–

Orange România SA, genom D.-D. Dascălu, A.-M. Iordache och I. Buga, avocaţi,

–

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), genom A.G. Opre och I. Ilie, båda i egenskap av ombud,

–

Rumäniens regering, inledningsvis genom E. Gane, O.-C. Ichim, L. Liţu och C.‑R. Canţăr, därefter av E. Gane, O.-C. Ichim och L. Liţu, samtliga i egenskap av ombud,

–

Italiens regering, genom G. Palmieri, i egenskap av ombud, biträdd av M. Russo, avvocato dello Stato,

–

Österrikes regering, inledningsvis genom J. Schmoll och G. Hesse, därefter genom J. Schmoll, båda i egenskap av ombud,

–

Portugals regering, genom L. Inez Fernandes, P. Barros da Costa, L. Medeiros och I. Oliveira, samtliga i egenskap av ombud,

–

Europeiska kommissionen, genom H. Kranenborg, D. Nardi och L. Nicolae, samtliga i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen av artikel 2 h i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31) och av artikel 4 led 11 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).

2

Begäran har framställts i ett mål mellan Orange România SA och Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Nationell myndighet för övervakning av behandling av personuppgifter, Rumänien) (nedan kallad ANSPDCP). Målet gäller en talan med yrkande om ogiltigförklaring av ett beslut varigenom sistnämnda myndighet påförde Orange România böter för att ha samlat in och lagrat kopior av sina kunders identitetshandlingar utan att ha inhämtat ett giltigt samtycke och förpliktade detta bolag att förstöra dessa kopior.

3

I skäl 38 i direktiv 95/46 anges att ”[e]n korrekt behandling av uppgifter förutsätter att de registrerade kan få kännedom om behandlingen och att de – när uppgifter samlas in hos dem – kan få korrekt och fullständig information med hänsyn till de närmare omständigheterna vid insamlingen”.

4

I artikel 2 h i direktivet stadgas att i detta direktiv avses med:

”den registrerades samtycke: varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom.”

5

I artikel 6 i samma direktiv föreskrivs följande:

”1.   Medlemsstaterna skall föreskriva att personuppgifter

…

2.   Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”

6

I artikel 7 a i direktivet föreskrivs följande:

”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om

7

Artikel 10 i direktivet har följande lydelse:

”Medlemsstaterna skall föreskriva att den registeransvarige eller hans företrädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till informationen:

i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling.”

8

Skälen 32 och 42 i förordning nr 2016/679 har följande lydelse:

…

9

I artikel 4 led 11 i nämnda förordning föreskrivs följande:

”samtycke av den registrerade: varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne”.

10

I artikel 5 i samma förordning föreskrivs följande:

”1.   Vid behandling av personuppgifter ska följande gälla:

…

2.   Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”

11

Enligt artikel 6.1 a i förordning nr 2016/679 gäller följande:

”1.   Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

…”

12

Artikel 7.1, 7.2 och 7.4 i förordning nr 2016/679 har följande lydelse:

”1.   Om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter.

2.   Om den registrerades samtycke lämnas i en skriftlig förklaring som också rör andra frågor, ska begäran om samtycke läggas fram på ett sätt som klart och tydligt kan särskiljas från de andra frågorna i en begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Om en del av förklaringen innebär en överträdelse av denna förordning, ska denna del inte vara bindande.

…

4.   Vid bedömning av huruvida samtycke är frivilligt ska största hänsyn bland annat tas till huruvida genomförandet av ett avtal, inbegripet tillhandahållandet av en tjänst, har gjorts beroende av samtycke till sådan behandling av personuppgifter som inte är nödvändig för genomförandet av det avtalet.”

13

Artikel 13.1 och 13.2 i förordningen har följande lydelse:

”1.   Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:

…

…

2.   Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige vid insamlingen av personuppgifterna lämna den registrerade följande ytterligare information, vilken krävs för att säkerställa rättvis och öppen behandling:

14

Artikel 94.1 i förordning nr 2016/679 har följande lydelse:

”Direktiv 95/46/EG ska upphöra att gälla med verkan från och med den 25 maj 2018.”

15

Enligt artikel 99.2 i förordning nr 2016/679 ska förordningen tillämpas från och med den 25 maj 2018.

16

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (lag nr 677/2001 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter) (Monitorul Oficial al României, del I, nr 790 av den 12 december 2001) syftar till att införliva bestämmelserna i direktiv 95/46 med nationell rätt.

17

I artikel 5.1 i denna lag föreskrivs följande:

”1)   Med undantag för behandling av personuppgifter som hör till de kategorier som anges i artikel 7.1 och i artiklarna 8 och 10, får personuppgiftsbehandling endast ske om den registrerade har lämnat sitt uttryckliga och otvetydiga samtycke till behandlingen.

…”

18

I artikel 8 i nämnda lag föreskrivs följande:

”1)   Personnummer och andra personuppgifter som är allmänt tillämpliga för identifiering får endast behandlas om

2)   Tillsynsmyndigheten får även medge att personuppgifter behandlas enligt punkt 1 i andra fall, förutsatt att det inrättas lämpliga garantier för att de berörda personernas rättigheter respekteras.”

19

Artikel 32 i lag 677/2001 har följande lydelse:

”Behandling av personuppgifter som utförs av en operatör eller av någon annan på uppdrag av operatören i strid med artiklarna 4–10 eller utan vederbörlig hänsyn till de rättigheter som anges i artiklarna 12–15 eller i artikel 17, utgör administrativ överträdelse, om inte förutsättningarna är sådana att behandlingen ska betraktas som en straffbar gärning, och är förenad med böter på mellan [1000] RON och [25000] RON.”

20

Orange România är en leverantör av mobila telekommunikationstjänster på den rumänska marknaden.

21

Genom beslut av den 28 mars 2018 påfördes Orange România böter av ANSPDCP för att ha lagrat kopior av sina kunders identitetshandlingar utan att ha visat att kunderna lämnat ett giltigt samtycke. Bolaget förpliktigades även att förstöra kopiorna.

22

I beslutet påpekade ANSPDCP att Orange România under perioden från den 1 till den 26 mars 2018 ingått skriftliga avtal om tillhandahållande av mobila telekommunikationstjänster med fysiska personer och att kopior av dessa personers identitetshandlingar bilagts avtalen. Enligt ANSPDCP har bolaget inte visat att kunderna – till vars avtal en kopia av deras identitetshandling hade bilagts – hade gett ett giltigt samtycke till insamling och lagring av deras identitetshandlingar.

23

De relevanta klausulerna i avtalen i fråga hade följande lydelse:

”Kunden intygar att

24

Orange România väckte talan mot beslutet av den 28 mars 2018 vid Tribunalul Bucureşti (Förstainstansdomstolen i Bucarest, Rumänien).

25

Enligt vad den hänskjutande domstolen konstaterat finns det dels avtal i vilka det gjorts ett kryss i den ruta som avser avtalsvillkoret om lagring av kopior av handlingar innehållande personuppgifter som används för att identifiera kunden, dels avtal i vilka det inte gjorts något sådant kryss. Samma domstol har preciserat att oberoende av vad som anges i Orange Românias allmänna användarvillkor har detta bolag inte avstått ifrån att ingå abonnemangsavtal med kunderna när dessa vägrade att samtycka till att en kopia av en av deras identitetshandlingar lagrades. Nämnda domstol har vidare påpekat att Orange Românias ”interna rutiner” för försäljning föreskrev att om kunden vägrade skulle detta dokumenteras genom att ett specifikt formulär fylldes i och undertecknades av kunden innan avtalet ingicks.

26

Den hänskjutande domstolen undrar om berörda kunder under dessa omständigheter kan anses ha lämnat ett giltigt samtycke till att deras identitetshandling samlas in och att en kopia av den biläggs avtalet. Vidare ställer sig samma domstol frågan huruvida undertecknande av ett avtal – vilket innehåller avtalsvillkoret om lagring av handlingar med personuppgifter som kan användas för att identifiera kunden – kan styrka att ett sådant samtycke lämnats.

27

Mot denna bakgrund beslutade Tribunalul București (Förstainstansdomstolen i Bukarest) att vilandeförklara målet och ställa följande frågor till EU-domstolen:

28

Domstolen ska inledningsvis pröva huruvida direktiv 95/46 och förordning 2016/679 är tillämpliga på omständigheterna i det nationella målet.

29

Med verkan från den 25 maj 2018 upphävdes direktiv 95/46 och ersattes av förordning 2016/679 enligt artikel 94.1 och artikel 99.2 i sistnämnda förordning.

30

Eftersom det beslut som är aktuellt i det nationella målet fattades av ANSPDCP den 28 mars 2018, det vill säga innan den 25 maj 2018, anser den hänskjutande domstolen med fog att direktiv 95/46 är tillämpligt i tidsmässigt hänseende i det nationella målet.

31

Det framgår dock även av de handlingar som ingetts till domstolen att ANSPDCP, genom sitt beslut, inte bara påfört Orange România böter utan även förpliktat bolaget att förstöra de aktuella kopiorna av identitetshandlingar och att målet även rör sistnämnda föreläggande. Eftersom det emellertid inte finns något i handlingarna som tyder på att uppmaningen efterkommits innan den 25 maj 2018, kan det inte uteslutas att förordning 2016/679 kan vara tillämplig i tidsmässigt hänseende i förevarande fall (se, för ett liknande resonemang, dom av den 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punkt 41).

32

För att göra det möjligt för domstolen att lämna användbara svar på den hänskjutande domstolens frågor, ska frågorna besvaras med beaktande av såväl direktiv 95/46 som förordning 2016/679 (se, analogt, dom av den 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punkt 43).

33

Den hänskjutande domstolen har ställt sina två tolkningsfrågor, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 2 h och artikel 7 a i direktiv 95/46 samt artikel 4 led 11 och artikel 6.1 a i förordning nr 2016/679 ska tolkas så, att ett avtal om tillhandahållande av telekommunikationstjänster som innehåller ett avtalsvillkor enligt vilket den registrerade har informerats om och samtyckt till insamling och lagring av en kopia av sin identitetshandling för att vederbörande ska kunna identifieras, kan vara av sådan art att det styrker att personen i fråga lämnat ett giltigt samtycke i den mening som avses i dessa bestämmelser till denna insamling och denna lagring.

34

Domstolen erinrar härvid om att artikel 7 i direktiv 95/46 och artikel 6 i förordning 2016/679 innehåller en uttömmande förteckning över de fall då en behandling av personuppgifter kan anses vara laglig (se, såvitt gäller artikel 7 i direktiv 95/46, dom av den 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punkt 57 och där angiven rättspraxis, och dom av den 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punkt 53). I synnerhet artikel 7 a i direktivet och artikel 6.1 a i förordningen föreskriver att samtycke från den registrerade kan göra sådan behandling laglig.

35

Såvitt gäller de krav ett sådant samtycke ska uppfylla föreskrivs i artikel 7 a i det nämnda direktivet att den registrerade ”otvetydigt [ska ha] lämnat sitt samtycke” medan ”samtycke” definieras i artikel 2 h i direktiv 95/46 såsom ”varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom”. Eftersom bestämmelserna föreskriver att den registrerade ska avge en ”viljeyttring” för att ”otvetydigt” lämna sitt samtycke, är det endast ett aktivt agerande från denna person för att visa sitt samtycke som kan komma i fråga (se, för ett liknande resonemang, dom av den 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punkterna 52 och 54).

36

Samma krav gäller i fråga om förordning 2016/679. Ordalydelsen i artikel 4 led 11 i förordningen, som definierar ”samtycke av den registrerade” vid tillämpning av bland annat artikel 6.1 a i samma förordning, är striktare än den i artikel 2 h i direktiv 95/46, eftersom det krävs en ”frivillig, specifik, informerad och otvetydig” viljeyttring av den registrerade, antingen genom ett uttalande eller genom”en entydig bekräftande handling” genom vilken behandling av den registrerades personuppgifter godtas. Ett aktivt samtycke krävs således numera enligt förordning 2016/679 (se, för ett liknande resonemang, dom av den 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punkterna 61–63).

37

I skäl 32 i förordningen preciseras i detta avseende visserligen att samtycke kan inbegripa att en ruta kryssas i vid besök på en internetsida, men utesluter uttryckligen att ”tystnad, på förhand ikryssade rutor eller inaktivitet” skulle utgöra samtycke. Såsom domstolen redan slagit fast är det i ett sådant fall praktiskt taget omöjligt att på ett objektivt sätt avgöra huruvida webbplatsanvändaren faktiskt har gett sitt samtycke till behandling av sina personuppgifter genom att inte avmarkera en på förhand ikryssad ruta samt, under alla omständigheter, huruvida användaren lämnat ett välinformerat samtycke. Det går nämligen inte att utesluta att nämnda användare inte har läst den information som medföljer den på förhand ikryssade rutan, eller till och med att han eller hon inte har noterat denna ruta, innan vederbörande fortsätter med sin aktivitet på webbplatsen som han eller hon besöker (se, för ett liknande resonemang, dom av den 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punkterna 55 och 57).

38

Det ska tilläggas att den viljeyttring som avses i artikel 2 h i direktiv 95/46 och artikel 4 led 11 i förordning 2016/679 måste vara ”särskild”, i den meningen att den måste avse exakt den berörda behandlingen av uppgifter och inte kan härledas från en viljeyttring med ett annat syfte (se, såvitt gäller artikel 2 h i direktiv 95/46, dom av den 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punkt 58).

39

I artikel 7.2 första meningen i denna förordning preciseras att om den registrerades samtycke lämnas i en skriftlig förklaring som också rör andra frågor, ska begäran om samtycke läggas fram på ett sätt som klart och tydligt kan särskiljas från de andra frågorna. Det framgår särskilt av sistnämnda bestämmelse, jämförd med skäl 42 i samma förordning, att en sådan förklaring ska läggas fram i en begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Detta gäller i synnerhet om det rör sig om en förklaring om samtycke som ska formuleras i förväg av den personuppgiftsansvarige.

40

När det gäller det krav som följer av artikel 2 h i direktiv 95/46 och artikel 4 led 11 i förordning 2016/679, enligt vilket samtycket ska ske genom en ”informerad” viljeyttring, innebär detta krav, i enlighet med artikel 10 i direktivet, jämförd med skäl 38 i samma direktiv, och artikel 13 i förordningen, jämförd med skäl 42 däri, att den personuppgiftsansvarige ska ge den registrerade information om samtliga aspekter rörande behandlingen av personuppgifterna. Informationen ska läggas fram i en begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Den registrerade ska bland annat få information om vilken typ av uppgifter som ska behandlas, identitet för den personuppgiftsansvarige, varaktighet och villkor för behandlingen samt dess ändamål. Informationen ska ge personen möjlighet att lätt avgöra följderna av ett eventuellt samtycke och säkerställa att samtycke lämnas med full kännedom om omständigheterna (se, analogt, dom av den 1 oktober 2019, Planet49, C‑673/17, EU:C:2019:801, punkt 74).

41

Såsom kommissionen påpekat i sitt yttrande till domstolen, framgår det vidare av artikel 10 c andra strecksatsen i direktiv 95/46 samt av artikel 13.2 b och c i förordning 2016/679, jämförd med skäl 42 i samma förordning, att för att ge den registrerade genuin eller fri valmöjlighet får avtalsvillkoren inte vilseleda de registrerade om möjligheten att ingå avtalet även om vederbörande vägrar att samtycka till behandling av sina personuppgifter. I avsaknad av sådan information kan vederbörandes samtyckte till behandling av sina personuppgifter inte anses ha lämnats fritt och inte heller anses utgöra en informerad viljeyttring.

42

Det ska tilläggas att enligt artikel 6.1 a och 6.2 i direktiv 95/46 och artikel 5.1 a i förordning 2016/679 är den personuppgiftsansvarige skyldig att se till att behandlingen av dessa uppgifter är laglig och, såsom preciseras i artikel 5.2, kunna visa att detta krav efterlevs. Vad mer specifikt gäller ett eventuellt samtycke från den registrerade föreskrivs i artikel 7 a i direktivet att denna person ska har lämnat detta ”otvetydigt”. Detta innebär, såsom generaladvokaten påpekade i punkt 56 i sitt förslag till avgörande, att bevisbördan för att ett giltigt samtycke lämnats åvilar den personuppgiftsansvarige. Artikel 7.1 i samma förordning föreskriver numera att om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter.

43

Orange România har i sitt yttrande till domstolen i förevarande fall gjort gällande att under det avtalsförfarande som är aktuellt i det nationella målet informerar dess säljare kunderna – innan avtalen ingås – om bland annat syftet med att en kopia av kundens identitetshandling samlas in och lagras samt om kundens valmöjligheter avseende denna insamling och lagring innan säljaren inhämtar kundens muntliga samtycke härtill. Rutan avseende lagring av en kopia av kundens identitetshandling kryssades enligt Orange România således i enbart på grundval av att de berörda personerna fritt godtagit detta i samband med att avtalet ingicks.

44

Under dessa omständigheter syftar begäran om förhandsavgörande huvudsakligen till att klargöra om det sålunda åberopade samtycket till en dylik behandling av personuppgifter kan styrkas med stöd av de avtalsvillkor som finns med i de aktuella avtalen.

45

Det framgår härvid av begäran om förhandsavgörande att avtalen förvisso innehåller ett avtalsvillkor enligt vilket berörda kunder informerats om och gett sitt samtycke till att en kopia av deras identitetshandling lagras för att kunden ska kunna identifieras. Rutan avseende detta avtalsvillkor har emellertid redan kryssats i av Orange Românias säljare innan kunderna med sin underskrift godtar samtliga avtalsvillkor, det vill säga såväl det aktuella villkoret som andra avtalsvillkor som inte gäller skydd för personuppgifter. I begäran anges vidare att Orange România – utan att detta preciserades i de aktuella avtalen – godtog att ingå avtalen med kunder som vägrade att ge sitt samtycke till lagring av en kopia av deras identitetshandling men samtidigt krävde att kunden i sådant fall undertecknade ett särskilt formulär för att ge uttryck för denna vägran.

46

Eftersom de berörda kunderna enligt dessa uppgifter således inte verkar ha kryssat i rutan avseende det avtalsvillkoret själva kan inte enbart det förhållandet att rutan kryssats i anses styrka att dessa kunder genom en bekräftande viljeyttring lämnat sitt samtycke till att en kopia av deras identitetshandling samlades in och lagrades. Domstolen delar generaladvokatens ståndpunkt i punkt 45 i förslaget till avgörande att det förhållandet att de nämnda kunderna har skrivit under avtalen med en redan ikryssad ruta inte i sig gör det möjligt att påvisa ett sådant samtycke i avsaknad av uppgifter som bekräftar att det nämnda avtalsvillkoret verkligen har lästs och förståtts. Det ankommer på den hänskjutande domstolen att göra nödvändiga kontroller i detta avseende.

47

Eftersom den ikryssade rutan avseende avtalsvillkoret om behandling av personuppgifter inte verkar ha presenterats på ett sätt som tydligt särskiljer det från övriga avtalsvillkor, ankommer det på den hänskjutande domstolen att, med beaktande av övervägandena i punkt 34 ovan, bedöma huruvida undertecknandet av dessa avtal med avseende på ett antal olika avtalsvillkor kan anses ge uttryck för ett särskilt samtycke till att personuppgifter samlas in och lagras enligt artikel 2 h i direktiv 95/46 och artikel 4, punkt 11 i förordning 2016/679.

48

I det avtalsvillkor som är aktuellt i det nationella målet anges dessutom endast, utan några ytterligare uppgifter, att lagringen av kopior av identitetshandlingar görs i identifieringssyfte. Det ankommer därför på den hänskjutande domstolen att pröva om den information som ges till de registrerade uppfyller de krav som ställs i artikel 10 i direktiv 95/46 och artikel 13 i förordning 2016/679 som anger den information som den personuppgiftsansvarige ska lämna till den person han samlar in personuppgifter från för att tillförsäkra denne en korrekt behandling av uppgifterna.

49

Det åligger likaså denna domstol att bedöma om de aktuella avtalsvillkoren i det nationella målet kunde vilseleda den registrerade om möjligheten att ingå avtalet även för det fall vederbörande skulle vägra att samtycka till behandlingen av sina personuppgifter, i avsaknad av preciseringar i detta avseende, och härmed ifrågasätta om det samtycke som getts genom signaturen verkligen var informerat.

50

Precis som generaladvokaten påpekade i punkt 60 i förslaget till avgörande kan samtyckets frivilliga karaktär för övrigt ifrågasättas av det faktum att Orange România – när samtycke nekades – med avsteg från det normala förfarande som leder fram till avtalets slutande krävde att den berörda kunden skriftligen angav att han eller hon inte samtyckte till vare sig insamling eller lagring av en kopia av sin identitetshandling. Ett sådant ytterligare krav påverkar nämligen, såsom kommissionen påpekade vid den muntliga förhandlingen, på ett otillbörligt sätt möjligheten att fritt motsätta sig sådan insamling och lagring, vilket det likaså ankommer på den hänskjutande domstolen att kontrollera.

51

Såsom framgår av övervägandena i punkterna 35, 36 och 42 ovan åligger det under alla omständigheter Orange România att i egenskap av personuppgiftsansvarig fastställa att dess kunder – genom ett aktivt agerande – har gett uttryck för sitt samtycke till behandling av deras personuppgifter. Bolaget kan alltså inte kräva att kunderna aktivt ger uttryck för sin vägran.

52

Mot denna bakgrund ska frågorna besvaras på följande sätt. Artikel 2 h och artikel 7 a i direktiv 95/46 samt artikel 4 led 11 och artikel 6.1 a i förordning nr 2016/679 ska tolkas så, att det åligger den personuppgiftsansvarige att visa att den registrerade – genom ett aktivt agerande – har gett uttryck för sitt samtycke till behandling av sina personuppgifter och att den registrerade dessförinnan har fått information om samtliga aspekter rörande behandlingen av personuppgifterna. Informationen ska läggas fram i en begriplig och lätt tillgänglig form, med användning av klart och tydligt språk som gör det möjligt för vederbörande att lätt fastställa följderna av samtycket och att det därmed säkerställs att samtycket ges med full kännedom om omständigheterna. Ett avtal om tillhandahållande av telekommunikationstjänster som innehåller ett avtalsvillkor enligt vilket den registrerade har informerats om och samtyckt till insamling och lagring av en kopia av sin identitetshandling för att vederbörande ska kunna identifieras, är inte av sådan art att det styrker att personen i fråga lämnat ett giltigt samtycke, i den mening som avses i dessa bestämmelser, till denna insamling och denna lagring när

53

Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (andra avdelningen) följande:

Artikel 2 h och artikel 7 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter samt artikel 4 led 11 och artikel 6.1 a i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att det åligger den personuppgiftsansvarige att visa att den registrerade – genom ett aktivt agerande – har gett uttryck för sitt samtycke till behandling av sina personuppgifter och att den registrerade dessförinnan har fått information om samtliga aspekter rörande behandlingen av personuppgifterna. Informationen ska läggas fram i en begriplig och lätt tillgänglig form, med användning av klart och tydligt språk som gör det möjligt för denne att lätt fastställa följderna av samtycket och att det därmed säkerställs att samtycket ges med full kännedom om omständigheterna. Ett avtal om tillhandahållande av telekommunikationstjänster som innehåller ett avtalsvillkor enligt vilket den registrerade har informerats om och samtyckt till insamling och lagring av en kopia av sin identitetshandling för att vederbörande ska kunna identifieras, är inte av sådan art att det styrker att personen i fråga lämnat ett giltigt samtycke, i den mening som avses i dessa bestämmelser, till denna insamling och denna lagring när