Acórdão do Tribunal de Justiça da União Europeia
Processo C-61/19

1.

O presente pedido de decisão prejudicial, apresentado pelo Tribunalul Bucureşti (Tribunal Regional de Bucareste, Roménia), tem origem num litígio entre um prestador de serviços de telecomunicações e uma autoridade nacional de proteção de dados a propósito das obrigações desta última no contexto das negociações contratuais com um cliente no que respeita à recolha de uma cópia de um documento de identificação e respetiva conservação.

2.

O presente pedido facultará ao Tribunal de Justiça a ocasião de esclarecer mais aprofundadamente o conceito de «consentimento do titular dos dados», uma característica central do direito da União em matéria de proteção de dados, que tem, em última instância, origem no direito fundamental à proteção dos dados. A este respeito, o Tribunal de Justiça deverá igualmente debruçar‑se sobre a questão do ónus da prova a fim de determinar se a pessoa em causa deu ou não o seu consentimento.

3.

Nos termos do artigo 2.o, alínea h), da Diretiva 95/46/CE ( 2 ), para efeitos da presente diretiva, «consentimento da pessoa em causa» é «qualquer manifestação de vontade, livre, específica e informada, pela qual a pessoa em causa aceita que dados pessoais que lhe dizem respeito sejam objeto de tratamento».

4.

O capítulo II da referida diretiva é dedicado às condições gerais de licitude do tratamento de dados pessoais.

5.

O artigo 6.o da mesma diretiva, que diz respeito aos princípios relativos à qualidade dos dados ( 3 ), tem a seguinte redação:

«1. Os Estados‑Membros devem prever que os dados pessoais serão:

[…]

2. Incumbe ao responsável pelo tratamento assegurar a observância do disposto no n.o 1.»

6.

O artigo 7.o da mesma diretiva diz respeito aos princípios relativos à legitimidade do tratamento de dados ( 4 ). Nos termos dessa disposição, «[o]s Estados‑Membros estabelecerão que o tratamento de dados pessoais só poderá ser efetuado se:

[…]»

7.

Nos termos do artigo 4.o, n.o 11, do Regulamento (UE) 2016/679 ( 5 ), para efeitos do referido regulamento, entende‑se por «“Consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento».

8.

O artigo 6.o, n.o 1, alíneas a) e b), do mesmo regulamento tem a seguinte redação:

«O tratamento só é lícito caso, e na medida em que, se verifique pelo menos uma das seguintes situações:

9.

O artigo 7.o, n.o 1, do referido regulamento estabelece que, «[c]aso o tratamento seja realizado com base no consentimento, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o consentimento ao tratamento dos seus dados pessoais».

10.

A legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Lei n.o 677/2001 relativa à Proteção das Pessoas no que Respeita ao Tratamento de Dados Pessoais e à Livre Circulação desses Dados, a seguir «Lei n.o 677/2001») ( 6 ) destina‑se a transpor as disposições da Diretiva 95/46 para o direito nacional.

11.

O artigo 32.o da referida lei tem a seguinte redação:

«O tratamento de dados pessoais por um responsável pelo tratamento ou por uma pessoa por este mandatada, realizado em violação do disposto nos artigos 4.o a 10.o ou sem ter em conta os direitos previstos nos artigos 12.o a 15.o ou no artigo 17.o, constitui contraordenação, salvo se, em razão das circunstâncias da sua prática, constituir uma infração penal, e será punida com uma coima de 10000000 antigos leus [1000 RON] a 250000000 antigos leus [25000 RON].»

12.

A Orange România SA é um prestador de serviços de telecomunicações móveis no mercado romeno, que propõe serviços quer através do sistema de «pré‑pago» ( 7 ) quer através da celebração de um contrato de prestação de serviços ( 8 ).

13.

Em 28 de março de 2018, a Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Autoridade Nacional de Supervisão do Tratamento de Dados Pessoais, Roménia, a seguir «ANSPDCP»), com base no artigo 32.o da Lei n.o 677/2001, conjugado com o artigo 8.o da referida lei, emitiu um relatório em que era aplicada uma coima à Orange România com base no facto de terem sido feitas e armazenadas cópias de documentos de identificação dos seus clientes sem o consentimento expresso destes.

14.

A este respeito, a ANSPDCP observou que a Orange România tinha celebrado na sua sede contratos escritos com vista à prestação de serviços de telecomunicações móveis com clientes individuais e que tinham sido anexadas a esses contratos cópias dos documentos de identificação. O conteúdo desses contratos incluía, designadamente, uma declaração de facto nos termos da qual o cliente tinha sido informado e tinha dado o seu consentimento à recolha e conservação (pela Orange România) dessas cópias e a existência do consentimento dos clientes tinha sido estabelecida através da aposição de cruzes em casas que figuram nas cláusulas contratuais.

15.

A passagem pertinente dos contratos em questão tem a seguinte redação:

«O cliente declara que:

16.

Segundo a ANSPDCP, a Orange România não provou que os clientes tivessem feito uma escolha informada relativamente à recolha a conservação das cópias dos seus documentos de identificação.

17.

A Orange România interpôs no órgão jurisdicional de reenvio um recurso contra a coima aplicada em 28 de março de 2018.

18.

Com base nas conclusões do órgão jurisdicional de reenvio, há contratos nos quais a escolha livremente expressa pelo cliente quanto à conservação de uma cópia do seu documento de identificação é indicada assinalado uma casa com uma cruz, bem como os casos inversos, em que os clientes recusaram expressar esse consentimento. Resulta dos «procedimentos internos» de venda da Orange România que, nestes últimos casos, a Orange România inseriu a informação necessária no que respeita à recusa do cliente na conservação de uma cópia do documento de identificação mediante o preenchimento de um formulário específico para esse efeito, procedendo seguidamente à celebração do contrato. Por conseguinte, independentemente das indicações constantes dos termos e condições gerais da Orange România, esta não recusou a celebração de contratos de assinatura com clientes, mesmo quando estes se recusaram a consentir na conservação de uma cópia do documento de identificação.

19.

O órgão jurisdicional de reenvio considera que, nestas circunstâncias, é especialmente importante que o Tribunal de Justiça se pronuncie sobre os critérios para determinar se o consentimento é «específico» e «informado» e, sendo o caso, sobre o valor probatório da assinatura de contratos como os que estão em causa no processo principal.

20.

Foi nestas circunstâncias que, por Despacho de 14 de novembro de 2018, que deu entrada no Tribunal de Justiça em 29 de janeiro de 2019, o Tribunalul Bucureşti (Tribunal Regional de Bucareste) submeteu as seguintes questões prejudiciais:

21.

As partes no processo principal, os Governos romeno, italiano, austríaco e português, bem como a Comissão Europeia, apresentaram observações escritas. A Orange România, o Governo romeno e a Comissão estavam representados na audiência realizada em 11 de dezembro de 2019.

22.

No presente processo, o Tribunal de Justiça é chamado a precisar as condições nas quais o tratamento de dados pessoais pode ser considerado válido.

23.

O Regulamento 2016/679, em vigor desde 25 de maio de 2018 ( 9 ), revogou a Diretiva 95/46 com efeitos a partir da mesma data ( 10 ).

24.

A decisão da ANSPDCP em questão no processo principal foi adotada em 28 de março de 2018, data que precede a data a partir da qual o Regulamento 2016/679 é aplicável. No entanto, a ANSPDCP não só impôs uma coima à Orange România como também lhe exigiu que esta destruísse as cópias dos documentos de identificação em questão. O litígio no processo principal tem igualmente por objeto esta última injunção. Esta injunção produz efeitos para o futuro, sendo por essa razão que o regulamento é aplicável ratione temporis.

25.

Consequentemente, a resposta a dar às questões submetidas deve basear‑se tanto na Diretiva 95/46 como no Regulamento 2016/679 ( 11 ). Além disso, deverá ter‑se em conta o referido regulamento na análise das disposições da Diretiva 95/46 ( 12 ).

26.

As duas questões submetidas pelo órgão jurisdicional de reenvio estão formuladas de modo demasiado geral e abstrato e devem ser adaptadas de forma a estabelecer uma correspondência entre elas e os factos do processo principal, a fim de guiar o órgão jurisdicional de reenvio e de dar uma resposta útil às questões. Para o efeito, considero essencial percorrer brevemente os factos do processo principal conforme os mesmos resultam da decisão do tribunal de reenvio e das informações fornecidas pelas partes no processo, em especial durante a audiência no Tribunal de Justiça.

27.

A ANSPDCP aplicou à Orange România uma sanção por esta ter recolhido e conservado cópias de documentos de identificação dos seus clientes sem o consentimento destes. Constatou que a empresa tinha celebrado contratos de prestação de serviços de telecomunicações móveis e que foram anexadas a esses contratos cópias de documentos de identificação. Esses contratos estabeleciam, alegadamente, que os clientes tinham sido informados e tinham dado o seu consentimento à recolha e conservação dessas cópias, conforme demonstrado pela aposição de cruzes nas casas que figuram nas cláusulas contratuais. Contudo, segundo as conclusões da ANSPDCP, a Orange România não provou que, no momento da celebração dos celebrados, os clientes em questão tinham feito uma escolha informada no que respeita à recolha e à conservação das referidas cópias.

28.

Quando uma pessoa que pretende estabelecer uma relação contratual com a Orange România é aconselhada por um representante da referida empresa sobre as cláusulas de um contrato específico, esse representante utiliza, geralmente em computador, um modelo de um contrato que contém uma casa a assinalar relativa à conservação de um documento de identificação. O cliente é informado de que não é necessário assinalar nada na casa. Se o cliente não aceitar que o seu documento de identificação seja fotocopiado e conservado, deve mencioná‑lo, por escrito, no seu contrato. Esta última exigência da menção por escrito resulta, ao que parece, do regulamento interno de vendas da Orange România. Além disso, o cliente é informado, mas apenas oralmente e não por escrito, da possibilidade de recusa.

29.

Neste contexto, interpreto as duas questões, que devem ser examinadas em conjunto, no sentido de que o órgão jurisdicional de reenvio pretende saber se a pessoa em causa que pretende estabelecer com uma empresa uma relação contratual de prestação de serviços de telecomunicações dá a essa empresa um consentimento «específico e informado» e «expresso livremente» em conformidade com o artigo 2.o, alínea h), da Diretiva 95/46 e com o artigo 4.o, n.o 11, do Regulamento 2016/679, quando lhe seja exigido que declare de forma escrita, num contrato, de resto, padronizado, que recusa dar o seu consentimento à cópia e conservação dos seus documentos de identificação.

30.

A este respeito, afigura‑se que o órgão jurisdicional de reenvio necessita de orientação no que respeita ao ónus da prova e ao nível de prova que incumbe a essa empresa.

31.

O processo em questão diz respeito ao tratamento de dados pessoais quando da celebração de um contrato de prestação de serviços de telecomunicações.

32.

Qualquer tratamento de dados pessoais deve ser conforme ( 13 ), em primeiro lugar, com os princípios relativos à qualidade dos dados previstos no artigo 6.o da Diretiva 95/46 ou no artigo 5.o do Regulamento 2016/679 e, em segundo lugar, com um dos princípios que legitimam o tratamento de dados enumerados no artigo 7.o da referida diretiva ou no artigo 6.o do referido regulamento ( 14 ). Conforme sublinhado pela Comissão, os seis princípios constantes do artigo 7.o da Diretiva 95/46 são, de facto, a expressão de um princípio mais amplo, previsto no artigo 6.o, n.o 1, alínea a), da referida diretiva, que estabelece que esses dados pessoais serão objeto de tratamento leal e lícito.

33.

O artigo 7.o da Diretiva 95/46 prevê uma lista exaustiva dos casos em que o tratamento dos dados pessoais pode ser considerado lícito ( 15 ). O tratamento de dados pessoais apenas pode ser feito se, pelo menos, um dos seis princípios relativos à legitimidade for aplicável. A existência de um consentimento inequívoco dado pela pessoa em causa é um desses princípios.

34.

O consentimento da pessoa em causa é, por sua vez, definido no artigo 2.o, alínea h), da Diretiva 95/46 como qualquer manifestação de vontade, livre, específica e informada, pela qual a pessoa em causa aceita que dados pessoais que lhe dizem respeito sejam objeto de tratamento.

35.

Esta redação corresponde em grande parte ( 16 ) à do artigo 4.o, n.o 11, do Regulamento 2016/679, segundo o qual o consentimento do titular dos dados consiste numa manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento ( 17 ).

36.

A exigência do consentimento da pessoa em causa é uma característica essencial do direito da União relativo à proteção de dados ( 18 ). Essa exigência figura na Carta dos Direitos Fundamentais da União Europeia, onde está estipulado, no artigo 8.o, que os dados devem ser objeto de tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei. Visto num contexto mais vasto, o conceito de consentimento permite que o titular dos dados em causa decida ele próprio da legitimidade das restrições ao seu direito à proteção de dados ( 19 ).

37.

O princípio orientador que está na base do direito da União relativo à proteção de dados é o de uma decisão autodeterminada de uma pessoa com capacidade para fazer escolhas sobre a utilização e o tratamento dos seus dados ( 20 ). É a exigência de consentimento que lhe permite fazer a sua escolha e que ao mesmo tempo o protege em situações que são, por natureza, assimétricas ( 21 ). Só se o consentimento for dado livremente, for específico e informado é que preenche os critérios da Diretiva 95/46 e do Regulamento 2016/679.

38.

Devo, nesta fase, formular três observações breves sobre a aparente diferença de redação das referidas disposições.

39.

Em primeiro lugar, o artigo 4.o, n.o 11, do Regulamento 2016/679, contrariamente ao artigo 2.o, alínea h), da Diretiva 95/46, faz referência a uma manifestação «explícita». Eu diria que a razão para tal é simples: o artigo 7.o, alínea a), desta diretiva, sobre os princípios relativos à legitimidade do tratamento de dados, já acima referido, exige que a pessoa tenha dado o seu consentimento de «forma inequívoca», ao passo que a disposição correspondente do Regulamento 2016/679 — o artigo 6.o, n.o 1, alínea a) — não contém essa especificação. Por outras palavras, o princípio de uma indicação inequívoca foi simplesmente mudado para uma disposição mais geral no Regulamento 2016/679.

40.

Em segundo lugar, o artigo 4.o, n.o 11, do Regulamento 2016/679 especifica que o titular dos dados se manifeste «mediante declaração ou ato positivo inequívoco». Esta clarificação é na realidade uma novidade do regulamento e não tem correspondência semântica na Diretiva 95/46.

41.

Em terceiro lugar, no que respeita ao caráter «informado» do consentimento da pessoa em causa, a versão francesa da Diretiva 95/46 distingue‑se da do Regulamento 2016/679. Enquanto o artigo 2.o, alínea h), da referida diretiva faz referência a uma «manifestation de volonté […] informé», no artigo 4.o, n.o 11, do referido regulamento fala‑se de uma «manifestation de volonté […] eclairée».

42.

Entendo que esta alteração na formulação confunda mais do que esclareça, porque, tanto quanto é do meu conhecimento, a versão francesa é a única, ou pelo menos, uma das poucas versões a fazer tal distinção. Algumas versões linguísticas, entre as quais, incidentalmente, as restantes línguas latinas, usam simplesmente, a este respeito, exatamente os mesmos termos ( 22 ), ao passo que outras versões linguísticas podem divergir ligeiramente sobre este ponto, mas não atingem o grau de divergência que se encontra na versão francesa ( 23 ).

43.

Voltarei em seguida ao conceito de consentimento «informado».

44.

A exigência de uma «manifestação» de vontade da pessoa em causa evoca claramente um comportamento ativo, e não passivo ( 24 ) e implica que a pessoa em causa goze de um grau elevado de autonomia quando opta por dar ou não o seu consentimento ( 25 ). Quanto ao caso específico de uma lotaria online num sítio Internet, o Tribunal declarou que o consentimento expresso sob a forma de uma opção pré‑validada numa quadrícula não implica um comportamento ativo por parte do utilizador do sítio Internet ( 26 ).

45.

Em meu entender, tal conclusão é igualmente válida num âmbito analógico: o consentimento expresso sob a forma de uma casa validada por defeito não pode implicar o consentimento ativo por parte da pessoa que lida com um documento físico que acaba por assinar. Com efeito, nesta situação, não se sabe se o texto em questão redigido antecipadamente foi lido e entendido. A situação não é isenta de dúvidas. O texto pode ter sido lido ou não. O «leitor» pode não ter lido por pura negligência, o que torna impossível determinar com clareza se o consentimento foi dado livremente ( 27 ).

46.

Não deve haver a menor dúvida quanto ao facto de a pessoa em causa não ter sido suficientemente informada ( 28 ).

47.

A pessoa em causa deve ser informada de todas as circunstâncias relativas ao tratamento dos dados e às consequências deste. Em especial, essa pessoa deve saber quais os dados objeto de tratamento, de que forma e para que finalidade específica. Deve igualmente saber quem procede ao tratamento dos dados e se os dados se destinam a ser transmitidos a terceiros. É fundamental que seja informada das consequências da recusa de consentimento: o consentimento do tratamento dos dados é ou não uma condição para a celebração do contrato ( 29 )?

48.

Isto leva‑nos à questão de saber a quem cabe provar que um titular dos dados estava em situação tal que podia dar o seu consentimento com base nos princípios acima estabelecidos.

49.

O artigo 7.o, n.o 1, do Regulamento 2016/679 é claro e não deixa espaço para dúvidas: quando o tratamento for realizado com base no consentimento, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento para o tratamento dos seus dados pessoais ( 30 ). Esta disposição constitui uma especificação do princípio da responsabilidade enunciado no artigo 5.o, n.o 2, deste regulamento. Considero que a finalidade desta disposição apela a uma interpretação extensiva no sentido de que o responsável pelo tratamento deve provar não só que o titular dos dados deu o seu consentimento mas também que todas as condições de eficácia se encontram preenchidas ( 31 ).

50.

Alguns autores duvidam que o artigo 7.o, n.o 1, do Regulamento 2016/679 diga respeito ao ónus da prova, fazendo referência aos trabalhos preparatórios do referido regulamento ( 32 ). Afirmam que, embora a Comissão e o Parlamento tenham proposto uma formulação que se referia explicitamente ao «ónus da prova», essa redação não está repercutida no texto adotado nem, por conseguinte, na lei vigente.

51.

Esta afirmação merece uma análise mais detalhada.

52.

A proposta inicial da Comissão ( 33 ) menciona, na realidade, o «ónus da prova» que incumbe ao responsável pelo tratamento. Na mesma ordem de ideias, o Parlamento Europeu, em primeira leitura ( 34 ), não levantou objeções a tal redação. Foi o Conselho ( 35 ) que substituiu a expressão «ónus da prova» pela expressão «deve poder demonstrar» no que respeita ao responsável pelo tratamento. O texto definitivo foi, assim, adotado com esta formulação.

53.

Não atribuirei demasiada importância a esta alteração de redação ( 36 ). Nos considerandos da sua posição, o Conselho não expõe as razões da alteração da redação ( 37 ). Isto constitui uma indicação de que essa instituição quis simplesmente alterar a redação da disposição em questão, sem modificar o seu sentido. Vista nesta perspetiva, a expressão «deve poder demonstrar», na realidade, descreve de modo mais acessível o que significa «ónus da prova» ( 38 ).

54.

Pode, por conseguinte, presumir‑se com segurança que o artigo 7.o, n.o 1, do Regulamento 2016/679 faz recair sobre o responsável pelo tratamento dos dados o ónus da prova do consentimento do titular dos dados ( 39 ). Quaisquer dúvidas no que respeita ao consentimento do titular dos dados devem ser dissipadas através de provas apresentadas pelo responsável pelo tratamento ( 40 ). O ónus da prova de que o titular dos dados foi posto em situação que lhe permite dar um consentimento livre, específico e informado incumbe inteiramente à entidade que procede ao tratamento.

55.

A situação jurídica ao abrigo da Diretiva 95/46 não é diferente.

56.

Apesar de a Diretiva 95/46 não conter uma disposição distinta semelhante à do artigo 7.o do Regulamento 2016/679 sobre as condições do consentimento, a maioria das condições previstas neste artigo podiam ser igualmente encontradas na referida diretiva. Embora a regra do ónus da prova não esteja expressamente prevista na referida diretiva, decorre, pelo menos indiretamente, da formulação ( 41 )«[a] pessoa em causa tiver dado de forma inequívoca o seu consentimento» ( 42 ).

57.

Gostaria agora de aplicar estes critérios ao presente processo.

58.

Como observação preliminar, gostaria de precisar que a questão de saber se a Orange România pode ou não exigir aos seus clientes que deem o seu consentimento à cópia e conservação dos seus documentos de identificação está excluída do objeto do presente processo uma vez que, para essa empresa, não se trata de uma condição prévia à celebração do contrato. Por outras palavras, o caso vertente não diz respeito à interpretação do artigo 7.o, alínea b), da Diretiva 95/46 e do artigo 6.o, n.o 1, alínea b), do Regulamento 2016/679. Dito isto, parece‑me legítimo que uma empresa peça aos clientes que forneçam alguns dados pessoais, em especial, que provem a sua identidade para fins de celebração do contrato. Exigir ao cliente que dê o seu consentimento à cópia e conservação de documentos de identificação, parece‑me, porém, ir além do necessário ao cumprimento do contrato.

59.

Com base nas informações disponíveis, parece‑me que os clientes da Orange România não dão o seu consentimento livre, específico e informado nas circunstâncias descritas pelo tribunal de reenvio.

60.

Em primeiro lugar, não há consentimento expresso livremente. Obrigar um cliente a declarar, de forma escrita, que não dá o seu consentimento à cópia e conservação do seu documento de identificação não permite dar um consentimento livre no sentido de que o cliente é colocado numa situação na qual se afasta manifestamente de um procedimento normal que o conduz à celebração do contrato. Os clientes não devem, a este respeito, sentir que a sua recusa em consentir na cópia e conservação dos seus documentos de identificação não é conforme com os procedimentos habituais. Recordo, sobre este aspeto, que o Tribunal salientou um comportamento ativo por parte da pessoa em causa com vista a manifestar o seu consentimento ( 43 ). Uma ação positiva por parte da pessoa em causa é, por conseguinte, exigida para dar o seu consentimento. Ora, no caso vertente, é a situação inversa que parece produzir‑se: uma ação positiva é exigida para recusar o consentimento. Voltando uma vez mais ao Acórdão Planet49 ( 44 ), se o facto de remover uma opção pré‑validada numa quadrícula num sítio Internet é considerado um ónus demasiado pesado para um cliente, não se pode, a fortiori, razoavelmente pretender que um cliente recuse dar o seu consentimento de forma escrita.

61.

Em segundo lugar, não há consentimento informado. Não é claramente indicado ao cliente que a recusa na cópia e na conservação da cópia do seu documento de identificação não impossibilita a celebração do contrato. O cliente não faz a sua escolha de modo esclarecido se não tiver conhecimento das consequências da sua recusa.

62.

Em terceiro lugar, e unicamente a título hipotético, nada indica que a Orange România tenha logrado demonstrar que os seus clientes consentiram no tratamento dos seus dados pessoais. A este respeito, a falta evidente de clareza nos procedimentos internos certamente que não facilita a prova de que o consentimento foi dado pelo cliente. Essa falta de clareza e as instruções contraditórias dadas ao pessoal de venda não pode evidentemente fazer‑se em detrimento do cliente, neste caso, o titular dos dados.

63.

Tendo em conta as considerações precedentes, proponho ao Tribunal de Justiça que responda da seguinte forma às questões submetidas pelo Tribunalul Bucureşti (Tribunal Regional de Bucareste, Roménia):

A pessoa em causa que pretenda estabelecer com uma empresa uma relação contratual que tem por objeto a prestação de serviços de telecomunicações não dá a essa empresa o seu consentimento «específico e informado» e «expresso livremente», na aceção do artigo 2.o, alínea h), da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e do artigo 4.o, n.o 11, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), quando lhe é exigido que declare, de forma escrita, num contrato, de resto, padronizado, que recusa dar o seu consentimento à fotocópia e à conservação dos seus documentos de identificação.