C-61/19
Podsumowanie
Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczył wykładni przepisów dyrektywy 95/46/WE oraz rozporządzenia (UE) 2016/679 (RODO) w zakresie definicji zgody osoby, której dane dotyczą. Sprawa wywodziła się ze sporu pomiędzy rumuńskim operatorem telekomunikacyjnym Orange România SA a krajowym organem nadzoru nad przetwarzaniem danych osobowych (ANSPDCP). ANSPDCP nałożyło na Orange România grzywnę za gromadzenie i przechowywanie kopii dokumentów tożsamości klientów bez uzyskania ich ważnej zgody, nakazując jednocześnie zniszczenie tych kopii. Sąd krajowy (Tribunalul Bucureşti) zwrócił się do Trybunału Sprawiedliwości UE z pytaniami dotyczącymi warunków, jakie muszą zostać spełnione, aby oświadczenie woli można było uznać za konkretne, świadome i dobrowolne. Trybunał przypomniał, że zgoda musi być wyrażona poprzez czynne zachowanie, a nie milczenie czy domyślnie zaznaczone okienka. Operator powinien wykazać, że osoba, której dane dotyczą, została poinformowana o wszystkich istotnych okolicznościach przetwarzania danych w sposób zrozumiały i jasny, a także o konsekwencjach udzielenia zgody. Samo podpisanie umowy, w której znajduje się klauzula o przetwarzaniu danych, nie jest wystarczające, jeśli nie można udowodnić, że klient faktycznie zapoznał się z tą klauzulą i świadomie wyraził zgodę. Dodatkowo, Trybunał wskazał, że jeśli odmowa wyrażenia zgody wiąże się z koniecznością wypełnienia dodatkowego formularza, może to podważać dobrowolność zgody. W konsekwencji, umowa zawierająca klauzulę o przetwarzaniu danych nie pozwala wykazać skutecznej zgody, gdy okienko wyboru zostało zaznaczone przez administratora przed podpisaniem umowy, gdy postanowienia umowy mogą wprowadzać w błąd co do możliwości zawarcia umowy pomimo odmowy zgody, lub gdy administrator bezpodstawnie utrudnia odmowę wyrażenia zgody.
Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.
Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.
Wartość praktyczna
Siła precedensu: WysokaWykładnia pojęcia zgody na przetwarzanie danych osobowych w kontekście RODO i poprzedniej dyrektywy, szczególnie w sytuacjach zawierania umów i zbierania danych identyfikacyjnych.
Dotyczy głównie sytuacji, w których zgoda jest podstawą prawną przetwarzania danych, a nie innych podstaw (np. wykonanie umowy, obowiązek prawny).
Zagadnienia prawne (3)
Czy umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę o informowaniu o skopiowaniu i przechowywaniu kopii dokumentu tożsamości do celów identyfikacji i wyrażeniu na to zgody, może posłużyć do wykazania, że osoba, której dane dotyczą, skutecznie wyraziła zgodę na sporządzenie tej kopii i jej przechowywanie?Ratio decidendi
Odpowiedź sądu
Nie, umowa taka nie pozwala wykazać skutecznej zgody, gdy okienko wyboru zostało zaznaczone przez administratora przed podpisaniem umowy, gdy postanowienia umowy mogą wprowadzać w błąd co do możliwości zawarcia umowy pomimo odmowy zgody, lub gdy administrator bezpodstawnie wpłynął na swobodę decyzji o sprzeciwieniu się skopiowaniu i przechowywaniu kopii dokumentu tożsamości.
Uzasadnienie
Zgoda na przetwarzanie danych musi być wyrażona poprzez czynne zachowanie, być konkretna, świadoma i dobrowolna. Administrator musi wykazać, że osoba została poinformowana o wszystkich istotnych okolicznościach przetwarzania danych w sposób zrozumiały i jasny. Samo zaznaczenie okienka przez operatora lub podpisanie umowy nie jest wystarczające, jeśli nie można udowodnić świadomego wyrażenia zgody.
Jakie warunki muszą zostać spełnione, aby oświadczenie woli można było uznać za konkretne i świadome zgodnie z art. 2 lit. h) dyrektywy 95/46?Ratio decidendi
Odpowiedź sądu
Oświadczenie woli musi odnosić się dokładnie do określonego przetwarzania danych i być udzielone przy pełnej znajomości stanu rzeczy, co wymaga dostarczenia informacji o tożsamości administratora, celach przetwarzania, okresie przechowywania danych, prawach osoby, której dane dotyczą, oraz konsekwencjach zgody.
Uzasadnienie
Wymóg 'świadomej' zgody oznacza, że administrator musi dostarczyć osobie, której dane dotyczą, informacji o wszelkich okolicznościach związanych z przetwarzaniem danych w zrozumiały i łatwo dostępny sposób, jasnym i prostym językiem. Informacje te powinny umożliwić łatwe ustalenie konsekwencji zgody.
Jakie warunki muszą zostać spełnione, aby oświadczenie woli można było uznać za dobrowolnie wyrażone zgodnie z art. 2 lit. h) dyrektywy 95/46?Ratio decidendi
Odpowiedź sądu
Zgoda jest dobrowolna, gdy osoba, której dane dotyczą, ma rzeczywisty lub wolny wybór i nie ponosi niekorzystnych konsekwencji z powodu odmowy lub wycofania zgody. Nie można uzależniać wykonania umowy od zgody na przetwarzanie danych, jeśli nie jest ono niezbędne do wykonania tej umowy.
Uzasadnienie
Oceniając dobrowolność zgody, należy uwzględnić, czy nie jest ona uzależniona od wykonania umowy, w tym świadczenia usługi, jeśli przetwarzanie danych nie jest niezbędne do jej wykonania. Dodatkowe wymogi przy odmowie zgody mogą podważać dobrowolność.
Strony
| Nazwa | Typ | Rola |
|---|---|---|
| Orange România SA | spolka | skarżący |
| Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) | organ_krajowy | pozwany |
| Rząd rumuński | inne | interwenient |
| Rząd włoski | inne | interwenient |
| Rząd austriacki | inne | interwenient |
| Rząd portugalski | inne | interwenient |
| Komisja Europejska | instytucja_ue | interwenient |
Przepisy (9)
Główne
Dyrektywa 95/46/WE art. 2 § lit. h)
Dyrektywa Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych
Definicja zgody jako konkretnego, świadomego i dobrowolnego wskazania woli.
Dyrektywa 95/46/WE art. 7 § lit. a)
Dyrektywa Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych
Przetwarzanie danych osobowych jest dopuszczalne tylko, gdy osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę.
RODO art. 4 § pkt 11
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Definicja zgody jako dobrowolnego, konkretnego, świadomego i jednoznacznego okazania woli poprzez oświadczenie lub wyraźne działanie potwierdzające.
RODO art. 6 § ust. 1 lit. a)
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Przetwarzanie jest zgodne z prawem, gdy osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów.
Legea nr. 677/2001 art. 5 § ust. 1
Ustawa nr 677/2001 o ochronie osób w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Rumunia)
Dane osobowe mogą być przetwarzane wyłącznie za jednoznaczną i wyraźną zgodą osoby, której dane dotyczą.
Legea nr. 677/2001 art. 8 § ust. 1 lit. a)
Ustawa nr 677/2001 o ochronie osób w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Rumunia)
Przetwarzanie danych identyfikacyjnych może być dokonywane, jeżeli osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę.
Pomocnicze
Dyrektywa 95/46/WE art. 10
Dyrektywa Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych
Obowiązek administratora przedstawienia osobie, od której gromadzone są dane, informacji o tożsamości administratora, celach przetwarzania, odbiorcach danych, obowiązkowości odpowiedzi i konsekwencjach nieudzielenia odpowiedzi, oraz prawie wglądu i sprostowania.
RODO art. 7 § ust. 1, 2 i 4
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Administrator musi być w stanie wykazać zgodę; zapytanie o zgodę w oświadczeniu dotyczącym innych kwestii musi być wyraźnie odróżnione; oceniając dobrowolność, należy uwzględnić, czy zgoda nie jest uzależniona od wykonania umowy.
RODO art. 13 § ust. 1 i 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Obowiązek administratora podania informacji o tożsamości, celach przetwarzania, podstawie prawnej, okresie przechowywania, prawach osoby, której dane dotyczą, oraz prawie do cofnięcia zgody.
Argumenty
Skuteczne argumenty
Zgoda na przetwarzanie danych musi być wyrażona w sposób czynny i świadomy. • Administrator danych ponosi ciężar dowodu istnienia ważnej zgody. • Informacje dotyczące przetwarzania danych muszą być przedstawione w sposób zrozumiały i łatwo dostępny. • Zgoda nie może być uzależniona od wykonania umowy, jeśli przetwarzanie danych nie jest do tego niezbędne. • Domyślnie zaznaczone okienka lub brak działania nie oznaczają zgody.
Godne uwagi sformułowania
zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie • Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody. • Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy • to do administratora danych należy wykazanie, że osoba, której dane dotyczą, poprzez czynne zachowanie wyraziła zgodę na przetwarzanie swych danych osobowych
Skład orzekający
A. Arabadjiev
prezes izby
T. von Danwitz
sprawozdawca
P.G. Xuereb
sędzia
Informacje dodatkowe
Wartość precedensowa
Siła: Wysoka
Powoływalne dla: "Wykładnia pojęcia zgody na przetwarzanie danych osobowych w kontekście RODO i poprzedniej dyrektywy, szczególnie w sytuacjach zawierania umów i zbierania danych identyfikacyjnych."
Ograniczenia: Dotyczy głównie sytuacji, w których zgoda jest podstawą prawną przetwarzania danych, a nie innych podstaw (np. wykonanie umowy, obowiązek prawny).
Wartość merytoryczna
Ocena: 8/10
Sprawa dotyczy powszechnego problemu zbierania danych przez firmy i interpretacji zgody na przetwarzanie danych, co jest kluczowe dla ochrony prywatności w erze cyfrowej.
“Czy Twoja zgoda na dane jest naprawdę Twoja? TSUE wyjaśnia, kiedy firmy mogą zbierać Twoje dane.”
Twój asystent do analizy prawnej.
Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka 1,4 mln orzeczeń i aktualne akty prawne.
- Analiza orzecznictwa i przepisów
- Drafting pism i dokumentów
- Odpowiedzi na pytania prawne
- Pogłębiona analiza z doktryny