.<TI><P><HT TYPE="BOLD">Presoja</HT></P></TI>22.V obravnavani zadevi je Sodišče pozvano, naj specificira pogoje, pod katerimi se lahko privolitev v obdelavo osebnih podatkov šteje za veljavno.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Uvodne pripombe</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Upoštevni pravni instrumenti</HT></P></TI>23.Uredba 2016/679, ki se uporablja od 25. maja 2018,

Na podlagi člena 99(2) Uredbe 2016/679.

 je z učinkom od istega datuma razveljavila Direktivo 95/46.

Glej člen 94(1) Uredbe 2016/679.

24.Sporna odločba ANSPDCP v postopku v glavni stvari je bila sprejeta 28. marca 2018, kar je pred datumom, od katerega se uporablja Uredba 2016/679. Kljub temu ANSPDCP družbi Orange România ni naložil le globe, temveč je od nje zahteval tudi, naj uniči fotokopije spornih osebnih dokumentov. Spor o glavni stvari je prav tako povezan z zadnjenavedeno sodno odredbo. Ta sodna odredba učinkuje v prihodnosti, zaradi česar se zdi, da se navedena uredba uporablja v smislu ratione temporis.25.Posledično bi bilo treba na predloženi vprašanji odgovoriti ob upoštevanju Direktive 95/46 in Uredbe 2016/679.

Glej sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točke od 38 do 43), za podoben pristop v primerljivem položaju in moje sklepne predloge v isti zadevi (C‑673/17, EU:C:2019:246, točke od 44 do 49). Glej tudi sodbo z dne 11. decembra 2018, Weiss in drugi (C‑493/17, EU:C:2018:1000, točka 39).

 Poleg tega bo treba navedeno uredbo upoštevati pri analizi določb Direktive 95/46.

Glej sodbo z dne 24. septembra 2019, GC in drugi (Odstranitev občutljivih podatkov) (C‑136/17, EU:C:2019:773, točka 33).

<TI><P><HT TYPE="ITALIC">Opredelitev obsega vprašanj za predhodno odločanje</HT></P></TI>26.Vprašanji za predhodno odločanje, ki ju je postavilo predložitveno sodišče, sta oblikovani presplošno in preabstraktno, zato ju je treba nekoliko prilagoditi, da bi se ujemali z dejanskim stanjem v postopku v glavni stvari, s čimer bi se predložitvenemu sodišču zagotovili napotki in koristen odgovor na vprašanji. Zato se mi zdi bistveno na kratko opozoriti na dejansko stanje v postopku v glavni stvari, kakor izhaja iz odločbe predložitvenega sodišča, ter na informacije, ki sta jih predložili stranki v postopku, in sicer med obravnavo pred Sodiščem.27.Nacionalni organ za varstvo podatkov v Romuniji, ANSPDCP, je družbo Orange România kaznoval zaradi zbiranja in hrambe fotokopij osebnih dokumentov njenih strank brez njihove privolitve. Navedeni organ je ugotovil, da je družba sklenila pogodbe za zagotavljanje mobilnih telekomunikacijskih storitev in da so bile fotokopije osebnih dokumentov priložene k tem pogodbam. V navedenih pogodbah naj bi bilo zapisano, da so bile stranke obveščene in so privolile v zbiranje in shranjevanje navedenih fotokopij, kot so to dokazovala s križcem označena polja v pogodbenih določilih. Vendar v skladu z ugotovitvami ANSPDCP družba Orange România ni dokazala, da so se zadevne stranke ob sklenitvi pogodb informirano odločile glede zbiranja in shranjevanja navedenih fotokopij.28.Kadar posamezniku, ki želi skleniti pogodbeno razmerje z družbo Orange România, predstavnik navedene družbe svetuje glede določil posamezne pogodbe, navedeni predstavnik običajno dela na računalniku s predlogo pogodbe, ki vsebuje okvirček glede shranjevanja osebnega dokumenta. Stranka naj bi bila seznanjena, da tega okvirčka ni treba odkljukati. Če stranka ne soglaša s fotokopiranjem in shranjevanjem svojega osebnega dokumenta, mora to ročno dokumentirati na pogodbi. Zadnjenavedena zahteva glede ročnega zapisa je določena z internimi prodajnimi pravili družbe Orange România. Poleg tega je stranka z možnostjo odklonitve seznanjena le ustno, ne pa v pisni obliki.29.Ob upoštevanju navedenega ti vprašanji, ki bi ju bilo treba preučiti skupaj, razumem tako, da želi predložitveno sodišče izvedeti, ali posameznik, na katerega se nanašajo osebni podatki in ki namerava skleniti pogodbeno razmerje za zagotavljanje telekomunikacijskih storitev s podjetjem, da svojo posebno in informirano ter prostovoljno izraženo privolitev v smislu člena 2(h) Direktive 95/46 in člena 4(11) Uredbe 2016/679 navedenemu podjetju, če mora na sicer standardizirani pogodbi ročno zapisati, da odklanja privolitev v fotokopiranje in shranjevanje svojih osebnih dokumentov.30.V zvezi s tem se zdi, da predložitveno sodišče potrebuje napotke glede dokaznega bremena in standarda navedenega podjetja.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Privolitev kot predpogoj za obdelavo osebnih podatkov</HT></HT></P></TI>31.Obravnavana zadeva se nanaša na obdelavo osebnih podatkov v primeru sklenitve pogodbe za zagotavljanje telekomunikacijskih storitev.32.Kakršna koli obdelava osebnih podatkov pa mora biti

Očitno predmet izjem in omejitev, določenih v členu 13 Direktive 95/46 in členu 23 Uredbe 2016/679.

 po eni strani v skladu z načeli glede kakovosti podatkov, ki so določena v členu 6 Direktive 95/46 ali členu 5 Uredbe 2016/679, in po drugi strani ustrezati enemu od meril za zakonitost obdelave podatkov, ki so navedena v členu 7 navedene direktive ali v členu 6 navedene uredbe.

Glej sodbo z dne 16. januarja 2019, Deutsche Post (C‑496/17, EU:C:2019:26, točka 57). Glej tudi sodbi z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317, točka 71 in navedena sodna praksa), in z dne 11. decembra 2019, Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, točka 36).

 Kot opozarja Komisija, je šest meril, določenih v členu 7 Direktive 95/46, dejansko izraz širšega načela, določenega v členu 6(1)(a) navedene direktive, ki določa, da morajo biti osebni podatki obdelani pošteno in zakonito.33.Člen 7 Direktive 95/46 določa izčrpen seznam primerov, v katerih je mogoče obdelavo osebnih podatkov šteti za zakonito.

Glej sodbe z dne 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito, (C‑468/10 in C‑469/10, EU:C:2011:777, točka 30); z dne 19. oktobra 2016, Breyer (C‑582/14, EU:C:2016:779, točka 57), in z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točka 53).

 Osebni podatki se lahko obdelujejo, le če se uporablja najmanj eno od šestih meril v zvezi z zakonitostjo obdelave podatkov. Obstoj nedvoumne privolitve posameznika, na katerega se nanašajo osebni podatki, je eno od navedenih meril.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Pojem privolitve</HT></HT></P></TI>34.Privolitev posameznika, na katerega se nanašajo osebni podatki, je v členu 2(h) Direktive 95/46 opredeljena kot vsaka prostovoljno dana posebna in informirana izjava volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo.35.To besedilo pretežno ustreza

Glej tudi Bygrave, L. A., Tosoni, L., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 4(11), C.1., str. 181.

 besedilu člena 4(11) Uredbe 2016/679, v skladu s katerim privolitev posameznika, na katerega se nanašajo osebni podatki, pomeni vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj.

Ta merila so očitno kumulativna, kar pomeni, da se za veljavno privolitev zahteva visok prag, glej Bygrave, L. A., Tosoni, L., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 4(11), C.1., str. 181.

36.Zahteva glede privolitve posameznika, na katerega se nanašajo osebni podatki, je osrednja značilnost, na kateri temelji zakonodaja EU o varstvu podatkov.

Glej moje sklepne predloge v zadevi Planet49 (C‑673/17, EU:C:2019:246, točka 57 in naslednje). Glej tudi Heckmann, D. & Paschke, A., in Ehmann, E., Selmayr, M. (ured.), Datenschutz‑Grundverordnung, Kommentar, C. H. Beck, München, 2. izdaja, 2018, člen 7, točka 9: ključni temelj varstva podatkov.

 Pojavi se tudi v Listini Evropske unije o temeljnih pravicah, kjer je v členu 8 določeno, da se morajo osebni podatki obdelovati pošteno, za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom. Pojem privolitve posamezniku, na katerega se nanašajo osebni podatki, širše gledano, omogoča, da se sam odloči glede zakonitosti omejitev svoje pravice do varstva osebnih podatkov.

Glej v tem smislu Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, str. 232, ki se sklicuje na pravico do samoodločanja glede informacij v tem okviru (kot je to razvilo nemško ustavno sodišče od sodbe z dne 15. decembra 1983, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65,1).

37.Vodilno načelo, ki je podlaga zakonodaje EU o varstvu podatkov, je samostojna odločitev posameznika, ki se je sposoben odločati glede uporabe in obdelave svojih podatkov.

Glej tudi Klement, J. H., v S. Simitis, G. Hornung, I. Spieker gen. Döhmann (ured.), Datenschutzrecht, Nomos, Baden‑Baden, 2019, člen 7, točka 1, ki poudarja, da mora biti v pravnem redu, ki temelji na dostojanstvu, osebni svobodi in odgovornosti ter si prizadeva zanje, obdelava osebnih podatkov zakonita na podlagi samostojne odločitve posameznika, na katerega se nanašajo osebni podatki.

 Zahteva glede privolitve je tista, ki mu omogoča, da sprejme odločitev glede tega, hkrati pa ga ščiti v položajih, ki so že sami po sebi asimetrični.

Glej tudi uvodno izjavo 43 Uredbe 2016/679, ki se nanaša na položaje, v katerih lahko obstaja očitno neravnotežje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem.

 Le kadar je privolitev posebna in informirana ter dana prostovoljno, izpolnjuje zahteve preskusa Direktive 95/46 in Uredbe 2016/679.38.V tej fazi bi bilo treba podati tri nadaljnje kratke pripombe glede očitne razlike v besedilih teh določb.39.Prvič, člen 4(11) Uredbe 2016/679 se v nasprotju s členom 2(h) Direktive 95/46 nanaša na nedvoumnost. Opozoriti moram, da je razlog za to dokaj preprost: člen 7(a) navedene direktive o merilih za zakonitost obdelave podatkov, že zgoraj omenjen, od posameznika, na katerega se nanašajo osebni podatki, zahteva, da poda nedvoumno privolitev, medtem ko ustrezna določba v Uredbi 2016/679 – člen 6(1)(a) – te podrobnosti ne vsebuje. Drugače povedano, navedeno merilo nedvoumnosti je bilo preprosto premaknjeno v splošnejšo določbo v Uredbi 2016/679.40.Drugič, člen 4(11) Uredbe 2016/679 podrobno določa, da posameznik, na katerega se nanašajo osebni podatki, izrazi svojo voljo z izjavo ali jasnim pritrdilnim dejanjem. To pojasnilo je dejansko novo v Uredbi in se pomensko ne odraža v Direktivi 95/46.41.Tretjič, v zvezi z informiranostjo privolitve posameznika, na katerega se nanašajo osebni podatki, se francoska jezikovna različica Direktive 95/46 razlikuje od francoske jezikovne različice Uredbe 2016/679. Medtem ko se člen 2(h) navedene direktive nanaša na manifestation de volonté […] informé, pa člen 4(11) navedene uredbe govori o manifestation de volonté […] eclairée.42.Opozoriti moram, da ta sprememba v besedilu prej zmede kot pa kaj razjasni, kajti kolikor lahko ugotovim, je francoska jezikovna različica edina ali pa vsaj ena izmed redkih jezikovnih različic, ki vsebuje to razlikovanje. Številne jezikovne različice, med njimi naključno drugi romanski jeziki, precej preprosto uporabljajo popolnoma enake pojme v zvezi s tem,

Glej na primer špansko (manifestación de voluntad […] informada), portugalsko (manifestação de vontade […] informada), romunsko (manifestare de voință […] informată), dansko (informeret viljetilkendegivelse), švedsko (informerad viljeyttring) in malteško (infurmata) jezikovno različico.

 medtem ko se lahko druge jezikovne različice na tem mestu rahlo razlikujejo, a še vedno ne vsebujejo razlike, kot jo francoska jezikovna različica.

Glej na primer nizozemsko (op informatie berustende wilsuiting v Direktivi in geïnformeerde wilsuiting v Uredbi), poljsko (świadome […] wskazanie v Direktivi in świadome […] okazanie woli v Uredbi) ter nemško (Willensbekundung, die […] in Kenntnis der Sachlage erfolgt v Direktivi in in informierter Weise […] abgegebene Willensbekundung v Uredbi) jezikovno različico.

43.K pojmu informirane privolitve se bom vrnil spodaj.<TI><P><HT TYPE="ITALIC">Prostovoljno dana privolitev</HT></P></TI>44.Zahteva glede jasne navedbe volje posameznika, na katerega se nanašajo osebni podatki, kaže prej na aktivno kot pa na pasivno ravnanje

Glej sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točka 52).

 in na nujnost avtonomnosti navedenega posameznika pri odločanju, ali bo dal soglasje.

Glej Bygrave, L. A., Tosoni, L., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 4(11), C.1., str. 182.

 V zvezi s specifičnim položajem spletne loterije na spletnem mestu je Sodišče odločilo, da privolitev, dana prek vnaprej označenega potrditvenega polja, ne pomeni aktivnega ravnanja uporabnika spletnega mesta.

Prav tam.

45.Sam trdim, da je tako ugotovitev mogoče v enaki meri uporabiti za podobno besedo: privolitev v obliki vnaprej označenega potrditvenega polja ne more pomeniti aktivne privolitve osebe, ki ima opravka s fizičnim dokumentom, ki ga na koncu podpiše. V takem položaju se namreč ne ve, ali je bilo takšno vnaprej oblikovano besedilo prebrano in razumljeno. Položaj ni nedvoumen. Uporabnik je besedilo lahko prebral ali pa ne. Lahko ga je prezrl iz gole malomarnosti, zaradi česar ni mogoče ugotoviti, ali je bila privolitev dana prostovoljno.

Glej po analogiji moje sklepne predloge v zadevi Planet49 (C‑673/17, EU:C:2019:246, točka 62). Glej tudi sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točka 55).

<TI><P><HT TYPE="ITALIC">Informirana privolitev</HT></P></TI>46.Ne sme biti nobenega prostora za kakršen koli dvom, da posameznik, na katerega se nanašajo osebni podatki, ni bil dovolj informiran.

Nazadnje, informirana privolitev temelji na načelu transparentnosti, kot je to določeno v členu 5(1)(a) Uredbe 2016/679, glej Bygrave, L. A., Tosoni, L., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 4(11), C.4., str. 184.

47.Posameznik, na katerega se nanašajo osebni podatki, mora biti seznanjen z vsemi okoliščinami v zvezi z obdelavo podatkov in njenimi posledicami. Zlasti mora vedeti, kateri podatki se bodo obdelovali, koliko časa bo obdelava trajala, kako bo potekala in za kateri specifični namen. Prav tako mora vedeti, kdo obdeluje podatke in ali so podatki namenjeni prenosu tretjim osebam. Ključnega pomena pa je, da je seznanjen s posledicami zavrnitve privolitve: ali je privolitev v obdelavo podatkov pogoj za sklenitev pogodbe ali ne?

Nekateri menijo, da seznam informacij iz členov 10 in 11 Direktive 95/46 ni izčrpen, tako da lahko upravljavec posamezniku, na katerega se nanašajo osebni podatki, predloži tudi druge relevantne podatke o pogojih uporabe osebnih podatkov. Glej, na primer, Mednis, A.,‘Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46, Monitor Prawniczy (dodatek) 2012, št. 7, str. 27.

<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Dokazno breme</HT></HT></P></TI>48.Postavlja se vprašanje, kdo mora dokazati, da je posameznik, na katerega se nanašajo osebni podatki, bil v položaju, ki mu je omogočal, da je dal svojo privolitev na podlagi pravkar ugotovljenih meril.49.Člen 7(1) Uredbe 2016/679 je jasen in ne dopušča dvoma: kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.

V skladu s to določbo je upravljavec odgovoren in mora biti zmožen dokazati skladnost z dejstvom, da so osebni podatki obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki.

 Ta določba pomeni specifikacijo načela odgovornosti, vsebovanega v členu 5(2) Uredbe 2016/679. Trdil bi, da namen te določbe zahteva široko razlago v zvezi s tem, da mora upravljavec poleg tega, da dokaže, da je posameznik, na katerega se nanašajo osebni podatki, dal svojo privolitev, dokazati tudi, da so bili izpolnjeni vsi pogoji za učinkovitost.

Glej v tem smislu tudi Stemmer, B., v St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, München, 30. izdaja, stanje na dan 1. novembra 2019, člen 7 DSGVO, točka 87, in Buchner, J., Kühling, B., v J. Buchner, B. Kühling (ured.), Datenschutz‑Grundverordnung/BDSG, Kommentar, C. H. Beck, München, 2. izdaja 2018, člen 7 DS‑GVO, točka 22.

50.Nekateri dvomijo v to, da člen 7(1) Uredbe 2016/679 obravnava dokazno breme in opozarjajo na zgodovino nastanka navedene uredbe.

Glej Klement, J. H., v S. Simitis, G. Hornung, I. Spieker gen. Döhmann (ured.), Datenschutzrecht, Nomos, Baden‑Baden, 2019, člen 7, točka 46.

 Čeprav naj bi tako Komisija kot tudi Parlament predlagala besedilo, ki se je izrecno nanašalo na dokazno breme, tako besedilo ni izraženo v sprejetem besedilu in torej obstoječem pravu.51.Ta trditev je vredna podrobnejše analize.52.Prvotni predlog Komisije

V prvotnem predlogu Komisije se je člen 7(1) glasil: Upravljavec mora dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo njegovih osebnih podatkov v določene namene. Glej predlog uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov), COM(2012) 11 final, str. 45.

 se namreč nanaša na dokazno breme, ki ga mora nositi upravljavec. Podobno Parlament v prvi obravnavi

Parlament v prvi obravnavi ni predlagal, naj se besedilo člena 7(1) spremeni v zvezi z besedno zvezo dokazno breme. Zadovoljil se je le z določitvijo, da se člen 7(1) nanaša na položaj, v katerem obdelava temelji na privolitvi. Glej Zakonodajno resolucijo Evropskega parlamenta z dne 12. marca 2014 o predlogu uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov), COM(2012) 11 (UL 2017, C 378, str. 399) str. 428.

 ni nasprotoval temu besedilu. Svet

Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov. Glej Stališče Sveta (EU) št. 6/2016 v prvi obravnavi z namenom sprejetja uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov), sprejeto s strani Sveta dne 8. aprila 2016 (UL 2016, C 159, str. 1), str. 36.

 pa je v zvezi z upravljavcem nadomestil besedno zvezo dokazno breme z besedno zvezo mora biti zmožen dokazati. Končno besedilo je bilo nato sprejeto v tej obliki.53.Sam tej spremembi besedila ne bi pripisoval velikega pomena.

Glej tudi Kosta, E., in Chr. Kuner, L. A. Bygrave, Chr. Docksey (ured.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, člen 7, C.2., str. 349–350.

 Svet nikjer v uvodnih izjavah svojega stališča ne utemeljuje predlagane spremembe besedila.

Glej zlasti uvodni izjavi 42 in 43, ki utemeljujeta člen 7.

 To je znak, da je navedena institucija želela zadevno določbo le jezikovno preoblikovati, ne da bi spremenila njen pomen. S tega vidika besedna zveza mora biti zmožen dokazati dejansko bolj razumljivo opisuje to, kar je mišljeno z dokaznim bremenom.

Zanimivo pojmovno razlago o tem, zakaj dokazno breme nosi upravljavec, je predstavil Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, str. 243–245, ki je vzpostavil vzporednico s položajem na podlagi nacionalnega prava o odgovornosti zdravstvenih delavcev, v katerem dokazno breme prav tako nosijo tisti, ki izvajajo omejitve zadevne pravice.

54.Zato se lahko zanesljivo sklepa, da člen 7(1) Uredbe 2016/679 dokazno breme glede privolitve posameznika, na katerega se nanašajo osebni podatki, v obdelavo osebnih podatkov nalaga upravljavcu.

Poleg tega je to večinoma prevladujoče stališče v pravni literaturi, glej Klabunde, A., v E. Ehmann, M. Selmayr (ured.), Datenschutz‑Grundverordnung, Kommentar, 2. izdaja, C. H. Beck, München, 2018, člen 4, točka 52; Stemmer, B., v St. Brink, H. A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, München, 30. izdaja, stanje na dan 1. novembra 2019, člen 7 DSGVO, točka 87, Buchner, J., Kühling, B., v J. Buchner, B. Kühling (ured.), Datenschutz‑Grundverordnung/BDSG, Kommentar, C. H. Beck, München, 2. izdaja 2018, člen 7 DS‑GVO, točka 22, in Barta, P., Kawecki, M., in P. Litwiński (ured.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C. H. Beck, Varšava 2018, člen 7(1) Uredbe.

 Vse pomisleke glede dane privolitve posameznika, na katerega se nanašajo osebni podatki, mora upravljavec odpraviti z dokazi.

Glej v tem smislu tudi Heckmann, D., Paschke, A., v E. Ehmann, M. Selmayr (ured.), Datenschutz‑Grundverordnung, Kommentar, 2. izdaja, C. H. Beck, München, 2018, člen 7, točka 72.

 Dokazno breme, da je bil posameznik, na katerega se nanašajo osebni podatki, postavljen v položaj, ki mu omogoča, da da prostovoljno, posebno in informirano privolitev, nedvomno nosi subjekt, ki obdeluje podatke.55.Pravni položaj na podlagi Direktive 95/46 ni glede tega nič drugačen.56.Čeprav Direktiva 95/46 ni vsebovala ločene določbe, primerljive s členom 7 Uredbe 2016/679 o pogojih za privolitev, je večino pogojev, določenih v navedenem členu, mogoče najti tudi v navedeni direktivi. Čeprav pravilo o dokaznem bremenu ni izrecno določeno v navedeni direktivi, pa to izhaja vsaj posredno iz njene določbe,

Glej člen 7(a) Direktive 95/46. Moj poudarek.

 da je posameznik, na katerega se osebni podatki nanašajo, nedvoumno dal svojo privolitev.

Glej v tem smislu med številnimi tudi Buchner, J., Kühling, B., v J. Buchner, B. Kühling (ured.), Datenschutz‑Grundverordnung/BDSG, Kommentar, C. H. Beck, München, 2. izdaja, 2018, člen 7 DS‑GVO, točki 5 in 22.

<TI><P><HT TYPE="BOLD">Položaj družbe Orange România</HT></P></TI>57.V nadaljevanju bi ta merila rad uporabil za obravnavano zadevo.58.Uvodoma ugotavljam, da vprašanje, ali lahko družba Orange România od svojih strank zahteva, da privolijo v fotokopiranje in shranjevanje njihovih osebnih dokumentov, ali ne, ne spada na področje te zadeve, saj to za navedeno podjetje ni predpogoj za sklenitev pogodbe. Drugače povedano, v obravnavani zadevi ne gre za razlago člena 7(b) Direktive 95/46 in člena 6(1)(b) Uredbe 2016/679. Glede na to menim, da ima podjetje pravico od strank zahtevati, da zagotovijo nekatere osebne podatke in zlasti da dokažejo svojo istovetnost za sklenitev pogodbe. Zahtevati od stranke, da privoli v fotokopiranje in shranjevanje osebnih dokumentov, pa očitno presega to, kar je potrebno za izvajanje pogodbe.59.Na podlagi razpoložljivih informacij menim, da stranke družbe Orange România v okoliščinah, ki jih je opisalo predložitveno sodišče, ne dajejo svoje prostovoljne, posebne in informirane privolitve.60.Prvič, ni prostovoljno dane privolitve. Zahtevati od stranke, naj ročno zapiše, da ne soglaša s fotokopiranjem in shranjevanjem svoje osebne izkaznice, ne omogoča prostovoljne privolitve v smislu, da je stranka postavljena v položaj, v katerem se ji zdi, da odstopa od običajnega postopka, ki vodi v sklenitev pogodbe. Stranke v zvezi s tem ne smejo imeti občutka, da njihova odklonitev privolitve v fotokopiranje in shranjevanje njihovih osebnih dokumentov ni v skladu z običajnimi postopki. V zvezi s tem bi rad spomnil na to, da je Sodišče v zvezi z dajanjem privolitve posameznika, na katerega se nanašajo osebni podatki, poudarilo njegovo aktivno ravnanje.

Glej sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801, točka 54).

 Za privolitev se torej zahteva pozitivno ukrepanje posameznika, na katerega se nanašajo osebni podatki. V obravnavani zadevi pa je položaj obraten: za zavrnitev privolitve je potrebno pozitivno ukrepanje. Ponovno napotujem na sodbo v zadevi Planet49

Glej sodbo z dne 1. oktobra 2019, Planet49 (C‑673/17, EU:C:2019:801).

 in ugotavljam, da če se za odznačevanje potrditvenega polja, ki vsebuje vnaprej nastavljeno kljukico, šteje, da stranki nalaga preveliko breme, potem je še manj razumno od stranke pričakovati, da bo zavrnitev svoje privolitve zapisala ročno.61.Drugič, ni informirane privolitve. Stranki ni popolnoma jasno, da zaradi zavrnitve privolitve v fotokopiranje in shranjevanje njene osebne izkaznice sklenitev pogodbe ni nemogoča. Stranka se ne odloča na informiran način, če se ne zaveda posledic.62.Tretjič – in le hipotetično – nobenega indica ni, da je družbi Orange România uspelo dokazati, da so stranke privolile v obdelavo svojih osebnih podatkov. V zvezi s tem očitno pomanjkanje jasnosti notranjih postopkov zagotovo ne prispeva k predložitvi dokaza, da je stranka dala privolitev. Takega pomanjkanja jasnosti in spornih navodil prodajnemu osebju očitno ni mogoče šteti v škodo stranke, ki je v obravnavanem primeru posameznik, na katerega se nanašajo osebni podatki.<TI><P><HT TYPE="BOLD">Predlog</HT></P></TI>63.Na podlagi zgornjih preudarkov Sodišču predlagam, naj na vprašanji za predhodno odločanje, ki ju je predložilo Tribunalul Bucureşti (višje sodišče v Bukarešti, Romunija), odgovori:

Posameznik, na katerega se nanašajo osebni podatki in ki namerava skleniti pogodbeno razmerje za zagotavljanje telekomunikacijskih storitev s podjetjem, navedenemu podjetju ne da svoje privolitve, in torej ne da izrecne, informirane in prostovoljne izjave volje v smislu člena 2(h) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter člena 4(11) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov), če mora na sicer standardizirani pogodbi ročno zapisati, da odklanja privolitev v fotokopiranje in hrambo svojih osebnih dokumentov.