Invulling van het AVG toestemmingsvereiste

HvJ EU 11 november 2020, IT 3338, IEFbe 3153; ECLI:EU:C:2020:901 (Orange Romania tegen ANSPDCP) Privacyrecht. Telecomrecht. Orange Romania levert mobiele telecommunicatiediensten op de Roemeense Markt. De Roemeense toezichthoudende autoriteit voor de verwerking van persoonsgegevens heeft een geldboete opgelegd aan Orange Romania, wegens het verzamelen en bewaren van kopieën van identiteitsbewijzen van haar klanten, zonder geldige toestemming. De Roemeense rechter heeft naar aanleiding hiervan prejudiciële vragen gesteld aan het HvJ EU. Geoordeeld wordt dat op grond van art. 4 lid 11 en art. 6 lid 1 sub a AVG, het de verantwoordelijkheid van de verwerker is om aan te tonen dat de betrokkene met een actieve gedraging blijk heeft gegeven van zijn toestemming voor de verwerking van zijn persoonsgegevens en dat de betrokkene vooraf op de juiste wijze is geïnformeerd. Een overeenkomst waarin een beding is opgenomen dat de betrokkene in kennis is gesteld en toestemming heeft gegeven, kan niet aantonen dat de betrokkene op geldige wijze toestemming heeft gegeven wanneer 1) het vakje van het beding vooraf door de verwerkingsverantwoordelijke is ingevuld, 2) het beding de betrokkene kan misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder toestemming te geven voor de verwerking van zijn gegevens of 3) de vrije keuze om zich te verzetten tegen het verzamelen van gegevens onnodig wordt aangetast, doordat geëist wordt dat de betrokkene een aanvullend formulier invult waaruit die weigering blijkt.

Beantwoording prejudiciële vragen:

Artikel 2, onder h), en artikel 7, onder a), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, alsmede artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moeten aldus worden uitgelegd dat het aan de voor de gegevensverwerking verantwoordelijke staat om aan te tonen dat de betrokkene met een actieve gedraging blijk heeft gegeven van zijn toestemming voor de verwerking van zijn persoonsgegevens, en dat die betrokkene vooraf geïnformeerd is over alle omstandigheden rond deze verwerking, in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal, zodat hij gemakkelijk kan bepalen welke gevolgen die toestemming heeft en wordt gewaarborgd dat de toestemming met kennis van zaken wordt verleend. Een overeenkomst inzake de verstrekking van telecommunicatiediensten die een beding bevat volgens hetwelk de betrokkene in kennis is gesteld van en toestemming heeft gegeven voor het verzamelen en het bewaren van een kopie van zijn identiteitsbewijs voor identificatiedoeleinden, kan niet aantonen dat die betrokkene op geldige wijze toestemming heeft gegeven – in de zin van die bepalingen – voor dat verzamelen en dat bewaren, wanneer

–        het vakje betreffende dat beding door de voor de gegevensverwerking verantwoordelijke is aangevinkt vóór de ondertekening van die overeenkomst,

–        de contractuele bedingen van die overeenkomst de betrokkene kunnen misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de verwerking van zijn gegevens, of

–        de vrije keuze om zich tegen dat verzamelen en dat bewaren te verzetten, onnodig wordt aangetast door deze verantwoordelijke doordat geëist wordt dat de betrokkene, om te weigeren toestemming te geven, een aanvullend formulier invult waaruit die weigering blijkt.