Ce înseamnă un consimțământ valabil conform GDPR în viziunea CJUE? Orange România pierde la CJUE în fața ANSDPCP.
15 minute • Miruna Casiana Dumitrașcu • 06 aprilie 2020
Pe scurt
Tribunalul București a formulat o cerere de decizie preliminară către Curtea de Justiție a Uniunii Europene în contextul unui litigiu dintre Orange România SA și Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) pentru a identifica sensul concret al noțiunii de “consimțământ” al persoanei vizate.
Update 11 noiembrie 2020: CJUE a menținut opiniile Avocatului General, iar hotărârea poate fi consultată aici.
S-a întâmplat că…
Orange România SA este un furnizor de servicii de telecomunicații mobile în România, care a încheiat contracte în acest sens cu mai mulți clienți (persoane fizice), contracte ce aveau, atașat, copiile actelor de identitate ale acestora.
În conținutul contractelor de prestări servicii de telecomunicații mobile se regăsește, printre altele, o clauză conform căreia clienții au fost informați și și‑au exprimat consimțământul cu privire la stocarea de către Orange România a acestor copii, iar dovada existenței consimțământului acestora se reflectă în bifarea unei căsuțe din cuprinsul înscrisurilor constatatoare ale contractelor.
Totuși, Orange nu a putut dovedi faptul că acești clienți, în momentul în care au semnat contractele, ar fi fost informați în legătură cu păstrarea acestor copii ale actelor de identitate.
Iar Orange România SA a fost sancționat
În temeiul art. 32 coroborat cu art.8 din Legea 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date, ANSPDCP a sancționat Orange România SA deoarece stocarea și colectarea copiilor actelor de identitate ale clienților săi ar fi fost efectuată în lipsa consimțământului expres al acestora. Astfel, s-a considerat că respectivii clienți nu au făcut o alegere îndeajuns de informată cu privire la colectarea și stocarea copiilor actelor de identitate.
Citeste si: cum obtinem un consimtamant informat al persoanelor?
Ce spune Tribunalul București, în calitate de instanță de trimitere?
Efectuându-se cercetări cu privire la situația de fapt, se constată că, în momentul în care Orange România primea refuz din partea clienților pentru a li se păstra copii după actele de identitate, acesta era constatat printr-un formular specific. Practic, clientul ar fi bifat într-o căsuță că NU este de acord cu atașarea acestor copii la contract.
Interesant este că Orange România nu refuza încheierea contractelor de prestări servicii în lipsa acestor copii de pe documente, ci doar puneau persoanele respective să semneze un formular specific că nu sunt de acord cu atașarea. Ori, consimțământul trebuie acordat în sensul prelucrării datelor, nu în sensul de a ne opune unei prelucrări.
În aceste condiții, deși Termenii și condițiile Orange România stipulau contrariul, aceștia nu refuzau încheierea contractelor cu clienții, chiar dacă ei nu erau de acord cu păstrarea acelor copii.
Citește și: avocatnet, amendată pentru că nu a informat corect persoanele despre ofertele comerciale.
Întrebările sunt…
Astfel, Tribunalul București adresează două întrebări preliminare Curții:
- În sensul art. 2 lit.h din Directiva 95/46, care sunt condițiile care trebuie să fie îndeplinite pentru a se putea considera că o manifestare de voință este una specifică și informată?
- În sensul art. 2 lit.h din Directiva 95/46, care sunt condițiile care trebuie să fie îndeplinite pentru a se putea considera că o manifestare de voință este una liber exprimată?
Considerații introductive ale Curții
A. Referitor la instrumentele juridice aplicabile
Deși s-a invocat Directiva 95/46, totuși, odată cu intrarea în vigoare a Regulamentului 2016/679 la 25 mai 2018 s-au abrogat dispozițiile acesteia.
Sancțiunea dată de către ANSPDCP asupra Orange România SA a fost adoptată la 28 martie 2018, dată care este anterioară intrării în vigoare a Regulamentului. Pe lângă amendă, s-a impus sancțiunea distrugerii tuturor copiilor actelor de identitate (pentru viitor), ceea ce face totuși ca Regulamentul să fie aplicabil.
Așadar, se va răspunde atât din perspectiva Directivei 95/46 (la care vom face referire în continuare ca ”Directivă”), cât și din cea a Regulamentului 2016/679 (la care vom face referire în continuare ca ”Regulamentul” sau ”GDPR”).
B. Definirea conținutului întrebărilor preliminare
Curtea dorește să precizeze că nu este destul de clar modul în care întrebările de către instanța de trimitere au fost formulate, considerându-le adresate “în mod general și abstract”.
Astfel, pentru clarificări, situația de fapt este reluată:
- ANSPDCP sancționează Orange România pentru încheierea unor contracte de prestări servicii cu clienți persoane fizice ce conțin, atașat, copii ale actelor de identitate ale acestora.
- Motivul care stă la baza acestei decizii este că stocarea și colectarea acestor date cu caracter personal s-au efectuat fără consimțământul clientului, adică persoana vizată.
- Orange România susține că a făcut o informare prealabilă cu privire la păstrarea acestor copii, bazându-se pe bifarea căsuțelor din contract cu privire la acordul lor.
- În momentul în care un client dorește încheierea acestui contract, el intră în legătură cu un reprezentant ce operează cu un model direct pe calculator. Aici pare că există posibilitatea de a se bifa căsuța în care se specifică dacă ești de acord cu stocarea acestor date și că, în acest caz, clientul ar ști de existența ei.
- Totuși, din procedurile interne ale firmei, rezultă că trebuie dat consimțământul și în format olograf, nu doar pe calculator.
- Iar clientul ar fi informat doar verbal, nu și în scris, că poate să refuze această stocare și colectare a datelor sale.
De aceea, pentru a se putea răspunde la întrebările cu privire la ce înseamnă, în fapt, un consimțământ liber exprimat, specific și informat, Curtea a reluat întreaga situație de fapt și a conchis prin a remarca sensul real al întrebarilor: care este sarcina probei și nivelul probatoriu impus intreprinderii Orange. Se dorește o analiză asupra faptului dacă acest consimțământ olograf de refuz al fotocopierii și stocarii actelor de identitate ale clientului, în momentul încheierii unui contract de prestări servicii de telecomunicații, înseamnă un consimțământ liber exprimat, specific și informat.
Consimțământul, condiție prealabilă pentru prelucrarea datelor cu caracter personal
Curtea face o analiză asupra prelucrării datelor cu caracter personal, invocând art. 6 din Directiva 95/46 | art. 5 din Regulamentul 2016/679, cât și art.7 din Directiva | art. 6 din Regulament. În timp ce la art. 6 sunt prezentate condiții care trebuie să fie întrunite în mod cumulativ, la art.7 trebuie ca cel puțin una dintre cele enumerate să se îndeplinească, însă, ceea ce stă la baza acestora este ca prelucrarea să se realizeze în mod corect și legal.
Pentru că face obiectul discuției, Curtea se oprește la unul dintre cazurile în care prelucrarea datelor este efectuată în mod legal, anume existența consimțământului neechivoc al persoanei vizate.
Despre consimțământ
A. Cum definim consimțământul?
- Art. 2 lit. h din Directivă, consimțământul este orice manifestare de voință liberă, specifică și informată prin care persoana vizată acceptă să fie prelucrate datele cu caracter personal care o privesc.
- Art. 4 pct. 11 din Regulament, consimțământul persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate.
Asadar, prin intermediul unui consimțământ liber, specific și informat, persoana vizată ia o decizie independentă cu privire la prelucrarea datelor sale.
După cum se poate observa, consimțământul trebuie acordat în sensul producerii de efecte juridice, adică al unei acțiuni, iar nu pentru a împiedica o prelucrare să aibă loc. Pentru aceasta, persoana vizată are la îndemână alte drepturi pe care și le poate exercita, cum ar fi dreptul de opoziție sau dreptul de ștergere a datelor.
B. Scurte observații cu privire la aceste reglementări similare
- Diferența aparentă dintre cele două alineate menționate mai sus constă în adăugarea sintagmei “manifestare de voință lipsită de ambiguitate”. În Directivă (art. 6) se menționează că persoana vizată trebuie să își dea consimțământul în mod neechivoc, însă, la articolul corespunzator (art. 7) din Regulament nu se precizează această condiție. Este doar o simplă mutare către dispozițiile mai generale ale Regulamentului (art. 4 pct. 11, care prevede că un „consimțământ” al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate).
- Apare o nouă sintagmă în Regulament, printr-o declarație sau printr-o acțiune fără echivoc, ceea ce în Directivă nu este precizat.
- Interesant de observat cum cele două versiuni in limba franceză a Directivei (“manifestation de volonté […] informée”) și a Regulamentului (“manifestation de volonté […] eclairée“) diferă în momentul în care se traduce cuvântul “informat”, ceea ce generează o confuzie. De menționat că este printre singurele traduceri care fac o astfel de distincție.
C. Consimțământul trebuie să fie liber
Trebuie ca persoana vizată să aibă o atitudine responsabilă cu privire la acceptarea sau refuzul prelucrării datelor sale și nu să rămână în pasivitate.
Curtea face referire la jurisprudenta sa și arată că în cazul unui joc de noroc online, un consimțământ dat prin bifarea unei căsuțe nu reprezintă un comportament activ al persoanei vizate, nu reiese neapărat că ea chiar a fost informată cu privire la prelucrarea datelor sale.
Astfel, nu numai în mediul virtual, dar si în realitate, persoana vizată trebuie să manifeste acest tip de comportament într-un mod pozitiv, în sensul de a fi citit documentul pe care urmează să îl semneze și apoi să declare că este sau nu de acord cu prelucrarea datelor sale. Simpla bifare a unei căsuțe nu echivalează cu un consimțământ informat, întrucât există șansa ca persoana respectivă să nu fi citit sau să nu fi citit în întregime, iar de aici imposibilitatea de a dovedi dacă s-a dat, într-adevăr, un consimțământ liber.
Vorba aceea, de câte ori nu am dat ”sunt de acord” fără să știm dacă în concret ne vindem sau nu un rinichi.
D. Consimțămantul trebuie să fie informat
Persoana vizată trebuie să știe:
- ce date urmează a fi prelucrate
- durata prelucrării
- în ce mod, cu ce scop s-a efectuat prelucrarea
- cine prelucrează datele
- daca sunt susceptibile de a fi transferate unor terți
- consecințele refuzului de a nu consimți la prelucrare (mai poate încheia sau nu contractul?)
Despre sarcina probei
A. Regulamentul 2016/679
Pentru a analiza problematica referitoare la sarcina probei, Curtea are în vedere art. 7 din Regulament (Art. 7, alin. (1) În cazul în care prelucrarea se bazează pe consimțământ, operatorul trebuie să fie în măsură să demonstreze că persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.).
Redactarea articolul nu lasă loc de nicio indoiala: entitatea care a solicitat consimțământul pentru prelucrarea datelor este cea responsabilă să dovedească dacă persoana vizată l-a dat și, mai mult de atât, toate condițiile de efectivitate ale acestuia.
Contrar opiniei Curții, există autori care susțin ca art. 7 nu subliniază problematica sarcinii probei. Daca cei care au participat la redactarea regulamentului nu au stipulat expres termenii “sarcina probei”, înseamnă că nu s-au referit la aceasta temă.
Se constată că:
- prima propunere a Comisiei evoca “sarcina probei” ce revine operatorului
- Parlamentul nu a contestat această formulare, Consiliul intervine și modifică “sarcina probei” în “trebuie să fie în masură să demonstreze”, rămânând definitivă aceasta formulare
- Consiliul nu își argumentează această modificare, semn că, în realitate, doar s-a dorit să se folosească un limbaj clar detaliând ce semnifică “sarcina probei”
Acestea fiind spuse, se revine la raționamentul inițial, operatorului incumbându-se obligația de a dovedi existența consimțământului liber, specific și informat persoanei vizate. Chiar și dacă ar exista o îndoială cu privire la acesta, operatorul este în drept a reacționa si a înlătura-o.
Operatorul de date cu caracter personal este cel care trebuie să demonstreze că a obținut consimțământul în mod valabil de la persoana vizată.
B. Directiva 95/46
Situația nu este diferită în cazul directivei, deși nu se menționează expres despre sarcina probei, se poate deduce din textele acesteia că s-a dorit ca entitatea care prelucrează și colectează datele să fie ținută a face dovada existenței consimțământului [art. 7 lit. a) “persoana vizată și-a dat consimțământul neechivoc“].
Revenind la situația Orange România
Obiectul cauzei nu este de a se stabili dacă se poate sau nu impune clienților să consimtă la prelucrarea și stocarea datelor cu caracter personal pentru că nu este o condiție prealabilă încheierii contractului.
Discutăm despre faptul că, într-adevar, este perfect legitim ca o societate să solicite clienților săi date cu caracter personal pentru a li se stabili identitatea, însă în ce măsură mai pastrăm legitimitatea dacă se impune clientului să consimtă la copierea și la stocarea actelor de identitate?
Pe baza întregii discuții, Curtea consideră că persoanele fizice – clienți ai Orange România nu își exprimă consimțământul în mod liber, specific și informat.
A. Avem un consimțământ liber?
În momentul in care Orange impune clientului său să dea o semnatură în format olograf daca nu este de acord ca datele lui să fie prelucrate nu constituie un consimtământ liber exprimat. Acesta trebuie să știe că un eventual refuz nu echivalează cu anumite consecințe negative asupra încheierii contractului.
Practic, în loc să existe o acțiune pozitivă pentru a se da consimțămantul, apare o acțiune pozitivă în momentul in care trebuie să refuze.
Curtea face trimitere la jurisprudența sa (Hotararea Planet49) unde se menționează: dacă debifarea unei căsuțe bifate în prealabil pe un site internet este considerată prea dificilă pentru un client, a fortiori nu se poate aștepta din partea unui client să refuze în formă olografă să își dea consimțământul.
Secțiunea GDPR de pe blog îți oferă mai multe articole pe tema protecției datelor cu caracter personal:
- Cum să-ți retragi consimțământul conform GDPR
- CJUE: consimțământul persoanelor nu este necesar atunci când pui camere video la bloc
- CJUE face un pas inainte si reafirma ca nu putem pre-bifa consimtamantul persoanei vizate
B. Dar informat?
Nu există o explicație din partea Orange România față de persoana vizată ca, în eventualitatea în care aceasta refuză să își dea consimțământul cu privire la prelucrarea datelor cu caracter personal, nu există o consecință negativă în acest sens. Contractul se poate încheia chiar și daca nu consimte. Consimțământul nu este unul informat din punctul acesta de vedere.
Astfel, persoanele vizate nu erau informate că respectivul contract se poate încheia indiferent dacă acestea consimt sau nu la copierea datelor din buletin.
C. Sarcina probei?
La nivel ipotetic, nu există dovezi care să reflecte că acel consimțământ a fost dat în mod liber, specific și informat. Nefiind atât de clare procedurilor interne ale Orange România, nu se poate furniza dovada faptului că persoana fizică – clientul și-a dat consimțământul. O asemenea lipsă de claritate și caracterul contradictoriu al instrucțiunilor date personalului însărcinat cu vânzările nu pot opera în defavoarea clientului, care în prezenta cauză este persoana vizată.
Și concluzia…
O persoană vizată care intenționează să încheie un contract pentru prestarea de servicii de telecomunicații cu o întreprindere “nu își dă «consimțământul», cu alte cuvinte nu își manifestă voința «specifică și informată» și «liberă», în sensul art. 2 lit. (h) din Directiva 95/46/CE și al art. 4 pct. 11 din Regulamentul (UE) 2016/679 întreprinderii respective atunci când trebuie să declare olograf pe un formular specific că refuză să consimtă la fotocopierea și la stocarea actelor sale de identitate.”
Trebuie să reținem de aici că un consimțământ, pentru a nu fi viciat, trebuie să producă consecințe juridice, adică să fie în sens pozitiv, nu în sens negativ, de a nu se întâmpla.
Ghid de bune practici când obținem un consimțământ
- Ne asigurăm că persoana vizată știe pentru ce își dă consimțământul;
- Nu legăm consimțământul de alte acțiuni;
- Facem o informare clara, precisă, care să poată fi ușor înțeleasă;
- Expunem consecințele lipsei consimțământului;
- Ne asigurăm că avem dovezi că acesta a fost acordat.
Un răspuns