C-61/1962019CC0061EU:C:2020:1580001111212

Forslag til afgørelse fra generaladvokat Szpunar – sag C-61/19

Orange România

<TI><P><HT TYPE="UC">Forslag til afgørelse fra generaladvokat</HT></P><P><HT TYPE="UC">M. Szpunar</HT></P><P>fremsat den <DATE ISO="20200304">4. marts 2020</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="ARAB" NUMBERING.CONTINUED="YES" NOTE.ID="E0001"><P>Originalsprog: engelsk.</P></NOTE></P></TI><STI><P><HT TYPE="BOLD">Sag C-61/19</HT></P><P>Orange România SA</P><P>mod</P><P>Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)</P><P><HT TYPE="NORMAL">(anmodning om præjudiciel afgørelse indgivet af Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien))</HT></P></STI>Præjudiciel forelæggelsedirektiv 95/46/EFforordning (EU) 2016/679beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og fri udveksling af sådanne oplysningermobilkommunikationstjenesterbegrebet den registreredes samtykkespecifik og informeret viljetilkendegivelseerklæring om samtykke ved hjælp af et forudafkrydset feltbevisbyrde1.Baggrunden for den foreliggende anmodning om præjudiciel afgørelse fra Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien) er en tvist mellem en leverandør af mobilkommunikationstjenester og et nationalt datatilsyn om førstnævntes forpligtelser i forbindelse med aftaleforhandlingerne med en kunde, når det gælder kopiering og opbevaring af et ID-kort.2.Anmodningen giver Domstolen mulighed for yderligere at præcisere begrebet den registreredes samtykke, der er et centralt element i EU’s databeskyttelseslovgivning, som dybest set er forankret i den grundlæggende ret til databeskyttelse. Domstolen bør i denne forbindelse tillige behandle bevisbyrdespørgsmålet om, hvorvidt den registrerede har givet sit samtykke.<TI><P><HT TYPE="BOLD">Retsforskrifter</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">EU-retten</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Direktiv 95/46/EF</HT></P></TI>3.I henhold til artikel 2, litra h), i direktiv 95/46/EC

Europa-Parlamentets og Rådets direktiv af 24.10.1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31).

 forstås ved den registreredes samtykke i dette direktivs forstand enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.4.Dette direktivs kapitel II omhandler almindelige betingelser for lovlig behandling af personoplysninger.5.Det samme direktivs artikel 6 om principper vedrørende oplysningernes pålidelighed

Artikel 6 er den eneste artikel i kapitel II, afdeling I, i direktiv 95/46.

 har følgende ordlyd:

1.

Medlemsstaterne fastsætter bestemmelser om, at personoplysninger:

a)skal behandles rimeligt og lovligtb)skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; senere behandling af oplysninger i historisk, statistisk eller videnskabeligt øjemed anses ikke for at være uforenelig med disse formål, såfremt medlemsstaterne giver de fornødne garantierc)skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles

[…]

2.Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.

6.Artikel 7 i direktiv 95/46 omhandler principper vedrørende grundlaget for behandling af oplysninger

Artikel 7 er den eneste artikel i kapitel II, afdeling II, i direktiv 95/46.

. Følgende fremgår af denne bestemmelse:

Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:

a)der ikke hersker tvivl om, at den registrerede har givet sit samtykke, ellerb)behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på dennes anmodning forud for indgåelsen af en sådan kontrakt, […]

[…]

<TI><P><HT TYPE="ITALIC">Forordning (EU) 2016/679</HT></P></TI>7.I henhold til artikel 4, nr. 11), i forordning (EU) 2016/679

Europa-Parlamentets og Rådets forordning af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1).

 forstås ved samtykke fra den registrerede i denne forordnings forstand enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.8.Artikel 6, stk. 1, litra a) og b), har følgende ordlyd:

Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

a)Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.b)Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.

9.Denne samme forordnings artikel 7, stk. 1, bestemmer, at [h]vis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Rumænsk ret</HT></HT></P></TI>10.Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (lov nr. 677/2001 om beskyttelse af fysiske personer med hensyn til behandling af personoplysninger og fri bevægelighed for sådanne oplysninger, herefter lov nr. 677/2001)

Monitorul Oficial al României, Partea I, nr. 790 af 12.12.2001.

 har til formål at gennemføre bestemmelserne i direktiv 95/46 i national ret.11.Af denne lovs artikel 32 fremgår følgende:

Behandling af personoplysninger, som en registeransvarlig eller en af denne udpeget registerfører foretager i strid med bestemmelserne i artikel 4-10 eller uden at tage nødvendigt hensyn til rettighederne i kraft af artikel 12-15 eller artikel 17, udgør en administrativ overtrædelse, medmindre den foretages under sådanne omstændigheder, som indebærer en strafferetlig overtrædelse, og sanktioneres med en bøde på mellem 10000000 gamle lei [(1000 rumænske lei (RON))] og 250000000 gamle lei [(25000 RON)].

<TI><P><HT TYPE="BOLD">De faktiske omstændigheder, retsforhandlingerne og de præjudicielle spørgsmål</HT></P></TI>12.Orange România SA er leverandør af mobilkommunikationstjenester på det rumænske marked og leverer tjenester både ved PrePay-systemet

Dvs. at kunderne forhåndsbetaler prisen for de tjenester, som vil blive leveret efterfølgende.

 og ved at indgå tjenesteaftaler

Dvs. at prisen for de af selskabet tilvejebragte tjenester betales af kunderne efter leveringen på grundlag af de udstedte fakturaer.

.13.Den 28. marts 2018 udstedte Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (den nationale tilsynsmyndighed for behandlingen af personoplysninger, Rumænien, herefter ANSPDCP) i henhold til artikel 32 i lov nr. 677/2001, sammenholdt med denne lovs artikel 8, en rapport, hvorved Orange România blev pålagt en administrativ sanktion, fordi genparter af kunders ID-dokumenter var blevet indsamlet og opbevaret uden indhentelse af deres udtrykkelige samtykke.14.ANSPDCP bemærkede i denne forbindelse, at Orange România havde indgået aftaler i trykt form på forretningssteder om levering af mobilkommunikationstjenester med fysiske personer, og at genparter af kundernes ID-dokumenter blev vedhæftet disse aftaler. Indholdet af disse aftaler omfattede bl.a. den oplysning, at kunden var blevet informeret om og havde givet sit samtykke til indsamling og opbevaring (hos Orange România) af disse genparter, og at eksistensen af kundernes samtykke var konstateret i form af afkrydsning af felter i den skriftlige dokumentation, der attesterer aftalerne.15.Den relevante del af de omhandlede aftaler har følgende ordlyd:

Kunden erklærer, at

i)kunden inden indgåelse af aftalen er blevet informeret om den valgte takstplan, de anvendelige takster, den mindste aftaletid, betingelserne for opsigelse [af aftalen] og betingelserne for at modtage og benytte tjenesterne, herunder tjenesternes dækkeområde, i medfør af bestemmelserne i artikel 11 i afgørelse nr. 158/2015 fra ANCOM [(den nationale myndighed for forvaltning og regulering af kommunikation)] og i O.U.G. [nr.] 34/2014 (lovdekret nr. 34/2104), samt om retten til ensidig ophævelse, der kan udøves i henhold til artikel 1.17 i de almindelige vilkår og betingelserii)Orange România har givet kunden alle de informationer, der er nødvendige for, at kunden kan give sit mangelfrie, udtrykkelige, frivillige og specifikke samtykke til indgåelsen af aftalen og den udtrykkelige godkendelse af aftalevilkårene, herunder den samlede aftaledokumentation, de almindelige vilkår og betingelser og informationsdokumentet om takster og tjenesteriii)kunden er blevet informeret og har givet sit samtykke til:

behandling af personoplysninger til de i artikel 1.15 i de almindelige vilkår og betingelser nævnte formål

opbevaring [hos Orange] af genparter af dokumenter med personoplysninger, der muliggør identifikation af kunden

behandling af personoplysninger (telefonnummer, e-mailadresse) til direkte markedsføring

behandling af personoplysninger (telefonnummer, e-mailadresse) til markedsundersøgelser

opbevaring af genparter af dokumenter med personoplysninger om kundens helbredstilstand, efter at denne har gennemlæst den pågældende aftale og givet specifikt samtykke dertil

udelukkelsen af de i artikel 1.15, nr. 10, i de almindelige vilkår og betingelser nævnte oplysninger fra informationstjenester om abonnenter og abonnentfortegnelser.

16.Ifølge ANSPDCP har Orange România ikke har bevist, at kunderne traf et informeret valg med hensyn til indsamlingen og opbevaringen af genparterne af deres identitetspapirer.17.Orange România har anlagt sag til prøvelse af bødepålæggelsen af 28. marts 2018 ved den forelæggende ret.18.Ifølge den forelæggende rets konstateringer foreligger der både aftaler, hvor kundens frivillige valg med hensyn til opbevaringen af dennes ID-dokumenter er tilkendegivet ved afkrydsning af et felt, såvel som aftaler, hvor kunderne omvendt har nægtet at give tilladelse hertil. Det fremgår af Orange Românias interne salgsprocedure, at Orange România i de sidstnævnte sager tilføjede de nødvendige oplysninger om kundens afvisning af, at en genpart af dennes ID-dokumenter opbevares, ved at udfylde en særlig formular i dette øjemed og dernæst indgik aftalen. Til trods for angivelserne i Orange Românias almindelige vilkår og betingelser afviste Orange România således ikke at indgå abonnementsaftaler med kunder, selv om de nægtede at samtykke til opbevaring af en genpart af deres ID-dokument.19.Den forelæggende ret har anført, at det under disse omstændigheder er særlig vigtigt, at Domstolen træffer afgørelse om kriterierne for bestemmelsen af, om et samtykke er specifik[t] og informeret, og i givet fald om bevisværdien af undertegnelsen af sådanne aftaler som de i hovedsagen omhandlede.20.Under disse omstændigheder har Tribunalul Bucureşti (retten i første instans i Bukarest) ved kendelse af 14. november 2018, indgået til Domstolen den 29. januar 2019, forelagt Domstolen følgende præjudicielle spørgsmål:1)Hvilke betingelser skal være opfyldt for, at en viljetilkendegivelse kan opfattes som en specifik og informeret viljetilkendegivelse som omhandlet i artikel 2, litra h), i [direktiv 95/46]?2)Hvilke betingelser skal være opfyldt for, at en viljetilkendegivelse kan opfattes som en frivillig viljetilkendegivelse som omhandlet i artikel 2, litra h), i [direktiv 95/46]?21.Der er indgivet skriftlige indlæg af hovedsagens parter, den italienske, den østrigske, den portugisiske og den rumænske regering samt Europa-Kommissionen. Orange România, den rumænske regering og Kommissionen deltog i retsmødet, der blevet afholdt den 11. december 2019.<TI><P><HT TYPE="BOLD">Bedømmelse</HT></P></TI>22.I den foreliggende sag anmodes Domstolen om at præcisere betingelserne for, at et samtykke til behandling af personoplysninger kan anses for gyldigt.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Indledende bemærkninger</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Om de gældende retlige instrumenter</HT></P></TI>23.Forordning 2016/679, som har fundet anvendelse siden den 25. maj 2018

I henhold til artikel 99, stk. 2, i forordning 2016/679.

, ophævede direktiv 95/46 med virkning fra den samme dag

Jf. artikel 94, stk. 1, i forordning 2016/679.

.24.Den i hovedsagen omhandlede afgørelse blev truffet af ANSPDCP den 28. marts 2018 forud for den dato, hvor forordning 2016/679 finder anvendelse. Dog pålagde ANSPDCP ikke alene Orange România en bøde, men også at destruere de omhandlede genparter af ID-dokumenterne. Tvisten i hovedsagen vedrører endvidere dette sidstnævnte påbud. Dette påbud har fremtidig virkning, hvorfor denne forordning synes at finde anvendelse ratione temporis.25.De præjudicielle spørgsmål skal derfor besvares i forhold til både direktiv 95/46 og forordning 2016/679

Jf. dom af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 38-43), for en lignende tilgang i en sammenlignelig situation og mit forslag til afgørelse i samme sag (C-673/17, EU:C:2019:246, punkt 44-49). Jf. endvidere dom af 11.12.2018, Weiss m.fl. (C-493/17, EU:C:2018:1000, præmis 39).

. Denne forordning skal endvidere tages i betragtning ved vurderingen af bestemmelserne i direktiv 95/46

Jf. dom af 24.9.2019, GC m.fl. (Fjernelse af følsomme oplysninger) (C-136/17, EU:C:2019:773, præmis 33).

.<TI><P><HT TYPE="ITALIC">Fastlæggelse af de præjudicielle spørgsmåls rækkevidde</HT></P></TI>26.Den forelæggende rets to spørgsmål er for generelt og abstrakt formuleret og skal til en vis grad tilpasses, så de stemmer overens med hovedsagens faktiske omstændigheder med henblik på at vejlede den forelæggende ret og give en brugbar besvarelse af spørgsmålene. Til dette formål finder jeg det vigtig kort at fremhæve hovedsagens faktiske omstændigheder, som de er anført i forelæggelsesafgørelsen fra den forelæggende ret, og de oplysninger, som sagens parter har indgivet, navnlig i retsmødet for Domstolen.27.Den nationale databeskyttelsesmyndighed i Rumænien, ANSPDCP, sanktionerede Orange România for at indsamle og opbevare genparter af deres kunders ID-dokumenter uden samtykke. Denne myndighed fandt, at virksomheden havde indgået aftaler om levering af mobilkommunikationstjenester, og at genparter af ID-dokumenterne var vedhæftet disse aftaler. I disse aftaler var det angiveligt fastsat, at kunderne var blevet underrettet om og havde givet deres samtykke til indsamlingen og opbevaringen af disse genparter, hvilket giver sig til udtryk ved de afkrydsede felter i aftalebestemmelserne. Ifølge ANSPDCP’s konstateringer har Orange România imidlertid ikke fremlagt bevis for, at de omhandlede kunder på aftaletidspunktet havde foretaget et informeret valg med hensyn til indsamlingen og opbevaringen af disse genparter.28.Når en person, der ønsker at indgå et aftaleforhold med Orange România, rådgives af en repræsentant for denne virksomhed om en specifik aftales betingelser, arbejder denne repræsentant – normalt på en computer – med et aftaleudkast, der indeholder et afkrydsningsfelt om opbevaringen af et ID-dokument. Kunden synes at blive informeret om, at dette afkrydsningsfelt ikke behøver at blive afkrydset. Hvis kunden ikke indvilliger i at lade sine ID-dokumenter blive fotokopieret og opbevaret, skal denne med håndskrift dokumentere dette på aftalen. Dette sidstnævnte krav vedrørende håndskrift synes at følge af Orange Românias interne slagsprocedure. Kunden informeres endvidere om, at denne kan nægte, men alene mundtligt og ikke skriftligt.29.På denne baggrund opfatter jeg de to spørgsmål, som bør behandles samlet, således, at den forelæggende ret ønsker at klarlægge, om en registreret, som har til hensigt at indgå et aftaleforhold om leveringen af telekommunikationstjenester med en virksomhed, giver et specifik[t] og informeret samt frivillig[t] samtykke som omhandlet i artikel 2, litra h), i direktiv 95/46 og i artikel 4, nr. 11), i forordning 2016/679 til denne virksomhed, når den registrerede med håndskrift, på hvad der ellers er en standardaftale, skal anføre, at denne nægter at samtykke til fotokopieringen og opbevaringen af sine ID-dokumenter.30.I denne sammenhæng synes den forelæggende ret at have behov for vejledning om bevisbyrde og beviskrav i forhold til denne virksomhed.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Samtykke som forudsætning for behandling af personoplysninger</HT></HT></P></TI>31.Den foreliggende sag vedrører behandlingen af personoplysninger i forbindelse med indgåelse af en aftale om levering af telekommunikationstjenester.32.Enhver behandling af personoplysninger skal for det første foregå i overensstemmelse

Naturligvis med forbehold for de undtagelser og begrænsninger, som er fastsat i artikel 13 i direktiv 95/46 og i artikel 23 i forordning 2016/679.

 med både principperne vedrørende oplysningernes pålidelighed, der er fastsat i artikel 6 i direktiv 95/46 eller i artikel 5 i forordning 2016/679, og for det andet overholde et af de principper vedrørende grundlaget for behandling af oplysninger, der er opregnet i dette direktivs artikel 7 eller denne forordnings artikel 6

Jf. dom af 16.1.2019, Deutsche Post (C-496/17, EU:C:2019:26, præmis 57). Jf. endvidere dom af 13.5.2014, Google Spain og Google (C-131/12, EU:C:2014:317, præmis 71 og den deri nævnte retspraksis), og af 11.12.2019, Asociaţia de Proprietari bloc M5A-ScaraA (C-708/18, EU:C:2019:1064, præmis 36).

. Som Kommissionen har anført, er de seks principper i artikel 7 i direktiv 95/46 faktisk et udtryk for et bredere princip, der er fastsat i dette direktivs artikel 6, stk. 1, litra a), i henhold til hvilket personoplysninger skal behandles rimeligt og lovligt.33.Artikel 7 i direktiv 95/46 fastsætter en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig

Jf. dom af 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito (C-468/10 og C-469/10, EU:C:2011:777, præmis 30), af 19.10.2016, Breyer (C-582/14, EU:C:2016:779, præmis 57), og af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 53).

. Behandlingen af personoplysninger må kun finde sted, hvis mindst ét af de seks principper vedrørende grundlaget for behandling af oplysninger er opfyldt. Den omstændighed, at der ikke hersker tvivl om, at den registrerede har givet sit samtykke, er ét af disse principper.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Om begrebet samtykke</HT></HT></P></TI>34.Den registreredes samtykke er defineret i artikel 2, litra h), i direktiv 95/46 som enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.35.Denne ordlyd svarer stort set

Jf. endvidere L.A. Bygrave og L. Tosoni i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 4, nr. 11, kapitel I, s. 181.

 til ordlyden af artikel 4, nr. 11), i forordning 2016/679, i henhold til hvilken der ved samtykke fra den registrerede forstås enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling

Disse kriterier er naturligvis af kumulativ karakter, hvilket betyder, at tærsklen for et gyldigt samtykke er høj, jf. L.A. Bygrave og L. Tosoni i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 4, nr. 11, kapitel I, s. 181.

.36.Kravet om den registreredes samtykke er en iboende del af EU’s lovgivning om databeskyttelse

Jf. mit forslag til afgørelse Planet49 (C-673/17, EU:C:2019:246, punkt 57 ff.). Jf. endvidere D. Heckmann og A. Paschke i E. Ehmann og M. Selmayr (red.), Datenschutz-Grundverordnung, Kommentar, C.H. Beck, München, 2. udgave, 2018, artikel 7, punkt 9: Databeskyttelsens hovedhjørnesten.

. Det forekommer i Den Europæiske Unions charter om grundlæggende rettigheder, hvor det i artikel 8 er fastsat, at oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag. Set i en bredere kontekst giver begrebet samtykke den registrerede mulighed for selv at tage stilling til legitimiteten af begrænsninger af dennes ret til beskyttelse af personoplysninger

Jf. i denne forbindelse B. Buchner, Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, s. 232, der henviser til selvbestemmelsesretten i denne sammenhæng (som udviklet af den tyske forfatningsdomstol siden dom af 15.12.1983, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfGE 65,1).

.37.Det overordnede princip, som danner grundlaget for EU’s databeskyttelseslovgivning, er den autonome beslutning, som en borger, der er i stand til at træffe valg om anvendelsen og behandlingen af sine oplysninger, træffer

Jf. endvidere J.H. Klement i S. Simitis, G. Hornung og I. Spieker gen. I. Döhmann (red.), Datenschutzrecht, Nomos, Baden-Baden, 2019, artikel 7, punkt 1, som fremhæver, at i en retsorden, der er baseret på og søger at fremme værdighed og individets frihed og ansvar, skal behandlingen af personoplysninger legitimeres af den registreredes autonome beslutning.

. Det er samtykkekravet, der gør det muligt for den registrerede at træffe dette valg, og som samtidig beskytter den registrerede i tilfælde, som efter deres art er meget asymmetriske

Jf. endvidere 43. betragtning til forordning 2016/679, hvori der henvises til tilfælde, hvor der kan være en klar skævhed mellem den registrerede og den dataansvarlige.

. Et samtykke opfylder kun kriterierne i direktiv 95/46 og i forordning 2016/679, når det er frivilligt, specifikt og informeret.38.På dette stadie skal der fremsættes tre yderligere korte bemærkninger om den åbenbare forskel i disse bestemmelsers ordlyd.39.For det første henviser artikel 4, nr. 11), i forordning 2016/679 i modsætning til artikel 2, litra h), i direktiv 95/46 til en utvetydig tilkendegivelse. Det er min opfattelse, at årsagen hertil er ganske enkel: Dette direktivs artikel 7, litra a), om principper vedrørende grundlaget for behandling af oplysninger, som allerede nævnt ovenfor, kræver, at der ikke hersker tvivl om (unambiguously), at den registrerede har givet sit samtykke, hvorimod den tilsvarende bestemmelse i forordning 2016/679 – artikel 6, stk. 1, litra a) – ikke indeholder denne præcisering. Med andre ord er kriteriet om utvetydig tilkendegivelse blot blevet flyttet til en mere generel bestemmelse i forordning 2016/679.40.For det andet præciserer artikel 4, nr. 11), i forordning 2016/679, at den registrerede giver sig til kende ved erklæring eller klar bekræftelse. Denne præcisering er ny i forhold til forordningen og er ikke semantisk afspejlet i direktiv 95/46.41.For det tredje adskiller den franske sprogversion af direktiv 95/46 sig fra sprogversionen af forordning 2016/679 hvad angår den registreredes samtykke som værende informeret. Hvor dette direktivs artikel 2, litra h), henviser til manifestation de volonté […] informée, omhandler denne forordnings artikel 4, nr. 11), manifestation de volonté […] eclairée.42.Efter min opfattelse forvirrer denne ændring i ordlyden mere end den afklarer, da den franske sprogversion, så vidt jeg kan se, er den eneste eller i mindste en blandt ganske få sprogversioner, der foretager denne sondring. En række sprogversioner, deriblandt i øvrigt de andre romanske sprog, anvender ganske enkelt præcist de samme udtryk i denne forbindelse

Jf. f.eks. den spanske (manifestación de voluntad […] informada), den portugisiske (manifestação de vontade […] informada), den rumænske (manifestare de voință […] informată), den danske (informeret viljetilkendegivelse), den svenske (informerad viljeyttring) og den maltesiske (infurmata) sprogversion.

, mens andre sprogversioner muligvis varierer en anelse på dette punkt dog uden at svare til forskellen i de franske sprogversioner

Jf. f.eks. den nederlandske (op informatie berustende wilsuiting i direktivet og geïnformeerde wilsuiting i forordningen), den polske (świadome […] wskazanie i direktivet og świadome […] okazanie woli i forordningen) og den tyske (Willensbekundung, die […] in Kenntnis der Sachlage erfolgt i direktivet og in informierter Weise […] abgegebene Willensbekundung i forordningen) sprogversion.

.43.Jeg vender tilbage til begrebet informeret nedenfor.<TI><P><HT TYPE="ITALIC">Frivilligt samtykke</HT></P></TI>44.Kravet om en viljes tilkendegivelse fra den registreredes side peger tydeligt på en aktiv og ikke passiv adfærd

Jf. dom af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 52).

 og kræver, at den registrerede har en høj grad af autonomi, når denne træffer valget om at give samtykke eller ikke

Jf. L.A. Bygrave og L. Tosoni i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 4, nr. 11, kapitel I, s. 182.

. Domstolen har med hensyn til den særlige situation for salgsfremmende konkurrence på et internetwebsted fastslået, at et samtykke givet ved hjælp af et forudafkrydset felt ikke indebærer en aktiv adfærd fra brugeren af internetwebstedets side

Ibidem.

.45.Jeg vil hævde, at en sådan konstatering finder tilsvarende anvendelse på den analoge verden: Et samtykke i form af et forudafkrydset felt indebærer ikke et aktivt samtykke fra en person, som har med et fysisk dokument at gøre, som den pågældende i sidste ende underskriver. I en sådan situation kan man ikke vide, om den omhandlede standardtekst er læst og forstået. Situationen er ikke entydig. Måske er teksten læst, måske er den ikke. Læseren kan have undladt at læse den på grund af ren og skær forsømmelighed, hvilket gør det umuligt med klarhed at fastslå, hvorvidt samtykke er afgivet frivilligt

Jf. analogt mit forslag til afgørelse Planet49 (C-673/17, EU:C:2019:246, punkt 62). Jf. endvidere dom af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 55).

.<TI><P><HT TYPE="ITALIC">Informeret samtykke</HT></P></TI>46.Der må på ingen måde være plads til den mindste tvivl om, at den registrerede ikke var tilstrækkeligt informeret

Informeret samtykke er i sidste ende forankret i gennemsigtighedsprincippet, som fastlagt i artikel 5, stk. 1, litra a), i forordning 2016/679, jf. L.A. Bygrave og L. Tosoni i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 4, nr. 11, kapitel I, s. 184.

.47.Den registrerede skal informeres om alle omstændigheder i forbindelse med behandlingen af oplysninger og dens konsekvenser. Navnlig skal den registrerede have kendskab til, hvilke oplysninger der skal behandles, varigheden af sådan behandling, på hvilken måde og med hvilket formål. Den registrerede skal endvidere have kendskab til, hvem der behandler oplysningerne, og om oplysningerne skal videregives til tredjemand. Det er afgørende, at den registrerede informeres om konsekvenserne af at modsætte sig samtykke: Er samtykke til behandling af oplysninger en betingelse for at indgå aftalen eller ikke

Ifølge visse forfattere er listen over informationer som omhandlet i artikel 10 og 11 i direktiv 95/46 ikke udtømmende, således at den dataansvarlige også kan give den registrerede anden relevant information om betingelserne for anvendelse af personoplysninger. Jf. f.eks. A. Mednis, Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46, Monitor Prawniczy (dodatek) 2012, nr. 7, s. 27.

?<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">On bevisbyrden</HT></HT></P></TI>48.Dette efterlader os med spørgsmålet om, hvem det påhviler at påvise, at den registrerede befandt sig i en sådan situation, at denne kunne give sit samtykke på grundlag af de netop fastslåede kriterier.49.Artikel 7, stk. 1, i forordning 2016/679 er klar og efterlader ingen tvivl: Hvis behandling er baseret på samtykke, skal den dataansvarlige påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger

I henhold til denne bestemmelse har den dataansvarlige ansvaret for og skal kunne påvise, at personoplysningerne behandles lovligt, rimeligt og på en transparent måde i forhold til den registrerede.

. Denne bestemmelse udgør en præcisering af ansvarlighedsprincippet i artikel 5, stk. 2, i forordning 2016/679. Jeg vil påstå, at formålet med denne bestemmelse skal fortolkes bredt, idet den dataansvarlige ikke blot skal godtgøre, at den registrerede har givet samtykke, men også at alle betingelserne med hensyn til effektivteten er opfyldt

Jf. i denne retning B. Stemmer i S. Brink og H.A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, München, 30. udgave per 1.11.2019, artikel 7 DSGVO, punkt 87, og J. Buchner og B. Kühling i J. Buchner og B. Kühling (red.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2. udgave 2018, artikel 7 DS-GVO, punkt 22.

.50.Nogle forfattere betvivler, at artikel 7, stk. 1, i forordning 2016/679 vedrører bevisbyrden med henvisning til denne forordnings forarbejder

Jf. J.H. Klement i S. Simitis, G. Hornung og I. Spieker gen. Döhmann (red.), Datenschutzrecht, Nomos, Baden-Baden, 2019, artikel 7, punkt 46.

. Det anføres, at selv om både den af Kommissionen og Parlamentet foreslåede ordlyd udtrykkeligt henviste til ansvaret for at bevise, er en sådan ordlyd ikke afspejlet i den vedtagne tekst, som derfor er den gældende lovgivning.51.Dette argument kræver en nærmere analyse.52.I Kommissionens oprindelige forslag

I Kommissionens oprindelige forslag havde artikel 7, stk. 1, følgende ordlyd: Den registeransvarlige bærer ansvaret for at bevise, at den registrerede har givet sit samtykke til behandlingen af vedkommendes personoplysninger til de angivne formål. Jf. forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse), COM(2012) 11 final, s. 45.

 henvises der således til ansvaret for at bevise, som den dataansvarlige skal bære. Ligeledes tog Parlamentet ved førstebehandlingen

Ved førstebehandlingen foreslog Parlamentet ikke at ændre ordlyden af artikel 7, stk. 1, hvad angår udtrykket ansvaret for at bevise. Det beskæftigede sig alene med at præcisere, at artikel 7, stk. 1, omhandler en situation, hvor behandlingen er baseret på samtykke. Jf. Europa-Parlamentets lovgivningsmæssige beslutning af 12.3.2014 om forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse), COM(2012) 11 (EUT 2017, C 378, s. 399, s. 428).

 ikke afstand fra denne ordlyd. Det var Rådet

Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger. Jf. Rådets førstebehandlingsholdning (EU) nr. 6/2016 med henblik på vedtagelse af Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse), vedtaget af Rådet den 8.4.2016 (EUT 2016, C 159, s. 1), s. 36.

, som med hensyn til den dataansvarlige ændrede ansvaret for at bevise med skal […] kunne påvise. Den endelige tekst blev efterfølgende vedtaget i denne form.53.Jeg ville ikke tillægge denne ændring af ordlyden for stor en betydning

Jf. i denne retning endvidere E. Kosta i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, artikel 7, kapitel II, s. 349 og 350.

. På intet tidspunkt i betragtningerne til sin holdning angiver Rådet begrundelsen for den foreslåede ændring i ordlyden

Jf. navnlig 42. og 43. betragtning, hvoraf begrundelsen for artikel 7 fremgår.

. Dette indikerer, at institutionen blot ønskede at ændre ordlyden af den omhandlede bestemmelse uden at ændre dens betydning. Set i lyset heraf beskriver udtrykket skal […] kunne påvise reelt på en mere tilgængelig måde, hvad der menes med ansvaret for at bevise

En interessant begrebsmæssig forklaring på, hvorfor bevisbyrden påhviler den dataansvarlige, fremlægges af B. Buchner i Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, s. 243-245, der drager en parallel til lægers ansvar i national ret, hvor bevisbyrden ligeledes påhviler dem, som foretager begrænsningen af den omhandlede rettighed.

.54.Det kan derfor roligt antages, at artikel 7, stk. 1, i forordning 2016/679 lægger bevisbyrden for den registreredes samtykke til behandling af personoplysninger på den dataansvarlige

Dette er desuden den mest fremherskende opfattelse i retslitteraturen, jf. A. Klabunde i E. Ehmann og M. Selmayr (red.), Datenschutz-Grundverordnung, Kommentar, 2. udgave, C.H. Beck, München, 2018, artikel 4, punkt 52, B. Stemmer i S. Brink og H.A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, München, 30. udgave pr. 1.11.2019, artikel 7 DSGVO, punkt 87, J. Buchner og B. Kühling i J. Buchner og B. Kühling (red.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2. udgave, 2018, artikel 7 DS-GVO, punkt 22, og P. Barta og M. Kawecki i P. Litwiński (red.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C.H. Beck, Warszawa 2018, forordningens artikel 7, punkt 1.

. Enhver tvivl hvad angår den registreredes meddelelse af samtykke skal fjernes af bevis fremlagt af den dataansvarlige

Jf. endvidere i denne retning D. Heckmann og A. Paschke i E. Ehmann og M. Selmayr (red.), Datenschutz-Grundverordnung, Kommentar, 2. udgave, C.H. Beck, München, 2018, artikel 7, punkt 72.

. Bevisbyrden for, at den registrerede er blevet bragt i en situation, hvor denne er i stand til at give et frivilligt, specifikt og informeret samtykke, ligger helt og holdent på den enhed, som foretager behandlingen.55.Retsstillingen i direktiv 95/46 er ikke anderledes på dette punkt.56.Selv om direktiv 95/46 ikke indeholdt en særskilt bestemmelse, der svarer til artikel 7 i forordning 2016/679 om betingelserne for samtykke, kunne de fleste betingelser i denne artikel ligeledes findes i dette direktiv. Selv om bevisbyrdereglen ikke udtrykkeligt er fastsat i dette direktiv, følger det i det mindste indirekte fra dets bestemmelse

Jf. artikel 7, litra a), i direktiv 95/46. Min fremhævelse.

, at der ikke hersker tvivl om, at den registrerede har givet sit samtykke

Jf. i denne retning endvidere bl.a. J. Buchner og B. Kühling i J. Buchner og B. Kühling (red.), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2. udgave, 2018, artikel 7 DS-GVO, punkt 5 og 22.

.<TI><P><HT TYPE="BOLD">Om Orange Românias situation</HT></P></TI>57.Jeg vil nu anvende disse kriterier på den foreliggende sag.58.Som en indledende bemærkning skal det anføres, at spørgsmålet om, hvorvidt Orange România kan kræve, at deres kunder samtykker til kopiering og opbevaring af deres ID-dokumenter, falder uden for rammerne af denne sag, da dette ikke er en forudsætning for aftaleindgåelsen i denne virksomheds tilfælde. Den foreliggende sag omhandler med andre ord ikke fortolkningen af artikel 7, litra b), i direktiv 95/46 og artikel 6, stk. 1, litra b), i forordning 2016/679. Når dette er sagt, er det efter min opfattelse legitimt, at en virksomhed anmoder kunder om personoplysninger og navnlig at legitimere sig med henblik på en aftaleindgåelse. Imidlertid synes det at gå videre, end hvad der er nødvendigt for aftalens opfyldelse, at kræve, at en kunde samtykker til kopiering og opbevaring af ID-dokumenter.59.Ud fra de foreliggende oplysninger er det min opfattelse, at Orange Românias kunder ikke giver et frivilligt, specifikt og informeret samtykke under omstændigheder som de af den forelæggende ret beskrevne.60.For det første er der ikke et frivilligt samtykke. En kunde, der pålægges i håndskreven form at skulle tilkendegive, at den pågældende ikke samtykker til kopiering og opbevaring af sit ID-kort, gives ikke mulighed for frivilligt samtykke, idet kunden sættes i en situation, som mærkbart afviger fra den normale procedure, der fører til en aftaleindgåelse. Kunder må i denne forbindelse ikke føle, at det ikke er i overensstemmelse med de almindelige procedurer at nægte samtykke til kopiering og opbevaring af deres ID-dokumenter. Jeg skal i denne henseende erindre om, at Domstolen har lagt vægt på aktiv adfærd fra den registrerede med henblik på at tilkendegive sit samtykke

Jf. dom af 1.10.2019, Planet49 (C-673/17, EU:C:2019:801, præmis 54).

. Der kræves derfor en positiv handling fra den registreredes side for at tilkendegive samtykke. I den foreliggende sag synes den modsatte situation imidlertid at forekomme: Der kræves en positiv handling for at nægte samtykke. Hvis – for endnu en gang at henvise til Planet49-dommen

Jf. dom af 1.10.2019 (C-673/17, EU:C:2019:801).

 – et forudafkrydset felt på et internetwebsted anses for en alt for stor byrde for en kunde, så kan en kunde så meget desto mindre ikke med rimelighed forventes at nægte sit samtykke i håndskrevet form.61.For det andet er der ikke et informeret samtykke. Det gøres ikke fuldstændigt klart for kunden, at nægtelse af kopiering og opbevaring af den pågældendes ID-kort ikke umuliggør aftaleindgåelsen. En kunde vælger ikke på et informeret grundlag, hvis denne ikke kender til konsekvenserne.62.For det tredje – og alene på et hypotetisk grundlag – er der intet, der antyder, at Orange România har formået at påvise, at kunderne samtykkede til behandlingen af deres personoplysninger. I denne henseende bidrager en tydelig mangel på klarhed i de interne procedurer bestemt ikke til fremlæggelsen af bevis for, at kunden har givet sit samtykke. Sådan manglende klarhed og modstridende instrukser til salgspersonalet kan naturligvis ikke være til skade for kunden, som i dette tilfælde er den registrerede.<TI><P><HT TYPE="BOLD">Forslag til afgørelse</HT></P></TI>63.På baggrund af ovenstående betragtninger foreslår jeg, at Domstolen besvarer de af Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien) forelagte spørgsmål på følgende måde:

En registreret, som har til hensigt at indgå et aftaleforhold om leveringen af telekommunikationstjenester med en virksomhed, giver ikke sit samtykke, dvs. tilkendegiver ikke en specifik og informeret samt frivillig vilje som omhandlet i artikel 2, litra h), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og i artikel 4, nr. 11), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) til denne virksomhed, når den registrerede med håndskrift, på hvad der ellers er en standardaftale, skal anføre, at denne nægter at samtykke til fotokopieringen og opbevaringen af sine ID-dokumenter.