1.

Ovaj zahtjev za prethodnu odluku, koji je uputio Tribunalul Bucureşti (Viši sud u Bukureštu, Rumunjska), proizlazi iz spora između pružatelja telekomunikacijskih usluga i nacionalnog tijela za zaštitu podataka u vezi s obvezama prvonavedenog u okviru pregovora o ugovoru s kupcem kada je riječ o kopiranju i pohranjivanju preslike osobne iskaznice.

2.

Sud će ovdje imati priliku dodatno pojasniti pojam „privole” ispitanika, što je središnja značajka prava Unije u području zaštite podataka, koje u konačnici ima uporište u temeljnom pravu na zaštitu podataka. S tim u vezi Sud bi također trebao razmotriti pitanje tereta dokaza o tome je li ispitanik dao privolu ili nije.

Pravni okvir

Pravo Unije

Direktiva 95/46/EZ

3.

U skladu s člankom 2. točkom (h) Direktive 95/46/EZ ( 2 ) za potrebe te direktive „‚[privola ispitanika] znači svaka dobrovoljno dana, posebna i informirana izjava volje, kojom [ispitanik] daje svoju [privolu] da se obrade osobni podaci koji se na nj[ega] odnose”.

4.

Poglavlje II. te direktive odnosi se na opća pravila o zakonitosti obrade osobnih podataka.

5.

Članak 6. te direktive, koji se odnosi na „načela koja se odnose na kvalitetu podataka” ( 3 ), glasi:

6.

Članak 7. Direktive odnosi se na „mjerila za zakonitost obrade podataka” ( 4 ). U skladu s tom odredbom:

Uredba (EU) 2016/679

7.

Člankom 4. stavkom 11. Uredbe (EU) 2016/679 ( 5 ) za potrebe te uredbe „‚privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose”.

8.

Članak 6. stavak 1. točke (a) i (b) navedene uredbe glasi:

9.

Člankom 7. stavkom 1. navedene uredbe određuje se da „[k]ada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka”.

Rumunjsko pravo

10.

Legeom nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație ima datum acestora (Zakon br. 677/2001 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka) (u daljnjem tekstu: Zakon br. 677/2001) ( 6 ) prenose se odredbe Direktive 95/46 u nacionalno pravo.

11.

Članak 32. tog zakona glasi:

Činjenično stanje, postupak i prethodna pitanja

12.

Orange România SA pružatelj je mobilnih telekomunikacijskih usluga na rumunjskom tržištu koji nudi usluge u sklopu sustava PrePay ( 7 ) i sklapanjem ugovora o pružanju usluga ( 8 ).

13.

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Nacionalno tijelo za nadzor obrade osobnih podataka, Rumunjska) (u daljnjem tekstu: ANSPDCP) izdala je 28. ožujka 2018. na temelju članka 32. Zakona br. 677/2001, u vezi s člankom 8. tog zakona, izvještaj koji je obuhvaćao izricanje upravne sankcije društvu Orange România zbog toga što je prikupljalo i čuvalo preslike identifikacijskih isprava svojih kupaca bez njihove izričite privole.

14.

U vezi s time, ANSPDCP je istaknuo da je društvo Orange România u poslovnim prostorijama sklapalo ugovore o pružanju mobilnih telekomunikacijskih usluga s pojedinačnim kupcima u papirnatom obliku i da su preslike njihovih identifikacijskih isprava bile priložene tim ugovorima. Sadržaj tih ugovora uključivao je, inter alia, naznaku o činjenici da je kupac bio obaviješten i da se usuglasio s tim da društvo Orange România prikuplja i pohranjuje te preslike te da je postojanje privole kupaca utvrđeno označivanjem križićem poljâ u pisanoj dokumentaciji kojom se dokazuje ugovor.

15.

Relevantni odlomak predmetnih ugovora glasi:

16.

ANSPDCP je smatrao da društvo Orange România nije dokazalo da su kupci informirano izabrali prikupljanje i pohranjivanje preslika njihovih identifikacijskih isprava.

17.

Društvo Orange România podnijelo je tužbu protiv novčane kazne od 28. ožujka 2018. sudu koji je uputio zahtjev.

18.

Prema utvrđenjima suda koji je uputio zahtjev, postoje ugovori u kojima se dobrovoljni izbor kupca u pogledu zadržavanja preslike njegove identifikacijske isprave izražava označivanjem polja križićem kao i suprotni slučajevi u kojima su kupci odbili dati takav pristanak. Iz „unutarnjih postupaka” prodaje društva Orange România proizlazi da je to društvo u potonjim slučajevima unijelo potrebne informacije o kupčevom odbijanju zadržavanja preslike identifikacijske isprave ispunjavanjem posebnog obrasca u tu svrhu te da je potom sklopilo ugovor. Stoga, unatoč navodima sadržanima u općim uvjetima društva Orange România, ono nije odbilo sklopiti sklapati ugovore o pretplati s kupcima, čak i kada su oni odbili dati privolu za zadržavanje preslike njihove osobne iskaznice.

19.

Sud koji je uputio zahtjev smatra da je u tim okolnostima osobito važno da Sud odluči o kriterijima na temelju kojih se može utvrditi je li privola „posebna” i „informirana” i, prema potrebi, o dokaznoj snazi potpisivanja ugovora poput onih o kojima je riječ u glavnom postupku.

20.

U tim je okolnostima odlukom od 14. studenoga 2018., koju je Sud zaprimio 29. siječnja 2019., Tribunalul Bucureşti (Viši sud u Bukureštu) uputio sljedeća prethodna pitanja:

21.

Pisana očitovanja podnijele su stranke u glavnom postupku, rumunjska, talijanska, austrijska i portugalska vlada te Europska komisija. Društvo Orange România, rumunjska vlada i Europska komisija bili su zastupani na raspravi održanoj 11. prosinca 2019.

Ocjena

22.

U ovom predmetu Sud je pozvan pojasniti uvjete pod kojima se privola za obradu osobnih podataka može smatrati valjanom.

Uvodna razmatranja

Primjenjivi pravni instrumenti

23.

Uredbom 2016/679, koja se primjenjuje od 25. svibnja 2018. ( 9 ), s učinkom od istog datuma stavljena je izvan snage Direktiva 95/46 ( 10 ).

24.

Odluka ANSPDCP‑a o kojoj je riječ u glavnom postupku donesena je 28. ožujka 2018., koji prethodi datumu od kojeg se primjenjuje Uredba 2016/679. Međutim, ANSPDCP nije samo izrekao novčanu kaznu društvu Orange România, nego je od njega zahtijevao i da uništi preslike predmetnih identifikacijskih isprava. Predmet spora u glavnom postupku odnosi se i na taj potonji nalog. Ovaj nalog proizvodi učinak u budućnosti, zbog čega se čini da je ta uredba primjenjiva ratione temporis.

25.

Stoga bi na prethodna pitanja trebalo odgovoriti uzimajući u obzir Direktivu 95/46 i Uredbu 2016/679 ( 11 ). Štoviše, ta se uredba mora uzeti u obzir pri analizi odredaba Direktive 95/46 ( 12 ).

Određivanje dosega prethodnih pitanja

26.

Dva pitanja koja je postavio sud koji je uputio zahtjev formulirana su preopćenito i apstraktno te se trebaju u određenoj mjeri prilagoditi kako bi ih se povezalo s činjenicama glavnog postupka, a sve kako bi se sud koji je uputio zahtjev usmjerio i kako bi mu se dao koristan odgovor na pitanja. U tu svrhu čini mi se neophodnim kratko ukazati na činjenice iz glavnog postupka kako one proizlaze iz odluke suda koji je uputio zahtjev i informacija koje su predočile stranke u postupku, osobito na raspravi pred Sudom.

27.

Nacionalno tijelo za zaštitu podataka u Rumunjskoj, ANSPDCP, kaznilo je društvo Orange România zato što je prikupilo i zadržalo preslike identifikacijskih isprava svojih kupaca bez njihove privole. To je tijelo utvrdilo da je to trgovačko društvo sklopilo ugovore o pružanju mobilnih telekomunikacijskih usluga i da su tim ugovorima priložene preslike identifikacijskih isprava. U tim ugovorima navodno je bilo određeno da su kupci bili obaviješteni i da su dali privolu na prikupljanje i pohranu tih preslika, o čemu svjedoče križićem označena polja u ugovornim odredbama. Međutim, prema utvrđenjima ANSPDCP‑a, društvo Orange România nije dostavilo dokaz da su u trenutku sklapanja ugovora predmetni kupci informirano izabrali prikupljanje i pohranu tih preslika.

28.

Predstavnik trgovačkog društva Orange România koji savjetuje osobu koja želi stupiti u ugovorni odnos s tim trgovačkim društvom o odredbama određenog ugovora obično radi na računalu koristeći obrazac ugovora koji sadržava polja o zadržavanju identifikacijske isprave. Izgleda da je kupac obaviješten da se to polje ne mora označiti kvačicom. Ako kupac ne pristane na fotokopiranje i zadržavanje svoje identifikacijske isprave, dužan je to vlastoručno naznačiti u ugovoru. Čini se da potonji zahtjev vlastoručne naznake proizlazi iz unutarnjih pravila o prodaji društva Orange România. Nadalje, kupac je obaviješten da to može odbiti, ali samo usmeno, a ne u pisanom obliku.

29.

S obzirom na navedeno, shvaćam da tim dvama pitanjima, koja treba razmatrati zajedno, sud koji je uputio zahtjev nastoji utvrditi daje li ispitanik, koji s poduzetnikom namjerava stupiti u ugovorni odnos vezan za pružanje telekomunikacijskih usluga, svoju „posebnu i informiranu” i „dobrovoljno danu” privolu u skladu s člankom 2. točkom (h) Direktive 95/46 i s člankom 4. stavkom 11. Uredbe 2016/679 tom poduzetniku kada mora, na inače standardiziranom ugovoru, vlastoručno izjaviti da odbija dati privolu za fotokopiranje i zadržavanje svojih identifikacijskih isprava.

30.

U vezi s time, čini se da sud koji je uputio zahtjev treba smjernice kad je riječ o teretu i standardu dokazivanja tog poduzetnika.

Privola kao preduvjet za obradu osobnih podataka

31.

Predmet o kojem je riječ odnosi se na obradu osobnih podataka prilikom sklapanja ugovora o pružanju telekomunikacijskih usluga.

32.

Prilikom svake obrade osobnih podataka potrebno je poštovati ( 13 ), kao prvo, načela koja se odnose na kvalitetu podataka iz članka 6. Direktive 95/46 ili iz članka 5. Uredbe 2016/679 i, kao drugo, jedno od mjerila za zakonitost obrade podataka iz članka 7. te direktive ili iz članka 6. te uredbe ( 14 ). Kao što je to istaknula Komisija, šest mjerila iz članka 7. Direktive 95/46 zapravo su izraz šireg načela iz članka 6. stavka 1. točke (a) te direktive kojim je određeno da se osobni podaci moraju obrađivati pošteno i zakonito.

33.

U članku 7. Direktive 95/46 utvrđuje se taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom ( 15 ). Obrada osobnih podataka može se provoditi jedino ako se primjenjuje jedno od šest mjerila vezanih za zakonitost obrade podataka. Postojanje nedvosmislene privole ispitanika jedno je od tih mjerila.

Pojam privole

34.

Privola ispitanika određena je pak člankom 2. točkom (h) Direktive 95/46 kao svaka dobrovoljno dana, posebna i informirana izjava volje, kojom ispitanik daje svoju privolu da se obrade osobni podaci koji se na njega odnose.

35.

Ovaj tekst u većoj mjeri odgovara ( 16 ) tekstu članka 4. stavka 11. Uredbe 2016/679 u skladu s kojim privola ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose ( 17 ).

36.

Zahtjev koji se odnosi na privolu ispitanika središnja je značajka prava Unije u području zaštite podataka ( 18 ). Sadržan je i u Povelji Europske unije o temeljnim pravima čijim se člankom 8. propisuje da se podaci moraju obrađivati pošteno, u utvrđene svrhe i na temelju suglasnosti osobe o kojoj je riječ, ili na nekoj drugoj legitimnoj osnovi utvrđenoj zakonom. U širem kontekstu, pojam privole omogućuje dotičnom ispitaniku da sâm odluči o opravdanosti ograničenja njegova prava na zaštitu osobnih podataka ( 19 ).

37.

Vodeće načelo na kojem se temelji zakonodavstvo Unije o zaštiti podataka jest neovisna odluka pojedinca koji može odlučivati o korištenju i obradi svojih podataka ( 20 ). Zahtjevom privole omogućuje mu se taj izbor i njime ga se istovremeno štiti u situacijama koje su po samoj svojoj prirodi asimetrične ( 21 ). Samo dobrovoljna, posebna i informirana privola ispunjava zahtjeve iz Direktive 95/46 i Uredbe 2016/679.

38.

U ovoj fazi valja iznijeti još tri kratke napomene o očitoj razlici u tekstu tih odredaba.

39.

Kao prvo, članak 4. stavak 11. Uredbe 2016/679, suprotno članku 2. točki (h) Direktive 95/46, upućuje na „nedvosmisleno” izražavanje. Smatram da je razlog za to prilično jednostavan: člankom 7. točkom (a) te direktive, koji se odnosi na, već ranije navedena, mjerila za zakonitost obrade podataka, zahtijeva se da ispitanik „nedvosmisleno” dâ svoju privolu, dok odgovarajuća odredba Uredbe 2016/679, odnosno članak 6. stavak 1. točka (a), ne sadržava to određenje. Drugim riječima, to mjerilo nedvosmislenog izražavanja jednostavno je preneseno u općenitiju odredbu Uredbe 2016/679.

40.

Kao drugo, člankom 4. stavkom 11. Uredbe 2016/679 određuje se da se ispitanik izražava „izjavom ili jasnom potvrdnom radnjom”. To je pojašnjenje uistinu novo u uređenju i nema semantičkog odraza u Direktivi 95/46.

41.

Kao treće, kad je riječ o „informiranom” obilježju privole ispitanika, verzija Direktive 95/46 na francuskom jeziku razlikuje se od one Uredbe 2016/679. Naime, dok članak 2. točka (h) te direktive upućuje na „manifestation de volonté […] informée”, članak 4. stavak 11. te uredbe govori o „manifestation de volonté […] eclairée”.

42.

Usudio bih se reći da ta promjena teksta više zbunjuje nego što pojašnjava, pa je stoga, koliko mogu razabrati, verzija na francuskom jeziku jedina ili, barem, jedna od rijetkih jezičnih verzija kojom se pravi ta razlika. U više jezičnih verzija, uključujući, uzgredno, one drugih romanskih jezika, u vezi s tim jednostavno se upotrebljavaju potpuno isti pojmovi ( 22 ), dok se druge jezične verzije mogu ponešto razlikovati u tom pogledu, ali se i dalje ne razlikuju koliko i verzija na francuskom jeziku ( 23 ).

43.

U nastavku ću se vratiti na pojam „informirane” privole.

Dobrovoljna privola

44.

Zahtjev postojanja „izražavanja” želje ispitanika jasno upućuje na aktivno, a ne pasivno ponašanje ( 24 ) i podrazumijeva da ispitanik uživa visok stupanj autonomije pri izboru želi li dati privolu ili ne ( 25 ). Kada je riječ o posebnoj situaciji internetske lutrije, Sud je utvrdio da privola dana u obliku unaprijed kvačicom označenog polja ne podrazumijeva aktivno ponašanje korisnika internetske stranice ( 26 ).

45.

Prema mojem mišljenju takvo je utvrđenje jednako primjenjivo u analognom svijetu: privola dana u obliku unaprijed kvačicom označenog polja ne može podrazumijevati aktivnu privolu osobe koja pred sobom ima dokument u fizičkom obliku koji na kraju potpisuje. Naime, u takvoj se situaciji ne može znati je li takav unaprijed sastavljeni tekst pročitan i pravilno shvaćen. Ona nije nedvosmislena. Tekst je možda pročitan a možda i nije. Moguće je da „čitatelj” nije pročitao tekst zbog pukog nemara pa nije moguće sa sigurnošću utvrditi je li privola dobrovoljno dana ( 27 ).

Informirana privola

46.

Ne smije se ostaviti mjesta ni najmanjoj sumnji da ispitanik nije bio dovoljno informiran ( 28 ).

47.

Ispitanik mora biti obaviješten o svim okolnostima obrade podataka i njezinim posljedicama. Konkretno, on mora znati koji će se podaci obrađivati, trajanje te obrade, na koji način i u koju će se svrhu točno obrađivati. Također, on mora znati tko obrađuje podatke i jesu li oni namijenjeni prijenosu trećim stranama. Ključno je da bude obaviješten o posljedicama odbijanja privole: je li davanje privole za obradu podataka uvjet za sklapanje ugovora ili nije ( 29 )?

Teret dokaza

48.

Ostaje nam odgovoriti na pitanje tko mora dokazati da je ispitanik bio u takvoj situaciji da je mogao dati svoju privolu na temelju upravo utvrđenih mjerila.

49.

Članak 7. stavak 1. Uredbe 2016/679 jasan je i ne ostavlja mjesta ikakvoj sumnji: kada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka ( 30 ). Ova odredba predstavlja pojašnjenje načela pouzdanosti, utvrđenog člankom 5. stavkom 2. Uredbe 2016/679. Smatram da svrha ove odredbe zahtijeva široko tumačenje na način da voditelj obrade ne samo da mora dokazati da je ispitanik dao svoju privolu, već mora također dokazati da su zadovoljeni svi uvjeti djelotvornosti ( 31 ).

50.

Neki autori imaju dvojbe o tome odnosi li se članak 7. stavak 1. Uredbe 2016/679 na teret dokaza, ukazujući na postupak donošenja te uredbe ( 32 ). Tvrdi se, iako su Komisija i Parlament predlagali formulaciju koja bi se izričito odnosila na „teret dokaza”, da se takva formulacija ne pojavljuje u usvojenom tekstu pa stoga ni u važećem pravu.

51.

Ta tvrdnja zaslužuje temeljitiju analizu.

52.

U prvom Komisijinu prijedlogu ( 33 ) uistinu se navodi da voditelj obrade snosi „teret dokaza”. Slično tomu, Parlament u prvom čitanju ( 34 ) nije osporavao tu formulaciju. Vijeće ( 35 ) je, kad je riječ o voditelju obrade, zamijenilo izraz „teret dokaza” izrazom „mora moći dokazati”. Konačni je tekst zatim usvojen u tom obliku.

53.

Ne bih pridavao preveliku važnost ovoj promjeni formulacije ( 36 ). Vijeće ni u jednoj točki u uvodnim izjavama svojeg stajališta nije navelo razloge predložene promjene formulacije ( 37 ). To je pokazatelj da je ta institucija samo nastojala izmijeniti formulaciju predmetne odredbe pritom ne mijenjajući njezino značenje. U tom smislu, izraz „mora moći dokazati” zapravo na pristupačniji način opisuje ono što se podrazumijeva pod izrazom „teret dokaza” ( 38 ).

54.

Stoga možemo sa sigurnošću pretpostaviti da se člankom 7. stavkom 1. Uredbe 2016/679 teret dokaza postojanja privole ispitanika za obradu osobnih podataka prebacuje na voditelja obrade ( 39 ). Sve sumnje vezane za davanje privole ispitanika treba ukloniti na temelju dokaza koji dostavlja voditelj obrade ( 40 ). Teret dokaza da je ispitanik doveden u položaj koji mu omogućuje davanje dobrovoljne, posebne i informirane privole jasno leži na subjektu koji provodi obradu.

55.

Pravna situacija se u skladu s Direktivom 95/46 u tom pogledu ne razlikuje.

56.

Čak i pod pretpostavkom da Direktiva 95/46 nije sadržavala zasebnu odredbu usporedivu s člankom 7. Uredbe 2016/679 o uvjetima privole, većina uvjeta navedenih u tom članku mogla bi se također naći u toj direktivi. Iako pravilo o teretu dokaza nije izričito predviđeno tom direktivom, iz njezinih odredaba barem neizravno proizlazi ( 41 ) da je „[ispitanik] nedvosmisleno da[o] svoju [privolu]” ( 42 ).

Položaj društva Orange România

57.

Sada ću te kriterije primijeniti na predmetni slučaj.

58.

Najprije bih pojasnio da pitanje može li društvo Orange România zahtijevati od svojih kupaca privolu za kopiranje i pohranjivanje njihovih identifikacijskih isprava nije obuhvaćeno ovim predmetom jer, za tog poduzetnika, to nije preduvjet za sklapanje ugovora. Drugim riječima, predmet o kojem je riječ ne odnosi se na tumačenje članka 7. točke (b) Direktive 95/46 i članka 6. stavka 1. točke (b) Uredbe 2016/679. S obzirom na to, čini mi se legitimno da društvo traži od kupaca da dostave neke osobne podatke, a osobito da dokažu svoj identitet u svrhu sklapanja ugovora. Međutim, čini se da se zahtijevanjem privole kupca za kopiranje i pohranjivanje identifikacijskih isprava prekoračuje ono što je nužno za izvršenje ugovora.

59.

Na temelju dostupnih informacija, čini mi se da kupci društva Orange România u okolnostima koje je opisao sud koji je uputio zahtjev ne daju svoju slobodnu, posebnu i informiranu privolu.

60.

Kao prvo, nema dobrovoljno dane privole. Obvezivanje kupca da vlastoručno izjavi da ne daje privolu za kopiranje i pohranjivanje svoje osobne iskaznice ne omogućuje davanje dobrovoljne privole zato što je kupac doveden u položaj u kojem očito odstupa od redovnog postupka koji dovodi do sklapanja ugovora. U vezi s tim kupcima se ne smije činiti da njihovo odbijanje davanja privole za kopiranje i pohranjivanje njihovih identifikacijskih isprava nije u skladu s redovnim postupcima. U tom pogledu želim podsjetiti da je Sud stavio naglasak na aktivno ponašanje ispitanika u cilju izražavanja privole ( 43 ). Stoga se za davanje privole zahtijeva pozitivno djelovanje ispitanika. Čini se da je u ovom predmetu pak došlo do obrnute situacije: potrebno je pozitivno djelovanje za odbijanje privole. Uz ponovno upućivanje na presudu u predmetu Planet49 ( 44 ), ako se brisanje kvačice u unaprijed kvačicom označenom polju na internetskoj stranici smatra prevelikim opterećenjem za kupca, tada se a fortiori od kupca ne može razumno očekivati da odbije dati privolu u vlastoručnom obliku.

61.

Kao drugo, nema informirane privole. Kupcu nije savršeno jasno dano do znanja da odbijanje kopiranja i pohranjivanja njegove osobne iskaznice ne onemogućuje sklapanje ugovora. Kupac ne odlučuje informirano ako nije svjestan posljedica.

62.

Kao treće – i samo hipotetski – nema naznake da je društvo Orange România uspjelo dokazati da su kupci dali privolu za obradu svojih osobnih podatka. U tom pogledu, očiti nedostatak jasnoće u unutarnjim postupcima sigurno ne doprinosi dokazivanju da je kupac dao privolu. Takav nedostatak jasnoće i proturječne upute prodajnom osoblju očito ne mogu biti na štetu kupca, odnosno ispitanika u predmetnom slučaju.

Zaključak

63.

S obzirom na sva prethodna razmatranja, predlažem Sudu da na pitanja koja je uputio Tribunalul Bucureşti (Viši sud u Bukureštu) odgovori na sljedeći način: