–

Orange România SA, edustajinaan D.-D. Dascălu, A.-M. Iordache ja I. Buga, avocaţi,

–

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), asiamiehinään A. G. Opre ja I. Ilie,

–

Romanian hallitus, asiamiehinään aluksi E. Gane, O.-C. Ichim, L. Liţu ja C.‑R. Canţăr, sittemmin E. Gane, O.-C. Ichim ja L. Liţu

–

Italian hallitus, asiamiehenään G. Palmieri, avustajanaan M. Russo, avvocato dello Stato,

–

Itävallan hallitus, asiamiehinään aluksi J. Schmoll ja G. Hesse, sittemmin J. Schmoll,

–

Portugalin hallitus, asiamiehinään L. Inez Fernandes, P. Barros da Costa, L. Medeiros ja I. Oliveira,

–

Euroopan komissio, asiamiehinään H. Kranenborg, D. Nardi ja L. Nicolae,

1

Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 2 artiklan h alakohdan sekä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46 kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EYVL 2016, L 119, s. 1) 4 artiklan 11 alakohdan tulkintaa.

2

Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Orange România SA ja Autoritatea Națională de Supraveghere a Prelucrării Datelor cu caracter Personal (ANSPDCP) (henkilötietojen käsittelyä valvova kansallinen viranomainen, Romania) ja jossa on kyse kanteesta, jolla vaaditaan kumoamaan päätös, jolla viimeksi mainittu määräsi Orange Românialle sakon, koska tämä oli kerännyt ja säilyttänyt kopioita asiakkaidensa henkilöllisyystodistuksista ilman näiden pätevää suostumusta, ja velvoitti tämän tuhoamaan kyseiset kopiot.

Asiaa koskevat oikeussäännöt

Unionin oikeus

Direktiivi 95/46

3

Direktiivin 95/46 johdanto-osan 38 perustelukappaleessa todetaan, että ”oikeudenmukaisen tietojenkäsittelyn osalta edellytetään, että rekisteröidyt tietävät käsittelyn suorittamisesta ja että he saavat asianmukaiset ja täydelliset tiedot tietojen keräämisen olosuhteista, jos tietoja kerätään heiltä itseltään”.

4

Direktiivin 2 artiklan h alakohdassa säädetään muun muassa, että direktiivissä tarkoitetaan

5

Kyseisen direktiivin 6 artiklassa säädetään seuraavaa:

6

Kyseisen direktiivin 7 artiklan a alakohdassa säädetään seuraavaa:

7

Kyseisen direktiivin 10 artiklan sanamuoto on seuraava:

–

tietojen vastaanottajat tai vastaanottajaryhmät,

–

tieto siitä, onko kysymyksiin vastaaminen pakollista vai vapaaehtoista, sekä vastaamatta jättämisen mahdolliset seuraukset,

–

onko rekisteröidyllä oikeus saada itseään koskevia tietoja ja oikeus niiden oikaisuun,

Asetus 2016/679

8

Asetuksen N:o 2016/679 johdanto-osan 32 ja 42 perustelukappaleessa todetaan seuraavaa:

9

Kyseisen asetuksen 4 artiklan 11 alakohdassa säädetään seuraavaa:

10

Saman asetuksen 5 artiklassa säädetään seuraavaa:

11

Asetuksen 2016/679 6 artiklan 1 kohdan a alakohdan sanamuoto on seuraava:

12

Asetuksen 2016/679 7 artiklan 1, 2 ja 4 kohdan sanamuoto on seuraava:

13

Kyseisen asetuksen 13 artiklan 1 ja 2 kohdassa säädetään seuraavaa:

14

Asetuksen 2016/679 94 artiklan 1 kohdassa säädetään seuraavaa:

15

Asetusta 2016/679 on sovellettu sen 99 artiklan 2 kohdan nojalla 25.5.2018 alkaen.

Romanian oikeus

16

Henkilöiden suojasta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta annetussa laissa nro 677/2001 (legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date) (Monitorul Oficial al României, osa I, nro 790, 12.12.2001) säädetään direktiivin 95/46 säännösten saattamisesta osaksi kansallista lainsäädäntöä.

17

Kyseisen lain 5 §:n 1 momentissa säädetään seuraavaa:

18

Mainitun lain 8 §:ssä säädetään seuraavaa:

19

Lain nro 667/2001 32 §:n sanamuoto on seuraava:

Pääasia ja ennakkoratkaisukysymykset

20

Orange România tarjoaa matkaviestinpalveluja Romanian markkinoilla.

21

ANSPDCP määräsi 28.3.2018 tekemällään päätöksellä Orange Românialle sakon sen vuoksi, että tämä oli säilyttänyt kopioita asiakkaidensa henkilöllisyystodistuksista osoittamatta, että kyseiset asiakkaat olivat antaneet tähän pätevän suostumuksensa, ja velvoitti sen tuhoamaan kyseiset kopiot.

22

Kyseisessä päätöksessä ANSPDCP totesi, että Orange România oli tehnyt 1.3.–26.3.2018 kirjallisesti sopimuksia matkaviestinpalvelujen tarjoamisesta luonnollisten henkilöiden kanssa ja että kopiot kyseisten henkilöiden henkilöllisyystodistuksista oli liitetty näihin sopimuksiin. ANSPDCP:n mukaan Orange România ei ole esittänyt näyttöä siitä, että sen asiakkaat, joiden sopimuksiin oli liitetty kopioita heidän henkilöllisyystodistuksestaan, olisivat antaneet pätevän suostumuksensa henkilöllisyystodistustensa kopioiden keräämiseen ja säilyttämiseen.

23

Asianomaisten sopimusten asian kannalta merkitykselliset ehdot oli laadittu seuraavasti:

–

henkilötietojen käsittely Orangen palvelujen käyttöä koskevien yleisten sopimusehtojen 1.15 kohdassa mainittuihin tarkoituksiin;

–

tunnistamiseen tarvittavat henkilötiedot sisältävien asiakirjojen kopion säilyttäminen ;

–

suostumus henkilötietojen (puhelinnumero, sähköpostiosoite) käsittelyyn suoramarkkinointitarkoituksia varten ;

–

suostumus henkilötietojen (puhelinnumero, sähköpostiosoite) käsittelyyn markkinatutkimuksia varten ;

–

rekisteröity on lukenut ja antanut nimenomaisen suostumuksensa siihen, että hänen terveydentilaansa liittyviä henkilötietoja sisältävien asiakirjojen kopiot säilytetään ;

–

Orangen palvelujen käyttöä koskevien yleisten sopimusehtojen 1.15 kohdan 10 alakohdassa mainittuja tietoja ei sisällytetä tietopalveluihin, jotka liittyvät tilaajiin ja puhelinluetteloihin.”

24

Orange România nosti kanteen 28.3.2018 tehdystä päätöksestä Tribunalul Bucureştissa (Bukarestin alueellinen tuomioistuin, Romania).

25

Ennakkoratkaisua pyytäneen tuomioistuimen toteamusten mukaan on olemassa yhtäältä sopimuksia, joissa ruutuun on merkitty rasti, kun on kyse ehdosta, joka koskee henkilötietoja sisältävien asiakirjojen kopioiden säilyttämistä tunnistamistarkoituksessa, ja toisaalta sopimuksia, joissa tällaista rastia ei ole. Kyseinen tuomioistuin täsmentää, että Orange Românian yleisiin sopimusehtoihin sisältyvistä maininnoista huolimatta Orange România ei ole kieltäytynyt tekemästä asiakkaiden kanssa tilaussopimuksia, vaikka nämä eivät ole suostuneet siihen, että heidän henkilöllisyystodistuksensa kopio säilytetään. Kyseinen tuomioistuin toteaa vielä, että Orange Românian ”sisäiset myyntimenettelyt” edellyttivät, että kieltäytymisestä oli täytettävä erityinen lomake, joka näiden asiakkaiden oli allekirjoitettava ennen sopimuksen tekemistä.

26

Ennakkoratkaisua pyytänyt tuomioistuin pohtii, voidaanko tässä tilanteessa katsoa, että asianomaiset asiakkaat ovat pätevästi antaneet suostumuksensa henkilöllisyystodistuksensa kopioiden keräämiseen ja niiden liittämiseen sopimuksiin. Se pohtii lisäksi, voiko sopimuksen, johon sisältyy ehto, joka koskee henkilötietoja sisältävien asiakirjojen kopioiden säilyttämistä tunnistamistarkoituksessa, allekirjoitus olla osoitus tällaisen suostumuksen antamisesta.

27

Tässä tilanteessa Tribunalul București on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

Ennakkoratkaisukysymysten tarkastelu

28

Aluksi on määritettävä, voidaanko direktiiviä 95/46 ja asetusta 2016/679 soveltaa pääasian tosiseikkoihin.

29

Direktiivi 95/46 kumottiin ja korvattiin 25.5.2018 alkaen asetuksella 2016/679 kyseisen asetuksen 94 artiklan 1 kohdan ja 99 artiklan 2 kohdan nojalla.

30

Koska pääasiassa kyseessä oleva ANSPDCP:n päätös tehtiin 28.3.2018 ja näin ollen ennen 25.5.2018, ennakkoratkaisua pyytänyt tuomioistuin katsoo perustellusti, että direktiiviä 95/46 sovelletaan ajallisesti pääasiaan.

31

Unionin tuomioistuimelle toimitetusta asiakirja-aineistosta ilmenee kuitenkin myös, että paitsi että ANSPDCP määräsi päätöksellään Orange Românialle sakon, se myös velvoitti tämän tuhoamaan kyseessä olevien henkilöllisyystodistusten kopiot, ja että pääasia koskee myös viimeksi mainittua velvoitetta. Koska asiakirja-aineistossa ei ole mitään mikä osoittaisi, että kyseistä velvoitetta olisi noudatettu ennen 25.5.2018, ei ole poissuljettua, että käsiteltävässä asiassa asetusta 2016/679 voidaan soveltaa ajallisesti sen osalta (ks. vastaavasti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 41 kohta).

32

Tässä tilanteessa on niin, että jotta unionin tuomioistuin voi antaa hyödyllisiä vastauksia ennakkoratkaisua pyytäneen tuomioistuimen esittämiin kysymyksiin, näihin kysymyksiin on vastattava sekä direktiivin 95/46 että asetuksen 2016/679 perusteella (ks. analogisesti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 43 kohta).

33

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kahdella ennakkoratkaisukysymyksellään, joita on tarkasteltava yhdessä, lähinnä sitä, onko direktiivin 95/46 2 artiklan h alakohtaa ja 7 artiklan a alakohtaa sekä asetuksen 2016/679 4 artiklan 11 alakohtaa ja 6 artiklan 1 kohdan a alakohtaa tulkittava siten, että televiestinäpalvelujen tarjoamista koskeva sopimus, johon sisältyy ehto, jonka mukaan asianomaiselle henkilölle on ilmoitettu hänen henkilöllisyystodistuksensa kopion keräämisestä ja säilyttämisestä tunnistamistarkoituksessa ja hän on suostunut tähän, voi olla omiaan osoittamaan, että kyseinen henkilö on antanut pätevästi mainituissa säännöksissä tarkoitetun suostumuksensa kyseiseen keräämiseen ja säilyttämiseen.

34

Tämän osalta on palautettava mieleen, että direktiivin 95/46 7 artiklassa ja asetuksen 2016/679 6 artiklassa on tyhjentävä luettelo tapauksista, joissa henkilötietojen käsittelyn voidaan katsoa olevan lainmukaista (ks. direktiivin 95/46 7 artiklan osalta tuomio 19.10.2016, Breyer, C-582/14, EU:C:2016:779, 57 kohta oikeuskäytäntöviittauksineen ja tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 53 kohta). Erityisesti kyseisen direktiivin 7 artiklan a alakohdassa ja mainitun asetuksen 6 artiklan 1 kohdan a alakohdassa säädetään, että rekisteröidyn suostumus voi tehdä tällaisesta käsittelystä lainmukaista.

35

Kyseisen direktiivin 7 artiklan a alakohdassa säädetään tällaiselle suostumukselle asetetuista vaatimuksista, että rekisteröidyn on oltava ”yksiselitteisesti antanut suostumuksensa”, kun taas direktiivin 95/46 2 artiklan h alakohdassa määritellään ”suostumus” siten, että sillä tarkoitetaan ”kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn”. Koska kyseisissä säännöksissä säädetään, että rekisteröity ”ilmaisee tahtonsa” antaakseen ”yksiselitteisesti” suostumuksensa, huomioon voidaan ottaa ainoastaan tämän aktiivinen toiminta suostumuksensa ilmaisemiseksi (ks. vastaavasti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 52 ja 54 kohta).

36

Samaa vaatimusta sovelletaan myös asetuksen 2016/679 yhteydessä. Kyseisen asetuksen 4 artiklan 11 alakohdan, jossa määritellään ”rekisteröidyn suostumus” muun muassa sen 6 artiklan 1 kohdan a alakohtaa varten, sanamuoto on nimittäin vieläkin tiukempi kuin direktiivin 95/46 2 artiklan h alakohdan sanamuoto, koska siinä edellytetään rekisteröidyn ”vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä” tahdonilmaisua antamalla sellainen lausuma tai toteuttamalla sellainen ”selkeästi suostumusta ilmaiseva toimi”, joka ilmaisee rekisteröidyn hyväksyvän henkilötietojen käsittelyn. Asetuksessa 2016/679 säädetään siten vastedes nimenomaisesti aktiivisesta suostumuksesta (ks. vastaavasti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 61–63 kohta).

37

Tämän osalta on todettava, että kyseisen asetuksen johdanto-osan 32 perustelukappaleessa täsmennetään, että suostumus voidaan ilmaista muun muassa rastittamalla ruutu vierailtaessa internetsivustolla, mutta siinä suljetaan nimenomaisesti pois se mahdollisuus, että suostumus annetaan ”vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta”. Kuten unionin tuomioistuin on jo katsonut, tällaisessa tilanteessa on käytännössä mahdotonta määrittää objektiivisesti, onko internetsivuston käyttäjä tosiasiallisesti antanut suostumuksensa henkilötietojensa käsittelyyn, kun hän ei ole poistanut rastia valmiiksi rastitetusta ruudusta, ja onko tämä suostumus joka tapauksessa annettu tietoisesti. Ei nimittäin ole poissuljettua, ettei mainittu käyttäjä ole lukenut valmiiksi rastitetun ruudun vieressä olevia tietoja tai ettei hän ole edes huomannut kyseistä ruutua ennen toimintansa jatkamista vierailemallaan internetsivustolla (ks. vastaavasti tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 55 ja 57 kohta).

38

Lisäksi direktiivin 95/46 2 artiklan h alakohdassa ja asetuksen 2016/679 4 artiklan 11 alakohdassa edellytetään ”yksilöityä” tahdonilmaisua siten, että sen on koskettava tarkalleen kyseessä olevaa tietojenkäsittelyä eikä sitä voida johtaa tahdonilmaisusta, jolla on eri kohde (ks. direktiivin 95/46 2 artiklan h alakohdan osalta tuomio 1.10.2019, Planet49, C-673/17, EU:C:2019:801, 58 kohta).

39

Tämän osalta kyseisen asetuksen 7 artiklan 2 kohdan ensimmäisessä virkkeessä täsmennetään, että jos rekisteröity antaa suostumuksensa kirjallisessa ilmoituksessa, joka koskee myös muita asioita, suostumuksen antamista koskeva pyyntö on esitettävä selvästi erillään näistä muista asioista olevassa muodossa. Viimeksi mainitusta säännöksestä – tarkasteltuna yhdessä mainitun asetuksen johdanto-osan 42 perustelukappaleen kanssa – ilmenee erityisesti, että tällainen ilmoitus on annettava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä erityisesti silloin, kun on kyse rekisterinpitäjän ennalta muotoilemasta suostumusta koskevasta ilmoituksesta.

40

Direktiivin 95/46 2 artiklan h alakohdasta ja asetuksen 2016/679 4 artiklan 11 alakohdasta ilmenevästä vaatimuksesta, jonka mukaan suostumuksen on oltava ”tietoinen”, on todettava, että kyseinen vaatimus merkitsee kyseisen direktiivin 10 artiklan, tarkasteltuna sen johdanto-osan 38 perustelukappale huomioiden, ja kyseisen asetuksen 13 artiklan, tarkasteltuna sen johdanto-osan 42 perustelukappale huomioiden, mukaan sitä, että rekisterinpitäjä toimittaa rekisteröidylle tiedot kaikista tietojen käsittelyyn liittyvistä seikoista helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä, koska kyseisen henkilön on muun muassa voitava saada selville minkä tyyppisiä tietoja käsitellään, rekisterinpitäjän henkilöllisyys, kyseisen käsittelyn kesto ja tavat sekä sillä tavoitellut päämäärät. Rekisteröidyn on voitava tällaisten tietojen avulla helposti määrittää mahdollisesti antamansa suostumuksen seuraukset, ja näillä tiedoilla on taattava se, että tämä suostumus annetaan täysin tietoisena asiasta (ks. analogisesti tuomio 1.10.2019, Planet49, C‑673/17, EU:C:2019:801, 74 kohta).

41

Kuten komissio unionin tuomioistuimelle esittämissään huomautuksissa totesi, direktiivin 95/46 10 artiklan c alakohdan toisesta luetelmakohdasta ja asetuksen 2016/679 13 artiklan 2 kohdan b ja c alakohdasta – tarkasteltuna asetuksen johdanto-osan 42 perustelukappale huomioiden – ilmenee lisäksi, että jotta rekisteröidyllä olisi todellinen valinnanvapaus, sopimusmääräykset eivät saa johtaa häntä harhaan mahdollisuudesta tehdä sopimus, vaikka hän kieltäytyisi hyväksymästä tietojensa käsittelyä. Tällaisten tietojen puuttuessa ei voida katsoa, että rekisteröity olisi antanut suostumuksensa henkilötietojensa käsittelyyn vapaaehtoisesti tai että hän olisi antanut sen tietoisesti.

42

On lisättävä, että direktiivin 95/46 6 artiklan 1 kohdan a alakohdan ja 2 kohdan sekä asetuksen 2016/679 5 artiklan 1 kohdan a alakohdan mukaan henkilötietojen rekisterinpitäjän on varmistettava muun muassa näiden tietojen käsittelyn lainmukaisuus, ja – kuten kyseisen 5 artiklan 2 kohdassa täsmennetään – sen on kyettävä osoittamaan tämä lainmukaisuus. Erityisesti rekisteröidyn mahdollisesta suostumuksesta kyseisen direktiivin 7 artiklan a alakohdassa säädetään, että rekisteröidyn on täytynyt ”yksiselitteisesti” antaa suostumuksensa, mikä merkitsee – kuten julkisasiamies totesi ratkaisuehdotuksensa 56 kohdassa –, että todistustaakka pätevän suostumuksen olemassaolosta kuuluu rekisterinpitäjälle. Kyseisen asetuksen 7 artiklan 1 kohdassa säädetään nyttemmin, että jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn.

43

Nyt käsiteltävässä asiassa Orange România väitti unionin tuomioistuimelle toimittamissaan huomautuksissa, että pääasiassa kyseessä olevien sopimusten tekomenettelyn aikana sen myyntiedustajat ilmoittivat asianomaisille asiakkaille ennen sopimusten tekemistä muun muassa henkilöllisyystodistusten kopioiden keräämisen ja säilyttämisen tarkoituksesta sekä asiakkaiden valintamahdollisuuksista tämän keräämisen ja säilyttämisen osalta ennen kyseisten asiakkaiden suullista suostumusta mainittuun keräämiseen ja säilyttämiseen. Orange Românian mukaan henkilöllisyystodistusten kopioiden säilyttämistä koskeva ruutu oli siten rastitettu yksinomaan asianomaisten sopimusta tehtäessä vapaasti ilmaiseman suostumuksen perusteella.

44

Tässä tilanteessa ennakkoratkaisupyynnöllä pyritään lähinnä selvittämään, voidaanko tällainen suostumus kyseiseen henkilötietojen käsittelyyn osoittaa kyseisiin sopimuksiin sisältyvien sopimusehtojen perusteella.

45

Tämän osalta ennakkoratkaisupyyntöön sisältyvistä tiedoista ilmenee, että vaikka kyseisiin sopimuksiin sisältyy ehto, jonka mukaan asianomaisille asiakkaille on ilmoitettu heidän henkilöllisyystodistuksensa kopion säilyttämisestä tunnistamistarkoituksessa ja he ovat antaneet tähän suostumuksensa, Orange Românian myyntiedustajat olivat jo rastittaneet kyseistä ehtoa koskevan ruudun ennen asiakkaiden allekirjoitusta, joka koski kaikkien sopimusehtojen hyväksymistä, eli sekä mainittua ehtoa että muita, tietosuojaan liittymättömiä ehtoja. Ennakkoratkaisupyynnössä todetaan vielä, että Orange România suostui tekemään kyseiset sopimukset sellaisten asiakkaiden kanssa, jotka kieltäytyivät antamasta suostumustaan henkilöllisyystodistuksensa kopion säilyttämiseen, mutta tätä ei täsmennetty pääasiassa kyseessä olevissa sopimuksissa ja Orange România vaati, että tässä tapauksessa kyseiset asiakkaat allekirjoittavat erityisen lomakkeen, jossa mainitaan heidän kieltäytymisensä.

46

Koska näiden tietojen mukaan kyseiset asiakkaat eivät näytä itse rastineen kyseistä ehtoa koskenutta ruutua, pelkästään se seikka, että tämä ruutu on rastitettu, ei ole omiaan osoittamaan, että nämä asiakkaat olisivat ilmaisseet aktiivisesti suostumuksensa siihen, että heidän henkilöllisyystodistuksensa kopio kerätään ja säilytetään. Kuten julkisasiamies totesi ratkaisuehdotuksensa 45 kohdassa, pelkästään sen perusteella, että kyseiset asiakkaat allekirjoittivat sopimukset, jotka sisälsivät rastitetun ruudun, ei voida osoittaa tällaista suostumusta, jos ei ole olemassa tietoja, jotka vahvistaisivat, että kyseinen ehto oli todellakin luettu ja sisäistetty. Tätä koskevien tarpeellisten selvitysten toteuttaminen kuuluu ennakkoratkaisua pyytäneelle tuomioistuimelle.

47

Lisäksi on niin, että koska vaikuttaa siltä, että kyseisten tietojen käsittelyä koskevaa rastitettua ehtoa ei esitetty muodossa, joka erottaa sen selvästi muista sopimusehdoista, edellä mainitun tuomioistuimen on arvioitava, voidaanko – kun otetaan huomioon tämän tuomion 34 kohdassa esitetyt seikat – kyseisten sopimusten allekirjoittamisen, joka koskee useita sopimusehtoja, katsoa ilmaisevan direktiivin 95/46 2 artiklan h alakohdassa ja asetuksen 2016/679 4 artiklan 11 alakohdassa tarkoitetun yksilöidyn suostumuksen henkilötietojen keräämiseen ja säilyttämiseen.

48

Koska pääasiassa kyseessä olevassa sopimusehdossa tyydytään toteamaan – ilman minkäänlaisia muita mainintoja – henkilöllisyystodistusten kopioiden säilyttämisen tarkoitus eli asianomaisen henkilön tunnistaminen, ennakkoratkaisua pyytäneen tuomioistuimen on lisäksi selvitettävä, täyttävätkö rekisteröidylle annetut tiedot direktiivin 95/46 10 artiklan ja asetuksen 2016/679 13 artiklan vaatimukset; kyseisissä artikloissa säädetään tiedoista, jotka rekisterinpitäjän on toimitettava rekisteröidylle, jolta se kerää tätä koskevia tietoja, sen varmistamiseksi, että kyseiset tiedot käsitellään asianmukaisesti.

49

Kyseisen tuomioistuimen on myös arvioitava muun muassa sitä, saattoivatko pääasiassa kyseessä olevat sopimusmääräykset johtaa rekisteröityä harhaan mahdollisuudesta tehdä sopimus siitä huolimatta, että hän ei suostunut tietojensa käsittelyyn, kun tätä koskevia täsmennyksiä ei ollut, jolloin on kyseenalaista, oliko mainitulla allekirjoituksella ilmaistu suostumus tietoinen.

50

Kuten julkisasiamies totesi ratkaisuehdotuksensa 60 kohdassa, vaikuttaa lisäksi siltä, että kyseisen suostumuksen vapaaehtoisuus asetetaan kyseenalaiseksi sillä, että siinä tapauksessa, että suostumusta ei annettu, Orange România vaati – sopimuksen tekemiseen johtavasta tavanomaisesta menettelystä poiketen –, että kyseinen asiakas ilmoittaa kirjallisesti, ettei hän suostu henkilöllisyystodistuksensa kopion keräämiseen eikä säilyttämiseen. Kuten komissio istunnossa huomautti, tällainen lisävaatimus on nimittäin omiaan vaikuttamaan epäasianmukaisesti valinnanvapauteen vastustaa tällaista keräämistä ja säilyttämistä, mikä ennakkoratkaisua pyytäneen tuomioistuimen on myös tarkistettava.

51

Kuten tämän tuomion 35, 36 ja 42 kohdassa esitetystä ilmenee, rekisterinpitäjänä Orange Românian on joka tapauksessa osoitettava, että sen asiakkaat ovat aktiivisella toiminnallaan ilmaisseet suostumuksensa henkilötietojensa käsittelyyn, joten kyseinen yhtiö ei voi vaatia, että he ilmaisevat kieltäytymisensä aktiivisesti.

52

Edellä esitetyn perusteella esitettyihin kysymyksiin on vastattava, että direktiivin 95/46 2 artiklan h alakohtaa ja 7 artiklan a alakohtaa sekä asetuksen 2016/679 4 artiklan 11 alakohtaa ja 6 artiklan 1 kohdan a alakohtaa on tulkittava siten, että rekisterinpitäjän on osoitettava, että rekisteröity on aktiivisella toiminnallaan ilmaissut suostumuksensa henkilötietojensa käsittelyyn ja että hän on saanut etukäteen tiedon kaikista tätä käsittelyä koskevista olosuhteista helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä, jotta hän voi helposti määrittää kyseisen suostumuksen seuraukset, jolloin taataan, että suostumus on annettu täysin tietoisena asiasta. Televiestintäpalvelujen tarjoamista koskeva sopimus, johon sisältyy ehto, jonka mukaan rekisteröity on saanut tiedon henkilöllisyystodistuksensa kopion keräämisestä ja säilyttämisestä tunnistamistarkoituksessa ja hän on suostunut tähän, ei ole omiaan osoittamaan, että kyseinen henkilö olisi antanut pätevästi näissä säännöksissä tarkoitetun suostumuksensa tähän keräämiseen ja säilyttämiseen, kun

–

rekisterinpitäjä on rastittanut tähän ehtoon liittyvän ruudun ennen sopimuksen allekirjoittamista tai

–

kyseisen sopimuksen sopimusmääräykset saattavat johtaa rekisteröityä harhaan mahdollisuudesta tehdä kyseinen sopimus siitä huolimatta, että hän kieltäytyy antamasta suostumustaan tietojensa käsittelyyn, tai

–

rekisterinpitäjä vaikuttaa epäasianmukaisesti valinnanvapauteen vastustaa tätä keräämistä ja säilyttämistä vaatimalla, että rekisteröidyn on suostumuksensa epäämiseksi täytettävä lisälomake, jossa kyseinen kieltäytyminen mainitaan.

Oikeudenkäyntikulut

53

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

–

rekisterinpitäjä on rastittanut tähän ehtoon liittyvän ruudun ennen sopimuksen allekirjoittamista tai

–

kyseisen sopimuksen sopimusmääräykset saattavat johtaa rekisteröityä harhaan mahdollisuudesta tehdä kyseinen sopimus siitä huolimatta, että hän kieltäytyy antamasta suostumustaan tietojensa käsittelyyn, tai

–

rekisterinpitäjä vaikuttaa epäasianmukaisesti valinnanvapauteen vastustaa tätä keräämistä ja säilyttämistä vaatimalla, että rekisteröidyn on suostumuksensa epäämiseksi täytettävä lisälomake, jossa kyseinen kieltäytyminen mainitaan.