HvJ EU, 11-11-2020, nr. C-61/19

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 2, onder h), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), en van artikel 4, punt 11, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1).

Dit verzoek is ingediend in het kader van een geding tussen Orange România SA en de Autoritate Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (nationale toezichthoudende autoriteit voor de verwerking van persoonsgegevens, Roemenië) inzake een beroep tot nietigverklaring van een besluit waarbij de ANSPDCP Orange România een geldboete heeft opgelegd wegens het verzamelen en bewaren van kopieën van de identiteitsbewijzen van haar klanten zonder geldige toestemming van die klanten, en haar heeft gelast deze kopieën te vernietigen.

Orange România levert mobieletelecommunicatiediensten op de Roemeense markt.

Bij besluit van 28 maart 2018 heeft de ANSPDCP Orange România een geldboete opgelegd omdat zij kopieën van de identiteitsbewijzen van haar klanten had bewaard terwijl zij niet kon aantonen dat deze klanten op geldige wijze hun toestemming hadden gegeven, en haar gelast die kopieën te vernietigen.

In dat besluit heeft de ANSPDCP opgemerkt dat Orange România in de periode van 1 tot en met 26 maart 2018 schriftelijke overeenkomsten voor het aanbieden van mobieletelecommunicatiediensten had gesloten met natuurlijke personen en dat bij die overeenkomsten kopieën van de identiteitsbewijzen van deze personen waren gevoegd. Volgens de ANSPDCP heeft Orange România niet bewezen dat haar klanten, bij wier overeenkomsten kopieën van hun identiteitsbewijs waren gevoegd, op geldige wijze hun toestemming hadden gegeven voor het verzamelen en bewaren van die kopieën.

De relevante bedingen van de betrokken overeenkomsten luidden als volgt:

Orange România heeft tegen het besluit van 28 maart 2018 beroep ingesteld bij de Tribunal Bucureşti (rechter in eerste aanleg Boekarest, Roemenië).

Volgens de vaststellingen van de verwijzende rechter is sprake van zowel overeenkomsten waarin het vakje voor het beding betreffende het bewaren van kopieën van documenten met persoonsgegevens voor identificatiedoeleinden is aangevinkt, als overeenkomsten waarin dat vakje niet is aangevinkt. Deze rechter preciseert dat Orange România, ondanks de aanwijzingen in haar algemene voorwaarden, niet heeft geweigerd om abonnementsovereenkomsten te sluiten met klanten die geen toestemming geven voor het bewaren van de kopie van hun identiteitsbewijs. Voornoemde rechter merkt verder op dat de ‘interne verkoopprocedures’ van Orange România bepaalden dat deze weigering moest worden vastgelegd op een speciaal formulier, dat deze klanten vóór de sluiting van de overeenkomst dienden te ondertekenen.

De verwijzende rechter vraagt zich af of in die omstandigheden de betrokken klanten kunnen worden geacht op geldige wijze ermee te hebben ingestemd dat hun identiteitsbewijs zou worden ingezameld en dat een kopie daarvan bij de overeenkomsten zouden worden gevoegd. Voorts vraagt hij zich af of de ondertekening van een overeenkomst die het beding betreffende het bewaren van kopieën van documenten met persoonsgegevens voor identificatiedoeleinden bevat, het bestaan van een dergelijke toestemming kan aantonen.

Tegen deze achtergrond heeft de Tribunal Bucureşti de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

Om te beginnen moet worden vastgesteld of richtlijn 95/46 en verordening 2016/679 toepasselijk zijn op de feiten in het hoofdgeding.

Met ingang van 25 mei 2018 is richtlijn 95/46 ingetrokken en vervangen door verordening 2016/679, krachtens artikel 94, lid 1, en artikel 99, lid 2, van die verordening.

Aangezien het in het hoofdgeding aan de orde zijnde besluit van de ANSPDCP is vastgesteld op 28 maart 2018 en dus vóór 25 mei 2018, is de verwijzende rechter terecht van oordeel dat richtlijn 95/46 ratione temporis van toepassing is op het hoofdgeding.

Uit het aan het Hof overgelegde dossier blijkt ook dat de ANSPDCP met haar besluit Orange România niet alleen een geldboete heeft opgelegd maar ook heeft gelast de kopieën van de betrokken identiteitsbewijzen te vernietigen, en dat het hoofdgeding ook betrekking heeft op dit laatste bevel. Aangezien niets in dit dossier erop wijst dat vóór 25 mei 2018 gevolg is gegeven aan dit bevel, is het niet uitgesloten dat in casu verordening 2016/679 ratione temporis van toepassing is wat dat bevel betreft (zie in die zin arrest van 1 oktober 2019, Planet49, C-673/17, EU:C:2019:801, punt 41).

Om het Hof in staat te stellen een bruikbaar antwoord te geven op de vragen van de verwijzende rechter, moeten deze vragen dus worden beantwoord op basis van zowel richtlijn 95/46 als verordening 2016/679 (zie naar analogie arrest van 1 oktober 2019, Planet49, C-673/17, EU:C:2019:801, punt 43).

Met zijn twee prejudiciële vragen, die gezamenlijk dienen te worden onderzocht, wenst de verwijzende rechter in essentie te vernemen of artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46 alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679 aldus moeten worden uitgelegd dat een overeenkomst inzake de verstrekking van telecommunicatiediensten die een clausule bevat volgens welke de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en bewaren van een kopie van zijn identiteitsbewijs, kan aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven — in de zin van die bepalingen — voor dat verzamelen en dat bewaren.

In dit verband dient in herinnering te worden gebracht dat artikel 7 van richtlijn 95/46 en artikel 6 van verordening 2016/679 een uitputtende lijst bevatten van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt (zie met betrekking tot artikel 7 van richtlijn 95/46, arresten van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 57 en aldaar aangehaalde rechtspraak, en 1 oktober 2019, Planet49, C-673/17, EU:C:2019:801, punt 53). In het bijzonder bepalen artikel 7, onder a), van deze richtlijn en artikel 6, lid 1, onder a), van die verordening dat een dergelijke verwerking rechtmatig is indien de betrokkene zijn toestemming heeft gegeven.

Wat betreft de vereisten waaraan een dergelijke toestemming is onderworpen, bepaalt artikel 7, onder a), van richtlijn 95/46 dat de betrokkene ‘zijn ondubbelzinnige toestemming’ moet hebben gegeven, en definieert artikel 2, onder h), van deze richtlijn de term ‘toestemming’ als ‘elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt’. Aangezien deze bepalingen bepalen dat de betrokkene een ‘wilsuiting’ doet teneinde zijn ‘ondubbelzinnige’ toestemming te geven, kan alleen een actieve gedraging van die persoon waarmee hij zijn toestemming kenbaar maakt in aanmerking worden genomen (zie in die zin arrest van 1 oktober 2019, Planet49, C-673/17, EU:C:2019:801, punten 52 en 54).

Dit vereiste geldt ook in het kader van verordening 2016/679. De bewoordingen van artikel 4, punt 11, van deze verordening, dat voor onder meer artikel 6, lid 1, onder a), ervan een definitie geeft van de ‘toestemming van de betrokkene’, lijken immers nog strikter dan die van artikel 2, onder h), van richtlijn 95/46, aangezien voor die toestemming een ‘vrije, specifieke, geïnformeerde en ondubbelzinnige’ wilsuiting van de betrokkene is vereist, in de vorm van een verklaring of ‘een ondubbelzinnige actieve handeling’ die erop duidt dat hij de verwerking van hem betreffende persoonsgegevens aanvaardt. In verordening 2016/679 wordt dus uitdrukkelijk actieve toestemming voorgeschreven (zie in die zin arrest van 1 oktober 2019, Planet49, C-673/17, EU:C:2019:801, punten 61–63).

In dit verband preciseert overweging 32 van die verordening weliswaar dat toestemming onder meer kan worden uitgedrukt door bij het bezoeken van een website een vakje aan te klikken, maar mag volgens deze overweging ‘[s]tilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit’ niet als toestemming gelden. Zoals het Hof reeds heeft geoordeeld, lijkt het in een dergelijk geval praktisch onmogelijk om objectief vast te stellen of de gebruiker van een website door een standaard aangevinkt vakje niet uit te vinken, inderdaad toestemming heeft gegeven om zijn persoonsgegevens te verwerken en in ieder geval of deze toestemming op informatie berust. Het kan immers niet worden uitgesloten dat deze gebruiker de informatie bij het standaard aangevinkte vakje niet heeft gelezen of dat hij dit vakje niet eens heeft opgemerkt voor hij zijn activiteiten op de bezochte website voortzette (zie in die zin arrest van 1 oktober 2019, Planet49, C-673/17, EU:C:2019:801, punten 55 en 57).

Voorts moet een wilsuiting volgens artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679 ‘specifiek’ zijn, in die zin dat deze precies op de verwerking van de betrokken gegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft (zie met betrekking tot artikel 2, onder h), van richtlijn 95/46, arrest van 1 oktober 2019, Planet49, C-673/17, EU:C:2019:801, punt 58).

In dit verband specificeert artikel 7, lid 2, eerste volzin, van deze verordening dat, wanneer de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, het verzoek om toestemming zodanig wordt gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. In het bijzonder volgt uit deze laatste bepaling, gelezen in samenhang met overweging 42 van die verordening, dat een dergelijke verklaring in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal moet worden opgesteld, met name wanneer het gaat om een verklaring van toestemming die de voor de verwerking van persoonsgegevens verantwoordelijke vooraf opstelt.

Het uit artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679 voortvloeiende vereiste dat de toestemming ‘op informatie berust’ of ‘geïnformeerd’ moet zijn, houdt overeenkomstig artikel 10 van deze richtlijn, gelezen in het licht van overweging 38 ervan, en artikel 13 van deze verordening, gelezen in het licht van overweging 42 ervan, in dat de verwerkingsverantwoordelijke de betrokkene informatie verstrekt over alle omstandigheden waarin de verwerking van persoonsgegevens plaatsvindt, in een begrijpelijke en gemakkelijk toegankelijke vorm en geformuleerd in duidelijke en eenvoudige taal, waarbij die betrokkene met name in kennis moet worden gesteld van het soort gegevens dat zal worden verwerkt, de identiteit van de verwerkingsverantwoordelijke, hoe lang en op welke wijze deze verwerking zal plaatsvinden alsmede de specifieke doeleinden ervan. Dergelijke informatie moet de betrokkene in staat stellen om gemakkelijk de gevolgen te bepalen van de door hem eventueel te verlenen toestemming, en waarborgen dat hij deze toestemming met kennis van zaken verleent (zie naar analogie arrest van 1 oktober 2019, Planet49, C-673/17, EU:C:2019:801, punt 74).

Zoals de Commissie in haar bij het Hof ingediende opmerkingen heeft aangegeven, volgt bovendien uit artikel 10, onder c), tweede streepje, van richtlijn 95/46 en uit artikel 13, lid 2, onder b) en c), van verordening 2016/679, gelezen in het licht van overweging 42 ervan, dat, om te waarborgen dat de betrokkene een echte vrije keuze heeft, de contractuele bedingen de betrokkene niet mogen misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de verwerking van zijn gegevens. Bij gebreke van dergelijke informatie kan de toestemming van die betrokkene voor de verwerking van zijn persoonsgegevens niet worden geacht vrij te zijn gegeven, noch daarnaast op informatie te hebben berust of geïnformeerd te zijn.

Hieraan dient te worden toegevoegd dat krachtens artikel 6, lid 1, onder a), en lid 2, van richtlijn 95/46 en artikel 5, lid 1, onder a), van verordening 2016/679 de voor de verwerking van persoonsgegevens verantwoordelijke er met name zorg voor draagt dat de verwerking van die gegevens rechtmatig is en, zoals verduidelijkt in artikel 5, lid 2, van die verordening, deze rechtmatigheid moet kunnen aantonen. Wat meer in het bijzonder de eventuele toestemming van de betrokkene betreft, bepaalt artikel 7, onder a), van die richtlijn dat de betrokkene zijn ‘ondubbelzinnige’ toestemming moet hebben gegeven, hetgeen impliceert dat, zoals de advocaat-generaal in punt 56 van zijn conclusie heeft uiteengezet, de bewijslast voor het feit dat de betrokkene op geldige wijze toestemming heeft gegeven op de verwerkingsverantwoordelijke rust. Artikel 7, lid 1, van verordening 2016/679 bepaalt thans dat wanneer de verwerking berust op toestemming, de verwerkingsverantwoordelijke moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.

In casu heeft Orange România in haar bij het Hof ingediende opmerkingen aangevoerd dat haar verkopers, tijdens de procedure voor de sluiting van de in het hoofdgeding aan de orde zijnde overeenkomsten, de betrokken klanten vóór de sluiting van de overeenkomsten hebben geïnformeerd, met name over de doeleinden van het verzamelen en bewaren van kopieën van identiteitsbewijzen en over de keuze waarover die klanten met betrekking tot die verzameling en bewaring beschikken, alvorens van deze klanten mondeling toestemming te verkrijgen voor deze verzameling en bewaring. Volgens Orange România was het vakje betreffende de bewaring van kopieën van identiteitsbewijzen aldus uitsluitend aangevinkt op basis van de vrijwillige instemming daarmee van de betrokkenen bij het sluiten van de overeenkomst.

In die omstandigheden strekt het verzoek om een prejudiciële beslissing er in essentie toe om te verduidelijken of de aldus ingeroepen toestemming voor een dergelijke verwerking van persoonsgegevens kan worden aangetoond op basis van de bedingen in die overeenkomsten.

In dit verband blijkt uit de aanwijzingen in dat verzoek dat voornoemde overeenkomsten weliswaar een beding bevatten volgens hetwelk de betrokken klanten zijn geïnformeerd over en toestemming hebben gegeven voor het bewaren van een kopie van hun identiteitsbewijs voor identificatiedoeleinden, maar dat de verkopers van Orange România het vakje betreffende dat beding reeds hadden aangevinkt voordat deze klanten door hun handtekening te plaatsen alle contractuele bedingen, te weten zowel dat beding als andere bedingen die geen verband houden met gegevensbescherming, accepteerden. Voorts wordt in dat verzoek aangegeven dat, zonder dat dit in de in het hoofdgeding aan de orde zijnde overeenkomsten werd vermeld, Orange România ermee instemde om die overeenkomsten te sluiten met klanten die weigerden toestemming te geven voor het bewaren van een kopie van hun identiteitsbewijs, maar wel verlangde dat die klanten in dat geval een specifiek formulier zouden ondertekenen dat blijk gaf van hun weigering.

Aangezien — volgens deze aanwijzingen — de betrokken klanten het vakje betreffende dat beding niet zelf lijken te hebben aangevinkt, kan niet op grond van het enkele feit dat dit vakje is aangevinkt, worden aangetoond dat deze klanten ermee hebben ingestemd dat een kopie van hun identiteitskaart zou worden verzameld en bewaard. Zoals de advocaat-generaal in punt 45 van zijn conclusie heeft opgemerkt, kan niet op basis van de enkele omstandigheid dat die klanten de overeenkomsten met het aangevinkte vakje hebben ondertekend, worden aangetoond dat een dergelijke toestemming is gegeven wanneer geen sprake is van aanwijzingen die bevestigen dat dit beding daadwerkelijk is gelezen en begrepen. Het staat aan de verwijzende rechter om de daartoe vereiste controles te verrichten.

Aangezien het aangevinkte beding betreffende de verwerking van deze gegevens niet zodanig blijkt te zijn gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere contractuele bedingen, staat het voorts aan de verwijzende rechter om te beoordelen of, rekening houdend met de overwegingen in punt 34 van het onderhavige arrest, met de ondertekening van deze overeenkomsten — die ziet op een verscheidenheid aan contractuele bedingen — specifieke toestemming wordt gegeven voor het verzamelen en bewaren van persoonsgegevens in de zin van artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, van verordening 2016/679.

Aangezien het in het hoofdgeding aan de orde zijnde contractuele beding enkel aangeeft dat de kopieën van identiteitskaarten worden bewaard voor identificatiedoeleinden, zonder enige andere vermelding, staat het daarenboven aan de verwijzende rechter om na te gaan of de aan de betrokkenen verstrekte informatie voldoet aan de vereisten van artikel 10 van richtlijn 95/46 en artikel 13 van verordening 2016/679, die vermelden welke informatie de verwerkingsverantwoordelijke moet verstrekken aan de persoon bij wie hij gegevens betreffende die persoon verzamelt, om te waarborgen dat diens gegevens eerlijk worden verwerkt.

Deze rechter dient ook met name na te gaan of, bij gebreke van verduidelijking op dit punt, de in het hoofdgeding aan de orde zijnde contractuele bedingen de betrokkene konden misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de verwerking van zijn gegevens, waardoor ter discussie kan worden gesteld of de door voornoemde ondertekening tot uitdrukking gebrachte toestemming geïnformeerd was en op informatie berustte.

Zoals de advocaat-generaal in punt 60 van zijn conclusie heeft opgemerkt, wordt de vrije aard van die toestemming bovendien in twijfel getrokken door het feit dat Orange România, ingeval geen toestemming werd gegeven, afweek van de normale procedure voor het sluiten van de overeenkomst, door te eisen dat de betrokken klant schriftelijk verklaart niet in te stemmen met het verzamelen en het bewaren van de kopie van zijn identiteitsbewijs. Zoals de Commissie ter terechtzitting heeft opgemerkt, kan een dergelijk aanvullend vereiste immers onnodig afbreuk doen aan de vrije keuze om zich tegen deze verzameling en bewaring te verzetten, hetgeen de verwijzende rechter eveneens dient na te gaan.

Zoals volgt uit de overwegingen in de punten 35, 36 en 42 van het onderhavige arrest, staat het hoe dan ook aan Orange România, als verantwoordelijke voor de verwerking van de gegevens, om aan te tonen dat haar klanten met een actieve gedraging blijk hebben gegeven van hun toestemming voor de verwerking van hun persoonsgegevens, wat betekent dat Orange România niet kan eisen dat zij actief blijk geven van hun weigering.

Gelet op voorgaande overwegingen moet op de gestelde vragen worden geantwoord dat artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46 alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679 aldus moeten worden uitgelegd dat het aan de voor de gegevensverwerking verantwoordelijke staat om aan te tonen dat de betrokkene met een actieve gedraging blijk heeft gegeven van zijn toestemming voor de verwerking van zijn persoonsgegevens, en dat die betrokkene vooraf geïnformeerd is over alle omstandigheden rond deze verwerking, in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal, zodat hij gemakkelijk kan bepalen welke gevolgen die toestemming heeft en wordt gewaarborgd dat de toestemming met kennis van zaken wordt verleend. Een overeenkomst inzake de verstrekking van telecommunicatiediensten die een beding bevat volgens hetwelk de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en het bewaren van een kopie van zijn identiteitsbewijs voor identificatiedoeleinden, kan niet aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven — in de zin van die bepalingen — voor dat verzamelen en dat bewaren, wanneer

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Tweede kamer) verklaart voor recht:

Artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moeten aldus worden uitgelegd dat het aan de voor de gegevensverwerking verantwoordelijke staat om aan te tonen dat de betrokkene met een actieve gedraging blijk heeft gegeven van zijn toestemming voor de verwerking van zijn persoonsgegevens, en dat die betrokkene vooraf geïnformeerd is over alle omstandigheden rond deze verwerking, in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal, zodat hij gemakkelijk kan bepalen welke gevolgen die toestemming heeft en wordt gewaarborgd dat de toestemming met kennis van zaken wordt verleend. Een overeenkomst inzake de verstrekking van telecommunicatiediensten die een beding bevat volgens hetwelk de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en het bewaren van een kopie van zijn identiteitsbewijs voor identificatiedoeleinden, kan niet aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven — in de zin van die bepalingen — voor dat verzamelen en dat bewaren, wanneer

ondertekeningen