PRESUDA SUDA (drugo vijeće)

11. studenoga 2020. ( *1 )

„Zahtjev za prethodnu odluku – Direktiva 95/46/EZ – Članak 2. točka (h) i članak 7. točka (a) – Uredba (EU) 2016/679 – Članak 4. točka 11. i članak 6. stavak 1. točka (a) – Obrada osobnih podataka i zaštita privatnosti – Prikupljanje i pohrana preslika osobnih isprava od strane pružatelja mobilnih telekomunikacijskih usluga – Pojam ‚privola’ ispitanika – Dobrovoljno dana, posebna i informirana izjava volje – Izjava o privoli putem polja za označivanje – Potpisivanje ugovora od strane ispitanika – Teret dokazivanja”

U predmetu C‑61/19,

povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Tribunalul Bucureşti (Viši sud u Bukureštu, Rumunjska), odlukom od 14. studenoga 2018., koju je Sud zaprimio 29. siječnja 2019., u postupku

Orange România SA

protiv

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),

SUD (drugo vijeće),

u sastavu: A. Arabadjiev, predsjednik vijeća, T. von Danwitz (izvjestitelj) i P. G. Xuereb, suci,

nezavisni odvjetnik: M. Szpunar,

tajnik: D. Dittert, načelnik odjela,

uzimajući u obzir pisani postupak i nakon rasprave održane 11. prosinca 2019.,

uzimajući u obzir očitovanja koja su podnijeli:

za Orange România SA, D.-D. Dascălu, A.-M. Iordache, i I. Buga, avocaţi,

za Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), A. G. Opre i I. Ilie, u svojstvu agenata,

za rumunjsku vladu, prvo E. Gane, O.-C. Ichim, L. Liţu i C.-R. Canţăr, a zatim E. Gane, O.-C. Ichim et L. Liţu ,u svojstvu agenata,

za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju M. Russo, avvocato dello Stato,

za austrijsku vladu, prvo J. Schmoll i G. Hesse, a zatim J. Schmoll u svojstvu agenata,

za portugalsku vladu, L. Inez Fernandes, P. Barros da Costa, L. Medeiros i I. Oliveira, u svojstvu agenata,

za Europsku komisiju, H. Kranenborg, D. Nardi i L. Nicolae, u svojstvu agenata,

saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 4. ožujka 2020.,

donosi sljedeću

Presudu

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 2. točke (h) Direktive 95/46/EZ Europskog parlamenta i Vijeća, od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) i članka 4. točke 11. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravak SL 2018., L 127, str. 2.).

2

Zahtjev je upućen u okviru spora između Orange România SA i Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Nacionalno tijelo za nadzor obrade osobnih podataka, Rumunjska) povodom tužbe koja se odnosi na poništenje odluke kojom je to tijelo izdalo novčanu kaznu društvu Orange România jer je prikupljalo i pohranjivalo preslike osobnih isprava klijenata bez njihove valjane privole te mu je naložilo da uništi te preslike.

Pravni okvir

Pravo Unije

Direktiva 95/46

3

Uvodna izjava 38. Direktive 95/46 propisuje da „ako obrada podataka treba biti pravedna, osoba čiji se podaci obrađuju mora imati mogućnost upoznati se s postupkom obrade i, kada se podaci prikupljaju od nje, moraju se dati točni i potpuni podaci, imajući na umu okolnosti prikupljanja”.

4

Članak 2. točka (h) te direktive predviđa da u smislu te direktive:

„‚suglasnost osobe čiji se podaci obrađuju’ [‚privola ispitanika’] znači svaka dobrovoljno dana, posebna i informirana izjava volje, kojom osoba čiji se podaci obrađuju [ispitanik] daje svoju suglasnost [privolu] da se obrade osobni podaci koji se na nju [njega] odnose.”

5

Člankom 6. navedene direktive određuje se:

„1.   Države članice osiguravaju da su osobni podaci:

(a)

obrađeni pošteno i zakonito;

[…]

2.   Nadzornik mora osigurati postupanje u skladu sa stavkom 1. ovog članka.”

6

U skladu s člankom 7. točkom (a) iste direktive:

„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:

a)

je osoba čiji se podaci obrađuju [ispitanik] nedvosmisleno dala [dao] svoju suglasnost [privolu];”

7

Članak 10. te direktive glasi kako slijedi:

„Države članice propisuju da nadzornik [voditelj obrade] ili njegov zastupnik moraju dati osobi čiji se podaci obrađuju, a od koje [ispitaniku od kojeg] se prikupljaju podaci, barem sljedeće podatke, osim u slučaju da ih već ima:

(a)

identitet nadzornika [voditelja obrade] i njegova zastupnika, ako ga ima;

(b)

svrhu obrade podataka;

(c)

bilo koje daljnje podatke kao što su

primatelji ili vrste primatelja podataka,

jesu li odgovori na pitanja obvezni ili dobrovoljni te moguće posljedice u slučaju da se ne odgovori na pitanja,

postojanje prava na pristup podacima i prava na ispravljanje podataka koji se na nju odnose

ako su takvi daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci prikupljaju, osigurati poštenu obradu u odnosu na osobu čiji se podaci obrađuju.”

Uredba 2016/679

8

Uvodne izjave 32. i 42. Uredbe br. 2016/679 glase kako slijedi:

„(32)

Privola bi se trebala davati jasnom potvrdnom radnjom kojom se izražava dobrovoljan, poseban, informiran i nedvosmislen pristanak ispitanika na obradu osobnih podataka koji se odnose na njega, poput pisane izjave, uključujući elektroničku, ili usmene izjave. To bi moglo obuhvaćati označivanje polja kvačicom pri posjetu internetskim stranicama, biranje tehničkih postavki usluga informacijskog društva ili drugu izjavu ili ponašanje koje jasno pokazuje u tom kontekstu da ispitanik prihvaća predloženu obradu svojih osobnih podataka. Šutnja, polje unaprijed označeno kvačicom ili manjak aktivnosti stoga se ne bi smjeli smatrati privolom. Privola bi trebala obuhvatiti sve aktivnosti obrade koje se obavljaju u istu svrhu ili svrhe. Kada obrada ima višestruke svrhe, privolu bi trebalo dati za sve njih. Ako se privola ispitanika treba dati nakon zahtjeva upućenog elektroničkim putem, taj zahtjev mora biti jasan, jezgrovit i ne smije nepotrebno ometati upotrebu usluge za koju se upotrebljava.

[…]

(42)

Ako se obrada temelji na privoli ispitanika, voditelj obrade trebao bi moći dokazati da je ispitanik dao privolu za postupak obrade. Zaštitnim mjerama, posebno u kontekstu pisane izjave o drugom pitanju, trebalo bi se osigurati da je ispitanik svjestan činjenice da daje privolu i do koje mjere se ona daje. U skladu s Direktivom Vijeća 93/13/EEZ [od 5. travnja 1993. o nepoštenim uvjetima u potrošačkim ugovorima (SL 1993., L 95, str. 29.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 15., svezak 12., str. 24.)] izjavu o privoli koju je unaprijed sastavio voditelj obrade trebalo bi ponuditi u razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika te u njoj ne bi smjelo biti nepoštenih uvjeta. Da bi ispitanik mogao dati privolu informiran, trebao bi barem znati identitet voditelja obrade i svrhe obrade za koju se upotrebljavaju osobni podaci. Ne može se smatrati da je privola dana dobrovoljno ako ispitanik nema istinski ili slobodan izbor ili ako nije u mogućnosti odbiti ili povući privolu bez posljedica.”

9

Članak 4. stavak 11. navedene uredbe predviđa:

„,privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose.”

10

Članak 5. te uredbe propisuje:

„1.   Osobni podaci moraju biti:

(a)

zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (,zakonitost, poštenost i transparentnost’);

[…]

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (,pouzdanost’).”

11

U skladu s člankom 6. stavkom 1. točkom (a) Uredbe br. 2016/679:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a)

ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

[…]”

12

Članak 7. stavci 1., 2. i 4. Uredbe 2016/679 glasi:

„1.   Kad se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.

2.   Ako ispitanik da privolu u vidu pisane izjave koja se odnosi i na druga pitanja, zahtjev za privolu mora biti predočen tako da se može jasno razlučiti od drugih pitanja, u razumljivom i lako dostupnom obliku uz uporabu jasnog i jednostavnog jezika. Svaki dio takve izjave koji predstavlja kršenje ove Uredbe nije obvezujući.

[…]

4.   Kad se procjenjuje je li privola bila dobrovoljna, posebno se uzima u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora.”

13

Članak 13. u stavcima 1. i 2. te uredbe propisuje:

„1.   Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:

(a)

identitet i kontaktne podatke voditelja obrade i, ako je primjenjivo, predstavnika voditelja obrade

[…]

(c)

svrhe obrade radi kojih se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu;

[…]

2.   Osim informacija iz stavka 1., voditelj obrade u trenutku kada se osobni podaci prikupljaju pruža ispitaniku sljedeće dodatne informacije potrebne kako bi se osigurala poštena i transparentna obrada:

(a)

razdoblje u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterije kojima se utvrdilo to razdoblje;

(b)

postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima i ispravak ili brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika ili prava na ulaganje prigovora na obradu takvih te prava na prenosivost podataka;

(c)

ako se obrada temelji na članku 6. stavku 1. točki (a) ili članku 9. stavku 2. točki (a), postojanje prava da se u bilo kojem trenutku povuče privolu, a da to ne utječe na zakonitost obrade koja se temeljila na privoli prije nego što je ona povučena.”

14

Članak 94. stavak 1. Uredbe br. 2016/679 predviđa:

„Direktiva 95/46/EZ stavlja se izvan snage s učinkom od 25. svibnja 2018.”

15

U skladu s člankom 99. stavkom 2. Uredbe br. 2016/679., ona se primjenjuje od 25. svibnja 2018.

Rumunjsko pravo

16

Putem Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Zakon br. 677/2001 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka) (Monitorul Oficial al României, dio I, br. 790 od 12. prosinca 2001.) prenose se odredbe Direktive 95/46 u nacionalno pravo.

17

Člankom 5. stavkom 1. tog zakona određeno je:

„1.   Svaka obrada osobnih podataka, osim ako se odnosi na podatke koji pripadaju kategorijama iz članka 7. stavka 1. i članaka 8. i 10., može se provesti samo ako je ispitanik dao svoju izričitu i nedvosmislenu privolu za tu obradu.

[…]”

18

U skladu s člankom 8. navedenog zakona:

„1.   Identifikacijski broj ili drugi osobni podaci koji služe identifikaciji u opće svrhe mogu se obraditi samo ako je:

(a)

osoba čiji se podaci obrađuju izričito dala privolu; ili

(b)

obrada izričito predviđena nekom zakonskom odredbom.

2.   Nadzorno tijelo može odrediti i druge slučajeve u kojima se može izvršiti obrada podataka navedena u stavku 1. pod uvjetom da se uspostave odgovarajuće zaštitne mjere u svrhu poštovanja pravâ ispitanika.”

19

Članak 32. Zakona 677/2001 glasi:

„Nadzornik ili osoba koju je imenovao nadzornik, koja obrađuje osobne podatke protivno odredbama članaka 4. do 10. ili koja ne uzima u obzir prava iz članaka 12. do 15. ili iz članka 17., čini upravni prekršaj ako on nije počinjen u takvim okolnostima da ima obilježja kaznenog djela, i kaznit će se novčanom kaznom u iznosu od [1000] RON do [25000] RON.”

Glavni postupak i prethodna pitanja

20

Orange România pruža usluge mobilne telekomunikacije na rumunjskom tržištu.

21

Odlukom od 28. ožujka 2018. ANSPDCP je društvu Orange România izrekao novčanu kaznu jer je pohranilo preslike osobnih isprava svojih klijenata a da nije dokazalo da su ti klijenti dali valjanu privolu, nalažući mu i da uništi te preslike.

22

U toj odluci ANSPDCP je istaknuo da je u razdoblju od 1. do 26. ožujka 2018. društvo Orange România pisanim putem sklopilo ugovore o pružanju usluga mobilne telekomunikacije s fizičkim osobama i da su preslike osobnih isprava tih osoba bile priložene tim ugovorima. Prema ANSPDCP‑u ono nije pružilo dokaze da su njegovi klijenti, čijim su ugovorima priložene preslike osobnih isprava, dali svoju valjanu privolu u pogledu prikupljanja i pohrane preslika njihovih osobnih isprava.

23

Relevantne klauzule predmetnog ugovora glasile su:

„Klijent izjavljuje da je:

(i)

prije sklapanja ugovora obaviješten o odabranom tarifnom modelu, primjenjivim tarifama, minimalnom trajanju ugovora, uvjetima prestanka ugovora i uvjetima dobivanja i korištenja usluga, uključujući i područje pokrivenosti usluga […];

(ii)

društvo Orange România pružilo klijentu sve informacije potrebne kako bi mogao dati izričitu, slobodnu i posebnu privolu bez mana volje za sklapanje i izričito prihvaćanje ugovora, uključujući svu ugovornu dokumentaciju, odnosno Opće uvjete o korištenju usluga Orangea i informativni dokument o tarifama i uslugama;

(iii)

informiran i da je dao privolu vezano uz:

obradu osobnih podataka u svrhe iz članka 1.15 Općih uvjeta za korištenje usluga Orangea;

činjenicu da će [Orange] pohraniti preslike dokumenata s osobnim podacima kojima se dokazuje njegov identitet;

obradu osobnih podataka (kontaktni broj i adresa elektroničke pošte) u svrhu izravnog marketinga;

obradu osobnih podataka (kontaktni broj i adresa elektroničke pošte) u svrhu istraživanja tržišta;

pročitao/la sam i dajem izričitu privolu za pohranjivanje preslika isprava koje sadržavaju osobne podatke koji se odnose na zdravstveno stanje;

činjenicu da podaci iz članka 1.15 stavka 10. Općih uvjeta za korištenje usluga Orangea nisu uključeni u usluge informiranja vezane uz pretplatnike i registre pretplatnika.”

24

Društvo Orange România je podnijelo tužbu protiv odluke od 28. ožujka 2018. pred Tribunalulom Bucureşti (Viši sud u Bukureštu, Rumunjska).

25

Prema utvrđenjima suda koji je uputio zahtjev, s jedne strane, postoje ugovori u kojima je umetnut križić u polje koje se odnosi na klauzulu koja se tiče pohrane preslika akata koji sadržavaju osobne podatke u svrhu utvrđenja identiteta i, s druge strane, ugovori u kojima takvog križića nema. Taj sud precizira da, unatoč navodima sadržanima u općim uvjetima prodaje, Orange România nije odbio sklapati ugovore o pretplati s klijentima koji su odbili dati privolu za pohranu preslike jedne od njihovih osobnih isprava. Navedeni sud također ističe da su „interni prodajni postupci” društva Orange România predviđali da se to odbijanje mora dokumentirati u posebnom obrascu, koji ti klijenti trebaju potpisati prije sklapanja ugovora.

26

Sud koji je uputio zahtjev pita se može li se smatrati, u tim okolnostima, da su dotični klijenti valjano pristali na uzimanje njihove osobne isprave i da se njihove preslike prilože ugovorima. Osim toga, pita se može li potpisivanje ugovora u kojem se nalazi klauzula koja se odnosi na pohranu preslika akata koji sadržavaju osobne podatke u svrhu identifikacije dokazati postojanje takve privole.

27

U tim okolnostima Tribunalul București (Viši sud u Bukureštu, Rumunjska) odlučio je prekinuti postupak i Sudu uputiti sljedeća prethodna pitanja:

„1.

Koji uvjeti moraju biti ispunjeni, u smislu članka [2.] točke (h) Direktive 95/46, kako bi se izjava volje smatrala posebnom i informiranom?

2.

Koji uvjeti moraju biti ispunjeni, u smislu članka 2. točke (h) Direktive 95/46, kako bi se izjava volje smatrala dobrovoljnom?”

O prethodnim pitanjima

28

Uvodno treba utvrditi primjenjuju li se Direktiva 95/46 i Uredba 2016/679 na činjenice iz glavnog postupka.

29

Direktiva 95/46 stavljena je izvan snage i zamijenjena Uredbom 2016/679 s učinkom od 25. svibnja 2018. na temelju članka 94. stavka 1. i članka 99. stavka 2. te uredbe.

30

Stoga, budući da je odluka ANSPDCP‑a koja je predmet glavnog postupka donesena 28. ožujka 2018., i prema tome prije 25. svibnja 2018., sud koji je uputio zahtjev ispravno smatra da se na glavni postupak ratione temporis primjenjuje Direktiva 95/46.

31

Međutim, iz spisa podnesenog Sudu također proizlazi da ANSPDCP svojom odlukom nije samo izrekao novčanu kaznu društvu Orange România, nego mu je i naložio da uništi preslike predmetnih osobnih isprava, i da se glavni postupak odnosi i na taj nalog. No, budući da niti jedan element tog spisa ne ukazuje na to da se postupilo po navedenom nalogu prije 25. svibnja 2018., nije isključeno da je na njega u ovom slučaju Uredba 2016/679 primjenjiva ratione temporis (vidjeti u tom smislu presudu od 1. listopada 2019., Planet49, C‑673/17, EU:C:2019:801, t. 41.).

32

U tim okolnostima, kako bi se Sudu omogućilo da pruži korisne odgovore na pitanja koja je postavio sud koji je uputio zahtjev, na ta pitanja valja odgovoriti na temelju kako Direktive 95/46 tako i Uredbe 2016/679 (vidjeti analogijom presudu od 1. listopada 2019., Planet49, C‑673/17, EU:C:2019:801, t. 43.).

33

Svojim dvama prethodnim pitanjima, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 2. točku (h) i članak 7. točku (a) Direktive 95/46 i članak 4. točku 11. i članak 6. stavak 1. točku (a) Uredbe 2016/679 tumačiti na način da ugovor koji se odnosi na pružanje telekomunikacijskih usluga, koji sadržava klauzulu prema kojoj je ispitanik informiran i dao privolu za prikupljanje i pohranu preslike svoje osobne isprave u svrhu utvrđivanja identiteta može dokazati da je taj ispitanik valjano dao svoju privolu, u smislu tih odredaba, za to prikupljanje i pohranu.

34

U tom pogledu valja podsjetiti da članak 7. Direktive 95/46 i članak 6. Uredbe 2016/679 sadržavaju taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom (vidjeti u pogledu članka 7. Direktive 95/46 presudu od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 57. i navedenu sudsku praksu, i od 1. listopada 2019., Planet49, C‑673/17, EU:C:2019:801, t. 53.). Konkretno, članak 7. točka (a) te direktive i članak 6. stavak 1. točka (a) navedene uredbe predviđaju da privola ispitanika može učiniti takvu obradu zakonitom.

35

Što se tiče zahtjeva kojima je podvrgnuta takva suglasnost, članak 7. točka (a) navedene direktive propisuje da je osoba čiji se podaci obrađuju „mora[la] nedvosmisleno da[ti] svoju suglasnost”, dok članak 2. točka (h) Direktive 95/46 definira pojam „suglasnost” kao „svaka dobrovoljno dana, posebna i informirana izjava volje, kojom osoba čiji se podaci obrađuju daje svoju suglasnost da se obrade osobni podaci koji se na nju odnose”. Budući da te odredbe predviđaju da osoba čiji se podaci obrađuju daje „dobrovoljnu izjavu volje” kako bi „nedvosmisleno” dala svoju suglasnost, samo se aktivno postupanje od strane te osobe kako bi pokazala svoju volju može uzeti u obzir (vidjeti u tom smislu presudu od 1. listopada 2019., Planet49, C‑673/17, EU:C:2019:801, t. 52. i 54.).

36

Taj isti zahtjev primjenjuje se također u okviru Uredbe 2016/679. Naime, sadržaj članka 4. točke 11. te uredbe, koji definira „privolu ispitanika” osobito u svrhu članka 6. stavka 1. točke (a) te uredbe, stroži je od onog iz članka 2. točke (h) Direktive 95/46 jer zahtijeva izražavanje želja ispitanika koje je „dobrovoljno, posebno, informirano i nedvosmisleno” u obliku izjave ili „jasn[e] potvrdn[e] radnj[e]” kojom se daje pristanak na obradu osobnih podataka koji se na njega odnose. Stoga je Uredbom 2016/679 od sada izričito predviđena aktivna privola (vidjeti u tom smislu presudu od 1. listopada 2019., Planet49, C‑673/17, EU:C:2019:801, t. 61. do 63.).

37

U tom pogledu, iako uvodna izjava 32. te uredbe precizira da se davanje privole može učiniti među ostalim označivanjem polja kvačicom pri posjetu internetskim stranicama izričito isključuje postojanje privole u slučaju „šutnj[e], unaprijed kvačicom označeno[g] polj[a] ili manj[ka] aktivnosti”. Kao što je Sud već presudio, u takvom slučaju praktično je nemoguće objektivno odrediti je li korisnik internetske stranice doista dao svoju privolu za obradu svojih osobnih podataka tako što nije uklonio oznaku iz polja koje je bilo unaprijed označeno i, u svakom slučaju, je li prilikom davanja privole bio informiran. Naime, ne može se isključiti mogućnost da taj korisnik nije pročitao informacije navedene uz polje koje je bilo unaprijed označeno kvačicom, odnosno da to polje nije ni primijetio, prije nego što je nastavio svoju aktivnost na internetskoj stranici koju posjećuje (vidjeti u tom smislu presudu od 1. listopada 2019., Planet49, C‑673/17, EU:C:2019:801, t. 55. i 57.).

38

Osim toga, članak 2. točka (h) Direktive 95/46 i članak 4. točka 11. Uredbe 2016/679 zahtijevaju „posebnu” izjavu volje u smislu da se mora odnositi upravo na dotičnu obradu podataka i ne može se zaključiti iz izjave volje koja ima drugačiji cilj (vidjeti, u pogledu članka 2. točke (h) Direktive 95/46, presudu od 1. listopada 2019., Planet49, C‑673/17, EU:C:2019:801, t. 58.).

39

U tom pogledu člankom 7. stavkom 2. prvom rečenicom te uredbe precizirano je da ako ispitanik da privolu u vidu pisane izjave koja se odnosi i na druga pitanja, zahtjev za privolu mora biti predočen na način da ga se može jasno razlučiti od drugih pitanja. Iz te odredbe, u vezi s uvodnom izjavom 42. navedene uredbe, osobito proizlazi da takva izjava mora biti dana u razumljivom i lako dostupnom obliku te uz uporabu jasnog i jednostavnog jezika, osobito kada je riječ o izjavi o privoli koju unaprijed sastavlja voditelj obrade osobnih podataka.

40

Kada je riječ o zahtjevu koji proizlazi iz članka 2. točke (h) Direktive 95/46 i članka 4. točke 11. Uredbe 2016/679 prema kojem suglasnost mora biti „informirana”, taj zahtjev podrazumijeva u skladu s člankom 10. te direktive, u vezi s njezinom uvodnom izjavom 38., kao i s člankom 13. te uredbe, u vezi s njezinom uvodnom izjavom 42., da voditelj obrade pruži ispitaniku informaciju u pogledu svih okolnosti obrade podataka u razumljivom i lako dostupnom obliku i uz uporabu jasnog i jednostavnog jezika, pri čemu taj ispitanik mora među ostalim poznavati vrstu podataka koje treba obraditi, identitet voditelja obrade, trajanje i vrste te obrade kao i njezine svrhe. Takva informacija mora omogućiti navedenom ispitaniku da lako odredi posljedice privole koju može dati i jamčiti da je privola dana uz potpuno poznavanje činjenica (vidjeti analogijom presudu od 1. listopada 2019., Planet49, C‑673/17, EU:C:2019:801, t. 74.).

41

Osim toga, kao što je Komisija iznijela u svojim očitovanjima koja je podnijela Sudu, iz članka 10. točke (c) druge alineje Direktive 95/46 i članka 13. stavka 2. točke (b) i točke (c) Uredbe 2016/679, u vezi s njezinom uvodnom izjavom 42., proizlazi da, kako bi se ispitaniku osigurala stvarna sloboda izbora, ugovorne odredbe ne smiju ispitanika dovesti u zabludu u pogledu mogućnosti da sklopi ugovor čak i ako odbije pristati na obradu svojih podataka. Ako ne postoje informacije te vrste, ne može se smatrati da je suglasnost tog ispitanika za obradu njegovih osobnih podataka dana dobrovoljno kao ni uostalom da je dana informirano.

42

Valja dodati da je na temelju članka 6. stavka 1. točke (a) i stavka 2. Direktive 95/46 kao i članka 5. stavka 1. točke (a) Uredbe 2016/679 voditelj obrade osobnih podataka dužan osigurati među ostalim zakonitost obrade tih podataka i da, kao što je precizirano u stavku 2. tog članka 5., mora moći dokazati tu zakonitost. Kada je riječ osobito o eventualnoj privoli ispitanika, članak 7. točka (a) te direktive predviđa da ispitanik mora „nedvosmisleno” dati svoju privolu, što podrazumijeva, kao što je iznio i nezavisni odvjetnik u točki 56. svojeg mišljenja, da je teret dokazivanja postojanja privole na voditelju obrade. Člankom 7. stavkom 1. navedene uredbe određuje se da kada se obrada temelji na privoli, taj voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.

43

U ovom slučaju Orange România u svojim očitovanjima podnesenima Sudu ističe da su tijekom postupka sklapanja ugovora koji su predmet glavnog postupka njegovi prodajni agenti informirali dotične klijente, prije sklapanja ugovora, među ostalim o svrsi prikupljanja i pohrane preslika osobnih isprava kao i o izboru koji klijenti imaju u pogledu tog prikupljanja i pohrane, prije dobivanja usmene privole tih klijenata za to prikupljanje i pohranu. Prema društvu Orange România, polje koje se odnosi na pohranu preslika osobnih isprava bilo je dakle označeno samo na temelju dobrovoljno izražene privole koju su u tom smislu dale predmetne osobe prilikom sklapanja ugovora.

44

U tim okolnostima zahtjevom za prethodnu odluku želi se u biti razjasniti može li se tako navedena privola za obradu osobnih podataka dokazati na temelju ugovornih odredbi sadržanih u tim ugovorima.

45

U tom pogledu iz navoda sadržanih u tom zahtjevu proizlazi da, iako navedeni ugovori sadržavaju klauzulu prema kojoj su dotični klijenti bili informirani i dali su privolu za pohranu preslike svoje osobne isprave u svrhu utvrđenja identiteta, polje koje se odnosi na tu klauzulu već su bili označili prodajni agenti društva Orange România prije nego što su klijenti stavili potpis kojim prihvaćaju sve ugovorne klauzule, odnosno kako navedenu klauzulu tako i druge koje nisu bile vezane uz zaštitu podataka. U navedenom zahtjevu je također navedeno da, iako to nije precizirano u ugovorima koji su predmet glavnog postupka, Orange România je prihvaćao sklopiti te ugovore s klijentima koji su odbijali dati privolu za pohranu preslike njihove osobne isprave, zahtijevajući pritom da u tom slučaju ti klijenti potpišu posebni obrazac kojim se evidentira njihovo odbijanje.

46

No, budući da se prema tim navodima čini da dotični klijenti nisu sami označili polje koje se odnosi na navedenu klauzulu, na temelju same činjenice da je to polje bilo označeno ne može se utvrditi nedvojbeno davanje privole tih klijenata da se prikupi i pohrani preslika njihove osobne isprave. Naime, kao što je nezavisni odvjetnik istaknuo u točki 45. svojeg mišljenja, na temelju same okolnosti prema kojoj su navedeni klijenti potpisali ugovore koji sadržavaju označeno polje nije moguće utvrditi postojanje takve suglasnosti ako ne postoje indikacije koje potvrđuju da je ta klauzula doista bila pročitana i shvaćena. Na sudu koji je uputio zahtjev je da izvrši potrebne provjere u tom pogledu.

47

Nadalje, u mjeri u kojoj proizlazi da označena klauzula koja se odnosi na obradu tih podataka nije bila predočena tako da se može jasno razlikovati od drugih ugovornih klauzula, na njemu je da ocijeni može li se, s obzirom na razmatranja iz točke 34. ove presude, potpis tih ugovora koji se odnosi na više ugovornih klauzula smatrati davanjem posebne privole za prikupljanje i pohranu osobnih podataka u smislu članka 2. točke (h) Direktive 95/46 i članka 4. točke 11. Uredbe 2016/679.

48

Štoviše, budući da ugovorna klauzula koja je predmet glavnog postupka samo naznačuje, pritom ne pružajući nikakva druga pojašnjenja, da je svrha pohrane preslike osobnih iskaznica utvrđivanje identiteta, na sudu koji je uputio zahtjev je da provjeri ispunjava li informiranje ispitanika zahtjeve članka 10. Direktive 95/46 i članka 13. Uredbe 2016/679, koji propisuju informacije koje voditelj obrade mora pružiti osobi od koje prikuplja podatke kako bi osigurao poštenu obradu podataka koji se odnose na nju.

49

Također je na tom sudu da ocijeni osobito jesu li ugovorne odredbe koje su predmet glavnog postupka mogle ispitanika dovesti u zabludu u pogledu mogućnosti sklapanja ugovora unatoč odbijanju davanja privole za obradu njegovih podataka ako ne postoje pojašnjenja o tome, dovodeći stoga u pitanje jasnoću i informiranost privole dane navedenim potpisom.

50

Nadalje, kao što je istaknuo nezavisni odvjetnik u točki 60. svojeg mišljenja, proizlazi da je dobrovoljna narav te privole dovedena u pitanje okolnošću da je u slučaju odbijanja njezina davanja Orange România tražio, odstupajući od redovnog postupka koji vodi do sklapanja ugovora, da dotični klijent pisanim putem izjavi da ne pristaje ni na prikupljanje ni na pohranu preslike osobne isprave. Naime, kao što je Komisija iznijela na raspravi, takav dodatni zahtjev može neopravdano utjecati na slobodni izbor ispitanika da se protivi tom prikupljanju i pohrani, što je također na sudu koji je uputio zahtjev da provjeri.

51

U svakom slučaju, kao što proizlazi iz razmatranja u točkama 35., 36. i 42. ove presude, na društvu Orange România, koje je voditelj obrade podataka, je da dokaže da su njegovi klijenti, aktivnim postupanjem, izrazili svoju privolu za obradu svojih osobnih podataka, tako da to društvo ne može zahtijevati da aktivno izraze svoje odbijanje.

52

S obzirom na prethodna razmatranja, na postavljena pitanja valja odgovoriti da članak 2. točku (h) i članak 7. točku (a) Direktive 95/46 kao i članak 4. točku 11. i članak 6. stavak 1. točku (a) Uredbe 2016/679 treba tumačiti na način da je na voditelju obrade podataka da dokaže da je ispitanik aktivnim postupanjem izrazio svoju privolu za obradu svojih osobnih podataka i da je prethodno dobio informaciju o svim okolnostima te obrade u razumljivom i lako dostupnom obliku i uz uporabu jasnog i jednostavnog jezika, omogućujući mu da lako utvrdi posljedice te privole, tako da je zajamčeno da je ona dana uz potpuno poznavanje činjenica. Ugovorom koji se odnosi na pružanje telekomunikacijskih usluga, koji sadržava klauzulu prema kojoj je ispitanik bio informiran i dao je privolu za prikupljanje i pohranu preslike svoje osobne isprave u svrhu utvrđivanja identiteta, ne može se dokazati da je taj ispitanik valjano dao svoju privolu u smislu tih odredbi za to prikupljanje i pohranu kada

je polje koje se odnosi na tu klauzulu označio voditelj obrade podataka prije potpisivanja tog ugovora, ili kada

ugovorne odredbe navedenog ugovora mogu ispitanika dovesti u zabludu u pogledu mogućnosti sklapanja predmetnog ugovora čak i ako on odbije pristati na obradu podataka, ili kada

taj voditelj neopravdano utječe na slobodan izbor ispitanika da se protivi tom prikupljanju i pohrani, zahtijevajući od njega, kako bi odbio dati svoju privolu, da ispuni dodatni obrazac kojim se evidentira to odbijanje.

Troškovi

53

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

 

Slijedom navedenoga, Sud (drugo vijeće) odlučuje:

 

Članak 2. točku (h) i članak 7. točku (a) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka te članak 4. točku 11. i članak 6. stavak 1. točku (a) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da je na voditelju obrade podataka da dokaže da je ispitanik aktivnim postupanjem izrazio svoju privolu za obradu svojih osobnih podataka i da je prethodno dobio informaciju o svim okolnostima te obrade, u razumljivom i lako dostupnom obliku i uz uporabu jasnog i jednostavnog jezika, omogućujući mu da lako utvrdi posljedice te privole, tako da je zajamčeno da je ona dana uz potpuno poznavanje činjenica. Ugovorom koji se odnosi na pružanje telekomunikacijskih usluga, koji sadržava klauzulu prema kojoj je ispitanik bio informiran i dao je privolu za prikupljanje i pohranu preslike svoje osobne isprave u svrhu utvrđivanja identiteta, ne može se dokazati da je taj ispitanik valjano dao svoju privolu u smislu tih odredbi, za to prikupljanje i pohranu kada

 

je polje koje se odnosi na tu klauzulu označio voditelj obrade podataka prije potpisivanja tog ugovora, ili kada

ugovorne odredbe navedenog ugovora mogu ispitanika dovesti u zabludu u pogledu mogućnosti sklapanja predmetnog ugovora čak i ako on odbije pristati na obradu svojih podataka, ili kada

taj voditelj neopravdano utječe na slobodan izbor ispitanika da se protivi tom prikupljanju i pohrani, zahtijevajući od njega, kako bi odbio dati svoju privolu, da ispuni dodatni obrazac kojim se evidentira to odbijanje.

 

Potpisi


( *1 ) Jezik postupka: rumunjski