C-61/1962019CC0061EU:C:2020:1580001111111

Kohtujurist Szpunari ettepanek – Kohtuasi C‑61/19

Orange România

<TI><P><HT TYPE="UC">Kohtujuristi ettepanek</HT></P><P><HT TYPE="UC">Maciej Szpunar</HT></P><P>esitatud <DATE ISO="20200304">4. märtsil 2020</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="ARAB" NUMBERING.CONTINUED="YES" NOTE.ID="E0001"><P>Algkeel: inglise.</P></NOTE></P></TI><STI><P><HT TYPE="BOLD">Kohtuasi C‑61/19</HT></P><P>Orange România SA</P><P><HT TYPE="ITALIC">versus</HT></P><P>Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)</P><P><HT TYPE="NORMAL">(eelotsusetaotlus, mille on esitanud Tribunalul Bucureşti (Bukaresti esimese astme kohus, Rumeenia))</HT></P></STI>EelotsusetaotlusDirektiiv 95/46/EÜMäärus (EL) 2016/679Üksikisikute kaitse isikuandmete töötlemisel ja selliste andmete vaba liikumineMobiilsideteenusedMõiste andmesubjekti nõusolekKonkreetne ja teadlik tahteavaldusNõusoleku andmine märkeruudu abilTõendamiskohustus1.Tribunalul Bucureşti (Bukaresti esimese astme kohus, Rumeenia) käesolev eelotsusetaotlus tuleneb telekommunikatsiooniteenuste osutaja ja riikliku andmekaitseasutuse vahelisest vaidlusest, mis puudutab kliendiga peetavates lepingulistes läbirääkimistes teenuseosutaja kohustusi seoses isikutunnistuse koopia kopeerimise ja säilitamisega.2.See annab Euroopa Kohtule võimaluse täpsustada andmesubjekti nõusoleku mõistet, mis on ELi andmekaitseõiguse keskne osa, olles juurdunud põhiõiguses andmekaitsele. Selles kontekstis peaks Euroopa Kohus käsitlema ka tõendamiskohustuse küsimust andmesubjekti nõusoleku andmisel.<TI><P><HT TYPE="BOLD">Õiguslik raamistik</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Liidu õigus</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Direktiiv 95/46/EÜ</HT></P></TI>3.Direktiivi 95/46/EÜ

Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355).

 artikli 2 punkti h määratluse kohaselt on andmesubjekti nõusolek kõnealuse direktiivi tähenduses iga vabatahtlik, konkreetne ja teadlik tahteavaldus, millega andmesubjekt annab nõusoleku töödelda tema kohta käivaid andmeid.4.Selle direktiivi II peatükis käsitletakse üldiseid eeskirju isikuandmete töötlemise seaduslikkuse kohta.5.Sama direktiivi artikkel 6 Põhimõtted andmete kvaliteedi kohta

Artikkel 6 on direktiivi 95/46 II peatüki I jao ainus artikkel.

 on sõnastatud järgmiselt:

1.

Liikmesriigid sätestavad selle, et

a)isikuandmeid töödeldakse õiglaselt ja seaduslikult;b)isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ega töödelda hiljem viisil, mis on vastuolus kõnealuste eesmärkidega. Täiendavat töötlemist ajaloo, statistika või teadusega seotud eesmärkidel ei peeta vastuolus olevaks tingimusel, et liikmesriigid kannavad hoolt vajalike tagatiste eest;c)isikuandmed on piisavad, asjakohased ega ületa selle otstarbe piire, mille tarvis neid kogutakse ja/või hiljem töödeldakse;

[…]

2.Lõike 1 järgimise tagab vastutav töötleja.

6.Direktiivi 95/46 artiklis 7 käsitletakse andmetöötluse seaduslikkuse kriteeriume.

Artikkel 7 on direktiivi 95/46 II peatüki II jao ainus artikkel.

 Selles sättes on nähtud ette:

Liikmesriigid sätestavad, et isikuandmeid võib töödelda ainult juhul, kui:

a)andmesubjekt on selleks andnud oma ühemõttelise nõusoleku võib)töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele; […]

[…].

<TI><P><HT TYPE="ITALIC">Määrus (EL) 2016/679</HT></P></TI>7.Määruse (EL) 2016/679

Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; parandus ELT 2016, L 127, lk 3).

 artikli 4 punkti 11 kohaselt tähendab andmesubjekti nõusolek selle määruse tähenduses vabatahtlikku, konkreetset, teadlikku ja ühemõttelist tahteavaldust, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega.8.Selle määruse artikli 6 lõike 1 punktid a ja b on sõnastatud järgmiselt:

Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:

a)andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil;b)isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele.

9.Sama määruse artikli 7 lõikes 1 on sätestatud, et kui töötlemine põhineb nõusolekul, peab vastutaval töötlejal olema võimalik tõendada, et andmesubjekt on nõustunud oma isikuandmete töötlemisega.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Rumeenia õigus</HT></HT></P></TI>10.Seadusega nr 677/2001 isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (Legea nr 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date; edaspidi seadus nr 677/2001)

Monitorul Oficial al României, 1. osa, nr 790, 12.12.2001.

 sätestatakse direktiivi 95/46 sätete ülevõtmine riigisisesesse õigusesse.11.Selle seaduse artiklis 32 on sätestatud:

Kui isikuandmete töötlemisel vastutava töötleja või tema volitatud isiku poolt on rikutud artikleid 4–10 või eiratud artiklites 12–15 või artiklis 17 sätestatud õigusi, on tegemist haldusrikkumisega, kui toimepandud teol ei ole kuriteo tunnuseid, ja selle eest karistatakse rahatrahviga 10000000 vanast leust [1000 Rumeenia leud (RON)] kuni 250000000 vana leuni [25000 Rumeenia leud].

<TI><P><HT TYPE="BOLD">Faktilised asjaolud, menetlus ja eelotsuse küsimused</HT></P></TI>12.Orange România SA on mobiilsideteenuste osutaja Rumeenia turul, osutades teenuseid nii PrePay süsteemi

Sel juhul maksab klient ette talle osutatavate teenuste eest.

 alusel kui ka vastavalt teenuse osutamiseks sõlmitud lepingule

Sel juhul maksab klient äriühingu osutatud teenuste eest pärast teenuste osutamist vastavalt väljastatud arvetele.

.13.28. märtsil 2018 väljastas Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Rumeenia isikuandmete töötlemise riiklik järelevalveasutus, edaspidi ANSPDCP) seaduse nr 677/2001 artikli 32 alusel ja koostoimes sama seaduse artikliga 8 aruande, mis sisaldas Orange România suhtes haldustrahvi määramist põhjusel, et tema klientide isikut tõendavatest dokumentidest olid tehtud koopiad ja neid säilitati, ilma et kliendid oleks andnud selleks sõnaselge nõusoleku.14.Sellega seoses märkis ANSPDCP, et Orange Romania oli sõlminud äriruumides füüsilisest isikust klientidega paberkandjal mobiilsideteenuste osutamise lepingud ja nendele lepingutele olid lisatud klientide isikut tõendavate dokumentide koopiad. Kõnealuste lepingute sisu hõlmas muu hulgas avaldust selle kohta, et klienti oli koopiate kogumisest ja säilitamisest (Orange România poolt) teavitatud ja nad olid selleks andnud nõusoleku ning et klientide nõusoleku olemasolu jäädvustati lepingut tõendava kirjaliku dokumentatsiooni märkeruutu tehtud ristikese abil.15.Kõnealuste lepingute asjakohane lõik on järgmine:

– Klient avaldab, et:

i)teda on enne lepingu sõlmimist teavitatud valitud tariifikavast, kohaldatavatest tariifidest, lepingu minimaalsest kestusest, [lepingu] lõpetamise tingimustest ning teenuste saamise ja kasutamise tingimustest, sealhulgas teenustega hõlmatud piirkond, vastavalt ANCOMi [riiklik kommunikatsiooni juhtimise ja reguleerimise amet] otsuse nr 158/2015 artiklile 11 ning O.U.G. otsusele [nr] 34/2014 (seadusandlik dekreet nr 34/2104), samuti tema õigusest leping ühepoolselt lõpetada, kusjuures seda õigust võib kasutada vastavalt üldtingimuste artiklile 1.17;ii)Orange România on andnud kliendile kogu teabe, mis on vajalik moonutamata, otsese, vabatahtliku ja konkreetse nõusoleku andmiseks lepingu sõlmimise ja sellest tulenevate kohustuste kohta, kaasa arvatud kõik lepingu dokumendid – teenuste kasutamise üldtingimused ning tariife ja teenuseid tutvustav dokument;iii)teda on teavitatud ja ta on andnud oma nõusoleku:

isikuandmete töötlemiseks teenuste kasutamise üldtingimuste artiklis 1.15 ette nähtud otstarbel;

isikuandmeid sisaldavate dokumentide koopiate [Orange’i poolt] säilitamiseks tema isiku tuvastamise eesmärgil;

isikuandmete töötlemiseks (telefoninumber, e-posti aadress) otseturunduse eesmärgil;

isikuandmete töötlemiseks (telefoninumber, e-posti aadress) turu-uuringute tegemiseks;

ta on läbi lugenud ja annab otsese nõusoleku tervislikku seisundit puudutavate isikuandmete säilitamiseks;

teenuste kasutamise üldtingimuste artikli 1.15 lõikes 10 nimetatud andmeid ei ole arvatud abonente ja katalooge puudutavate teabeteenuste koosseisu.

16.ANSPDCP väitel ei ole Orange România suutnud tõendada, et kliendid tegid teadliku valiku nende isikusamasust tõendavate dokumentide koopiate kogumise ja säilitamise kohta.17.Orange România esitas 28. märtsil 2018 eelotsusetaotluse esitanud kohtule trahvi vaidlustamiseks kaebuse.18.Eelotsusetaotluse esitanud kohtu järelduste kohaselt on olemas lepingud, kus kliendi poolt isikut tõendava dokumendi koopia säilitamise suhtes vabalt väljendatud valik tuleneb märkeruutu risti lisamisest, ent esineb ka vastupidiseid juhtumeid, kus kliendid on keeldunud sellist nõusolekut väljendamast. Orange România sisemistest müügireeglitest nähtub, et viimastel juhtudel esitas Orange România vajaliku teabe kliendi keeldumise kohta säilitada tema isikut tõendava dokumendi koopia, täites selleks erivormi ja sõlmides seejärel lepingu. Seega, vaatamata Orange România üldtingimustes sisalduvatele märkustele, ei keeldunud Orange România klientidega liitumislepingu sõlmimisest, isegi kui kliendid keeldusid andmast nõusolekut oma isikutunnistuse koopia säilitamiseks.19.Eelotsusetaotluse esitanud kohus leiab, et nendel asjaoludel on eriti oluline, et Euroopa Kohus otsustaks kriteeriumide üle, mille alusel määratakse kindlaks, kas nõusolek on konkreetne ja teadlik, ning vajaduse korral selliste lepingute, nagu on kõne all põhikohtuasjas, allkirjastamise tõendusjõu üle.20.Neil asjaoludel esitas Tribunalul Bucureşti (Bukaresti esimese astme kohus, Rumeenia) 14. novembri 2018. aasta määrusega, mis saabus Euroopa Kohtusse 29. jaanuaril 2019, järgmised eelotsuse küsimused:1)Millised tingimused peavad direktiivi 95/46 artikli 2 punkti h kohaselt olema täidetud, et saaks järeldada, et tahteavaldus on konkreetne ja teadlik?2)Millised tingimused peavad direktiivi 95/46 artikli 2 punkti h kohaselt olema täidetud, et saaks järeldada, et tahteavaldus on vabatahtlik?21.Kirjalikud seisukohad esitasid põhikohtuasja pooled, Rumeenia, Itaalia, Austria ja Portugali valitsus ning Euroopa Komisjon. 11. detsembril 2019. aastal toimunud kohtuistungil olid esindatud Orange România, Rumeenia valitsus ja Euroopa Komisjon.<TI><P><HT TYPE="BOLD">Analüüs</HT></P></TI>22.Käesoleval juhul palutakse Euroopa Kohtul täpsustada tingimused, mille korral võib nõusolekut isikuandmete töötlemiseks pidada kehtivaks.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Sissejuhatavad märkused</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Kohaldatavad õigusaktid</HT></P></TI>23.Alates 25. maist 2018 kohaldatava määrusega 2016/679 asendati

Vastavalt määruse 2016/679 artikli 99 lõikele 2.

 alates nimetatud kuupäevast direktiiv 95/46.

Vt määruse 2016/679 artikli 94 lõige 1.

24.Põhikohtuasjas kõne all olev ANSPDCP otsus võeti vastu 28. märtsil 2018, st enne kuupäeva, mil hakati kohaldama määrust 2016/679. Sellegipoolest ei määranud ANSPDCP üksnes Orange Româniale trahvi, vaid nõudis ka vaidlusaluste isikut tõendavate dokumentide koopiate hävitamist. Põhikohtuasja vaidlus on seotud ka nimetatud viimase ettekirjutusega. See ettekirjutus avaldab mõju tulevikus, mistõttu näib asjaomane määrus olevat ratione temporis kohaldatav.25.Järelikult tuleb eelotsuse küsimustele vastata, võttes arvesse nii direktiivi 95/46 kui ka määrust 2016/679.

Vt 1. oktoobri 2019. aasta kohtuotsus Planet49 (C‑673/17, EU:C:2019:801, punktid 38–43) sarnase lähenemisviisi kohta võrreldavas olukorras ja minu ettepanek samas kohtuasjas (C‑673/17, EU:C:2019:246, punktid 44–49). Vt ka 11. detsembri 2018. aasta kohtuotsus Weiss jt (C‑493/17, EU:C:2018:1000, punkt 39).

 Lisaks tuleb nimetatud määrust võtta arvesse direktiivi 95/46 sätete analüüsimisel.

Vt 24. septembri 2019. aasta kohtuotsus GC jt (delikaatsetele andmetele viitavate linkide eemaldamine) (C‑136/17, EU:C:2019:773, punkt 33).

<TI><P><HT TYPE="ITALIC">Eelotsuse küsimuste ulatuse kindlaksmääramine</HT></P></TI>26.Eelotsusetaotluse esitanud kohtu kaks küsimust on sõnastatud liiga üldiselt ja abstraktselt ning neid tuleb mõnevõrra kohandada, et viia need vastavusse põhikohtuasja asjaoludega, selleks et suunata eelotsusetaotluse esitanud kohut ja anda küsimustele tarvilikud vastused. Sel eesmärgil pean oluliseks lühidalt rõhutada põhikohtuasja asjaolusid, nagu need nähtuvad eelotsusetaotluse esitanud kohtu määrusest ja menetlusosaliste eelkõige kohtuistungi raames esitatust.27.Rumeenia riiklik andmekaitseasutus ANSPDCP trahvis Orange Româniat klientide isikut tõendavate dokumentide koopiate kogumise ja säilitamise eest ilma nende nõusolekuta. Asjaomane ametiasutus leidis, et äriühing oli sõlminud mobiilsideteenuste osutamise lepingud ja nendele lepingutele olid lisatud isikut tõendavate dokumentide koopiad. Väidetavalt nähti asjaomastes lepingutes ette, et kliente on teavitatud ja nad on andnud nõusoleku nimetatud koopiate kogumiseks ja säilitamiseks, mida tõendab lepingutingimustes märkeruutu ristikese lisamine. ANSPDCP järelduste kohaselt ei ole Orange România aga esitanud tõendeid selle kohta, et lepingute sõlmimise ajal olid asjaomased kliendid nimetatud koopiate kogumise ja säilitamise teadlikult valinud.28.Kui Orange România esindaja nõustab Orange Româniaga lepingulist suhet sõlmida soovivat isikut konkreetse lepingu sätete osas, siis tegutseb asjaomane töötaja tavaliselt arvutis lepinguvormi alusel, mis sisaldab märkeruutu isikut tõendavate dokumentide säilitamise jaoks nõusoleku andmiseks. Klienti nähtavasti teavitatakse sellest, et märkeruutu ei pea tegema ristikest. Kui klient ei ole nõus tema isikut tõendava dokumendi kopeerimise ja säilitamisega, peab ta selle dokumenteerima lepingus ja käsitsi kirjutatuna. Nimetatud käsitsi kirjutamise nõue näib tulenevat Orange România sisemistest müügireeglitest. Lisaks sellele teavitatakse klienti, et ta võib nõusoleku andmisest keelduda, ent seda tehakse üksnes suuliselt ja mitte kirjalikus vormis.29.Seda arvesse võttes mõistan ma neid kaht küsimust, mida tuleb uurida koos, sest eelotsusetaotluse esitanud kohus soovib teada saada, kas andmesubjekt, kes kavatseb astuda ettevõtjaga lepingulisse suhtesse telekommunikatsiooniteenuste osutamiseks, annab oma konkreetse ja teadliku ning vabatahtliku nõusoleku direktiivi 95/46 artikli 2 punkti h ja määruse 2016/679 artikli 4 punkti 11 tähenduses asjaomasele ettevõtjale, kui ta peab käsitsi kirjutades muus suhtes standardses lepingus kinnitama, et ta keeldub andmast nõusolekut tema isikut tõendavate dokumentide kopeerimiseks ja säilitamiseks.30.Sellega seoses näib eelotsusetaotluse esitanud kohus vajavat juhiseid asjaomase ettevõtja tõendamiskohustuse ja tõendamisnõuete kohta.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Nõusolek kui isikuandmete töötlemise eeldus</HT></HT></P></TI>31.Kõnealune juhtum on seotud isikuandmete töötlemisega telekommunikatsiooniteenuste osutamise lepingu sõlmimisel.32.Isikuandmete töötlemine tervikuna peab

Loomulikult tuleb selle suhtes kohaldada direktiivi 95/46 artiklis 13 ja määruse 2016/679 artiklis 23 sätestatud erandeid ja piiranguid.

 esiteks olema kooskõlas direktiivi 95/46 artiklis 6 või määruse 2016/679 artiklis 5 sätestatud andmete kvaliteediga seotud põhimõtetega ja teiseks ühega andmete töötlemise seaduslikkust reguleerivatest kriteeriumidest, mis on loetletud asjaomase direktiivi artiklis 7 või asjaomase määruse artiklis 6.

Vt 16. jaanuari 2019. aasta kohtuotsus Deutsche Post (C‑496/17, EU:C:2019:26, punkt 57). Vt ka 13. mai 2014. aasta kohtuotsus Google Spain ja Google (C‑131/12, EU:C:2014:317, punkt 71 ja seal viidatud kohtupraktika) ning 11. detsembri 2019. aasta kohtuotsus Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punkt 36).

 Nagu märgib komisjon, on direktiivi 95/46 artiklis 7 sätestatud kuus kriteeriumi tegelikkuses asjaomase direktiivi artikli 6 lõike 1 punktis a sätestatud laiema põhimõtte väljendus, millega nähakse ette, et isikuandmeid tuleb töödelda õiglaselt ja seaduslikult.33.Direktiivi 95/46 artikkel 7 näeb ette ammendava loetelu juhtudest, millal isikuandmete töötlemist võib pidada seaduslikuks.

Vt 24. novembri 2011. aasta kohtuotsus Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 ja C‑469/10, EU:C:2011:777, punkt 30); 19. oktoobri 2016. aasta kohtuotsus Breyer (C‑582/14, EU:C:2016:779, punkt 57) ning 1. oktoobri 2019. aasta kohtuotsus Planet49 (C‑673/17, EU:C:2019:801, punkt 53).

 Isikuandmete töötlemine võib toimuda üksnes juhul, kui vähemalt üks kuuest andmete töötlemise seaduslikkusega seotud kriteeriumist on täidetud. Andmesubjekti ühemõttelise nõusoleku olemasolu on üks neist kriteeriumidest.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Nõusoleku mõiste</HT></HT></P></TI>34.Andmesubjekti nõusolek on direktiivi 95/46 artikli 2 punkti h määratluse kohaselt iga vabatahtlik, konkreetne ja teadlik tahteavaldus, millega andmesubjekt annab nõusoleku töödelda tema kohta käivaid andmeid.35.See sõnastus vastab suuresti

Vt ka Bygrave, L. A., Tosoni, L., teoses Kuner, Chr., Bygrave, L. A., Docksey, Chr. (toim), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, art 4(11), C.1., lk 181.

 määruse 2016/679 artikli 4 punkti 11 sõnastusele, mille kohaselt tähendab andmesubjekti nõusolek vabatahtlikku, konkreetset, teadlikku ja ühemõttelist tahteavaldust, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega.

Need kriteeriumid on ilmselt olemuslikult kumulatiivsed, mis tähendab, et nõusoleku kehtivusele on seatud kõrged nõudmised, vt Bygrave, L. A., Tosoni, L., teoses Kuner, Chr., Bygrave, L. A., Docksey, Chr. (toim), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, art 4(11), C.1., lk 181.

36.Andmesubjekti nõusoleku nõue on ELi andmekaitseõiguse keskne osa.

Vt minu ettepanek kohtuasjas Planet49 (C‑673/17, EU:C:2019:246, punkt 57 jj). Vt ka Heckmann, D., Paschke, A., teoses Ehmann, E., Selmayr, M. (toim), Datenschutz-Grundverordnung, Kommentar, C.H. Beck, München, 2. tr, 2018, art 7, punkt 9: andmekaitse nurgakivi.

 See on hõlmatud Euroopa Liidu põhiõiguste hartaga, mille artiklis 8 on sätestatud, et andmeid tuleb töödelda asjakohaselt ning kindlaksmääratud eesmärkidel ja asjaomase isiku nõusolekul või muul seaduses ette nähtud õiguslikul alusel. Laiemas kontekstis võimaldab nõusoleku mõiste asjaomasel andmesubjektil otsustada ise, kas tema isikuandmete kaitse õigusele seatud piirangud on õiguspärased.

Vt selle kohta Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, lk 232, kes osutab käesolevas kontekstis informatsioonilise enesemääramise õigusele (nagu seda on vorminud Saksamaa Liitvabariigi konstitutsioonikohus pärast 15. detsembri 1983. aasta otsust, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65,1).

37.ELi andmekaitseõiguse aluspõhimõte hõlmab sellise isiku iseseisvat otsust, kes on võimeline tegema valikud oma andmete kasutamise ja töötlemise kohta.

Vt ka Klement, J. H., teoses Simitis, S., Hornung, G., Spieker gen. Döhmann, I. (toim), Datenschutzrecht, Nomos, Baden-Baden 2019, art 7, punkt 1, kes rõhutab, et inimväärikusele, isikuvabadusele ja vastutusele tugineval ja seda edendava õiguskorra alusel tuleb isikuandmete töötlemine seadustada andmesubjekti enda määratletud otsusega.

 Just nõusoleku nõue võimaldab tal seda valikut teha ja samas kaitseb teda olukordades, mis on oma olemuselt asümmeetrilised.

Vt ka määruse 2016/679 põhjendus 43, milles on viidatud võimalikele olukordadele, kus andmesubjekt ja vastutav töötleja on selgelt ebavõrdses olukorras.

 Üksnes siis, kui nõusolek antakse vabalt, konkreetselt ja teadlikult, vastab see direktiivi 95/46 ja määruse 2016/679 kriteeriumile.38.Nende sätete sõnastuse ilmse erinevuse kohta tuleb praeguses etapis esitada veel kolm lühikest märkust.39.Esiteks osutab määruse 2016/679 artikli 4 punkt 11 vastupidi direktiivi 95/46 artikli 2 punktile h ühemõttelisele tahteavaldusele. Ma väidan, et selle põhjus on üsna lihtne: nimetatud direktiivi artikli 7 punktis a, mis käsitleb andmete töötlemise seaduslikkuse kriteeriume, millele on osutatud eespool, nõutakse, et andmesubjekt peab andma ühemõttelise nõusoleku, samas kui määruse 2016/679 vastav säte – artikli 6 lõige 1 punkt a – ei sisalda seda täpsustust. Teisisõnu on see ühemõttelise tahteavalduse kriteerium lihtsalt üle viidud määruse 2016/679 üldisemasse sättesse.40.Teiseks täpsustatakse määruse 2016/679 artikli 4 punktis 11, et andmesubjekt väljendab ennast kas avalduse vormis või selge nõusolekut väljendava tegevusega. See täpsustus on määruses tõepoolest uus ja sellel puudub direktiivis 95/46 semantiline vaste.41.Kolmandaks erineb direktiivi 95/46 prantsuskeelne versioon andmesubjekti nõusoleku teadliku olemuse osas määruse 2016/679 prantsuskeelsest versioonist. Kui direktiivi artikli 2 punktis h on esitatud väljend manifestation de volonté […] informée, siis määruse artikli 4 punktis 11 osutatakse väljendile manifestation de volonté […] eclairée.42.Ma väidan, et asjaomane sõnastuse muudatus tekitab rohkem segadust kui selgitab, sest niivõrd, kui ma seda mõistan, on prantsuskeelne versioon ainus või vähemalt üks vähestest keeleversioonidest, kus esineb selline eristus. Mitmes keeleversioonis, sealhulgas muide teistes romaani keeltes, kasutatakse sellega seoses lihtsalt samu termineid,

Vt nt hispaania (manifestación de voluntad […] informada), portugali (manifestação de vontade […] informada), rumeenia (manifestare de voință […] informată), taani (informeret viljetilkendegivelse), rootsi (informerad viljeyttring) ja malta (infurmata) keele versioone.

 samas kui muude keelte versioonides võivad siin esineda väikesed erinevused, mis ei ole siiski nii suured kui prantsuskeelses versioonis.

Vt nt hollandi (op informatie berustende wilsuiting direktiivis ja geïnformeerde wilsuiting määruses), poola (świadome […] wskazanie direktiivis ja świadome […] okazanie woli määruses) ja saksa (Willensbekundung, die […] in Kenntnis der Sachlage erfolgt direktiivis ja in informierter Weise […] abgegebene Willensbekundung määruses) keele versioone.

43.Tulen tagasi teadliku nõusoleku mõiste juurde allpool.<TI><P><HT TYPE="ITALIC">Vabatahtlik nõusolek</HT></P></TI>44.Andmesubjekti tahte avaldamise nõue viitab selgelt aktiivsele, mitte passiivsele tegevusele

Vt 1. oktoobri 2019. aasta kohtuotsus Planet49 (C‑673/17, EU:C:2019:801, punkt 52).

 ning eeldab, et andmesubjektil on märkimisväärne vabadus otsustada selle üle, kas ta annab nõusoleku või mitte.

Vt Bygrave, L. A., Tosoni, L., teoses Kuner, Chr., Bygrave, L. A., Docksey, Chr. (toim), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, art 4(11), C.1., lk 182.

 Kui vaatleme konkreetset olukorda, kus oli tegemist veebisaidil toimuva loosimisega, siis leidis Euroopa Kohus, et eeltäidetud märkeruudu kujul antud nõusolek ei saa osutada veebisaidi kasutaja aktiivsele käitumisele.

Sealsamas.

45.Minu arvates on selline järeldus võrdselt rakendatav ka analoogses maailmas: eeltäidetud märkeruudu kujul antud nõusolek ei saa tähendada aktiivset nõusolekut isiku poolt, kes on sõlmimas füüsilist dokumenti, mille ta lõpuks allkirjastab. Sellises olukorras ei ole teada, kas asjaomane varem koostatud tekst on läbi loetud ja kas sellest on aru saadud. See olukord ei ole ühemõtteline. Tekst võib, ent ei pruugi olla läbi loetud. Võimalik, et lugeja ei ole seda läbi lugenud üksnes hooletusest, mis ei võimalda lõplikult välja selgitada, kas nõusolek on antud vabatahtlikult.

Vt analoogia alusel minu ettepanek kohtuasjas Planet49 (C‑673/17, EU:C:2019:246, punkt 62). Vt ka 1. oktoobri 2019. aasta kohtuotsus Planet49 (C‑673/17, EU:C:2019:801, punkt 55).

<TI><P><HT TYPE="ITALIC">Teadlik nõusolek</HT></P></TI>46.Ei tohi olla vähimatki kahtlust selles, et andmesubjekti teavitati piisavalt.

Lõpuks on teadliku nõusoleku aluseks läbipaistvuse põhimõte, mida on kajastatud määruse 2016/679 artikli 5 lõike 1 punktis a, vt Bygrave, L. A., Tosoni, L., teoses Kuner, Chr., Bygrave, L. A., Docksey, Chr. (toim), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, art 4(11), C.4., lk 184.

47.Andmesubjekti tuleb teavitada kõikidest andmete töötlemisega seotud asjaoludest ja nende tagajärgedest. Eelkõige peab ta teadma, milliseid andmeid töödeldakse, sellise töötlemise kestust, viisi ja konkreetset eesmärki. Samuti peab ta olema kursis, kes andmeid töötleb ja kas andmeid kavatsetakse edastada kolmandatele isikutele. Teda tuleb tingimata teavitada ka nõusoleku andmisest keeldumise tagajärgedest: kas nõusolek andmete töötlemiseks on lepingu sõlmimise tingimus või mitte?

Mõnede autorite arvates ei ole direktiivi 95/46 artiklites 10 ja 11 viidatud teabe loetelu ammendav, mistõttu vastutav töötleja võib anda andmesubjektile ka muud olulist teavet isikuandmete kasutamise tingimuste kohta. Vt näiteks, Mednis, A., Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46, Monitor Prawniczy (dodatek) 2012, nr 7, lk 27.

<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Tõendamiskohustus</HT></HT></P></TI>48.Meil jääb üle küsida, kelle ülesanne on tõendada, et andmesubjekt oli olukorras, mis võimaldas anda äsja kehtestatud kriteeriumidel põhineva nõusoleku.49.Määruse 2016/679 artikli 7 lõige 1 on selge ega jäta kahtlust: kui töötlemine põhineb nõusolekul, peab vastutaval töötlejal olema võimalik tõendada, et andmesubjekt on nõustunud oma isikuandmete töötlemisega

Selle sätte kohaselt lasub vastutaval töötlejal kohustus ja tal peab olema võimalik tõendada vastavust asjaolule, et isikuandmeid töödeldakse andmesubjekti suhtes seaduslikult, õiglaselt ja läbipaistvalt.

. Selle sättega täpsustatakse määruse 2016/679 artikli 5 lõikes 2 kehtestatud vastutuse põhimõtet. Ma väidan, et selle sätte eesmärk eeldab laiaulatuslikku tõlgendamist, sest vastutav töötleja ei pea üksnes tõendama, et andmesubjekt on nõusoleku andnud, vaid ka seda, et kõik tõhususe tingimused on täidetud.

Vt selle kohta ka Stemmer, B., teoses Brink, St., Wolff, H. A., Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, München, 30. tr, seisuga 1. november 2019, art 7 DSGVO, punkt 87; ning Buchner, J., Kühling, B., teoses Buchner, J., Kühling, B. (toim), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2. tr, 2018, art 7 DS-GVO, punkt 22.

50.Mõned autorid kahtlevad selles, et määruse 2016/679 artikli 7 lõige 1 käsitleb tõendamiskohustust, osutades asjaomase määruse ettevalmistavatele materjalidele.

Vt Klement, J. H., teoses Simitis, S., Hornung, G., Spieker gen. Döhmann, I. (toim), Datenschutzrecht, Nomos, Baden-Baden 2019, art 7, punkt 46.

 Väidetakse, et nii komisjon kui ka Euroopa Parlament pakkusid välja sõnastuse, milles osutati sõnaselgelt tõendamiskohustusele, kuid selline sõnastus ei kajastu vastuvõetud tekstis ega seega ka praeguses õiguses.51.Seda väidet tasub lähemalt analüüsida.52.Komisjoni esialgses ettepanekus

Komisjoni esialgses ettepanekus oli artikli 7 lõige 1 järgmine: Vastutav töötleja peab suutma tõendada, et andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid teatavatel eesmärkidel. Vt ettepanek: Euroopa Parlamendi ja nõukogu määrus üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus) COM(2012)11 final, lk 45.

 osutatakse tõepoolest vastutaval töötlejal lasuvale tõendamiskohustusele. Samuti ei seadnud Euroopa Parlament esimesel lugemisel

Parlament ei teinud esimesel lugemisel ettepanekut muuta artikli 7 lõike 1 sõnastust mõiste tõendamiskohustus suhtes. Ta piirdus lihtsalt täpsustusega, et artikli 7 lõige 1 on seotud olukorraga, kus töötlemine põhineb nõusolekul. Vt Euroopa Parlamendi 12. märtsi 2014. aasta seadusandlik resolutsioon ettepaneku kohta võtta vastu Euroopa Parlamendi ja nõukogu määrus üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus) COM(2012)11 final, (ELT 2017, C 378, lk 399, lk 428).

 seda sõnastust kahtluse alla. Just nõukogu

Kui töötlemine põhineb nõusolekul, peab vastutaval töötlejal olema võimalik tõendada, et andmesubjekt on nõustunud oma isikuandmete töötlemisega. Vt nõukogu esimese lugemise seisukoht (EL) nr 6/2016 eesmärgiga võtta vastu Euroopa Parlamendi ja nõukogu määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus), mille nõukogu võttis vastu 8. aprillil 2016, ELT 2016, C 159, lk 1, lk 36.

 asendas mõiste tõendamiskohustus väljendiga peab […] olema võimalik tõendada, osutades sealjuures vastutavale töötlejale. Seejärel võeti lõplik tekst vastu praegusel kujul.53.Ma ei omistaks sellele sõnastuse muudatusele liiga suurt tähtsust.

Vt selle kohta ka Kosta, E., teoses Kuner, Chr., Bygrave, L. A., Docksey, Chr. (toim), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, art 7, C.2., lk 349–350.

 Ühelgi juhul ei põhjenda nõukogu oma seisukoha põhjendustes sõnastuse kavandatud muudatust.

Vt eelkõige artiklit 7 põhjendavaid põhjendusi 42 ja 43.

 See näitab, et asjaomane asutus püüdis muuta vaid vaidlusaluse sätte sõnastust, muutmata selle tähendust. Sellest lähtuvalt kirjeldab väljend peab […] olema võimalik tõendada tegelikult paremini, mida tähendab mõiste tõendamiskohustus.

Huvitava kontseptuaalse selgituse selle kohta, miks lasub tõendamiskohustus vastutaval töötlejal, on esitanud Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, lk 243–245, võrreldes vastavalt riigisisesele õigusele arstide vastutuse olukorda, kus tõendamiskohustus lasub ka neil, kes täidavad kõnealusest põhiseadusest tulenevat piirangut.

54.Seepärast võime kindlalt eeldada, et määruse 2016/679 artikli 7 lõikega 1 pannakse tõendamiskohustus seoses andmesubjekti antud nõusolekuga tema isikuandmete töötlemiseks vastutavale töötlejale.

See on pealegi õiguskirjanduses suuresti valitsev seisukoht, vt Klabunde, A., teoses Ehmann, E., Selmayr, M. (toim), Datenschutz-Grundverordnung, Kommentar, 2. tr, C.H. Beck, München 2018, art 4, punkt 52; Stemmer, B., teoses Brink, St., Wolff, H. A., Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, München, 30. tr, seisuga 1. november 2019, art 7 DSGVO, punkt 87; ning Buchner, J., Kühling, B., teoses Buchner, J., Kühling, B. (toim), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2. tr, 2018, art 7 DS-GVO, punkt 22; ja Barta, P., Kawecki, M., teoses Litwiński, P. (toim), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C.H. Beck, Warsaw 2018, määruse art 7, punkt 1.

 Andmesubjekti nõusoleku andmisega seotud kahtluste ümberlükkamiseks tuleb tõendid esitada vastutaval töötlejal.

Vt selle kohta ka Heckmann, D., Paschke, A., teoses Ehmann, E., Selmayr, M. (toim), Datenschutz-Grundverordnung, Kommentar, 2. tr, C.H. Beck, München 2018, art 7, punkt 72.

 Tõendamiskohustus, et andmesubjekt on asetatud olukorda, mis võimaldab tal anda vabatahtliku, konkreetse ja teadliku nõusoleku, on üheselt töötlemist teostaval üksusel.55.Direktiivi 95/46 kohane õiguslik olukord ei ole selles suhtes erinev.56.Isegi kui direktiiv 95/46 ei sisaldanud nõusoleku tingimusi käsitlevat eraldi sätet, mis on võrreldav määruse 2016/679 artikliga 7, on enamik selles artiklis sätestatud tingimusi leitavad ka asjaomases direktiivis. Ehkki tõendamiskohustuse reeglit ei ole selles direktiivis sõnaselgelt sätestatud, tuleneb vähemalt kaudselt selle sättest

Vt direktiivi 95/46 artikli 7 punkt a. Kohtujuristi kursiiv.

, et andmesubjekt on selleks andnud oma ühemõttelise nõusoleku.

Vt selle kohta ka paljude hulgas Buchner, J., Kühling, B., teoses Buchner, J., Kühling, B. (toim), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2. tr, 2018, art 7 DS-GVO, punktid 5 ja 22.

<TI><P><HT TYPE="BOLD">Orange România olukord</HT></P></TI>57.Asun nüüd kohaldama neid põhimõtteid käesolevas asjas.58.Sissejuhatava märkusena soovin öelda, et küsimus, kas Orange România võib nõuda oma klientidelt nõusolekut isikut tõendavate dokumentide kopeerimiseks ja säilitamiseks, jääb väljapoole selle juhtumi ulatust, sest asjaomasele ettevõtjale ei ole see lepingu sõlmimise eelduseks. Teisisõnu ei käsitle kõnealune juhtum direktiivi 95/46 artikli 7 punkti b ja määruse 2016/679 artikli 6 lõike 1 punkti b tõlgendamist. Sellegipoolest tundub mulle, et ettevõtja seisukohalt on õiguspärane paluda klientidel esitada mõned isikuandmed ja eelkõige lepingu sõlmimisel tõendada oma isikusamasust. Samas näib, et kliendi nõusoleku nõudmine isikut tõendavate dokumentide kopeerimiseks ja säilitamiseks läheb kaugemale sellest, mis on vajalik lepingu täitmiseks.59.Olemasoleva teabe põhjal tundub mulle, et Orange România kliendid ei anna eelotsusetaotluse esitanud kohtu kirjeldatud asjaolude järgi oma vabatahtlikku, konkreetset ja teadlikku nõusolekut.60.Esiteks puudub vabatahtlik nõusolek. Kliendi kohustamine kinnitama käsitsi kirjutatuna, et ta ei nõustu oma isikutunnistuse kopeerimise ja säilitamisega, ei võimalda anda vabatahtlikku nõusolekut selles mõttes, et klient on sattunud olukorda, kus ta pealtnäha kaldub kõrvale lepingu sõlmimiseni viivast tavamenetlusest. Kliendid ei tohi sellega seoses tunda, et nende keeldumine isikut tõendavate dokumentide kopeerimise ja säilitamise nõusolekust ei ole kooskõlas tavamenetlusega. Siinkohal soovin meelde tuletada, et Euroopa Kohus on rõhutanud andmesubjekti aktiivset käitumist nõusoleku andmisel.

Vt 1. oktoobri 2019. aasta kohtuotsus Planet49 (C‑673/17, EU:C:2019:801, punkt 54).

 Seepärast on nõusoleku andmiseks vajalik andmesubjekti positiivne tegevus. Kuid käesolevas asjas näib ilmnevat vastupidine olukord: nõusoleku andmisest keeldumiseks on vaja positiivset tegevust. Vaatleme veel kord kohtuotsust Planet49:

Vt 1. oktoobri 2019. aasta kohtuotsus Planet49 (C‑673/17, EU:C:2019:801).

 kui eeltäidetud märkeruudust ristikese eemaldamist veebisaidil peetakse kliendi seisukohalt liigseks kohustuseks, siis – a fortiori – ei saa kliendilt mõistikult eeldada, et ta keeldub nõusoleku andmisest käsitsi kirjutatud vormis.61.Teiseks puudub teadlik nõusolek. Kliendile ei tehta selgeks, et tema isikutunnistuse kopeerimisest ja säilitamisest keeldumine ei välista lepingu sõlmimist. Klient ei tee teadlikku valikut, kui talle ei ole tagajärjed teada.62.Kolmandaks – ja üksnes hüpoteetiliselt – puuduvad viited sellele, et Orange România on suutnud tõendada, et kliendid andsid nõusoleku oma isikuandmete töötlemiseks. Sellega seoses ei aita ettevõtte sisemiste reeglite ilmne ebaselgus kindlasti tõendada, et klient on nõusoleku andnud. Selline ebaselgus ja müügipersonalile antud vastuolulised juhised ei saa ilmselgelt toimuda kliendi ehk käesoleval juhul andmesubjekti kahjuks.<TI><P><HT TYPE="BOLD">Ettepanek</HT></P></TI>63.Eeltoodud kaalutlusi arvestades teen ettepaneku vastata Tribunalul Bucureşti (Bukaresti esimese astme kohus, Rumeenia) esitatud eelotsuse küsimustele järgmiselt:

Andmesubjekt, kes kavatseb telekommunikatsiooniteenuste saamise eesmärgil astuda lepingulisse suhtesse ettevõtjaga, ei anna oma nõusolekut, st ei avalda ettevõtjale oma konkreetset ja teadlikku ning vabatahtlikku tahet Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ (üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta) artikli 2 punkti h ning Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 (füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus)) artikli 4 punkti 11 tähenduses, kui ta peab muidu standardiseeritud lepingus käsitsi kirjutades deklareerima, et ta keeldub andmast nõusolekut oma isikut tõendavate dokumentide kopeerimiseks ja säilitamiseks.