W wydanym dziś wyroku Trybunał Sprawiedliwości EU przypomniał, że fabrycznie zaznaczony „ptaszek” na formularzu, pod którym zainteresowana osoba złożyła podpis nie oznacza zgody na przetwarzanie danych osobowych — ponieważ nawet podpisanie się pod takim dokumentem nie stanowi dobrowolnego i świadomego oświadczenia wyrażającego zgodę.
wyrok Trybunału Sprawiedliwości EU z 11 listopada 2020 r. w/s Orange Romania (C-61/19)
(…) art. 4 pkt 11 i art. 6 ust. 1 lit. a) RODO, należy interpretować w ten sposób, iż to do administratora danych należy wykazanie, że osoba, której dane dotyczą, poprzez czynne zachowanie wyraziła zgodę na przetwarzanie swych danych osobowych i że uprzednio uzyskała ona dotyczące wszelkich okoliczności związanych z przetwarzaniem tych danych informacje mające zrozumiałą i łatwo dostępną formę, wyrażone jasnym i prostym językiem oraz umożliwiające tej osobie łatwe ustalenie konsekwencji jej zgody, w efekcie czego uzyskuje się gwarancję, że zgoda ta została udzielona przy pełnej znajomości stanu rzeczy. Umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę stwierdzającą, że osoba, której dane dotyczą, została poinformowana o skopiowaniu i przechowywaniu kopii swego dokumentu tożsamości do celów identyfikacji i wyraziła na to zgodę, nie pozwala wykazać, że osoba ta skutecznie wyraziła zgodę, w rozumieniu wskazanych przepisów, na sporządzenie tej kopii i jej przechowywanie, gdy:
– okienko wyboru odnoszące się do tej klauzuli zostało zaznaczone przez administratora danych przed podpisaniem umowy, lub gdy
– postanowienia rzeczonej umowy mogą wprowadzać osobę, której dane dotyczą, w błąd co do możliwości zawarcia owej umowy pomimo odmowy udzielenia zgody na przetwarzanie danych, lub gdy
– administrator ten bezpodstawnie wpłynął na swobodne podjęcie decyzji o sprzeciwieniu się skopiowaniu i przechowywaniu kopii dokumentu tożsamości, poprzez ustanowienie wymogu, aby w wypadku odmowy udzielenia zgody osoba, której dane dotyczą, wypełniła dodatkowy formularz dokumentujący tę odmowę.
Sprawa dotyczyła nałożonej na operatora telekomunikacyjnego Orange România przez rumuński organ ochrony danych osobowych kary za wymuszenie zgody na zbieranie i przetwarzanie danych osobowych klientów w postaci kopii dokumentów tożsamości. Proces wyglądał w ten sposób, że operator w umowach na usługi komórkowe wpisał klauzulę, w myśl której abonent oświadczał, iż został poinformowany i wyraził zgodę na kserowanie dokumentów — w rzeczywistości „ptaszek” był fabrycznie zaznaczony, co zdaniem Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal oznaczało brak możliwości swobodnego wyrażenia zgody na przetwarzanie danych osobowych (art. 6 ust. 1 lit. a) RODO) i nałożył na przedsiębiorcę karę pieniężną.
art. 4 pkt 11 rozporządzenia 679/2016
Na użytek niniejszego rozporządzenia:
11) „zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych
Sprawa z odwołania Orange trafiła do TSUE, który przypomniał, iż zgodnie z unijnym prawodawstwem wyrażenie zgody na przetwarzanie danych osobowych polega na złożeniu dobrowolnego, konkretnego, świadomego i jednoznacznego oświadczenia woli — natomiast nie jest zgodą w rozumieniu RODO sytuacja, w której zgoda jest opierana na przemilczeniu, „ptaszkach” zaznaczonych domyślnie lub braku działania zainteresowanej osoby.
Nieprawidłowe jest także sugerowanie klientom, iż zgoda na kserowanie dokumentów jest warunkiem zawarcia umowy o świadczenie usług (jeśli abonent nie zgadzał skopiowania jego dokumentu, Orange nie odmawiało zawarcia umowy, zaś fakt ten był po prostu odnotowywany w papierach), jak też wymaganie złożenia podpisu pod formularzem, który de facto zgody nie oznaczał. Obowiązkiem operatora jako administratora danych osobowych jest wykazać, że rozliczalność przetwarzania danych osobowych.
Wyrok ma rzecz jasna charakter prejudycjalny, co oznacza, że teraz sprawa wróci do sądu rumuńskiego, który — uzbrojony w wiedzę wyrażoną w orzeczeniu TSUE — będzie mógł ocenić prawidłowość nałożonej na Orange kary.