1. 

Förevarande begäran om förhandsavgörande från Tribunalul Bucureşti (Regiondomstolen, Bukarest, Rumänien) har sin grund i en tvist mellan en leverantör av telekommunikationstjänster och en nationell dataskyddsmyndighet beträffande den förstnämndes skyldigheter i samband med avtalsförhandlingar med en kund avseende kopiering och lagring av en identitetshandling.

2. 

Den bereder domstolen tillfälle att ytterligare klarlägga begreppet ”samtycke” av den registrerade vilket är ett centralt drag i unionens dataskyddslagstiftning som ytterst grundas på den grundläggande rätten till dataskydd. I detta sammanhang ska domstolen också behandla frågan om vem som har bevisbördan för att samtycke lämnats av den registrerade.

3.

I artikel 2 h) i direktiv 95/46/EG ( 2 ) anges att i detta direktiv avses med ”den registrerades samtycke: varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom.”

4.

Kapitel II i detta direktiv innehåller allmänna bestämmelser om när personuppgifter får behandlas.

5.

Artikel 6 i samma direktiv om ”principer om uppgifternas kvalitet” ( 3 ) har följande lydelse:

”1.   Medlemsstaterna skall föreskriva att personuppgifter

…

2.   Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”

6.

Artikel 7 i direktiv 95/46 behandlar ”principer som gör att uppgiftsbehandling kan tillåtas”. ( 4 ) Denna bestämmelse anger följande:

”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om

…”

7.

I artikel 4.11 i förordning (EU) 2016/679 ( 5 ) anges att i denna förordning avses med ”samtycke av den registrerade varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne”.

8.

Artikel 6.1 a) och b) i denna förordning har följande lydelse:

”Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

9.

Artikel 7.1 i samma förordning anger att ”om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter.”

10.

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (lag nr 677/2001 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, nedan kallad lag nr 677/2001) ( 6 ) anger att den införlivar bestämmelserna i direktiv 95/46 med nationell rätt.

11.

Artikel 32 i den lagen har följande lydelse:

”Behandling av personuppgifter av en registeransvarig eller av en person på dennes uppdrag i strid med bestämmelserna i artiklarna 4 till 10 eller utan vederbörligt beaktande av rättigheterna i artiklarna 12 till 15 eller artikel 17 utgör en administrativ förseelse, såvida den inte utförts under sådana omständigheter att den utgör en brottslig handling och ska bestraffas med böter om mellan 10000000 gamla lei [1000 rumänska lei (RON)] och 250000000 gamla lei [25000 RON].”

12.

Orange România SA är leverantör av telekommunikationstjänster på den rumänska marknaden och erbjuder tjänster både enligt PrePay-modellen ( 7 ) och enligt ingånget avtal om tjänster. ( 8 )

13.

Den 28 mars 2018 utfärdade Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Nationella myndigheten för tillsyn av behandling av personuppgifter, Rumänien, nedan kallad ANSPDCP) en rapport på grund av artikel 32 i lag nr 677/2001 jämförd med artikel 8 i den lagen i vilken Orange România påfördes administrativa böter på den grunden att kopior hade tagits och behållits av dess kunders identitetshandlingar utan deras uttryckliga samtycke.

14.

I detta avseende konstaterade ANSPDCP att Orange România hade ingått pappersbaserade avtal om tillhandahållande av mobila telekommunikationstjänster med enskilda kunder i sina affärslokaler och att kopior av deras identitetshandlingar bilagts dessa avtal. Dessa avtal innehöll bland annat ett påstående att kunden hade informerats om och samtyckt till (Orange Românias) insamling och lagring av dessa kopior och att kundens samtycke hade bekräftats genom ikryssande av rutor i de skriftliga avtalshandingarna.

15.

Det relevanta avsnittet i avtalen i fråga har följande lydelse:

”Kunden intygar att

16.

Enligt ANSPDCP har Orange România inte förmått visa att kunderna gjorde ett välgrundat val beträffande insamling och lagring av kopior av deras identitetshandlingar.

17.

Orange România har angripit bötesbeslutet av den 28 mars 2018 vid den hänskjutande domstolen.

18.

Den hänskjutande domstolen konstaterar att det finns avtal i vilka kundens fritt uttalade val beträffande lagring av en kopia av dennes identitetshandling består i införandet av ett kryss i en ruta men även motsatta fall i vilka kunderna har vägrat att uttala sådant godkännande. Det förefaller framgå av Orange Românias ”interna rutiner” för försäljning att Orange România i sistnämnt fall införde erforderliga upplysningar om kundens vägran att låta det behålla en kopia av identitetshandlingen genom ifyllande av ett specifikt formulär i det syftet och sedan ingick avtalet. Trots vad som anges i Orange Românias allmänna användarvillkor vägrade således inte Orange România att ingå abonnemangsavtal med kunderna även när dessa vägrade att samtycka till att kopia av deras identitetshandling behölls.

19.

Den hänskjutande domstolen anser att det under dessa omständigheter är av särskild vikt att domstolen prövar villkoren för huruvida ett samtycke är ”särskilt” och ”informerat” och, om lämpligt, bevisvärdet av undertecknandet av sådana avtal som är i fråga i det nationella målet.

20.

Det är under dessa omständigheter som Tribunalul Bucureşti (Regiondomstolen, Bukarest) genom beslut av den 14 november 2018, som inkom till domstolen den 29 januari 2019, har ställt följande frågor för förhandsavgörande:

21.

Skriftliga yttranden har getts in av parterna i förfarandet, de rumänska, italienska, österrikiska och portugisiska regeringarna och Europeiska kommissionen. Orange România, den rumänska regeringen och Europeiska kommissionen företräddes vid förhandlingen som ägde rum den 11 december 2019.

22.

I förevarande mål ombeds domstolen att ange villkoren för när ett samtycke till behandling av personliga uppgifter kan anses vara giltigt.

23.

Förordning 2016/679, som har varit tillämplig sedan den 25 maj 2018, ( 9 ) upphävde direktiv 95/46 med verkan från och med samma dag. ( 10 )

24.

ANSPDCP:s beslut som är i fråga i det nationella målet antogs den 28 mars 2018, som i tiden ligger före den dag från vilken förordning 2016/679 är tillämplig. Men ANSPDCP påförde inte endast Orange România böter utan förpliktade det också att förstöra kopiorna av identitetshandlingarna i fråga. Tvisten i det nationella målet avser också detta sistnämnda föreläggande. Detta föreläggande har verkan för framtiden varför den förordningen förefaller vara tillämplig i tidshänseende (ratione temporis).

25.

Följden härav är att tolkningsfrågorna ska besvaras med beaktande av både direktiv 95/46 och förordning 2016/679. ( 11 ) Dessutom behöver den förordningen beaktas vid bedömningen av bestämmelserna i direktiv 95/46. ( 12 )

26.

De två frågor som den hänskjutande domstolen ställt är alltför allmänt och teoretiskt utformade och behöver anpassas något så att de passar omständigheterna i det nationella målet för att kunna ge den hänskjutande domstolen vägledning och ge ett användbart svar på frågorna. För att kunna göra detta anser jag att det är väsentligt att i korthet redogöra för omständigheterna i det nationella målet som de framgår av den hänskjutande domstolens begäran och de uppgifter som lämnats av parterna i målet, främst vid den muntliga förhandlingen vid domstolen.

27.

Den nationella dataskyddsmyndigheten i Rumänien, ANSPDCP, påförde Orange România sanktioner för att ha samlat in och behållit kopior av identitetshandlingar tillhöriga dess kunder utan deras samtycke. Denna myndighet fann att bolaget hade ingått avtal för tillhandahållande av mobila telekommunikationstjänster och att kopior av identitetshandlingar bilades dessa avtal. Dessa avtal påstås ha föreskrivit att kunderna hade informerats och hade samtyckt till insamling och lagring av dessa kopior vilket framgick av att rutor ikryssats i avtalsbestämmelserna. Enligt ANSPDCP har emellertid inte Orange România visat att de berörda kunderna vid tiden för avtalens ingående kunde göra ett välgrundat val beträffande insamling och lagring av dessa kopior.

28.

När den som avser ingå ett avtal med Orange România får upplysningar av en företrädare för detta bolag om villkoren i ett visst avtal utgår företrädaren, vanligtvis med användning av en dator, från en avtalsmall som innehåller en ruta för ifyllande avseende behållande av en identitetshandling. Det verkar som om kunden upplyses om att denna ruta inte behöver fyllas i. Om kunden inte godtar att hans identitetshandling fotokopieras och behålls måste han dokumentera detta på avtalet för hand. Detta sistnämnda krav på handskrift förefaller ha uppkommit i Orange Românias interna försäljningsrutiner. Kunden upplyses vidare om att han kan vägra, men endast muntligen och inte skriftligen.

29.

Mot denna bakgrund uppfattar jag att den hänskjutande domstolen med sina två frågor, som bör prövas tillsammans, begär klarläggande av huruvida en person, som avser ingå ett avtal om tillhandahållande av telekommunikationstjänster med ett företag, lämnar sitt ”särskilda”, ”informerade” och ”frivilliga” samtycke i den mening som avses i artikel 2 h i direktiv 95/46 och artikel 4.11 i förordning nr 2016/679 till detta företag när denna person behöver för hand på ett i övrigt standardiserat avtal ange att han vägrar samtycka till att hans identitetshandlingar fotokopieras och behålls.

30.

I detta sammanhang förefaller den hänskjutande domstolen vara i behov av ett klarläggande avseende bevisbörda och beviskrav för detta företag.

31.

Detta mål rör behandling av personuppgifter vid ingående av ett avtal om tillhandahållande av telekommunikationstjänster.

32.

All behandling av personuppgifter ska vara förenlig ( 13 ) för det första med principerna för uppgifternas kvalitet som anges i artikel 6 i direktiv 95/46 eller i artikel 5 i förordning 2016/679 och för det andra med ett av kriterierna för när uppgiftsbehandling kan tillåtas som anges i artikel 7 i det direktivet eller i artikel 6 i den förordningen. ( 14 ) Som kommissionen framhållit är de sex kriterier som anges i artikel 7 i direktiv 95/46 faktiskt uttryck för en vidare princip som fastställs i artikel 6.1 a i detta direktiv som föreskriver att personuppgifter ska behandlas på ett korrekt och lagligt sätt.

33.

Artikel 7 i direktiv 95/46 innehåller en uttömmande förteckning över de fall i vilka behandling av personuppgifter kan tillåtas. ( 15 ) Behandling av personuppgifter kan endast ske om minst ett av de sex kriterierna för när behandling av personuppgifter kan tillåtas är tillämpligt. Förekomsten av den registrerades otvetydiga samtycke är ett av dessa kriterier.

34.

Den registrerades samtycke definieras i sin tur i artikel 2 h i direktiv 95/46 som varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom.

35.

Denna ordalydelse motsvarar i stort sett ( 16 ) den som återges i artikel 4.11 i förordning 2016/679 enligt vilken samtycke av den registrerade betyder varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. ( 17 )

36.

Kravet på samtycke är en grundläggande aspekt i unionens dataskyddslagstiftning. ( 18 ) Det återfinns i Europeiska unionens stadga om de grundläggande rättigheterna i vilken det i artikel 8 föreskrivs att uppgifter ska behandlas lagenligt för bestämda ändamål på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Sett i ett större sammanhang innebär begreppet samtycke att den registrerade som berörs själv kan avgöra lagenligheten av inskränkningar i hans rätt till skydd för personuppgifter. ( 19 )

37.

Den grundläggande princip som ligger till grund för unionens dataskyddslagstiftning är en självständig enskild person som kan fatta beslut om användning och behandling av sina uppgifter. ( 20 ) Det är kravet på samtycke som gör det möjligt för honom att fatta detta beslut och som samtidigt skyddar honom i situationer som till sin natur är mycket osymmetriska. ( 21 ) Endast när samtycket är frivilligt, särskilt och informerat klarar det testet i direktiv 95/46 och förordning 2016/679.

38.

Ytterligare tre korta synpunkter ska framföras på detta stadium avseende den tydliga skillnaden i dessa bestämmelsers ordalydelse.

39.

För det första hänvisar artikel 4.11 i förordning 2016/679 till skillnad från artikel 2 h i direktiv 95/46 till en ”otvetydig” viljeyttring. Jag påstår att orsaken till detta är ganska enkel: artikel 7 a i detta direktiv beträffande kriterierna för att tillåta databehandling som redan nämnts ovan kräver att den registrerade ”otvetydigt” ska lämna sitt samtycke medan den motsvarande bestämmelsen i förordning 2016/679 – artikel 6.1 a – inte anger detta. Med andra ord har kriteriet avseende otvetydig viljeyttring endast flyttats till den mer generella bestämmelsen i förordning 2016/679.

40.

För det andra anger artikel 4.11 i förordning 2016/679 att den registrerade ska agera ”genom ett uttalande eller genom en entydig bekräftande handling”. Detta klarläggande är nytt för förordningen och återfinns inte semantiskt i direktiv 95/46.

41.

För det tredje, vad beträffar den ”informerade” karaktären hos den registrerades samtycke, skiljer sig de franska språkversionerna av direktiv 95/46 och förordning 2016/679 från varandra. Medan artikel 2 h i det direktivet hänvisar till en ”manifestation de volonté … informé” talar artikel 4.11 i den förordningen om en ”manifestation de volonté … eclairée”.

42.

Jag påstår att denna ändring i ordalydelsen förbryllar mer än den klarlägger då såvitt jag kan se den franska versionen är den enda eller i vart fall en av ett fåtal språkversioner som gör denna åtskillnad. Ett antal språkversioner, bland dem för övrigt de andra romanska språken, använder endast samma ord i detta sammanhang ( 22 ) medan andra språkversioner kan skilja sig åt på denna punkt men saknar den skillnad som finns i den franska språkversionen. ( 23 )

43.

Jag kommer att återkomma till begreppet ”informerat” samtycke nedan.

44.

Kravet på den registrerades ”viljeyttring” pekar tydligt på ett aktivt snarare än passivt beteende ( 24 ) och innebär att de registrerade har en hög grad av självständighet när de fattar beslut om de ska ge sitt samtycke eller inte. ( 25 ) Med avseende på det specifika fallet med en pristävling online på en webbplats har domstolen fastställt att ett samtycke som lämnas genom en på förhand ikryssad ruta innebär inte något aktivt beteende från webbplatsanvändarens sida. ( 26 )

45.

Det är min ståndpunkt att en sådan bedömning är lika giltig i den analoga världen: samtycke som lämnas genom en på förhand ikryssad ruta innebär inte något aktivt beteende från den persons sida som ställs inför ett fysiskt dokument som han till sist undertecknar. I en sådan situation är det omöjligt att veta om den på förhand formulerade texten har lästs och förståtts. Denna situation är inte otvetydig. Texten kan ha lästs eller också inte. ”Läsaren” kan ha låtit bli att läsa den av ren försummelse vilket gör att det inte är möjligt att tydligt fastställa huruvida samtycket är frivilligt. ( 27 )

46.

Det får inte föreligga något som helst utrymmer för någon tvekan om att den registrerade inte var tillräckligt informerad. ( 28 )

47.

Den registrerade ska vara informerad om alla omständigheter kring uppgiftsbehandlingen och dess följder. I synnerhet ska han känna till vilka uppgifter som ska behandlas, varaktigheten av denna behandling och sättet därför och dess specifika syfte. Han ska också känna till vem som behandlar uppgifterna och huruvida uppgifterna avses bli överförda till tredje personer. Det är av avgörande betydelse att han informeras om följderna av att vägra samtycke: är samtycke till uppgiftsbehandling ett villkor för ingående av avtalet eller inte?

48.

Därmed återstår frågan på vem det ankommer att visa att den registrerade var i en sådan situation som gjorde det möjligt att lämna sitt samtycke enligt de nu beskrivna kriterierna. ( 29 )

49.

Artikel 7.1 i förordning 2016/679 är tydlig och lämnar inget utrymmer för tvekan: om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter. ( 30 ). Denna bestämmelse utgör en specificering av principen om ansvarsskyldighet som fastställs i artikel 5.2 i förordning 2016/679. Jag vill göra gällande att denna bestämmelses syfte kräver en vid tolkning på det sättet att den personuppgiftsansvarige inte endast ska styrka att den registrerade har lämnat sitt samtycke utan även att samtliga villkor för dess giltighet har uppfyllts. ( 31 )

50.

Vissa författare ställer sig tveksamma till att artikel 7.1 i förordning 2016/679 avser bevisbördan med hänvisning till denna förordnings förarbeten. ( 32 ) Det görs gällande att samtidigt som både kommissionen och parlamentet föreslog en ordalydelse som uttryckligen innehöll orden ”bevisbörda” återfinns inte dessa i den antagna texten och därför inte i den gällande lagstiftningen.

51.

Denna ståndpunkt förtjänar en närmare bedömning.

52.

Det ursprungliga kommissionsförslaget ( 33 ) hänvisar faktiskt till ”bevisbördan” som den registeransvarige ska bära. På samma sätt berörde inte parlamentet vid den första behandlingen ( 34 ) denna formulering. Det var rådet ( 35 ) som ersatte ordet ”bevisbörda” med orden att den personuppgiftsansvarige ”ska kunna visa”. Den slutliga texten antogs sedan med denna formulering.

53.

Jag vill inte fästa alltför stor vikt vid denna ändring i ordalydelsen. ( 36 ) Rådet motiverar inte i skälen i sin ståndpunkt den föreslagna ändringen i ordalydelsen. ( 37 ) Detta tyder på att denna institution endast avsåg att ändra ordalydelsen av den aktuella bestämmelsen utan att ändra dess innebörd. Mot denna bakgrund beskriver orden ”ska kunna visa” faktiskt på ett mer lättillgängligt sätt vad som menas med ”bevisbörda”. ( 38 )

54.

Vi kan därför tryggt utgå från att artikel 7.1 i förordning 2016/679 lägger bevisbördan för den registrerades samtycke till behandling av personuppgifter på den personuppgiftsansvarige. ( 39 ) Tveksamhet angående huruvida den registrerade lämnat sitt samtycke ska undanröjas genom bevisning som ska läggas fram av den personuppgiftsansvarige. ( 40 ) Bevisbördan för att den registrerade försatts i en situation som gjort det möjligt för honom att lämna frivilligt, specifikt och informerat samtycke ligger helt och hållet hos den enhet som genomför behandlingen.

55.

Rättsläget enligt direktiv 95/46 är inte annorlunda i detta avseende.

56.

Även om direktiv 95/46 inte innehöll en särskild bestämmelse jämförbar med artikel 7 i förordning 2016/679 beträffande villkoren för samtycke, kan det konstateras att de flesta villkor som anges i nyss nämnda artikel också fanns i direktiv 95/46. Bevisbörderegeln anges visserligen inte uttryckligen i det direktivet, men det följer åtminstone indirekt av dess formulering ( 41 ) att ”den registrerade otvetydigt har lämnat sitt samtycke”. ( 42 )

57.

Jag vill nu tillämpa dessa kriterier på detta mål.

58.

Som en inledande kommentar vill jag anföra att frågan huruvida Orange România kan begära att dess kunder samtycker till att deras identitetshandlingar kopieras och lagras ligger utanför ramen för detta mål mot bakgrund av att för detta företag är detta inte en förutsättning för ingåendet av avtalet. Förevarande mål rör med andra ord inte tolkningen av artikel 7 b i direktiv 95/46 och artikel 6.1 b i förordning 2016/679. Men det förefaller mig vara legitimt för ett företag att be kunderna att tillhandahålla vissa personuppgifter och i synnerhet styrka sin identitet i syfte att ingå ett avtal. En begäran att kunden samtycker till kopiering och lagring av identitetshandlingar förefaller emellertid gå längre än vad som krävs för genomförande av avtalet.

59.

På grundval av tillgängliga uppgifter förefaller det mig som att Orange Românias kunder inte ger sitt frivilliga, särskilda och informerade samtycke under de omständigheter som beskrivs av den hänskjutande domstolen.

60.

För det första föreligger inget frivilligt lämnat samtycke. Kravet att en kund ska för hand skriftligen ange att han inte samtycker till kopiering och lagring av sina identitetshandlingar möjliggör inte ett frivilligt lämnat samtycke i den meningen att kunden försätts i en situation i vilken han till synes avviker från ett ordinärt förfarande som leder till ingåendet av ett avtal. Kunder ska inte i detta sammanhang känna att deras vägran att samtycka till kopiering och lagring av deras identitetshandlingar inte är i linje med ett ordinärt förfarande. Jag vill erinra om i detta avseende att domstolen har understrukit betydelsen av ett aktivt beteende från den registrerades sida för att visa sitt samtycke. ( 43 ) Ett positivt handlande av den registrerade krävs därför för att lämna samtycke. Men i förevarande mål förefaller den motsatta situationen föreligga: ett positivt handlande krävs för att vägra samtycke. Med hänvisning än en gång till domen i målet Planet49 ( 44 ), om avmarkering av en på förhand ikryssad ruta på en webbplats anses vara en alltför tung börda för en kund kan en kund av ännu starkare skäl inte rimligen förväntas vägra sitt samtycke i handskrift.

61.

För det andra föreligger inget informerat samtycke. Det har inte gjorts kristallklart för kunden att en vägran att medge kopiering och lagring av hans identitetshandlingar inte omöjliggör ingåendet av ett avtal. En kund gör inte sitt val på ett informerat sätt om han inte är medveten om följderna.

62.

För det tredje finns, endast hypotetiskt sett, ingen som helst antydan om att Orange România har lyckats visa att kunder samtyckte till behandling av deras personuppgifter. I detta avseende bidrar en tydlig brist på klarhet i interna rutiner förvisso inte till bevisning om att samtycke lämnats av kunden. Det står klart att sådan brist på klarhet och motstridiga anvisningar till säljpersonalen inte får vara till nackdel för kunden, i detta fall den registrerade.

63.

Mot bakgrund av föregående överväganden föreslår jag att domstolen ger följande svar på de frågor som ställts av Tribunalul Bucureşti (Regiondomstolen, Bukarest, Rumänien):

En registrerad som avser ingå ett avtalsförhållande om tillhandahållande av telekommunikationstjänster med ett företag kan inte anses ge sitt ”samtycke”, det vill säga ange sin ”särskilda och informerade” och ”frivilliga” viljeyttring – i den mening som avses i artikel 2 h i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och i artikel 4.11 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) – till detta företag när det krävs att den registrerade skriftligen, för hand, på ett i övrigt standardiserat avtal anger att han eller hon vägrar att samtycka till att hans eller hennes identitetshandlingar fotokopieras och behålls.