–

Orange România SA, v zastúpení: D.‑D. Dascălu, A.‑M. Iordache a I. Buga, avocaţi,

–

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), v zastúpení: A. G. Opre a I. Ilie, splnomocnené zástupkyne,

–

rumunská vláda, v zastúpení: pôvodne E. Gane, O.‑C. Ichim, L. Liţu a C.‑R. Canţăr, neskôr E. Gane, O.‑C. Ichim, L. Liţu splnomocnení zástupcovia,

–

talianska vláda, v zastúpení: G. Palmieri, splnomocnená zástupkyňa, za právnej pomoci M. Russo, avvocato dello Stato,

–

rakúska vláda, v zastúpení: pôvodne J. Schmoll a G. Hesse, neskôr J. Schmoll splnomocnení zástupcovia,

–

portugalská vláda, v zastúpení: L. Inez Fernandes, P. Barros da Costa, L. Medeiros a I. Oliveira, splnomocnení zástupcovia,

–

Európska komisia, v zastúpení: H. Kranenborg, D. Nardi a L. Nicolae, splnomocnení zástupcovia,

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 2 písm. h) smernice Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 013/15, s. 355), ako aj článku 4 bodu 11 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1).

2

Tento návrh bol podaný v rámci sporu medzi spoločnosťou Orange România SA a Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Národný orgán dohľadu nad spracúvaním osobných údajov, Rumunsko) vo veci žaloby o zrušenie rozhodnutia, ktorým tento orgán uložil spoločnosti Orange România pokutu za získavanie a uchovávanie kópií dokladov totožnosti jej zákazníkov bez ich platného súhlasu a uložil jej povinnosť zničiť tieto kópie.

3

Odôvodnenie 38 smernice 95/46 stanovuje, že „ak má byť spracovanie údajov prípustné, musí byť osoba pracujúca s údajmi v takej pozícii, aby sa dozvedel[a] o existencii operácie spracovania a tam, kde sa od neho zbierajú údaje, musí dostať presné a úplné informácie, týkajúce sa okolnosti zberu“.

4

Článok 2 písm. h) tejto smernice uvádza, že na účely tejto smernice:

„‚súhlas osoby pracujúcej s údajmi‘ znamená slobodne poskytnutú a informovanú indikáciu jeho prianí, ktorou osoba pracujúca s údajmi prejaví svoj súhlas, aby sa osobné údaje, ktoré sa ho týkajú, spracovali [‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny a informovaný prejav vôle dotknutej osoby, ktorým vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka – neoficiálny preklad].“

5

Článok 6 uvedenej smernice stanovuje:

„1.   Členské štáty zabezpečia, že osobné údaje musia byť:

…

2.   Úlohou kontrolóra [prevádzkovateľa – neoficiálny preklad] je zaistiť, aby sa vyhovelo odseku 1.“

6

Podľa článku 7 písm. a) tej istej smernice:

„Členské štáty zabezpečia, aby bolo možné osobné údaje spracovať, iba ak:

7

Článok 10 tejto smernice znie:

„Členské štáty zabezpečia, že kontrolór [prevádzkovateľ – neoficiálny preklad] alebo jeho zástupca musí poskytnúť osobe pracujúcej s údajmi [dotknutej osobe – neoficiálny preklad], od ktorej sa údaje, ktoré sa jej týkajú, zbierajú, aspoň nasledujúce informácie, s výnimkou, ak ich tento subjekt už má:

pokiaľ sú takéto ďalšie informácie potrebné, so zreteľom na špecifické okolnosti za ktorých sa údaje zhromažďujú, zaručenie správneho [spravodlivého – neoficiálny preklad] spracovania vzhľadom na osobu pracujúcu s údajmi [dotknutú osobu – neoficiálny preklad].“

8

Odôvodnenia 32 a 42 nariadenia 2016/679 znejú takto:

…

9

Článok 4 bod 11 uvedeného nariadenia stanovuje:

„‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka“.

10

Podľa článku 5 toho istého nariadenia:

„1.   Osobné údaje musia byť:

…

2.   Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“

11

Článok 6 ods. 1 písm. a) nariadenia 2016/679 stanovuje:

„1.   Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

…“

12

Článok 7 ods. 1, 2 a 4 nariadenia 2016/679 znie takto:

„1.   Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.

2.   Ak dá dotknutá osoba súhlas v rámci písomného vyhlásenia, ktoré sa týka aj iných skutočností, žiadosť o vyjadrenie súhlasu musí byť predložená tak, aby bola jasne odlíšiteľná od týchto iných skutočností, v zrozumiteľnej a ľahko dostupnej forme a formulovaná jasne a jednoducho. Akákoľvek časť takéhoto vyhlásenia, ktorá predstavuje porušenie tohto nariadenia, nie je záväzná.

…

4.   Pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný.“

13

Článok 13 uvedeného nariadenia v odsekoch 1 a 2 stanovuje:

„1.   V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:

…

…

2.   Okrem informácií, ktoré sa uvádzajú v odseku 1, prevádzkovateľ poskytne dotknutej osobe pri získavaní osobných údajov tieto ďalšie informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania:

14

Článok 94 ods. 1 nariadenia 2016/679 znie:

„Smernica 95/46/ES sa zrušuje s účinnosťou od 25. mája 2018.“

15

Nariadenie 2016/679 sa podľa jeho článku 99 ods. 2 uplatňuje od 25. mája 2018.

16

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (zákon č. 677/2001 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov) (Monitorul Oficial al României, časť I, č. 790 z 12. decembra 2001) má za cieľ prebrať ustanovenia smernice 95/46 do vnútroštátneho práva.

17

Článok 5 ods. 1 tohto zákona stanovuje:

„1.   Akékoľvek spracúvanie osobných údajov, s výnimkou údajov patriacich do kategórií uvedených v článku 7 ods. 1 a článkoch 8 a 10, možno vykonať jedine vtedy, ak dotknutá osoba výslovne a nepochybne vyjadrila súhlas s týmto spracúvaním.

…“

18

Podľa článku 8 uvedeného zákona:

„1.   Spracúvanie číselného osobného kódu a iných osobných údajov majúcich identifikačnú úlohu so všeobecným uplatnením, možno uskutočniť iba ak:

2.   Dozorný orgán môže tiež určiť ďalšie prípady, v ktorých je možné spracovávať údaje uvedené v odseku 1 za predpokladu, že ustanoví primerané záruky na zabezpečenie dodržiavania práv dotknutých osôb.“

19

Podľa znenia článku 32 zákona č. 667/2001:

„Spracúvanie osobných údajov prevádzkovateľom alebo ním poverenou osobou v rozpore s ustanoveniami článkov 4 až 10, alebo bez náležitého ohľadu na práva uvedené v článkoch 12 až 15, alebo článku 17 je správnym deliktom, okrem prípadu, že by došlo k jeho spáchaniu za takých okolností, že by takéto konanie malo znaky trestného činu, a potrestá sa pokutou vo výške od [1000] RON do [25000] RON.“

20

Orange România poskytuje mobilné telekomunikačné služby na rumunskom trhu.

21

Rozhodnutím z 28. marca 2018 uložil ANSPDCP spoločnosti Orange România pokutu z dôvodu, že uchovávala kópie dokladov totožnosti svojich zákazníkov bez toho, aby preukázala, že títo zákazníci platne udelili svoj súhlas, a uložil jej povinnosť zničiť tieto kópie.

22

V tomto rozhodnutí ANSPDCP uviedol, že v období od 1. do 26. marca 2018 Orange România uzavrela písomne zmluvy o poskytovaní mobilných telekomunikačných služieb s fyzickými osobami, pričom k týmto zmluvám boli pripojené kópie dokladov totožnosti uvedených osôb. Podľa ANSPDCP táto spoločnosť nepredložila dôkaz, že zákazníci, s ktorými boli uzavreté zmluvy, ku ktorým boli pripojené kópie ich dokladov totožnosti, platne udelili súhlas na získavanie a uchovávanie kópií ich dokladov totožnosti.

23

Príslušná časť predmetných zmlúv znela:

„– Vyhlásenie zákazníka, že:

24

Orange România podala proti rozhodnutiu z 28. marca 2018 žalobu na Tribunalul Bucureşti (Krajský súd Bukurešť, Rumunsko).

25

Podľa zistení vnútroštátneho súdu existujú jednak zmluvy, v ktorých bolo zaškrtnuté políčko týkajúceho sa zmluvnej podmienky o uchovávaní kópií dokumentov obsahujúcich osobné údaje na účely identifikácie, a jednak zmluvy, v ktorých nebolo toto políčko zaškrtnuté. Tento súd spresňuje, že bez ohľadu na údaje uvedené vo všeobecných podmienkach Orange România neodmietla uzatvoriť účastnícke zmluvy so zákazníkmi, ktorí odmietli dať súhlas s uchovávaním kópie ich dokladu totožnosti. Uvedený súd ďalej uvádza, že „interné postupy“ predaja v spoločnosti Orange România stanovovali, že toto odmietnutie malo byť zaznamenané v osobitnom formulári, ktorý mali títo zákazníci podpísať pred uzavretím zmluvy.

26

Vnútroštátny súd sa pýta, či sa za týchto okolností možno o dotknutých zákazníkoch domnievať, že platne súhlasili so získavaním ich dokladu totožnosti a s tým, aby boli jeho kópie pripojené k zmluvám. Okrem toho sa pýta, či podpis zmluvy so zmluvnou podmienkou o uchovávaní kópií dokumentov obsahujúcich osobné údaje na účely identifikácie umožňuje preukázať existenciu takéhoto súhlasu.

27

Za týchto okolností Tribunalul Bucureşti (Krajský súd Bukurešť, Rumunsko) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

28

Na úvod treba určiť uplatniteľnosť smernice 95/46 a nariadenia 2016/679 na skutkové okolnosti, o aké ide vo veci samej.

29

S účinnosťou od 25. mája 2018 bola smernica 95/46 zrušená a nahradená nariadením 2016/679 v súlade s článkom 94 ods. 1 a článkom 99 ods. 2 tohto nariadenia.

30

Keďže rozhodnutie ANSPDCP dotknuté vo veci samej bolo prijaté 28. marca 2018, a teda pred 25. májom 2018, vnútroštátny súd sa správne domnieva, že smernica 95/46 sa uplatní ratione temporis na spor vo veci samej.

31

Zo spisu predloženého Súdnemu dvoru tiež vyplýva, že ANSPDCP svojím rozhodnutím nielen uložil spoločnosti Orange România pokutu, ale jej tiež vydal príkaz zničiť kópie dotknutých dokladov totožnosti, a že spor vo veci samej sa týka aj tohto príkazu. Keďže v spise sa nenachádza nič, čo by nasvedčovalo tomu, že uvedenému príkazu bolo vyhovené pred 25. májom 2018, nie je vylúčené, že v prejednávanej veci sa nariadenie 2016/679 uplatní ratione temporis s ohľadom na tento príkaz (pozri v tomto zmysle rozsudok z 1. októbra 2019, Planet49, C‑673/17, EU:C:2019:801, bod 41).

32

Za týchto podmienok, aby Súdny dvor mohol poskytnúť užitočné odpovede na otázky položené vnútroštátnym súdom, treba na tieto otázky odpovedať tak na základe smernice 95/46, ako aj nariadenia 2016/679 (pozri analogicky rozsudok z 1. októbra 2019, Planet49, C‑673/17, EU:C:2019:801, bod 43).

33

Svojimi dvoma prejudiciálnymi otázkami, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa článok 2 písm. h) a článok 7 písm. a) smernice 95/46, ako aj článok 4 bod 11 a článok 6 ods. 1 písm. a) nariadenia 2016/679, majú vykladať v tom zmysle, že zmluvou o poskytovaní telekomunikačných služieb obsahujúcou zmluvnú podmienku, podľa ktorej bola dotknutá osoba informovaná a súhlasila so získavaním, ako aj uchovávaním kópie jej dokladu totožnosti na účely identifikácie, možno preukázať, že táto osoba platne poskytla v zmysle týchto ustanovení svoj súhlas s týmto získavaním a následným uchovávaním.

34

V tejto súvislosti treba pripomenúť, že článok 7 smernice 95/46 a článok 6 nariadenia 2016/679 stanovujú taxatívny zoznam prípadov, v ktorých možno považovať spracúvanie osobných údajov za zákonné (pozri, pokiaľ ide o článok 7 smernice 95/46, rozsudok z 19. októbra 2016, Breyer, C‑582/14, EU:C:2016:779, bod 57 a citovanú judikatúru, ako aj z 1. októbra 2019, Planet49, C‑673/17, EU:C:2019:801, bod 53). Článok 7 písm. a) tejto smernice a článok 6 ods. 1 písm. a) uvedeného nariadenia najmä stanovujú, že súhlas dotknutej osoby môže viesť k tomu, že takéto spracúvanie bude zákonné.

35

Pokiaľ ide o požiadavky, ktorým takýto súhlas podlieha, článok 7 písm. a) uvedenej smernice stanovuje, že dotknutá osoba musí „poskyt[núť] svoj súhlas jednoznačne“, zatiaľ čo článok 2 písm. h) smernice 95/46 definuje pojem „súhlas“ ako „[akýkoľvek slobodne daný, konkrétny a informovaný prejav vôle dotknutej osoby, ktorým vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka]“. V rozsahu, v akom tieto ustanovenia stanovujú, že dotknutá osoba vykoná „prejav vôle“, aby „jednoznačne“ dala svoj súhlas, túto požiadavku môže spĺňať len aktívne správanie tejto osoby, ktorým sa usiluje vyjadriť svoj súhlas (pozri v tomto zmysle rozsudok z 1. októbra 2019, Planet49, C‑673/17, EU:C:2019:801, body 52 a 54).

36

Tá istá požiadavka sa uplatňuje aj v rámci nariadenia 2016/679. Znenie článku 4 bodu 11 tohto nariadenia, ktorý definuje „súhlas dotknutej osoby“ najmä na účely článku 6 ods. 1 písm. a) tohto nariadenia, sa totiž javí ešte striktnejšie než podľa článku 2 písm. h) smernice 95/46, keďže vyžaduje „slobodne daný, konkrétny, informovaný a jednoznačný“ prejav vôle dotknutej osoby, ktorý formou vyhlásenia alebo „jednoznačného potvrdzujúceho úkonu“ vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka. Podľa nariadenia 2016/679 sa teda už výslovne stanovuje aktívny súhlas (pozri v tomto zmysle rozsudok z 1. októbra 2019, Planet49, C‑673/17, EU:C:2019:801, body 61 až 63).

37

V tejto súvislosti hoci odôvodnenie 32 tohto nariadenia spresňuje, že vyjadrenie súhlasu môže byť dané najmä označením začiarkavacieho políčka pri návšteve internetovej stránky, je podľa neho výslovne vylúčené, aby sa za súhlas pokladalo „mlčanie, vopred označené políčka alebo nečinnosť“. Súdny dvor teda už rozhodol, že v takom prípade je prakticky nemožné objektívne určiť, či používateľ internetovej stránky skutočne dal svoj súhlas so spracúvaním svojich osobných údajov tým, že nezrušil označenie vopred označeného začiarkavacieho políčka, ako ani v žiadnom prípade to, či tento súhlas bol informovaný. Nemožno totiž vylúčiť, že uvedený používateľ nečítal informáciu nachádzajúcu sa pri vopred označenom začiarkavacom políčku, a dokonca že si ani nevšimol toto políčko pred pokračovaním v činnosti na internetovej stránke, ktorú navštívil (pozri v tomto zmysle rozsudok z 1. októbra 2019, Planet49, C‑673/17, EU:C:2019:801, body 55 a 57).

38

Okrem toho článok 2 písm. h) smernice 95/46 a článok 4 bod 11 nariadenia 2016/679 vyžadujú „konkrétny“ prejav vôle v tom zmysle, že sa musí týkať presne dotknutého spracúvania údajov a nemožno ho vyvodiť z prejavu vôle, ktorý má odlišný predmet (pozri, pokiaľ ide o článok 2 písm. h) smernice 95/46, rozsudok z 1. októbra 2019, Planet49, C‑673/17, EU:C:2019:801, bod 58).

39

V tejto súvislosti článok 7 ods. 2 prvá veta tohto nariadenia spresňuje, že ak dotknutá osoba dá súhlas v rámci písomného vyhlásenia, ktoré sa týka aj iných skutočností, žiadosť o vyjadrenie súhlasu musí byť predložená tak, aby bola jasne odlíšiteľná od týchto iných skutočností. Konkrétne z tohto posledného uvedeného ustanovenia v spojení s odôvodnením 42 uvedeného nariadenia vyplýva, že takéto vyhlásenie musí byť predložené v zrozumiteľnej a ľahko dostupnej forme a musí byť formulované jasne a jednoducho, najmä ak ide o vyjadrenie súhlasu, ktoré vopred naformuloval prevádzkovateľ spracúvania osobných údajov.

40

Pokiaľ ide o požiadavku vyplývajúcu z článku 2 písm. h) smernice 95/46 a článku 4 bodu 11 nariadenia 2016/679, podľa ktorej musí byť súhlas „informovaný“, táto požiadavka v súlade s článkom 10 tejto smernice vykladaným s prihliadnutím na jej odôvodnenie 38, ako aj článkom 13 tohto nariadenia v spojení s jeho odôvodnením 42 vyžaduje, aby prevádzkovateľ poskytol dotknutej osobe informáciu, ktorá sa týka všetkých okolností súvisiacich so spracúvaním údajov v zrozumiteľnej a ľahko dostupnej forme, ktorá je formulovaná jasne a jednoducho, pričom táto osoba musí najmä vedieť, aké údaje sa budú spracovávať, poznať identitu prevádzkovateľa, trvanie a spôsoby tohto spracúvania, ako aj si byť vedomá účelov, ktoré sleduje. Takáto informácia však musí uvedenej osobe umožniť jednoducho určiť následky súhlasu, ktorý môže poskytnúť, a zabezpečiť, že bude poskytnutý informovaný súhlas (pozri analogicky rozsudok z 1. októbra 2019, Planet49, C‑673/17, EU:C:2019:801, bod 74).

41

Okrem toho, ako uviedla Komisia vo svojich pripomienkach predložených Súdnemu dvoru, z článku 10 písm. c) druhej zarážky smernice 95/46, ako aj z článku 13 ods. 2 písm. b) a c) nariadenia 2016/679 v spojení s odôvodnením 42 tohto nariadenia vyplýva, že na to, aby sa dotknutej osobe zabezpečila skutočná slobodná voľba, zmluvné ustanovenia nesmú uviesť dotknutú osobu do omylu s ohľadom na možnosť uzavrieť zmluvu, aj keď odmietne súhlasiť so spracúvaním jej údajov. V prípade neexistencie takýchto informácií nemožno súhlas tejto osoby so spracúvaním jej osobných údajov považovať za slobodne daný, ako ani za súhlas, ktorý by bol informovaný.

42

Treba dodať, že podľa článku 6 ods. 1 písm. a) a článku 6 ods. 2 smernice 95/46, ako aj článku 5 ods. 1 písm. a) nariadenia 2016/679 je prevádzkovateľ povinný zabezpečiť, že údaje budú spracúvané zákonným spôsobom, a ako spresňuje odsek 2 tohto článku 5, zákonnosť tohto spracúvania musí vedieť aj preukázať. Presnejšie, pokiaľ ide o prípadný súhlas dotknutej osoby, článok 7 písm. a) tejto smernice stanovuje, že dotknutá osoba musí poskytnúť svoj súhlas „jednoznačne“, čo znamená, ako uviedol generálny advokát v bode 56 svojich návrhov, že dôkazné bremeno vzťahujúce sa na existenciu platného súhlasu nesie prevádzkovateľ. Článok 7 ods. 1 uvedeného nariadenia však v súčasnosti uvádza, že ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba udelila súhlas so spracúvaním osobných údajov, ktoré sa jej týka.

43

V prejednávanej veci Orange România vo svojich pripomienkach predložených Súdnemu dvoru tvrdila, že v rámci postupu uzatvárania zmlúv, o ktoré ide vo veci samej, poskytovali jej obchodní zástupcovia pred uzatvorením zmlúv dotknutým zákazníkom najmä informácie týkajúce sa získavania a uchovávania kópií dokladov totožnosti, ako aj o možnosti voľby, ktorú zákazníci majú, pokiaľ ide o toto získavanie a následné uchovávanie pred získaním ústneho súhlasu týchto zákazníkov s týmto získavaním a následným uchovávaním. Podľa spoločnosti Orange România tak bolo políčko týkajúce sa uchovávania kópií dokladov totožnosti označené len na základe súhlasu, ktorý bol v tomto zmysle slobodne daný dotknutými osobami pri uzatváraní zmluvy.

44

Za týchto podmienok má návrh na začatie prejudiciálneho konania za cieľ v podstate objasniť, či súhlas, o ktorom sa tvrdí, že bol takto daný s takýmto spracúvaním osobných údajov, možno preukázať na základe zmluvných podmienok obsiahnutých v týchto zmluvách.

45

V tejto súvislosti z údajov uvedených v prejednávanom návrhu vyplýva, že hoci dané zmluvy obsahujú ustanovenie, podľa ktorého boli dotknutí zákazníci informovaní a dali svoj súhlas s uchovávaním kópie ich dokladu totožnosti na účely identifikácie, políčko týkajúce sa tejto zmluvnej podmienky už bolo označené obchodnými zástupcami spoločnosti Orange România predtým, ako títo zákazníci pristúpili k podpisu týchto zmlúv, ktorým vyjadrili súhlas so všetkými zmluvnými podmienkami, a to tak s uvedenou podmienkou, ako aj s inými podmienkami nesúvisiacimi s ochranou údajov. V uvedenom návrhu sa ďalej uvádza, že hoci to nebolo spresnené v zmluvách, o ktoré ide vo veci samej, Orange România súhlasila s uzavretím týchto zmlúv so zákazníkmi, ktorí odmietli dať súhlas s uchovávaním kópie svojho dokladu totožnosti, pričom požadovala, aby v takom prípade títo zákazníci podpísali osobitný formulár, v ktorom sa zaznamenalo ich odmietnutie.

46

Keďže sa zdá, že podľa týchto údajov dotknutí zákazníci sami neoznačili políčko týkajúce sa uvedenej zmluvnej podmienky, samotná skutočnosť, že toto políčko bolo označené, nemôže preukázať pozitívny prejav súhlasu týchto zákazníkov s tým, aby bola kópia ich dokladu totožnosti získavaná a uchovávaná. Ako totiž uviedol generálny advokát v bode 45 svojich návrhov, okolnosť, že uvedení zákazníci podpísali zmluvy obsahujúce políčko na zaškrtnutie, neumožňuje sama osebe preukázať, že bol takýto súhlas daný, ak neexistujú údaje potvrdzujúce, že skutočne došlo k prečítaniu tejto zmluvnej podmienky a jej pochopeniu. Vnútroštátnemu súdu prislúcha, aby v tejto súvislosti vykonal na tento účel potrebné overenia.

47

Okrem toho, keďže sa nezdá, že by zmluvná podmienka s označeným políčkom týkajúca sa spracúvania týchto údajov bola predložená vo forme, ktorá by bola jasne odlíšiteľná od ostatných zmluvných podmienok, prináleží tomuto súdu posúdiť, či vzhľadom na úvahy uvedené v bode 34 tohto rozsudku možno podpísanie týchto zmlúv obsahujúcich viaceré zmluvné podmienky považovať za vyjadrenie osobitného súhlasu so získavaním a uchovávaním osobných údajov v zmysle článku 2 písm. h) smernice 95/46 a článku 4 bodu 11 nariadenia 2016/679.

48

Navyše keďže zmluvná podmienka dotknutá vo veci samej uvádza bez akejkoľvek ďalšej zmienky len to, že uchovávanie kópií dokladov totožnosti sa robí na účely identifikácie, vnútroštátnemu súdu prináleží overiť, či informovanie dotknutých osôb spĺňa požiadavky článku 10 smernice 95/46 a článku 13 nariadenia 2016/679 uvádzajúcich informácie, ktoré musí prevádzkovateľ poskytnúť osobe, od ktorej získava údaje, ktoré sa jej týkajú, aby bolo zabezpečené spravodlivé spracúvanie jej údajov.

49

Tomuto súdu tiež prináleží najmä posúdiť, či zmluvné ustanovenia, o ktoré ide vo veci samej, mohli uviesť dotknutú osobu do omylu, pokiaľ ide o možnosť uzavrieť zmluvu bez ohľadu na to, že odmietla dať súhlas so spracúvaním svojich údajov, keďže v tejto súvislosti chýbajú presnejšie informácie; toto by spochybňovalo tú skutočnosť, že súhlas vyjadrený uvedeným podpisom bol informovaný.

50

Okrem toho, ako uviedol generálny advokát v bode 60 svojich návrhov, slobodná povaha tohto súhlasu sa zdá byť spochybnená tou okolnosťou, že v prípade jeho odmietnutia sa zo strany spoločnosti Orange România vyžadovalo – pričom išlo o odchýlenie sa od jej bežného postupu smerujúceho k uzavretiu zmluvy –, aby dotknutý zákazník písomne vyhlásil, že nesúhlasí so získavaním ani s uchovávaním kópie svojho dokladu totožnosti. Ako totiž Komisia uviedla na pojednávaní, taká dodatočná požiadavka môže nenáležite ovplyvniť slobodu voľby namietať proti tomuto získavaniu a následnému uchovávaniu, čo tiež prináleží overiť vnútroštátnemu súdu.

51

V každom prípade, ako vyplýva z úvah uvedených v bodoch 35, 36 a 42 tohto rozsudku, Orange România ako prevádzkovateľ musí preukázať, že jej zákazníci svojím aktívnym správaním vyjadrili svoj súhlas so spracúvaním svojich osobných údajov, v tom zmysle, že táto spoločnosť nemôže vyžadovať, aby svoj nesúhlas vyjadrili aktívnym odmietnutím.

52

Vzhľadom na predchádzajúce úvahy treba na položené otázky odpovedať tak, že článok 2 písm. h) a článok 7 písm. a) smernice 95/46, ako aj článok 4 bod 11 a článok 6 ods. 1 písm. a) nariadenia 2016/679 sa majú vykladať v tom zmysle, že prevádzkovateľ musí preukázať, že dotknutá osoba svojím aktívnym správaním vyjadrila svoj súhlas so spracúvaním jej osobných údajov a že vopred získala informáciu, ktorá sa týka všetkých okolností súvisiacich so spracúvaním údajov v zrozumiteľnej a ľahko dostupnej forme, ktorá je formulovaná jasne a jednoducho a ktorá jej umožní jednoducho určiť následky tohto súhlasu, aby sa zabezpečilo, že bude poskytnutý informovaný súhlas. Zmluvou o poskytovaní telekomunikačných služieb obsahujúcou zmluvnú podmienku, podľa ktorej bola dotknutá osoba informovaná a súhlasila so získavaním, ako aj uchovávaním kópie jej dokladu totožnosti na účely identifikácie, nemožno preukázať, že táto osoba platne poskytla svoj súhlas s týmto získavaním a následným uchovávaním v zmysle týchto ustanovení, ak

53

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (druhá komora) rozhodol takto:

Článok 2 písm. h) a článok 7 písm. a) smernice Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov, ako aj článok 4 bod 11 a článok 6 ods. 1 písm. a) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), sa majú vykladať v tom zmysle, že prevádzkovateľ musí preukázať, že dotknutá osoba svojím aktívnym správaním vyjadrila svoj súhlas so spracúvaním jej osobných údajov a že vopred získala informáciu, ktorá sa týka všetkých okolností súvisiacich so spracúvaním údajov v zrozumiteľnej a ľahko dostupnej forme, ktorá je formulovaná jasne a jednoducho a ktorá jej umožní jednoducho určiť následky tohto súhlasu, aby sa zabezpečilo, že bude poskytnutý informovaný súhlas. Zmluvou o poskytovaní telekomunikačných služieb obsahujúcou zmluvnú podmienku, podľa ktorej bola dotknutá osoba informovaná a súhlasila so získavaním, ako aj uchovávaním kópie jej dokladu totožnosti na účely identifikácie, nemožno preukázať, že táto osoba platne poskytla svoj súhlas s týmto získavaním a následným uchovávaním v zmysle týchto ustanovení, ak