–

w imieniu Orange România SA – D.-D. Dascălu, A.-M. Iordache i I. Buga, avocaţi,

–

w imieniu Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) – A.G. Opre i I. Ilie, w charakterze pełnomocników,

–

w imieniu rządu rumuńskiego – początkowo E. Gane, O.-C. Ichim, L. Liţu i C.-R. Canţăr, a następnie E. Gane, O.-C. Ichim i L. Liţu, w charakterze pełnomocników,

–

w imieniu rządu włoskiego – G. Palmieri, w charakterze pełnomocnika, którą wspierała M. Russo, avvocato dello Stato,

–

w imieniu rządu austriackiego – początkowo J. Schmoll i G. Hesse, a następnie J. Schmoll, w charakterze pełnomocników,

–

w imieniu rządu portugalskiego – L. Inez Fernandes, P. Barros da Costa, L. Medeiros i I. Oliveira, w charakterze pełnomocników,

–

w imieniu Komisji Europejskiej – H. Kranenborg, D. Nardi i L. Nicolae, w charakterze pełnomocników,

1

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 2 lit. h) dyrektywy Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31), a także art. 4 pkt 11 rozporządzenia (UE) 2016/679 Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1).

2

Wniosek ten został złożony w ramach sporu pomiędzy Orange România SA a Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (krajowym organem nadzoru nad przetwarzaniem danych osobowych, Rumunia) w przedmiocie skargi zmierzającej do stwierdzenia nieważności decyzji, na mocy której organ ten nałożył na Orange România grzywnę za gromadzenie i przechowywanie kopii dokumentów tożsamości swych klientów bez uzyskania ich ważnej zgody oraz nakazał tej spółce zniszczenie owych kopii.

3

Motyw 38 dyrektywy 95/46 stanowi, że „[j]eżeli przetwarzanie danych ma być rzetelne, osoba, której dane dotyczą, musi mieć możliwość dotarcia do informacji o wystąpieniu czynności przetwarzania danych oraz, jeżeli dane są uzyskiwane od niej, musi otrzymać dokładne i pełne informacje, uwzględniające okoliczności pozyskiwania danych”.

4

Artykuł 2 lit. h) tej dyrektywy przewiduje, że do celów tego aktu:

„»zgoda osoby, której dane dotyczą«, oznacza konkretne i świadome, dobrowolne wskazanie [wyrażenie woli] przez osobę, której dane dotyczą, na to, że [poprzez które] wyraża [ona] przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych”.

5

Artykuł 6 wspomnianej dyrektywy stanowi:

„1.   Państwa członkowskie zapewniają, aby dane osobowe były:

[…]

2.   Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1”.

6

Zgodnie z brzmieniem art. 7 lit. a) omawianej dyrektywy:

„Państwa członkowskie zapewniają, że [by] dane osobowe mogą [mogły] być przetwarzane tylko wówczas gdy:

7

Artykuł 10 tej dyrektywy ma następujące brzmienie:

„Państwa członkowskie zapewniają, aby administrator danych lub jego przedstawiciel miał obowiązek przedstawienia osobie, której dane dotyczą i od której gromadzone są dane, co najmniej następujących informacji, z wyjątkiem przypadku, kiedy informacje takie już posiada:

o ile takie dalsze informacje są potrzebne, biorąc od uwagę szczególne okoliczności, w których dane są gromadzone, w celu zagwarantowania rzetelnego przetwarzania danych w stosunku do osoby, której dane dotyczą”.

8

Motywy 32 i 42 rozporządzenia 2016/679 stanowią:

[…]

9

Artykuł 4 pkt 11 wspomnianego rozporządzenia stanowi:

„»zgoda« osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie [wyrażenie] woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”.

10

Artykuł 5 tego rozporządzenia stanowi:

„1.   Dane osobowe muszą być:

[…]

2.   Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”.

11

Zgodnie z art. 6 ust. 1 lit. a) rozporządzenia 2016/679:

„1.   Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

[…]”.

12

Artykuł 7 ust. 1, 2 i 4 rozporządzenia 2016/679 ma następujące brzmienie:

„1.   Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.

2.   Jeżeli osoba, której dane dotyczą, wyraża zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Część takiego oświadczenia osoby, której dane dotyczą, stanowiąca naruszenie niniejszego rozporządzenia nie jest wiążąca.

[…]

4.   Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy”.

13

Artykuł 13 tego rozporządzenia stanowi w ust. 1 i 2:

„1.   Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, podczas pozyskiwania danych osobowych administrator podaje jej wszystkie następujące informacje:

[…]

[…]

2.   Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:

14

Artykuł 94 ust. 1 rozporządzenia 2016/679 stanowi:

„Dyrektywa 95/46/WE zostaje uchylona ze skutkiem od dnia 25 maja 2018 r.”.

15

Zgodnie z art. 99 ust. 2 rozporządzenia 2016/679 ma ono zastosowanie od dnia 25 maja 2018 r.

16

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (ustawa nr 677/2001 o ochronie osób w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych) (Monitorul Oficial al României, część I, nr 790 z dnia 12 grudnia 2001 r.) ma na celu transpozycję przepisów dyrektywy 95/46 do krajowego porządku prawnego.

17

Artykuł 5 ust. 1 tej ustawy stanowi:

„1)   Dane osobowe – z wyjątkiem danych należących do kategorii, o których mowa w art. 7 ust. 1, art. 8 i 10 – mogą być przetwarzane wyłącznie wówczas, gdy osoba, której dane dotyczą, wyraziła na to jednoznaczną i wyraźną zgodę.

[…]”.

18

Zgodnie z art. 8 wspomnianej ustawy:

„1)   Przetwarzanie osobistego kodu numerycznego lub innych danych osobowych, które pełnią funkcję identyfikacji, mającą ogólne zastosowanie, może być dokonywane, tylko jeżeli:

2)   Organ nadzoru może również określić inne przypadki, w których możliwe jest przetwarzanie danych, przewidziane w ust. 1, wyłącznie pod warunkiem ustanowienia odpowiednich gwarancji poszanowania praw osób, których dane dotyczą”.

19

Artykuł 32 ustawy nr 677/2001 ma następujące brzmienie:

„Przetwarzanie danych osobowych przez operatora lub wyznaczoną przez niego osobę z naruszeniem przepisów art. 4–10 lub bez należytego uwzględnienia praw przewidzianych w art. 12–15 lub w art. 17 stanowi wykroczenie administracyjne, chyba że jest dokonywane w warunkach, w których stanowi przestępstwo, i podlega karze pieniężnej w wysokości odi [1000] RON doi [25000] RON”.

20

Orange România jest dostawcą usług telefonii ruchomej na rynku rumuńskim.

21

Decyzją z dnia 28 marca 2018 r. ANSPDCP nałożyło na Orange România grzywnę za przechowywanie kopii dokumentów tożsamości klientów bez wykazania, że wyrazili na to ważną zgodę, a przy tym nałożyło na tę spółkę obowiązek zniszczenia owych kopii.

22

W decyzji tej ANSPDCP wskazało, że w okresie od dnia 1 do dnia 26 marca 2018 r. Orange România zawierała z osobami fizycznymi mające formę pisemną umowy o świadczenie usług telefonii ruchomej i że do umów tych załączano kopie dokumentów tożsamości tych osób. Zdaniem ANSPDCP spółka nie przedstawiła dowodu na to, że jej klienci zawierający umowy, do których załączone były kopie dowodów tożsamości, udzielili ważnej zgody na gromadzenie i przechowywanie owych kopii.

23

Odnośne postanowienia rzeczonych umów zostały zredagowane w następujący sposób:

„– Konsument oświadcza, że:

24

Orange România wniosła skargę na decyzję z dnia 28 marca 2018 r. do Tribunalul Bucureşti (sądu okręgowego w Bukareszcie, Rumunia).

25

Zgodnie z ustaleniami sądu odsyłającego istnieją, po pierwsze, umowy, w wypadku których umieszczono krzyżyk w polu wyboru właściwym dla klauzuli dotyczącej przechowywania kopii dokumentów zawierających dane osobowe do celów identyfikacji, a po drugie, umowy, w których krzyżyka takiego nie umieszczono. Sąd ten wyjaśnia, że pomimo wskazań zawartych w ogólnych warunkach sprzedaży Orange România nie odmawiała zawierania z konsumentami umów abonamentu, nawet gdy odmawiali oni wyrażenia zgody na zatrzymanie kopii dowodu tożsamości. Wspomniany sąd wskazuje ponadto, że „wewnętrzne procedury” sprzedaży Orange România przewidywały, że odmowa ta powinna zostać udokumentowana w specjalnym formularzu, który klienci mieli podpisać przed zawarciem umowy.

26

Sąd odsyłający zastanawia się nad kwestią, czy w tych okolicznościach można uznać, że zainteresowani konsumenci w skuteczny sposób wyrażali zgodę na sporządzanie kopii swych dowodów tożsamości i załączanie tych kopii do umów. Ponadto sąd ten zastanawia się, czy podpisanie umowy, w której zamieszczona jest klauzula dotycząca przechowywania kopii dokumentów zawierających dane osobowe do celów identyfikacji, pozwala na wykazanie istnienia takiej zgody.

27

W tych okolicznościach Tribunalul București (sąd okręgowy w Bukareszcie) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

28

Na wstępie należy ustalić, czy dyrektywa 95/46 i rozporządzenie 2016/679 znajdują zastosowane do okoliczności faktycznych badanych w postępowaniu głównym.

29

Ze skutkiem od dnia 25 maja 2018 r. dyrektywa 95/46 została uchylona i zastąpiona rozporządzeniem 2016/679, na podstawie art. 94 ust. 1 i art. 99 ust. 2 tego rozporządzenia.

30

W związku z tym, ponieważ badana w postępowaniu głównym decyzja ANSPDCP została wydana w dniu 28 marca 2018 r., a zatem przed dniem 25 maja 2018 r., sąd odsyłający słusznie uważa, że dyrektywa 95/46 ma zastosowanie ratione temporis do sporu w postępowaniu głównym.

31

Niemniej z akt sprawy przedłożonych Trybunałowi wynika również, że ANSPDCP w swej decyzji nie tylko nałożyło grzywnę na Orange România, ale także nałożyło na tę spółkę obowiązek zniszczenia zgromadzonych kopii dokumentów tożsamości, oraz że spór w postępowaniu głównym dotyczy również tego drugiego nakazu. Ponieważ jednak żaden element akt sprawy nie wskazuje na to, iż wspomniany nakaz został wykonany przed dniem 25 maja 2018 r., nie jest wykluczone, że w niniejszym przypadku rozporządzenie 2016/679 znajduje zastosowanie ratione temporis w odniesieniu do tego nakazu (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 41).

32

W tych okolicznościach, aby umożliwić Trybunałowi udzielenie użytecznej odpowiedzi na pytania przedstawione przez sąd odsyłający, należy odpowiedzieć na te pytania na podstawie zarówno dyrektywy 95/46, jak i rozporządzenia 2016/679 (zob. analogicznie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 43).

33

Poprzez swe dwa pytania prejudycjalne, które należy przeanalizować łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 2 lit. h) i art. 7 lit. a) dyrektywy 95/46, a także art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia 2016/679 należy interpretować w ten sposób, że umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę, zgodnie z którą osoba, której dane dotyczą, została poinformowana o sporządzeniu i przechowywaniu kopii swego dowodu tożsamości do celów identyfikacji oraz wyraziła na to zgodę, może posłużyć do wykazania, że osoba ta skutecznie wyraziła zgodę, w rozumieniu wskazanych przepisów, na sporządzenie tej kopii i jej przechowywanie.

34

W tym względzie należy przypomnieć, że art. 7 dyrektywy 95/46 i art. 6 rozporządzenia 2016/679 przewidują zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem (w odniesieniu do art. 7 dyrektywy 95/46 zob. wyroki: z dnia 19 października 2016 r., Breyer, C‑582/14, EU:C:2016:779, pkt 57 i przytoczone tam orzecznictwo; z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 53). W szczególności art. 7 lit. a) tej dyrektywy i art. 6 ust. 1 lit. a) wspomnianego rozporządzenia przewidują, że zgoda osoby, której dane dotyczą, może sprawić, że takie przetwarzanie danych stanie się zgodne z prawem.

35

Co się tyczy wymogów, jakim podlega taka zgoda, art. 7 lit. a) wspomnianej dyrektywy stanowi, że osoba, której dane dotyczą, musi „jednoznacznie wyrazi[ć] […] zgodę”, podczas gdy art. 2 lit. h) dyrektywy 95/46 definiuje termin „zgoda” jako oznaczający „konkretne i świadome, dobrowolne wskazanie [wyrażenie woli] przez osobę, której dane dotyczą na to, że [poprzez które] wyraża [ona] przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych”. Ponieważ przepisy te przewidują, że osoba, której dane dotyczą, dokonuje „wyrażenia woli” w celu „jednoznacznego” udzielenia swej zgody, pod uwagę może być brane jedynie czynne zachowanie tej osoby mające na celu wyrażenie zgody (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 52, 54).

36

Ten sam wymóg ma zastosowanie również na gruncie rozporządzenia 2016/679. Brzmienie art. 4 pkt 11 tego rozporządzenia, który definiuje „zgodę osoby, której dane dotyczą”, między innymi do celów art. 6 ust. 1 lit. a) tego rozporządzenia, wydaje się bowiem jeszcze bardziej rygorystyczne niż brzmienie art. 2 lit. h) dyrektywy 95/46, gdyż przepis ten wymaga „dobrowolnego, konkretnego, świadomego i jednoznacznego” wyrażenia woli przez osobę, której dane dotyczą, w postaci oświadczenia lub „wyraźnego działania potwierdzającego” oznaczającego zgodę tej osoby na przetwarzanie dotyczących jej danych osobowych. Czynna zgoda jest zatem obecnie wyraźnie przewidziana w rozporządzeniu 2016/679 (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 61–63).

37

W tym względzie, chociaż w motywie 32 tego rozporządzenia wskazano, że wyrażenie zgody może nastąpić w szczególności poprzez zaznaczenie okienka wyboru podczas przeglądania strony internetowej, to jednak wykluczono istnienie zgody „w przypadku milczeni[a], okien[ek] domyślnie zaznaczon[ych] lub niepodjęci[a] działania”. Jak orzekł już Trybunał, w takim przypadku praktycznie niemożliwe wydaje się ustalenie w sposób obiektywny, czy użytkownik strony internetowej rzeczywiście wyraził zgodę na przetwarzanie jego danych osobowych poprzez to, że nie usunął domyślnego zaznaczenia okienka wyboru, a w każdym razie czy zgoda ta została udzielona w sposób świadomy. Nie można bowiem wykluczyć, że wspomniany użytkownik nie przeczytał informacji towarzyszących domyślnie zaznaczonemu okienku wyboru czy wręcz nie zwrócił uwagi na to okienko przed podjęciem dalszej aktywności na odwiedzanej przezeń stronie internetowej (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 55, 57).

38

Ponadto art. 2 lit. h) dyrektywy 95/46 i art. 4 pkt 11 rozporządzenia 2016/679 wymagają, aby wyrażenie woli było „konkretne”, co oznacza, że musi ono odnosić się dokładnie do określonego przetwarzania danych i nie może zostać wywnioskowane z treści wyrażenia woli mającego inny cel [w odniesieniu do art. 2 lit. h) dyrektywy 95/46 zob. wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 58].

39

W tym względzie w art. 7 ust. 2 zdanie pierwsze tego rozporządzenia wskazano, że jeżeli osoba, której dane dotyczą, wyraża zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii. W szczególności z tego ostatniego przepisu w związku z motywem 42 wspomnianego rozporządzenia wynika, że takie oświadczenie musi zostać przedstawione w zrozumiałej i łatwo dostępnej formie oraz musi zostać wyrażone jasnym i prostym językiem, w szczególności gdy chodzi o oświadczenie o wyrażeniu zgody przygotowane przez administratora danych osobowych.

40

Co się tyczy wymogu wynikającego z art. 2 lit. h) dyrektywy 95/46 i z art. 4 pkt 11 rozporządzenia 2016/679, zgodnie z którym zgoda powinna być „świadoma”, wymóg ten oznacza, zgodnie z art. 10 tej dyrektywy, interpretowanym w świetle jej motywu 38, a także z zgodnie z art. 13 tego rozporządzenia, interpretowanym w świetle jego motywu 42, że administrator danych dostarczy osobie, której dane dotyczą, informacje na temat wszelkich okoliczności związanych z przetwarzaniem danych mające zrozumiałą i łatwo dostępną formę oraz wyrażone jasnym i prostym językiem, przy czym osoba ta powinna w szczególności być w stanie dowiedzieć się, jakiego rodzaju dane będą przetwarzane, kto jest administratorem danych, przez jaki czas i w jaki sposób dane te będą przetwarzane oraz w jakich celach. Rzeczone informacje powinny umożliwić takiej osobie łatwe ustalenie konsekwencji zgody, której może udzielić, oraz gwarantować, że zgoda ta zostanie udzielona przy pełnej znajomości stanu rzeczy (zob. analogicznie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 74).

41

Ponadto, jak wskazała Komisja w uwagach przedstawionych Trybunałowi, z art. 10 lit. c) tiret drugie dyrektywy 95/46 i z art. 13 ust. 2 lit. b) i c) rozporządzenia 2016/679 w związku z motywem 42 tego rozporządzenia wynika, że w celu zapewnienia osobie, której dane dotyczą, rzeczywistej swobody wyboru postanowienia umowne nie powinny wprowadzać tej osoby w błąd co do możliwości zawarcia umowy, nawet jeśli odmawia ona wyrażenia zgody na przetwarzanie jej danych. W braku tego rodzaju informacji nie można uznać, że zgoda tej osoby na przetwarzanie jej danych osobowych została wyrażona w sposób dobrowolny, ani też że została ona udzielona w sposób świadomy.

42

Należy dodać, że na podstawie art. 6 ust. 1 lit. a) i art. 6 ust. 2 dyrektywy 95/46, jak też art. 5 ust. 1 lit. a) rozporządzenia 2016/679, administrator danych osobowych jest zobowiązany zapewnić w szczególności zgodność z prawem przetwarzania tych danych i – jak stanowi art. 5 ust. 2 – powinien być w stanie wykazać tę zgodność z prawem. Co się tyczy w szczególności ewentualnej zgody osoby, której dane dotyczą, art. 7 lit. a) tej dyrektywy przewiduje, że osoba, której dane dotyczą, musi wyrazić zgodę „jednoznacznie”, co oznacza – jak wskazał rzecznik generalny w pkt 56 opinii – że ciężar dowodu w odniesieniu do istnienia ważnej zgody spoczywa na administratorze. Artykuł 7 ust. 1 wskazanego rozporządzenia stanowi, że jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.

43

W niniejszej sprawie Orange România podniósł w uwagach przedstawionych Trybunałowi, że w toku procedury zawierania umów rozpatrywanych w postępowaniu głównym sprzedawcy tej spółki przed zawarciem umów informowali zainteresowanych konsumentów w szczególności o celach gromadzenia i przechowywania kopii dokumentów tożsamości, a także o wyborze, jakim konsumenci dysponowali w odniesieniu do tego gromadzenia i przechowywania, przed uzyskaniem w formie ustnej zgody tych klientów na owo gromadzenie i przechowywanie. Zdaniem Orange România pole dotyczące przechowywania kopii dokumentów tożsamości było zatem zaznaczane wyłącznie na podstawie zgody dobrowolnie wyrażonej w tym względzie przez zainteresowanych przy zawieraniu umowy.

44

W tych okolicznościach wniosek o wydanie orzeczenia w trybie prejudycjalnym ma zasadniczo na celu wyjaśnienie, czy przywoływana tu zgoda na takie przetwarzanie danych osobowych może zostać wykazana na podstawie warunków umownych zawartych w tych umowach.

45

W tym względzie z informacji zawartych we wniosku wynika, że o ile wspomniane umowy zawierają klauzulę, zgodnie z którą zainteresowani klienci zostali poinformowani o przechowywaniu kopii ich dokumentu tożsamości do celów identyfikacji i wyrazili na to zgodę, o tyle okienko wyboru dotyczące tej klauzuli było już zaznaczone przez sprzedawców spółki Orange România przed złożeniem przez tych klientów podpisu oznaczającego akceptację wszystkich warunków umownych, a mianowicie zarówno wspomnianej klauzuli, jak i pozostałych warunków niezwiązanych z ochroną danych. We wniosku wskazano ponadto, że choć w umowach rozpatrywanych w postępowaniu głównym o tym nie wspomniano, Orange România godził się na zawieranie umów z konsumentami, którzy odmówili wyrażenia zgody na przechowywanie kopii dokumentu tożsamości, wymagając w takim wypadku, aby podpisali oni specjalny formularz dokumentujący ich odmowę.

46

Otóż ponieważ w świetle tych informacji wydaje się, że zainteresowani konsumenci nie zaznaczali samodzielnie okienka wyboru odnoszącego się do tej klauzuli, sam fakt, że okienko to zostało zaznaczone, nie może świadczyć o pozytywnym wyrażeniu przez nich zgody na gromadzenie i przechowywanie kopii ich dowodów tożsamości. Jak bowiem zauważył rzecznik generalny w pkt 45 opinii, sama okoliczność, że wspomniani konsumenci podpisali umowy zawierające zaznaczone okienko wyboru, nie pozwala na wykazanie istnienia takiej zgody w braku informacji potwierdzających, że klauzula ta została faktycznie przeczytana i przyjęta do wiadomości. Do sądu odsyłającego należy dokonanie niezbędnych ustaleń w tym zakresie.

47

Ponadto, jako że nie wydaje się, by zaznaczona klauzula dotycząca przetwarzania tych danych została przedstawiona w formie, która wyraźnie odróżnia ją od innych warunków umownych, do sądu tego należy dokonanie oceny, czy w świetle rozważań zawartych w pkt 34 niniejszego wyroku podpisanie tych umów obejmujących wiele warunków umownych można uznać za wyrażenie konkretnej zgody na gromadzenie i przechowywanie danych osobowych w rozumieniu art. 2 lit. h) dyrektywy 95/46 i art. 4 pkt 11 rozporządzenia 2016/679.

48

Co więcej, jako że rozpatrywana w postępowaniu głównym klauzula umowna ogranicza się do wskazania, bez żadnej innej wzmianki, że celem przechowywania kopii dowodów tożsamości jest identyfikacja, do sądu odsyłającego należy zbadanie, czy poinformowanie osób, których dane dotyczą, spełniało wymogi art. 10 dyrektywy 95/46 i art. 13 rozporządzenia 2016/679, gdzie określono informacje, które administrator danych musi przekazać osobie, której dane gromadzi, tak aby zapewnić jej rzetelne przetwarzanie danych.

49

Do sądu tego należy również dokonanie oceny w szczególności, czy postanowienia umowy badane w postępowaniu głównym mogły wprowadzić daną osobę w błąd co do możliwości zawarcia umowy pomimo odmowy wyrażenia zgody na przetwarzanie jej danych, w braku wyjaśnień w tej kwestii, a tym samym podważyć świadomy charakter zgody wyrażonej poprzez złożenie podpisu pod tą umową.

50

Ponadto, jak zauważył rzecznik generalny w pkt 60 opinii, wydaje się, że dobrowolny charakter tej zgody podważa okoliczność, iż w przypadku jej odmowy Orange România wymagał, odstępując od zwykłej procedury prowadzącej do zawarcia umowy, aby dany klient złożył pisemne oświadczenie, że nie wyraża zgody ani na pobranie od niego dokumentu tożsamości, ani na przechowywanie kopii tego dokumentu. Jak bowiem zauważyła Komisja na rozprawie, taki dodatkowy wymóg może bezpodstawnie wpłynąć na swobodne podjęcie decyzji o sprzeciwieniu się gromadzeniu i przechowywaniu kopii dokumentów tożsamości, co sąd odsyłający również powinien zweryfikować.

51

W każdym razie, jak wynika z rozważań zawartych w pkt 35, 36 i 42 niniejszego wyroku, do spółki Orange România, jako administratora danych, należy wykazanie, że jej klienci wyrażali zgodę na przetwarzanie ich danych osobowych poprzez czynne zachowanie, wobec czego spółka ta nie może wymagać, aby poprzez czynne zachowanie wyrażali oni swą odmowę.

52

W świetle powyższych rozważań na zadane pytania należy odpowiedzieć, że art. 2 lit. h) i art. 7 lit. a) dyrektywy 95/46, a także art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia 2016/679 należy interpretować w ten sposób, iż to do administratora danych należy wykazanie, że osoba, której dane dotyczą, poprzez czynne zachowanie wyraziła zgodę na przetwarzanie swych danych osobowych i że uprzednio uzyskała ona dotyczące wszelkich okoliczności związanych z przetwarzaniem tych danych informacje mające zrozumiałą i łatwo dostępną formę, wyrażone jasnym i prostym językiem oraz umożliwiające tej osobie łatwe ustalenie konsekwencji jej zgody, w efekcie czego uzyskuje się gwarancję, że zgoda ta została udzielona przy pełnej znajomości stanu rzeczy. Umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę stwierdzającą, że osoba, której dane dotyczą, została poinformowana o skopiowaniu i przechowywaniu kopii swego dokumentu tożsamości do celów identyfikacji i wyraziła na to zgodę, nie pozwala wykazać, że osoba ta skutecznie wyraziła zgodę, w rozumieniu wskazanych przepisów, na sporządzenie tej kopii i jej przechowywanie, gdy:

53

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (druga izba) orzeka, co następuje:

Artykuł 2 lit. h) i art. 7 lit. a) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, a także art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), należy interpretować w ten sposób, iż to do administratora danych należy wykazanie, że osoba, której dane dotyczą, poprzez czynne zachowanie wyraziła zgodę na przetwarzanie swych danych osobowych i że uprzednio uzyskała ona dotyczące wszelkich okoliczności związanych z przetwarzaniem tych danych informacje mające zrozumiałą i łatwo dostępną formę, wyrażone jasnym i prostym językiem oraz umożliwiające tej osobie łatwe ustalenie konsekwencji jej zgody, w efekcie czego uzyskuje się gwarancję, że zgoda ta została udzielona przy pełnej znajomości stanu rzeczy. Umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę stwierdzającą, że osoba, której dane dotyczą, została poinformowana o skopiowaniu i przechowywaniu kopii swego dokumentu tożsamości do celów identyfikacji i wyraziła na to zgodę, nie pozwala wykazać, że osoba ta skutecznie wyraziła zgodę, w rozumieniu wskazanych przepisów, na sporządzenie tej kopii i jej przechowywanie, gdy: