1. 

Baggrunden for den foreliggende anmodning om præjudiciel afgørelse fra Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien) er en tvist mellem en leverandør af mobilkommunikationstjenester og et nationalt datatilsyn om førstnævntes forpligtelser i forbindelse med aftaleforhandlingerne med en kunde, når det gælder kopiering og opbevaring af et ID-kort.

2. 

Anmodningen giver Domstolen mulighed for yderligere at præcisere begrebet den registreredes »samtykke«, der er et centralt element i EU’s databeskyttelseslovgivning, som dybest set er forankret i den grundlæggende ret til databeskyttelse. Domstolen bør i denne forbindelse tillige behandle bevisbyrdespørgsmålet om, hvorvidt den registrerede har givet sit samtykke.

3.

I henhold til artikel 2, litra h), i direktiv 95/46/EC ( 2 ) forstås ved »den registreredes samtykke« i dette direktivs forstand »enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling«.

4.

Dette direktivs kapitel II omhandler almindelige betingelser for lovlig behandling af personoplysninger.

5.

Det samme direktivs artikel 6 om »principper vedrørende oplysningernes pålidelighed« ( 3 ) har følgende ordlyd:

»1.   Medlemsstaterne fastsætter bestemmelser om, at personoplysninger:

[…]

2.   Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«

6.

Artikel 7 i direktiv 95/46 omhandler »principper vedrørende grundlaget for behandling af oplysninger« ( 4 ). Følgende fremgår af denne bestemmelse:

»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:

[…]«

7.

I henhold til artikel 4, nr. 11), i forordning (EU) 2016/679 ( 5 ) forstås ved »samtykke« fra den registrerede i denne forordnings forstand »enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling«.

8.

Artikel 6, stk. 1, litra a) og b), har følgende ordlyd:

»Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

9.

Denne samme forordnings artikel 7, stk. 1, bestemmer, at »[h]vis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger«.

10.

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (lov nr. 677/2001 om beskyttelse af fysiske personer med hensyn til behandling af personoplysninger og fri bevægelighed for sådanne oplysninger, herefter »lov nr. 677/2001«) ( 6 ) har til formål at gennemføre bestemmelserne i direktiv 95/46 i national ret.

11.

Af denne lovs artikel 32 fremgår følgende:

»Behandling af personoplysninger, som en registeransvarlig eller en af denne udpeget registerfører foretager i strid med bestemmelserne i artikel 4-10 eller uden at tage nødvendigt hensyn til rettighederne i kraft af artikel 12-15 eller artikel 17, udgør en administrativ overtrædelse, medmindre den foretages under sådanne omstændigheder, som indebærer en strafferetlig overtrædelse, og sanktioneres med en bøde på mellem 10000000 gamle lei [(1000 rumænske lei (RON))] og 250000000 gamle lei [(25000 RON)].«

12.

Orange România SA er leverandør af mobilkommunikationstjenester på det rumænske marked og leverer tjenester både ved »PrePay«-systemet ( 7 ) og ved at indgå tjenesteaftaler ( 8 ).

13.

Den 28. marts 2018 udstedte Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (den nationale tilsynsmyndighed for behandlingen af personoplysninger, Rumænien, herefter »ANSPDCP«) i henhold til artikel 32 i lov nr. 677/2001, sammenholdt med denne lovs artikel 8, en rapport, hvorved Orange România blev pålagt en administrativ sanktion, fordi genparter af kunders ID-dokumenter var blevet indsamlet og opbevaret uden indhentelse af deres udtrykkelige samtykke.

14.

ANSPDCP bemærkede i denne forbindelse, at Orange România havde indgået aftaler i trykt form på forretningssteder om levering af mobilkommunikationstjenester med fysiske personer, og at genparter af kundernes ID-dokumenter blev vedhæftet disse aftaler. Indholdet af disse aftaler omfattede bl.a. den oplysning, at kunden var blevet informeret om og havde givet sit samtykke til indsamling og opbevaring (hos Orange România) af disse genparter, og at eksistensen af kundernes samtykke var konstateret i form af afkrydsning af felter i den skriftlige dokumentation, der attesterer aftalerne.

15.

Den relevante del af de omhandlede aftaler har følgende ordlyd:

»Kunden erklærer, at

16.

Ifølge ANSPDCP har Orange România ikke har bevist, at kunderne traf et informeret valg med hensyn til indsamlingen og opbevaringen af genparterne af deres identitetspapirer.

17.

Orange România har anlagt sag til prøvelse af bødepålæggelsen af 28. marts 2018 ved den forelæggende ret.

18.

Ifølge den forelæggende rets konstateringer foreligger der både aftaler, hvor kundens frivillige valg med hensyn til opbevaringen af dennes ID-dokumenter er tilkendegivet ved afkrydsning af et felt, såvel som aftaler, hvor kunderne omvendt har nægtet at give tilladelse hertil. Det fremgår af Orange Românias »interne salgsprocedure«, at Orange România i de sidstnævnte sager tilføjede de nødvendige oplysninger om kundens afvisning af, at en genpart af dennes ID-dokumenter opbevares, ved at udfylde en særlig formular i dette øjemed og dernæst indgik aftalen. Til trods for angivelserne i Orange Românias almindelige vilkår og betingelser afviste Orange România således ikke at indgå abonnementsaftaler med kunder, selv om de nægtede at samtykke til opbevaring af en genpart af deres ID-dokument.

19.

Den forelæggende ret har anført, at det under disse omstændigheder er særlig vigtigt, at Domstolen træffer afgørelse om kriterierne for bestemmelsen af, om et samtykke er »specifik[t]« og »informeret«, og i givet fald om bevisværdien af undertegnelsen af sådanne aftaler som de i hovedsagen omhandlede.

20.

Under disse omstændigheder har Tribunalul Bucureşti (retten i første instans i Bukarest) ved kendelse af 14. november 2018, indgået til Domstolen den 29. januar 2019, forelagt Domstolen følgende præjudicielle spørgsmål:

21.

Der er indgivet skriftlige indlæg af hovedsagens parter, den italienske, den østrigske, den portugisiske og den rumænske regering samt Europa-Kommissionen. Orange România, den rumænske regering og Kommissionen deltog i retsmødet, der blevet afholdt den 11. december 2019.

22.

I den foreliggende sag anmodes Domstolen om at præcisere betingelserne for, at et samtykke til behandling af personoplysninger kan anses for gyldigt.

23.

Forordning 2016/679, som har fundet anvendelse siden den 25. maj 2018 ( 9 ), ophævede direktiv 95/46 med virkning fra den samme dag ( 10 ).

24.

Den i hovedsagen omhandlede afgørelse blev truffet af ANSPDCP den 28. marts 2018 forud for den dato, hvor forordning 2016/679 finder anvendelse. Dog pålagde ANSPDCP ikke alene Orange România en bøde, men også at destruere de omhandlede genparter af ID-dokumenterne. Tvisten i hovedsagen vedrører endvidere dette sidstnævnte påbud. Dette påbud har fremtidig virkning, hvorfor denne forordning synes at finde anvendelse ratione temporis.

25.

De præjudicielle spørgsmål skal derfor besvares i forhold til både direktiv 95/46 og forordning 2016/679 ( 11 ). Denne forordning skal endvidere tages i betragtning ved vurderingen af bestemmelserne i direktiv 95/46 ( 12 ).

26.

Den forelæggende rets to spørgsmål er for generelt og abstrakt formuleret og skal til en vis grad tilpasses, så de stemmer overens med hovedsagens faktiske omstændigheder med henblik på at vejlede den forelæggende ret og give en brugbar besvarelse af spørgsmålene. Til dette formål finder jeg det vigtig kort at fremhæve hovedsagens faktiske omstændigheder, som de er anført i forelæggelsesafgørelsen fra den forelæggende ret, og de oplysninger, som sagens parter har indgivet, navnlig i retsmødet for Domstolen.

27.

Den nationale databeskyttelsesmyndighed i Rumænien, ANSPDCP, sanktionerede Orange România for at indsamle og opbevare genparter af deres kunders ID-dokumenter uden samtykke. Denne myndighed fandt, at virksomheden havde indgået aftaler om levering af mobilkommunikationstjenester, og at genparter af ID-dokumenterne var vedhæftet disse aftaler. I disse aftaler var det angiveligt fastsat, at kunderne var blevet underrettet om og havde givet deres samtykke til indsamlingen og opbevaringen af disse genparter, hvilket giver sig til udtryk ved de afkrydsede felter i aftalebestemmelserne. Ifølge ANSPDCP’s konstateringer har Orange România imidlertid ikke fremlagt bevis for, at de omhandlede kunder på aftaletidspunktet havde foretaget et informeret valg med hensyn til indsamlingen og opbevaringen af disse genparter.

28.

Når en person, der ønsker at indgå et aftaleforhold med Orange România, rådgives af en repræsentant for denne virksomhed om en specifik aftales betingelser, arbejder denne repræsentant – normalt på en computer – med et aftaleudkast, der indeholder et afkrydsningsfelt om opbevaringen af et ID-dokument. Kunden synes at blive informeret om, at dette afkrydsningsfelt ikke behøver at blive afkrydset. Hvis kunden ikke indvilliger i at lade sine ID-dokumenter blive fotokopieret og opbevaret, skal denne med håndskrift dokumentere dette på aftalen. Dette sidstnævnte krav vedrørende håndskrift synes at følge af Orange Românias interne slagsprocedure. Kunden informeres endvidere om, at denne kan nægte, men alene mundtligt og ikke skriftligt.

29.

På denne baggrund opfatter jeg de to spørgsmål, som bør behandles samlet, således, at den forelæggende ret ønsker at klarlægge, om en registreret, som har til hensigt at indgå et aftaleforhold om leveringen af telekommunikationstjenester med en virksomhed, giver et »specifik[t] og informeret« samt »frivillig[t]« samtykke som omhandlet i artikel 2, litra h), i direktiv 95/46 og i artikel 4, nr. 11), i forordning 2016/679 til denne virksomhed, når den registrerede med håndskrift, på hvad der ellers er en standardaftale, skal anføre, at denne nægter at samtykke til fotokopieringen og opbevaringen af sine ID-dokumenter.

30.

I denne sammenhæng synes den forelæggende ret at have behov for vejledning om bevisbyrde og beviskrav i forhold til denne virksomhed.

31.

Den foreliggende sag vedrører behandlingen af personoplysninger i forbindelse med indgåelse af en aftale om levering af telekommunikationstjenester.

32.

Enhver behandling af personoplysninger skal for det første foregå i overensstemmelse ( 13 ) med både principperne vedrørende oplysningernes pålidelighed, der er fastsat i artikel 6 i direktiv 95/46 eller i artikel 5 i forordning 2016/679, og for det andet overholde et af de principper vedrørende grundlaget for behandling af oplysninger, der er opregnet i dette direktivs artikel 7 eller denne forordnings artikel 6 ( 14 ). Som Kommissionen har anført, er de seks principper i artikel 7 i direktiv 95/46 faktisk et udtryk for et bredere princip, der er fastsat i dette direktivs artikel 6, stk. 1, litra a), i henhold til hvilket personoplysninger skal behandles rimeligt og lovligt.

33.

Artikel 7 i direktiv 95/46 fastsætter en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig ( 15 ). Behandlingen af personoplysninger må kun finde sted, hvis mindst ét af de seks principper vedrørende grundlaget for behandling af oplysninger er opfyldt. Den omstændighed, at der ikke hersker tvivl om, at den registrerede har givet sit samtykke, er ét af disse principper.

34.

Den registreredes samtykke er defineret i artikel 2, litra h), i direktiv 95/46 som enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.

35.

Denne ordlyd svarer stort set ( 16 ) til ordlyden af artikel 4, nr. 11), i forordning 2016/679, i henhold til hvilken der ved samtykke fra den registrerede forstås enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling ( 17 ).

36.

Kravet om den registreredes samtykke er en iboende del af EU’s lovgivning om databeskyttelse ( 18 ). Det forekommer i Den Europæiske Unions charter om grundlæggende rettigheder, hvor det i artikel 8 er fastsat, at oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag. Set i en bredere kontekst giver begrebet samtykke den registrerede mulighed for selv at tage stilling til legitimiteten af begrænsninger af dennes ret til beskyttelse af personoplysninger ( 19 ).

37.

Det overordnede princip, som danner grundlaget for EU’s databeskyttelseslovgivning, er den autonome beslutning, som en borger, der er i stand til at træffe valg om anvendelsen og behandlingen af sine oplysninger, træffer ( 20 ). Det er samtykkekravet, der gør det muligt for den registrerede at træffe dette valg, og som samtidig beskytter den registrerede i tilfælde, som efter deres art er meget asymmetriske ( 21 ). Et samtykke opfylder kun kriterierne i direktiv 95/46 og i forordning 2016/679, når det er frivilligt, specifikt og informeret.

38.

På dette stadie skal der fremsættes tre yderligere korte bemærkninger om den åbenbare forskel i disse bestemmelsers ordlyd.

39.

For det første henviser artikel 4, nr. 11), i forordning 2016/679 i modsætning til artikel 2, litra h), i direktiv 95/46 til en »utvetydig« tilkendegivelse. Det er min opfattelse, at årsagen hertil er ganske enkel: Dette direktivs artikel 7, litra a), om principper vedrørende grundlaget for behandling af oplysninger, som allerede nævnt ovenfor, kræver, at der ikke hersker tvivl om (unambiguously), at den registrerede har givet sit samtykke, hvorimod den tilsvarende bestemmelse i forordning 2016/679 – artikel 6, stk. 1, litra a) – ikke indeholder denne præcisering. Med andre ord er kriteriet om utvetydig tilkendegivelse blot blevet flyttet til en mere generel bestemmelse i forordning 2016/679.

40.

For det andet præciserer artikel 4, nr. 11), i forordning 2016/679, at den registrerede giver sig til kende ved erklæring eller klar bekræftelse. Denne præcisering er ny i forhold til forordningen og er ikke semantisk afspejlet i direktiv 95/46.

41.

For det tredje adskiller den franske sprogversion af direktiv 95/46 sig fra sprogversionen af forordning 2016/679 hvad angår den registreredes samtykke som værende »informeret«. Hvor dette direktivs artikel 2, litra h), henviser til »manifestation de volonté […] informée«, omhandler denne forordnings artikel 4, nr. 11), »manifestation de volonté […] eclairée«.

42.

Efter min opfattelse forvirrer denne ændring i ordlyden mere end den afklarer, da den franske sprogversion, så vidt jeg kan se, er den eneste eller i mindste en blandt ganske få sprogversioner, der foretager denne sondring. En række sprogversioner, deriblandt i øvrigt de andre romanske sprog, anvender ganske enkelt præcist de samme udtryk i denne forbindelse ( 22 ), mens andre sprogversioner muligvis varierer en anelse på dette punkt dog uden at svare til forskellen i de franske sprogversioner ( 23 ).

43.

Jeg vender tilbage til begrebet »informeret« nedenfor.

44.

Kravet om en viljes »tilkendegivelse« fra den registreredes side peger tydeligt på en aktiv og ikke passiv adfærd ( 24 ) og kræver, at den registrerede har en høj grad af autonomi, når denne træffer valget om at give samtykke eller ikke ( 25 ). Domstolen har med hensyn til den særlige situation for salgsfremmende konkurrence på et internetwebsted fastslået, at et samtykke givet ved hjælp af et forudafkrydset felt ikke indebærer en aktiv adfærd fra brugeren af internetwebstedets side ( 26 ).

45.

Jeg vil hævde, at en sådan konstatering finder tilsvarende anvendelse på den analoge verden: Et samtykke i form af et forudafkrydset felt indebærer ikke et aktivt samtykke fra en person, som har med et fysisk dokument at gøre, som den pågældende i sidste ende underskriver. I en sådan situation kan man ikke vide, om den omhandlede standardtekst er læst og forstået. Situationen er ikke entydig. Måske er teksten læst, måske er den ikke. »Læseren« kan have undladt at læse den på grund af ren og skær forsømmelighed, hvilket gør det umuligt med klarhed at fastslå, hvorvidt samtykke er afgivet frivilligt ( 27 ).

46.

Der må på ingen måde være plads til den mindste tvivl om, at den registrerede ikke var tilstrækkeligt informeret ( 28 ).

47.

Den registrerede skal informeres om alle omstændigheder i forbindelse med behandlingen af oplysninger og dens konsekvenser. Navnlig skal den registrerede have kendskab til, hvilke oplysninger der skal behandles, varigheden af sådan behandling, på hvilken måde og med hvilket formål. Den registrerede skal endvidere have kendskab til, hvem der behandler oplysningerne, og om oplysningerne skal videregives til tredjemand. Det er afgørende, at den registrerede informeres om konsekvenserne af at modsætte sig samtykke: Er samtykke til behandling af oplysninger en betingelse for at indgå aftalen eller ikke ( 29 )?

48.

Dette efterlader os med spørgsmålet om, hvem det påhviler at påvise, at den registrerede befandt sig i en sådan situation, at denne kunne give sit samtykke på grundlag af de netop fastslåede kriterier.

49.

Artikel 7, stk. 1, i forordning 2016/679 er klar og efterlader ingen tvivl: Hvis behandling er baseret på samtykke, skal den dataansvarlige påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger ( 30 ). Denne bestemmelse udgør en præcisering af ansvarlighedsprincippet i artikel 5, stk. 2, i forordning 2016/679. Jeg vil påstå, at formålet med denne bestemmelse skal fortolkes bredt, idet den dataansvarlige ikke blot skal godtgøre, at den registrerede har givet samtykke, men også at alle betingelserne med hensyn til effektivteten er opfyldt ( 31 ).

50.

Nogle forfattere betvivler, at artikel 7, stk. 1, i forordning 2016/679 vedrører bevisbyrden med henvisning til denne forordnings forarbejder ( 32 ). Det anføres, at selv om både den af Kommissionen og Parlamentet foreslåede ordlyd udtrykkeligt henviste til »ansvaret for at bevise«, er en sådan ordlyd ikke afspejlet i den vedtagne tekst, som derfor er den gældende lovgivning.

51.

Dette argument kræver en nærmere analyse.

52.

I Kommissionens oprindelige forslag ( 33 ) henvises der således til »ansvaret for at bevise«, som den dataansvarlige skal bære. Ligeledes tog Parlamentet ved førstebehandlingen ( 34 ) ikke afstand fra denne ordlyd. Det var Rådet ( 35 ), som med hensyn til den dataansvarlige ændrede »ansvaret for at bevise« med »skal […] kunne påvise«. Den endelige tekst blev efterfølgende vedtaget i denne form.

53.

Jeg ville ikke tillægge denne ændring af ordlyden for stor en betydning ( 36 ). På intet tidspunkt i betragtningerne til sin holdning angiver Rådet begrundelsen for den foreslåede ændring i ordlyden ( 37 ). Dette indikerer, at institutionen blot ønskede at ændre ordlyden af den omhandlede bestemmelse uden at ændre dens betydning. Set i lyset heraf beskriver udtrykket »skal […] kunne påvise« reelt på en mere tilgængelig måde, hvad der menes med »ansvaret for at bevise« ( 38 ).

54.

Det kan derfor roligt antages, at artikel 7, stk. 1, i forordning 2016/679 lægger bevisbyrden for den registreredes samtykke til behandling af personoplysninger på den dataansvarlige ( 39 ). Enhver tvivl hvad angår den registreredes meddelelse af samtykke skal fjernes af bevis fremlagt af den dataansvarlige ( 40 ). Bevisbyrden for, at den registrerede er blevet bragt i en situation, hvor denne er i stand til at give et frivilligt, specifikt og informeret samtykke, ligger helt og holdent på den enhed, som foretager behandlingen.

55.

Retsstillingen i direktiv 95/46 er ikke anderledes på dette punkt.

56.

Selv om direktiv 95/46 ikke indeholdt en særskilt bestemmelse, der svarer til artikel 7 i forordning 2016/679 om betingelserne for samtykke, kunne de fleste betingelser i denne artikel ligeledes findes i dette direktiv. Selv om bevisbyrdereglen ikke udtrykkeligt er fastsat i dette direktiv, følger det i det mindste indirekte fra dets bestemmelse ( 41 ), at »der ikke hersker tvivl om, at den registrerede har givet sit samtykke« ( 42 ).

57.

Jeg vil nu anvende disse kriterier på den foreliggende sag.

58.

Som en indledende bemærkning skal det anføres, at spørgsmålet om, hvorvidt Orange România kan kræve, at deres kunder samtykker til kopiering og opbevaring af deres ID-dokumenter, falder uden for rammerne af denne sag, da dette ikke er en forudsætning for aftaleindgåelsen i denne virksomheds tilfælde. Den foreliggende sag omhandler med andre ord ikke fortolkningen af artikel 7, litra b), i direktiv 95/46 og artikel 6, stk. 1, litra b), i forordning 2016/679. Når dette er sagt, er det efter min opfattelse legitimt, at en virksomhed anmoder kunder om personoplysninger og navnlig at legitimere sig med henblik på en aftaleindgåelse. Imidlertid synes det at gå videre, end hvad der er nødvendigt for aftalens opfyldelse, at kræve, at en kunde samtykker til kopiering og opbevaring af ID-dokumenter.

59.

Ud fra de foreliggende oplysninger er det min opfattelse, at Orange Românias kunder ikke giver et frivilligt, specifikt og informeret samtykke under omstændigheder som de af den forelæggende ret beskrevne.

60.

For det første er der ikke et frivilligt samtykke. En kunde, der pålægges i håndskreven form at skulle tilkendegive, at den pågældende ikke samtykker til kopiering og opbevaring af sit ID-kort, gives ikke mulighed for frivilligt samtykke, idet kunden sættes i en situation, som mærkbart afviger fra den normale procedure, der fører til en aftaleindgåelse. Kunder må i denne forbindelse ikke føle, at det ikke er i overensstemmelse med de almindelige procedurer at nægte samtykke til kopiering og opbevaring af deres ID-dokumenter. Jeg skal i denne henseende erindre om, at Domstolen har lagt vægt på aktiv adfærd fra den registrerede med henblik på at tilkendegive sit samtykke ( 43 ). Der kræves derfor en positiv handling fra den registreredes side for at tilkendegive samtykke. I den foreliggende sag synes den modsatte situation imidlertid at forekomme: Der kræves en positiv handling for at nægte samtykke. Hvis – for endnu en gang at henvise til Planet49-dommen ( 44 ) – et forudafkrydset felt på et internetwebsted anses for en alt for stor byrde for en kunde, så kan en kunde så meget desto mindre ikke med rimelighed forventes at nægte sit samtykke i håndskrevet form.

61.

For det andet er der ikke et informeret samtykke. Det gøres ikke fuldstændigt klart for kunden, at nægtelse af kopiering og opbevaring af den pågældendes ID-kort ikke umuliggør aftaleindgåelsen. En kunde vælger ikke på et informeret grundlag, hvis denne ikke kender til konsekvenserne.

62.

For det tredje – og alene på et hypotetisk grundlag – er der intet, der antyder, at Orange România har formået at påvise, at kunderne samtykkede til behandlingen af deres personoplysninger. I denne henseende bidrager en tydelig mangel på klarhed i de interne procedurer bestemt ikke til fremlæggelsen af bevis for, at kunden har givet sit samtykke. Sådan manglende klarhed og modstridende instrukser til salgspersonalet kan naturligvis ikke være til skade for kunden, som i dette tilfælde er den registrerede.

63.

På baggrund af ovenstående betragtninger foreslår jeg, at Domstolen besvarer de af Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien) forelagte spørgsmål på følgende måde:

»En registreret, som har til hensigt at indgå et aftaleforhold om leveringen af telekommunikationstjenester med en virksomhed, giver ikke sit »samtykke«, dvs. tilkendegiver ikke en »specifik og informeret« samt »frivillig« vilje som omhandlet i artikel 2, litra h), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og i artikel 4, nr. 11), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) til denne virksomhed, når den registrerede med håndskrift, på hvad der ellers er en standardaftale, skal anføre, at denne nægter at samtykke til fotokopieringen og opbevaringen af sine ID-dokumenter.«