Verdere versteviging van de rechten van betrokkenen onder de AVG

Twee nieuwe AVG-arresten van het Hof van Justitie

Op 12 januari 2023 zijn er twee arresten door het Hof van Justitie gewezen die belangrijk zijn voor de uitlegging van de AVG. Het eerste arrest betreft het inzagerecht, een van de rechten van betrokkenen. Meer concreet betreft het de vraag of een verwerkingsverantwoordelijke die persoonsgegevens doorgeeft aan een derde partij kan volstaan met het noemen van categorieën van ontvangers of dat de ontvangers met naam en toenaam moeten worden genoemd. In het tweede arrest werd de mogelijkheid van parallelle handhavingsprocedures bij de civiele én de bestuursrechter erkend. In beide zaken gaat het om een beslissing van het Hof van Justitie naar aanleiding van prejudiciële vragen, waarbij de positie van betrokkenen verder wordt verstevigd. Beide arresten zullen hierna worden besproken.

Het eerste arrest: inzagerecht van de betrokkene

In de zaak van ene RW tegen Österreichische Post AG (“Österreichische Post”) gaat het om de beantwoording van een prejudiciële vraag die is gesteld door de hoogste federale rechter in civiele en strafzaken in Oostenrijk (het “Oberste Gerichtshof”). De prejudiciële vraag betreft de uitlegging van artikel 15 AVG, waarin het recht van inzage van de betrokkene is vastgelegd. Meer specifiek ging het om de uitleg van artikel 15 lid 1 sub c van de AVG, dat ziet op de inzage door de betrokkene in de ontvangers of categorieën van ontvangers.

Verloop van de zaak

RW heeft bij Österreichische Post een verzoek tot inzage in de hem betreffende persoonsgegevens gedaan. Hij heeft Österreichische Post bovendien verzocht om hem te informeren wie de ontvangers van zijn persoonsgegevens waren, voor het geval dat deze gegevens aan derden zijn medegedeeld. Österreichische Post heeft toen geantwoord dat zij in het kader van haar activiteit als uitgever van telefoongidsen gebruikmaakt van persoonsgegevens en dat zij deze voor marketingdoeleinden aanbiedt aan zakelijke klanten. Österreichische Post heeft niet medegedeeld wie de concrete ontvangers van de gegevens waren. RW was met dat antwoord niet tevreden en is een rechtszaak gestart tegen Österreichische Post. RW heeft hierin gevorderd dat Österreichische Post alsnog de identiteit van de ontvangers van de persoonsgegevens van RW aan hem zal verstrekken. In de procedure heeft Österreichische Post laten weten dat zij de persoonsgegevens voor marketingdoeleinden had verwerkt en deze had doorgegeven aan klanten, waaronder adverteerders die actief zijn in verzend- en fysieke handel, IT-bedrijven, adreshandelaars en verenigingen zoals charitatieve instellingen, niet-gouvernementele organisaties (ngo’s) en politieke partijen. De rechter in de eerste instantie heeft de vordering van RW afgewezen. Deze rechter oordeelde dat artikel 15 lid 1 sub c AVG de verwerkingsverantwoordelijke de mogelijkheid biedt om aan de betrokkene alleen de categorieën van ontvangers aan te geven, maar dat de verwerkingsverantwoordelijke niet verplicht is om de concrete ontvangers bij naam te noemen. RW is vervolgens in Oostenrijk naar het Oberste Gerichtshof gestapt en deze hogere rechter heeft hierover een prejudiciële vraag aan het Hof van Justitie gesteld.

Prejudiciële vraag

Het Oberste Gerichtshof vraagt aan het Hof van Justitie hoe artikel 15 lid 1 sub c AVG moet worden uitgelegd, aangezien uit de bewoordingen van deze bepaling niet duidelijk blijkt of aan de betrokkene het recht wordt verleend om informatie te krijgen over de concrete ontvangers aan wie de gegevens werden verstrekt. Evenmin is duidelijk of de verwerkingsverantwoordelijke keuzevrijheid heeft ten aanzien van de wijze waarop hij gevolg geeft aan een verzoek om inzage van informatie over de ontvangers en of hij – als hij daarvoor kiest – kan volstaan met het noemen van categorieën van ontvangers.

Oordeel van het Hof van Justitie

Het Hof van Justitie oordeelt dat artikel 15 lid 1 sub c AVG aldus moet worden uitgelegd dat de verwerkingsverantwoordelijke verplicht is om aan de betrokkene de identiteit van de ontvangers van de persoonsgegevens mee te delen en niet kan volstaan met het noemen van categorieën van ontvangers. Hierop formuleert het Hof van Justitie ook direct enkele uitzonderingen. In het geval dat de ontvangers van de persoonsgegevens onmogelijk zijn te identificeren of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12 lid 5 AVG, mag de verwerkingsverantwoordelijke volstaan met meedelen van de categorieën van de betreffende ontvangers aan de betrokkene. Kortom, de verwerkingsverantwoordelijke is in beginsel verplicht om de identiteit van de ontvangers van persoonsgegevens mee te delen wanneer een betrokkene zijn recht op inzage uitoefent.

Belang voor de praktijk

Het arrest is van groot belang voor de dagelijkse praktijk van verwerkingsverantwoordelijken. Dat geldt met name voor verwerkingsverantwoordelijken die persoonsgegevens voor marketingdoeleinden doorgeven aan derden. De kans is reëel aanwezig dat die derden de persoonsgegevens ook weer doorgeven aan andere derden. Het kan de verwerkingsverantwoordelijke dus de nodige tijd en moeite (en dus geld) kosten om aan een dergelijk inzageverzoek van een betrokkene te kunnen voldoen. Wij gaan er vooralsnog vanuit dat de verwerkingsverantwoordelijke zich niet te eenvoudig achter de door het Hof van Justitie genoemde uitzonderingen zal kunnen verschuilen en dus een nauwkeurige administratie bij zal moeten houden aan wie hij persoonsgegevens doorgeeft om aan mogelijke inzageverzoeken te kunnen voldoen.

Het tweede arrest: parallelle handhavingsprocedures bij de civiele én de bestuursrechter

In deze tweede zaak ging het om BE, die het niet eens was met een besluit van Nemzeti Adetvédelmi és Információszabadság Hatóság oftewel de Hongaarse autoriteit persoonsgegevens (hierna: de “toezichthouder”) en dit besluit wilde aanvechten. De AVG biedt de betrokkene verschillende wegen, vastgelegd in de artikelen 77, 78 en 79 AVG. Het arrest van het Hof van Justitie ziet op de vraag hoe deze bevoegdheden om zich tot verschillende rechters te wenden zich tot elkaar verhouden.

Verloop van de zaak

Het geschil met de toezichthouder vloeit voort uit onenigheid die is ontstaan na een aandeelhoudersvergadering van een vennootschap. BE heeft die aandeelhoudersvergadering bijgewoond en bij die gelegenheid vragen gesteld aan de leden van de raad van bestuur van deze vennootschap en andere deelnemers aan die algemene vergadering. BE heeft na de aandeelhoudersvergadering verzocht aan de betrokken vennootschap om haar de geluidsopname van deze vergadering ter beschikking te stellen. De betrokken vennootschap heeft vervolgens alleen de fragmenten ter beschikking gesteld waarop de eigen opmerkingen van BE waren vastgelegd. Hierop heeft BE de toezichthouder verzocht om vast te stellen dat de betrokken vennootschap in strijd met de AVG heeft gehandeld. De toezichthouder heeft dit verzoek afgewezen. BE heeft tegen dit afwijzende besluit beroep ingesteld bij de verwijzende rechter in deze zaak. Tegelijkertijd heeft BE bij de civiele rechter een tweede beroep ingesteld. Terwijl het eerste beroep nog aanhangig was, werd het tweede beroep door de rechter toegewezen. Dit leidde tot de prejudiciële vragen bij het Hof van Justitie.

Artikelen 77, 78 en 79 AVG

Artikel 77 lid 1 AVG bepaalt dat iedere betrokkene, onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, het recht heeft om een klacht in te dienen bij een toezichthoudende autoriteit. In artikel 78 lid 1 AVG wordt bepaald dat iedere natuurlijke of rechtspersoon onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep het recht heeft om een doeltreffende voorziening in rechte in te stellen tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit. Tot slot betreft artikel 79 lid 1 AVG het recht van iedere betrokkene op een doeltreffende voorziening in rechte, onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 AVG.

Prejudiciële vraag

De prejudiciële vraag betreft de vraag of artikel 77 lid 1 AVG, artikel 78 lid 1 AVG en artikel 79 lid 1 AVG, in het licht van artikel 47 van het Handvest van de grondrechten van de Europese Unie dusdanig moeten worden uitgelegd dat de geboden beroepsmogelijkheden door artikel 77 lid 1 AVG enerzijds en de artikelen 78 lid 1 en 79 lid 1 AVG anderzijds naast elkaar en onafhankelijk van elkaar kunnen worden benut dan wel of een van deze rechtsmiddelen op de ander voorrang heeft.

Oordeel van het Hof van Justitie

Het Hof van Justitie overweegt dat uit de bewoordingen van de betreffende artikelen volgt dat de bepalingen niet voorzien in een prioritaire of exclusieve bevoegdheid en ook niet in voorrangsregels ten aanzien van de beoordeling van de vraag of de AVG is geschonden. De voorziening als bedoeld in artikel 78 lid 1 AVG en de voorziening van artikel 79 lid 1 AVG kunnen daarom naast elkaar en onafhankelijk van elkaar worden ingesteld. Het is daarom aan de lidstaten van de Europese Unie zelf om procedureregels vast te stellen voor de administratieve en gerechtelijke procedure die zorgen voor een hoog niveau van bescherming van de rechten die men ontleend aan het recht van de Europese Unie.

De uitwerking van de parallelle en onafhankelijke beroepsmogelijkheden mag, aldus het Hof van Justitie, geen afbreuk doen aan het nuttig effect en de doeltreffende bescherming van de rechten uit de AVG. Het ontstaan van tegenovergestelde uitkomsten als gevolg van de verschillende mogelijkheden kan volgens het Hof van Justitie leiden tot onwenselijke uitkomsten. Daarom oordeelt het Hof van Justitie uiteindelijk dat lidstaten in overeenstemming met het beginsel van procedurele autonomie zelf nader kunnen regelen hoe de beroepsmogelijkheden zich tot elkaar verhouden om ervoor dat de doeltreffendheid van de AVG-rechten en een coherente en homogene toepassing van de AVG gewaarborgd is en er ook voor te zorgen dat het recht op een doeltreffende voorziening als bedoeld in artikel 47 van het Handvest van de grondrecht voor de Europese Unie in rechte is gewaarborgd.

In Nederland is in artikel 34 van de Uitvoeringswet AVG bepaald dat de Algemene wet bestuursrecht (“UAVG”) van toepassing is wanneer een bestuursorgaan degene is die een besluit neemt over een verzoek als bedoeld in de artikelen 15 tot en met 22 van de AVG. Dit zijn de artikelen die betrekking hebben op de rechten van betrokkenen. In artikel 35 van de UAVG is bepaald dat als de beslissing over een verzoek als bedoeld in de artikelen 15 tot en met 22 AVG niet door een bestuursorgaan is genomen, de belanghebbende een verzoekschrift bij de rechtbank kan indienen. De civielrechtelijke verzoekschriftprocedure wordt dan gevolgd.

Belang voor de praktijk

Het arrest maakt duidelijk dat de betrokkene de keuze heeft tussen verschillende wegen om zijn rechten uit te oefenen en dat deze wegen ook parallel bewandeld kunnen worden. Het is vervolgens aan de lidstaten zelf om hierover nadere regels te stellen, maar deze mogen geen afbreuk doen aan het nuttig effect en de doeltreffende bescherming van de rechten uit de AVG. In Nederland is nader bepaald welke procedure de betrokkene moet volgen in de artikelen 34 en 35 van de UAVG:

• Bij beslissingen van bestuursorganen: de bestuursrechter (Algemene Wet Bestuursrecht);
• Bij beslissingen van niet-bestuursorganen: de civiele rechter.

Ook in Nederland is dus denkbaar en mogelijk dat de civiele en de bestuursrechtelijke procedure naast elkaar lopen.