1. 

Het onderhavige verzoek om een prejudiciële beslissing van de Tribunal București (rechter in eerste aanleg Boekarest, Roemenië) gaat terug op een geschil tussen een aanbieder van telecommunicatiediensten en een nationale gegevensbeschermingsautoriteit inzake de verplichtingen van die aanbieder in het kader van contractuele onderhandelingen met een klant bij het maken van een kopie van een identiteitskaart en het bewaren ervan.

2. 

Het biedt het Hof de gelegenheid een nadere invulling te geven aan het begrip „toestemming” van een betrokkene, een centraal element in het Unierecht inzake gegevensbescherming, dat uiteindelijk is geworteld in het grondrecht op bescherming van persoonsgegevens. In dit verband dient het Hof de kwestie van de bewijslast ook te benaderen met de vraag of de betrokkene al dan geen toestemming heeft verleend.

3.

Volgens artikel 2, onder h), van richtlijn 95/46/EG ( 2 ) wordt onder „toestemming van de betrokkene”, in de zin van deze richtlijn, verstaan „elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”.

4.

Hoofdstuk II van die richtlijn betreft algemene voorschriften voor de rechtmatigheid van de verwerking van persoonsgegevens.

5.

Artikel 6 van die richtlijn, dat gaat over „beginselen betreffende de kwaliteit van de gegevens” ( 3 ), luidt als volgt:

„1.   De lidstaten bepalen dat de persoonsgegevens:

[...]

2.   Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.”

6.

Artikel 7 van richtlijn 95/46 gaat over „beginselen betreffende de toelaatbaarheid van gegevensverwerking”. ( 4 ) Volgens dit artikel geldt het volgende:

„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:

[...]”

7.

Volgens artikel 4, punt 11, van verordening (EU) 2016/679 ( 5 ) wordt onder „toestemming” van de betrokkene in de zin van deze verordening verstaan: „elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt”.

8.

In artikel 6, lid 1, onder a) en b), van die verordening is het volgende bepaald:

„De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

9.

Artikel 7, lid 1, van die verordening bepaalt dat „[w]anneer de verwerking berust op toestemming, [...] de verwerkingsverantwoordelijke [moet] kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens”.

10.

Lege nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (wet nr. 677/2001 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens; hierna: „wet nr. 677/2001”) ( 6 ) strekt tot omzetting van de bepalingen van richtlijn 95/46 in nationale wetgeving.

11.

Artikel 32 van die wet luidt als volgt:

„De verwerking van persoonsgegevens door een voor de verwerking verantwoordelijke of door een door hem gemachtigde persoon, die verricht wordt in strijd met de artikelen 4 tot en met 10 of zonder inachtneming van de in de artikelen 12 tot en met 15 en artikel 17 neergelegde rechten, vormt een bestuursrechtelijke overtreding, voor zover zij niet heeft plaatsgevonden in omstandigheden die een strafbaar feit opleveren, en wordt bestraft met een geldboete van 10000000 oude Roemeense leu (ROL) [(1000 Roemeense leu – RON)] tot 250000000 ROL [(25000 RON)].”

12.

Orange România SA is een aanbieder van mobieletelecommunicatiediensten op de Roemeense markt, die zowel diensten onder het PrePay-systeem ( 7 ) als diensten op basis van een dienstverleningsovereenkomst ( 8 ) aanbiedt.

13.

Op 28 maart 2018 heeft de Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (nationale toezichthoudende autoriteit voor de verwerking van persoonsgegevens, Roemenië; hierna: „ANSPDCP”) krachtens artikel 32 juncto artikel 8 van wet nr. 677/2001 een proces-verbaal opgesteld waarbij onder meer een bestuursrechtelijke sanctie aan Orange România werd opgelegd, op grond dat die onderneming, zonder uitdrukkelijke toestemming van haar klanten, kopieën van hun identiteitsdocumenten had gemaakt en bewaard.

14.

In dit verband heeft de ANSPDCP opgemerkt dat Orange România in het verkooppunt overeenkomsten op papier had afgesloten voor de levering van mobieletelecommunicatiediensten aan individuele klanten en dat kopieën van hun identiteitsdocumenten bij die overeenkomsten waren gevoegd. Die overeenkomsten bevatten onder meer een verklaring dat de klant ervan in kennis was gesteld en ermee had ingestemd dat die kopieën (door Orange România) werden verzameld en bewaard, en dat aangekruiste vakjes in de schriftelijke documenten houdende de overeenkomst het bewijs vormden voor de toestemming van de klanten.

15.

De relevante passage van de betrokken overeenkomsten luidt als volgt:

„De klant verklaart dat:

16.

Volgens de ANSPDCP heeft Orange România niet aangetoond dat klanten een op informatie berustende keuze maakten betreffende de verzameling en opslag van kopieën van hun identiteitspapieren.

17.

Orange România is tegen de geldboete van 28 maart 2018 opgekomen bij de verwijzende rechter.

18.

Volgens de vaststellingen van de verwijzende rechter zijn er overeenkomsten waarin de vrij geuite keuze van de klant met betrekking tot het bewaren van een kopie van zijn of haar identiteitsdocument wordt aangegeven door een aangekruist vakje, en in tegengestelde gevallen blijkt uit de weigering die toestemming te uiten. Uit de „interne verkoopprocedures” van Orange România blijkt dat zij in laatstgenoemde gevallen de nodige informatie over de weigering van de klant om een kopie van zijn identiteitsdocument te bewaren heeft vermeld op een speciaal daarvoor bestemd formulier en vervolgens de overeenkomst met de klant heeft gesloten. Ondanks de aanwijzingen in haar algemene voorwaarden, heeft Orange România dus niet geweigerd om abonnementsovereenkomsten met klanten te sluiten, ook niet als die klanten weigerden toestemming te geven voor het bewaren van een kopie van hun identiteitskaart.

19.

De verwijzende rechter is van oordeel dat het in deze omstandigheden bijzonder belangrijk is dat het Hof zich uitspreekt over de criteria aan de hand waarvan kan worden bepaald of er sprake is van „specifieke” en „op informatie berustende” toestemming en, in voorkomend geval, over de bewijskracht van de ondertekening van overeenkomsten als die welke in het hoofdgeding aan de orde zijn.

20.

In deze omstandigheden heeft de Tribunal București, bij beslissing van 14 november 2018, ingekomen bij het Hof op 29 januari 2019, het Hof de volgende prejudiciële vragen voorgelegd:

21.

Schriftelijke opmerkingen zijn ingediend door partijen in het hoofdgeding, de Roemeense, de Italiaanse, de Oostenrijkse en de Portugese regering en de Europese Commissie. Orange România, de Roemeense regering en de Europese Commissie waren vertegenwoordigd ter terechtzitting van 11 december 2019.

22.

In deze zaak wordt het Hof verzocht te verduidelijken onder welke voorwaarden toestemming voor de verwerking van persoonsgegevens als geldig kan worden beschouwd.

23.

Bij verordening 2016/679, die sinds 25 mei 2018 van toepassing is ( 9 ), is richtlijn 95/46 met ingang van diezelfde datum ingetrokken. ( 10 )

24.

Het in het hoofdgeding aan de orde zijnde besluit van de ANSPDCP is vastgesteld op 28 maart 2018, dus vóór de datum waarop verordening 2016/679 van toepassing is geworden. De ANSPDCP heeft Orange România echter niet alleen een geldboete opgelegd, maar ook van haar geëist dat zij de kopieën van de betrokken identiteitsdocumenten vernietigt. Het hoofdgeding heeft ook betrekking op dit laatste bevel. Dat bevel heeft gevolgen voor de toekomst, zodat de verordening ratione temporis van toepassing blijkt te zijn.

25.

Bijgevolg moeten de gestelde vragen worden beantwoord op basis van zowel richtlijn 95/46 als verordening 2016/679. ( 11 ) Bovendien moet met die verordening rekening worden gehouden bij de analyse van de bepalingen van richtlijn 95/46. ( 12 )

26.

De twee vragen van de verwijzende rechter zijn te algemeen en te abstract geformuleerd en moeten enigszins worden aangepast om ze in lijn te brengen met de feiten van het hoofdgeding, teneinde de verwijzende rechter een richtsnoer en een nuttig antwoord op de vragen te bieden. Daartoe lijkt het mij noodzakelijk om kort te herinneren aan de feiten van het hoofdgeding zoals zij blijken uit de verwijzingsbeslissing en uit de door partijen in het geding, met name ter terechtzitting voor het Hof, verstrekte gegevens.

27.

De nationale autoriteit voor gegevensbescherming in Roemenië, de ANSPDCP, heeft Orange România een sanctie opgelegd wegens het verzamelen en bewaren van kopieën van identiteitsdocumenten van haar klanten zonder hun toestemming. Die autoriteit had vastgesteld dat die vennootschap overeenkomsten had afgesloten voor de levering van mobieletelecommunicatiediensten en dat bij die overeenkomsten kopieën van identiteitsdocumenten waren gevoegd. In die overeenkomsten was beweerdelijk vastgelegd dat de klanten in kennis waren gesteld van en hadden ingestemd met de verzameling en opslag van die kopieën, zoals gestaafd door de aangekruiste vakjes in de contractuele bepalingen. Volgens de vaststellingen van de ANSPDCP heeft Orange România echter geen bewijs geleverd dat de betrokken klanten op het moment van afsluiten van de overeenkomsten een geïnformeerde keuze hadden gemaakt met betrekking tot de verzameling en opslag van die kopieën.

28.

Wanneer een persoon die een contractuele relatie met Orange România wil aangaan, door een vertegenwoordiger van die vennootschap wordt ingelicht over de bepalingen van een specifieke overeenkomst, werkt die vertegenwoordiger, meestal op een computer, met een modelovereenkomst met daarop een selectievakje met betrekking tot de bewaring van een identiteitsdocument. De klant lijkt ervan in kennis te worden gesteld dat het aankruisen van dit vakje niet verplicht is. Indien de klant niet instemt met het fotokopiëren en bewaren van zijn of haar identiteitsdocument, moet hij of zij dit vastleggen in een handgeschreven verklaring op de overeenkomst. Dit laatste vereiste blijkt voort te vloeien uit het interne verkoopreglement van Orange România. Bovendien wordt de klant enkel mondeling, en niet schriftelijk, in kennis gesteld van de mogelijkheid die hij of zij heeft om te weigeren.

29.

In deze context vat ik de twee vragen, die samen moeten worden onderzocht, aldus op dat de verwijzende rechter wenst te vernemen of er kan worden gesteld dat een betrokken persoon die voornemens is met een onderneming een contractuele relatie aan te gaan voor de levering van telecommunicatiediensten, zijn „vrije, specifieke en op informatie berustende” toestemming in de zin van artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679 aan die onderneming verleent wanneer hij op een voor het overige gestandaardiseerde overeenkomst een handgeschreven verklaring dient aan te brengen dat hij toestemming weigert voor het fotokopiëren en bewaren van zijn identiteitsdocumenten.

30.

In dit verband lijkt de verwijzende rechter behoefte te hebben aan richtsnoeren betreffende de bewijslast en de bewijsvereisten voor die onderneming.

31.

De onderhavige zaak betreft de verwerking van persoonsgegevens bij het sluiten van een overeenkomst voor de verstrekking van telecommunicatiediensten.

32.

Elke verwerking van persoonsgegevens moet, ten eerste, stroken ( 13 ) met de in artikel 6 van richtlijn 95/46 of artikel 5 van verordening 2016/679 vastgelegde beginselen betreffende de kwaliteit van de gegevens en, ten tweede, beantwoorden aan een van de in artikel 7 van die richtlijn of artikel 6 van die verordening vermelde criteria voor de toelaatbaarheid van gegevensverwerking. ( 14 ) Zoals de Commissie heeft opgemerkt, zijn de zes in artikel 7 van richtlijn 95/46 genoemde criteria eigenlijk de uitdrukking van een in artikel 6, lid 1, onder a), van die richtlijn neergelegd ruimer beginsel, volgens hetwelk persoonsgegevens eerlijk en rechtmatig moeten worden verwerkt.

33.

Artikel 7 van richtlijn 95/46 bevat een uitputtende lijst van gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt. ( 15 ) De verwerking van persoonsgegevens mag slechts plaatsvinden indien ten minste een van de zes criteria betreffende de toelaatbaarheid van de gegevensverwerking van toepassing is. Een van die criteria is het bestaan van de ondubbelzinnige toestemming van de betrokkene.

34.

Het begrip „toestemming van de betrokkene” wordt in artikel 2, onder h), van richtlijn 95/46 gedefinieerd als elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt.

35.

Die definitie komt grotendeels overeen ( 16 ) met die in artikel 4, punt 11, van verordening 2016/679, volgens welke onder „toestemming” van de betrokkene wordt verstaan: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt. ( 17 )

36.

Het vereiste van toestemming van een betrokkene is een spil in de Uniewetgeving inzake gegevensbescherming. ( 18 ) Het is opgenomen in het Handvest van de grondrechten van de Europese Unie, waarvan artikel 8 bepaalt dat gegevens eerlijk moeten worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. In een ruimere context biedt het begrip „toestemming” de betrokkene de mogelijkheid om zelf te beslissen over de toelaatbaarheid van beperkingen van zijn of haar recht op de bescherming van persoonsgegevens. ( 19 )

37.

In het Unierecht inzake gegevensbescherming wordt in beginsel uitgegaan van een onafhankelijk genomen besluit van een individu dat in staat is keuzen te maken met betrekking tot het gebruik en de verwerking van zijn of haar gegevens. ( 20 ) Het vereiste van toestemming is datgene waardoor hij of zij die keuzen kan maken en hij tegelijkertijd wordt beschermd in situaties die naar hun aard asymmetrisch zijn. ( 21 ) Enkel een vrije, specifieke en op informatie berustende toestemming voldoet aan de voorwaarden van richtlijn 95/46 en verordening 2016/679.

38.

Op dit punt moeten nog drie korte opmerkingen worden gemaakt over het klaarblijkelijke verschil in formulering van deze bepalingen.

39.

Ten eerste verwijst artikel 4, punt 11, van verordening 2016/679, anders dan artikel 2, onder h), van richtlijn 95/46 naar een „ondubbelzinnige” wilsuiting. De reden daarvoor is mijns inziens vrij eenvoudig: volgens artikel 7, onder a), van deze richtlijn, over de hierboven reeds genoemde beginselen betreffende de toelaatbaarheid van gegevensverwerking, dient de betrokkene zijn „ondubbelzinnige” toestemming te verlenen, terwijl de overeenkomstige bepaling in verordening 2016/679, te weten artikel 6, lid 1, onder a), die specificatie niet bevat. Met andere woorden, dat criterium van een ondubbelzinnige wilsuiting is in verordening 2016/679 eenvoudigweg verplaatst naar de algemenere bepalingen.

40.

Ten tweede preciseert artikel 4, punt 11, van verordening 2016/679 dat de betrokkene zijn mening kenbaar maakt „door middel van een verklaring of een ondubbelzinnige actieve handeling”. Deze verduidelijking in de verordening is inderdaad nieuw en heeft geen semantische tegenhanger in richtlijn 95/46.

41.

Wat ten derde de „geïnformeerde” aard van de toestemming van de betrokkene betreft, verschilt de Franse taalversie van richtlijn 95/46 van die van verordening 2016/679. Terwijl artikel 2, onder h), van die richtlijn naar een „manifestation de volonté [...] informée” verwijst, is in artikel 4, lid 11, van die verordening sprake van een „manifestation de volonté [...] éclairée”.

42.

Ik ben van mening dat die wijziging van de formulering de zaken eerder verwarder dan duidelijker maakt, aangezien de Franse taalversie, voor zover ik kan nagaan, de enige of op zijn minst een van de weinige taalversies is die dit onderscheid maakt. Een aantal taalversies, waaronder overigens de andere Romaanse talen, gebruiken in dit verband in de richtlijn respectievelijk de verordening eenvoudigweg precies dezelfde termen ( 22 ), terwijl in andere taalversies de formuleringen op dit punt enigszins kunnen verschillen, maar niet in dezelfde mate als in de Franse taalversie ( 23 ).

43.

Ik kom hieronder terug op het begrip „op informatie berustende” toestemming.

44.

Het vereiste van een „wilsuiting” verwijst duidelijk naar een actieve en niet naar een passieve gedraging ( 24 ) en vergt dat de betrokkene een grote autonomie geniet bij zijn of haar keuze om al dan niet toestemming te verlenen. ( 25 ) Met betrekking tot de specifieke situatie van een onlineloterij op een website, heeft het Hof vastgesteld dat toestemming door middel van een standaard aangevinkt selectievakje geen actieve gedraging van de gebruiker van een website impliceert. ( 26 )

45.

Ik ben van mening dat een dergelijke conclusie evenzeer toepasselijk is in de analoge wereld: toestemming door middel van een standaard aangevinkt selectievakje kan niet gelden als een actieve toestemming van een persoon die te maken krijgt met een fysiek document en dat uiteindelijk ondertekent. In een dergelijke situatie is het immers niet zeker of de vooraf geformuleerde tekst is gelezen en begrepen. De situatie is niet ondubbelzinnig: de tekst kan al dan niet zijn gelezen. De „lezer” heeft mogelijk uit pure nalatigheid de tekst niet gelezen, waardoor het onmogelijk wordt om duidelijk vast te stellen of toestemming vrijelijk is gegeven. ( 27 )

46.

Er mag geen enkele ruimte zijn voor twijfel dat de betrokkene niet voldoende was geïnformeerd. ( 28 )

47.

De betrokkene moet over alle omstandigheden van de gegevensverwerking en de gevolgen ervan worden geïnformeerd. Hij of zij moet met name weten welke gegevens zullen worden verwerkt, hoelang die verwerking duurt, op welke wijze zij plaatsvindt en met welk specifiek doel. Hij of zij moet eveneens weten wie de gegevens verwerkt en of de gegevens aan derden worden doorgegeven. Het is cruciaal dat hij of zij op de hoogte wordt gesteld van de gevolgen van het weigeren van zijn toestemming: is toestemming voor de gegevensverwerking een voorwaarde voor het sluiten van de overeenkomst of niet? ( 29 )

48.

Nu rest nog de vraag wie moet aantonen dat de betrokkene zich in een situatie bevond waarin hij of zij zijn of haar toestemming op basis van de hierboven vastgestelde criteria kon geven.

49.

Artikel 7, lid 1, van verordening 2016/679 is duidelijk en laat geen ruimte voor twijfel: wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn gegevens. ( 30 ) Deze bepaling vormt een specificering van het in artikel 5, lid 2, van verordening 2016/679 neergelegde beginsel van de verantwoordingsplicht. Ik ben van mening dat deze bepaling een ruime uitlegging vereist, in die zin dat de verwerkingsverantwoordelijke niet alleen moet bewijzen dat de betrokkene zijn of haar toestemming heeft gegeven, maar ook dat aan alle voorwaarden inzake doeltreffendheid is voldaan. ( 31 )

50.

Sommige auteurs betwijfelen of dat artikel 7, lid 1, van verordening 2016/679 de bewijslast behandelt, waarbij zij wijzen op de ontstaansgeschiedenis van die verordening. ( 32 ) Zij stellen dat zowel de Commissie als het Parlement een formulering heeft voorgesteld die uitdrukkelijk naar de „bewijslast” [„burden of proof” in de Engelse taalversie] verwees, maar dat een dergelijke formulering niet is terug te vinden in de goedgekeurde tekst en dus in het huidige recht.

51.

Deze stelling dient nader te worden onderzocht.

52.

Het oorspronkelijke voorstel van de Commissie ( 33 ) vermeldt inderdaad de term „burden of proof” (in de Engelse taalversie), die op de verwerkingsverantwoordelijke rust. In dezelfde geest heeft het Parlement in eerste lezing ( 34 ) geen bezwaar gemaakt tegen deze formulering. Het was de Raad ( 35 ) die de term „burden of proof” met betrekking tot de verwerkingsverantwoordelijke heeft vervangen door „shall be able to demonstrate” (in de Nederlandse taalversies daarentegen is er geen verschil: in beide gevallen wordt de uitdrukking „moet kunnen aantonen” gebruikt). De definitieve tekst is dan in die vorm goedgekeurd.

53.

Ik zou aan die wijziging in de bewoordingen geen al te groot belang hechten. ( 36 ) De Raad heeft nergens in de overwegingen van zijn standpunt redenen aangegeven voor de voorgestelde wijziging in de bewoordingen. ( 37 ) Dat is een aanwijzing dat die instelling enkel de bewoordingen van de betrokken bepaling heeft willen wijzigen zonder iets veranderen aan de betekenis ervan. Vanuit dit oogpunt is de uitdrukking „shall be able to demonstrate” een meer toegankelijke verwoording van wat met „burden of proof” wordt bedoeld. ( 38 )

54.

Derhalve mag ervan worden uitgegaan dat artikel 7, lid 1, van verordening 2016/679 de bewijslast voor het feit dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens bij de gegevensverwerker legt. ( 39 ) Iedere twijfel over de vraag of de betrokkene zijn of haar toestemming heeft gegeven moet worden weggenomen door bewijs dat door de gegevensverwerker moet worden aangevoerd. ( 40 ) De bewijslast voor het feit dat de betrokkene in een situatie is gebracht waarin hij of zij zijn of haar vrije, specifieke en geïnformeerde toestemming kan geven, rust volledig op de gegevensverwerker.

55.

De juridische situatie onder richtlijn 95/46 is in dit opzicht niet anders.

56.

Ook al bevat richtlijn 95/46 geen afzonderlijke bepaling die vergelijkbaar is met artikel 7 van verordening 2016/679 betreffende de voorwaarden voor toestemming, komen de meeste in dat artikel genoemde voorwaarden ook in die richtlijn voor. Hoewel de regel inzake de bewijslast in de richtlijn niet uitdrukkelijk is vastgesteld, volgt hij minstens onrechtstreeks uit de bepaling van de richtlijn ( 41 ) dat „de betrokkene [...] zijn ondubbelzinnige toestemming heeft verleend”. ( 42 )

57.

Ik zou deze criteria nu willen toepassen op de onderhavige zaak.

58.

Als voorafgaande opmerking wil ik stellen dat de vraag of Orange România al dan niet kan eisen dat haar klanten instemmen met het kopiëren en opslaan van hun identiteitsdocumenten buiten de behandeling van deze zaak valt, aangezien die onderneming dat niet als noodzakelijke voorwaarde stelt voor het sluiten van een overeenkomst. De onderhavige zaak heeft met ander woorden geen betrekking op de uitlegging van artikel 7, onder b), van richtlijn 95/46 en artikel 6, lid 1, onder b), van verordening 2016/679. Dit gezegd zijnde, lijkt het mij gerechtvaardigd dat een bedrijf zijn klanten vraagt bepaalde persoonsgegevens te verstrekken en hun met name vraagt hun identiteit aan te tonen met het oog op het sluiten van een overeenkomst. Eisen dat een klant instemt met het kopiëren en opslaan van zijn identiteitsdocumenten lijkt echter verder te gaan dan wat nodig is voor de uitvoering van die overeenkomst.

59.

Afgaande op de beschikbare informatie lijkt het mij dat de klanten van Orange România, in de door de verwijzende rechter beschreven omstandigheden, niet hun vrije, specifieke en op informatie berustende toestemming geven.

60.

Ten eerste is er geen sprake van vrije toestemming. Wanneer een klant wordt verplicht een handgeschreven verklaring af te leggen dat hij of zij geen toestemming geeft voor het kopiëren en opslaan van zijn of haar identiteitskaart, kan hij niet zijn vrije toestemming geven, aangezien hij of zij in een situatie wordt geplaatst waarin hij of zij duidelijk afwijkt van de gebruikelijke procedure voor het sluiten van een overeenkomst. Klanten mogen in dit verband niet het gevoel hebben dat hun weigering om toestemming te geven voor het kopiëren en opslaan van hun identiteitsdocumenten niet in overeenstemming is met de gebruikelijke procedures. In dit verband wil ik eraan herinneren dat het Hof heeft benadrukt dat er sprake moet zijn van een actieve gedraging van de betrokkene met het oog op het geven van zijn toestemming. ( 43 ) De betrokkene moet dus een positieve handeling verrichten om zijn toestemming te geven. In casu lijkt zich echter de omgekeerde situatie voor te doen: er moet een positieve handeling worden verricht om toestemming te weigeren. Indien, zoals in het arrest in de zaak Planet49 is geoordeeld ( 44 ), het uitvinken van een standaard aangevinkt selectievakje op een website een te zware belasting voor een klant vormt, kan a fortiori niet van een klant worden verwacht dat hij of zij in handgeschreven vorm weigert zijn of haar toestemming te geven.

61.

Ten tweede is er geen op informatie berustende toestemming. Het wordt niet glashelder aan de klant gecommuniceerd dat een weigering om zijn of haar identiteitskaart te laten kopiëren en opslaan, het sluiten van een overeenkomst niet onmogelijk maakt. Een klant maakt geen op informatie gebaseerde keuze wanneer hij of zij niet op de hoogte is van de gevolgen.

62.

Ten derde, en louter op hypothetische basis, is er geen enkele aanwijzing dat Orange România heeft kunnen aantonen dat klanten hebben ingestemd met de verwerking van hun persoonsgegevens. Een kennelijk gebrek aan duidelijkheid van de interne procedures helpt in dit verband zeker niet om het bewijs te leveren dat de klant toestemming heeft gegeven. Een dergelijk gebrek aan duidelijkheid en de tegenstrijdige instructies aan het verkooppersoneel mogen uiteraard niet ten kosten gaan van de klant, in casu de betrokkene.

63.

Gelet op een en ander geef ik het Hof in overweging de vragen van de Tribunal București te beantwoorden als volgt:

„Een betrokkene die voornemens is met een onderneming een contractuele relatie aan te gaan voor de levering van telecommunicatiediensten, geeft die onderneming niet zijn of haar toestemming, dat wil zeggen dat er geen sprake is van een „vrije, specifieke en op informatie berustende” wilsuiting in de zin van artikel 2, onder h), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en artikel 4, punt 11, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), wanneer hij of zij op een voor het overige gestandaardiseerde overeenkomst een handgeschreven verklaring dient aan te brengen waarbij hij of zij weigert zijn of haar toestemming te geven voor het fotokopiëren en bewaren van zijn of haar identiteitsdocumenten.”