Strona korzysta z plików cookies w celu realizacji usług i zgodnie z Polityką Plików Cookies.

Aktualne wydanie

Polecamy

Obowiązki i odpowiedzialność administratora danych osobowych w świetle rodo

Obowiązki i odpowiedzialność administratora danych osobowych w świetle rodo
 

Tomasz Banyś (red.), Agnieszka Grzelak, Mirosław Gumularz, Katarzyna Witkowska-Nowakowska

Cena: 128,00 zł

Zamów

Polecamy

Mitologia rodo – konfrontacja z najczęstszymi błędami i absurdami

Mitologia rodo – konfrontacja z najczęstszymi błędami i absurdami
 

Aleksandra Zomerska, Robert Brodzik, Michał Kluska

Cena: 128,00 zł

Zamów

Kolejny wyrok TSUE w sprawie pozyskiwania zgody

21-01-2021 Autor: Mateusz Franke

Czy podpisanie przez konsumenta umowy, w której jest zamieszczona klauzula dotycząca przechowywania kopii dokumentów zawierających dane osobowe służących do identyfikacji, jest wystarczające do uznania, że konsument wyraził zgodę na przetwarzanie swoich danych? Przyjrzymy się wyrokowi TSUE w sprawie Orange România.

 

SUE 11 listopada 2020 r. wydał wyrok w sprawie Orange România przeciwko rumuński organ nadzorczy – ANSPDCP (C-61/19) dotyczący pozyskiwania zgody na przetwarzanie danych osobowych. Orzeczenie potwierdza rygorystyczne podejście do warunków wyrażenia zgody, jakie TSUE sformułował w wyroku z 1 października 2019 r. w sprawie Planet49 (C-673/17). Dla administratorów jest to kolejny sygnał do weryfikacji swoich procedur.


Stan faktyczny

 

Orange România SA jest operatorem telefonii komórkowej działającym na rynku rumuńskim. Tamtejszy organ nadzorczy – Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) – przeprowadził kontrolę i ustalił, że w okresie 1–26 marca 2018 r. Orange România zawierała z klientami, będącymi osobami fizycznymi (konsumentami), pisemne umowy o świadczenie usług telefonii komórkowej, do których załączano kopie dokumentów tożsamości tych osób.

 

W treści umów podpisywanych przez konsumentów znajdowały się następujące postanowienia:
Konsument oświadcza, że: (…)
(ii) Orange România przekazała konsumentowi wszystkie niezbędne informacje, aby mógł on wyrazić zgodę w sposób nieobarczony wadami, wyraźny, dobrowolny i konkretny, w odniesieniu do zawarcia i wyraźnego przyjęcia umowy, w tym całej dokumentacji umowy – ogólnych warunków umowy i dokumentu informującego o taryfach i usługach;
(iii) został poinformowany i wyraził zgodę w odniesieniu do: (…)

  • okoliczności, że kopie dokumentów zawierających dane osobowe służące jego identyfikacji będą przechowywane [przez Orange România].

Orange România mimo tych postanowień umożliwiała konsumentom zawarcie umowy także wtedy, gdy odmawiali oni zgody na sporządzenie i przechowywanie kopii ich dokumentu tożsamości. Proces zawierania umowy i pozyskiwania zgody odbywał się zwykle w następujący sposób. Sprzedawca w salonie Orange România informował konsumenta o postanowieniach umowy, pracując na komputerze z formularzem umowy. Formularz zawierał okienko wyboru dotyczące przechowywania kopii dokumentu tożsamości. Konsument był informowany ustnie (ale nie pisemnie) o dobrowolności udzielenia zgody na sporządzenie i przechowywanie kopii dokumentu tożsamości i prawie do odmowy. Sprzedawca odnotowywał wyrażenie zgody w formularzu przez umieszczenie znaku krzyżyka w okienku wyboru. Jeśli natomiast konsument nie zgadzał się na skopiowanie i przechowywanie swojego dokumentu tożsamości, musiał złożyć odręczne oświadczenie na formularzu podpisywanym przed zawarciem umowy. Wymóg ten wynikał z wewnętrznych procedur obowiązujących w Orange România. W każdym razie w części weryfikowanych przez ANSPDCP umów krzyżyk w okienku wyboru był zaznaczony (zgoda udzielona), a w innych nie (brak zgody).


Według ANSPDCP w tej sytuacji Orange


România nie była w stanie udowodnić, że klienci udzielili ważnej zgody. Decyzją z 28 marca 2018 r. organ nadzorczy nałożył na operatora karę pieniężną za gromadzenie i przechowywanie kopii dokumentów tożsamości konsumentów bez wykazania, że wyrazili oni na to ważną zgodę, oraz nakazał usunięcie kopii dokumentów tożsamości. Decyzja została wydana jeszcze przed rozpoczęciem stosowania rodo, dlatego ANSPDCP opierał się na rumuńskich przepisach implementujących dyrektywę 95/46/WE.


Pytania do TSUE


Orange România zaskarżyła decyzję ANSPDCP do sądu, domagając się stwierdzenia jej nieważności. Rozpatrujący skargę Tribunalul Bucureşti (Sąd Okręgowy w Bukareszcie) powziął wątpliwości, czy w przedstawionych okolicznościach można uznać, że konsumenci wyrażali skuteczną zgodę na sporządzenie kopii ich dokumentów tożsamości i załączenie ich do umów. Ponadto sąd zastanawiał się, czy podpisanie przez konsumenta umowy, w której jest zamieszczona klauzula dotycząca przechowywania kopii dokumentów zawierających dane osobowe do celów identyfikacji, jest wystarczające do wykazania istnienia takiej zgody.
Wobec tych wątpliwości sąd zawiesił postępowanie i zwrócił się do TSUE z następującymi pytaniami prejudycjalnymi:

 

  1. Jakie warunki zgodnie z art. 2 lit. h dyrektywy 95/46 muszą zostać spełnione, aby dane oświadczenie woli można było uznać za konkretne i świadome?
  2. Jakie warunki zgodnie z art. 2 lit. h dyrektywy 95/46 muszą zostać spełnione, aby dane oświadczenie woli można było uznać za dobrowolnie wyrażone?

Według TSUE powyższe pytania zmierzają w istocie do ustalenia, czy w świetle przepisów dyrektywy 95/46/WE dotyczących zgody (art. 2 lit. h, art. 7 lit. a), a także odpowiednich przepisów rodo (art. 4 pkt 11, art. 6 ust. 1 lit. a), umowa o świadczenie usług telekomunikacyjnych zawierająca klauzulę, że osoba, której dane dotyczą, została poinformowana o sporządzeniu i przechowywaniu kopii jej dokumentu tożsamości do celów identyfikacji oraz wyraziła na to zgodę, może posłużyć do wykazania, że osoba ta skutecznie wyraziła tę zgodę.


Pytania prejudycjalne nie dotyczyły samej dopuszczalności sporządzania i przechowywania przez operatora telekomunikacyjnego kopii dokumentów tożsamości ani katalogu potencjalnych przesłanek legalizujących takie przetwarzanie danych osobowych. Dlatego TSUE nie zajmował się tymi zagadnieniami i skupił się wyłącznie na rozważaniach dotyczących zgody pozyskiwanej przez Orange România.

 

Zastosowanie dyrektywy 95/46/WE i rodo


Zaskarżona decyzja została wydana przed 25 maja 2018 r. Dlatego – co oczywiste – w sprawie należało uwzględnić dyrektywę 95/46/WE. Jednak decyzja ANSPDCP nakładała na operatora obowiązek usunięcia kopii dokumentów tożsamości i nic nie wskazywało na to, że ten obowiązek został przed 25 maja 2018 r. wykonany. Dlatego TSUE stwierdził, że w odniesieniu do wspomnianego nakazu zastosowanie znajduje rodo. W konsekwencji TSUE udzielił odpowiedzi na pytania rumuńskiego sądu zarówno na podstawie dyrektywy 95/46/WE, jak i rodo.
Trybunał, oceniając sprawę, przywołał swoje dotychczasowe orzecznictwo oraz sformułował szereg tez i wskazówek dla rumuńskiego sądu. Zostały one przedstawione poniżej.

 

Czynne zachowanie


Po pierwsze, zarówno na gruncie dyrektywy 95/46/WE, jak i rodo zgoda osoby, której dane dotyczą, może być wyrażona jedynie poprzez czynne zachowanie tej osoby, mające na celu jej wyrażenie. Trybunał powołał się w tym zakresie na swój wyrok z 1 października 2019 r. w sprawie Planet49 (C-673/17).


W tym kontekście TSUE zaakcentował, że okienko wyboru było już zaznaczone przed złożeniem przez klienta podpisu oznaczającego akceptację wszystkich postanowień umowy, w tym klauzuli dotyczącej danych osobowych. Skoro konsumenci sami nie zaznaczali okienka wyboru, to – w ocenie TSUE – sam fakt, że zostało ono zaznaczone krzyżykiem, nie może świadczyć o wyrażeniu zgody. Podobnie sam fakt podpisania przez konsumenta umowy zawierającej zaznaczone okienko wyboru nie pozwala na wykazanie istnienia ważnej zgody. Brakuje bowiem informacji, że klauzula ta została faktycznie przeczytana i przyjęta do wiadomości.

 

Konkretność zgody


Po drugie, TSUE wskazał na art. 7 ust. 2 rodo, w myśl którego „jeżeli osoba, której dane dotyczą, wyraża zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii”. TSUE zauważył, że kwestionowana klauzula zgody nie została przedstawiona konsumentom w formie, która wyraźnie odróżnia ją od innych postanowień umowy. W konsekwencji unijni sędziowie wyrazili wątpliwość, czy taka zgoda spełnia wymóg konkretności w rozumieniu art. 2 lit. h dyrektywy 95/46/WE i art. 4 pkt 11 rodo.


Zgoda świadoma i należycie poinformowana


Po trzecie, zgoda powinna być świadoma (art. 2 lit. h dyrektywy 95/46/WE, art. 4 pkt 11 rodo). Powyższy wymóg zakłada – zgodnie z wyrokiem TSUE w sprawie Planet49 (C-673/17) – udzielenie osobie, której dane dotyczą, informacji, które powinny umożliwić łatwe ustalenie konsekwencji zgody oraz gwarantować, że zgoda zostaje udzielona przy pełnej znajomości stanu rzeczy. W związku z tym TSUE wskazał, że analizowana klauzula zgody ograniczała się jedynie do poinformowania, iż celem przechowywania kopii dokumentów tożsamości jest identyfikacja.

 

[...]

 

Autor jest radcą prawnym, partnerem w kancelarii ADV Legal Okoń Franke Radcowie Prawni sp.p.

_____________________________________________________________________________________________________________________________________

Informacje o cookies © 2019 PRESSCOM Sp. z o.o.