EU-Hof: Gegevensverwerker draagt bewijslast voor het aantonen van toestemming voor de verwerking van persoonsgegevens

Contentverzamelaar

EU-Hof: Gegevensverwerker draagt bewijslast voor het aantonen van toestemming voor de verwerking van persoonsgegevens
De bewijslast voor het feit dat iemand op geldige wijze toestemming heeft gegeven voor de gegevensverwerking rust op de verwerkingsverantwoordelijke. De toestemming van een klant kan niet worden aangetoond door middel van een overeenkomst waarbij het vakje voor de toestemming voor de gegevensverwerking van te voren al is aangevinkt door de verkoper. Dat is het antwoord van het EU-Hof op vragen van een Roemeense rechter.

Het gaat om het arrest van het EU-Hof van 11 november 2020 in de zaak C-61/19, Orange Romania

Achtergrond

Orange Romania levert mobiele telecommunicatiediensten aan klanten op de Roemeense markt. Bij besluit van 28 maart 2018 heeft de nationale toezichthouder voor de verwerking van persoonsgegevens in Roemenië (hierna: toezichthouder) aan Orange Romania een geldboete opgelegd omdat zij kopieën van de identiteitsbewijzen van haar klanten had bewaard. De toezichthouder heeft Orange Romania daarnaast verzocht deze kopieën te vernietigen .

De reden voor het opleggen van de geldboete was dat Orange Romania niet kon aantonen dat de klanten toestemming hadden verleend voor het bewaren van kopieën van hun identiteitsbewijzen. Dat is belangrijk omdat het verlenen van toestemming door de klant één van de gronden is waarop de verwerking van persoonsgegevens rechtmatig kan zijn (artikel 7, onder a, EU-richtlijn 95/46 (hierna: richtlijn) en artikel 6, lid 1, onder a, EU-verordening 2016/679 (Algemene verordening gegevensbescherming, hierna AVG)).

Orange Romania heeft beroep ingesteld tegen het besluit van de toezichthouder bij een Roemeense rechter. De rechter in deze zaak heeft vastgesteld dat het vakje voor het beding betreffende de toestemming van klanten voor het bewaren van de kopieën van de identiteitsbewijzen in bepaalde gevallen van tevoren al was aangevinkt door de verkopers van Orange Romania. Ook heeft de rechter vastgesteld dat de klanten die geen toestemming wilde verlenen voor de persoonsgegevensverwerking een extra handeling moesten verrichten, namelijk het ondertekenen van een verklaring waarin de weigering werd vastgelegd.

De rechter wil van het EU-Hof weten of het EU-recht over persoonsgegevensverwerking aldus moeten worden uitgelegd dat een overeenkomst inzake de verstrekking van telecommunicatiediensten die een beding bevat volgens welke de betrokkene toestemming heeft gegeven voor het verzamelen en bewaren van een kopie van zijn identiteitsbewijs, kan aantonen dat de betrokkene op geldige wijze toestemming heeft gegeven voor dat verzamelen en dat bewaren. 

EU-Hof

Toepasselijkheid richtlijn en AVG

Het EU-Hof oordeelt ten eerste dat zowel de richtlijn als de AVG van toepassing zijn in deze zaak. Met ingang van 25 mei 2018 is de richtlijn ingetrokken en vervangen door de AVG. Het besluit van de toezichthouder van 28 maart 2018 valt nog onder de temporele reikwijdte van de richtlijn. Orange Romania had echter op 25 mei 2018 nog niet voldaan aan de verplichting om de kopieën van de identiteitsbewijzen te vernietigen. Deze verplichting om de persoonsgegevens te vernietigen valt daarom volgens het EU-Hof ook onder de temporele reikwijdte van de AVG.

Vereisten voor het verlenen van toestemming

Het EU-Hof oordeelt dat de verwerking van persoonsgegevens onder meer rechtmatig is indien de betrokkene zijn ondubbelzinnige toestemming heeft gegeven voor de verwerking. Het begrip toestemming wordt in artikel 4, punt 11 van de AVG gedefinieerd als een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting van de betrokkene.  

Het eerste vereiste is dat het verlenen van toestemming een vrije keuze moet zijn. Het EU-Hof oordeelt in dit kader dat de contractuele bedingen de betrokkene niet mogen misleiden omtrent de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de gegevensverwerking. Daarnaast oordeelt het EU-Hof dat Orange Romania de klanten die weigerden toestemming te verlenen voor de gegevensverwerking verplichtte om schriftelijk te verklaren dat zij niet instemden met de verwerking van de persoonsgegevens. De nationale rechter moet volgens het EU-Hof beoordelen of een dergelijk aanvullend vereiste afbreuk doet aan de vrije keuze om zich tegen de verwerking van persoonsgegevens te verzetten.

Het tweede vereiste is dat de wilsuiting specifiek moet zijn. Dit houdt in dat de wilsuiting precies op de verwerking van de persoonsgegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft. Het EU-Hof oordeelt dat door het aanvinken van het beding door de verkopers het beding inzake toestemming voor de gegevensverwerking niet zodanig is gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere contractuele bedingen. Het staat echter aan de nationale rechter om dit te beoordelen.

Het derde vereiste is dat de betrokkene geïnformeerd moet zijn over de gegevensverwerking voordat hij toestemming verleent. De gegevensverwerker moet de betrokkene informatie verstrekken over alle omstandigheden waarin de verwerking van persoonsgegevens plaatsvindt, in een begrijpelijke en gemakkelijk toegankelijke vorm en geformuleerd in duidelijke en eenvoudige taal. De informatievoorziening moet de betrokkene in staat stellen om gemakkelijk te bepalen welke gevolgen het verlenen van toestemming heeft. Het EU-Hof oordeelt dat het beding in deze zaak alleen vermeld dat de kopieën van identiteitskaarten worden bewaard voor identificatiedoeleinden, zonder enige andere vermelding. Volgens het EU-Hof staat het aan de nationale rechter om te oordelen of deze informatievoorziening voldoende is.

Het vierde vereiste is dat sprake moet zijn van een ondubbelzinnige wilsuiting in de vorm van een verklaring of een actieve handeling waaruit blijkt dat de betrokkene de gegevensverwerking aanvaardt. In dit verband stelt het EU-Hof vast dat de verkopers van Orange Romania het vakje betreffende het beding, waarin staat vermeld dat de betrokken klanten zijn geïnformeerd over en toestemming hebben gegeven voor de gegevensverwerking, al hadden aangevinkt vóór de ondertekening van de overeenkomst. Volgens het EU-Hof kan niet op basis van de enkele omstandigheid dat de klanten de gehele overeenkomst met het al aangevinkte vakje hebben ondertekend worden aangetoond dat toestemming voor de gegevensverwerking is gegeven. Dit is slechts anders wanneer er aanwijzingen zijn die bevestigen dat het beding daadwerkelijk is gelezen en begrepen. De nationale rechter dient dit te onderzoeken.

Bewijslast

Tevens oordeelt het EU-Hof dat de rechtmatigheid van de gegevensverwerking moet worden aangetoond door de gegevensverwerker. De bewijslast voor het feit dat de betrokkene op geldige wijze toestemming heeft gegeven rust dus op de verwerkingsverantwoordelijke. Volgens het EU-Hof volgt dit uit artikel 7, lid 1 van de AVG. Voor wat betreft de richtlijn vloeit dit volgens het EU-Hof impliciet voort uit het feit dat de betrokkene zijn ondubbelzinnige toestemming moet geven in de zin van artikel 7, onder a van de richtlijn.

Meer informatie: