62019CJ0061

ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (δεύτερο τμήμα)

της 11ης Νοεμβρίου 2020 ( *1 )

«Προδικαστική παραπομπή – Οδηγία 95/46/ΕΚ – Άρθρο 2, στοιχείο ηʹ, και άρθρο 7, στοιχείο αʹ – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 4, σημείο 11, και άρθρο 6, παράγραφος 1, στοιχείο αʹ – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής – Συλλογή και αποθήκευση αντιγράφων εγγράφων ταυτότητας από πάροχο υπηρεσιών κινητής τηλεφωνίας – Έννοια της “συγκατάθεσης” του υποκειμένου των δεδομένων – Ελεύθερη, ρητή και εν πλήρει επιγνώσει δήλωση βούλησης – Δήλωση της συγκατάθεσης μέσω της συμπλήρωσης τετραγωνιδίου – Υπογραφή της σύμβασης από το υποκείμενο των δεδομένων – Βάρος αποδείξεως»

Στην υπόθεση C‑61/19,

με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Tribunalul Bucureşti (πρωτοδικείο Βουκουρεστίου, Ρουμανία) με απόφαση της 14ης Νοεμβρίου 2018, η οποία περιήλθε στο Δικαστήριο στις 29 Ιανουαρίου 2019, στο πλαίσιο της δίκης

Orange România SA

κατά

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),

ΤΟ ΔΙΚΑΣΤΗΡΙΟ (δεύτερο τμήμα),

συγκείμενο από τους A. Arabadjiev, πρόεδρο τμήματος, T. von Danwitz (εισηγητή) και P. G. Xuereb, δικαστές,

γενικός εισαγγελέας: M. Szpunar

γραμματέας: D. Dittert, προϊστάμενος μονάδας,

έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 11ης Δεκεμβρίου 2019,

λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:

–	η Orange România SA, εκπροσωπούμενη από τον D.‑D. Dascălu, την A.‑M. Iordache και τον I. Buga, avocaţi,

–	η Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), εκπροσωπούμενη από τις A. G. Opre και I. Ilie,

–	η Ρουμανική Κυβέρνηση, εκπροσωπούμενη αρχικώς από τις E. Gane, O.‑C. Ichim και L. Liţu, καθώς και από τον C.‑R. Canţăr, εν συνέχεια από τις E. Gane, O.‑C. Ichim και L. Liţu,

–	η Ιταλική Κυβέρνηση, εκπροσωπούμενη από την G. Palmieri, επικουρούμενη από τον M. Russo, avvocato dello Stato,

–	η Αυστριακή Κυβέρνηση, εκπροσωπούμενη αρχικώς από τις J. Schmoll και G. Hesse, εν συνεχεία από την J. Schmoll,

–	η Πορτογαλική Κυβέρνηση, εκπροσωπούμενη από τον L. Inez Fernandes, καθώς και από τις P. Barros da Costa, L. Medeiros και I. Oliveira,

–	η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον H. Kranenborg, τον D. Nardi και την L. Nicolae,

αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 4ης Μαρτίου 2020,

εκδίδει την ακόλουθη

Απόφαση

Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 2, στοιχείο ηʹ, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31), και του άρθρου 4, σημείο 11, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1).

Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Orange România SA και της Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (εθνικής εποπτικής αρχής της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, Ρουμανία) (στο εξής: ANSPDCP), με αντικείμενο προσφυγή με αίτημα την ακύρωση απόφασης με την οποία η δεύτερη, αφενός, επέβαλε στην Orange România πρόστιμο λόγω της εκ μέρους της συλλογής και αποθήκευσης αντιγράφων των εγγράφων ταυτότητας των πελατών της, χωρίς την έγκυρη συγκατάθεσή τους, και, αφετέρου, την υποχρέωσε να καταστρέψει τα αντίγραφα αυτά.

Το νομικό πλαίσιο

Το δίκαιο της Ένωσης

Η οδηγία 95/46

Κατά την αιτιολογική σκέψη 38 της οδηγίας 95/46, «η σύννομη επεξεργασία των δεδομένων προϋποθέτει ότι τα πρόσωπα στα οποία αναφέρονται τα δεδομένα είναι σε θέση να πληροφορούνται την ύπαρξη της επεξεργασίας και, εφόσον τα δεδομένα συλλέγονται από αυτά, να έχουν πραγματική και ολοκληρωμένη ενημέρωση σχετικά με τις συνθήκες της συλλογής».

Το άρθρο 2, στοιχείο ηʹ, της οδηγίας προβλέπει μεταξύ άλλων ότι, για τους σκοπούς της, νοείται ως:

«“συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα”, κάθε δήλωση βουλήσεως, ελευθέρας, ρητής και εν πλήρει επιγνώσει, με την οποία το πρόσωπο στο οποίο αναφέρονται τα δεδομένα δέχεται να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν.»

Το άρθρο 6 της εν λόγω οδηγίας ορίζει τα εξής:

«1. Τα κράτη μέλη προβλέπουν ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει:

α)	να υφίστανται σύννομη και θεμιτή επεξεργασία·

[…]

2. Εναπόκειται στον υπεύθυνο της επεξεργασίας να εξασφαλίσει την τήρηση της παραγράφου 1.»

Κατά το άρθρο 7, στοιχείο αʹ, της εν λόγω οδηγίας:

«Τα κράτη μέλη προβλέπουν ότι επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να γίνεται μόνον εάν:

α)	το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δώσει τη ρητή συγκατάθεσή του […]».

Το άρθρο 10 της οδηγίας έχει ως εξής:

«Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος της επεξεργασίας ή ο εκπρόσωπός του πρέπει να παρέχει στο πρόσωπο από το οποίο συλλέγονται δεδομένα που το αφορούν τουλάχιστον τις πληροφορίες που απαριθμούνται κατωτέρω, εκτός εάν το πρόσωπο αυτό έχει ήδη ενημερωθεί σχετικά:

α)	την ταυτότητα του υπευθύνου της επεξεργασίας και, ενδεχομένως, του εκπροσώπου του·

β)	τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα·

γ)

οποιαδήποτε περαιτέρω πληροφορία, όπως:

–	τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων,

–	το κατά πόσον η παροχή των δεδομένων είναι υποχρεωτική ή όχι, καθώς και τις ενδεχόμενες συνέπειες της άρνησης παροχής τους,

–	την ύπαρξη δικαιώματος πρόσβασης στα συγκεκριμένα δεδομένα και δικαιώματος διόρθωσής τους,

εφόσον οι πληροφορίες αυτές είναι αναγκαίες, λόγω των ειδικών συνθηκών υπό τις οποίες συλλέγονται τα δεδομένα, ώστε να εξασφαλίζεται η θεμιτή επεξεργασία έναντι του προσώπου στο οποίο αναφέρονται τα δεδομένα.»

Ο κανονισμός 2016/679

Οι αιτιολογικές σκέψεις 32 και 42 του κανονισμού 2016/679 έχουν ως εξής:

«(32)

Η συγκατάθεση θα πρέπει να παρέχεται με σαφή θετική ενέργεια η οποία να συνιστά ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει ένδειξη της συμφωνίας του υποκειμένου των δεδομένων υπέρ της επεξεργασίας των δεδομένων που το αφορούν, για παράδειγμα με γραπτή δήλωση, μεταξύ άλλων με ηλεκτρονικά μέσα, ή με προφορική δήλωση. Αυτό θα μπορούσε να περιλαμβάνει τη συμπλήρωση ενός τετραγωνιδίου κατά την επίσκεψη σε διαδικτυακή ιστοσελίδα, την επιλογή των επιθυμητών τεχνικών ρυθμίσεων για υπηρεσίες της κοινωνίας των πληροφοριών ή μια δήλωση ή συμπεριφορά που δηλώνει σαφώς, στο συγκεκριμένο πλαίσιο, ότι το υποκείμενο των δεδομένων αποδέχεται την πρόταση επεξεργασίας των οικείων δεδομένων προσωπικού χαρακτήρα. Επομένως, η σιωπή, τα προσυμπληρωμένα τετραγωνίδια ή η αδράνεια δεν θα πρέπει να εκλαμβάνονται ως συγκατάθεση. Η συγκατάθεση θα πρέπει να καλύπτει το σύνολο των δραστηριοτήτων επεξεργασίας που διενεργείται για τον ίδιο σκοπό ή για τους ίδιους σκοπούς. Όταν η επεξεργασία έχει πολλαπλούς σκοπούς, θα πρέπει να δίνεται συγκατάθεση για όλους αυτούς τους σκοπούς. Εάν η συγκατάθεση του υποκειμένου των δεδομένων πρόκειται να δοθεί κατόπιν αιτήματος με ηλεκτρονικά μέσα, το αίτημα πρέπει να είναι σαφές, περιεκτικό και να μην διαταράσσει αδικαιολόγητα τη χρήση της υπηρεσίας για την οποία παρέχεται.

[…]

(42)

Όταν η επεξεργασία βασίζεται στη συναίνεση του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας θα πρέπει να είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε στην πράξη επεξεργασίας. Ειδικότερα, στο πλαίσιο έγγραφης δήλωσης για άλλο θέμα, θα πρέπει να παρέχονται εγγυήσεις που να διασφαλίζουν ότι το υποκείμενο των δεδομένων γνωρίζει αυτό το γεγονός και σε ποιο βαθμό έχει συγκατατεθεί. Σύμφωνα με την οδηγία 93/13/ΕΟΚ του Συμβουλίου [της 5ης Απριλίου 1993, σχετικά με τις καταχρηστικές ρήτρες των συμβάσεων που συνάπτονται με καταναλωτές (ΕΕ 1993, L 95, σ. 29)], θα πρέπει να παρέχεται δήλωση συγκατάθεσης, διατυπωμένη εκ των προτέρων από τον υπεύθυνο επεξεργασίας σε κατανοητή και εύκολα προσβάσιμη μορφή, με σαφή και απλή διατύπωση, χωρίς καταχρηστικές ρήτρες. Για να θεωρηθεί η συγκατάθεση εν επιγνώσει, το υποκείμενο των δεδομένων θα πρέπει να γνωρίζει τουλάχιστον την ταυτότητα του υπεύθυνου επεξεργασίας και τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα προσωπικού χαρακτήρα. Η συγκατάθεση δεν θα πρέπει να θεωρείται ότι δόθηκε ελεύθερα αν το υποκείμενο των δεδομένων δεν έχει αληθινή ή ελεύθερη επιλογή ή δεν είναι σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεσή του χωρίς να ζημιωθεί.»

Το άρθρο 4, σημείο 11, του εν λόγω κανονισμού προβλέπει τα εξής:

«“συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν».

Το άρθρο 5 του ιδίου κανονισμού ορίζει τα εξής:

«1. Τα δεδομένα προσωπικού χαρακτήρα:

α)	υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”),

[…]

2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»

Κατά το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του κανονισμού 2016/679:

«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:

α)	το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,

[…]».

Το άρθρο 7, παράγραφοι 1, 2 και 4, του κανονισμού 2016/679 έχει ως εξής:

«1. Όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα.

2. Εάν η συγκατάθεση του υποκειμένου των δεδομένων παρέχεται στο πλαίσιο γραπτής δήλωσης η οποία αφορά και άλλα θέματα, το αίτημα για συγκατάθεση υποβάλλεται κατά τρόπο ώστε να είναι σαφώς διακριτό από τα άλλα θέματα, σε κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση. Κάθε τμήμα της δήλωσης αυτής το οποίο συνιστά παράβαση του παρόντος κανονισμού δεν είναι δεσμευτικό.

[…]

4. Κατά την εκτίμηση κατά πόσο η συγκατάθεση δίνεται ελεύθερα, λαμβάνεται ιδιαιτέρως υπόψη κατά πόσο, μεταξύ άλλων, για την εκτέλεση σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, τίθεται ως προϋπόθεση η συγκατάθεση στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που δεν είναι αναγκαία για την εκτέλεση της εν λόγω σύμβασης.»

Το άρθρο 13 του κανονισμού ορίζει στις παραγράφους 1 και 2 τα εξής:

«1. Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:

α)	την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας,

[…]

γ)	τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία,

[…]

2. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας:

α)	το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα,

β)

την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων,

γ)	όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της».

14	Το άρθρο 94, παράγραφος 1, του κανονισμού 2016/679 προβλέπει τα εξής: «Η οδηγία 95/46/ΕΚ καταργείται από τις 25 Μαΐου 2018.»

15	Δυνάμει του άρθρου του 99, παράγραφος 2, ο κανονισμός 2016/679 τίθεται σε εφαρμογή από τις 25 Μαΐου 2018.

Το ρουμανικό δίκαιο

Ο Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (νόμος 677/2001 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών) (Monitorul Oficial al României, μέρος I, αριθ. 790 της 12ης Δεκεμβρίου 2001) θεσπίστηκε με σκοπό τη μεταφορά της οδηγίας 95/46 στο ρουμανικό δίκαιο.

Το άρθρο 5, παράγραφος 1, του νόμου αυτού ορίζει τα εξής:

«1) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα, εκτός αν αφορά δεδομένα τα οποία ανήκουν στις κατηγορίες του άρθρου 7, παράγραφος 1, και των άρθρων 8 και 10, επιτρέπεται μόνον εφόσον το υποκείμενο των δεδομένων έχει παράσχει τη ρητή και αδιαμφισβήτητη συγκατάθεσή του στην επεξεργασία αυτή.

[…]»

Κατά το άρθρο 8 του εν λόγω νόμου:

«1) Η επεξεργασία του προσωπικού αριθμού ή άλλων δεδομένων προσωπικού χαρακτήρα που χρησιμοποιούνται ως γενικά στοιχεία ταυτοποίησης επιτρέπεται μόνον εφόσον:

a)	το υποκείμενο των δεδομένων έχει παράσχει ρητώς τη συγκατάθεσή του, ή

b)	η επεξεργασία προβλέπεται ρητώς από διάταξη νόμου.

2) Η εποπτική αρχή μπορεί επίσης να ορίσει σε ποιες άλλες περιπτώσεις επιτρέπεται η επεξεργασία των δεδομένων της παραγράφου 1, υπό την προϋπόθεση της παροχής κατάλληλων εγγυήσεων για τη διασφάλιση του σεβασμού των δικαιωμάτων των υποκειμένων των δεδομένων.»

Το άρθρο 32 του νόμου 677/2001 έχει ως εξής:

«H επεξεργασία δεδομένων προσωπικού χαρακτήρα από υπεύθυνο επεξεργασίας ή από πρόσωπο που έχει οριστεί από αυτόν η οποία διενεργείται κατά παράβαση των διατάξεων των άρθρων 4 έως 10 ή χωρίς να ληφθούν δεόντως υπόψη τα δικαιώματα που προβλέπονται στα άρθρα 12 έως 15 ή 17 συνιστά διοικητική παράβαση, αν δεν τελείται υπό συνθήκες που συνιστούν ποινικό αδίκημα, και τιμωρείται με πρόστιμο από [1000] [ρουμανικά λέι] RON έως [25000] RON.»

Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα

20	Η Orange România είναι πάροχος υπηρεσιών κινητής τηλεφωνίας στη ρουμανική αγορά.

21	Με απόφαση της 28ης Μαρτίου 2018, η ANSPDCP επέβαλε στην Orange România πρόστιμο επειδή αποθήκευε αντίγραφα των εγγράφων ταυτότητας των πελατών της χωρίς να αποδεικνύει ότι αυτοί είχαν παράσχει έγκυρη συγκατάθεση και την υποχρέωσε συγχρόνως να καταστρέψει τα αντίγραφα αυτά.

Στην απόφαση αυτή, η ANSPDCP επισήμανε ότι, κατά το χρονικό διάστημα μεταξύ της 1ης και της 26ης Μαρτίου 2018, η Orange România συνήψε εγγράφως συμβάσεις για την παροχή υπηρεσιών κινητής τηλεφωνίας με φυσικά πρόσωπα και ότι στις συμβάσεις αυτές επισυνάφθηκαν αντίγραφα των εγγράφων ταυτότητας των προσώπων αυτών. Κατά την ANSPDCP, η Orange România δεν απέδειξε ότι οι πελάτες, στων οποίων τις συμβάσεις επισυνάπτονταν αντίγραφα του εγγράφου ταυτότητάς τους, είχαν παράσχει έγκυρη συγκατάθεση για τη συλλογή και αποθήκευση των αντιγράφων αυτών.

Οι κρίσιμες ρήτρες των επίμαχων συμβάσεων είχαν την εξής διατύπωση:

«– Ο πελάτης δηλώνει τα ακόλουθα:

(i)

ενημερώθηκε πριν από τη σύναψη της σύμβασης σχετικά με το επιλεχθέν σύστημα τιμολόγησης, σχετικά με τα ισχύοντα τιμολόγια, την ελάχιστη διάρκεια της σύμβασης, τους όρους καταγγελίας της σύμβασης και τους όρους απόκτησης και χρήσης των υπηρεσιών, συμπεριλαμβανομένης της περιοχής που καλύπτουν οι υπηρεσίες, […]·

(ii)

η Orange România έθεσε στη διάθεση του πελάτη όλες τις απαραίτητες πληροφορίες ώστε ο τελευταίος να μπορεί να δώσει την απαλλαγμένη ελαττωμάτων, ρητή, ελεύθερη και συγκεκριμένη συγκατάθεσή του για τη σύναψη της σύμβασης και τη ρητή ανάληψη των δεσμεύσεων από αυτήν καθώς και από το σύνολο των συμβατικών εγγράφων/τους γενικούς όρους χρήσης των υπηρεσιών της Orange και το φυλλάδιο τιμών και υπηρεσιών·

(iii)

έχει ενημερωθεί και έχει παράσχει τη συγκατάθεσή του σχετικά με τα εξής:

–	την επεξεργασία των δεδομένων προσωπικού χαρακτήρα για τους σκοπούς του άρθρου 1.15 των γενικών όρων χρήσης των υπηρεσιών της Orange·

–	την αποθήκευση αντιγράφων εγγράφων που περιέχουν δεδομένα προσωπικού χαρακτήρα, για λόγους ταυτοποίησης ·

–	την επεξεργασία δεδομένων προσωπικού χαρακτήρα (αριθμός επικοινωνίας, ηλεκτρονικό ταχυδρομείο) για σκοπούς άμεσης εμπορικής προώθησης ·

–	την επεξεργασία δεδομένων προσωπικού χαρακτήρα (αριθμός επικοινωνίας, ηλεκτρονικό ταχυδρομείο) με σκοπό την πραγματοποίηση ερευνών αγοράς ·

–	έχει διαβάσει και συμφωνεί ρητώς για την αποθήκευση αντιγράφων εγγράφων που περιέχουν δεδομένα προσωπικού χαρακτήρα σχετικά με την κατάσταση της υγείας του ·

–	το να μην περιληφθούν τα στοιχεία που μνημονεύονται στο άρθρο 1.15, παράγραφος 10, των γενικών όρων χρήσης των υπηρεσιών της Orange στις υπηρεσίες ενημέρωσης που αφορούν τους συνδρομητές και τα μητρώα συνδρομητών.»

24	Η Orange România άσκησε προσφυγή κατά της απόφασης της 28ης Μαρτίου 2018 ενώπιον του Tribunalul Bucureşti (πρωτοδικείου Βουκουρεστίου, Ρουμανία).

Κατά τις διαπιστώσεις του αιτούντος δικαστηρίου, υπάρχουν, αφενός, συμβάσεις στις οποίες έχει συμπληρωθεί το τετραγωνίδιο της ρήτρας σχετικά με την αποθήκευση των αντιγράφων των εγγράφων που περιέχουν δεδομένα προσωπικού χαρακτήρα, για λόγους ταυτοποίησης, και, αφετέρου, συμβάσεις στις οποίες δεν έχει συμπληρωθεί το τετραγωνίδιο αυτό. Το αιτούν δικαστήριο επισημαίνει ειδικότερα ότι, παρά τα όσα διαλαμβάνονται στους γενικούς όρους παροχής υπηρεσιών, η Orange România δεν αρνήθηκε να συνάψει σύμβαση παροχής υπηρεσιών κινητής τηλεφωνίας με τους πελάτες που αρνήθηκαν να παράσχουν τη συγκατάθεσή τους για την αποθήκευση αντιγράφου ενός εκ των εγγράφων ταυτότητάς τους. Το εν λόγω δικαστήριο επισημαίνει επίσης ότι οι «εσωτερικές διαδικασίες» πωλήσεων της Orange România προέβλεπαν ότι η άρνηση παροχής της συγκατάθεσης έπρεπε να τεκμηριωθεί με ειδικό έντυπο, το οποίο οι πελάτες αυτοί έπρεπε να υπογράψουν πριν από τη σύναψη της σύμβασης.

Το αιτούν δικαστήριο διερωτάται αν, υπό τις περιστάσεις αυτές, μπορεί να γίνει δεκτό ότι οι συγκεκριμένοι πελάτες συγκατατέθηκαν εγκύρως για τη συλλογή και την επισύναψη αντιγράφου του εγγράφου ταυτότητάς τους στις συμβάσεις. Επιπλέον, διερωτάται αν μπορεί να αποδειχθεί τέτοια συγκατάθεση από την υπογραφή σύμβασης στην οποία περιλαμβάνεται ρήτρα περί αποθηκεύσεως αντιγράφων εγγράφων που περιέχουν δεδομένα προσωπικού χαρακτήρα, για λόγους ταυτοποίησης.

Υπό τις συνθήκες αυτές, το Tribunalul București (πρωτοδικείο Βουκουρεστίου) αποφάσισε να αναστείλει τη διαδικασία και να υποβάλει στο Δικαστήριο τα εξής προδικαστικά ερωτήματα:

«1)	Ποιες είναι οι προϋποθέσεις που πρέπει να πληρούνται, σύμφωνα με το άρθρο [2], στοιχείο ηʹ, της οδηγίας 95/46, για να γίνει δεκτό ότι μια δήλωση βούλησης είναι ρητή και έγινε εν πλήρει επιγνώσει;

2)	Ποιες είναι οι προϋποθέσεις που πρέπει να πληρούνται, σύμφωνα με το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, για να γίνει δεκτό ότι μια δήλωση βούλησης είναι ελεύθερη;»

Επί των προδικαστικών ερωτημάτων

28	Προκαταρκτικώς, πρέπει να διαπιστωθεί κατά πόσον η οδηγία 95/46 και ο κανονισμός 2016/679 έχουν εφαρμογή στα πραγματικά περιστατικά της κύριας δίκης.

29	Η οδηγία 95/46 καταργήθηκε και αντικαταστάθηκε, από τις 25 Μαΐου 2018, από τον κανονισμό 2016/679, δυνάμει του άρθρου 94, παράγραφος 1, και του άρθρου 99, παράγραφος 2, του εν λόγω κανονισμού.

30	Ως εκ τούτου, δεδομένου ότι η επίμαχη στην κύρια δίκη απόφαση της ANSPDCP εκδόθηκε στις 28 Μαρτίου 2018 και, επομένως, πριν από τις 25 Μαΐου 2018, το αιτούν δικαστήριο ορθώς εκτιμά ότι στη διαφορά της κύριας δίκης εφαρμογή ratione temporis έχει η οδηγία 95/46.

Τούτου δοθέντος, από τη δικογραφία που υποβλήθηκε στο Δικαστήριο προκύπτει επίσης ότι, με την απόφασή της, η ANSPDCP δεν επέβαλε μόνον πρόστιμο στην Orange România, αλλά και την υποχρέωσε να καταστρέψει τα αντίγραφα των επίμαχων εγγράφων ταυτότητας, και ότι η διαφορά της κύριας δίκης αφορά και το σημείο αυτό του διατακτικού της εν λόγω απόφασης. Από κανένα όμως στοιχείο της δικογραφίας δεν προκύπτει ότι επήλθε συμμόρφωση με το ως άνω σημείο του διατακτικού πριν από τις 25 Μαΐου 2018 και, επομένως, δεν αποκλείεται να έχει εν προκειμένω ratione temporis εφαρμογή ως προς το σημείο αυτό ο κανονισμός 2016/679 (πρβλ. απόφαση της 1ης Οκτωβρίου 2019, Planet49, C‑673/17, EU:C:2019:801, σκέψη 41).

Υπό τις συνθήκες αυτές, προκειμένου το Δικαστήριο να μπορέσει να δώσει χρήσιμη απάντηση στα ερωτήματα που υπέβαλε το αιτούν δικαστήριο, τα προδικαστικά ερωτήματα πρέπει να απαντηθούν τόσο βάσει της οδηγίας 95/46 όσο και βάσει του κανονισμού 2016/679 (βλ., κατ’ αναλογίαν, απόφαση της 1ης Οκτωβρίου 2019, Planet49, C‑673/17, EU:C:2019:801, σκέψη 43).

Με τα δύο προδικαστικά ερωτήματα, τα οποία πρέπει να εξεταστούν από κοινού, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 2, στοιχείο ηʹ, και το άρθρο 7, στοιχείο αʹ, της οδηγίας 95/46, καθώς και το άρθρο 4, σημείο 11, και το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του κανονισμού 2016/679 έχουν την έννοια ότι μπορεί να αποδειχθεί από σύμβαση για την παροχή υπηρεσιών τηλεφωνίας η οποία περιέχει ρήτρα κατά την οποία το υποκείμενο των δεδομένων ενημερώθηκε και συγκατατέθηκε για τη συλλογή και αποθήκευση αντιγράφου του εγγράφου ταυτότητάς του, για λόγους ταυτοποίησης, ότι το υποκείμενο των δεδομένων παρέσχε εγκύρως τη συγκατάθεσή του, κατά την έννοια των ως άνω διατάξεων, για την ως άνω συλλογή και αποθήκευση.

Ως προς το ζήτημα αυτό, υπενθυμίζεται ότι το άρθρο 7 της οδηγίας 95/46 και το άρθρο 6 του κανονισμού 2016/679 προβλέπουν εξαντλητικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να κριθεί νόμιμη (βλ., όσον αφορά το άρθρο 7 της οδηγίας 95/46, αποφάσεις της 19ης Οκτωβρίου 2016, Breyer, C‑582/14, EU:C:2016:779, σκέψη 57 και εκεί μνημονευόμενη νομολογία, και της 1ης Οκτωβρίου 2019, Planet49, C‑673/17, EU:C:2019:801, σκέψη 53). Ειδικότερα, το άρθρο 7, στοιχείο αʹ, της οδηγίας και το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του κανονισμού προβλέπουν ότι η συγκατάθεση του υποκειμένου των δεδομένων μπορεί να καταστήσει νόμιμη την επεξεργασία.

Όσον αφορά τις απαιτήσεις που ισχύουν για τη συγκατάθεση αυτή, το άρθρο 7, στοιχείο αʹ, της οδηγίας 95/46 ορίζει ότι το υποκείμενο των δεδομένων πρέπει να «έχει δώσει τη ρητή συγκατάθεσή του», ενώ το άρθρο 2, στοιχείο ηʹ, της ίδιας οδηγίας ορίζει ότι ως «συγκατάθεση» νοείται «κάθε δήλωση βουλήσεως, ελευθέρας, ρητής και εν πλήρει επιγνώσει, με την οποία το πρόσωπο στο οποίο αναφέρονται τα δεδομένα δέχεται να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν». Κατά το μέτρο που οι ως άνω διατάξεις προβλέπουν ότι το υποκείμενο των δεδομένων προβαίνει σε «δήλωση βουλήσεως» προκειμένου να δώσει τη «ρητή» συγκατάθεσή του, μπορεί να ληφθεί υπόψη μόνον η ενεργή συμπεριφορά του υποκειμένου των δεδομένων με σκοπό τη δήλωση της συγκατάθεσής του (πρβλ. απόφαση της 1ης Οκτωβρίου 2019, Planet49, C‑673/17, EU:C:2019:801, σκέψεις 52 και 54).

Η ίδια απαίτηση ισχύει και στο πλαίσιο του κανονισμού 2016/679. Πράγματι, η διατύπωση του άρθρου 4, σημείο 11, του κανονισμού, όπου ορίζεται η «συγκατάθεση του υποκειμένου των δεδομένων» για τους σκοπούς, μεταξύ άλλων, του άρθρου 6, παράγραφος 1, στοιχείο αʹ, είναι ακόμη αυστηρότερη από τη διατύπωση του άρθρου 2, στοιχείο ηʹ, της οδηγίας 95/46, καθόσον απαιτεί «ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει» ένδειξη βούλησης, υπό μορφή δήλωσης ή «σαφ[ούς] θετική[ς] ενέργεια[ς]» με την οποία το υποκείμενο των δεδομένων εκδηλώνει τη συμφωνία του για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Συνεπώς, με τον κανονισμό 2016/679 προβλέπεται πλέον ρητώς η παροχή συγκατάθεσης με θετική ενέργεια (πρβλ. απόφαση της 1ης Οκτωβρίου 2019, Planet49, C‑673/17, EU:C:2019:801, σκέψεις 61 έως 63).

Ως προς το ζήτημα αυτό, μολονότι η αιτιολογική σκέψη 32 του κανονισμού διευκρινίζει ότι η εκδήλωση της συγκατάθεσης θα μπορούσε να γίνει μεταξύ άλλων με την επιλογή τετραγωνιδίου κατά την επίσκεψη σε ιστότοπο, αντιθέτως εξαιρεί ρητώς τη «σιωπή, τα προσυμπληρωμένα τετραγωνίδια ή [την] αδράνεια» από τις περιπτώσεις παροχής συγκατάθεσης. Όπως έχει κρίνει το Δικαστήριο, σε μια τέτοια περίπτωση, είναι πρακτικώς αδύνατον να κριθεί με αντικειμενικό τρόπο αν ο χρήστης ιστοτόπου, μη αποεπιλέγοντας προσυμπληρωμένο τετραγωνίδιο, έδωσε πράγματι τη συγκατάθεσή του για την επεξεργασία των προσωπικών του δεδομένων καθώς και, εν πάση περιπτώσει, αν η συγκατάθεση αυτή δόθηκε κατόπιν ενημέρωσης του χρήστη. Συγκεκριμένα, δεν μπορεί να αποκλειστεί το ενδεχόμενο ο εν λόγω χρήστης να μην διάβασε τις πληροφορίες που συνοδεύουν το προσυμπληρωμένο τετραγωνίδιο, ή ακόμη και να μην αντιλήφθηκε το τετραγωνίδιο αυτό, προτού συνεχίσει τη δραστηριότητά του στον ιστότοπο τον οποίο επισκέπτεται (πρβλ. απόφαση της 1ης Οκτωβρίου 2019, Planet49, C‑673/17, EU:C:2019:801, σκέψεις 55 και 57).

Επιπροσθέτως, η δήλωση βούλησης πρέπει να είναι «ρητή» κατά το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, «συγκεκριμένη» δε κατά το άρθρο 4, σημείο 11, του κανονισμού 2016/679, υπό την έννοια ότι πρέπει να αφορά συγκεκριμένα την εν λόγω επεξεργασία δεδομένων και δεν μπορεί να συνάγεται από δήλωση βούλησης η οποία έχει διαφορετικό αντικείμενο (βλ., όσον αφορά το άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46, απόφαση της 1ης Οκτωβρίου 2019, Planet49, C‑673/17, EU:C:2019:801, σκέψη 58).

Ως προς το ζήτημα αυτό, το άρθρο 7, παράγραφος 2, πρώτη περίοδος, του κανονισμού ορίζει ότι, εάν η συγκατάθεση του υποκειμένου των δεδομένων παρέχεται στο πλαίσιο γραπτής δήλωσης η οποία αφορά και άλλα θέματα, το αίτημα για συγκατάθεση υποβάλλεται κατά τρόπο ώστε να είναι σαφώς διακριτό από τα άλλα θέματα. Ειδικότερα, από την τελευταία αυτή διάταξη, σε συνδυασμό με την αιτιολογική σκέψη 42 του κανονισμού, προκύπτει ότι η δήλωση πρέπει να έχει κατανοητή και εύκολα προσβάσιμη μορφή και η διατύπωσή της πρέπει να είναι σαφής και απλή, ιδίως όταν πρόκειται για δήλωση συγκατάθεσης που έχει διατυπωθεί εκ των προτέρων από τον υπεύθυνο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.

Όσον αφορά την προβλεπόμενη στο άρθρο 2, στοιχείο ηʹ, της οδηγίας 95/46 και στο άρθρο 4, σημείο 11, του κανονισμού 2016/679 απαίτηση παροχής της συγκατάθεσης «εν πλήρει επιγνώσει», η απαίτηση αυτή συνεπάγεται, σύμφωνα με το άρθρο 10 της οδηγίας, σε συνδυασμό με την αιτιολογική της σκέψη 38, καθώς και σύμφωνα με το άρθρο 13 του κανονισμού, σε συνδυασμό με την αιτιολογική του σκέψη 42, ότι ο υπεύθυνος επεξεργασίας πρέπει να παρέχει στο υποκείμενο των δεδομένων ενημέρωση για τις συνθήκες της επεξεργασίας στο σύνολό τους, σε κατανοητή και εύκολα προσβάσιμη μορφή και με τη χρήση σαφούς και απλής διατύπωσης, δεδομένου ότι το υποκείμενο των δεδομένων πρέπει ιδίως να γνωρίζει το είδος των δεδομένων που θα υποβληθούν σε επεξεργασία, την ταυτότητα του υπευθύνου της επεξεργασίας, τη διάρκεια και τον τρόπο της επεξεργασίας, καθώς και τους σκοπούς της. Η ενημέρωση πρέπει να παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να προσδιορίσει ευχερώς τις συνέπειες της συγκατάθεσης την οποία θα μπορούσε να δώσει και να εξασφαλίζει ότι η συγκατάθεση αυτή δίδεται εν πλήρει γνώσει της κατάστασης (βλ., κατ’ αναλογίαν, απόφαση της 1ης Οκτωβρίου 2019, Planet49, C‑673/17, EU:C:2019:801, σκέψη 74).

Επιπλέον, όπως επισήμανε η Επιτροπή με τις παρατηρήσεις που υπέβαλε στο Δικαστήριο, από το άρθρο 10, στοιχείο γʹ, δεύτερη περίπτωση, της οδηγίας 95/46 και από το άρθρο 13, παράγραφος 2, στοιχεία βʹ και γʹ, του κανονισμού 2016/679, σε συνδυασμό με την αιτιολογική του σκέψη 42, προκύπτει ότι, για να διασφαλιστεί ότι η επιλογή στην οποία θα προβεί το υποκείμενο των δεδομένων θα είναι όντως ελεύθερη, οι συμβατικοί όροι δεν πρέπει να το παραπλανούν ως προς τη δυνατότητα σύναψης της σύμβασης, στην περίπτωση που αρνηθεί να παράσχει τη συγκατάθεσή του για την επεξεργασία των δεδομένων του. Ελλείψει τέτοιων πληροφοριών, η συγκατάθεση του υποκειμένου των δεδομένων για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα δεν μπορεί να γίνει δεκτό ότι δόθηκε ελεύθερα ούτε, εξάλλου, ότι δόθηκε εν πλήρει επιγνώσει.

Πρέπει να προστεθεί ότι, δυνάμει του άρθρου 6, παράγραφος 1, στοιχείο αʹ, και παράγραφος 2, της οδηγίας 95/46, καθώς και του άρθρου 5, παράγραφος 1, στοιχείο αʹ, του κανονισμού 2016/679, ο υπεύθυνος της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα οφείλει να διασφαλίζει, μεταξύ άλλων, τη νομιμότητα της επεξεργασίας των δεδομένων και, όπως διευκρινίζει η παράγραφος 2 του άρθρου 5, πρέπει να είναι σε θέση να την αποδείξει. Όσον αφορά, ειδικότερα, τυχόν συγκατάθεση του υποκειμένου των δεδομένων, το άρθρο 7, στοιχείο αʹ, της οδηγίας προβλέπει ότι το υποκείμενο των δεδομένων πρέπει να έχει δώσει τη «ρητή» συγκατάθεσή του, όπερ σημαίνει, όπως εξέθεσε ο γενικός εισαγγελέας στο σημείο 56 των προτάσεών του, ότι το βάρος αποδείξεως όσον αφορά την ύπαρξη έγκυρης συγκατάθεσης φέρει ο υπεύθυνος της επεξεργασίας. Το άρθρο 7, παράγραφος 1, του κανονισμού προβλέπει πλέον ότι, όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας πρέπει να είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα.

Εν προκειμένω, η Orange România υποστήριξε, με τις παρατηρήσεις που υπέβαλε στο Δικαστήριο, ότι, κατά τη διαδικασία σύναψης των επίμαχων στην κύρια δίκη συμβάσεων, οι πωλητές της ενημέρωναν τους ενδιαφερόμενους πελάτες, πριν από τη σύναψη των συμβάσεων, ιδίως για τους σκοπούς που εξυπηρετούσε η συλλογή και η αποθήκευση των αντιγράφων των εγγράφων ταυτότητας, καθώς και σχετικά με τη δυνατότητα επιλογής που είχαν ως προς την αποδοχή της συλλογής και αποθήκευσης, τούτο δε προτού λάβουν προφορικώς τη συγκατάθεση των πελατών αυτών για την ως άνω συλλογή και αποθήκευση. Κατά την Orange România, το τετραγωνίδιο που αφορούσε την αποθήκευση των αντιγράφων των εγγράφων ταυτότητας, συμπληρωνόταν ως εκ τούτου μόνον βάσει της ελεύθερα εκφρασθείσας κατά τη σύναψη της σύμβασης συμφωνίας των ενδιαφερομένων προς τούτο.

44	Υπό τις συνθήκες αυτές, με την αίτηση προδικαστικής αποφάσεως ζητείται κατ’ ουσίαν να διευκρινιστεί αν η προβαλλόμενη κατά τα ανωτέρω παροχή συγκατάθεσης για την εν λόγω επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να αποδειχθεί βάσει των ρητρών που περιέχονται στις συμβάσεις αυτές.

Ως προς το ζήτημα αυτό, από τα στοιχεία που εκτίθενται στην αίτηση προδικαστικής αποφάσεως προκύπτει ότι, μολονότι οι εν λόγω συμβάσεις περιέχουν ρήτρα κατά την οποία ο πελάτης ενημερώθηκε και συγκατατέθηκε στη συλλογή και αποθήκευση αντιγράφου του εγγράφου ταυτότητάς του για λόγους ταυτοποίησης, εντούτοις το τετραγωνίδιο που αντιστοιχούσε στη ρήτρα αυτή είχε ήδη συμπληρωθεί από τους πωλητές της Orange România πριν ο πελάτης αποδεχθεί, υπογράφοντας, όλες τις συμβατικές ρήτρες, ήτοι τόσο την εν λόγω ρήτρα όσο και τις λοιπές ρήτρες που δεν σχετίζονται με την προστασία των δεδομένων. Στην εν λόγω αίτηση εκτίθεται επίσης ότι, χωρίς αυτό να διευκρινίζεται από τις επίμαχες συμβάσεις στην κύρια δίκη, η Orange România δεχόταν να συμβληθεί με πελάτες οι οποίοι αρνούνταν να παράσχουν τη συγκατάθεσή τους για την αποθήκευση αντιγράφου του εγγράφου ταυτότητάς τους, απαιτώντας, στην περίπτωση αυτή, την εκ μέρους τους υπογραφή ειδικού εντύπου στο οποίο δήλωναν την άρνησή τους.

Πάντως, δεδομένου ότι, σύμφωνα με τα ως άνω στοιχεία, οι ενδιαφερόμενοι πελάτες δεν φαίνεται να συμπλήρωσαν οι ίδιοι το σχετικό με την εν λόγω ρήτρα τετραγωνίδιο, από το γεγονός και μόνον ότι το τετραγωνίδιο αυτό συμπληρώθηκε δεν μπορεί να αποδειχθεί θετική δήλωση της συγκατάθεσής τους ως προς τη συλλογή και την αποθήκευση αντιγράφου του εγγράφου ταυτότητάς τους. Πράγματι, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 45 των προτάσεών του, το γεγονός ότι οι εν λόγω πελάτες υπέγραψαν τις συμβάσεις με προσυμπληρωμένο το τετραγωνίδιο δεν αποδεικνύει, αυτό και μόνο, την παροχή συγκατάθεσης, ελλείψει ενδείξεων που να επιβεβαιώνουν ότι αυτοί όντως ανέγνωσαν την ως άνω ρήτρα και αντιλήφθηκαν το περιεχόμενό της. Εναπόκειται στο αιτούν δικαστήριο να προβεί στον αναγκαίο σχετικό έλεγχο.

Εξάλλου, στο μέτρο που η συγκεκριμένη ρήτρα σχετικά με την επεξεργασία των δεδομένων αυτών δεν παρουσιαζόταν κατά τρόπο που να τη διακρίνει σαφώς από τις λοιπές συμβατικές ρήτρες, στο αιτούν δικαστήριο εναπόκειται να κρίνει, λαμβανομένων υπόψη των εκτιμήσεων που εκτίθενται στη σκέψη 34 της παρούσας απόφασης, αν η υπογραφή των συμβάσεων αυτών που αφορά πλείονες συμβατικές ρήτρες μπορεί να θεωρηθεί ως εκδήλωση ρητής συγκατάθεσης για τη συλλογή και την αποθήκευση δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 2, στοιχείο ηʹ, της οδηγίας 95/46 και του άρθρου 4, σημείο 11, του κανονισμού 2016/679.

Επιπλέον, δεδομένου ότι η επίμαχη στην υπόθεση της κύριας δίκης συμβατική ρήτρα απλώς αναφέρει, χωρίς περαιτέρω προσδιορισμό, τους λόγους ταυτοποίησης ως σκοπό της αποθήκευσης των αντιγράφων των δελτίων ταυτότητας, στο αιτούν δικαστήριο εναπόκειται να ελέγξει αν η ενημέρωση των υποκειμένων των δεδομένων πληροί τις απαιτήσεις του άρθρου 10 της οδηγίας 95/46 και του άρθρου 13 του κανονισμού 2016/679, τα οποία ορίζουν τις πληροφορίες τις οποίες ο υπεύθυνος της επεξεργασίας οφείλει να παράσχει στο πρόσωπο από το οποίο συλλέγονται τα δεδομένα που το αφορούν προκειμένου να διασφαλιστεί έναντι αυτού η θεμιτή επεξεργασία των δεδομένων.

Εναπόκειται επίσης στο αιτούν δικαστήριο να εκτιμήσει, μεταξύ άλλων, αν οι επίμαχοι στην κύρια δίκη συμβατικοί όροι μπορούσαν να παραπλανήσουν το υποκείμενο των δεδομένων όσον αφορά τη δυνατότητα σύναψης της σύμβασης παρά την άρνηση της παροχής συγκατάθεσης για την επεξεργασία των δεδομένων του, ελλείψει διευκρινίσεων επί του σημείου αυτού, και αν, ως εκ τούτου, τίθεται εν αμφιβόλω και η εν πλήρει επιγνώσει παροχή της συγκατάθεσης που εκδηλώθηκε μέσω της εν λόγω υπογραφής.

Εξάλλου, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 60 των προτάσεών του, η ελεύθερη παροχή της ως άνω συγκατάθεσης τίθεται, κατά τα φαινόμενα, εν αμφιβόλω από το γεγονός ότι, σε περίπτωση που δεν δινόταν συγκατάθεση, η Orange România απαιτούσε, αποκλίνοντας από τη συνήθη διαδικασία σύναψης συμβάσεων, να δηλώνει ο ενδιαφερόμενος πελάτης εγγράφως ότι δεν συγκατατίθεται ούτε στη συλλογή ούτε στην αποθήκευση του αντιγράφου του εγγράφου ταυτότητάς του. Πράγματι, όπως παρατήρησε η Επιτροπή κατά την επ’ ακροατηρίου συζήτηση, μια τέτοια πρόσθετη απαίτηση μπορεί να επηρεάσει αδικαιολόγητα την ελεύθερη επιλογή του υποκειμένου των δεδομένων να εναντιωθεί στην εν λόγω συλλογή και αποθήκευση, όπερ εναπόκειται επίσης στο αιτούν δικαστήριο να εξακριβώσει.

Εν πάση περιπτώσει, όπως προκύπτει από τις εκτιμήσεις που εκτίθενται στις σκέψεις 35, 36 και 42 της παρούσας απόφασης, εναπόκειται στην Orange România, ως υπεύθυνη της επεξεργασίας των δεδομένων, να αποδείξει ότι οι πελάτες της εκδήλωσαν, με ενεργή συμπεριφορά, τη συγκατάθεσή τους στην επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα και επομένως η εταιρία αυτή δεν μπορούσε να απαιτεί από αυτούς να εκδηλώσουν ενεργά την άρνησή τους.

Κατόπιν των ανωτέρω σκέψεων, στα υποβληθέντα προδικαστικά ερωτήματα πρέπει να δοθεί η απάντηση ότι το άρθρο 2, στοιχείο ηʹ, και το άρθρο 7, στοιχείο αʹ, της οδηγίας 95/46, καθώς και το άρθρο 4, σημείο 11, και το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του κανονισμού 2016/679 έχουν την έννοια ότι ο υπεύθυνος επεξεργασίας των δεδομένων οφείλει να αποδείξει ότι το υποκείμενο των δεδομένων εκδήλωσε, με ενεργή συμπεριφορά, τη συγκατάθεσή του για την επεξεργασία των προσωπικού χαρακτήρα δεδομένων του και ότι ο ίδιος του παρέσχε προηγουμένως ενημέρωση για τις συνθήκες της επεξεργασίας στο σύνολό τους, σε κατανοητή και εύκολα προσβάσιμη μορφή και με τη χρήση σαφούς και απλής διατύπωσης, χάρη στην οποία το υποκείμενο των δεδομένων ήταν σε θέση να προσδιορίσει ευχερώς τις συνέπειες της συγκατάθεσης, προκειμένου να διασφαλιστεί ότι αυτή δόθηκε εν πλήρει γνώσει της κατάστασης. Δεν μπορεί να αποδειχθεί από σύμβαση για την παροχή υπηρεσιών τηλεφωνίας η οποία περιέχει ρήτρα κατά την οποία το υποκείμενο των δεδομένων ενημερώθηκε και συγκατατέθηκε στη συλλογή και αποθήκευση αντιγράφου του εγγράφου ταυτότητάς του, για λόγους ταυτοποίησης, ότι το υποκείμενο των δεδομένων παρέσχε εγκύρως τη συγκατάθεσή του, κατά την έννοια των διατάξεων αυτών, για τη συλλογή και την αποθήκευση, όταν

–	το τετραγωνίδιο που αντιστοιχεί στη ρήτρα αυτή έχει συμπληρωθεί από τον υπεύθυνο της επεξεργασίας των δεδομένων πριν από την υπογραφή της σύμβασης, ή όταν

–	οι συμβατικοί όροι της εν λόγω σύμβασης ενδέχεται να παραπλανήσουν το υποκείμενο των δεδομένων ως προς τη δυνατότητα σύναψης της επίμαχης σύμβασης στην περίπτωση που αρνηθεί να συγκατατεθεί στην επεξεργασία των δεδομένων του, ή όταν

–	ο υπεύθυνος επεξεργασίας θίγει αδικαιολόγητα την ελευθερία του υποκειμένου των δεδομένων να επιλέξει αν θα εναντιωθεί στη συλλογή και αποθήκευση, απαιτώντας, στην περίπτωση άρνησης παροχής της συγκατάθεσης, τη συμπλήρωση πρόσθετου εντύπου στο οποίο δηλώνεται η άρνηση αυτή.

Επί των δικαστικών εξόδων

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (δεύτερο τμήμα) αποφαίνεται:

Το άρθρο 2, στοιχείο ηʹ, και το άρθρο 7, στοιχείο αʹ, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, καθώς και το άρθρο 4, σημείο 11, και το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), έχουν την έννοια ότι ο υπεύθυνος επεξεργασίας των δεδομένων οφείλει να αποδείξει ότι το υποκείμενο των δεδομένων εκδήλωσε, με ενεργή συμπεριφορά, τη συγκατάθεσή του για την επεξεργασία των προσωπικού χαρακτήρα δεδομένων του και ότι ο ίδιος του παρέσχε προηγουμένως ενημέρωση για τις συνθήκες της επεξεργασίας στο σύνολό τους, σε κατανοητή και εύκολα προσβάσιμη μορφή και με τη χρήση σαφούς και απλής διατύπωσης, χάρη στην οποία το υποκείμενο των δεδομένων ήταν σε θέση να προσδιορίσει ευχερώς τις συνέπειες της συγκατάθεσης, προκειμένου να διασφαλιστεί ότι αυτή δόθηκε εν πλήρει γνώσει της κατάστασης. Δεν μπορεί να αποδειχθεί από σύμβαση για την παροχή υπηρεσιών τηλεφωνίας η οποία περιέχει ρήτρα κατά την οποία το υποκείμενο των δεδομένων ενημερώθηκε και συγκατατέθηκε στη συλλογή και αποθήκευση αντιγράφου του εγγράφου ταυτότητάς του, για λόγους ταυτοποίησης, ότι το υποκείμενο των δεδομένων παρέσχε εγκύρως τη συγκατάθεσή του, κατά την έννοια των διατάξεων αυτών, για τη συλλογή και την αποθήκευση, όταν

–	το τετραγωνίδιο που αντιστοιχεί στη ρήτρα αυτή έχει συμπληρωθεί από τον υπεύθυνο της επεξεργασίας των δεδομένων πριν από την υπογραφή της σύμβασης, ή όταν

–	οι συμβατικοί όροι της εν λόγω σύμβασης ενδέχεται να παραπλανήσουν το υποκείμενο των δεδομένων ως προς τη δυνατότητα σύναψης της επίμαχης σύμβασης στην περίπτωση που αρνηθεί να συγκατατεθεί στην επεξεργασία των δεδομένων του, ή όταν

–	ο υπεύθυνος επεξεργασίας θίγει αδικαιολόγητα την ελευθερία του υποκειμένου των δεδομένων να επιλέξει αν θα εναντιωθεί στη συλλογή και αποθήκευση, απαιτώντας, στην περίπτωση άρνησης παροχής της συγκατάθεσης, τη συμπλήρωση πρόσθετου εντύπου στο οποίο δηλώνεται η άρνηση αυτή.

(υπογραφές)

( *1 ) Γλώσσα διαδικασίας: η ρουμανική.