Un contract privind furnizarea de servicii de telecomunicații care conține o clauză potrivit căreia clientul a consimțit la colectarea și la stocarea unei copii a actului său de identitate nu poate să demonstreze că el și-a dat în mod valabil consimțământul atunci când căsuța care se referă la această clauză a fost bifată de operatorul de date anterior semnării contractului.

Situația este aceeași atunci când consumatorul este indus în eroare cu privire la posibilitatea de a încheia contractul în cazul în care refuză prelucrarea datelor sale sau atunci când libera alegere de a se opune acestei colectări și acestei stocări este afectată prin cerința completării unui formular suplimentar în care să fie menționat acest refuz.

Orange România SA furnizează servicii de telecomunicații mobile pe piața românească. La 28 martie 2018, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) i-a aplicat o amendă pentru că a stocat copii ale actelor de identitate ale clienților săi fără consimțământul expres al acestora.

Potrivit ANSPDCP, în perioada cuprinsă între 1 și 26 martie 2018, Orange România a încheiat contracte de furnizare a unor servicii de telecomunicații mobile care conțin o clauză potrivit căreia clienții au fost informați și și-au dat consimțământul cu privire la colectarea și la stocarea unei copii a actului lor de identitate, în scop de identificare. Căsuța referitoare la această clauză a fost bifată de operator anterior semnării contractului.

În acest context, Tribunalul București (România) a solicitat Curții de Justiție să precizeze condițiile în care consimțământul clienților cu privire la prelucrarea datelor cu caracter personal poate fi considerat valabil.

Prin hotărârea pronunțată, Curtea amintește mai întâi că dreptul Uniunii prevede o listă a cazurilor în care o prelucrare de date cu caracter personal poate fi considerată legală. În special, consimțământul persoanei vizate trebuie să fie liber, specific, informat și univoc. În această privință, consimțământul nu este dat în mod valabil în cazul absenței unui răspuns, al căsuțelor bifate în prealabil sau al absenței unei acțiuni.

În plus, în cazul în care consimțământul persoanei vizate este dat în cadrul unei declarații scrise care se referă și la alte aspecte, această declarație trebuie să fie prezentată într-o formă inteligibilă și ușor accesibilă și utilizând un limbaj clar și simplu. Pentru a asigura persoanei vizate o reală libertate de alegere, clauzele contractuale nu trebuie să o inducă în eroare cu privire la posibilitatea de a încheia contractul chiar dacă ea refuză să își dea consimțământul pentru prelucrarea datelor sale.

Curtea precizează că Orange România, în calitate de operator de date cu caracter personal, trebuie să fie în măsură să demonstreze legalitatea prelucrării acestor date și, în consecință, existența unui consimțământ valabil al clienților săi. În această privință, din moment ce clienții vizați nu păreau să fi bifat ei înșiși căsuța referitoare la colectarea și la stocarea unor copii ale actului lor de identitate, simplul fapt că această căsuță a fost bifată nu este de natură să stabilească o manifestare pozitivă a consimțământului lor. Revine instanței de trimitere sarcina de a efectua verificările necesare în acest scop.

Potrivit Curții, instanței naționale îi revine și sarcina să aprecieze dacă clauzele contractuale în discuție erau sau nu de natură să inducă clienții vizați în eroare cu privire la posibilitatea de a încheia contractul în pofida refuzului de a-și da consimțământul pentru prelucrarea datelor lor, în lipsa unor precizări cu privire la acest aspect. În plus, în cazul refuzului unui client de a consimți la prelucrarea datelor sale, Curtea observă că Orange România impunea ca acesta să declare în scris că nu consimțea nici la colectarea, nici la stocarea copiei actului său de identitate. Potrivit Curții, o asemenea cerință suplimentară este de natură să afecteze în mod nejustificat libera alegere de a se opune acestei colectări și acestei stocări. În orice caz, întrucât societatea menționată este cea căreia îi revine sarcina de a stabili că clienții săi și-au manifestat prin intermediul unui comportament activ consimțământul pentru prelucrarea datelor lor cu caracter personal, această societate nu poate pretinde ca ei să își manifeste în mod activ refuzul.

Prin urmare, Curtea concluzionează că un contract privind furnizarea de servicii de telecomunicații care conține o clauză potrivit căreia persoana vizată a fost informată și și-a dat consimțământul pentru colectarea și pentru stocarea unei copii a actului său de identitate, în scop de identificare, nu este de natură să demonstreze că această persoană și-a dat în mod valabil consimțământul pentru această colectare și pentru această stocare atunci când căsuța care se referă la această clauză a fost bifată de operatorul de date anterior semnării acestui contract, atunci când clauzele contractului menționat sunt de natură să inducă persoana vizată în eroare cu privire la posibilitatea de a încheia contractul în discuție în pofida refuzului de a-și da consimțământul pentru prelucrarea datelor sale sau atunci când libera alegere de a se opune acestei colectări și acestei stocări este afectată în mod nejustificat de acest operator prin cerința ca, pentru a refuza să își dea consimțământul, persoana vizată să completeze un formular suplimentar în care să fie menționat acest refuz.