EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 62019CJ0061
Judgment of the Court (Second Chamber) of 11 November 2020.#Orange Romania SA v Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).#Request for a preliminary ruling from the Tribunalul Bucureşti.#Reference for a preliminary ruling – Directive 95/46/EC – Article 2(h) and Article 7(a) – Regulation (EU) 2016/679 – Article 4(11) and Article 6(1)(a) – Processing of personal data and protection of private life 20220737 – Collection and storage of the copies of identity documents by a provider of mobile telecommunications services – Concept of the data subject’s ‘consent’ – Freely given, specific and informed indication of wishes – Declaration of consent by means of a tick box – Signing of the contract by the data subject – Burden of proof.#Case C-61/19.
Arrest van het Hof (Tweede kamer) van 11 november 2020.
Orange Romania SA tegen Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
Verzoek van de Tribunal Bucureşti om een prejudiciële beslissing.
Prejudiciële verwijzing – Richtlijn 95/46/EG – Artikel 2, onder h), en artikel 7, onder a) – Verordening (EU) 2016/679 – Artikel 4, punt 11, en artikel 6, lid 1, onder a) – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer – Verzamelen en bewaren van kopieën van identiteitsbewijzen door een aanbieder van mobieletelecommunicatiediensten – Begrip ‚toestemming’ van de betrokkene – Vrije, specifieke en op informatie berustende wilsuiting – Verlenen van toestemming door een vakje aan te vinken – Ondertekening van de overeenkomst door de betrokkene – Bewijslast.
Zaak C-61/19.
Arrest van het Hof (Tweede kamer) van 11 november 2020.
Orange Romania SA tegen Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
Verzoek van de Tribunal Bucureşti om een prejudiciële beslissing.
Prejudiciële verwijzing – Richtlijn 95/46/EG – Artikel 2, onder h), en artikel 7, onder a) – Verordening (EU) 2016/679 – Artikel 4, punt 11, en artikel 6, lid 1, onder a) – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer – Verzamelen en bewaren van kopieën van identiteitsbewijzen door een aanbieder van mobieletelecommunicatiediensten – Begrip ‚toestemming’ van de betrokkene – Vrije, specifieke en op informatie berustende wilsuiting – Verlenen van toestemming door een vakje aan te vinken – Ondertekening van de overeenkomst door de betrokkene – Bewijslast.
Zaak C-61/19.
ECLI identifier: ECLI:EU:C:2020:901
*A9* Tribunalul Bucureşti, Încheiere din 14/11/2018 (12278/3/2018)
ARREST VAN HET HOF (Tweede kamer)
11 november 2020 ( *1 )
„Prejudiciële verwijzing – Richtlijn 95/46/EG – Artikel 2, onder h), en artikel 7, onder a) – Verordening (EU) 2016/679 – Artikel 4, punt 11, en artikel 6, lid 1, onder a) – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer – Verzamelen en bewaren van kopieën van identiteitsbewijzen door een aanbieder van mobieletelecommunicatiediensten – Begrip ‚toestemming’ van de betrokkene – Vrije, specifieke en op informatie berustende wilsuiting – Verlenen van toestemming door een vakje aan te vinken – Ondertekening van de overeenkomst door de betrokkene – Bewijslast”
In zaak C‑61/19,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Tribunal Bucureşti (rechter in eerste aanleg Boekarest, Roemenië) bij beslissing van 14 november 2018, ingekomen bij het Hof op 29 januari 2019, in de procedure
Orange România SA
tegen
Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),
wijst
HET HOF (Tweede kamer),
samengesteld als volgt: A. Arabadjiev, kamerpresident, T. von Danwitz (rapporteur) en P. G. Xuereb, rechters,
advocaat-generaal: M. Szpunar,
griffier: D. Dittert, hoofd van een administratieve eenheid,
gezien de stukken en na de terechtzitting op 11 december 2019,
gelet op de opmerkingen van:
– |
Orange România SA, vertegenwoordigd door D.-D Dascălu, A.‑M. Iordache en I. Buga, avocaţi, |
– |
de Autoritate Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), vertegenwoordigd door A. G. Opre en I. Ilie als gemachtigden, |
– |
de Roemeense regering, aanvankelijk vertegenwoordigd door E. Gane, O.‑C. Ichim, L. Liţu en C.‑R. Canţăr, vervolgens door E. Gane, O.‑C. Ichim, L. Liţu als gemachtigden, |
– |
de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door M. Russo, avvocato dello Stato, |
– |
de Oostenrijkse regering, aanvankelijk vertegenwoordigd door J. Schmoll en G. Hesse, vervolgens door J. Schmoll als gemachtigden, |
– |
de Portugese regering, vertegenwoordigd door L. Inez Fernandes, P. Barros da Costa, L. Medeiros en I. Oliveira als gemachtigden, |
– |
de Europese Commissie, vertegenwoordigd door H. Kranenborg, D. Nardi en L. Nicolae als gemachtigden, |
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 4 maart 2020,
het navolgende
Arrest
1 |
Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 2, onder h), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), en van artikel 4, punt 11, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1). |
2 |
Dit verzoek is ingediend in het kader van een geding tussen Orange România SA en de Autoritate Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (nationale toezichthoudende autoriteit voor de verwerking van persoonsgegevens, Roemenië) inzake een beroep tot nietigverklaring van een besluit waarbij de ANSPDCP Orange România een geldboete heeft opgelegd wegens het verzamelen en bewaren van kopieën van de identiteitsbewijzen van haar klanten zonder geldige toestemming van die klanten, en haar heeft gelast deze kopieën te vernietigen. |
Toepasselijke bepalingen
Unierecht
Richtlijn 95/46
3 |
In overweging 38 van richtlijn 95/46 staat te lezen dat „eerlijke verwerking van gegevens veronderstelt dat de betrokkenen van het bestaan van de verwerkingen op de hoogte kunnen zijn en, wanneer van hen gegevens worden verkregen, daadwerkelijk en volledig worden ingelicht over de omstandigheden waaronder deze gegevens worden verkregen”. |
4 |
Artikel 2, onder h), van die richtlijn bepaalt dat daarin wordt verstaan onder: „‚toestemming van de betrokkene’: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt.” |
5 |
Artikel 6 van deze richtlijn bepaalt: „1. De lidstaten bepalen dat de persoonsgegevens:
[…] 2. Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.” |
6 |
Artikel 7, onder a), van voornoemde richtlijn luidt: „De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:
|
7 |
Artikel 10 van die richtlijn is aldus verwoord: „De lidstaten bepalen dat de voor de verwerking verantwoordelijke of diens vertegenwoordiger aan de betrokkene, bij wie de betrokkene zelf betreffende gegevens worden verkregen, ten minste de hierna volgende informatie moet verstrekken, behalve indien de betrokkene daarvan reeds op de hoogte is:
voor zover die, met inachtneming van de specifieke omstandigheden waaronder de verdere informatie verkregen wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.” |
Verordening 2016/679
8 |
De overwegingen 32 en 42 van verordening nr. 2016/679 luiden als volgt:
[…]
|
9 |
Artikel 4, punt 11, van die verordening luidt: „‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt;”. |
10 |
Artikel 5 van deze verordening bepaalt: „1. Persoonsgegevens moeten:
[…] 2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).” |
11 |
Artikel 6, lid 1, onder a), van verordening 2016/679 luidt: „1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
[…]” |
12 |
Artikel 7, leden 1, 2 en 4, van verordening 2016/679 is aldus verwoord: „1. Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. 2. Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. Wanneer een gedeelte van een dergelijke verklaring een inbreuk vormt op deze verordening, is dit gedeelte niet bindend. […] 4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.” |
13 |
Artikel 13, leden 1 en 2, van deze verordening bepaalt: „1. Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
[…]
[…] 2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:
[…]” |
14 |
Artikel 94, lid 1, van verordening nr. 2016/679 luidt als volgt: „Richtlijn [95/46] wordt met ingang van 25 mei 2018 ingetrokken.” |
15 |
Krachtens artikel 99, lid 2, van verordening 2016/679 is deze verordening met ingang van 25 mei 2018 van toepassing. |
Roemeens recht
16 |
Lege nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (wet nr. 677/2001 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens) (Monitorul Oficial al României, deel I, nr. 790 van 12 december 2001) strekt tot omzetting van de bepalingen van richtlijn 95/46 in nationale wetgeving. |
17 |
Artikel 5, lid 1, van die wet bepaalt: „1) Verwerking van persoonsgegevens kan alleen plaatsvinden als de betrokken persoon zijn uitdrukkelijke en ondubbelzinnige toestemming voor deze verwerking heeft gegeven, tenzij het gaat om gegevens die behoren tot de in artikel 7, lid 1, en de artikelen 8 en 10 genoemde categorieën. […]” |
18 |
Artikel 8 van deze wet luidt: „1) De verwerking van het persoonlijke identificatienummer of van andere persoonsgegevens die in het algemeen ter identificatie dienen, mag slechts geschieden indien:
2) De toezichthoudende autoriteit kan andere gevallen vaststellen waarin verwerking van de in lid 1 bedoelde gegevens kan geschieden, mits de eerbiediging van de rechten van de betrokken personen adequaat wordt gewaarborgd.” |
19 |
Artikel 32 van wet nr. 677/2001 is aldus verwoord: „De verwerking van persoonsgegevens door een voor de verwerking verantwoordelijke of door een door hem gemachtigde persoon, die verricht wordt in strijd met de artikelen 4 tot en met 10 of zonder inachtneming van de in de artikelen 12 tot en met 15 en artikel 17 neergelegde rechten, vormt een bestuursrechtelijke overtreding, voor zover zij niet heeft plaatsgevonden in omstandigheden die een strafbaar feit opleveren, en wordt bestraft met een geldboete van [1000 RON] tot [25000 RON].” |
Hoofdgeding en prejudiciële vragen
20 |
Orange România levert mobieletelecommunicatiediensten op de Roemeense markt. |
21 |
Bij besluit van 28 maart 2018 heeft de ANSPDCP Orange România een geldboete opgelegd omdat zij kopieën van de identiteitsbewijzen van haar klanten had bewaard terwijl zij niet kon aantonen dat deze klanten op geldige wijze hun toestemming hadden gegeven, en haar gelast die kopieën te vernietigen. |
22 |
In dat besluit heeft de ANSPDCP opgemerkt dat Orange România in de periode van 1 tot en met 26 maart 2018 schriftelijke overeenkomsten voor het aanbieden van mobieletelecommunicatiediensten had gesloten met natuurlijke personen en dat bij die overeenkomsten kopieën van de identiteitsbewijzen van deze personen waren gevoegd. Volgens de ANSPDCP heeft Orange România niet bewezen dat haar klanten, bij wier overeenkomsten kopieën van hun identiteitsbewijs waren gevoegd, op geldige wijze hun toestemming hadden gegeven voor het verzamelen en bewaren van die kopieën. |
23 |
De relevante bedingen van de betrokken overeenkomsten luidden als volgt: „– De klant verklaart dat:
|
24 |
Orange România heeft tegen het besluit van 28 maart 2018 beroep ingesteld bij de Tribunal Bucureşti (rechter in eerste aanleg Boekarest, Roemenië). |
25 |
Volgens de vaststellingen van de verwijzende rechter is sprake van zowel overeenkomsten waarin het vakje voor het beding betreffende het bewaren van kopieën van documenten met persoonsgegevens voor identificatiedoeleinden is aangevinkt, als overeenkomsten waarin dat vakje niet is aangevinkt. Deze rechter preciseert dat Orange România, ondanks de aanwijzingen in haar algemene voorwaarden, niet heeft geweigerd om abonnementsovereenkomsten te sluiten met klanten die geen toestemming geven voor het bewaren van de kopie van hun identiteitsbewijs. Voornoemde rechter merkt verder op dat de „interne verkoopprocedures” van Orange România bepaalden dat deze weigering moest worden vastgelegd op een speciaal formulier, dat deze klanten vóór de sluiting van de overeenkomst dienden te ondertekenen. |
26 |
De verwijzende rechter vraagt zich af of in die omstandigheden de betrokken klanten kunnen worden geacht op geldige wijze ermee te hebben ingestemd dat hun identiteitsbewijs zou worden ingezameld en dat een kopie daarvan bij de overeenkomsten zouden worden gevoegd. Voorts vraagt hij zich af of de ondertekening van een overeenkomst die het beding betreffende het bewaren van kopieën van documenten met persoonsgegevens voor identificatiedoeleinden bevat, het bestaan van een dergelijke toestemming kan aantonen. |
27 |
Tegen deze achtergrond heeft de Tribunal Bucureşti de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
|
Beantwoording van de prejudiciële vragen
28 |
Om te beginnen moet worden vastgesteld of richtlijn 95/46 en verordening 2016/679 toepasselijk zijn op de feiten in het hoofdgeding. |
29 |
Met ingang van 25 mei 2018 is richtlijn 95/46 ingetrokken en vervangen door verordening 2016/679, krachtens artikel 94, lid 1, en artikel 99, lid 2, van die verordening. |
30 |
Aangezien het in het hoofdgeding aan de orde zijnde besluit van de ANSPDCP is vastgesteld op 28 maart 2018 en dus vóór 25 mei 2018, is de verwijzende rechter terecht van oordeel dat richtlijn 95/46 ratione temporis van toepassing is op het hoofdgeding. |
31 |
Uit het aan het Hof overgelegde dossier blijkt ook dat de ANSPDCP met haar besluit Orange România niet alleen een geldboete heeft opgelegd maar ook heeft gelast de kopieën van de betrokken identiteitsbewijzen te vernietigen, en dat het hoofdgeding ook betrekking heeft op dit laatste bevel. Aangezien niets in dit dossier erop wijst dat vóór 25 mei 2018 gevolg is gegeven aan dit bevel, is het niet uitgesloten dat in casu verordening 2016/679 ratione temporis van toepassing is wat dat bevel betreft (zie in die zin arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 41). |
32 |
Om het Hof in staat te stellen een bruikbaar antwoord te geven op de vragen van de verwijzende rechter, moeten deze vragen dus worden beantwoord op basis van zowel richtlijn 95/46 als verordening 2016/679 (zie naar analogie arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 43). |
33 |
Met zijn twee prejudiciële vragen, die gezamenlijk dienen te worden onderzocht, wenst de verwijzende rechter in essentie te vernemen of artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46 alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679 aldus moeten worden uitgelegd dat een overeenkomst inzake de verstrekking van telecommunicatiediensten die een clausule bevat volgens welke de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en bewaren van een kopie van zijn identiteitsbewijs, kan aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven – in de zin van die bepalingen – voor dat verzamelen en dat bewaren. |
34 |
In dit verband dient in herinnering te worden gebracht dat artikel 7 van richtlijn 95/46 en artikel 6 van verordening 2016/679 een uitputtende lijst bevatten van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt (zie met betrekking tot artikel 7 van richtlijn 95/46, arresten van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 57 en aldaar aangehaalde rechtspraak, en 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 53). In het bijzonder bepalen artikel 7, onder a), van deze richtlijn en artikel 6, lid 1, onder a), van die verordening dat een dergelijke verwerking rechtmatig is indien de betrokkene zijn toestemming heeft gegeven. |
35 |
Wat betreft de vereisten waaraan een dergelijke toestemming is onderworpen, bepaalt artikel 7, onder a), van richtlijn 95/46 dat de betrokkene „zijn ondubbelzinnige toestemming” moet hebben gegeven, en definieert artikel 2, onder h), van deze richtlijn de term „toestemming” als „elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”. Aangezien deze bepalingen bepalen dat de betrokkene een „wilsuiting” doet teneinde zijn „ondubbelzinnige” toestemming te geven, kan alleen een actieve gedraging van die persoon waarmee hij zijn toestemming kenbaar maakt in aanmerking worden genomen (zie in die zin arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punten 52 en 54). |
36 |
Dit vereiste geldt ook in het kader van verordening 2016/679. De bewoordingen van artikel 4, punt 11, van deze verordening, dat voor onder meer artikel 6, lid 1, onder a), ervan een definitie geeft van de „toestemming van de betrokkene”, lijken immers nog strikter dan die van artikel 2, onder h), van richtlijn 95/46, aangezien voor die toestemming een „vrije, specifieke, geïnformeerde en ondubbelzinnige” wilsuiting van de betrokkene is vereist, in de vorm van een verklaring of „een ondubbelzinnige actieve handeling” die erop duidt dat hij de verwerking van hem betreffende persoonsgegevens aanvaardt. In verordening 2016/679 wordt dus uitdrukkelijk actieve toestemming voorgeschreven (zie in die zin arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punten 61‑63). |
37 |
In dit verband preciseert overweging 32 van die verordening weliswaar dat toestemming onder meer kan worden uitgedrukt door bij het bezoeken van een website een vakje aan te klikken, maar mag volgens deze overweging „[s]tilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit” niet als toestemming gelden. Zoals het Hof reeds heeft geoordeeld, lijkt het in een dergelijk geval praktisch onmogelijk om objectief vast te stellen of de gebruiker van een website door een standaard aangevinkt vakje niet uit te vinken, inderdaad toestemming heeft gegeven om zijn persoonsgegevens te verwerken en in ieder geval of deze toestemming op informatie berust. Het kan immers niet worden uitgesloten dat deze gebruiker de informatie bij het standaard aangevinkte vakje niet heeft gelezen of dat hij dit vakje niet eens heeft opgemerkt voor hij zijn activiteiten op de bezochte website voortzette (zie in die zin arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punten 55 en 57). |
38 |
Voorts moet een wilsuiting volgens artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679 „specifiek” zijn, in die zin dat deze precies op de verwerking van de betrokken gegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft (zie met betrekking tot artikel 2, onder h), van richtlijn 95/46, arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 58). |
39 |
In dit verband specificeert artikel 7, lid 2, eerste volzin, van deze verordening dat, wanneer de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, het verzoek om toestemming zodanig wordt gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. In het bijzonder volgt uit deze laatste bepaling, gelezen in samenhang met overweging 42 van die verordening, dat een dergelijke verklaring in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal moet worden opgesteld, met name wanneer het gaat om een verklaring van toestemming die de voor de verwerking van persoonsgegevens verantwoordelijke vooraf opstelt. |
40 |
Het uit artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679 voortvloeiende vereiste dat de toestemming „op informatie berust” of „geïnformeerd” moet zijn, houdt overeenkomstig artikel 10 van deze richtlijn, gelezen in het licht van overweging 38 ervan, en artikel 13 van deze verordening, gelezen in het licht van overweging 42 ervan, in dat de verwerkingsverantwoordelijke de betrokkene informatie verstrekt over alle omstandigheden waarin de verwerking van persoonsgegevens plaatsvindt, in een begrijpelijke en gemakkelijk toegankelijke vorm en geformuleerd in duidelijke en eenvoudige taal, waarbij die betrokkene met name in kennis moet worden gesteld van het soort gegevens dat zal worden verwerkt, de identiteit van de verwerkingsverantwoordelijke, hoe lang en op welke wijze deze verwerking zal plaatsvinden alsmede de specifieke doeleinden ervan. Dergelijke informatie moet de betrokkene in staat stellen om gemakkelijk de gevolgen te bepalen van de door hem eventueel te verlenen toestemming, en waarborgen dat hij deze toestemming met kennis van zaken verleent (zie naar analogie arrest van 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punt 74). |
41 |
Zoals de Commissie in haar bij het Hof ingediende opmerkingen heeft aangegeven, volgt bovendien uit artikel 10, onder c), tweede streepje, van richtlijn 95/46 en uit artikel 13, lid 2, onder b) en c), van verordening 2016/679, gelezen in het licht van overweging 42 ervan, dat, om te waarborgen dat de betrokkene een echte vrije keuze heeft, de contractuele bedingen de betrokkene niet mogen misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de verwerking van zijn gegevens. Bij gebreke van dergelijke informatie kan de toestemming van die betrokkene voor de verwerking van zijn persoonsgegevens niet worden geacht vrij te zijn gegeven, noch daarnaast op informatie te hebben berust of geïnformeerd te zijn. |
42 |
Hieraan dient te worden toegevoegd dat krachtens artikel 6, lid 1, onder a), en lid 2, van richtlijn 95/46 en artikel 5, lid 1, onder a), van verordening 2016/679 de voor de verwerking van persoonsgegevens verantwoordelijke er met name zorg voor draagt dat de verwerking van die gegevens rechtmatig is en, zoals verduidelijkt in artikel 5, lid 2, van die verordening, deze rechtmatigheid moet kunnen aantonen. Wat meer in het bijzonder de eventuele toestemming van de betrokkene betreft, bepaalt artikel 7, onder a), van die richtlijn dat de betrokkene zijn „ondubbelzinnige” toestemming moet hebben gegeven, hetgeen impliceert dat, zoals de advocaat-generaal in punt 56 van zijn conclusie heeft uiteengezet, de bewijslast voor het feit dat de betrokkene op geldige wijze toestemming heeft gegeven op de verwerkingsverantwoordelijke rust. Artikel 7, lid 1, van verordening 2016/679 bepaalt thans dat wanneer de verwerking berust op toestemming, de verwerkingsverantwoordelijke moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. |
43 |
In casu heeft Orange România in haar bij het Hof ingediende opmerkingen aangevoerd dat haar verkopers, tijdens de procedure voor de sluiting van de in het hoofdgeding aan de orde zijnde overeenkomsten, de betrokken klanten vóór de sluiting van de overeenkomsten hebben geïnformeerd, met name over de doeleinden van het verzamelen en bewaren van kopieën van identiteitsbewijzen en over de keuze waarover die klanten met betrekking tot die verzameling en bewaring beschikken, alvorens van deze klanten mondeling toestemming te verkrijgen voor deze verzameling en bewaring. Volgens Orange România was het vakje betreffende de bewaring van kopieën van identiteitsbewijzen aldus uitsluitend aangevinkt op basis van de vrijwillige instemming daarmee van de betrokkenen bij het sluiten van de overeenkomst. |
44 |
In die omstandigheden strekt het verzoek om een prejudiciële beslissing er in essentie toe om te verduidelijken of de aldus ingeroepen toestemming voor een dergelijke verwerking van persoonsgegevens kan worden aangetoond op basis van de bedingen in die overeenkomsten. |
45 |
In dit verband blijkt uit de aanwijzingen in dat verzoek dat voornoemde overeenkomsten weliswaar een beding bevatten volgens hetwelk de betrokken klanten zijn geïnformeerd over en toestemming hebben gegeven voor het bewaren van een kopie van hun identiteitsbewijs voor identificatiedoeleinden, maar dat de verkopers van Orange România het vakje betreffende dat beding reeds hadden aangevinkt voordat deze klanten door hun handtekening te plaatsen alle contractuele bedingen, te weten zowel dat beding als andere bedingen die geen verband houden met gegevensbescherming, accepteerden. Voorts wordt in dat verzoek aangegeven dat, zonder dat dit in de in het hoofdgeding aan de orde zijnde overeenkomsten werd vermeld, Orange România ermee instemde om die overeenkomsten te sluiten met klanten die weigerden toestemming te geven voor het bewaren van een kopie van hun identiteitsbewijs, maar wel verlangde dat die klanten in dat geval een specifiek formulier zouden ondertekenen dat blijk gaf van hun weigering. |
46 |
Aangezien – volgens deze aanwijzingen – de betrokken klanten het vakje betreffende dat beding niet zelf lijken te hebben aangevinkt, kan niet op grond van het enkele feit dat dit vakje is aangevinkt, worden aangetoond dat deze klanten ermee hebben ingestemd dat een kopie van hun identiteitskaart zou worden verzameld en bewaard. Zoals de advocaat-generaal in punt 45 van zijn conclusie heeft opgemerkt, kan niet op basis van de enkele omstandigheid dat die klanten de overeenkomsten met het aangevinkte vakje hebben ondertekend, worden aangetoond dat een dergelijke toestemming is gegeven wanneer geen sprake is van aanwijzingen die bevestigen dat dit beding daadwerkelijk is gelezen en begrepen. Het staat aan de verwijzende rechter om de daartoe vereiste controles te verrichten. |
47 |
Aangezien het aangevinkte beding betreffende de verwerking van deze gegevens niet zodanig blijkt te zijn gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere contractuele bedingen, staat het voorts aan de verwijzende rechter om te beoordelen of, rekening houdend met de overwegingen in punt 34 van het onderhavige arrest, met de ondertekening van deze overeenkomsten – die ziet op een verscheidenheid aan contractuele bedingen – specifieke toestemming wordt gegeven voor het verzamelen en bewaren van persoonsgegevens in de zin van artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679. |
48 |
Aangezien het in het hoofdgeding aan de orde zijnde contractuele beding enkel aangeeft dat de kopieën van identiteitskaarten worden bewaard voor identificatiedoeleinden, zonder enige andere vermelding, staat het daarenboven aan de verwijzende rechter om na te gaan of de aan de betrokkenen verstrekte informatie voldoet aan de vereisten van artikel 10 van richtlijn 95/46 en artikel 13 van verordening 2016/679, die vermelden welke informatie de verwerkingsverantwoordelijke moet verstrekken aan de persoon bij wie hij gegevens betreffende die persoon verzamelt, om te waarborgen dat diens gegevens eerlijk worden verwerkt. |
49 |
Deze rechter dient ook met name na te gaan of, bij gebreke van verduidelijking op dit punt, de in het hoofdgeding aan de orde zijnde contractuele bedingen de betrokkene konden misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de verwerking van zijn gegevens, waardoor ter discussie kan worden gesteld of de door voornoemde ondertekening tot uitdrukking gebrachte toestemming geïnformeerd was en op informatie berustte. |
50 |
Zoals de advocaat-generaal in punt 60 van zijn conclusie heeft opgemerkt, wordt de vrije aard van die toestemming bovendien in twijfel getrokken door het feit dat Orange România, ingeval geen toestemming werd gegeven, afweek van de normale procedure voor het sluiten van de overeenkomst, door te eisen dat de betrokken klant schriftelijk verklaart niet in te stemmen met het verzamelen en het bewaren van de kopie van zijn identiteitsbewijs. Zoals de Commissie ter terechtzitting heeft opgemerkt, kan een dergelijk aanvullend vereiste immers onnodig afbreuk doen aan de vrije keuze om zich tegen deze verzameling en bewaring te verzetten, hetgeen de verwijzende rechter eveneens dient na te gaan. |
51 |
Zoals volgt uit de overwegingen in de punten 35, 36 en 42 van het onderhavige arrest, staat het hoe dan ook aan Orange România, als verantwoordelijke voor de verwerking van de gegevens, om aan te tonen dat haar klanten met een actieve gedraging blijk hebben gegeven van hun toestemming voor de verwerking van hun persoonsgegevens, wat betekent dat Orange România niet kan eisen dat zij actief blijk geven van hun weigering. |
52 |
Gelet op voorgaande overwegingen moet op de gestelde vragen worden geantwoord dat artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46 alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679 aldus moeten worden uitgelegd dat het aan de voor de gegevensverwerking verantwoordelijke staat om aan te tonen dat de betrokkene met een actieve gedraging blijk heeft gegeven van zijn toestemming voor de verwerking van zijn persoonsgegevens, en dat die betrokkene vooraf geïnformeerd is over alle omstandigheden rond deze verwerking, in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal, zodat hij gemakkelijk kan bepalen welke gevolgen die toestemming heeft en wordt gewaarborgd dat de toestemming met kennis van zaken wordt verleend. Een overeenkomst inzake de verstrekking van telecommunicatiediensten die een beding bevat volgens hetwelk de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en het bewaren van een kopie van zijn identiteitsbewijs voor identificatiedoeleinden, kan niet aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven – in de zin van die bepalingen – voor dat verzamelen en dat bewaren, wanneer
|
Kosten
53 |
Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking. |
Het Hof (Tweede kamer) verklaart voor recht: |
Artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moeten aldus worden uitgelegd dat het aan de voor de gegevensverwerking verantwoordelijke staat om aan te tonen dat de betrokkene met een actieve gedraging blijk heeft gegeven van zijn toestemming voor de verwerking van zijn persoonsgegevens, en dat die betrokkene vooraf geïnformeerd is over alle omstandigheden rond deze verwerking, in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal, zodat hij gemakkelijk kan bepalen welke gevolgen die toestemming heeft en wordt gewaarborgd dat de toestemming met kennis van zaken wordt verleend. Een overeenkomst inzake de verstrekking van telecommunicatiediensten die een beding bevat volgens hetwelk de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en het bewaren van een kopie van zijn identiteitsbewijs voor identificatiedoeleinden, kan niet aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven – in de zin van die bepalingen – voor dat verzamelen en dat bewaren, wanneer |
|
ondertekeningen |
( *1 ) Procestaal: Roemeens.