C-61/19
Podsumowanie
Trybunał Sprawiedliwości UE orzekł, że zgoda na przetwarzanie danych osobowych musi być wyrażona w sposób czynny i świadomy, a samo zaznaczenie okienka przez operatora lub podpisanie umowy nie wystarcza do jej wykazania.
Sprawa dotyczyła interpretacji przepisów o ochronie danych osobowych w kontekście gromadzenia kopii dokumentów tożsamości przez operatora telekomunikacyjnego. Orange România zbierała kopie dowodów tożsamości klientów, a rumuński organ nadzoru nałożył karę za brak ważnej zgody. Trybunał Sprawiedliwości UE wyjaśnił, że zgoda musi być konkretna, świadoma i dobrowolna, wyrażona poprzez czynne działanie. Samo zaznaczenie okienka przez operatora lub podpisanie umowy nie jest wystarczające do wykazania zgody, jeśli nie można udowodnić, że klient faktycznie zapoznał się z informacjami i świadomie wyraził zgodę.
Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczył wykładni przepisów dyrektywy 95/46/WE oraz rozporządzenia (UE) 2016/679 (RODO) w zakresie definicji zgody osoby, której dane dotyczą. Sprawa wywodziła się ze sporu pomiędzy rumuńskim operatorem telekomunikacyjnym Orange România SA a krajowym organem nadzoru nad przetwarzaniem danych osobowych (ANSPDCP). ANSPDCP nałożyło na Orange România grzywnę za gromadzenie i przechowywanie kopii dokumentów tożsamości klientów bez uzyskania ich ważnej zgody, nakazując jednocześnie zniszczenie tych kopii. Sąd krajowy (Tribunalul Bucureşti) zwrócił się do Trybunału Sprawiedliwości UE z pytaniami dotyczącymi warunków, jakie muszą zostać spełnione, aby oświadczenie woli można było uznać za konkretne, świadome i dobrowolne. Trybunał przypomniał, że zgoda musi być wyrażona poprzez czynne zachowanie, a nie milczenie czy domyślnie zaznaczone okienka. Operator powinien wykazać, że osoba, której dane dotyczą, została poinformowana o wszystkich istotnych okolicznościach przetwarzania danych w sposób zrozumiały i jasny, a także o konsekwencjach udzielenia zgody. Samo podpisanie umowy, w której znajduje się klauzula o przetwarzaniu danych, nie jest wystarczające, jeśli nie można udowodnić, że klient faktycznie zapoznał się z tą klauzulą i świadomie wyraził zgodę. Dodatkowo, Trybunał wskazał, że jeśli odmowa wyrażenia zgody wiąże się z koniecznością wypełnienia dodatkowego formularza, może to podważać dobrowolność zgody. W konsekwencji, umowa zawierająca klauzulę o przetwarzaniu danych nie pozwala wykazać skutecznej zgody, gdy okienko wyboru zostało zaznaczone przez administratora przed podpisaniem umowy, gdy postanowienia umowy mogą wprowadzać w błąd co do możliwości zawarcia umowy pomimo odmowy zgody, lub gdy administrator bezpodstawnie utrudnia odmowę wyrażenia zgody.
Asystent AI do analizy prawnej
Przeanalizuj tę sprawę w kontekście orzecznictwa, przepisów i doktryny. Uzyskaj pogłębioną analizę, projekt pisma lub odpowiedź na pytanie prawne.
Zagadnienia prawne (3)
Odpowiedź sądu
Nie, umowa taka nie pozwala wykazać skutecznej zgody, gdy okienko wyboru zostało zaznaczone przez administratora przed podpisaniem umowy, gdy postanowienia umowy mogą wprowadzać w błąd co do możliwości zawarcia umowy pomimo odmowy zgody, lub gdy administrator bezpodstawnie wpłynął na swobodę decyzji o sprzeciwieniu się skopiowaniu i przechowywaniu kopii dokumentu tożsamości.
Uzasadnienie
Zgoda na przetwarzanie danych musi być wyrażona poprzez czynne zachowanie, być konkretna, świadoma i dobrowolna. Administrator musi wykazać, że osoba została poinformowana o wszystkich istotnych okolicznościach przetwarzania danych w sposób zrozumiały i jasny. Samo zaznaczenie okienka przez operatora lub podpisanie umowy nie jest wystarczające, jeśli nie można udowodnić świadomego wyrażenia zgody.
Rozstrzygnięcie
Decyzja
odpowiedz_na_pytanie
Strona wygrywająca
udzielono odpowiedzi na pytanie
Strony
| Nazwa | Typ | Rola |
|---|---|---|
| Orange România SA | spolka | skarżący |
| Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) | organ_krajowy | pozwany |
| Rząd rumuński | inne | interwenient |
| Rząd włoski | inne | interwenient |
| Rząd austriacki | inne | interwenient |
| Rząd portugalski | inne | interwenient |
| Komisja Europejska | instytucja_ue | interwenient |
Przepisy (9)
Główne
Dyrektywa 95/46/WE art. 2 § lit. h)
Dyrektywa Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych
Definicja zgody jako konkretnego, świadomego i dobrowolnego wskazania woli.
Dyrektywa 95/46/WE art. 7 § lit. a)
Dyrektywa Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych
Przetwarzanie danych osobowych jest dopuszczalne tylko, gdy osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę.
RODO art. 4 § pkt 11
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Definicja zgody jako dobrowolnego, konkretnego, świadomego i jednoznacznego okazania woli poprzez oświadczenie lub wyraźne działanie potwierdzające.
RODO art. 6 § ust. 1 lit. a)
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Przetwarzanie jest zgodne z prawem, gdy osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów.
Legea nr. 677/2001 art. 5 § ust. 1
Ustawa nr 677/2001 o ochronie osób w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Rumunia)
Dane osobowe mogą być przetwarzane wyłącznie za jednoznaczną i wyraźną zgodą osoby, której dane dotyczą.
Legea nr. 677/2001 art. 8 § ust. 1 lit. a)
Ustawa nr 677/2001 o ochronie osób w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Rumunia)
Przetwarzanie danych identyfikacyjnych może być dokonywane, jeżeli osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę.
Pomocnicze
Dyrektywa 95/46/WE art. 10
Dyrektywa Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych
Obowiązek administratora przedstawienia osobie, od której gromadzone są dane, informacji o tożsamości administratora, celach przetwarzania, odbiorcach danych, obowiązkowości odpowiedzi i konsekwencjach nieudzielenia odpowiedzi, oraz prawie wglądu i sprostowania.
RODO art. 7 § ust. 1, 2 i 4
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Administrator musi być w stanie wykazać zgodę; zapytanie o zgodę w oświadczeniu dotyczącym innych kwestii musi być wyraźnie odróżnione; oceniając dobrowolność, należy uwzględnić, czy zgoda nie jest uzależniona od wykonania umowy.
RODO art. 13 § ust. 1 i 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Obowiązek administratora podania informacji o tożsamości, celach przetwarzania, podstawie prawnej, okresie przechowywania, prawach osoby, której dane dotyczą, oraz prawie do cofnięcia zgody.
Argumenty
Skuteczne argumenty
Zgoda na przetwarzanie danych musi być wyrażona w sposób czynny i świadomy. Administrator danych ponosi ciężar dowodu istnienia ważnej zgody. Informacje dotyczące przetwarzania danych muszą być przedstawione w sposób zrozumiały i łatwo dostępny. Zgoda nie może być uzależniona od wykonania umowy, jeśli przetwarzanie danych nie jest do tego niezbędne. Domyślnie zaznaczone okienka lub brak działania nie oznaczają zgody.
Godne uwagi sformułowania
zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody. Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy to do administratora danych należy wykazanie, że osoba, której dane dotyczą, poprzez czynne zachowanie wyraziła zgodę na przetwarzanie swych danych osobowych
Skład orzekający
A. Arabadjiev
prezes izby
T. von Danwitz
sprawozdawca
P.G. Xuereb
sędzia
Informacje dodatkowe
Wartość precedensowa
Siła: Wysoka
Powoływalne dla: "Wykładnia pojęcia zgody na przetwarzanie danych osobowych w kontekście RODO i poprzedniej dyrektywy, szczególnie w sytuacjach zawierania umów i zbierania danych identyfikacyjnych."
Ograniczenia: Dotyczy głównie sytuacji, w których zgoda jest podstawą prawną przetwarzania danych, a nie innych podstaw (np. wykonanie umowy, obowiązek prawny).
Wartość merytoryczna
Ocena: 8/10
Sprawa dotyczy powszechnego problemu zbierania danych przez firmy i interpretacji zgody na przetwarzanie danych, co jest kluczowe dla ochrony prywatności w erze cyfrowej.
“Czy Twoja zgoda na dane jest naprawdę Twoja? TSUE wyjaśnia, kiedy firmy mogą zbierać Twoje dane.”
Twój asystent do analizy prawnej
Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka ponad 1,4 mln orzeczeń i aktualne akty prawne.
Powiązane tematy
Potrzebujesz pomocy prawnej?
Asystent AI przeanalizuje Twoje pytanie w oparciu o orzecznictwo, przepisy i doktrynę — jak rozmowa z ekspertem.
Zadaj pytanie Asystentowi AI