–

za Orange România SA D.‑D. Dascălu, A.-M. Iordache in I. Buga, avocaţi,

–

za Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) A. G. Opre in I. Ilie, agentki,

–

za romunsko vlado sprva E. Gane, O.-C. Ichim, L. Liţu in C.-R. Canţăr, nato E. Gane, O.-C. Ichim in L. Liţu, agenti,

–

za italijansko vlado G. Palmieri, agentka, skupaj z M. Russo, avvocato dello Stato,

–

za avstrijsko vlado sprva J. Schmoll in G. Hesse, nato J. Schmoll, agentki,

–

za portugalsko vlado L. Inez Fernandes, P. Barros da Costa, L. Medeiros in I. Oliveira, agenti,

–

za Evropsko komisijo H. Kranenborg, D. Nardi in L. Nicolae, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 2(h) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355) ter člena 4, točka 11, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1).

2

Ta predlog je bil vložen v okviru spora med družbo Orange România SA in Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (nacionalni organ za nadzor nad obdelavo osebnih podatkov, Romunija) v zvezi s tožbo za odpravo odločbe, s katero je zadnjenavedeni organ družbi Orange România naložil globo zaradi zbiranja in hrambe kopij osebnih dokumentov svojih strank brez njihove veljavne privolitve in s katero ji je naložil uničenje teh kopij.

3

V uvodni izjavi 38 Direktive 95/46 je navedeno, da „če naj bo obdelava podatkov poštena, mora imeti posameznik, na katerega se osebni podatki nanašajo, možnost seznaniti se z obstojem postopka obdelave, in kadar se podatki zbirajo pri njem, se mu morajo dati natančne in polne informacije ob upoštevanju okoliščin zbiranja“.

4

Člen 2(h) te direktive določa, da v tej direktivi:

„,privolitev posameznika, na katerega se nanašajo osebni podatki‘ pomeni vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo.“

5

Člen 6 navedene direktive določa:

„1.   Države članice določijo, da morajo biti osebni podatki:

[…]

2.   Upravljavec mora zagotoviti, da se ravna v skladu z odstavkom 1.“

6

Člen 7(a) iste direktive določa:

„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:

7

Člen 10 te direktive določa:

„Države članice določijo, da morata upravljavec ali njegov predstavnik zagotoviti posamezniku, na katerega se osebni podatki nanašajo in od katerega se podatki v zvezi z njim zbirajo, vsaj naslednje informacije, razen kadar jih že ima:

kolikor so take nadaljnje informacije potrebne, ob upoštevanju posebnih okoliščin, v katerih se podatki zbirajo, za zagotovitev poštene obdelave glede na posameznika, na katerega se osebni podatki nanašajo.“

8

V uvodnih izjavah 32 in 42 Uredbe 2016/679 je navedeno:

[…]

9

Člen 4, točka 11, navedene uredbe določa:

„,privolitev posameznika, na katerega se nanašajo osebni podatki‘ pomeni vsako prostovoljno, izrecno [posebno], informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj“.

10

Člen 5 te uredbe določa:

„1.   Osebni podatki so:

[…]

2.   Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (,odgovornost‘).“

11

Člen 6(1)(a) Uredbe 2016/679 določa:

„1.   Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

[…]“.

12

Člen 7(1), (2) in (4) Uredbe št. 2016/679 določa:

„1.   Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.

2.   Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, se zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Deli take izjave, ki predstavljajo kršitev te uredbe, niso zavezujoči.

[…]

4.   Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe.“

13

Člen 13 te uredbe v odstavkih 1 in 2 določa:

„1.   Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije:

[…]

[…]

2.   Poleg informacij iz odstavka 1 upravljavec takrat, ko pridobi osebne podatke posamezniku, na katerega se ti nanašajo, zagotovi naslednje dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave:

14

Člen 94(1) Uredbe 2016/679 določa:

„Direktiva 95/46/ES se razveljavi z učinkom od 25. maja 2018.“

15

V skladu s členom 99(2) Uredbe 2016/679 se ta uredba uporablja od 25. maja 2018.

16

Namen Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (zakon št. 677/2001 o varstvu oseb pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov) (Monitorul Oficial al României, del I, št. 790 z dne 12. decembra 2001) je prenos določb Direktive 95/46 v nacionalno pravo.

17

Člen 5(1) tega zakona določa:

„1.   Vsaka obdelava osebnih podatkov, razen če se nanaša na podatke iz kategorij, navedenih v členu 7(1) ter v členih 8 in 10, se lahko opravi le, če je posameznik, na katerega se nanašajo osebni podatki, v to izrecno in nedvoumno privolil.

[…]“.

18

Člen 8 navedenega zakona določa:

„1.   Obdelava osebne matične številke ali drugih osebnih podatkov, ki imajo identifikacijsko funkcijo za splošno rabo, se lahko izvaja le, če:

2.   Nadzorni organ lahko določi tudi druge primere, v katerih je mogoče izvajati obdelavo podatkov iz odstavka 1, če določi ustrezne zaščitne ukrepe za zagotovitev spoštovanja pravic posameznikov, na katere se nanašajo osebni podatki.“

19

Člen 32 zakona 677/2001 določa:

„Če upravljavec ali oseba, ki jo je ta zadolžil, obdela osebne podatke tako, da krši določbe členov od 4 do 10, ali tako, da ne upošteva pravic, določenih s členi od 12 do 15 ali členom 17, gre za prekršek, če ta ni storjen v takšnih okoliščinah, da gre za kaznivo dejanje, in se kaznuje z denarno kaznijo od [1000] (RON) do [25.000] RON.“

20

Družba Orange România je ponudnica mobilnih telekomunikacijskih storitev na romunskem trgu.

21

ANSPDCP je z odločbo z dne 28. marca 2018 družbi Orange România naložil globo zaradi hrambe kopij osebnih dokumentov svojih strank brez dokaza, da so te stranke v to veljavno privolile, hkrati pa ji je naložila, naj te kopije uniči.

22

ANSPDCP je v tej odločbi navedel, da je družba Orange România v obdobju od 1. do 26. marca 2018 s fizičnimi osebami pisno sklepala pogodbe o zagotavljanju mobilnih telekomunikacijskih storitev in da so kopije osebnih dokumentov teh oseb priložene tem pogodbam. Po mnenju ANSPDCP ni dokaza, da so njene stranke, k pogodbam katerih so bile priložene kopije njihovih osebnih dokumentov, veljavno privolile v zbiranje in hrambo kopij njihovih osebnih dokumentov.

23

Upoštevne določbe zadevnih pogodb se glasijo:

„Stranka v izjavi navaja, da:

24

Družba Orange România je zoper odločbo z dne 28. marca 2018 vložila tožbo pri Tribunalul Bucureşti (okrožno sodišče v Bukarešti, Romunija).

25

V skladu z ugotovitvami predložitvenega sodišča na eni strani obstajajo pogodbe, v katerih je bil križec vključen v polje v zvezi z določbo o hrambi kopij dokumentov, ki vsebujejo osebne podatke za identifikacijo, in na drugi strani pogodbe, v katerih takega križca ni. To sodišče pojasnjuje, da družba Orange România kljub navedbam, vsebovanim v njenih splošnih pogojih poslovanja, ni odklonila sklenitve pogodb o naročniških razmerjih s strankami, ki niso privolile v hrambo kopije enega od svojih osebnih dokumentov. Navedeno sodišče navaja tudi, da je bilo v „notranjih postopkih“ prodaje družbe Orange România določeno, da mora biti ta zavrnitev dokumentirana s posebnim obrazcem, ki ga morajo te stranke podpisati pred sklenitvijo pogodbe.

26

Predložitveno sodišče se sprašuje, ali je v teh okoliščinah za zadevne stranke mogoče šteti, da so veljavno privolile v pridobitev njihovega osebnega dokumenta in v to, da se kopija tega dokumenta priloži pogodbam. Poleg tega se sprašuje, ali je mogoče s podpisom pogodbe, v kateri je določba o hrambi kopij dokumentov, ki vsebujejo osebne podatke za identifikacijo, dokazati obstoj take privolitve.

27

V teh okoliščinah je Tribunalul București (okrožno sodišče v Bukarešti) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji:

28

Najprej je treba preučiti možnost uporabe Direktive 95/46 in Uredbe 2016/679 za dejansko stanje iz postopka v glavni stvari.

29

Direktiva 95/46 je bila z učinkom od 25. maja 2018 razveljavljena in nadomeščena z Uredbo 2016/679, in sicer na podlagi člena 94(1) in člena 99(2) te uredbe.

30

Ker je bila odločba ANSPDCP iz postopka v glavni stvari sprejeta 28. marca 2018, torej pred 25. majem 2018, predložitveno sodišče zato pravilno meni, da se Direktiva 95/46 ratione temporis uporablja za spor o glavni stvari.

31

Ob tem je iz spisa, predloženega Sodišču, razvidno tudi, da ANSPDCP s svojo odločbo družbi Orange România ni naložil le globe, temveč tudi, naj uniči zadevne kopije osebnih dokumentov, in da se spor o glavni stvari nanaša tudi na zadnjenavedeno odredbo. Ker pa iz nobenega elementa tega spisa ni razvidno, da bi bilo navedeni odredbi ugodeno pred 25. majem 2018, ni izključeno, da se v obravnavanem primeru v zvezi s to odredbo ratione temporis uporabi Uredba 2016/679 (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 41).

32

Da bi Sodišče lahko podalo koristne odgovore na vprašanji, ki ju je postavilo predložitveno sodišče, je treba v teh okoliščinah na ti vprašanji odgovoriti tako na podlagi Direktive 95/46 kot tudi Uredbe 2016/679 (glej po analogiji sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 43).

33

Predložitveno sodišče z vprašanjema za predhodno odločanje, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 2(h) in člen 7(a) Direktive 95/46 ter člen 4, točka 11, in člen 6(1)(a) Uredbe 2016/679 razlagati tako, da je s pogodbo o zagotavljanju telekomunikacijskih storitev, ki vsebuje določbo, v skladu s katero je bil posameznik, na katerega se nanašajo osebni podatki, obveščen o pridobitvi in hrambi kopije njegovega osebnega dokumenta za identifikacijo ter v skladu s katero je v to privolil, mogoče dokazati, da je ta posameznik v smislu teh določb veljavno privolil v to pridobitev in hrambo.

34

V zvezi s tem je treba opozoriti, da člen 7 Direktive 95/46 in člen 6 Uredbe 2016/679 določata izčrpen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita (glej v zvezi s členom 7 Direktive 95/46 sodbo z dne 19. oktobra 2016, Breyer, C‑582/14, EU:C:2016:779, točka 57 in navedena sodna praksa, ter z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 53). Natančneje, člen 7(a) te direktive in člen 6(1)(a) navedene uredbe določata, da lahko taka obdelava s privolitvijo posameznika, na katerega se nanašajo osebni podatki, postane zakonita.

35

V zvezi z zahtevami, ki veljajo za tako privolitev, člen 7(a) navedene direktive določa, da mora posameznik, na katerega se nanašajo osebni podatki, „nedvoumno privoliti“, medtem ko člen 2(h) Direktive 95/46 pojem „privolitev“ opredeljuje kot „vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo“. Ker iz teh določb izhaja, da posameznik, na katerega se nanašajo osebni podatki, poda „izjavo volje“, da bi „nedvoumno“ privolil, se lahko upošteva le aktivno ravnanje tega posameznika, katerega namen je izjava njegove privolitve (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točki 52 in 54).

36

Ista zahteva velja tudi v okviru Uredbe 2016/679. Besedilo člena 4, točka 11, te uredbe, v katerem je „privolitev posameznika, na katerega se nanašajo osebni podatki“, med drugim opredeljena za namene njenega člena 6(1)(a), je namreč očitno še strožje od besedila člena 2(h) Direktive 95/46, ker se z njim zahteva „prostovoljna, posebna, informirana in nedvoumna“ izjava volje posameznika, na katerega se nanašajo osebni podatki, v obliki izjave ali „jasnega pritrdilnega dejanja“, ki izraža njegovo soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. Tako je odslej z Uredbo 2016/679 izrecno določena aktivna privolitev (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točke od 61 do 63).

37

V zvezi s tem je v uvodni izjavi 32 te uredbe pojasnjeno, da se privolitev sicer lahko med drugim poda z označitvijo okenca ob obisku spletnega mesta, vendar je v njej izrecno izključeno, da bi do privolitve prišlo z „molkom, vnaprej označenimi okenci ali nedejavnostjo“. Kot je Sodišče že presodilo, je v takem primeru očitno praktično nemogoče objektivno ugotoviti, ali je uporabnik spletnega mesta svojo privolitev v obdelavo svojih osebnih podatkov dejansko podal s tem, da ni odznačil vnaprej označenega polja, kot tudi nikakor, ali je bila ta privolitev podana informirano. Ni namreč mogoče izključiti, da navedeni uporabnik pred nadaljevanjem svoje dejavnosti na obiskanem spletnem mestu ni prebral informacije poleg vnaprej označenega potrditvenega polja ali celo, da tega potrditvenega polja ni opazil (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točki 55 in 57).

38

Poleg tega člen 2(h) Direktive 95/46 in člen 4, točka 11, Uredbe 2016/679 zahtevata „posebno“ izjavo volje v smislu, da se mora nanašati prav na obdelavo zadevnih podatkov in je ni mogoče izpeljati iz izjave volje, ki ima drug cilj (glej v zvezi s členom 2(h) Direktive 95/46 sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 58).

39

V zvezi s tem člen 7(2), prvi stavek, te uredbe natančneje določa, da se zahteva za privolitev, če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, predloži na način, ki se jasno razlikuje od drugih zadev. Natančneje, iz zadnjenavedene določbe v povezavi z uvodno izjavo 42 navedene uredbe izhaja, da mora biti taka izjava v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, zlasti kadar gre za izjavo o privolitvi, ki jo vnaprej pripravi upravljavec obdelave osebnih podatkov.

40

Zahteva iz člena 2(h) Direktive 95/46 in člena 4, točka 11, Uredbe 2016/679, v skladu s katero mora biti privolitev med drugim „informirana“ oziroma „ozaveščena“, pa v skladu s členom 10 te direktive v povezavi z njeno uvodno izjavo 38 ter členom 13 te uredbe v povezavi z njeno uvodno izjavo 42 zajema, da upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotovi obvestitev v zvezi z vsemi okoliščinami obdelave podatkov v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, saj mora biti ta posameznik med drugim seznanjen z vrsto podatkov, ki se obdelujejo, istovetnostjo upravljavca, trajanjem in načinom te obdelave ter nameni, ki se s tem dosegajo. Takšna obvestitev mora navedenemu posamezniku omogočiti, da z lahkoto ugotovi posledice morebitne dane privolitve, in zagotoviti, da je ta privolitev dana ob popolni seznanjenosti z dejstvi (glej v tem smislu sodbo z dne 1. oktobra 2019, Planet49, C‑673/17, EU:C:2019:801, točka 74).

41

Kot je Komisija navedla v stališčih, ki jih je predložila Sodišču, poleg tega iz člena 10(c), druga alinea, Direktive 95/46 ter člena 13(2)(b) in (c) Uredbe 2016/679 v povezavi z njeno uvodno izjavo 42 izhaja, da za to, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovi resnična svoboda izbire, pogodbene določbe posameznika, na katerega se nanašajo osebni podatki, ne smejo zavesti glede možnosti sklenitve pogodbe, tudi če zavrne privolitev v obdelavo svojih podatkov. Ob neobstoju takih informacij ni mogoče šteti, da je bila privolitev tega posameznika v obdelavo svojih osebnih podatkov dana prostovoljno, kot tudi ne, da je bila dana informirano in ozaveščeno.

42

Dodati je treba, da mora upravljavec obdelave osebnih podatkov na podlagi člena 6(1)(a) in (2) Direktive 95/46 ter člena 5(1)(a) Uredbe 2016/679 med drugim zagotoviti zakonitost obdelave teh podatkov in da mora biti, kot je natančneje določeno v odstavku 2 tega člena 5, zmožen to zakonitost dokazati. Natančneje v zvezi z morebitno privolitvijo posameznika, na katerega se nanašajo osebni podatki, člen 7(a) te direktive določa, da mora posameznik, na katerega se nanašajo osebni podatki, „nedvoumno“ privoliti, kar pomeni, kot je generalni pravobranilec navedel v točki 56 sklepnih predlogov, da dokazno breme glede obstoja veljavne privolitve nosi upravljavec. Člen 7(1) navedene uredbe odslej določa, da mora biti, kadar obdelava temelji na privolitvi, ta upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.

43

V obravnavanem primeru je družba Orange România v stališčih, ki jih je predložila Sodišču, trdila, da so njeni prodajni zastopniki med postopkom sklepanja pogodb iz postopka v glavni stvari zadevne stranke pred sklenitvijo pogodb med drugim obvestili o namenu zbiranja in hrambe kopij osebnih dokumentov ter o izbiri, ki naj bi jo imele stranke v zvezi s tem zbiranjem in hrambo, preden so ustno pridobili privolitev teh strank v to zbiranje in hrambo. Po mnenju družbe Orange România je bilo polje v zvezi s hrambo kopij osebnih dokumentov označeno samo na podlagi soglasja, ki so ga zadevne osebe v tem smislu prostovoljno izrazile ob sklenitvi pogodbe.

44

V teh okoliščinah se želi s predlogom za sprejetje predhodne odločbe v bistvu razjasniti, ali je mogoče tako zatrjevano privolitev v tako obdelavo osebnih podatkov dokazati s pogodbenimi določili iz teh pogodb.

45

V zvezi s tem je iz navedb v tem predlogu razvidno, da navedene pogodbe sicer vsebujejo določbo, v skladu s katero so bile zadevne stranke obveščene o pridobitvi in hrambi kopije njihovega osebnega dokumenta za identifikacijo ter v skladu s katero so v to privolile, vendar so prodajni zastopniki družbe Orange România polje v zvezi s to določbo že označili pred podpisom teh strank, ki pomeni sprejetje vseh pogodbenih določb, to je tako navedene določbe kot tudi preostalih določb, ki se ne nanašajo na varstvo podatkov. V tem predlogu je navedeno tudi, da je družba Orange România, ne da bi bilo to pojasnjeno v pogodbah iz postopka v glavni stvari, soglašala tudi s sklenitvijo teh pogodb s strankami, ki ne privolijo v hrambo kopije njihovega osebnega dokumenta, pri čemer je zahtevala, da te stranke v tem primeru podpišejo poseben obrazec, ki potrjuje njihovo zavrnitev.

46

Ker pa se v skladu s temi navedbami ne zdi, da bi zadevne stranke same označile polje v zvezi z navedeno določbo, zgolj s tem, da je bilo to polje označeno, ni mogoče dokazati pozitivnega izraza privolitve teh strank, da se kopija njihove osebne izkaznice pridobi in hrani. Kot je namreč generalni pravobranilec navedel v točki 45 sklepnih predlogov, zgolj z okoliščino, da so navedene stranke podpisale pogodbe, ki vsebujejo označeno polje, ob neobstoju indicev, ki bi potrjevali, da je bila ta določba dejansko prebrana in vključena, take privolitve ni mogoče dokazati. Predložitveno sodišče mora v zvezi s tem opraviti potrebna preverjanja.

47

Ker se ne zdi, da bi bila označena določba v zvezi z obdelavo teh podatkov predložena na način, ki jo jasno razlikuje od preostalih pogodbenih določb, mora poleg tega preučiti, ali je ob upoštevanju preudarkov iz točke 34 te sodbe podpis teh pogodb, ki se nanaša na večino pogodbenih pogojev, mogoče šteti za izjavo posebne privolitve v zbiranje in hrambo osebnih podatkov v smislu člena 2(h) Direktive 95/46 in člena 4, točka 11, Uredbe 2016/679.

48

Ker je poleg tega v pogodbeni določbi iz postopka v glavni stvari brez vsakršne nadaljnje navedbe opredeljeno le, da je namen hrambe kopij osebnih izkaznic identifikacija, mora predložitveno sodišče preveriti, ali so z obveščanjem posameznikov, na katere se nanašajo osebni podatki, izpolnjene zahteve iz člena 10 Direktive 95/46 in člena 13 Uredbe 2016/679, ki določata informacije, ki jih mora upravljavec zagotoviti posamezniku, od katerega zbira podatke, ki se nanašajo nanj, da se v zvezi z njim zagotovi poštena obdelava podatkov.

49

To sodišče mora med drugim oceniti tudi, ali bi lahko pogodbene določbe iz postopka v glavni stvari posameznika, na katerega se nanašajo osebni podatki, zavedle glede možnosti sklenitve pogodbe ne glede na zavrnitev privolitve v obdelavo svojih podatkov, če v zvezi s tem ne obstaja pojasnilo, s čimer je ogrožena ozaveščenost in informiranost privolitve, ki je izražena z navedenim podpisom.

50

Kot je generalni pravobranilec navedel v točki 60 sklepnih predlogov, je poleg tega prostovoljnost te privolitve očitno ogrožena zaradi okoliščine, da je družba Orange România z odstopanjem od navadnega postopka, ki vodi do sklenitve pogodbe, zahtevala, da zadevna stranka pisno izjavi, da ne privoli niti v pridobitev niti v hrambo kopije njenega osebnega dokumenta. Kot je namreč Komisija navedla na obravnavi, lahko taka dodatna zahteva neupravičeno vpliva na svobodno izbiro, da se tej pridobitvi in tej hrambi nasprotuje, kar mora prav tako preveriti predložitveno sodišče.

51

Vsekakor mora družba Orange România kot upravljavec obdelave podatkov, kot to izhaja iz preudarkov v točkah 35, 36 in 42 te sodbe, dokazati, da so njene stranke z aktivnim ravnanjem izjavile privolitev v obdelavo svojih osebnih podatkov, tako da ta družba ne more zahtevati, da aktivno izjavijo svojo zavrnitev.

52

Glede na zgoraj navedene preudarke je treba na postavljeni vprašanji odgovoriti, da je treba člen 2(h) in člen 7(a) Direktive 95/46 ter člen 4, točka 11, in člen 6(1)(a) Uredbe 2016/679 razlagati tako, da mora upravljavec obdelave podatkov dokazati, da je posameznik, na katerega se nanašajo osebni podatki, z aktivnim ravnanjem izjavil privolitev v obdelavo svojih osebnih podatkov, in da je bil ta posameznik predhodno obveščen o vseh okoliščinah te obdelave v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, s čimer mu je bilo omogočeno, da z lahkoto ugotovi posledice te privolitve, tako da je zagotovljeno, da je ta privolitev dana ob popolni seznanjenosti z dejstvi. S pogodbo o zagotavljanju telekomunikacijskih storitev, ki vsebuje določbo, v skladu s katero je bil posameznik, na katerega se nanašajo osebni podatki, obveščen o pridobitvi in hrambi kopije njegovega osebnega dokumenta za identifikacijo ter v skladu s katero je v to privolil, ni mogoče dokazati, da je ta posameznik v smislu teh določb veljavno privolil v to pridobitev in hrambo, če

53

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (drugi senat) razsodilo:

Člen 2(h) in člen 7(a) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter člen 4, točka 11, in člen 6(1)(a) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) je treba razlagati tako, da mora upravljavec obdelave podatkov dokazati, da je posameznik, na katerega se nanašajo osebni podatki, z aktivnim ravnanjem izjavil privolitev v obdelavo svojih osebnih podatkov in da je bil ta posameznik predhodno obveščen o vseh okoliščinah te obdelave v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, s čimer mu je bilo omogočeno, da z lahkoto ugotovi posledice te privolitve, tako da je zagotovljeno, da je ta privolitev dana ob popolni seznanjenosti z dejstvi. S pogodbo o zagotavljanju telekomunikacijskih storitev, ki vsebuje določbo, v skladu s katero je bil posameznik, na katerega se nanašajo osebni podatki, obveščen o pridobitvi in hrambi kopije njegovega osebnega dokumenta za identifikacijo ter v skladu s katero je v to privolil, ni mogoče dokazati, da je ta posameznik v smislu teh določb veljavno privolil v to pridobitev in hrambo, če