C-61/1962019CC0061EU:C:2020:1580001111212

Conclusões de M. Szpunar — Processo C‑61/19

Orange România

<TI><P><HT TYPE="UC">Conclusões do advogado‑geral</HT></P><P><HT TYPE="UC">Maciej Szpunar</HT></P><P>apresentadas em <DATE ISO="20200304">4 de março de 2020</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="ARAB" NUMBERING.CONTINUED="YES" NOTE.ID="E0001"><P>Língua original: inglês.</P></NOTE></P></TI><STI><P><HT TYPE="BOLD">Processo C‑61/19</HT></P><P>Orange România SA</P><P>contra</P><P>Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)</P><P><HT TYPE="NORMAL">[pedido de decisão prejudicial apresentado pelo Tribunalul Bucureşti (Tribunal Regional de Bucareste, Roménia)]</HT></P></STI>Reenvio prejudicialDiretiva 95/46/CERegulamento (UE) 2016/679Proteção dos indivíduos no que respeita ao tratamento de dados pessoais e à livre circulação desses dadosServiços de telecomunicações móveisConceito de consentimento do titular dos dadosManifestação de vontade específica e informadaDeclaração de consentimento assinalando uma casaÓnus da prova1.O presente pedido de decisão prejudicial, apresentado pelo Tribunalul Bucureşti (Tribunal Regional de Bucareste, Roménia), tem origem num litígio entre um prestador de serviços de telecomunicações e uma autoridade nacional de proteção de dados a propósito das obrigações desta última no contexto das negociações contratuais com um cliente no que respeita à recolha de uma cópia de um documento de identificação e respetiva conservação.2.O presente pedido facultará ao Tribunal de Justiça a ocasião de esclarecer mais aprofundadamente o conceito de consentimento do titular dos dados, uma característica central do direito da União em matéria de proteção de dados, que tem, em última instância, origem no direito fundamental à proteção dos dados. A este respeito, o Tribunal de Justiça deverá igualmente debruçar‑se sobre a questão do ónus da prova a fim de determinar se a pessoa em causa deu ou não o seu consentimento.<TI><P><HT TYPE="BOLD">Quadro jurídico</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Direito da União Europeia</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Diretiva 95/46/CE</HT></P></TI>3.Nos termos do artigo 2.o, alínea h), da Diretiva 95/46/CE

Diretiva do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31).

, para efeitos da presente diretiva, consentimento da pessoa em causa é qualquer manifestação de vontade, livre, específica e informada, pela qual a pessoa em causa aceita que dados pessoais que lhe dizem respeito sejam objeto de tratamento.4.O capítulo II da referida diretiva é dedicado às condições gerais de licitude do tratamento de dados pessoais.5.O artigo 6.o da mesma diretiva, que diz respeito aos princípios relativos à qualidade dos dados

O artigo 6.o constitui o único artigo da secção I do capítulo II da Diretiva 95/46.

, tem a seguinte redação:

1.

Os Estados‑Membros devem prever que os dados pessoais serão:

a)Objeto de um tratamento leal e lícito;b)Recolhidos para finalidades determinadas, explícitas e legítimas, e que não serão posteriormente tratados de forma incompatível com essas finalidades. O tratamento posterior para fins históricos, estatísticos ou científicos não é considerado incompatível desde que os Estados‑Membros estabeleçam garantias adequadas;c)Adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos e/ou tratados posteriormente;

[…]

2.Incumbe ao responsável pelo tratamento assegurar a observância do disposto no n.o 1.

6.O artigo 7.o da mesma diretiva diz respeito aos princípios relativos à legitimidade do tratamento de dados

O artigo 7.o é o único artigo da secção I do capítulo II da Diretiva 95/46.

. Nos termos dessa disposição, «[o]s Estados‑Membros estabelecerão que o tratamento de dados pessoais só poderá ser efetuado se:

a)A pessoa em causa tiver dado de forma inequívoca o seu consentimento; oub)O tratamento for necessário para a execução de um contrato no qual a pessoa em causa é parte ou de diligências prévias à formação do contrato decididas a pedido da pessoa em causa.

[…]

<TI><P><HT TYPE="ITALIC">Regulamento (UE) 2016/679</HT></P></TI>7.Nos termos do artigo 4.o, n.o 11, do Regulamento (UE) 2016/679

Regulamento do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1).

, para efeitos do referido regulamento, entende‑se por Consentimento do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento.8.O artigo 6.o, n.o 1, alíneas a) e b), do mesmo regulamento tem a seguinte redação:

O tratamento só é lícito caso, e na medida em que, se verifique pelo menos uma das seguintes situações:

a)O titular dos dados deu o seu consentimento ao tratamento dos seus dados pessoais para uma ou mais finalidades específicas;b)O tratamento é necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados.

9.O artigo 7.o, n.o 1, do referido regulamento estabelece que, [c]aso o tratamento seja realizado com base no consentimento, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o consentimento ao tratamento dos seus dados pessoais.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Direito romeno</HT></HT></P></TI>10.A legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Lei n.o 677/2001 relativa à Proteção das Pessoas no que Respeita ao Tratamento de Dados Pessoais e à Livre Circulação desses Dados, a seguir Lei n.o 677/2001)

Monitorul Oficial al României, Parte I, n.o 790, de 12 de dezembro de 2001.

 destina‑se a transpor as disposições da Diretiva 95/46 para o direito nacional.11.O artigo 32.o da referida lei tem a seguinte redação:

O tratamento de dados pessoais por um responsável pelo tratamento ou por uma pessoa por este mandatada, realizado em violação do disposto nos artigos 4.o a 10.o ou sem ter em conta os direitos previstos nos artigos 12.o a 15.o ou no artigo 17.o, constitui contraordenação, salvo se, em razão das circunstâncias da sua prática, constituir uma infração penal, e será punida com uma coima de 10000000 antigos leus [1000 RON] a 250000000 antigos leus [25000 RON].

<TI><P><HT TYPE="BOLD">Matéria de facto, tramitação do processo e questões prejudiciais</HT></P></TI>12.A Orange România SA é um prestador de serviços de telecomunicações móveis no mercado romeno, que propõe serviços quer através do sistema de pré‑pago

Neste caso, o destinatário dos serviços paga antecipadamente o preço dos serviços que lhes serão fornecidos posteriormente.

 quer através da celebração de um contrato de prestação de serviços

Neste caso, o preço dos serviços prestados pela empresa é pago pelo destinatário dos serviços depois da respetiva prestação, com base nas faturas emitidas.

.13.Em 28 de março de 2018, a Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Autoridade Nacional de Supervisão do Tratamento de Dados Pessoais, Roménia, a seguir ANSPDCP), com base no artigo 32.o da Lei n.o 677/2001, conjugado com o artigo 8.o da referida lei, emitiu um relatório em que era aplicada uma coima à Orange România com base no facto de terem sido feitas e armazenadas cópias de documentos de identificação dos seus clientes sem o consentimento expresso destes.14.A este respeito, a ANSPDCP observou que a Orange România tinha celebrado na sua sede contratos escritos com vista à prestação de serviços de telecomunicações móveis com clientes individuais e que tinham sido anexadas a esses contratos cópias dos documentos de identificação. O conteúdo desses contratos incluía, designadamente, uma declaração de facto nos termos da qual o cliente tinha sido informado e tinha dado o seu consentimento à recolha e conservação (pela Orange România) dessas cópias e a existência do consentimento dos clientes tinha sido estabelecida através da aposição de cruzes em casas que figuram nas cláusulas contratuais.15.A passagem pertinente dos contratos em questão tem a seguinte redação:

O cliente declara que:

i)foi informado, antes da celebração do contrato, sobre o plano tarifário escolhido, as tarifas aplicáveis, a duração mínima do contrato, as condições de cessação do [contrato] e as condições necessárias para aceder e utilizar os serviços, incluindo a área de cobertura dos serviços, em conformidade com o artigo 11.o da Decisão ANCOM [Autoridade Nacional de Gestão e Regulação das Comunicações] n.o 158/2015 e com as disposições do O.U.G. n.o 34/2014, bem como sobre o seu direito de rescisão unilateral que pode ser exercido em conformidade com o artigo 1.17 dos termos e condições gerais;ii)a Orange România forneceu ao cliente todas as informações necessárias para que este possa manifestar um consentimento sem vícios, expresso, livre e específico no que se refere à celebração do contrato e à aceitação expressa do contrato, incluindo toda a documentação contratual (termos e condições gerais e prospeto informativo de tarifas e serviços);iii)foi informado e deu o seu consentimento sobre:

o tratamento dos dados pessoais para os fins previstos no artigo 1.15 dos termos e condições gerais;

a conservação [pela Orange] de cópias dos documentos que contêm dados pessoais destinados à sua identificação;

o acordo para o tratamento dos dados pessoais (número de contacto e correio eletrónico) para efeitos de marketing direto;

o acordo para o tratamento de dados pessoais (número de contacto e correio eletrónico) para efeitos de estudos de mercado;

li e dou o meu acordo expresso para a conservação de documentos que contenham dados pessoais relativos ao estado de saúde;

os dados mencionados no artigo 1.15, n.o 10, dos termos e condições gerais não são incluídos na informação relativa aos assinantes e aos registos dos assinantes.

16.Segundo a ANSPDCP, a Orange România não provou que os clientes tivessem feito uma escolha informada relativamente à recolha a conservação das cópias dos seus documentos de identificação.17.A Orange România interpôs no órgão jurisdicional de reenvio um recurso contra a coima aplicada em 28 de março de 2018.18.Com base nas conclusões do órgão jurisdicional de reenvio, há contratos nos quais a escolha livremente expressa pelo cliente quanto à conservação de uma cópia do seu documento de identificação é indicada assinalado uma casa com uma cruz, bem como os casos inversos, em que os clientes recusaram expressar esse consentimento. Resulta dos procedimentos internos de venda da Orange România que, nestes últimos casos, a Orange România inseriu a informação necessária no que respeita à recusa do cliente na conservação de uma cópia do documento de identificação mediante o preenchimento de um formulário específico para esse efeito, procedendo seguidamente à celebração do contrato. Por conseguinte, independentemente das indicações constantes dos termos e condições gerais da Orange România, esta não recusou a celebração de contratos de assinatura com clientes, mesmo quando estes se recusaram a consentir na conservação de uma cópia do documento de identificação.19.O órgão jurisdicional de reenvio considera que, nestas circunstâncias, é especialmente importante que o Tribunal de Justiça se pronuncie sobre os critérios para determinar se o consentimento é específico e informado e, sendo o caso, sobre o valor probatório da assinatura de contratos como os que estão em causa no processo principal.20.Foi nestas circunstâncias que, por Despacho de 14 de novembro de 2018, que deu entrada no Tribunal de Justiça em 29 de janeiro de 2019, o Tribunalul Bucureşti (Tribunal Regional de Bucareste) submeteu as seguintes questões prejudiciais:1)Na aceção do artigo 2.o, alínea h), da Diretiva [95/46], quais são as condições que devem ser preenchidas para poder considerar que uma manifestação de vontade é específica e informada?2)Na aceção do artigo 2.o, alínea h), da Diretiva [95/46], quais são as condições que devem ser preenchidas para poder considerar que uma manifestação de vontade é expressa livremente?21.As partes no processo principal, os Governos romeno, italiano, austríaco e português, bem como a Comissão Europeia, apresentaram observações escritas. A Orange România, o Governo romeno e a Comissão estavam representados na audiência realizada em 11 de dezembro de 2019.<TI><P><HT TYPE="BOLD">Apreciação</HT></P></TI>22.No presente processo, o Tribunal de Justiça é chamado a precisar as condições nas quais o tratamento de dados pessoais pode ser considerado válido.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Observações preliminares</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Quanto aos instrumentos legais aplicáveis</HT></P></TI>23.O Regulamento 2016/679, em vigor desde 25 de maio de 2018

Segundo o artigo 99.o, n.o 2, do Regulamento 2016/679.

, revogou a Diretiva 95/46 com efeitos a partir da mesma data

V. artigo 94.o, n.o 1, do Regulamento 2016/679.

.24.A decisão da ANSPDCP em questão no processo principal foi adotada em 28 de março de 2018, data que precede a data a partir da qual o Regulamento 2016/679 é aplicável. No entanto, a ANSPDCP não só impôs uma coima à Orange România como também lhe exigiu que esta destruísse as cópias dos documentos de identificação em questão. O litígio no processo principal tem igualmente por objeto esta última injunção. Esta injunção produz efeitos para o futuro, sendo por essa razão que o regulamento é aplicável ratione temporis.25.Consequentemente, a resposta a dar às questões submetidas deve basear‑se tanto na Diretiva 95/46 como no Regulamento 2016/679

V. Acórdão de 1 de outubro de 2019, Planet49 (C‑673/17, EU:C:2019:801, n.os 38 a 43) para uma abordagem análoga numa situação semelhante e as minhas Conclusões no mesmo processo (C‑673/17, EU:C:2019:246, n.os 44 a 49). V., igualmente, Acórdão de 11 de dezembro de 2018, Weiss e o. (C‑493/17, EU:C:2018:1000, n.o 39).

. Além disso, deverá ter‑se em conta o referido regulamento na análise das disposições da Diretiva 95/46

V. Acórdão de 24 de setembro de 2019, GC e o. (Supressão de referências a dados sensíveis) (C‑136/17, EU:C:2019:773, n.o 33).

.<TI><P><HT TYPE="ITALIC">Delimitação do âmbito das questões prejudiciais</HT></P></TI>26.As duas questões submetidas pelo órgão jurisdicional de reenvio estão formuladas de modo demasiado geral e abstrato e devem ser adaptadas de forma a estabelecer uma correspondência entre elas e os factos do processo principal, a fim de guiar o órgão jurisdicional de reenvio e de dar uma resposta útil às questões. Para o efeito, considero essencial percorrer brevemente os factos do processo principal conforme os mesmos resultam da decisão do tribunal de reenvio e das informações fornecidas pelas partes no processo, em especial durante a audiência no Tribunal de Justiça.27.A ANSPDCP aplicou à Orange România uma sanção por esta ter recolhido e conservado cópias de documentos de identificação dos seus clientes sem o consentimento destes. Constatou que a empresa tinha celebrado contratos de prestação de serviços de telecomunicações móveis e que foram anexadas a esses contratos cópias de documentos de identificação. Esses contratos estabeleciam, alegadamente, que os clientes tinham sido informados e tinham dado o seu consentimento à recolha e conservação dessas cópias, conforme demonstrado pela aposição de cruzes nas casas que figuram nas cláusulas contratuais. Contudo, segundo as conclusões da ANSPDCP, a Orange România não provou que, no momento da celebração dos celebrados, os clientes em questão tinham feito uma escolha informada no que respeita à recolha e à conservação das referidas cópias.28.Quando uma pessoa que pretende estabelecer uma relação contratual com a Orange România é aconselhada por um representante da referida empresa sobre as cláusulas de um contrato específico, esse representante utiliza, geralmente em computador, um modelo de um contrato que contém uma casa a assinalar relativa à conservação de um documento de identificação. O cliente é informado de que não é necessário assinalar nada na casa. Se o cliente não aceitar que o seu documento de identificação seja fotocopiado e conservado, deve mencioná‑lo, por escrito, no seu contrato. Esta última exigência da menção por escrito resulta, ao que parece, do regulamento interno de vendas da Orange România. Além disso, o cliente é informado, mas apenas oralmente e não por escrito, da possibilidade de recusa.29.Neste contexto, interpreto as duas questões, que devem ser examinadas em conjunto, no sentido de que o órgão jurisdicional de reenvio pretende saber se a pessoa em causa que pretende estabelecer com uma empresa uma relação contratual de prestação de serviços de telecomunicações dá a essa empresa um consentimento específico e informado e expresso livremente em conformidade com o artigo 2.o, alínea h), da Diretiva 95/46 e com o artigo 4.o, n.o 11, do Regulamento 2016/679, quando lhe seja exigido que declare de forma escrita, num contrato, de resto, padronizado, que recusa dar o seu consentimento à cópia e conservação dos seus documentos de identificação.30.A este respeito, afigura‑se que o órgão jurisdicional de reenvio necessita de orientação no que respeita ao ónus da prova e ao nível de prova que incumbe a essa empresa.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Consentimento enquanto condição prévia do tratamento de dados pessoais</HT></HT></P></TI>31.O processo em questão diz respeito ao tratamento de dados pessoais quando da celebração de um contrato de prestação de serviços de telecomunicações.32.Qualquer tratamento de dados pessoais deve ser conforme

Naturalmente, sem prejuízo das derrogações e restrições previstas no artigo 13.o da Diretiva 95/46 e no artigo 23.o do Regulamento 2016/679.

, em primeiro lugar, com os princípios relativos à qualidade dos dados previstos no artigo 6.o da Diretiva 95/46 ou no artigo 5.o do Regulamento 2016/679 e, em segundo lugar, com um dos princípios que legitimam o tratamento de dados enumerados no artigo 7.o da referida diretiva ou no artigo 6.o do referido regulamento

V. Acórdão de 16 de janeiro de 2019, Deutsche Post (C‑496/17, EU:C:2019:26, n.o 57). V., igualmente, Acórdão de 13 de maio de 2014, Google Spain e Google (C‑131/12, EU:C:2014:317, n.o 71 e jurisprudência referida), e de 11 de dezembro de 2019, Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, n.o 36).

. Conforme sublinhado pela Comissão, os seis princípios constantes do artigo 7.o da Diretiva 95/46 são, de facto, a expressão de um princípio mais amplo, previsto no artigo 6.o, n.o 1, alínea a), da referida diretiva, que estabelece que esses dados pessoais serão objeto de tratamento leal e lícito.33.O artigo 7.o da Diretiva 95/46 prevê uma lista exaustiva dos casos em que o tratamento dos dados pessoais pode ser considerado lícito

V. Acórdãos de 24 de novembro de 2011, Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 e C‑469/10, EU:C:2011:777, n.o 30); de 19 de outubro de 2016, Breyer (C‑582/14, EU:C:2016:779, n.o 57); e de 1 de outubro de 2019, Planet49 (C‑673/17, EU:C:2019:801, n.o 53).

. O tratamento de dados pessoais apenas pode ser feito se, pelo menos, um dos seis princípios relativos à legitimidade for aplicável. A existência de um consentimento inequívoco dado pela pessoa em causa é um desses princípios.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Quanto ao conceito de <QUOT.START CODE="00AB" REF.END="QE0022" ID="QS0022"/>consentimento<QUOT.END REF.START="QS0022" CODE="00BB" ID="QE0022"/></HT></HT></P></TI>34.O consentimento da pessoa em causa é, por sua vez, definido no artigo 2.o, alínea h), da Diretiva 95/46 como qualquer manifestação de vontade, livre, específica e informada, pela qual a pessoa em causa aceita que dados pessoais que lhe dizem respeito sejam objeto de tratamento.35.Esta redação corresponde em grande parte

V., igualmente, Bygrave, L. A., Tosoni, L., in Kuner, Chr., Bygrave, L. A., Docksey, Chr. (eds), The EU General Data Protection Regulation (GDPR), Oxford University Press, Oxford, 2020, artigo 4.o, n.o 11, C.1., p. 181.

 à do artigo 4.o, n.o 11, do Regulamento 2016/679, segundo o qual o consentimento do titular dos dados consiste numa manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento

Obviamente, estes critérios são, por natureza, cumulativos, o que significa que existe um limiar elevado de consentimento válido, v. Bygrave, L. A., Tosoni, L., in Kuner, Chr., Bygrave, L. A., Docksey, Chr. (eds), The EU General Data Protection Regulation (GDPR), Oxford University Press, Oxford, 2020, artigo 4.o, n.o 11, C.1., p. 181.

.36.A exigência do consentimento da pessoa em causa é uma característica essencial do direito da União relativo à proteção de dados

V. minhas Conclusões no processo Planet49 (C‑673/17, EU:C:2019:246, n.os 57 e segs.). V., igualmente, Heckmann, D., Paschke, A., in Ehmann, E., Selmayr, M. (eds), Datenschutz‑Grundverordnung, Kommentar, Beck, C. H., Munique, 2.a ed., 2018, artigo 7.o, n.o 9: Pedra angular da proteção de dados.

. Essa exigência figura na Carta dos Direitos Fundamentais da União Europeia, onde está estipulado, no artigo 8.o, que os dados devem ser objeto de tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei. Visto num contexto mais vasto, o conceito de consentimento permite que o titular dos dados em causa decida ele próprio da legitimidade das restrições ao seu direito à proteção de dados

V., neste sentido, Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, p. 232, que diz respeito ao direito fundamental à autodeterminação neste contexto (conforme desenvolvido pelo Tribunal Constitucional alemão desde o Acórdão de 15 de dezembro de 1983, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfG 65,1).

.37.O princípio orientador que está na base do direito da União relativo à proteção de dados é o de uma decisão autodeterminada de uma pessoa com capacidade para fazer escolhas sobre a utilização e o tratamento dos seus dados

V., igualmente, Klement, J. H., in Simitis, S., Hornung, G., Spieker I., gen. Döhmann (eds), Datenschutzrecht, Nomos, Baden-Baden, 2019, artigo 7.o, ponto 1, que sublinha que, numa ordem jurídica baseada na dignidade, na liberdade e na responsabilidade individuais, os quais tenta promover, o tratamento de dados pessoais deve ser legitimado por uma decisão de autodeterminação do titular dos dados.

. É a exigência de consentimento que lhe permite fazer a sua escolha e que ao mesmo tempo o protege em situações que são, por natureza, assimétricas

V., além disso, considerando 43 do Regulamento 2016/679, que faz referência a situações em que pode haver um desequilíbrio manifesto entre o titular dos dados e o responsável pelo seu tratamento.

. Só se o consentimento for dado livremente, for específico e informado é que preenche os critérios da Diretiva 95/46 e do Regulamento 2016/679.38.Devo, nesta fase, formular três observações breves sobre a aparente diferença de redação das referidas disposições.39.Em primeiro lugar, o artigo 4.o, n.o 11, do Regulamento 2016/679, contrariamente ao artigo 2.o, alínea h), da Diretiva 95/46, faz referência a uma manifestação explícita. Eu diria que a razão para tal é simples: o artigo 7.o, alínea a), desta diretiva, sobre os princípios relativos à legitimidade do tratamento de dados, já acima referido, exige que a pessoa tenha dado o seu consentimento de forma inequívoca, ao passo que a disposição correspondente do Regulamento 2016/679 — o artigo 6.o, n.o 1, alínea a) — não contém essa especificação. Por outras palavras, o princípio de uma indicação inequívoca foi simplesmente mudado para uma disposição mais geral no Regulamento 2016/679.40.Em segundo lugar, o artigo 4.o, n.o 11, do Regulamento 2016/679 especifica que o titular dos dados se manifeste mediante declaração ou ato positivo inequívoco. Esta clarificação é na realidade uma novidade do regulamento e não tem correspondência semântica na Diretiva 95/46.41.Em terceiro lugar, no que respeita ao caráter informado do consentimento da pessoa em causa, a versão francesa da Diretiva 95/46 distingue‑se da do Regulamento 2016/679. Enquanto o artigo 2.o, alínea h), da referida diretiva faz referência a uma manifestation de volonté […] informé, no artigo 4.o, n.o 11, do referido regulamento fala‑se de uma manifestation de volonté […] eclairée.42.Entendo que esta alteração na formulação confunda mais do que esclareça, porque, tanto quanto é do meu conhecimento, a versão francesa é a única, ou pelo menos, uma das poucas versões a fazer tal distinção. Algumas versões linguísticas, entre as quais, incidentalmente, as restantes línguas latinas, usam simplesmente, a este respeito, exatamente os mesmos termos

V., por exemplo, as versões em línguas espanhola (manifestación de voluntad […] informada), portuguesa (manifestação de vontade […] informada), romena (manifestare de voință […] informată), dinamarquesa (informeret viljetilkendegivelse), sueca (informerad viljeyttring) e maltesa (infurmata).

, ao passo que outras versões linguísticas podem divergir ligeiramente sobre este ponto, mas não atingem o grau de divergência que se encontra na versão francesa

V., por exemplo, as versões em línguas neerlandesa (op informatie berustende wilsuiting na diretiva e geïnformeerde wilsuiting no regulamento), polaca (świadome […] wskazanie na diretiva e świadome […] okazanie woli no regulamento) e alemã (Willensbekundung, die […] in Kenntnis der Sachlage erfolgt na diretiva e in informierter Weise […] abgegebene Willensbekundung no regulamento).

.43.Voltarei em seguida ao conceito de consentimento informado.<TI><P><HT TYPE="ITALIC">Consentimento livre</HT></P></TI>44.A exigência de uma manifestação de vontade da pessoa em causa evoca claramente um comportamento ativo, e não passivo

V. Acórdão de 1 de outubro de 2019, Planet49 (C‑673/17, EU:C:2019:801, n.o 52).

 e implica que a pessoa em causa goze de um grau elevado de autonomia quando opta por dar ou não o seu consentimento

V. Bygrave, L. A., Tosoni, L., in Kuner, Chr., Bygrave, L. A., Docksey, Chr. (eds), The EU General Data Protection Regulation (GDPR), Oxford University Press, Oxford, 2020, artigo 4.o, n.o 11, C.1., p. 182.

. Quanto ao caso específico de uma lotaria online num sítio Internet, o Tribunal declarou que o consentimento expresso sob a forma de uma opção pré‑validada numa quadrícula não implica um comportamento ativo por parte do utilizador do sítio Internet

V. Acórdão de 1 de outubro de 2019, Planet49 (C‑673/17, EU:C:2019:801, n.o 52).

.45.Em meu entender, tal conclusão é igualmente válida num âmbito analógico: o consentimento expresso sob a forma de uma casa validada por defeito não pode implicar o consentimento ativo por parte da pessoa que lida com um documento físico que acaba por assinar. Com efeito, nesta situação, não se sabe se o texto em questão redigido antecipadamente foi lido e entendido. A situação não é isenta de dúvidas. O texto pode ter sido lido ou não. O leitor pode não ter lido por pura negligência, o que torna impossível determinar com clareza se o consentimento foi dado livremente

V., por analogia, minhas Conclusões no processo Planet49 (C‑673/17, EU:C:2019:246, n.o 62). V., igualmente, Acórdão de 1 de outubro de 2019, Planet49 (C‑673/17, EU:C:2019:801, n.o 55).

.<TI><P><HT TYPE="ITALIC">Consentimento informado</HT></P></TI>46.Não deve haver a menor dúvida quanto ao facto de a pessoa em causa não ter sido suficientemente informada

Em última análise, o consentimento informado assenta no princípio da transparência, conforme consagrado no artigo 5.o, n.o 1, alínea a), do Regulamento 2016/679, v. Bygrave, L. A., Tosoni, L., in Kuner, Chr., Bygrave, L. A., Docksey, Chr. (eds), The EU General Data Protection Regulation (GDPR), Oxford University Press, Oxford, 2020, artigo 4.o, n.o 11, C.4., p. 184.

.47.A pessoa em causa deve ser informada de todas as circunstâncias relativas ao tratamento dos dados e às consequências deste. Em especial, essa pessoa deve saber quais os dados objeto de tratamento, de que forma e para que finalidade específica. Deve igualmente saber quem procede ao tratamento dos dados e se os dados se destinam a ser transmitidos a terceiros. É fundamental que seja informada das consequências da recusa de consentimento: o consentimento do tratamento dos dados é ou não uma condição para a celebração do contrato

Segundo alguns autores, a lista das informações referidas nos artigos 10.o e 11.o da Diretiva 95/46 não é exaustiva, embora o responsável pelo tratamento possa igualmente fornecer à pessoa em causa outras informações pertinentes sobre as condições de utilização dos dados de caráter pessoal. V., designadamente, Mednis, A., Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46, Monitor Prawniczy (dodatek) 2012, n.o 7, p. 27.

?<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Quanto ao ónus da prova</HT></HT></P></TI>48.Isto leva‑nos à questão de saber a quem cabe provar que um titular dos dados estava em situação tal que podia dar o seu consentimento com base nos princípios acima estabelecidos.49.O artigo 7.o, n.o 1, do Regulamento 2016/679 é claro e não deixa espaço para dúvidas: quando o tratamento for realizado com base no consentimento, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento para o tratamento dos seus dados pessoais

De acordo com esta disposição, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento para o tratamento dos seus dados pessoais.

. Esta disposição constitui uma especificação do princípio da responsabilidade enunciado no artigo 5.o, n.o 2, deste regulamento. Considero que a finalidade desta disposição apela a uma interpretação extensiva no sentido de que o responsável pelo tratamento deve provar não só que o titular dos dados deu o seu consentimento mas também que todas as condições de eficácia se encontram preenchidas

V., neste sentido, igualmente, Stemmer, B., in Brink, St., Wolff, H. A., Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, Munique, 30.a ed., atualizado em 1 de novembro de 2019, artigo 7.o DSGVO, n.o 87, e Buchner, J., Kühling, B., in Buchner, J., Kühling, B. (eds), Datenschutz‑Grundverordnung/BDSG, Kommentar, C.H. Beck, Munique, 2.a ed., 2018, artigo 7.o, DS‑GVO, n.o 22.

.50.Alguns autores duvidam que o artigo 7.o, n.o 1, do Regulamento 2016/679 diga respeito ao ónus da prova, fazendo referência aos trabalhos preparatórios do referido regulamento

V. Klement, J. H., in Simitis, S., Hornung, G., Spieker, I., gen. Döhmann (eds), Datenschutzrecht, Nomos, Baden‑Baden, 2019, artigo 7.o, n.o 46.

. Afirmam que, embora a Comissão e o Parlamento tenham proposto uma formulação que se referia explicitamente ao ónus da prova, essa redação não está repercutida no texto adotado nem, por conseguinte, na lei vigente.51.Esta afirmação merece uma análise mais detalhada.52.A proposta inicial da Comissão

Na proposta inicial da Comissão, o artigo 7.o, n.o 1, tem a seguinte redação: Incumbe ao responsável pelo tratamento o ónus de provar o consentimento do titular dos dados ao tratamento dos seus dados pessoais para finalidades específicas. V. proposta de regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados: COM(2012)11 final, p. 45.

 menciona, na realidade, o ónus da prova que incumbe ao responsável pelo tratamento. Na mesma ordem de ideias, o Parlamento Europeu, em primeira leitura

O Parlamento, em primeira leitura, não propôs a alteração da redação do artigo 7.o, n.o 1, no que respeita à expressão ónus da prova. Limitou‑se a especificar que o artigo 7.o, n.o 1, dizia respeito à situação na qual o tratamento é baseado no consentimento. V. Resolução legislativa do Parlamento Europeu, de 12 de março de 2014, sobre a proposta de regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (regulamento geral de proteção de dados) [COM(2012)11 final] (JO 2017, C 378, p. 399‑428).

, não levantou objeções a tal redação. Foi o Conselho

Caso o tratamento seja realizado com base no consentimento, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o consentimento ao tratamento dos seus dados pessoais. V. Posição (UE) n.o 6/2016 do Conselho em primeira leitura com vista à adoção do Regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), adotada em 8 de abril de 2016 (JO 2016, C 159, p. 1, p. 36).

 que substituiu a expressão ónus da prova pela expressão deve poder demonstrar no que respeita ao responsável pelo tratamento. O texto definitivo foi, assim, adotado com esta formulação.53.Não atribuirei demasiada importância a esta alteração de redação

V., neste sentido, igualmente Kosta, E., in Kuner, Chr., L. A. Bygrave, Docksey, Chr. (eds), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artigo 7.o, C.2., pp. 349‑350.

. Nos considerandos da sua posição, o Conselho não expõe as razões da alteração da redação

V., em especial, considerandos 42 e 43 que constituam os motivos do artigo 7.o

. Isto constitui uma indicação de que essa instituição quis simplesmente alterar a redação da disposição em questão, sem modificar o seu sentido. Vista nesta perspetiva, a expressão deve poder demonstrar, na realidade, descreve de modo mais acessível o que significa ónus da prova

Uma interessante explicação conceitual da razão pela qual o ónus da prova incumbe ao responsável pelo tratamento é apresentada por Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, pp. 243‑245, que traça uma analogia com a situação, prevista pelo direito nacional, da responsabilidade dos médicos em que o ónus da prova recai igualmente sobre aqueles que estão sujeitos a restrições da lei fundamental em questão.

.54.Pode, por conseguinte, presumir‑se com segurança que o artigo 7.o, n.o 1, do Regulamento 2016/679 faz recair sobre o responsável pelo tratamento dos dados o ónus da prova do consentimento do titular dos dados

Este ponto de vista é, além disso, o que prevalece maioritariamente na doutrina; v. Klabunde, A., in Ehmann, E., Selmayr, M. (eds.), Datenschutz-Grundverordnung, Kommentar, 2.a ed., C.H. Beck, Munique, 2018, artigo 4.o, n.o 52; Stemmer, B., in Brink, St., Wolff, H. A., Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, Munique, 30.a ed. (atualizado em 1 de novembro de 2019), artigo 7.o DSGVO, n.o 87, et Buchner, J., Kühling, B., in Buchner, J., Kühling, B. (eds.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, Munique, 2.a ed. 2018, artigo 7.o DS-GVO, n.o 22, e Barta, P., Kawecki, M., in Litwiński, P. (ed), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C.H. Beck, Varsóvia, 2018, artigo 7.o do regulamento, n.o 1.

. Quaisquer dúvidas no que respeita ao consentimento do titular dos dados devem ser dissipadas através de provas apresentadas pelo responsável pelo tratamento

V., igualmente, neste sentido, Heckmann, D., Paschke, A., in E. Ehmann, M. Selmayr (eds), Datenschutz‑Grundverordnung, Kommentar, C.H. Beck, Munique, 2018, artigo 7.o, n.o 72.

. O ónus da prova de que o titular dos dados foi posto em situação que lhe permite dar um consentimento livre, específico e informado incumbe inteiramente à entidade que procede ao tratamento.55.A situação jurídica ao abrigo da Diretiva 95/46 não é diferente.56.Apesar de a Diretiva 95/46 não conter uma disposição distinta semelhante à do artigo 7.o do Regulamento 2016/679 sobre as condições do consentimento, a maioria das condições previstas neste artigo podiam ser igualmente encontradas na referida diretiva. Embora a regra do ónus da prova não esteja expressamente prevista na referida diretiva, decorre, pelo menos indiretamente, da formulação

V. artigo 7.o, alínea a), da Diretiva 95/46.

 [a] pessoa em causa tiver dado de forma inequívoca o seu consentimento

V., igualmente, neste sentido, designadamente, Buchner, J., Kühling, B., in Buchner, J., Kühling, B. (eds), Datenschutz‑Grundverordnung/BDSG, Kommentar, C.H. Beck, Munique, 2.a ed., 2018, artigo 7.o, DS‑GVO, n.os 5 e 22. O sublinhado é meu.

.<TI><P><HT TYPE="BOLD">Quanto à situação da Orange România</HT></P></TI>57.Gostaria agora de aplicar estes critérios ao presente processo.58.Como observação preliminar, gostaria de precisar que a questão de saber se a Orange România pode ou não exigir aos seus clientes que deem o seu consentimento à cópia e conservação dos seus documentos de identificação está excluída do objeto do presente processo uma vez que, para essa empresa, não se trata de uma condição prévia à celebração do contrato. Por outras palavras, o caso vertente não diz respeito à interpretação do artigo 7.o, alínea b), da Diretiva 95/46 e do artigo 6.o, n.o 1, alínea b), do Regulamento 2016/679. Dito isto, parece‑me legítimo que uma empresa peça aos clientes que forneçam alguns dados pessoais, em especial, que provem a sua identidade para fins de celebração do contrato. Exigir ao cliente que dê o seu consentimento à cópia e conservação de documentos de identificação, parece‑me, porém, ir além do necessário ao cumprimento do contrato.59.Com base nas informações disponíveis, parece‑me que os clientes da Orange România não dão o seu consentimento livre, específico e informado nas circunstâncias descritas pelo tribunal de reenvio.60.Em primeiro lugar, não há consentimento expresso livremente. Obrigar um cliente a declarar, de forma escrita, que não dá o seu consentimento à cópia e conservação do seu documento de identificação não permite dar um consentimento livre no sentido de que o cliente é colocado numa situação na qual se afasta manifestamente de um procedimento normal que o conduz à celebração do contrato. Os clientes não devem, a este respeito, sentir que a sua recusa em consentir na cópia e conservação dos seus documentos de identificação não é conforme com os procedimentos habituais. Recordo, sobre este aspeto, que o Tribunal salientou um comportamento ativo por parte da pessoa em causa com vista a manifestar o seu consentimento

V. Acórdão de 1 de outubro de 2019, Planet49 (C‑673/17, EU:C:2019:801, n.o 54).

. Uma ação positiva por parte da pessoa em causa é, por conseguinte, exigida para dar o seu consentimento. Ora, no caso vertente, é a situação inversa que parece produzir‑se: uma ação positiva é exigida para recusar o consentimento. Voltando uma vez mais ao Acórdão Planet49

V. Acórdão de 1 de outubro de 2019, Planet49 (C‑673/17, EU:C:2019:801).

, se o facto de remover uma opção pré‑validada numa quadrícula num sítio Internet é considerado um ónus demasiado pesado para um cliente, não se pode, a fortiori, razoavelmente pretender que um cliente recuse dar o seu consentimento de forma escrita.61.Em segundo lugar, não há consentimento informado. Não é claramente indicado ao cliente que a recusa na cópia e na conservação da cópia do seu documento de identificação não impossibilita a celebração do contrato. O cliente não faz a sua escolha de modo esclarecido se não tiver conhecimento das consequências da sua recusa.62.Em terceiro lugar, e unicamente a título hipotético, nada indica que a Orange România tenha logrado demonstrar que os seus clientes consentiram no tratamento dos seus dados pessoais. A este respeito, a falta evidente de clareza nos procedimentos internos certamente que não facilita a prova de que o consentimento foi dado pelo cliente. Essa falta de clareza e as instruções contraditórias dadas ao pessoal de venda não pode evidentemente fazer‑se em detrimento do cliente, neste caso, o titular dos dados.<TI><P><HT TYPE="BOLD">Conclusão</HT></P></TI>63.Tendo em conta as considerações precedentes, proponho ao Tribunal de Justiça que responda da seguinte forma às questões submetidas pelo Tribunalul Bucureşti (Tribunal Regional de Bucareste, Roménia):

A pessoa em causa que pretenda estabelecer com uma empresa uma relação contratual que tem por objeto a prestação de serviços de telecomunicações não dá a essa empresa o seu consentimento específico e informado e expresso livremente, na aceção do artigo 2.o, alínea h), da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e do artigo 4.o, n.o 11, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), quando lhe é exigido que declare, de forma escrita, num contrato, de resto, padronizado, que recusa dar o seu consentimento à fotocópia e à conservação dos seus documentos de identificação.