Zgoda klienta na przetwarzanie danych osobowych
Kategoria: Prawo administracyjne
Tematyka: umowa, usługi telekomunikacyjne, zgoda klienta, dane osobowe, Trybunał Sprawiedliwości, Orange România, RODO, ochrona danych, wyrok TS, C-61/19
Umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę dotyczącą zgody klienta na kopiowanie i przechowywanie kopii dokumentu tożsamości budzi kontrowersje. Trybunał Sprawiedliwości Unii Europejskiej analizuje, czy zaznaczenie okienka wyboru przez administratora danych przed podpisaniem umowy może stanowić skuteczną zgodę. Sprawa dotyczy grzywny nałożonej na Orange România SA za przechowywanie kopii dokumentów tożsamości klientów bez właściwej zgody.
Umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę stwierdzającą, że klient wyraził zgodę na skopiowaniu i przechowywaniu kopii jego dokumentu tożsamości, nie pozwala wykazać, że ten klient skutecznie wyraził zgodę, jeżeli okienko wyboru dotyczące tej klauzuli zostało zaznaczone przez administratora danych przed podpisaniem umowy Stan faktyczny Orange România SA (dalej jako: OR) jest dostawcą usług telefonii na rynku rumuńskim. Organ nadzoru nad przetwarzaniem danych osobowych nałożył na OR grzywnę za przechowywanie kopii dokumentów tożsamości klientów bez wykazania, że wyrazili na to ważną zgodę oraz obowiązek zniszczenia tych kopii. Pytanie prejudycjalne Czy art. 2 lit. h) i art. 7 lit. a) dyrektywy Parlamentu Europejskiego i Rady 95/46/WE z 24.10.1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.Urz. UE L 1995, Nr 281, s. 31), a także art. 4 pkt 11 i art. 6 ust. 1 lit. a) rozporządzenia (UE) 2016/679 Parlamentu Europejskiego i Rady z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. L z 2016 r., Nr 119, s. 1) należy interpretować w ten sposób, że umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę, zgodnie z którą osoba, której dane dotyczą, została poinformowana o sporządzeniu i przechowywaniu kopii swego dowodu tożsamości do celów identyfikacji oraz wyraziła na to zgodę, może posłużyć do wykazania, że ta osoba skutecznie wyraziła zgodę, w rozumieniu wskazanych przepisów, na sporządzenie tej kopii i jej przechowywanie? Stanowisko TS Od dnia 25.5.2018 r. dyrektywa 95/46 została uchylona i zastąpiona przepisami RODO. Jednakże w niniejszej sprawie mają zastosowanie ratione temporis zarówno dyrektywa 95/46, jak i RODO. Trybunał przypomniał, że art. 7 dyrektywy 95/46 i art. 6 RODO przewidują zamknięty oraz wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem (wyrok TS z 1.10.2019 r., Planet49, C-673/17, EU:C:2019:801, pkt 53). W szczególności art. 7 lit. a) tej dyrektywy i art. 6 ust. 1 lit. a) RODO stanowią, że zgoda osoby, której dane dotyczą powoduje, że takie przetwarzanie danych stanie się zgodne z prawem. Treść art. 4 pkt 11 RODO, który definiuje „zgodę osoby, której dane dotyczą”, zdaniem TS, ma jeszcze bardziej rygorystyczne niż art. 2 lit. h) dyrektywy 95/46. Przepis art. 4 pkt 11 RODO wymaga „dobrowolnego, konkretnego, świadomego i jednoznacznego” wyrażenia woli przez osobę, której dane dotyczą, w postaci oświadczenia lub „wyraźnego działania potwierdzającego” oznaczającego zgodę tej osoby na przetwarzanie dotyczących jej danych osobowych. Trybunał podkreślił, że chociaż w motywie 32 RODO wskazano, iż wyrażenie zgody może nastąpić poprzez zaznaczenie okienka wyboru podczas przeglądania strony internetowej, to jednak wykluczono istnienie zgody w przypadku milczenia, okienek domyślnie zaznaczonych lub niepodjęcia działania. Trybunał wskazał, że art. 2 lit. h) dyrektywy 95/46 i art. 4 pkt 11 RODO wymagają, aby wyrażenie woli było „konkretne”, co oznacza, że musi ono odnosić się dokładnie do określonego przetwarzania danych i nie może zostać wywnioskowane z treści wyrażenia woli mającego inny cel. W art. 7 ust. 2 zd. 1 RODO wskazano, że jeżeli osoba, której dane dotyczą, wyraża zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii. Takie oświadczenie musi zostać przedstawione w zrozumiałej i łatwo dostępnej formie, a także musi zostać wyrażone jasnym oraz prostym językiem, w szczególności gdy chodzi o oświadczenie o wyrażeniu zgody przygotowane przez administratora danych osobowych. Odnosząc się do wymogu wynikającego z art. 2 lit. h) dyrektywy 95/46 i z art. 4 pkt 11 RODO, zgodnie z którym zgoda powinna być „świadoma”, TS stwierdził, że oznacza on, iż administrator danych dostarczy osobie, której dane dotyczą, informacje na temat wszelkich okoliczności związanych z przetwarzaniem danych mające zrozumiałą i łatwo dostępną formę oraz wyrażone jasnym i prostym językiem, przy czym osoba ta powinna w szczególności być w stanie dowiedzieć się, jakiego rodzaju dane będą przetwarzane, kto jest administratorem danych, przez jaki czas i w jaki sposób dane te będą przetwarzane oraz w jakich celach. Artykuł 7 ust. 1 RODO stanowi, że jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. Z akt sprawy wynika, że o ile rozpatrywane umowy zawierają klauzulę, zgodnie z którą klienci zostali poinformowani o przechowywaniu kopii ich dokumentu tożsamości do celów identyfikacji i wyrazili na to zgodę, o tyle okienko wyboru dotyczące tej klauzuli było już zaznaczone przez sprzedawców OR przed złożeniem przez tych klientów podpisu oznaczającego akceptację wszystkich warunków umownych. Zdaniem TS ci konsumenci nie zaznaczali samodzielnie okienka wyboru odnoszącego się do tej klauzuli, a sam fakt, że okienko to zostało zaznaczone, nie może świadczyć o pozytywnym wyrażeniu przez nich zgody na gromadzenie i przechowywanie kopii ich dowodów tożsamości. Trybunał wskazał, że do sądu odsyłającego należy dokonanie niezbędnych ustaleń w tym zakresie. Ponadto, jako że nie wydaje się, aby zaznaczona klauzula dotycząca przetwarzania tych danych została przedstawiona w formie, która wyraźnie odróżnia ją od innych warunków umownych, TS stwierdził, że do tego sądu należy dokonanie oceny, czy w świetle powyższych rozważań podpisanie tych umów obejmujących wiele warunków umownych można uznać za wyrażenie konkretnej zgody na gromadzenie i przechowywanie danych osobowych w rozumieniu art. 2 lit. h) dyrektywy 95/46 i art. 4 pkt 11 RODO. Rozpatrywana klauzula umowna ogranicza się do wskazania, bez żadnej innej wzmianki, że celem przechowywania kopii dowodów tożsamości jest identyfikacja. Wobec tego TS stwierdził, że do sądu odsyłającego należy zbadanie, czy poinformowanie osób, których dane dotyczą, spełniało wymogi art. 10 dyrektywy 95/46 i art. 13 RODO. W przepisach tych określono informacje, które administrator danych musi przekazać osobie, której dane gromadzi, tak aby zapewnić jej rzetelne przetwarzanie danych. Do sądu tego należy również dokonanie oceny w szczególności, czy badane postanowienia umowy mogły wprowadzić daną osobę w błąd co do możliwości zawarcia umowy pomimo odmowy wyrażenia zgody na przetwarzanie jej danych, w przypadku braku wyjaśnień w tej kwestii, a tym samym podważyć świadomy charakter zgody wyrażonej poprzez złożenie podpisu pod tą umową. Reasumując TS orzekł, że art. 2 lit. h) i art. 7 lit. a) dyrektywy 95/46, a także art. 4 pkt 11 i art. 6 ust. 1 lit. a) RODO należy interpretować w ten sposób, iż to do administratora danych należy wykazanie, że osoba, której dane dotyczą, poprzez czynne zachowanie wyraziła zgodę na przetwarzanie swych danych osobowych i że uprzednio uzyskała ona dotyczące wszelkich okoliczności związanych z przetwarzaniem tych danych informacje mające zrozumiałą i łatwo dostępną formę, wyrażone jasnym i prostym językiem oraz umożliwiające tej osobie łatwe ustalenie konsekwencji jej zgody, w efekcie czego uzyskuje się gwarancję, że zgoda ta została udzielona przy pełnej znajomości stanu rzeczy. Umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę stwierdzającą, że osoba, której dane dotyczą, została poinformowana o skopiowaniu i przechowywaniu kopii swego dokumentu tożsamości do celów identyfikacji i wyraziła na to zgodę, nie pozwala wykazać, że osoba ta skutecznie wyraziła zgodę, w rozumieniu wskazanych przepisów, na sporządzenie tej kopii i jej przechowywanie, gdy: • okienko wyboru odnoszące się do tej klauzuli zostało zaznaczone przez administratora danych przed podpisaniem umowy, lub gdy • postanowienia tej umowy mogą wprowadzać osobę, której dane dotyczą, w błąd co do możliwości zawarcia owej umowy pomimo odmowy udzielenia zgody na przetwarzanie danych, lub gdy • ten administrator bezpodstawnie wpłynął na swobodne podjęcie decyzji o sprzeciwieniu się skopiowaniu i przechowywaniu kopii dokumentu tożsamości, poprzez ustanowienie wymogu, aby w przypadku odmowy udzielenia zgody osoba, której dane dotyczą, wypełniła dodatkowy formularz dokumentujący tę odmowę. Komentarz W niniejszym wyroku Trybunał szczegółowo wyjaśnił elementy pojęcia „zgody” w rozumieniu art. 4 pkt 11 RODO na przetwarzanie danych osobowych. Interpretując ten przepis TS podtrzymał dotychczasowe stanowisko przedstawione w wyroku w sprawie Planet49 (C-673/17). Analiza poszczególnych przesłanek zawartych w art. 4 pkt 11 RODO zawarta w niniejszym wyroku, opierała się na założeniu, że w tym przepisie została przewidziana wyraźnie czynna zgoda. Zatem rozpatrywany przez Trybunał przypadek, w którym okienko wyboru odnoszące się do klauzuli dotyczącej zgody na przetwarzanie danych osobowych zostało zaznaczone przez administratora danych przed podpisaniem umowy, nie jest zgodny z tym przepisem RODO. Trybunał uznał także, że w celu zapewnienia osobie, której dane dotyczą, rzeczywistej swobody wyboru postanowienia umowne nie powinny wprowadzać tej osoby w błąd co do możliwości zawarcia umowy, nawet w sytuacji jeśli odmawia ona wyrażenia zgody na przetwarzanie jej danych. W przypadku braku tego rodzaju informacji, zdaniem TS, nie można uznać, że zgoda tej osoby na przetwarzanie jej danych osobowych została wyrażona w sposób dobrowolny lub świadomy. W niniejszym wyroku TS doprecyzował również zagadnienie ciężaru dowodu w sytuacji powstania wątpliwości, czy osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie danych osobowych. Trybunał stwierdził, że ciężar dowodu w odniesieniu do istnienia ważnej zgody spoczywa na administratorze. Ponadto, ten administrator nie może wymagać, aby dana osoba przez czynne zachowanie wyrażała odmowę na przetwarzanie jej danych osobowych. Wyrok TS z 11.11.2020 r., Orange Romania, C-61/19
Wyrok Trybunału Sprawiedliwości z 11.11.2020 r., Orange Romania, C-61/19, podkreśla konieczność świadomego i dobrowolnego wyrażenia zgody na przetwarzanie danych osobowych. Rozstrzygnięcie to wprowadza precyzyjne kryteria dotyczące konkretności i jasności zgody, kwestionując skuteczność zgody w przypadku zaznaczenia okienka wyboru przez administratora danych.