–

Orange România SA ved avocaţi D.-D. Dascălu, A.-M. Iordache og I. Buga,

–

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) ved A.G. Opre og I. Ilie, som befuldmægtigede,

–

den rumænske regering først ved E. Gane, O.-C. Ichim, L. Liţu og C.-R. Canţăr, derefter ved E. Gane, O.-C. Ichim og L. Liţu, som befuldmægtigede,

–

den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato M. Russo,

–

den østrigske regering først ved J. Schmoll og G. Hesse, derefter ved J. Schmoll, som befuldmægtigede,

–

den portugisiske regering ved L. Inez Fernandes, P. Barros da Costa, L. Medeiros og I. Oliveira, som befuldmægtigede,

–

Europa-Kommissionen ved H. Kranenborg, D. Nardi og L. Nicolae, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 2, litra h), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31) og artikel 4, nr. 11), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EFT 2016, L 119, s. 1).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem Orange România SA og Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (den nationale tilsynsmyndighed for behandling af personoplysninger, Rumænien, herefter »ANSPDCP«) vedrørende et søgsmål med påstand om annullation af en afgørelse, hvorved sidstnævnte pålagde Orange România en bøde for at have indsamlet og opbevaret genparter af kundernes identitetsbeviser uden gyldigt samtykke fra disse og at destruere disse genparter.

3

I 38. betragtning til direktiv 95/46 er det anført, at »en rimelig behandling af oplysninger forudsætter, at de registrerede kan få kendskab til en behandlings eksistens og, når der indsamles oplysninger hos dem, kan få nøjagtige og fyldestgørende oplysninger med hensyn til de nærmere omstændigheder ved indsamlingen«.

4

Direktivets artikel 2, litra h), fastsætter, at i dette direktiv forstås ved:

»»den registreredes samtykke« enhver frivillig, specifik og informeret vilje[s]tilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling«.

5

Nævnte direktivs artikel 6 bestemmer følgende:

»1.   Medlemsstaterne fastsætter bestemmelser om, at personoplysninger

[…]

2.   Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«

6

Samme direktivs artikel 7, litra a), er affattet således:

»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:

7

Direktivets artikel 10 har følgende ordlyd:

»Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige eller dennes repræsentant skal give den person, hos og om hvem der indsamles oplysninger, mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:

8

32. og 42. betragtning til forordning 2016/679 har følgende ordlyd:

[…]

9

Nævnte forordnings artikel 4, nr. 11), fastsætter følgende:

»»samtykke« fra den registrerede: enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling«.

10

Samme forordnings artikel 5 bestemmer følgende:

»1.   Personoplysninger skal:

[…]

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

11

Artikel 6, stk. 1, litra a), i forordning 2016/679 fastsætter følgende:

»1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

[…]«

12

Artikel 7, stk. 1, 2 og 4, i forordning 2016/679 har følgende ordlyd:

»1.   Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.

2.   Hvis den registreredes samtykke gives i en skriftlig erklæring, der også vedrører andre forhold, skal en anmodning om samtykke forelægges på en måde, som klart kan skelnes fra de andre forhold, i en letforståelig og lettilgængelig form og i et klart og enkelt sprog. Enhver del af en sådan erklæring, som udgør en overtrædelse af denne forordning, er ikke bindende.

[…]

4.   Ved vurdering af, om samtykke er givet frit, tages der størst muligt hensyn til, bl.a. om opfyldelse af en kontrakt, herunder om en tjenesteydelse, er gjort betinget af samtykke til behandling af personoplysninger, som ikke er nødvendig for opfyldelse af denne kontrakt.«

13

Forordningens artikel 13 bestemmer følgende i stk. 1 og 2:

»1.   Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

[…]

[…]

2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:

14

Artikel 94, stk. 1, i forordning 2016/679 fastsætter følgende:

»Direktiv 95/46/EF ophæves med virkning fra den 25. maj 2018.«

15

Forordning 2016/679 finder i henhold til artikel 99, stk. 2, anvendelse fra den 25. maj 2018.

16

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (lov nr. 677/2001 om beskyttelse af fysiske personer med hensyn til behandling af personoplysninger og fri bevægelighed for sådanne oplysninger) (Monitorul Oficial al României, del I, nr. 790, af 12.12.2001) har til formål at gennemføre bestemmelserne i direktiv 95/46 i national ret.

17

Denne lovs artikel 5, stk. 1, bestemmer følgende:

»1)   Behandling af personoplysninger må, medmindre den vedrører oplysninger, der hører under de kategorier, som er nævnt i artikel 7, stk. 1, og i artikel 8 og 10, kun foretages, hvis den registrerede udtrykkeligt og utvivlsomt har givet sit samtykke til behandlingen.

[…]«

18

Lovens artikel 8 har følgende ordlyd:

»1)   Behandling af personnummer eller andre personoplysninger med almindelig identifikationsfunktion må kun finde sted, hvis

2)   Tilsynsmyndigheden kan også fastlægge andre tilfælde, hvori behandling af de i stk. 1 omhandlede oplysninger må foretages, forudsat at der stilles passende garantier med henblik på at sikre, at de registreredes rettigheder overholdes.«

19

Artikel 32 i lov nr. 677/2001 er affattet som følger:

»Behandling af personoplysninger, som en registeransvarlig eller en af denne udpeget registerfører foretager i strid med bestemmelserne i artikel 4-10 eller uden at tage nødvendigt hensyn til rettighederne i kraft af artikel 12-15 eller artikel 17, udgør en administrativ overtrædelse, medmindre den foretages under sådanne omstændigheder, som indebærer en strafferetlig overtrædelse, og sanktioneres med en bøde på mellem [1000] RON og [25000] RON.«

20

Orange România leverer mobiltelekommunikationstjenester på det rumænske marked.

21

Ved afgørelse af 28. marts 2018 pålagde ANSPDCP Orange România en bøde for at have opbevaret genparter af selskabets kunders identitetsbeviser uden at have påvist, at de havde givet gyldigt samtykke hertil, og pålagde selskabet at destruere disse genparter.

22

ANSPDCP anførte i denne afgørelse, at Orange România fra den 1. marts 2018 til den 26. marts 2018 skriftligt havde indgået aftaler om levering af mobiltelekommunikationstjenester med fysiske personer, og at genparter af kundernes identitetsbeviser var vedhæftet disse aftaler. Ifølge ANSPDCP har selskabet ikke bevist, at kunderne i de kontrakter, som var vedhæftet genparter af deres identitetsbeviser, havde givet gyldigt samtykke til indsamling og opbevaring af genparter af disse identitetsbeviser.

23

De relevante vilkår i de omhandlede aftaler var affattet som følger:

»– Kunden erklærer, at

24

Orange România anlagde sag til prøvelse af afgørelsen af 28. marts 2018 ved Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien).

25

Ifølge den forelæggende rets konstateringer foreligger der både aftaler, hvor der er sat kryds i feltet vedrørende vilkåret om opbevaring af genparter af dokumenter med personoplysninger med henblik på identifikation af kunden, og aftaler, hvor dette felt ikke er afkrydset. Den forelæggende ret har anført, at Orange România til trods for angivelserne i de almindelige vilkår og betingelser ikke afviste at indgå abonnementsaftaler med kunder, der nægtede at samtykke til opbevaring af en genpart af deres identitetsbeviser. Den forelæggende ret har endvidere anført, at ifølge Orange Românias »interne procedurer« for salg skulle nægtelse af samtykke dokumenteres i en særlig formular, som de pågældende kunder skulle underskrive før indgåelsen af aftalen.

26

Den forelæggende ret ønsker oplyst, om de pågældende kunder under disse omstændigheder kan anses for at have givet gyldigt samtykke til indsamling af deres identitetsbevis og til, at genparter heraf blev vedlagt aftalerne. Den forelæggende ret ønsker endvidere oplyst, om underskrivelse af en aftale, som indeholder en klausul om opbevaring af genparter af dokumenter med personoplysninger med henblik på identifikation af kunden, kan udgøre bevis for, at der foreligger et sådant samtykke.

27

På denne baggrund har Tribunalul București (retten i første instans i Bukarest) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

28

Indledningsvis skal det afgøres, om direktiv 95/46 og forordning 2016/679 finder anvendelse på de i hovedsagen omhandlede faktiske omstændigheder.

29

Direktiv 95/46 er med virkning fra den 25. maj 2018 blevet ophævet og erstattet af forordning 2016/679, jf. denne forordnings artikel 94, stk. 1, og artikel 99, stk. 2.

30

Eftersom ANSPDCP traf den i hovedsagen omhandlede afgørelse den 28. marts 2018 og dermed før den 25. maj 2018, er den forelæggende ret med rette af den opfattelse, at direktiv 95/46 finder anvendelse ratione temporis på tvisten i hovedsagen.

31

Når dette er sagt, fremgår det ligeledes af de sagsakter, der er fremlagt for Domstolen, at ANSPDCP ved sin afgørelse ikke alene pålagde Orange România en bøde, men også pålagde selskabet at destruere genparterne af de omhandlede identitetsbeviser, og at tvisten i hovedsagen ligeledes vedrører sidstnævnte pålæg. Da der imidlertid ikke er oplysninger i disse sagsakter, der tyder på, at dette påbud skulle være blevet efterkommet før den 25. maj 2018, er det ikke udelukket, at forordning 2016/679 i det foreliggende tilfælde finder anvendelse ratione temporis på dette påbud (jf. i denne retning dom af 1.10.2019, Planet49, C-673/17, EU:C:2019:801, præmis 41).

32

Under disse omstændigheder skal disse spørgsmål med henblik på at gøre det muligt for Domstolen at give den forelæggende ret et brugbart svar besvares på grundlag af både direktiv 95/46 og forordning 2016/679 (jf. analogt dom af 1.10.2019, Planet49, C-673/17, EU:C:2019:801, præmis 43).

33

Den forelæggende ret ønsker med sine to præjudicielle spørgsmål, der skal behandles samlet, nærmere bestemt oplyst, om artikel 2, litra h), og artikel 7, litra a), i direktiv 95/46 og artikel 4, nr. 11), og artikel 6, stk. 1, litra a), i forordning 2016/679 skal fortolkes således, at en aftale om levering af telekommunikationstjenester, der indeholder et vilkår om, at den registrerede er blevet informeret om og har givet samtykke til indsamling og opbevaring af en genpart af vedkommendes identitetsbevis med henblik på identifikation af den pågældende, kan bevise, at den registrerede har givet et gyldigt samtykke til denne indsamling og opbevaring som omhandlet i disse bestemmelser.

34

Det bemærkes i denne henseende, at artikel 7 i direktiv 95/46 og artikel 6 i forordning 2016/679 fastsætter en udtømmende liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig (jf. hvad angår artikel 7 i direktiv 95/46 dom af 19.10.2016, Breyer, C-582/14, EU:C:2016:779, præmis 57 og den deri nævnte retspraksis, og af 1.10.2019, Planet49, C-673/17, EU:C:2019:801, præmis 53). Navnlig fastsætter direktivets artikel 7, litra a), og forordningens artikel 6, stk. 1, litra a), at den registreredes samtykke kan gøre en sådan behandling lovlig.

35

Hvad angår de krav, som et sådant samtykke skal opfylde, bestemmer artikel 7, litra a), i direktiv 95/46, at der ikke må »herske[…] tvivl om, at den registrerede har givet sit samtykke«, mens begrebet »samtykke« i direktivets artikel 2, litra h), er defineret som »enhver frivillig, specifik og informeret vilje[s]tilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling«. For så vidt som disse bestemmelser fastsætter, at den registrerede skal foretage en »viljestilkendegivelse«, således at der »ikke hersker tvivl om«, at vedkommende har givet sit samtykke, kan kun en aktiv adfærd fra denne person med henblik på at tilkendegive sit samtykke tages i betragtning (jf. i denne retning dom af 1.10.2019, Planet49, C-673/17, EU:C:2019:801, præmis 52 og 54).

36

Samme krav gælder også i forbindelse med forordning 2016/679. Ordlyden af denne forordnings artikel 4, nr. 11), der definerer »samtykke [fra den registrerede]« med henblik på navnlig forordningens artikel 6, stk. 1, litra a), er nemlig endnu strengere end ordlyden af artikel 2, litra h), i direktiv 95/46, for så vidt som den kræver en viljestilkendegivelse fra den registrerede, der er »frivillig, specifik, informeret og utvetydig«, og som tager form af en erklæring eller »klar bekræftelse«, der markerer dennes accept af behandlingen af personoplysninger, som vedrører den pågældende. Et aktivt samtykke er således nu udtrykkeligt fastsat ved forordning 2016/679 (jf. i denne retning dom af 1.10.2019, Planet49, C-673/17, EU:C:2019:801, præmis 61-63).

37

I denne henseende er det, selv om det i 32. betragtning til forordningen er præciseret, at udtryk for samtykke bl.a. kan gives ved at sætte kryds i et felt ved besøg på et websted, derimod udtrykkeligt udelukket, at »[t]avshed, forudafkrydsede felter eller inaktivitet« kan udgøre samtykke. I et sådant tilfælde er det, således som Domstolen allerede har fastslået, praktisk umuligt objektivt at afgøre, om brugeren af et websted faktisk har givet sit samtykke til behandling af sine personoplysninger ved ikke at fravælge et forudafkrydset felt, og under alle omstændigheder om dette samtykke er blevet givet på informeret måde. Det kan nemlig ikke udelukkes, at denne bruger ikke har læst den information, der ledsager det forudafkrydsede felt, eller ikke har forstået dette felt, inden fortsættelsen af aktiviteten på det besøgte websted (jf. i denne retning dom af 1.10.2019, Planet49, C-673/17, EU:C:2019:801, præmis 55 og 57).

38

Desuden kræver artikel 2, litra h), i direktiv 95/46 og artikel 4, nr. 11), i forordning 2016/679 en »specifik« viljestilkendegivelse, således forstået, at den skal vedrøre præcis den pågældende behandling af oplysninger og ikke kan udledes af en viljeserklæring, der har en anden genstand [jf. hvad angår artikel 2, litra h), i direktiv 95/46 dom af 1.10.2019, Planet49, C-673/17, EU:C:2019:801, præmis 58].

39

I denne henseende præciseres det i forordningens artikel 7, stk. 2, første punktum, at hvis den registreredes samtykke gives i en skriftlig erklæring, der også vedrører andre forhold, skal en anmodning om samtykke forelægges på en måde, som klart kan skelnes fra de andre forhold. Det fremgår navnlig af sidstnævnte bestemmelse, sammenholdt med 42. betragtning til forordningen, at en sådan erklæring skal stilles til rådighed i en letforståelig og lettilgængelig form og være formuleret i et klart og enkelt sprog, navnlig når der er tale om en samtykkeerklæring, der på forhånd er udformet af den dataansvarlige.

40

Hvad angår kravet i artikel 2, litra h), i direktiv 95/46 og artikel 4, nr. 11), i forordning 2016/679 om, at samtykket skal være »informeret«, indebærer dette i henhold til direktivets artikel 10, sammenholdt med 38. betragtning hertil, og i henhold til forordningens artikel 13, sammenholdt med 42. betragtning hertil, at den dataansvarlige skal give den registrerede oplysninger om alle omstændigheder i forbindelse med behandlingen af oplysningerne i en letforståelig og lettilgængelig form og i et klart og enkelt sprog, idet den registrerede bl.a. skal være bekendt med, hvilken type personoplysninger der skal behandles, den dataansvarliges identitet, varigheden af behandlingen, hvordan den foretages og med hvilke formål. Disse oplysningerne skal sætte den registrerede i stand til uden besvær at bestemme følgerne af det eventuelle samtykke og at sikre, at dette samtykke gives med fuldt kendskab til følgerne (jf. analogt dom af 1.10.2019, Planet49, C-673/17, EU:C:2019:801, præmis 74).

41

Som Kommissionen har anført i sit indlæg for Domstolen, fremgår det desuden af artikel 10, litra c), andet led, i direktiv 95/46 og af artikel 13, stk. 2, litra b) og c), i forordning 2016/679, sammenholdt med 42. betragtning hertil, at for at sikre, at den registrerede reelt har et frit valg, må aftalevilkårene ikke vildlede den pågældende med hensyn til muligheden for at indgå aftalen, selv om denne nægter at give samtykke til behandlingen af sine personoplysninger. I mangel af sådanne oplysninger kan den registreredes samtykke til behandlingen af sine personoplysninger ikke anses for at være blevet givet frit og i øvrigt heller ikke for at være blevet givet på en informeret måde.

42

Det skal tilføjes, at den dataansvarlige i henhold til artikel 6, stk. 1, litra a), og artikel 6, stk. 2, i direktiv 95/46 samt artikel 5, stk. 1, litra a), i forordning 2016/679 bl.a. skal sikre, at behandlingen af personoplysningerne er lovlig, og, som det er præciseret i forordningens artikel 5, stk. 2, kunne påvise, at dette er tilfældet. Hvad nærmere bestemt angår den registreredes eventuelle samtykke fastsætter direktivets artikel 7, litra a), at der ikke må »herske tvivl om«, at den pågældende har givet samtykke, hvilket, således som generaladvokaten har anført i punkt 56 i forslaget til afgørelse, indebærer, at bevisbyrden for, at der foreligger et gyldigt samtykke, påhviler den dataansvarlige. I forordningens artikel 7, stk. 1, er det nu fastsat, at hvis behandlingen er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.

43

I det foreliggende tilfælde har Orange România i sit indlæg for Domstolen gjort gældende, at selskabets salgsagenter i forbindelse med proceduren for indgåelse af de i hovedsagen omhandlede aftaler forinden informerede de pågældende kunder om bl.a. formålene med indsamlingen og opbevaringen af genparter af identitetsbeviser og om det valg, som kunderne havde med hensyn til denne indsamling og opbevaring, inden de fik kundernes mundtlige samtykke til indsamlingen og opbevaringen. Ifølge Orange România blev feltet vedrørende opbevaring af genparter af identitetsbeviser således udelukkende afkrydset på grundlag af de pågældendes frie samtykke hertil ved indgåelsen af aftalen.

44

Under disse omstændigheder har anmodningen om præjudiciel afgørelse i det væsentlige til formål at afklare, om det samtykke til en sådan behandling af personoplysninger, der således er gjort gældende, kan godtgøres at foreligge på grundlag af vilkårene i disse aftaler.

45

I denne henseende fremgår det af oplysningerne i anmodningen om præjudiciel afgørelse, at de nævnte aftaler ganske vist indeholdt et vilkår om, at de pågældende kunder var blevet informeret om og havde givet deres samtykke til opbevaring af en genpart af deres identitetsbevis med henblik på identifikation, men at feltet vedrørende dette vilkår allerede var blevet afkrydset af Orange Românias salgsagenter, inden kunden ved at underskrive aftalen accepterede alle aftalevilkårene, nemlig både det nævnte vilkår og andre vilkår, der ikke vedrørte databeskyttelse. I anmodningen om præjudiciel afgørelse er det desuden oplyst, at selv om det ikke var angivet i de i hovedsagen omhandlede aftaler, accepterede Orange România at indgå de pågældende aftaler med kunder, der nægtede at give samtykke til opbevaring af en genpart af deres identitetsbevis, idet selskabet i så fald krævede, at disse kunder underskrev en særlig formular om nægtelsen.

46

Eftersom de pågældende kunder ifølge disse oplysninger ikke selv satte kryds i feltet vedrørende dette vilkår, kan den blotte omstændighed, at dette felt var blevet afkrydset, imidlertid ikke godtgøre, at der forelå en bekræftende tilkendegivelse fra disse kunder om samtykke til indsamling og opbevaring af en genpart af deres identitetsbevis. Således som generaladvokaten har anført i punkt 45 i forslaget til afgørelse, godtgør den omstændighed, at kunderne underskrev aftalerne med det afkrydsede felt, nemlig ikke i sig selv, at et sådant samtykke forelå, når der ikke foreligger oplysninger, der bekræfter, at vilkåret faktisk blev læst og forstået. Det tilkommer den forelæggende ret at foretage den nødvendige efterprøvelse i denne henseende.

47

For så vidt som det afkrydsede felt vedrørende behandlingen af disse oplysninger ikke synes at være blevet forelagt på en måde, som klart kunne skelnes fra de andre aftalevilkår, tilkommer det i øvrigt den forelæggende ret at vurdere, om underskrivelsen af disse aftaler omfattende en række forskellige aftalevilkår, henset til de betragtninger, der er anført i præmis 34 ovenfor, kan anses for at være udtryk for et specifikt samtykke til indsamling og opbevaring af personoplysninger som omhandlet i artikel 2, litra h), i direktiv 95/46 og artikel 4, nr. 11), i forordning 2016/679.

48

Eftersom det i hovedsagen omhandlede aftalevilkår blot uden yderligere oplysninger angiver, at formålet med opbevaringen af genparter af identitetsbeviserne er identifikation af kunderne, påhviler det desuden den forelæggende ret at undersøge, om de oplysninger, som de registrerede fik, opfylder kravene i artikel 10 i direktiv 95/46 og artikel 13 i forordning 2016/679, der opregner de oplysninger, som den dataansvarlige skal give den person, hos og om hvem der indsamles oplysninger, for at sikre den pågældende en rimelig behandling af oplysningerne.

49

Det tilkommer ligeledes den forelæggende ret at vurdere, navnlig om de i hovedsagen omhandlede aftalevilkår kunne vildlede den registrerede med hensyn til muligheden for at indgå aftalen, selv om den pågældende nægtede at give samtykke til behandling af sine personoplysninger, i mangel af nærmere oplysninger herom, idet der således opstår tvivl om, hvorvidt det samtykke, der tilkendegives ved underskriften, er et informeret samtykke.

50

Således som generaladvokaten har anført i punkt 60 i forslaget til afgørelse, rejses der tvivl om den frivillige karakter af dette samtykke på grund af det forhold, at Orange România i tilfælde af nægtelse af samtykke afveg fra den normale procedure, der fører til indgåelse af aftalen, og krævede, at kunden skriftligt erklærede, at vedkommende ikke gav samtykke til hverken indsamling eller opbevaring af en genpart af sit identitetsbevis. Som anført af Kommissionen under retsmødet kan et sådant yderligere krav nemlig uretmæssigt påvirke det frie valg med hensyn til at modsætte sig denne indsamling og opbevaring, hvilket det ligeledes påhviler den forelæggende ret at efterprøve.

51

Som det fremgår af de betragtninger, der er anført i præmis 35, 36 og 42 ovenfor, påhviler det under alle omstændigheder Orange România som dataansvarlig at godtgøre, at selskabets kunder ved en aktiv adfærd har tilkendegivet deres samtykke til behandlingen af deres personoplysninger, således at dette selskab ikke kan kræve, at de aktivt tilkendegiver deres nægtelse heraf.

52

Henset til ovenstående betragtninger skal de forelagte spørgsmål besvares med, at artikel 2, litra h), og artikel 7, litra a), i direktiv 95/46 samt artikel 4, nr. 11), og artikel 6, stk. 1, litra a), i forordning 2016/679 skal fortolkes således, at det påhviler den dataansvarlige at påvise, at den registrerede ved en aktiv adfærd har tilkendegivet sit samtykke til behandling af sine personoplysninger, og at den registrerede forud herfor har modtaget oplysninger om alle omstændigheder i forbindelse med behandlingen i en letforståelig og lettilgængelig form og i et klart og enkelt sprog, som sætter vedkommende i stand til uden besvær at bestemme konsekvenserne af dette samtykke, således at det sikres, at samtykket gives med fuldt kendskab til følgerne. En aftale om levering af telekommunikationstjenester, der indeholder et vilkår om, at den registrerede er blevet informeret om og har givet samtykke til indsamling og opbevaring af en genpart af vedkommendes identitetsbevis med henblik på identifikation af den pågældende, kan ikke bevise, at den registrerede har givet et gyldigt samtykke til denne indsamling og opbevaring som omhandlet i disse bestemmelser, hvis

53

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Anden Afdeling) for ret:

Artikel 2, litra h), og artikel 7, litra a), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger samt artikel 4, nr. 11), og artikel 6, stk. 1, litra a), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) skal fortolkes således, at det påhviler den dataansvarlige at påvise, at den registrerede ved en aktiv adfærd har tilkendegivet sit samtykke til behandling af sine personoplysninger, og at den registrerede forud herfor har modtaget oplysninger om alle omstændigheder i forbindelse med behandlingen i en letforståelig og lettilgængelig form og i et klart og enkelt sprog, som sætter vedkommende i stand til uden besvær at bestemme konsekvenserne af dette samtykke, således at det sikres, at samtykket gives med fuldt kendskab til følgerne. En aftale om levering af telekommunikationstjenester, der indeholder et vilkår om, at den registrerede er blevet informeret om og har givet samtykke til indsamling og opbevaring af en genpart af vedkommendes identitetsbevis med henblik på identifikation af den pågældende, kan ikke bevise, at den registrerede har givet et gyldigt samtykke til denne indsamling og opbevaring som omhandlet i disse bestemmelser, hvis