<TI><HT TYPE="UC">Wyrok Trybunału</HT> (druga izba)z dnia <DATE ISO="20201111">11 listopada 2020 r.</DATE><NOTE NUMBERING="STAR" TYPE="FOOTNOTE" NOTE.ID="E0001">Język postępowania: rumuński.</NOTE></TI>

C-61/1962019CJ0061EU:C:2020:9010001111212CJ

Wyrok z dnia 11.11.2020 r. – Sprawa C‑61/19

Orange România

<TI><HT TYPE="UC">Wyrok Trybunału</HT> (druga izba)z dnia <DATE ISO="20201111">11 listopada 2020 r.</DATE><NOTE NUMBERING="STAR" TYPE="FOOTNOTE" NOTE.ID="E0001">Język postępowania: rumuński.</NOTE></TI>Odesłanie prejudycjalneDyrektywa 95/46/WEArtykuł 2 lit. h) i art. 7 lit. a)Rozporządzenie (UE) 2016/679Artykuł 4 pkt 11 i art. 6 ust. 1 lit. a)Przetwarzanie danych osobowych i ochrona prywatności w sektorze łączności elektronicznejGromadzenie i przechowywanie kopii dokumentów tożsamości przez dostawcę usług telekomunikacji ruchomejPojęcie zgody osoby, której dane dotycząWskazanie konkretnej i świadomej woliWyrażenie zgody poprzez zaznaczenie okienka wyboruPodpisanie umowy przez osobę, której dane dotycząCiężar dowodu

W sprawie C‑61/19

mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Tribunalul Bucureşti (sąd okręgowy w Bukareszcie, Rumunia) postanowieniem z dnia 14 listopada 2018 r., które wpłynęło do Trybunału w dniu 29 stycznia 2019 r., w postępowaniu:

Orange România SA

przeciwko

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),

TRYBUNAŁ (druga izba),

w składzie: A. Arabadjiev, prezes izby, T. von Danwitz (sprawozdawca) i P.G. Xuereb, sędziowie,

rzecznik generalny: M. Szpunar,

sekretarz: D. Dittert, kierownik wydziału,

uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 11 grudnia 2019 r.,

rozważywszy uwagi, które przedstawili:

w imieniu Orange România SA – D.-D. Dascălu, A.-M. Iordache i I. Buga, avocaţi,

w imieniu Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) – A.G. Opre i I. Ilie, w charakterze pełnomocników,

w imieniu rządu rumuńskiego – początkowo E. Gane, O.-C. Ichim, L. Liţu i C.-R. Canţăr, a następnie E. Gane, O.-C. Ichim i L. Liţu, w charakterze pełnomocników,

w imieniu rządu włoskiego – G. Palmieri, w charakterze pełnomocnika, którą wspierała M. Russo, avvocato dello Stato,

w imieniu rządu austriackiego – początkowo J. Schmoll i G. Hesse, a następnie J. Schmoll, w charakterze pełnomocników,

w imieniu rządu portugalskiego – L. Inez Fernandes, P. Barros da Costa, L. Medeiros i I. Oliveira, w charakterze pełnomocników,

w imieniu Komisji Europejskiej – H. Kranenborg, D. Nardi i L. Nicolae, w charakterze pełnomocników,

po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 4 marca 2020 r.,wydaje następujący<TI><HT TYPE="BOLD">Wyrok</HT></TI>1Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 2 lit. h) dyrektywy Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31), a także art. 4 pkt 11 rozporządzenia (UE) 2016/679 Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1).2Wniosek ten został złożony w ramach sporu pomiędzy Orange România SA a Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (krajowym organem nadzoru nad przetwarzaniem danych osobowych, Rumunia) w przedmiocie skargi zmierzającej do stwierdzenia nieważności decyzji, na mocy której organ ten nałożył na Orange România grzywnę za gromadzenie i przechowywanie kopii dokumentów tożsamości swych klientów bez uzyskania ich ważnej zgody oraz nakazał tej spółce zniszczenie owych kopii.<TI><HT TYPE="BOLD">Ramy prawne</HT></TI><TI><HT TYPE="BOLD"><HT TYPE="ITALIC">Prawo Unii</HT></HT></TI><TI><HT TYPE="ITALIC">Dyrektywa 95/46</HT></TI>3Motyw 38 dyrektywy 95/46 stanowi, że [j]eżeli przetwarzanie danych ma być rzetelne, osoba, której dane dotyczą, musi mieć możliwość dotarcia do informacji o wystąpieniu czynności przetwarzania danych oraz, jeżeli dane są uzyskiwane od niej, musi otrzymać dokładne i pełne informacje, uwzględniające okoliczności pozyskiwania danych.4Artykuł 2 lit. h) tej dyrektywy przewiduje, że do celów tego aktu:

zgoda osoby, której dane dotyczą, oznacza konkretne i świadome, dobrowolne wskazanie [wyrażenie woli] przez osobę, której dane dotyczą, na to, że [poprzez które] wyraża [ona] przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych.

5Artykuł 6 wspomnianej dyrektywy stanowi:

Państwa członkowskie zapewniają, aby dane osobowe były:

a)przetwarzane rzetelnie i legalnie;

[…]

2.Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1.

6Zgodnie z brzmieniem art. 7 lit. a) omawianej dyrektywy:

Państwa członkowskie zapewniają, że [by] dane osobowe mogą [mogły] być przetwarzane tylko wówczas gdy:

a)osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę […].

7Artykuł 10 tej dyrektywy ma następujące brzmienie:

Państwa członkowskie zapewniają, aby administrator danych lub jego przedstawiciel miał obowiązek przedstawienia osobie, której dane dotyczą i od której gromadzone są dane, co najmniej następujących informacji, z wyjątkiem przypadku, kiedy informacje takie już posiada:

a)tożsamości administratora danych i ewentualnie jego przedstawiciela;b)celów przetwarzania danych, do których dane są przeznaczone;c)wszelkich dalszych informacji, jak np.:

odbiorcy lub kategorie odbierających dane,

tego, czy odpowiedzi na pytania są obowiązkowe czy dobrowolne oraz ewentualne konsekwencje nieudzielenia odpowiedzi,

istnienie prawa wglądu do swoich danych oraz ich sprostowania,

o ile takie dalsze informacje są potrzebne, biorąc od uwagę szczególne okoliczności, w których dane są gromadzone, w celu zagwarantowania rzetelnego przetwarzania danych w stosunku do osoby, której dane dotyczą.

<TI><HT TYPE="ITALIC">Rozporządzenie 2016/679</HT></TI>8Motywy 32 i 42 rozporządzenia 2016/679 stanowią:

(32)Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, której dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych. Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele. Jeżeli osoba, której dane dotyczą, ma wyrazić zgodę w odpowiedzi na elektroniczne zapytanie, zapytanie takie musi być jasne, zwięzłe i nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy.

[…]

(42)Jeśli przetwarzanie odbywa się na podstawie zgody osoby, której dane dotyczą, administrator powinien być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na operację przetwarzania. W szczególności w przypadku pisemnego oświadczenia składanego w innej sprawie powinny istnieć gwarancje, że osoba, której dane dotyczą, jest świadoma wyrażenia zgody oraz jej zakresu. Zgodnie z dyrektywą Rady 93/13/EWG [z dnia 5 kwietnia 1993 r. w sprawie nieuczciwych warunków w umowach konsumenckich (Dz.U. 1993, L 95, s. 29)] oświadczenie o wyrażeniu zgody przygotowane przez administratora powinno mieć zrozumiałą i łatwo dostępną formę, być sformułowane jasnym i prostym językiem i nie powinno zawierać nieuczciwych warunków. Aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych. Wyrażenia zgody nie należy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru, lub nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji.

9Artykuł 4 pkt 11 wspomnianego rozporządzenia stanowi:

zgoda osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie [wyrażenie] woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

10Artykuł 5 tego rozporządzenia stanowi:

Dane osobowe muszą być:

a)przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (zgodność z prawem, rzetelność i przejrzystość);

[…]

2.Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (rozliczalność).

11Zgodnie z art. 6 ust. 1 lit. a) rozporządzenia 2016/679:

Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

a)osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

[…].

12Artykuł 7 ust. 1, 2 i 4 rozporządzenia 2016/679 ma następujące brzmienie:

1.Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.2.Jeżeli osoba, której dane dotyczą, wyraża zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Część takiego oświadczenia osoby, której dane dotyczą, stanowiąca naruszenie niniejszego rozporządzenia nie jest wiążąca.[…]4.Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy.

13Artykuł 13 tego rozporządzenia stanowi w ust. 1 i 2:

Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, podczas pozyskiwania danych osobowych administrator podaje jej wszystkie następujące informacje:

a)swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;

[…]

c)cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;

[…]

Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:

a)okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;b)informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;c)jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

14Artykuł 94 ust. 1 rozporządzenia 2016/679 stanowi:

Dyrektywa 95/46/WE zostaje uchylona ze skutkiem od dnia 25 maja 2018 r..

15Zgodnie z art. 99 ust. 2 rozporządzenia 2016/679 ma ono zastosowanie od dnia 25 maja 2018 r.<TI><HT TYPE="BOLD"><HT TYPE="ITALIC">Prawo rumuńskie</HT></HT></TI>16Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (ustawa nr 677/2001 o ochronie osób w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych) (Monitorul Oficial al României, część I, nr 790 z dnia 12 grudnia 2001 r.) ma na celu transpozycję przepisów dyrektywy 95/46 do krajowego porządku prawnego.17Artykuł 5 ust. 1 tej ustawy stanowi:

1)Dane osobowe – z wyjątkiem danych należących do kategorii, o których mowa w art. 7 ust. 1, art. 8 i 10 – mogą być przetwarzane wyłącznie wówczas, gdy osoba, której dane dotyczą, wyraziła na to jednoznaczną i wyraźną zgodę.[…].

18Zgodnie z art. 8 wspomnianej ustawy:

Przetwarzanie osobistego kodu numerycznego lub innych danych osobowych, które pełnią funkcję identyfikacji, mającą ogólne zastosowanie, może być dokonywane, tylko jeżeli:

a)osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lubb)przetwarzanie jest wyraźnie przewidziane w przepisie ustawowym.2)Organ nadzoru może również określić inne przypadki, w których możliwe jest przetwarzanie danych, przewidziane w ust. 1, wyłącznie pod warunkiem ustanowienia odpowiednich gwarancji poszanowania praw osób, których dane dotyczą.

19Artykuł 32 ustawy nr 677/2001 ma następujące brzmienie:

Przetwarzanie danych osobowych przez operatora lub wyznaczoną przez niego osobę z naruszeniem przepisów art. 4–10 lub bez należytego uwzględnienia praw przewidzianych w art. 12–15 lub w art. 17 stanowi wykroczenie administracyjne, chyba że jest dokonywane w warunkach, w których stanowi przestępstwo, i podlega karze pieniężnej w wysokości odi [1000] RON doi [25000] RON.

<TI><HT TYPE="BOLD">Postępowanie główne i pytania prejudycjalne</HT></TI>20Orange România jest dostawcą usług telefonii ruchomej na rynku rumuńskim.21Decyzją z dnia 28 marca 2018 r. ANSPDCP nałożyło na Orange România grzywnę za przechowywanie kopii dokumentów tożsamości klientów bez wykazania, że wyrazili na to ważną zgodę, a przy tym nałożyło na tę spółkę obowiązek zniszczenia owych kopii.22W decyzji tej ANSPDCP wskazało, że w okresie od dnia 1 do dnia 26 marca 2018 r. Orange România zawierała z osobami fizycznymi mające formę pisemną umowy o świadczenie usług telefonii ruchomej i że do umów tych załączano kopie dokumentów tożsamości tych osób. Zdaniem ANSPDCP spółka nie przedstawiła dowodu na to, że jej klienci zawierający umowy, do których załączone były kopie dowodów tożsamości, udzielili ważnej zgody na gromadzenie i przechowywanie owych kopii.23Odnośne postanowienia rzeczonych umów zostały zredagowane w następujący sposób:

– Konsument oświadcza, że:

(i)został poinformowany, przed zawarciem umowy, o wybranym planie taryfowym, obowiązujących taryfach, minimalnym okresie obowiązywania umowy, warunkach rozwiązania [umowy] oraz o warunkach dotyczących otrzymania usług i korzystania z nich, w tym o zakresie usług, […];(ii)Orange România przekazał konsumentowi wszystkie niezbędne informacje, aby mógł on wyrazić zgodę w sposób nieobarczony wadami, wyraźny, dobrowolny i konkretny, w odniesieniu do zawarcia i wyraźnego przyjęcia umowy, w tym całej dokumentacji umowy – ogólnych warunków umowy i dokumentu informującego o taryfach i usługach;(iii)został poinformowany i wyraził zgodę w odniesieniu do:

przetwarzania danych osobowych do celów określonych w art. 1 ust. 15 ogólnych warunków umowy;

okoliczności, że kopie dokumentów zawierających dane osobowe służące jego identyfikacji będą przechowywane [przez Orange];

przetwarzania danych osobowych (numeru telefonu, adresu poczty elektronicznej) do celów marketingu bezpośredniego;

przetwarzania danych osobowych (numeru telefonu, adresu poczty elektronicznej) w celu przeprowadzania badań rynku;

następującego oświadczenia: Przeczytałem(-am) i wyrażam zgodę na przechowywanie kopii dokumentów zawierających dane osobowe dotyczące zdrowia;

nieuwzględnienia danych, o których mowa w art. 1 ust. 15 pkt 10 ogólnych warunków umowy, w usługach dotyczących informacji o abonentach i rejestrach abonentów.

24Orange România wniosła skargę na decyzję z dnia 28 marca 2018 r. do Tribunalul Bucureşti (sądu okręgowego w Bukareszcie, Rumunia).25Zgodnie z ustaleniami sądu odsyłającego istnieją, po pierwsze, umowy, w wypadku których umieszczono krzyżyk w polu wyboru właściwym dla klauzuli dotyczącej przechowywania kopii dokumentów zawierających dane osobowe do celów identyfikacji, a po drugie, umowy, w których krzyżyka takiego nie umieszczono. Sąd ten wyjaśnia, że pomimo wskazań zawartych w ogólnych warunkach sprzedaży Orange România nie odmawiała zawierania z konsumentami umów abonamentu, nawet gdy odmawiali oni wyrażenia zgody na zatrzymanie kopii dowodu tożsamości. Wspomniany sąd wskazuje ponadto, że wewnętrzne procedury sprzedaży Orange România przewidywały, że odmowa ta powinna zostać udokumentowana w specjalnym formularzu, który klienci mieli podpisać przed zawarciem umowy.26Sąd odsyłający zastanawia się nad kwestią, czy w tych okolicznościach można uznać, że zainteresowani konsumenci w skuteczny sposób wyrażali zgodę na sporządzanie kopii swych dowodów tożsamości i załączanie tych kopii do umów. Ponadto sąd ten zastanawia się, czy podpisanie umowy, w której zamieszczona jest klauzula dotycząca przechowywania kopii dokumentów zawierających dane osobowe do celów identyfikacji, pozwala na wykazanie istnienia takiej zgody.27W tych okolicznościach Tribunalul București (sąd okręgowy w Bukareszcie) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:1)Jakie warunki zgodnie z art. 2 lit. h) dyrektywy 95/46 muszą zostać spełnione, aby dane oświadczenie woli można było uznać za konkretne i świadome?2)Jakie warunki zgodnie z art. 2 lit. h) dyrektywy 95/46 muszą zostać spełnione, aby dane oświadczenie woli można było uznać za dobrowolnie wyrażone?.<TI><HT TYPE="BOLD">W przedmiocie pytań prejudycjalnych</HT></TI>28Na wstępie należy ustalić, czy dyrektywa 95/46 i rozporządzenie 2016/679 znajdują zastosowane do okoliczności faktycznych badanych w postępowaniu głównym.29Ze skutkiem od dnia 25 maja 2018 r. dyrektywa 95/46 została uchylona i zastąpiona rozporządzeniem 2016/679, na podstawie art. 94 ust. 1 i art. 99 ust. 2 tego rozporządzenia.30W związku z tym, ponieważ badana w postępowaniu głównym decyzja ANSPDCP została wydana w dniu 28 marca 2018 r., a zatem przed dniem 25 maja 2018 r., sąd odsyłający słusznie uważa, że dyrektywa 95/46 ma zastosowanie ratione temporis do sporu w postępowaniu głównym.31Niemniej z akt sprawy przedłożonych Trybunałowi wynika również, że ANSPDCP w swej decyzji nie tylko nałożyło grzywnę na Orange România, ale także nałożyło na tę spółkę obowiązek zniszczenia zgromadzonych kopii dokumentów tożsamości, oraz że spór w postępowaniu głównym dotyczy również tego drugiego nakazu. Ponieważ jednak żaden element akt sprawy nie wskazuje na to, iż wspomniany nakaz został wykonany przed dniem 25 maja 2018 r., nie jest wykluczone, że w niniejszym przypadku rozporządzenie 2016/679 znajduje zastosowanie ratione temporis w odniesieniu do tego nakazu (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 41).32W tych okolicznościach, aby umożliwić Trybunałowi udzielenie użytecznej odpowiedzi na pytania przedstawione przez sąd odsyłający, należy odpowiedzieć na te pytania na podstawie zarówno dyrektywy 95/46, jak i rozporządzenia 2016/679 (zob. analogicznie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 43).33Poprzez swe dwa pytania prejudycjalne, które należy przeanalizować łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 2 lit. h) i art. 7 lit. a) dyrektywy 95/46, a także art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia 2016/679 należy interpretować w ten sposób, że umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę, zgodnie z którą osoba, której dane dotyczą, została poinformowana o sporządzeniu i przechowywaniu kopii swego dowodu tożsamości do celów identyfikacji oraz wyraziła na to zgodę, może posłużyć do wykazania, że osoba ta skutecznie wyraziła zgodę, w rozumieniu wskazanych przepisów, na sporządzenie tej kopii i jej przechowywanie.34W tym względzie należy przypomnieć, że art. 7 dyrektywy 95/46 i art. 6 rozporządzenia 2016/679 przewidują zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem (w odniesieniu do art. 7 dyrektywy 95/46 zob. wyroki: z dnia 19 października 2016 r., Breyer, C‑582/14, EU:C:2016:779, pkt 57 i przytoczone tam orzecznictwo; z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 53). W szczególności art. 7 lit. a) tej dyrektywy i art. 6 ust. 1 lit. a) wspomnianego rozporządzenia przewidują, że zgoda osoby, której dane dotyczą, może sprawić, że takie przetwarzanie danych stanie się zgodne z prawem.35Co się tyczy wymogów, jakim podlega taka zgoda, art. 7 lit. a) wspomnianej dyrektywy stanowi, że osoba, której dane dotyczą, musi jednoznacznie wyrazi[ć] […] zgodę, podczas gdy art. 2 lit. h) dyrektywy 95/46 definiuje termin zgoda jako oznaczający konkretne i świadome, dobrowolne wskazanie [wyrażenie woli] przez osobę, której dane dotyczą na to, że [poprzez które] wyraża [ona] przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych. Ponieważ przepisy te przewidują, że osoba, której dane dotyczą, dokonuje wyrażenia woli w celu jednoznacznego udzielenia swej zgody, pod uwagę może być brane jedynie czynne zachowanie tej osoby mające na celu wyrażenie zgody (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 52, 54).36Ten sam wymóg ma zastosowanie również na gruncie rozporządzenia 2016/679. Brzmienie art. 4 pkt 11 tego rozporządzenia, który definiuje zgodę osoby, której dane dotyczą, między innymi do celów art. 6 ust. 1 lit. a) tego rozporządzenia, wydaje się bowiem jeszcze bardziej rygorystyczne niż brzmienie art. 2 lit. h) dyrektywy 95/46, gdyż przepis ten wymaga dobrowolnego, konkretnego, świadomego i jednoznacznego wyrażenia woli przez osobę, której dane dotyczą, w postaci oświadczenia lub wyraźnego działania potwierdzającego oznaczającego zgodę tej osoby na przetwarzanie dotyczących jej danych osobowych. Czynna zgoda jest zatem obecnie wyraźnie przewidziana w rozporządzeniu 2016/679 (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 61–63).37W tym względzie, chociaż w motywie 32 tego rozporządzenia wskazano, że wyrażenie zgody może nastąpić w szczególności poprzez zaznaczenie okienka wyboru podczas przeglądania strony internetowej, to jednak wykluczono istnienie zgody w przypadku milczeni[a], okien[ek] domyślnie zaznaczon[ych] lub niepodjęci[a] działania. Jak orzekł już Trybunał, w takim przypadku praktycznie niemożliwe wydaje się ustalenie w sposób obiektywny, czy użytkownik strony internetowej rzeczywiście wyraził zgodę na przetwarzanie jego danych osobowych poprzez to, że nie usunął domyślnego zaznaczenia okienka wyboru, a w każdym razie czy zgoda ta została udzielona w sposób świadomy. Nie można bowiem wykluczyć, że wspomniany użytkownik nie przeczytał informacji towarzyszących domyślnie zaznaczonemu okienku wyboru czy wręcz nie zwrócił uwagi na to okienko przed podjęciem dalszej aktywności na odwiedzanej przezeń stronie internetowej (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 55, 57).38Ponadto art. 2 lit. h) dyrektywy 95/46 i art. 4 pkt 11 rozporządzenia 2016/679 wymagają, aby wyrażenie woli było konkretne, co oznacza, że musi ono odnosić się dokładnie do określonego przetwarzania danych i nie może zostać wywnioskowane z treści wyrażenia woli mającego inny cel [w odniesieniu do art. 2 lit. h) dyrektywy 95/46 zob. wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 58].39W tym względzie w art. 7 ust. 2 zdanie pierwsze tego rozporządzenia wskazano, że jeżeli osoba, której dane dotyczą, wyraża zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii. W szczególności z tego ostatniego przepisu w związku z motywem 42 wspomnianego rozporządzenia wynika, że takie oświadczenie musi zostać przedstawione w zrozumiałej i łatwo dostępnej formie oraz musi zostać wyrażone jasnym i prostym językiem, w szczególności gdy chodzi o oświadczenie o wyrażeniu zgody przygotowane przez administratora danych osobowych.40Co się tyczy wymogu wynikającego z art. 2 lit. h) dyrektywy 95/46 i z art. 4 pkt 11 rozporządzenia 2016/679, zgodnie z którym zgoda powinna być świadoma, wymóg ten oznacza, zgodnie z art. 10 tej dyrektywy, interpretowanym w świetle jej motywu 38, a także z zgodnie z art. 13 tego rozporządzenia, interpretowanym w świetle jego motywu 42, że administrator danych dostarczy osobie, której dane dotyczą, informacje na temat wszelkich okoliczności związanych z przetwarzaniem danych mające zrozumiałą i łatwo dostępną formę oraz wyrażone jasnym i prostym językiem, przy czym osoba ta powinna w szczególności być w stanie dowiedzieć się, jakiego rodzaju dane będą przetwarzane, kto jest administratorem danych, przez jaki czas i w jaki sposób dane te będą przetwarzane oraz w jakich celach. Rzeczone informacje powinny umożliwić takiej osobie łatwe ustalenie konsekwencji zgody, której może udzielić, oraz gwarantować, że zgoda ta zostanie udzielona przy pełnej znajomości stanu rzeczy (zob. analogicznie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 74).41Ponadto, jak wskazała Komisja w uwagach przedstawionych Trybunałowi, z art. 10 lit. c) tiret drugie dyrektywy 95/46 i z art. 13 ust. 2 lit. b) i c) rozporządzenia 2016/679 w związku z motywem 42 tego rozporządzenia wynika, że w celu zapewnienia osobie, której dane dotyczą, rzeczywistej swobody wyboru postanowienia umowne nie powinny wprowadzać tej osoby w błąd co do możliwości zawarcia umowy, nawet jeśli odmawia ona wyrażenia zgody na przetwarzanie jej danych. W braku tego rodzaju informacji nie można uznać, że zgoda tej osoby na przetwarzanie jej danych osobowych została wyrażona w sposób dobrowolny, ani też że została ona udzielona w sposób świadomy.42Należy dodać, że na podstawie art. 6 ust. 1 lit. a) i art. 6 ust. 2 dyrektywy 95/46, jak też art. 5 ust. 1 lit. a) rozporządzenia 2016/679, administrator danych osobowych jest zobowiązany zapewnić w szczególności zgodność z prawem przetwarzania tych danych i – jak stanowi art. 5 ust. 2 – powinien być w stanie wykazać tę zgodność z prawem. Co się tyczy w szczególności ewentualnej zgody osoby, której dane dotyczą, art. 7 lit. a) tej dyrektywy przewiduje, że osoba, której dane dotyczą, musi wyrazić zgodę jednoznacznie, co oznacza – jak wskazał rzecznik generalny w pkt 56 opinii – że ciężar dowodu w odniesieniu do istnienia ważnej zgody spoczywa na administratorze. Artykuł 7 ust. 1 wskazanego rozporządzenia stanowi, że jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.43W niniejszej sprawie Orange România podniósł w uwagach przedstawionych Trybunałowi, że w toku procedury zawierania umów rozpatrywanych w postępowaniu głównym sprzedawcy tej spółki przed zawarciem umów informowali zainteresowanych konsumentów w szczególności o celach gromadzenia i przechowywania kopii dokumentów tożsamości, a także o wyborze, jakim konsumenci dysponowali w odniesieniu do tego gromadzenia i przechowywania, przed uzyskaniem w formie ustnej zgody tych klientów na owo gromadzenie i przechowywanie. Zdaniem Orange România pole dotyczące przechowywania kopii dokumentów tożsamości było zatem zaznaczane wyłącznie na podstawie zgody dobrowolnie wyrażonej w tym względzie przez zainteresowanych przy zawieraniu umowy.44W tych okolicznościach wniosek o wydanie orzeczenia w trybie prejudycjalnym ma zasadniczo na celu wyjaśnienie, czy przywoływana tu zgoda na takie przetwarzanie danych osobowych może zostać wykazana na podstawie warunków umownych zawartych w tych umowach.45W tym względzie z informacji zawartych we wniosku wynika, że o ile wspomniane umowy zawierają klauzulę, zgodnie z którą zainteresowani klienci zostali poinformowani o przechowywaniu kopii ich dokumentu tożsamości do celów identyfikacji i wyrazili na to zgodę, o tyle okienko wyboru dotyczące tej klauzuli było już zaznaczone przez sprzedawców spółki Orange România przed złożeniem przez tych klientów podpisu oznaczającego akceptację wszystkich warunków umownych, a mianowicie zarówno wspomnianej klauzuli, jak i pozostałych warunków niezwiązanych z ochroną danych. We wniosku wskazano ponadto, że choć w umowach rozpatrywanych w postępowaniu głównym o tym nie wspomniano, Orange România godził się na zawieranie umów z konsumentami, którzy odmówili wyrażenia zgody na przechowywanie kopii dokumentu tożsamości, wymagając w takim wypadku, aby podpisali oni specjalny formularz dokumentujący ich odmowę.46Otóż ponieważ w świetle tych informacji wydaje się, że zainteresowani konsumenci nie zaznaczali samodzielnie okienka wyboru odnoszącego się do tej klauzuli, sam fakt, że okienko to zostało zaznaczone, nie może świadczyć o pozytywnym wyrażeniu przez nich zgody na gromadzenie i przechowywanie kopii ich dowodów tożsamości. Jak bowiem zauważył rzecznik generalny w pkt 45 opinii, sama okoliczność, że wspomniani konsumenci podpisali umowy zawierające zaznaczone okienko wyboru, nie pozwala na wykazanie istnienia takiej zgody w braku informacji potwierdzających, że klauzula ta została faktycznie przeczytana i przyjęta do wiadomości. Do sądu odsyłającego należy dokonanie niezbędnych ustaleń w tym zakresie.47Ponadto, jako że nie wydaje się, by zaznaczona klauzula dotycząca przetwarzania tych danych została przedstawiona w formie, która wyraźnie odróżnia ją od innych warunków umownych, do sądu tego należy dokonanie oceny, czy w świetle rozważań zawartych w pkt 34 niniejszego wyroku podpisanie tych umów obejmujących wiele warunków umownych można uznać za wyrażenie konkretnej zgody na gromadzenie i przechowywanie danych osobowych w rozumieniu art. 2 lit. h) dyrektywy 95/46 i art. 4 pkt 11 rozporządzenia 2016/679.48Co więcej, jako że rozpatrywana w postępowaniu głównym klauzula umowna ogranicza się do wskazania, bez żadnej innej wzmianki, że celem przechowywania kopii dowodów tożsamości jest identyfikacja, do sądu odsyłającego należy zbadanie, czy poinformowanie osób, których dane dotyczą, spełniało wymogi art. 10 dyrektywy 95/46 i art. 13 rozporządzenia 2016/679, gdzie określono informacje, które administrator danych musi przekazać osobie, której dane gromadzi, tak aby zapewnić jej rzetelne przetwarzanie danych.49Do sądu tego należy również dokonanie oceny w szczególności, czy postanowienia umowy badane w postępowaniu głównym mogły wprowadzić daną osobę w błąd co do możliwości zawarcia umowy pomimo odmowy wyrażenia zgody na przetwarzanie jej danych, w braku wyjaśnień w tej kwestii, a tym samym podważyć świadomy charakter zgody wyrażonej poprzez złożenie podpisu pod tą umową.50Ponadto, jak zauważył rzecznik generalny w pkt 60 opinii, wydaje się, że dobrowolny charakter tej zgody podważa okoliczność, iż w przypadku jej odmowy Orange România wymagał, odstępując od zwykłej procedury prowadzącej do zawarcia umowy, aby dany klient złożył pisemne oświadczenie, że nie wyraża zgody ani na pobranie od niego dokumentu tożsamości, ani na przechowywanie kopii tego dokumentu. Jak bowiem zauważyła Komisja na rozprawie, taki dodatkowy wymóg może bezpodstawnie wpłynąć na swobodne podjęcie decyzji o sprzeciwieniu się gromadzeniu i przechowywaniu kopii dokumentów tożsamości, co sąd odsyłający również powinien zweryfikować.51W każdym razie, jak wynika z rozważań zawartych w pkt 35, 36 i 42 niniejszego wyroku, do spółki Orange România, jako administratora danych, należy wykazanie, że jej klienci wyrażali zgodę na przetwarzanie ich danych osobowych poprzez czynne zachowanie, wobec czego spółka ta nie może wymagać, aby poprzez czynne zachowanie wyrażali oni swą odmowę.52W świetle powyższych rozważań na zadane pytania należy odpowiedzieć, że art. 2 lit. h) i art. 7 lit. a) dyrektywy 95/46, a także art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia 2016/679 należy interpretować w ten sposób, iż to do administratora danych należy wykazanie, że osoba, której dane dotyczą, poprzez czynne zachowanie wyraziła zgodę na przetwarzanie swych danych osobowych i że uprzednio uzyskała ona dotyczące wszelkich okoliczności związanych z przetwarzaniem tych danych informacje mające zrozumiałą i łatwo dostępną formę, wyrażone jasnym i prostym językiem oraz umożliwiające tej osobie łatwe ustalenie konsekwencji jej zgody, w efekcie czego uzyskuje się gwarancję, że zgoda ta została udzielona przy pełnej znajomości stanu rzeczy. Umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę stwierdzającą, że osoba, której dane dotyczą, została poinformowana o skopiowaniu i przechowywaniu kopii swego dokumentu tożsamości do celów identyfikacji i wyraziła na to zgodę, nie pozwala wykazać, że osoba ta skutecznie wyraziła zgodę, w rozumieniu wskazanych przepisów, na sporządzenie tej kopii i jej przechowywanie, gdy:

okienko wyboru odnoszące się do tej klauzuli zostało zaznaczone przez administratora danych przed podpisaniem umowy, lub gdy

postanowienia rzeczonej umowy mogą wprowadzać osobę, której dane dotyczą, w błąd co do możliwości zawarcia owej umowy pomimo odmowy udzielenia zgody na przetwarzanie danych, lub gdy

administrator ten bezpodstawnie wpłynął na swobodne podjęcie decyzji o sprzeciwieniu się skopiowaniu i przechowywaniu kopii dokumentu tożsamości, poprzez ustanowienie wymogu, aby w wypadku odmowy udzielenia zgody osoba, której dane dotyczą, wypełniła dodatkowy formularz dokumentujący tę odmowę.

<TI><HT TYPE="BOLD">W przedmiocie kosztów</HT></TI>53Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.Z powyższych względów Trybunał (druga izba) orzeka, co następuje:

Artykuł 2 lit. h) i art. 7 lit. a) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, a także art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), należy interpretować w ten sposób, iż to do administratora danych należy wykazanie, że osoba, której dane dotyczą, poprzez czynne zachowanie wyraziła zgodę na przetwarzanie swych danych osobowych i że uprzednio uzyskała ona dotyczące wszelkich okoliczności związanych z przetwarzaniem tych danych informacje mające zrozumiałą i łatwo dostępną formę, wyrażone jasnym i prostym językiem oraz umożliwiające tej osobie łatwe ustalenie konsekwencji jej zgody, w efekcie czego uzyskuje się gwarancję, że zgoda ta została udzielona przy pełnej znajomości stanu rzeczy. Umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę stwierdzającą, że osoba, której dane dotyczą, została poinformowana o skopiowaniu i przechowywaniu kopii swego dokumentu tożsamości do celów identyfikacji i wyraziła na to zgodę, nie pozwala wykazać, że osoba ta skutecznie wyraziła zgodę, w rozumieniu wskazanych przepisów, na sporządzenie tej kopii i jej przechowywanie, gdy:

okienko wyboru odnoszące się do tej klauzuli zostało zaznaczone przez administratora danych przed podpisaniem umowy, lub gdy

postanowienia rzeczonej umowy mogą wprowadzać osobę, której dane dotyczą, w błąd co do możliwości zawarcia owej umowy pomimo odmowy udzielenia zgody na przetwarzanie danych, lub gdy

administrator ten bezpodstawnie wpłynął na swobodne podjęcie decyzji o sprzeciwieniu się skopiowaniu i przechowywaniu kopii dokumentu tożsamości poprzez ustanowienie wymogu, aby w wypadku odmowy udzielenia zgody osoba, której dane dotyczą, wypełniła dodatkowy formularz dokumentujący tę odmowę.

Podpisy