CJUE: Firmele care folosesc clauze contractuale prebifate, pentru consimțirea la prelucrarea datelor, încalcă GDPR

Practic, existau situații în care agenții de vânzări ai Orange prebifau o căsuță în dreptul clauzei referitoare la acordarea consimțământului, înainte de a le da clienților contractul pentru semnare. Procedau astfel pentru a putea, ulterior, să facă anumite copii după buletinul clienților și să le stocheze. În acest context, s-a pus problema dacă practica aceasta de obținere a consimțământului la prelucrarea datelor este conformă cu GDPR sau nu.

CJUE a considerat că nu. În esență, aceasta a reținut, în cauza C‑61/19 (Orange România SA v. ANSPDCP), că „operatorului de date îi revine sarcina să demonstreze că persoana vizată și‑a manifestat prin intermediul unui comportament activ consimțământul pentru prelucrarea datelor sale cu caracter personal și că aceasta a obținut în prealabil o informare cu privire la toate circumstanțele aferente acestei prelucrări, într‑o formă inteligibilă și ușor accesibilă, precum și utilizând un limbaj clar și simplu, care să îi permită să determine cu ușurință consecințele acestui consimțământ, astfel încât să se garanteze că acesta este dat în deplină cunoștință de cauză”.

Curtea a continuat: „Un contract privind furnizarea de servicii de telecomunicații care conține o clauză potrivit căreia persoana vizată a fost informată și și‑a dat consimțământul pentru colectarea, precum și pentru stocarea unei copii a actului său de identitate, în scop de identificare, nu este de natură să demonstreze că această persoană și‑a dat în mod valabil consimțământul, în sensul acestor dispoziții, pentru această colectare și pentru această stocare:

• atunci când căsuța care se referă la această clauză a fost bifată de operatorul de date anterior semnării acestui contract sau
• atunci când clauzele contractului menționat sunt de natură să inducă persoana vizată în eroare cu privire la posibilitatea de a încheia contractul în discuție în pofida refuzului de a‑și da consimțământul pentru prelucrarea datelor sale sau
• atunci când libera alegere de a se opune acestei colectări și acestei stocări este afectată în mod nejustificat de acest operator prin cerința ca, pentru a refuza să își dea consimțământul, persoana vizată să completeze un formular suplimentar în care să fie menționat acest refuz”.

Raționamentul și dispozitivul Curții scot în evidență trei chestiuni distincte. În primul rând, s-a pus problema felului în care o persoană fizică poate să își dea consimțământul, în mod valid și conform GDPR, la prelucrarea de date. Reamintind condițiile ce trebuie îndeplinite în acest context (despre care și redacția avocatnet.ro a scris mai multe de-a lungul timpului), CJUE a considerat că un consimțământ dat prin semnarea unui contract cu un furnizor de telefonie, în care acel furnizor a inclus o clauză prebifată privitoare la acceptarea prelucrării datelor, de către client, nu e valid. 

Situația seamănă, într-un fel, cu cea în care consimțământul la prelucrarea datelor prin utilizarea unor tehnologii de tip „cookies”, atunci când persoana intră pe site-uri web, este dat prin acceptarea unor căsuțe prebifate. „[Î]ntr‑o asemenea ipoteză pare practic imposibil să se stabilească în mod obiectiv dacă utilizatorul unui site internet și‑a dat în mod efectiv consimțământul la prelucrarea datelor sale cu caracter personal prin faptul că nu a debifat o căsuță bifată în prealabil, precum și, în orice caz, dacă acest consimțământ a fost dat în mod informat. Astfel, nu se poate exclude faptul ca utilizatorul menționat să nu fi citit informația care însoțea căsuța bifată în prealabil sau să nu fi observat această căsuță înainte de a‑și continua activitatea pe site‑ul internet pe care îl vizitează”, a reținut CJUE (paragraful 37 al hotărârii).

De asemenea, întrebarea cu privire la care Curtea a fost chemată să dea un răspuns a mai vizat două aspecte importante. Primul ține de faptul că nu trebuie să existe niciun dubiu cu privire la efectele lipsei consimțământului asupra posibilității de a mai încheia contractul ce se urmărește a fi încheiat. „[P]entru a asigura persoanei vizate o reală libertate de alegere, clauzele contractuale nu trebuie să inducă persoana vizată în eroare cu privire la posibilitatea de a încheia același contract dacă refuză să își dea consimțământul pentru prelucrarea datelor sale. În absența unor informații de această natură, consimțământul acestei persoane pentru prelucrarea datelor sale cu caracter personal nu poate fi considerat ca fiind dat în mod liber și nici, pe de altă parte, ca fiind dat în mod informat”, a mai scos în evidență CJUE (paragraful 41 al hotărârii). În situația concretă ce a dus la analiza Curții, se pare că nu era clar care era efectul refuzului clienților Orange de a accepta ca operatorul să facă și să arhiveze copii după buletinele acestora, mai ales având în vedere prevederile Termenilor și Condițiilor (paragraful 25 din hotărâre).

Al doilea aspect vizează interdicția de a le solicita acelor clienți care nu vor să își dea consimțământul la prelucrarea datelor să completeze un formular în acest sens. Orange le ceruse acest lucru clienților săi, însă CJUE a considerat că astfel de manifestări concrete trebuie să existe doar în privința acceptării prelucrării datelor, nu și dacă persoana vizată nu este de acord. Cu alte cuvinte, cuiva nu îi poate fi cerut să facă un efort suplimentar pentru a NU i se prelucra date, din cauza că preferă să nu își dea consimțământul.