Curtea de Justiţie a Uniunii Europene (CJUE) a decis că Orange România trebuie să plătească amenda aplicată de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în legătură cu stocarea, fără drept, de către furnizorul de telefonie a unor copii după actele de identitate ale clienţilor săi.

Biserica și-a făcut propria firmă de asigurări! Preoții sunt nemulțumiți

Conform Curții, un contract privind furnizarea de servicii de telecomunicații care conține o clauză potrivit căreia clientul a consimțit la colectarea și la stocarea unei copii a actului său de identitate nu poate să demonstreze că el și-a dat în mod valabil consimțământul atunci când căsuța care se referă la această clauză a fost bifată de operatorul de date anterior semnării contractului. Situația este aceeași atunci când consumatorul este indus în eroare cu privire la posibilitatea de a încheia contractul în cazul în care refuză prelucrarea datelor sale sau atunci când libera alegere de a se opune acestei colectări și acestei stocări este afectată prin cerința completării unui formular suplimentar în care să fie menționat acest refuz.

Au fost incidente de securitate la bănci! Dezvăluirea unui șef din BNR

Litigiul

Orange România furnizează servicii de telecomunicații mobile pe piața românească. Prin decizia din 28 martie 2018, ANSPDCP a aplicat societății o amendă pentru că a stocat copii ale actelor de identitate ale clienților săi fără să demonstreze că acești clienți își dăduseră consimțământul în mod valabil, obligând‑o totodată să distrugă aceste copii. În această decizie, ANSPDCP a arătat că, în perioada cuprinsă între 1 și 26 martie 2018, Orange România a încheiat contracte de furnizare a unor servicii de telecomunicații mobile cu persoane fizice și că la respectivele contracte erau anexate copiile actelor de identitate ale acestor persoane. Potrivit ANSPDCP, societatea nu a făcut dovada faptului că clienții săi la ale căror contracte erau anexate copii ale actelor lor de identitate își dăduseră consimțământul cu privire la colectarea și la stocarea unor copii ale actelor lor de identitate.

Clauzele relevante ale contractelor în cauză aveau următorul cuprins:

„–      Clientul declară că:

(i)      a fost informat înainte de a încheia contractul despre planul tarifar ales, despre tarifele aplicabile, durata minimă a contractului, condițiile încetării acestuia și cele de obținere și utilizare a serviciilor, inclusiv aria de acoperire a serviciilor, […];

(ii)      Orange România a pus la dispoziția clientului toate informațiile necesare pentru a‑și exprima consimțământul neviciat, expres, liber și specific cu privire la încheierea și asumarea expresă a contractului, inclusiv toată documentația contractuală – [Termenii și condițiile generale pentru utilizarea serviciilor Orange] și Broșura de tarife și servicii;

(iii)      a fost informat și și‑a exprimat acordul cu privire la:

–        prelucrarea datelor cu caracter personal în scopurile prevăzute la articolul 1.15 din [Termenii și condițiile generale pentru utilizarea serviciilor Orange];

–        reținerea de copii de pe actele ce conțin date cu caracter personal cu funcție de identificare;

–        acord[ul] [pentru] prelucrare[a] date[lor] cu caracter personal (număr de contact, e‑mail) în scopul marketingului direct;

–        acord[ul] [pentru] prelucrare[a] date[lor] cu caracter personal (număr de contact, e‑mail) în scopul efectuării studiilor de piață;

–        am citit și îmi dau acordul expres pentru reținerea de copii ale actelor ce conțin date cu caracter personal privind starea de sănătate;

–        datele menționate la articolul 1.15 alineatul (10) din [Termenii și condițiile generale pentru utilizarea serviciilor Orange] să nu fie incluse în serviciile de informații privind abonații și registrele abonaților.”

Orange România a introdus o acțiune împotriva deciziei din 28 martie 2018 la Tribunalul București (România). Potrivit constatărilor instanței de trimitere, există, pe de o parte, contracte în care a fost bifată căsuța referitoare la clauza privind păstrarea unor copii ale actelor care conțin date cu caracter personal cu funcție de identificare și, pe de altă parte, contracte în care o asemenea căsuță nu este bifată. Această instanță precizează că, în pofida mențiunilor incluse în Termenii și condițiile generale pentru utilizarea serviciilor Orange, Orange România nu a refuzat să încheie contracte de abonament cu clienții care au refuzat să consimtă la păstrarea copiei unuia dintre actele lor de identitate. Instanța menționată mai arată că „procedura internă” de vânzări a Orange România prevedea că acest refuz trebuia menționat într‑un formular specific pe care acești clienți trebuiau să îl semneze înainte de încheierea contractului.

Instanța de trimitere ridică problema dacă în aceste împrejurări se poate considera că clienții respectivi și‑au dat în mod valabil consimțământul pentru colectarea actului lor de identitate și pentru anexarea copiilor acestuia la contracte. În plus, aceasta se întreabă dacă semnarea unui contract în care figurează clauza privind păstrarea unor copii ale unor acte care conțin date cu caracter personal cu funcție de identificare permite să se dovedească existența unui asemenea consimțământ.

În aceste condiții, Tribunalul București a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1)      În sensul articolului [2] litera (h) din Directiva 95/46, care sunt condițiile care trebuie să fie îndeplinite pentru a se putea considera că o manifestare de voință este una specifică și informată?

2)      În sensul articolului 2 litera (h) din Directiva 95/46, care sunt condițiile care trebuie să fie îndeplinite pentru a se putea considera că o manifestare de voință este una liber exprimată?”

Hotărârea Curții

Curtea amintește mai întâi că dreptul Uniunii prevede o listă a cazurilor în care o prelucrare de date cu caracter personal poate fi considerată legală. În special, consimțământul persoanei vizate trebuie să fie liber, specific, informat și univoc. În această privință, consimțământul nu este dat în mod valabil în cazul absenței unui răspuns, al căsuțelor bifate în prealabil sau al absenței unei acțiuni.

În plus, în cazul în care consimțământul persoanei vizate este dat în cadrul unei declarații scrise care se referă și la alte aspecte, această declarație trebuie să fie prezentată într-o formă inteligibilă și ușor accesibilă și utilizând un limbaj clar și simplu. Pentru a asigura persoanei vizate o reală libertate de alegere, clauzele contractuale nu trebuie să o inducă în eroare cu privire la posibilitatea de a încheia contractul chiar dacă ea refuză să își dea consimțământul pentru prelucrarea datelor sale.

Curtea precizează că Orange România, în calitate de operator de date cu caracter personal, trebuie să fie în măsură să demonstreze legalitatea prelucrării acestor date și, în consecință, existența unui consimțământ valabil al clienților săi.

În această privință, din moment ce clienții vizați nu păreau să fi bifat ei înșiși căsuța referitoare la colectarea și la stocarea unor copii ale actului lor de identitate, simplul fapt că această căsuță a fost bifată nu este de natură să stabilească o manifestare pozitivă a consimțământului lor.

Revine instanței de trimitere sarcina de a efectua verificările necesare în acest scop. Potrivit Curții, instanței naționale îi revine și sarcina să aprecieze dacă clauzele contractuale în discuție erau sau nu de natură să inducă clienții vizați în eroare cu privire la posibilitatea de a încheia contractul în pofida refuzului de a-și da consimțământul pentru prelucrarea datelor lor, în lipsa unor precizări cu privire la acest aspect.

În plus, în cazul refuzului unui client de a consimți la prelucrarea datelor sale, Curtea observă că Orange România impunea ca acesta să declare în scris că nu consimțea nici la colectarea, nici la stocarea copiei actului său de identitate.

Potrivit Curții, o asemenea cerință suplimentară este de natură să afecteze în mod nejustificat libera alegere de a se opune acestei colectări și acestei stocări. În orice caz, întrucât societatea menționată este cea căreia îi revine sarcina de a stabili că clienții săi și-au manifestat prin intermediul unui comportament activ consimțământul pentru prelucrarea datelor lor cu caracter personal, această societate nu poate pretinde ca ei să își manifeste în mod activ refuzul.

Prin urmare, Curtea concluzionează că un contract privind furnizarea de servicii de telecomunicații care conține o clauză potrivit căreia persoana vizată a fost informată și și-a dat consimțământul pentru colectarea și pentru stocarea unei copii a actului său de identitate, în scop de identificare, nu este de natură să demonstreze că această persoană și-a dat în mod valabil consimțământul pentru această colectare și pentru această stocare atunci când căsuța care se referă la această clauză a fost bifată de operatorul de date anterior semnării acestui contract, atunci când clauzele contractului menționat sunt de natură să inducă persoana vizată în eroare cu privire la posibilitatea de a încheia contractul în discuție în pofida refuzului de a-și da consimțământul pentru prelucrarea datelor sale sau atunci când libera alegere de a se opune acestei colectări și acestei stocări este afectată în mod nejustificat de acest operator prin cerința ca, pentru a refuza să își dea consimțământul, persoana vizată să completeze un formular suplimentar în care să fie menționat acest refuz.