Orange România poskytuje mobilné telekomunikačné služby na rumunskom trhu. Rozhodnutím z 28.03.2018 uložil ANSPDCP (Národný orgán dohľadu nad spracúvaním osobných údajov, Rumunsko) spoločnosti Orange România pokutu z dôvodu, že uchovávala kópie dokladov totožnosti svojich zákazníkov bez toho, aby preukázala, že títo zákazníci platne udelili svoj súhlas a uložil jej povinnosť zničiť tieto kópie. V rozhodnutí ANSPDCP uviedol, že v období od 1. do 26.03.2018 Orange România uzavrela písomne zmluvy o poskytovaní mobilných telekomunikačných služieb s fyzickými osobami, pričom k týmto zmluvám boli pripojené kópie dokladov totožnosti uvedených osôb. Podľa ANSPDCP táto spoločnosť nepredložila dôkaz, že zákazníci, s ktorými boli uzavreté zmluvy, ku ktorým boli pripojené kópie ich dokladov totožnosti, platne udelili súhlas na získavanie a uchovávanie kópií ich dokladov totožnosti.
Spoločnosť Orange România podala proti predmetnému rozhodnutiu žalobu na Krajský súd Bukurešť. Podľa zistení vnútroštátneho súdu existujú v tejto veci jednak zmluvy, v ktorých bolo zaškrtnuté políčko týkajúce sa zmluvnej podmienky o uchovávaní kópií dokumentov obsahujúcich osobné údaje na účely identifikácie, a jednak zmluvy, v ktorých nebolo toto políčko zaškrtnuté. Tento súd spresňuje, že bez ohľadu na údaje uvedené vo všeobecných podmienkach, Orange România neodmietla uzatvoriť zmluvy so zákazníkmi, ktorí odmietli dať súhlas s uchovávaním kópie ich dokladu totožnosti. Uvedený súd ďalej uvádza, že „interné postupy“ predaja v spoločnosti Orange România stanovovali, že toto odmietnutie malo byť zaznamenané v osobitnom formulári, ktorý mali títo zákazníci podpísať pred uzavretím zmluvy.
Vnútroštátnemu súdu vystala otázka, či sa za týchto okolností možno o dotknutých zákazníkoch domnievať, že platne súhlasili so získavaním ich dokladu totožnosti a s tým, aby boli jeho kópie pripojené k zmluvám. Okrem toho sa vnútroštátny súd pýta, či podpis zmluvy so zmluvnou podmienkou o uchovávaní kópií dokumentov obsahujúcich osobné údaje na účely identifikácie umožňuje preukázať existenciu takéhoto súhlasu. Za týchto okolností sa Krajský súd Bukurešť rozhodol prerušiť konanie a položiť Súdnemu dvoru EÚ nasledovné prejudiciálne otázky:
- Aké podmienky musia byť v zmysle článku 2 písm. h) [smernice 95/46][1] splnené na to, aby sa prejav vôle mohol považovať za konkrétny a informovaný?
- Aké podmienky musia byť v zmysle článku 2 písm. h) [smernice 95/46] splnené na to, aby sa prejav vôle mohol považovať za slobodne daný?
Uvedenými prejudiciálnymi otázkami sa vnútroštátny súd v podstate pýta, či sa článok 2 písm. h) a článok 7 písm. a) smernice 95/46[2], ako aj článok 4 bod 11 a článok 6 ods. 1 písm. a) nariadenia 2016/679[3], majú vykladať v tom zmysle, že zmluvou o poskytovaní telekomunikačných služieb obsahujúcou zmluvnú podmienku, podľa ktorej bola dotknutá osoba informovaná a súhlasila so získavaním, ako aj uchovávaním kópie jej dokladu totožnosti na účely identifikácie, možno preukázať, že táto osoba platne poskytla v zmysle týchto ustanovení svoj súhlas s týmto získavaním a následným uchovávaním.
Pokiaľ ide o požiadavky, ktorým takýto súhlas podlieha, článok 7 písm. a) uvedenej smernice stanovuje, že dotknutá osoba musí „poskytnúť svoj súhlas jednoznačne“, zatiaľ čo článok 2 písm. h) smernice 95/46 definuje pojem „súhlas“ ako „akýkoľvek slobodne daný, konkrétny a informovaný prejav vôle dotknutej osoby, ktorým vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka“. V rozsahu, v akom tieto ustanovenia stanovujú, že dotknutá osoba vykoná „prejav vôle“, aby „jednoznačne“ dala svoj súhlas, túto požiadavku môže spĺňať len aktívne správanie tejto osoby, ktorým sa usiluje vyjadriť svoj súhlas.[4] Tá istá požiadavka sa uplatňuje aj v rámci nariadenia 2016/679. Znenie článku 4 bodu 11 tohto nariadenia, ktorý definuje „súhlas dotknutej osoby“ najmä na účely článku 6 ods. 1 písm. a) tohto nariadenia, sa totiž javí ešte striktnejšie než podľa článku 2 písm. h) smernice 95/46, keďže vyžaduje „slobodne daný, konkrétny, informovaný a jednoznačný“ prejav vôle dotknutej osoby, ktorý formou vyhlásenia alebo „jednoznačného potvrdzujúceho úkonu“ vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka. Podľa nariadenia 2016/679 sa aktívny súhlas už výslovne stanovuje. Hoci nariadenie spresňuje, že vyjadrenie súhlasu môže byť dané najmä označením začiarkavacieho políčka pri návšteve internetovej stránky, je podľa neho výslovne vylúčené, aby sa za súhlas pokladalo „mlčanie, vopred označené políčka alebo nečinnosť“. Ďalej nariadenie spresňuje, že ak dotknutá osoba dá súhlas v rámci písomného vyhlásenia, ktoré sa týka aj iných skutočností, žiadosť o vyjadrenie súhlasu musí byť predložená tak, aby bola jasne odlíšiteľná od týchto iných skutočností.
V tejto súvislosti z údajov uvedených v prejednávanom návrhu vyplýva, že hoci dané zmluvy obsahujú ustanovenie, podľa ktorého boli dotknutí zákazníci informovaní a dali svoj súhlas s uchovávaním kópie ich dokladu totožnosti na účely identifikácie, políčko týkajúce sa tejto zmluvnej podmienky už bolo označené obchodnými zástupcami spoločnosti Orange România predtým, ako títo zákazníci pristúpili k podpisu týchto zmlúv, ktorým vyjadrili súhlas so všetkými zmluvnými podmienkami, a to tak s uvedenou podmienkou, ako aj s inými podmienkami nesúvisiacimi s ochranou údajov.
Keďže sa zdá, že podľa týchto údajov dotknutí zákazníci sami neoznačili políčko týkajúce sa uvedenej zmluvnej podmienky, samotná skutočnosť, že toto políčko bolo označené, nemôže preukázať pozitívny prejav súhlasu týchto zákazníkov s tým, aby bola kópia ich dokladu totožnosti získavaná a uchovávaná.
V každom prípade, ako vyplýva z úvah rozsudku Súdneho dvora, Orange România ako prevádzkovateľ musí preukázať, že jej zákazníci svojím aktívnym správaním vyjadrili svoj súhlas so spracúvaním svojich osobných údajov, v tom zmysle, že táto spoločnosť nemôže vyžadovať, aby svoj nesúhlas vyjadrili aktívnym odmietnutím.
Súdny dvor v predmetnej veci rozhodol tak, že článok 2 písm. h) a článok 7 písm. a) smernice 95/46, ako aj článok 4 bod 11 a článok 6 ods. 1 písm. a) nariadenia 2016/679 sa majú vykladať v tom zmysle, že prevádzkovateľ musí preukázať, že dotknutá osoba svojím aktívnym správaním vyjadrila svoj súhlas so spracúvaním jej osobných údajov a že vopred získala informáciu, ktorá sa týka všetkých okolností súvisiacich so spracúvaním údajov v zrozumiteľnej a ľahko dostupnej forme, ktorá je formulovaná jasne a jednoducho a ktorá jej umožní jednoducho určiť následky tohto súhlasu, aby sa zabezpečilo, že bude poskytnutý informovaný súhlas. Zmluvou o poskytovaní telekomunikačných služieb obsahujúcou zmluvnú podmienku, podľa ktorej bola dotknutá osoba informovaná a súhlasila so získavaním, ako aj uchovávaním kópie jej dokladu totožnosti na účely identifikácie, nemožno preukázať, že táto osoba platne poskytla svoj súhlas s týmto získavaním a následným uchovávaním v zmysle týchto ustanovení, ak
–zaškrtávacie políčko odkazujúce na túto zmluvnú podmienku bolo označené prevádzkovateľom pred podpísaním tejto zmluvy, alebo ak
– zmluvné ustanovenia tejto zmluvy môžu uviesť dotknutú osobu do omylu s ohľadom na možnosť uzavrieť dotknutú zmluvu, aj keď odmietne súhlasiť so spracúvaním jej údajov, alebo ak
–slobodná voľba namietať proti tomuto získavaniu a uchovávaniu bola nenáležite ovplyvnená týmto prevádzkovateľom tým, že vyžadoval, aby dotknutá osoba na účely odmietnutia udelenia súhlasu vyplnila dodatočný formulár, v ktorom sa zaznamenalo toto odmietnutie.
