1.

Šis Tribunalul Bucureşti (Rumunijos apygardos teismas) prašymas priimti prejudicinį sprendimą susijęs su telekomunikacijos paslaugų teikėjo ir nacionalinės duomenų apsaugos institucijos ginču dėl minėto paslaugų teikėjo prievolių, kai, vedant sutartines derybas su klientu, daroma ir saugojama tapatybės kortelės kopija.

2.

Nagrinėdamas šį prašymą Teisingumo Teismas turės galimybę išsamiau paaiškinti sąvoką duomenų subjekto „sutikimas“, kuri yra esminis ES duomenų apsaugos teisės bruožas ir tvirtai įsišaknijęs pagrindinės teisės į duomenų apsaugą elementas. Šiuo atžvilgiu Teisingumo Teismas klausimą dėl įrodinėjimo pareigos taip pat turėtų nagrinėti, kiek tai susiję su tuo, ar duomenų subjektas davė sutikimą.

Teisinis pagrindas

ES teisė

Direktyva 95/46/EB

3.

Pagal Direktyvos 95/46/EB ( 2 ) 2 straipsnio h punktą „duomenų subjekto sutikimas“ reiškia bet kurį savanoriškai ir žinomai duotą konkretų duomenų subjekto pareiškimą, kuriuo duomenų subjektas nurodo savo sutikimą, kad būtų tvarkomi su juo susiję duomenys“.

4.

Tos direktyvos II skyriuje aptariamos bendrosios teisėto asmens duomenų tvarkymo taisyklės.

5.

Tos pačios direktyvos 6 straipsnyje „Duomenų kokybės principai“ ( 3 ) nustatyta:

6.

Direktyvos 95/46 7 straipsnyje reglamentuojami „duomenų tvarkymo teisėtumo kriterijai“ ( 4 ). Pagal šią nuostatą „[v]alstybės narės numato, kad asmens duomenis galima tvarkyti tik tuo atveju, jeigu:

Reglamentas (ES) 2016/679

7.

Pagal Reglamento (ES) 2016/679 ( 5 ) 4 straipsnio 11 punktą taikant reglamentą „duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys“.

8.

To reglamento 6 straipsnio 1 dalies a ir b punktuose nustatyta:

9.

To paties reglamento 7 straipsnio 1 dalyje nustatyta, kad „[k]ai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys“.

Rumunijos teisė

10.

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Įstatymas Nr. 677/2001 dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, toliau – Įstatymas Nr. 677/2001) ( 6 ) į nacionalinę teisę perkeliamos Direktyvos 95/46 nuostatos.

11.

To įstatymo 32 straipsnyje nustatyta:

Faktinės aplinkybės, procesas ir prejudiciniai klausimai

12.

Bendrovė Orange România SA yra judriojo ryšio paslaugų teikėja Rumunijos rinkoje, kuri paslaugas siūlo tiek pagal „išankstinio mokėjimo“ sistemą ( 7 ), tiek sudarant paslaugų teikimo sutartį ( 8 ).

13.

2018 m. kovo 28 d. Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Nacionalinė asmens duomenų tvarkymo priežiūros institucija, toliau – ANSPDCP), remdamasi įstatymo Nr. 677/2001 32 straipsniu, siejant jį su to įstatymo 8 straipsniu, surašė protokolą dėl administracinės nuobaudos Orange România skyrimo dėl to, kad jos klientų tapatybės kopijos buvo daromos ir saugomos be jų aiškaus sutikimo.

14.

Šiuo klausimu ANSPDCP pažymėjo, kad Orange România su pavieniais klientais bendrovės patalpose sudarė popierines sutartis dėl judriojo ryšio paslaugų teikimo ir prie jų pridėjo tapatybės dokumentų kopijas. Į šias sutartis, be kita ko, buvo įtrauktas pareiškimas, kad klientas buvo informuotas apie (Orange România) daromas kopijas ir sutiko, jog šios kopijos būtų renkamos ir saugomos, ir kad klientas savo sutikimą davė tam tikru būdu pažymėdamas atitinkamą langelį rašytiniuose sutarčių sudarymą patvirtinančiuose dokumentuose.

15.

Atitinkama minėtų sutarčių nuostata suformuluota taip:

16.

Pasak ANSPDCP, Orange Romania neįrodė, kad klientai priėmė informacija pagrįstą sprendimą dėl jų tapatybės dokumentų kopijų rinkimo ir saugojimo.

17.

Orange Romania 2018 m. kovo 28 d. prašymą priimti prejudicinį sprendimą pateikusiame teisme pareiškė ieškinį dėl nuobaudos.

18.

Iš prašymą priimti prejudicinį sprendimą pateikusio teismo išvadų matyti, kad esama sutarčių, kuriose klientas savanorišką sprendimą dėl savo tapatybės dokumento kopijos saugojimo patvirtina pažymėdamas atitinkamą langelį, taip pat – priešingų atvejų, kai klientai atsisako pareikšti tokį sutikimą. Iš Orange România prekybos „vidaus procedūrų“ atrodytų, kad pastaraisiais atvejais Orange România pateikė būtiną informaciją dėl kliento atsisakymo saugoti dokumento tapatybės kopiją, su kuria susipažįstama šiuo tikslu užpildant konkrečią formą ir paskui sudarant sutartį. Taigi, nepaisant Orange România bendrosiose nuostatose ir sąlygose pateiktų nuorodų, Orange România neatsisakė pasirašyti abonentinių sutarčių su klientais net ir tais atvejais, kai jie atsisakė duoti sutikimą dėl jų tapatybės dokumento kopijos saugojimo.

19.

Prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad šiomis aplinkybėmis ypač svarbu, kad Teisingumo Teismas priimtų sprendimą dėl kriterijų, kuriais remiantis nustatoma, ar sutikimas yra „konkretus“ ir „pagrįstas informacija“, ir, kai tinkama, dėl parašo ant tokių sutarčių, kaip nagrinėjamos pagrindinėje byloje, įrodomosios galios.

20.

Būtent šiomis aplinkybėmis 2018 m. lapkričio 14 d. nutartyje, kurią Teisingumo Teismas gavo 2019 m. sausio 29 d., Tribunalul Bucureşti (Bukarešto apygardos teismas) prašo priimti prejudicinį sprendimą dėl šių klausimų:

21.

Rašytines pastabas pateikė pagrindinės bylos šalys, Rumunijos, Italijos, Austrijos ir Portugalijos vyriausybės bei Europos Komisija. Orange România, Rumunijos vyriausybės ir Europos Komisijos atstovai dalyvavo 2019 m. gruodžio 11 d. surengtame posėdyje.

Vertinimas

22.

Šioje byloje Teisingumo Teismo prašoma nurodyti konkrečias sąlygas, kuriomis sutikimas tvarkyti asmens duomenis gali būti laikomas galiojančiu.

Preliminarios pastabos

Dėl taikytinų teisės aktų

23.

Reglamentu 2016/679, kuris taikomas nuo 2018 m. gegužės 25 d. ( 9 ), tą pačią dieną buvo panaikinta Direktyva 95/46 ( 10 ).

24.

Pagrindinėje byloje nagrinėjamas ANSPDCP sprendimas buvo priimtas 2018 m. kovo 28 d., t. y. anksčiau, nei buvo pradėtas taikyti Reglamentas 2016/679. Vis dėlto ANSPDCP ne tik skyrė baudą Orange Romania, bet ir reikalavo sunaikinti nagrinėjamų tapatybės dokumentų kopijas. Pagrindinėje byloje nagrinėjamas ginčas taip pat yra susijęs su šiuo įsakymu. Šis įsakymas turės poveikį ateityje, būtent todėl atrodo, kad tas reglamentas turi būti taikomas ratione temporis.

25.

Taigi, atsakant į pateiktus prejudicinius klausimus, reikėtų remtis tiek Direktyva 95/46, tiek Reglamentu 2016/679 ( 11 ). Be to, į tą reglamentą reikės atsižvelgti analizuojant Direktyvos 95/46 nuostatas ( 12 ).

Prašyme priimti prejudicinį sprendimą pateiktų klausimų apimties nustatymas

26.

Prašymą priimti prejudicinį sprendimą pateikusio teismo užduoti du klausimai yra pernelyg bendro pobūdžio ir abstraktūs, todėl juos reikia šiek tiek susiaurinti, kad jie atitiktų pagrindinės bylos faktines aplinkybes, siekiant prašymą priimti prejudicinį sprendimą pateikusiam teismui pateikti rekomendacijas ir naudingą atsakymą į klausimus. Šiuo tikslu, manau, labai svarbu trumpai aptarti pagrindinės bylos faktines aplinkybes, nustatytas remiantis prašymą priimti prejudicinį sprendimą pateikusio teismo nutartimi, ir informacija, kurią bylos šalys visų pirma pateikė per posėdį Teisingumo Teisme.

27.

Rumunijos nacionalinė duomenų apsaugos institucija ANSPDCP nubaudė Orange România už tai, kad ji rinko ir saugojo savo klientų tapatybės dokumentų kopijas be jų sutikimo. Ta institucija nustatė, kad bendrovė sudarė sutartis dėl judriojo ryšio paslaugų teikimo ir kad prie šių sutarčių pridėjo tapatybės dokumentų kopijas. Tose sutartyse tariamai buvo nustatyta, kad klientai buvo informuoti apie šių kopijų rinkimą ir saugojimą ir davė tam sutikimą, kaip matyti iš sutarties sąlygose pažymėtų atitinkamų langelių. Tačiau, remiantis ANSPDCP išvadomis, Orange România nepateikė įrodymų, iš kurių būtų matyti, kad sutarčių sudarymo metu atitinkami klientai dėl šių kopijų rinkimo ir saugojimo galėjo priimti informacija pagrįstą sprendimą.

28.

Kai asmuo nori sudaryti sutartį su Orange România, tos bendrovės atstovas informuoja jį apie konkrečios sutarties sąlygas; paprastai jis dirba kompiuteriu ir naudoja sutarties šabloną, kuriame yra langelis dėl tapatybės dokumento saugojimo, kurį reikia pažymėti. Klientas, atrodo, yra informuojamas, kad šio žymimojo langelio žymėti nereikia. Jeigu klientas nesutinka, kad būtų daroma ir saugoma jo ar jos tapatybės dokumento fotokopija, jis ar ji tai turi patvirtinti sutartyje ir raštu. Šis reikalavimas dėl patvirtinimo raštu, atrodo, yra numatytas Orange Romania vidaus prekybos taisyklėse. Be to, klientas apie galimybę atsisakyti informuojamas tik žodžiu, o ne raštu.

29.

Atsižvelgdamas į šias aplinkybes, manau, kad prašymą priimti prejudicinį sprendimą pateikęs teismas, užduodamas du klausimus, kuriuos reikėtų nagrinėti kartu, siekia išsiaiškinti, ar duomenų subjektas, ketinantis su bendrove sudaryti sutartį dėl judriojo ryšio paslaugų teikimo, duoda tai bendrovei „žinomai konkretų“ ir „savanorišką“ sutikimą, kaip apibrėžta Direktyvos 95/46 2 straipsnio h punkte ir Reglamento 2016/679 4 straipsnio 11 punkte, tuo atveju, kai jis ar ji raštu standartinėje sutartyje turi nurodyti, kad nesutinka su jo ar jos tapatybės dokumentų fotokopijų darymu ir saugojimu.

30.

Šiuo klausimu atrodo, kad prašymą priimti prejudicinį sprendimą pateikusiam teismui reikia pateikti rekomendacijas dėl tos bendrovės prievolės įrodyti ir įrodinėjimo standartų.

Sutikimas kaip būtina asmens duomenų tvarkymo sąlyga

31.

Nagrinėjama byla yra susijusi su asmens duomenų tvarkymu tuo atveju, kai sudaroma judriojo ryšio paslaugų teikimo sutartis.

32.

Visa asmens duomenų tvarkymo veikla turi atitikti ( 13 ), pirma, Direktyvos 95/46 6 straipsnyje arba Reglamento 2016/679 5 straipsnyje nustatytus duomenų kokybės principus, ir, antra, vieną iš teisėtą duomenų tvarkymą reglamentuojančių kriterijų, nurodytų tos direktyvos 7 straipsnyje arba to reglamento 6 straipsnyje ( 14 ). Kaip nurodo Komisija, Direktyvos 95/46 7 straipsnyje išvardyti šeši kriterijai iš tikrųjų yra tos direktyvos 6 straipsnio 1 dalies a punkte nustatyto platesnio principo, pagal kurį asmens duomenys turi būti tvarkomi sąžiningai ir teisėtai, išraiška.

33.

Direktyvos 95/46 7 straipsnyje nustatytas išsamus atvejų, kai asmens duomenų tvarkymas gali būti laikomas teisėtu, sąrašas ( 15 ). Asmens duomenys gali būti tvarkomi tik jeigu taikomas bent vienas iš šešių kriterijų, susijusių su duomenų tvarkymo teisėtumu. Nedviprasmis duomenų subjekto sutikimas yra vienas iš šių kriterijų.

Dėl sutikimo sąvokos

34.

Duomenų subjekto sutikimas apibrėžiamas Direktyvos 95/46 2 straipsnio h punkte kaip bet kuris savanoriškai ir žinomai duotas konkretus duomenų subjekto pareiškimas, kuriuo duomenų subjektas nurodo savo sutikimą, kad būtų tvarkomi su juo susiję duomenys.

35.

Ši formuluotė iš esmės atitinka ( 16 ) Reglamento 2016/679 4 straipsnio 11 punktą, pagal kurį duomenų subjekto sutikimas reiškia bet kurį laisva valia duotą, konkretų ir nedviprasmį tinkamai informuoto duomenų subjekto valios pareiškimą vienareikšmiais veiksmais, kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys ( 17 ).

36.

Duomenų subjekto sutikimas yra esminis ES duomenų apsaugos teisės aspektas ( 18 ). Jis numatytas Europos Sąjungos pagrindinių teisių chartijoje, kurios 8 straipsnyje nustatyta, kad duomenys turi būti tinkamai tvarkomi ir naudojami konkretiems tikslams ir atitinkamam asmeniui sutikus ar kitais įstatymo nustatytais teisėtais pagrindais. Žvelgiant plačiau, sutikimo sąvoka reiškia, kad atitinkamas duomenų subjektas pats gali priimti sprendimą dėl jo ar jos teisės į asmens duomenų apsaugą apribojimų teisėtumo ( 19 ).

37.

Pagrindinis principas, kuris sudaro ES duomenų apsaugos teisės pagrindą, yra susijęs su apsisprendusiu asmeniu, kuris gali priimti sprendimus dėl savo duomenų naudojimo ir tvarkymo ( 20 ). Būtent dėl reikalavimo gauti sutikimą jis ar ji gali priimti šį sprendimą, be to, toks reikalavimas padeda jam ar jai apsisaugoti esant situacijoms, kurios iš esmės yra asimetrinės ( 21 ). Sutikimas atitinka Direktyvoje 95/46 ir Reglamente 2016/679 nustatytus kriterijus tik jeigu jis duotas laisva valia, yra konkretus ir pagrįstas informacija.

38.

Šiame etape reikėtų pateikti tris papildomas trumpas pastabas dėl aiškaus šių nuostatų formuluotės skirtumo.

39.

Pirma, Reglamento 2016/679 4 straipsnio 11 punkte, kitaip nei Direktyvos 95/46 2 straipsnio h punkte, vartojamas žodis „nedviprasmiškas“. Manyčiau, kad taip yra dėl labai paprastos priežasties: anksčiau minėtame šios direktyvos 7 straipsnio a punkte dėl duomenų tvarkymo teisėtumo kriterijų reikalaujama, kad duomenų subjektas „nedviprasmiškai“ duotų sutikimą, o atitinkamoje Reglamento 2016/679 nuostatoje – 6 straipsnio 1 dalies a punkte – šis reikalavimas nenurodytas. Kitaip tariant, šis „nedviprasmiškumo“ kriterijus paprasčiausiai perkeltas į bendresnio pobūdžio Reglamento 2016/679 nuostatą.

40.

Antra, Reglamento 2016/679 4 straipsnio 11 punkte nustatyta, kad duomenų subjektas savo valią išreiškia „pareiškimu arba vienareikšmiais veiksmais“. Iš tiesų tai yra naujas paaiškinimas reglamente, kuris semantiškai neatsispindi Direktyvoje 95/46.

41.

Trečia, kalbant apie duomenų subjekto „informacija pagrįsto“ sutikimo pobūdį, pažymėtina, kad Direktyvos 95/46 versija prancūzų kalba skiriasi nuo Reglamento 2016/679 versijos ta kalba. Tos direktyvos 2 straipsnio h punkte pateikiama nuoroda į „manifestation de volonté <…> informé“, o minėto reglamento 4 straipsnio 11 punkte pateikiama nuoroda į „manifestation de volonté <…> eclairée“.

42.

Manyčiau, kad šis formuluotės pakeitimas įneša daugiau painiavos nei aiškumo, tačiau, kiek suprantu, versija prancūzų kalba yra vienintelė arba bent jau viena iš nedaugelio kalbinių versijų, kuriose daromas šis skirtumas. Daugumoje kalbinių versijų, tarp kurių, beje, yra kitos romanų kalbos, paprasčiausiai vartojamos tokios pat sąvokos ( 22 ), o kitos kalbinės versijos šiuo klausimu gali šiek tiek skirtis, tačiau jose vis tiek nėra tokio skirtumo, koks yra versijoje prancūzų kalba ( 23 ).

43.

Prie sąvokos „informacija pagrįstas“ sutikimas aptarimo dar grįšiu kituose šios išvados punktuose.

Sutikimas, duotas laisva valia

44.

Reikalavimas dėl duomenų subjekto valios „pareiškimo“ akivaizdžiai reiškia aktyvius, o ne pasyvius veiksmus ( 24 ) ir tai, kad duomenų subjektas turi plačią autonomiją pasirinkdamas, ar duoti sutikimą ( 25 ). Dėl konkrečios interneto svetainėje rengiamos loterijos internetu Teisingumo Teismas konstatavo, jog sutikimas, duotas pasitelkiant iš anksto pažymėtą žymimąjį langelį, neapima aktyvių interneto svetainės naudotojo veiksmų. ( 26 ).

45.

Manau, kad tokia išvada yra lygiai taip pat taikoma ne virtualioje tikrovėje: sutikimas, kuris duodamas iš anksto pažymint žymimąjį langelį, negali reikšti aktyvaus asmens, nagrinėjančio popierinį dokumentą, kurį jis ar ji galiausiai pasirašo, sutikimo. Tiesą sakant, esant tokiai situacijai nežinoma, ar iš anksto suformuluotas atitinkamas klausimas buvo perskaitytas ir suprastas. Situacija nėra nedviprasmiška. Tekstas buvo arba nebuvo perskaitytas. „Skaitytojas“ teksto galėjo neperskaityti dėl paprasčiausio aplaidumo, todėl neįmanoma aiškiai nustatyti, ar sutikimas buvo duotas laisva valia ( 27 ).

Informacija pagrįstas sutikimas

46.

Neturi būti jokių abejonių dėl to, kad duomenų subjektas nebuvo pakankamai informuotas ( 28 ).

47.

Duomenų subjektą privaloma informuoti apie visas aplinkybes, susijusias su duomenų tvarkymu ir jo pasekmėmis. Visų pirma jis ar ji privalo žinoti, kokie duomenys bus tvarkomi, kiek toks tvarkymas truks, kaip ir kokiu konkrečiu tikslu duomenys bus tvarkomi. Duomenų subjektas taip pat turi žinoti, kas tvarko duomenis, ir ar ketinama duomenis perduoti trečiosioms šalims. Itin svarbu jį ar ją informuoti apie atsisakymo duoti sutikimą pasekmes: ar sutikimas dėl duomenų tvarkymo yra, ar nėra sutarties sudarymo sąlyga? ( 29 )

Dėl įrodinėjimo pareigos

48.

Kyla klausimas, kas turi įrodyti, kad duomenų subjektas buvo atsidūręs tokioje situacijoje, kai, remiantis ką tik nustatytais kriterijais, galėjo duoti sutikimą.

49.

Reglamento 2016/679 7 straipsnio 1 dalis yra aiški ir nekelia abejonių: kai duomenų tvarkymas yra pagrįstas sutikimu, būtent duomenų valdytojas turi įrodyti, kad duomenų subjektas sutiko, kad jo duomenys būtų tvarkomi ( 30 ). Ši nuostata – tai Reglamento 2016/679 5 straipsnio 2 dalyje numatyto atskaitomybės principo sukonkretinimas. Manyčiau, kad šios nuostatos paskirtį reikia aiškinti plačiai kaip reiškiančią, kad duomenų valdytojas privalo ne tik įrodyti, kad duomenų subjektas davė savo sutikimą, bet ir tai, kad buvo įvykdytos visos sutikimo galiojimo sąlygos ( 31 ).

50.

Kai kurie autoriai abejoja, ar Reglamento 2016/679 7 straipsnio 1 dalyje yra reglamentuojama įrodinėjimo pareiga, ir atkreipia dėmesį į to reglamento teisėkūros istoriją ( 32 ). Nors Komisija ir Parlamentas pasiūlė formuluotę, kurioje aiškiai pateikiama nuoroda į „įrodinėjimo pareigą“, teigiama, kad tokia formuluotė neatsispindi priimtame tekste, taigi ir akte, atsižvelgiant į dabartinę jo formuluotę.

51.

Šį teiginį reikia išnagrinėti atidžiau.

52.

Pradiniame Komisijos pasiūlyme ( 33 ) iš tiesų pateikiama nuoroda į duomenų valdytojui tenkančią „įrodinėjimo pareigą“. Parlamentas per pirmąjį svarstymą ( 34 ) neatsižvelgė į šią formuluotę. Būtent Taryba ( 35 ) su duomenų valdytoju susijusią sąvoką „įrodinėjimo pareiga“ pakeitė sąvoka „turi galėti įrodyti“. Paskui buvo patvirtinta būtent tokia galutinė teksto versija.

53.

Nemanyčiau, kad šis formuluotės pakeitimas yra pernelyg svarbus ( 36 ). Taryba nė vienoje savo pozicijos konstatuojamojoje dalyje nenurodo siūlomo formuluotės pakeitimo argumentų ( 37 ). Tai rodo, kad ta institucija paprasčiausiai siekė pakeisti atitinkamos nuostatos formuluotę, nesiekdama pakeisti jos prasmės. Atsižvelgiant į tai, sąvoka „turi galėti įrodyti“ iš tikrųjų vartojama kaip suprantamesnis sąvokos „įrodinėjimo pareiga“ reikšmės apibūdinimas ( 38 ).

54.

Taigi galime drąsiai teigti, kad pagal Reglamento 2016/679 7 straipsnio 1 dalį prievolė įrodyti duomenų subjekto sutikimą, kad būtų tvarkomi asmens duomenys, tenka duomenų valdytojui ( 39 ). Visas abejones dėl to, ar duomenų subjektas davė sutikimą, turi pašalinti duomenų valdytojas, pateikdamas įrodymus ( 40 ). Duomenis tvarkantis subjektas turi lygiai tokią pat įrodinėjimo, kad duomenų subjektas, atsižvelgiant į padėtį, kurioje jis buvo atsidūręs, sutikimą davė laisva valia, konkrečiai ir būdamas informuotas, pareigą.

55.

Remiantis Direktyva 95/46, teisinė situacija dėl šio aspekto yra tokia pati.

56.

Nors Direktyvoje 95/46 nebuvo atskiros nuostatos, panašios į Reglamento 2016/679 7 straipsnį, kuriame nustatytos sutikimo sąlygos, daugumą tame straipsnyje nustatytų sąlygų taip pat būtų galima rasti toje direktyvoje. Taisyklė dėl įrodinėjimo pareigos nėra aiškiai nustatyta toje direktyvoje, tačiau ją bent jau netiesiogiai galima nustatyti remiantis fraze ( 41 ), kad „duomenų subjektas nedviprasmiškai yra davęs sutikimą“ ( 42 ).

Dėl Orange România situacijos

57.

Dabar šiuos kriterijus norėčiau pritaikyti nagrinėjamai bylai.

58.

Pirmiausia norėčiau nurodyti, kad klausimas, ar Orange România gali reikalauti iš savo klientų sutikti, kad būtų daromos ir saugomos jų tapatybės dokumentų kopijos, nėra šios bylos dalykas, atsižvelgiant į tai, kad tos bendrovės atveju tai nėra būtina sutarties sudarymo sąlyga. Kitaip tariant, nagrinėjama byla yra susijusi ne su Direktyvos 95/46 7 straipsnio b punkto ir Reglamento 2016/679 6 straipsnio 1 dalies b punkto aiškinimu. Vis dėlto, man atrodo, kad įmonė teisėtai prašo klientų pateikti tam tikrus asmens duomenis, visų pirma patvirtinančius jų tapatybę, kad būtų galima sudaryti sutartį. Tačiau atrodo, jog reikalavimas, kad klientas sutiktų su tapatybės dokumentų kopijavimu ir saugojimu, viršija tai, kas yra būtina sutarčiai vykdyti.

59.

Remdamasis prieinama informacija, manau, kad Orange România klientai, atsižvelgiant į prašymą priimti prejudicinį sprendimą pateikusio teismo aprašytas aplinkybes, laisva valia neduoda konkretaus ir informacija pagrįsto sutikimo.

60.

Pirma, šiuo atveju sutikimas nėra duotas laisva valia. Kliento įpareigojimas raštu pareikšti, kad nesutinka, kad jo ar jos tapatybės kortelė būtų kopijuojama ir saugoma, nesudaro sąlygų duoti sutikimą laisva valia, nes klientas atsiduria tokioje padėtyje, kai tariamai nukrypsta nuo įprastos sutarties sudarymui taikytinos procedūros. Klientai neturi manyti, jog nesutikimas, kad jų tapatybės dokumentai būtų kopijuojami ir saugomi, neatitinka įprastų procedūrų. Šiuo klausimu norėčiau priminti, kad Teisingumo Teismas yra atkreipęs dėmesį į aktyvų duomenų subjekto elgesį siekiant duoti savo sutikimą ( 43 ). Taigi, norėdamas duoti sutikimą, duomenų subjektas turi imtis pozityvaus veiksmo. Vis dėlto nagrinėjamoje byloje, atrodo, susidarė priešinga situacija: pozityvaus veiksmo reikia imtis tada, kai norima atsisakyti duoti sutikimą. Vėl grįžtant prie Sprendimo Planet49 ( 44 ), reikia pasakyti, kad jei manoma, jog klientui užkraunama per didelė našta, kai interneto svetainėje jam ar jai reikia panaikinti iš anksto pažymėto langelio žymėjimą, tuomet a fortiori negalima pagrįstai tikėtis, kad klientas atsisakys duoti rašytinės formos sutikimą.

61.

Antra, šiuo atveju sutikimas nėra pagrįstas informacija. Klientui nėra iki galo išaiškinama, kad, kai jis ar ji nesutinka, jog jo ar jos tapatybės kortelė būtų kopijuojama ir saugoma, tai nereiškia, kad dėl to neįmanoma sudaryti sutarties. Kliento priimamas sprendimas nėra pagrįstas informacija, jeigu jis ar ji nežino to sprendimo pasekmių.

62.

Trečia, kalbant tik hipotetiškai, nėra jokių aplinkybių, iš kurių būtų matyti, kad Orange România sugebėjo įrodyti, jog klientai sutiko, kad jų asmens duomenys būtų tvarkomi. Šiuo klausimu akivaizdu, kad vidaus procedūroms trūksta aiškumo, ir tai nepadeda įrodyti, kad klientas davė sutikimą. Akivaizdu, kad dėl to, jog trūksta aiškumo ir kad pardavėjams buvo pateikti prieštaringi nurodymai, negali nukentėti klientas, in casu ‐ duomenų subjektas.

Išvada

63.

Atsižvelgdamas į tai, kas išdėstyta, siūlau Teisingumo Teismui taip atsakyti į Tribunalul Bucureşti (Bukarešto apygardos teismas, Rumunija) pateiktus prejudicinius klausimus: