1.

Tato žádost o rozhodnutí o předběžné otázce podaná Tribunalul Bucureşti (soud prvního stupně v Bukurešti, Rumunsko) vychází ze sporu mezi poskytovatelem telekomunikačních služeb a vnitrostátním orgánem pro ochranu údajů ohledně povinností prvně jmenovaného v případě kopírování a ukládání kopií průkazů totožnosti v rámci smluvních jednání se zákazníky.

2.

Soudnímu dvoru poskytne příležitost blíže objasnit pojem „souhlas“ subjektu údajů, který představuje ústřední prvek unijního práva v oblasti ochrany údajů a který je zakotven v základním právu na ochranu údajů. V této souvislosti by se Soudní dvůr měl také zabývat otázkou důkazního břemene týkající se toho, zda subjekt údajů dal souhlas, či nikoli.

Právní rámec

Unijní právo

Směrnice 95/46/ES

3.

Podle čl. 2 písm. h) směrnice 95/46/ES ( 2 ) se pro účely této směrnice „ ‚souhlasem subjektu údajů‘ [rozumí] jakýkoli svobodný, výslovný a vědomý projev vůle, kterým subjekt údajů dává své svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování“.

4.

Kapitola II uvedené směrnice upravuje obecné podmínky pro zákonnost zpracování osobních údajů.

5.

Článek 6 téže směrnice upravující „zásady pro kvalitu údajů“ ( 3 ) zní takto:

6.

Článek 7 směrnice 95/46 upravuje „zásady pro oprávněné zpracování údajů“ ( 4 ). Podle tohoto ustanovení platí, že:

Nařízení (EU) 2016/679

7.

Podle čl. 4 odst. 11 nařízení (EU) 2016/679 ( 5 ) se pro účely tohoto nařízení rozumí „ ‚souhlasem‘ subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů“.

8.

Článek 6 odst. 1 písm. a) a b) uvedeného nařízení zní takto:

9.

Článek 7 odst. 1 téhož nařízení stanoví, že „[p]okud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů“.

Rumunské právo

10.

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (zákon č. 677/2001 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, dále jen „zákon č. 677/2001“) ( 6 ) provádí ustanovení směrnice 95/46 do vnitrostátního práva.

11.

Článek 32 tohoto zákona zní následovně:

Skutkový stav, řízení a předběžné otázky

12.

Společnost Orange România SA je poskytovatelkou mobilních telekomunikačních služeb na rumunském trhu, která nabízí služby buď prostřednictvím předplatného „PrePay“ ( 7 ), nebo prostřednictvím uzavření smluv o poskytování služeb ( 8 ).

13.

Dne 28. března 2018 Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Národní úřad pro dohled nad zpracováním osobních údajů, Rumunsko, dále jen „ANSPDCP“) vyhotovil na základě článku 32 zákona č. 677/2001 ve spojení s článkem 8 tohoto zákona protokol, kterým byla společnosti Orange România uložena správní sankce z důvodu, že k uchovávání a shromažďování kopií dokladů totožnosti jejích zákazníků docházelo bez výslovného souhlasu zákazníků.

14.

V této souvislosti ANSPDCP poznamenal, že společnost Orange România uzavřela na své pobočce s fyzickými osobami papírové smlouvy o poskytování mobilních telekomunikačních služeb, k nimž byly připojeny kopie dokladů totožnosti těchto osob. Tyto smlouvy obsahují zejména údaj, že dotyční zákazníci byli informováni a udělili souhlas se shromažďováním a uchováním těchto kopií (společností Orange România) a že existence souhlasu zákazníků byla potvrzena zaškrtnutím políčka obsaženého ve smluvních ujednáních.

15.

Relevantní část dotčených smluv zní následovně:

–

„Zákazník prohlašuje, že:

16.

Podle ANSPDCP společnost Orange România neprokázala, že zákazníci učinili vědomou volbu, pokud jde o shromažďování a uchovávání kopií jejich dokladů totožnosti.

17.

Společnost Orange România podala proti pokutě ze dne 28. března 2018 žalobu k předkládajícímu soudu.

18.

Podle zjištění předkládajícího soudu existují smlouvy, ve kterých je volba svobodně vyjádřená zákazníkem, pokud jde o uchování kopie jeho dokladu totožnosti, provedena zaškrtnutím políčka, ale i opačné případy, ve kterých zákazníci takovýto souhlas odmítli vyjádřit. Z „interních prodejních postupů“ společnosti Orange România vyplývá, že v posledně jmenovaných případech společnost Orange România uvedla nezbytné informace týkající se odepření souhlasu zákazníka s uchováním kopie jeho dokladu totožnosti ve zvláštním formuláři a následně smlouvu uzavřela. Navzdory údajům obsaženým ve všeobecných obchodních podmínkách společnosti Orange România tato společnost neodmítla se zákazníky uzavřít smlouvy o předplatném, i když zákazníci nesouhlasili s tím, aby kopie jejich dokladů totožnosti byly uchovávány.

19.

Předkládající soud má za to, že za těchto okolností je zvláště důležité, aby Soudní dvůr rozhodl o kritériích určujících, zda je souhlas „výslovný“ a „vědomý“, a případně i o důkazní hodnotě podpisu takových smluv, jako jsou smlouvy, které jsou předmětem sporu v původním řízení.

20.

Za těchto okolností Tribunalul Bucureşti (soud prvního stupně v Bukurešti) položil usnesením ze dne 14. listopadu 2018, doručeným Soudnímu dvoru dne 29. ledna 2019, následující předběžné otázky:

21.

Písemná vyjádření předložili účastníci původního řízení, rumunská, italská, rakouská a portugalská vláda a Evropská komise. Na jednání konaném dne 11. prosince 2019 byly zastoupeny společnost Orange România, rumunská vláda a Evropská komise.

Posouzení

22.

V projednávané věci je Soudní dvůr vyzván, aby vymezil podmínky, za nichž lze souhlas se zpracováním osobních údajů považovat za platný.

Úvodní poznámky

K použitelným právním nástrojům

23.

Nařízením 2016/679, které se použije ode dne 25. května 2018 ( 9 ), byla s účinkem od téhož data zrušena směrnice 95/46 ( 10 ).

24.

Rozhodnutí ANSPDCP dotčené v původním řízení bylo přijato dne 28. března 2018, což předchází datu, od kterého se použije nařízení 2016/679. ANSPDCP nicméně společnosti Orange România uložil nejen pokutu, ale také požadoval, aby zničila kopie dotčených dokladů totožnosti. Spor v původním řízení se týká rovněž tohoto posledně uvedeného příkazu. Tento příkaz má účinek do budoucnosti, a proto se v tomto rozsahu dané nařízení jeví jako použitelné ratione temporis.

25.

V důsledku toho je na položené otázky třeba odpovědět s ohledem jak na směrnici 95/46, tak na nařízení 2016/679 ( 11 ). Kromě toho bude třeba toto nařízení zohlednit v rámci analýzy ustanovení směrnice 95/46 ( 12 ).

Vymezení rozsahu předběžných otázek

26.

Obě otázky položené předkládajícím soudem jsou formulovány příliš obecným a abstraktním způsobem a je třeba je poněkud upravit, aby je bylo možné sladit se skutkovými okolnostmi původního řízení s cílem poskytnout předkládajícímu soudu vodítko a užitečnou odpověď na tyto otázky. Za tímto účelem považuji za nezbytné stručně poukázat na skutkový stav v původním řízení, který vyplývá z usnesení předkládajícího soudu a informací poskytnutých účastníky řízení, zejména během jednání před Soudním dvorem.

27.

Vnitrostátní orgán pro ochranu údajů v Rumunsku, ANSPDCP, uložil společnosti Orange România sankci za shromažďování a uchovávání kopií dokladů totožnosti zákazníků bez jejich souhlasu. Tento orgán shledal, že společnost uzavřela smlouvy o poskytování mobilních telekomunikačních služeb a že k těmto smlouvám byly přiloženy kopie dokladů totožnosti. Tyto smlouvy údajně obsahovaly ujednání o tom, že zákazníci byli informováni a udělili souhlas se shromažďováním a uchováváním těchto kopií, což je doloženo zaškrtnutím políček v příslušných smluvních ujednáních. Podle zjištění ANSPDCP však společnost Orange România neposkytla důkazy o tom, že v době uzavření smluv měli dotyční zákazníci možnost vědomé volby, pokud jde o shromažďování a uchovávání těchto kopií.

28.

Ve chvíli, kdy je osoba, která si přeje vstoupit do smluvního vztahu se společností Orange România, informována zástupcem této společnosti o ujednáních konkrétní smlouvy, pracuje tento zástupce obvykle na počítači se vzorem smlouvy, který obsahuje zaškrtávací políčko potvrzující volbu uchovávání dokladu totožnosti. Zákazník je patrně informován, že toto zaškrtávací políčko nemusí být zaškrtnuto. Pokud zákazník nesouhlasí s okopírováním a uchováváním kopie svého dokladu totožnosti, musí to do smlouvy vlastnoručně uvést. Tento posledně uvedený požadavek patrně vyplývá z interních prodejních pravidel společnosti Orange România. Zákazník je navíc o možnosti odmítnout informován, ale pouze ústně, a nikoli písemnou formou.

29.

Na základě těchto skutečností chápu obě otázky, které je třeba zkoumat společně, tak, že předkládající soud se snaží zjistit, zda subjekt údajů, který má v úmyslu vstoupit do smluvního vztahu za účelem poskytování telekomunikačních služeb se společností, uděluje této společnosti „výslovný a vědomý“ a „svobodně vyjádřený“ souhlas ve smyslu čl. 2 písm. h) směrnice 95/46 a čl. 4 odst. 11 nařízení 2016/679, pokud musí na jinak standardizované smlouvě vlastnoručně uvést, že nesouhlasí s okopírováním a uchováváním svých dokladů totožnosti.

30.

V této souvislosti předkládající soud potřebuje podle všeho vodítko stran důkazního břemene a úrovně důkazů dané společnosti.

Souhlas jako předpoklad pro zpracování osobních údajů

31.

Dotčený případ se týká zpracování osobních údajů při uzavírání smlouvy o poskytování telekomunikačních služeb.

32.

Jakékoli zpracování osobních údajů přitom musí být zaprvé v souladu ( 13 ) se zásadami pro kvalitu údajů uvedenými v článku 6 směrnice 95/46 nebo článku 5 nařízení 2016/679 a zadruhé musí odpovídat některé ze zásad pro oprávněné zpracování údajů uvedených v článku 7 této směrnice nebo v článku 6 tohoto nařízení ( 14 ). Jak zdůrazňuje Komise, šest kritérií stanovených v článku 7 směrnice 95/46 je ve skutečnosti vyjádřením širší zásady stanovené v čl. 6 odst. 1 písm. a) uvedené směrnice, která stanoví, že osobní údaje musí být zpracovány korektně a zákonným způsobem.

33.

Článek 7 směrnice 95/46 stanoví taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné ( 15 ). Ke zpracování osobních údajů může dojít pouze tehdy, pokud se použije alespoň jedna ze šesti zásad pro oprávněné zpracování údajů. Jednou z těchto zásad je existence nezpochybnitelného souhlasu subjektu údajů.

K pojmu „souhlas“

34.

Souhlas subjektu údajů je pak definován v čl. 2 písm. h) směrnice 95/46 jako jakýkoli svobodný, výslovný a vědomý projev vůle, kterým subjekt údajů dává svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování.

35.

Tato formulace do značné míry odpovídá ( 16 ) znění čl. 4 odst. 11 nařízení 2016/679, podle něhož se souhlasem subjektu údajů rozumí jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením svolení ke zpracování svých osobních údajů ( 17 ).

36.

Požadavek souhlasu subjektu údajů je zásadním prvkem unijních předpisů o ochraně údajů ( 18 ). Je uveden také v Listině základních práv Evropské unie, jejíž článek 8 stanoví, že údaje musí být zpracovány korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem. V širším kontextu umožňuje pojem souhlas dotčenému subjektu údajů rozhodnout se o legitimitě omezení jeho práva na ochranu osobních údajů ( 19 ).

37.

Hlavní zásadou, jež tvoří základ unijního práva v oblasti ochrany údajů, je zásada sebeurčené rozhodnutí jednotlivce, který je schopen rozhodnout o použití a zpracování svých údajů ( 20 ). Učinit takové rozhodnutí mu umožňuje požadavek souhlasu, který jej zároveň chrání v situacích, které jsou ze své povahy asymetrické ( 21 ). Pouze v případě, je-li souhlas svobodný, výslovný a vědomý, splňuje kritéria ve smyslu směrnice 95/46 a nařízení 2016/679.

38.

V této fázi je ještě třeba uvést tři stručné poznámky ke zjevným rozdílům ve formulaci těchto ustanovení.

39.

Zaprvé čl. 4 odst. 11 nařízení 2016/679 na rozdíl od čl. 2 písm. h) směrnice 95/46, používá pojem „jednoznačný“ projev vůle. Řekl bych, že důvod je poměrně jednoduchý: Jak již bylo uvedeno výše, čl. 7 písm. a) uvedené směrnice upravující zásady pro oprávněné zpracování údajů vyžaduje, aby subjekt údajů „nezpochybnitelně“ udělil souhlas, zatímco odpovídající ustanovení nařízení 2016/679 – čl. 6 odst. 1 písm. a) – tuto specifikaci neobsahuje. Jinými slovy, kritérium jednoznačného projevu vůle bylo prostě přesunuto do obecnějšího ustanovení nařízení 2016/679.

40.

Zadruhé čl. 4 odst. 11 nařízení 2016/679 stanoví, že subjekt údajů projevuje svou vůli „prohlášením či jiným zjevným potvrzením“. Toto upřesnění je v nařízení skutečně nové a ve směrnici 95/46 nemá sémantický ekvivalent.

41.

Zatřetí, co se týče „vědomého“ charakteru souhlasu subjektu údajů, francouzská jazyková verze směrnice 95/46 se liší od téže verze nařízení 2016/679. Zatímco čl. 2 písm. h) této směrnice užívá formulaci „manifestation de volonté […] informée“, čl. 4 odst. 11 uvedeného nařízení hovoří o „manifestation de volonté […] eclairée“.

42.

Domnívám se, že tento posun ve formulaci je spíše matoucí, protože, pokud to dokážu posoudit, francouzská jazyková verze je jedinou, nebo alespoň jednou z mála jazykových verzí, která takové rozlišení obsahuje. Řada jazykových verzí, mezi nimiž jsou mimochodem i ostatní románské jazyky, v této souvislosti jednoduše používá totožné termíny ( 22 ), zatímco některé jiné jazykové verze v tomto místě obsahují mírné rozdíly, avšak ne tak výrazné, jako francouzská jazyková verze ( 23 ).

43.

K pojmu „vědomý“ souhlas se vrátím níže.

Svobodný souhlas

44.

Požadavek „projevu“ vůle subjektu údajů jasně poukazuje na aktivní, nikoliv pasivní jednání ( 24 ) a vyžaduje, aby měl subjekt údajů při volbě, zda dát souhlas, či nikoli, vysoký stupeň autonomie ( 25 ). S ohledem na specifickou situaci on-line loterie na internetové stránce Soudní dvůr stanovil, že souhlas udělený předem zaškrtnutým políčkem nepředstavuje aktivní jednání ze strany uživatele internetových stránek ( 26 ).

45.

Mám za to, že uvedený závěr je aplikovatelný i na analogový svět: souhlas ve formě předem zaškrtnutého políčka nemůže představovat aktivní souhlas ze strany osoby vyplňující fyzický dokument, který nakonec podepíše. V takové situaci skutečně není jasné, zda předmětný předem formulovaný text byl přečten a pochopen. Taková situace není jednoznačná. Text mohl, ale také nemusel být přečten. „Čtenář“ mohl jeho čtení opomenout z čiré nedbalosti, takže není možné prokázat, zda byl souhlas poskytnut svobodně ( 27 ).

Vědomý souhlas

46.

Nesmí existovat ani nejmenší pochybnost o tom, že subjekt údajů byl dostatečně informován ( 28 ).

47.

Subjekt údajů musí být informován o všech okolnostech zpracování údajů a jejich důsledcích. Zejména musí být seznámen s tím, jaké údaje mají být zpracovány, po jak dlouhou dobu a za jakým konkrétním účelem. Musí také vědět, kdo bude tyto údaje zpracovávat a zda mají být předány třetím stranám. Podstatné je, že musí být informován o důsledcích odmítnutí souhlasu: je souhlas se zpracováním údajů podmínkou pro uzavření smlouvy, nebo ne ( 29 )?

Důkazní břemeno

48.

Zbývá otázka, kdo je povinen prokázat, že se subjekt údajů nacházel v takové situaci, že byl schopen udělit souhlas na základě právě stanovených kritérií.

49.

Ustanovení čl. 7 odst. 1 nařízení 2016/679 je jednoznačné a neponechává žádný prostor pro pochybnosti: dochází-li ke zpracování na základě souhlasu, je povinností správce, aby prokázal, že subjekt údajů se zpracováním svých údajů souhlasil ( 30 ). Toto ustanovení představuje upřesnění zásady odpovědnosti zakotvené v čl. 5 odst. 2 nařízení 2016/679. Mám za to, že s ohledem na účel tohoto ustanovení je třeba jej vykládat široce v tom smyslu, že správce musí prokázat nejen to, že subjekt údajů udělil souhlas, ale také, že byly splněny všechny podmínky pro jeho účinnost ( 31 ).

50.

Někteří autoři s poukazem na legislativní historii nařízení 2016/679 zpochybňují, že čl. 7 odst. 1 tohoto nařízení upravuje důkazní břemeno ( 32 ). Tvrdí se, že zatímco Komisí i Parlamentem navržené znění výslovně odkazovalo na „důkazní břemeno“, tato formulace nebyla do přijatého textu, a tedy ani do platného práva, promítnuta.

51.

Toto tvrzení si zaslouží hlubší analýzu.

52.

Původní návrh Komise ( 33 ) skutečně používá pojem „důkazní břemeno“, které musí nést správce. Obdobně se v prvním čtení ( 34 ) proti tomuto znění nevymezil ani Parlament. Rada ( 35 ) však ve vztahu ke správci nahradila výraz „důkazní břemeno“ formulací „musí být schopen doložit“. Konečné znění bylo následně přijato v této podobě.

53.

Této změně formulace bych nepřikládal příliš velký význam ( 36 ). Rada v žádném bodě odůvodnění svého stanoviska navrhovanou změnu formulace nezdůvodňuje ( 37 ). Uvedené svědčí o tom, že snahou tohoto orgánu bylo pouze přeformulování znění dotčeného ustanovení, aniž by došlo ke změně jeho významu. Z tohoto úhlu pohledu pojem „schopen doložit“ ve skutečnosti srozumitelnějším způsobem vyjadřuje to, co se rozumí pod pojmem „důkazní břemeno“ ( 38 ).

54.

Můžeme tedy s určitostí předpokládat, že podle čl. 7 odst. 1 nařízení 2016/679 leží důkazní břemeno týkající se souhlasu subjektu údajů se zpracováním osobních údajů na správci ( 39 ). Veškeré pochybnosti týkající se udělení souhlasu subjektu údajů musí být vyvráceny na základě důkazů předložených správcem ( 40 ). Důkazní břemeno stran toho, že se subjekt údajů nacházel v situaci, kdy mohl udělit svobodný, výslovný a vědomý souhlas, leží přímo na subjektu, který provádí zpracování.

55.

Právní stav podle směrnice 95/46 se v tomto ohledu neliší.

56.

I když směrnice 95/46 neobsahovala samostatné ustanovení srovnatelné s článkem 7 nařízení 2016/679 upravujícím podmínky vyjádření souhlasu, většinu zde uvedených podmínek bylo možno rovněž nalézt v uvedené směrnici. Ačkoli pravidlo o důkazním břemenu není v této směrnici výslovně stanoveno, z tohoto článku ( 41 ) přinejmenším nepřímo vyplývá, že „subjekt údajů nezpochybnitelně udělil souhlas“ ( 42 ).

K situaci společnosti Orange România

57.

Rád bych nyní aplikoval uvedená kritéria na projednávanou věc.

58.

Na úvod bych rád konstatoval, že otázka, zda společnost Orange România může požadovat, aby její zákazníci souhlasili s kopírováním a uchováváním svých dokladů totožnosti, překračuje rámec tohoto případu, protože v případě této společnosti nejde o předpoklad pro uzavření smlouvy. Jinými slovy, v dotčeném případě se nejedná o výklad čl. 7 písm. b) směrnice 95/46 a čl. 6 odst. 1 písm. b) nařízení 2016/679. Mám za to, že z hlediska firmy je legitimní žádat zákazníky o poskytnutí některých osobních údajů, zejména o prokázání jejich totožnosti pro účely uzavření smlouvy. Požadavek, aby zákazník souhlasil s kopírováním a uchováváním dokladů totožnosti, jde nicméně patrně nad rámec toho, co je pro plnění smlouvy nezbytné.

59.

Na základě dostupných informací mám za to, že za okolností popsaných předkládajícím soudem zákazníci společnosti Orange România neudělují svobodný, výslovný a vědomý souhlas.

60.

Zaprvé se nejedná o souhlas, který byl dán svobodně. Povinnost zákazníka vyjádřit vlastnoručně psanou formou nesouhlas s okopírováním a uložením svého průkazu totožnosti neumožňuje udělení svobodného souhlasu v tom smyslu, že se zákazník dostává do situace, kdy se citelně odchyluje od běžného postupu, který vede k uzavření smlouvy. Zákazníci v této souvislosti nesmějí mít pocit, že jejich odmítnutí souhlasu s okopírováním a uchováváním dokladů totožnosti není v souladu s běžnými postupy. V této souvislosti bych rád připomněl, že Soudní dvůr klade důraz na aktivní jednání této osoby za účelem projevení jejího souhlasu ( 43 ). Pro udělení souhlasu je proto nezbytný aktivní úkon subjektu údajů. Zdá se však, že v projednávané věci nastala opačná situace: aktivní úkon je nezbytný k odmítnutí souhlasu. Pokud se vrátíme k rozsudku ve věci Planet49 ( 44 ), je-li zrušení předem zaškrtnutého políčka na internetové stránce považováno za příliš velkou zátěž pro zákazníka, nelze tím pádem a fortiori rozumně očekávat, že zákazník odmítne svůj souhlas vlastnoručně psanou formou.

61.

Zadruhé není dán vědomý souhlas. Zákazníkovi nebylo zcela jasně řečeno, že odmítnutí okopírování a uchovávání jeho průkazu totožnosti neznemožňuje uzavření smlouvy. Zákazník neprovede volbu vědomým způsobem, jestliže si není vědom důsledků.

62.

Zatřetí – a to pouze v hypotetické rovině – nic nenasvědčuje tomu, že by společnost Orange România byla schopna prokázat, že zákazníci se zpracováním svých osobních údajů souhlasili. Zjevná nejednoznačnost interních postupů v této souvislosti jistě nenapomáhá k prokázání skutečnosti, že ze strany zákazníka došlo k udělení souhlasu. Takováto nejednoznačnost a protichůdné pokyny prodejců samozřejmě nemohou jít k tíži zákazníka, in casu subjektu údajů.

Závěry

63.

Vzhledem k výše uvedenému navrhuji, aby Soudní dvůr na otázky položené Tribunalul Bucureşti (soud prvního stupně v Bukurešti, Rumunsko) odpověděl následovně: