Контракт на предоставление телекоммуникационных услуг, содержащий пункт о том, что заказчик дал согласие на сбор и хранение его или ее документа, удостоверяющего личность, не может продемонстрировать, что этот заказчик действительно дал свое согласие, если контролером данных заранее был отмечен квадрат со ссылкой на этот пункт до подписания контракта. Это качается и случаев, когда клиента вводят в заблуждение относительно возможности заключения контракта, если он или она отказывается дать согласие на обработку его или ее данных, к такому выводу пришел Суд ЕС в деле C-61/19 «Orange România SA v Autoritatea Naţională de Supraveghere a PrelucrăriiDatelor cu Caracter Personal (ANSPDCP)».
28 марта 2018 года Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Национальный орган по надзору за обработкой персональных данных) наложил на Orange România SA (поставщик услуг мобильной связи на румынском рынке) штраф за сбор и хранение копий документов, удостоверяющих личность своих клиентов, без их явного согласия. Согласно данным ANSPDCP, в период с 1 по 26 марта 2018 года Orange România заключила контракты на предоставление услуг мобильной связи, которые содержат пункт о том, что клиенты были проинформированы и дали согласие на сбор и хранение копий своих документы, удостоверяющие личность для идентификации.
Поле, относящееся к этому пункту, было отмечено оператором данных до подписания контракта. Именно в этом контексте Tribunalul București (Областной суд, Бухарест, Румыния) обратился в Суд с просьбой указать условия, при которых согласие клиентов на обработку персональных данных может считаться действительным.
В своем сегодняшнем решении Суд отмечает, прежде всего, что закон ЕС (Директива 95/46/EC Европейского парламента и Совета от 24 октября 1995 г. о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных и Регламент (ЕС)2016/679 Европейского парламента и Совета от 27 апреля 2016 г. о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных, а также об отмене Директивы 95/46/EC) предусматривает перечень случаев, в которых обработка персональных данных может считаться законной. В частности, согласие субъекта данных должно быть добровольным, конкретным, информированным и недвусмысленным. В этом отношении согласие не предоставляется в случае молчания, предварительно отмеченных флажков или бездействия.
Кроме того, если согласие субъекта данных дается в контексте письменного заявления, которое также касается других вопросов, это заявление должно быть представлено в понятной и легкодоступной форме, используя ясный и простой язык. Чтобы гарантировать, что субъект данных пользуется подлинной свободой выбора, условия контракта не должны вводить его в заблуждение относительно возможности заключения контракта, даже если он или она отказывается дать согласие на обработку своих данных.
Суд отмечает, что, поскольку Orange România является контролером персональных данных, он должен иметь возможность продемонстрировать законность обработки этих данных и, следовательно, в данном случае наличие действительного согласия своих клиентов. В этом отношении, учитывая, что заинтересованные клиенты, по-видимому, сами не отметили поле, относящееся к сбору и хранению копий их документов, удостоверяющих личность, сам факт того, что этот флажок был отмечен, не означает, что они дали согласие.
По мнению Суда, национальный суд также должен оценить, могли ли рассматриваемые договорные условия ввести в заблуждение заинтересованных клиентов относительно возможности заключения договора, несмотря на отказ дать согласие на обработку их данных, в отсутствие конкретных подробностей о такой возможности. Кроме того, если клиент отказывается дать согласие на обработку своих данных, Суд указывает, что Orange România потребовала от него или ее заявить в письменной форме, что он или она не давали согласия на предоставление копии его или ее документа, удостоверяющего личность. По мнению Суда, такое дополнительное требование может ненадлежащим образом повлиять на свободу выбора возражать против такого сбора и хранения. В любом случае, поскольку Orange România должен был доказать, что его клиенты своим активным поведением дали свое согласие на обработку своих персональных данных, он не может требовать от них активного выражения своего отказа.
