ARREST VAN HET HOF (Derde kamer)
7 mei 2009 (*)
„Bescherming van natuurlijke personen in verband met verwerking van persoonsgegevens – Richtlijn 95/46/EG – Bescherming van persoonlijke levenssfeer – Uitwissing van gegevens – Recht op toegang tot gegevens en tot informatie over ontvangers van gegevens – Termijn voor uitoefening van recht op toegang”
In zaak C‑553/07,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 234 EG, ingediend door de Raad van State (Nederland) bij beslissing van 5 december 2007, ingekomen bij het Hof op 12 december 2007, in de procedure
College van burgemeester en wethouders van Rotterdam
tegen
M. E. E. Rijkeboer,
wijst
HET HOF VAN JUSTITIE (Derde kamer),
samengesteld als volgt: A. Rosas, kamerpresident, A. Ó Caoimh, J. Klučka, U. Lõhmus en P. Lindh (rapporteur), rechters,
advocaat-generaal: D. Ruiz-Jarabo Colomer,
griffier: M. Ferreira, hoofdadministrateur,
gezien de stukken en na de terechtzitting op 20 november 2008,
gelet op de opmerkingen van:
– het College van burgemeester en wethouders van Rotterdam, vertegenwoordigd door R. de Bree, advocaat,
– M. E. E. Rijkeboer, vertegenwoordigd door W. van Bentem, juridisch adviseur,
– de Nederlandse regering, vertegenwoordigd door C. M. Wissels en C. ten Dam als gemachtigden,
– de Tsjechische regering, vertegenwoordigd door M. Smolek als gemachtigde,
– de Griekse regering, vertegenwoordigd door E.‑M. Mamouna en V. Karra als gemachtigden,
– de Spaanse regering, vertegenwoordigd door M. Muñoz Pérez als gemachtigde,
– de regering van het Verenigd Koninkrijk, vertegenwoordigd door Z. Bryanston-Cross en H. Walker als gemachtigden, bijgestaan door J. Stratford, barrister,
– de Commissie van de Europese Gemeenschappen, vertegenwoordigd door R. Troosters en C. Docksey als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 22 december 2008,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 12, sub a, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31; hierna: „richtlijn”).
2 Dit verzoek is ingediend in het kader van een geding tussen Rijkeboer en het College van burgemeester en wethouders van Rotterdam (hierna: „College”) over de gedeeltelijke weigering van dit College om hem toegang te verlenen tot informatie over de verstrekking van zijn persoonsgegevens aan derden in de twee jaar voorafgaand aan zijn verzoek om informatie.
Toepasselijke bepalingen
Gemeenschapsregeling
3 De punten 2 en 10 van de considerans van de richtlijn, die betrekking hebben op de fundamentele rechten en vrijheden, luiden:
„(2) Overwegende dat de systemen voor de verwerking van gegevens ten dienste van de mens staan; dat zij de fundamentele rechten en vrijheden en inzonderheid de persoonlijke levenssfeer van natuurlijke personen, ongeacht hun nationaliteit of verblijfplaats, moeten eerbiedigen en tot de economische en sociale vooruitgang, tot de ontwikkeling van het handelsverkeer en tot het welzijn van de individuen moeten bijdragen;
[...]
(10) Overwegende dat met de nationale wetgevingen betreffende de verwerking van persoonsgegevens de eerbiediging moet worden gewaarborgd van de fundamentele rechten en vrijheden, en met name van het recht op bescherming van de persoonlijke levenssfeer, dat tevens in artikel 8 van het Europese Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en in de algemene beginselen van het gemeenschapsrecht is erkend; [...]”
4 Volgens punt 25 van de considerans van de richtlijn moeten de beginselen van de persoonsbescherming enerzijds tot uiting komen in de verplichtingen die aan de personen die de verwerkingen uitvoeren, worden opgelegd, verplichtingen die met name betrekking hebben op de kwaliteit van de gegevens, en anderzijds in het feit dat aan personen wier gegevens het voorwerp van verwerkingen zijn, het recht wordt verleend om daarvan in kennis te worden gesteld, tot die gegevens toegang te krijgen, de rectificatie ervan te verlangen en zelfs om zich in bepaalde omstandigheden tegen verwerking te verzetten.
5 In punt 40 van de considerans van de richtlijn, dat ziet op de verplichting tot informatieverstrekking aan de betrokkene wanneer de gegevens niet van hemzelf zijn verkregen, heet het dat deze verplichting niet geldt wanneer die verstrekking van informatie onmogelijk blijkt of onevenredig veel moeite kost en dat hierbij in aanmerking mag worden genomen om hoeveel betrokkenen het gaat, hoe oud de gegevens zijn en welke compenserende maatregelen kunnen worden getroffen.
6 Naar luid van punt 41 van de considerans van de richtlijn moet eenieder over het recht kunnen beschikken om toegang te verkrijgen tot de hemzelf betreffende gegevens die het voorwerp van een verwerking vormen, zodat hij zich van de juistheid en de rechtmatigheid van de verwerking ervan kan vergewissen.
7 Artikel 1, met het opschrift „Onderwerp van de richtlijn”, luidt als volgt:
„1. De lidstaten waarborgen in verband met de verwerking van persoonsgegevens, overeenkomstig de bepalingen van deze richtlijn, de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer.
2. De lidstaten mogen het vrije verkeer van persoonsgegevens tussen lidstaten beperken noch verbieden om redenen die met de uit hoofde van lid 1 gewaarborgde bescherming verband houden.”
8 Het begrip „persoonsgegevens” wordt in artikel 2, sub a, van de richtlijn omschreven als iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna „betrokkene” te noemen.
9 Artikel 2, sub b, van de richtlijn bepaalt dat onder „verwerking van persoonsgegevens” wordt verstaan:
„elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens”.
10 Volgens artikel 2, sub d, van de richtlijn is de „voor de verwerking verantwoordelijke” de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
11 Artikel 2, sub g, van de richtlijn omschrijft de „ontvanger” als de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam aan wie, respectievelijk waaraan de gegevens worden meegedeeld, ongeacht of het daarbij al dan niet gaat om een „derde”, zoals die wordt omschreven in artikel 2, sub f, van de richtlijn.
12 Artikel 6 van de richtlijn noemt de beginselen betreffende de kwaliteit van de gegevens. Met betrekking tot de bewaring van de gegevens moeten de lidstaten uit hoofde van lid 1, sub e, daarvan bepalen dat de persoonsgegevens „in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is. De lidstaten voorzien in passende waarborgen voor persoonsgegevens die langer dan hierboven bepaald voor historische, statistische of wetenschappelijke doeleinden worden bewaard”.
13 De artikelen 10 en 11 van de richtlijn bepalen welke informatie de voor de verwerking verantwoordelijke of zijn vertegenwoordiger aan de betrokkene moet verstrekken in het geval dat de gegevens bij de betrokkene zelf zijn verkregen respectievelijk wanneer de gegevens niet bij de betrokkene zijn verkregen.
14 Artikel 12 van de richtlijn, getiteld „Recht van toegang”, bepaalt:
„De lidstaten waarborgen elke betrokkene het recht van de voor de verwerking verantwoordelijke te verkrijgen:
a) vrijelijk en zonder beperking, met redelijke tussenpozen en zonder bovenmatige vertraging of kosten:
– uitsluitsel omtrent het al dan niet bestaan van verwerkingen van hem betreffende gegevens, alsmede ten minste informatie over de doeleinden van deze verwerkingen, de categorieën gegevens waarop deze verwerkingen betrekking hebben en de ontvangers of categorieën ontvangers aan wie de gegevens worden verstrekt;
– verstrekking, in begrijpelijke vorm, van de gegevens die zijn verwerkt, alsmede de beschikbare informatie over de oorsprong van de gegevens;
– mededeling van de logica die ten grondslag ligt aan de automatische verwerking van hem betreffende gegevens, in elk geval als het gaat om de geautomatiseerde besluiten als bedoeld in artikel 15, lid 1;
b) naargelang van het geval, de rectificatie, de uitwissing of de afscherming van de gegevens waarvan de verwerking niet overeenstemt met de bepalingen van deze richtlijn, met name op grond van het onvolledige of onjuiste karakter van de gegevens;
c) kennisgeving aan derden aan wie de gegevens zijn verstrekt, van elke rectificatie, uitwissing of afscherming, uitgevoerd overeenkomstig punt b, tenzij zulks onmogelijk blijkt of onevenredig veel moeite kost.”
15 Artikel 13, lid 1, van de richtlijn, met het opschrift „Uitzonderingen en beperkingen”, staat de lidstaten toe, met name af te wijken van de artikelen 6 en 12 ervan indien dit noodzakelijk is ter vrijwaring van een aantal openbare belangen, waaronder de veiligheid van de staat, de landsverdediging en de vervolging van strafbare feiten alsmede van andere belangen, te weten de bescherming van de betrokkene of van de rechten en vrijheden van anderen.
16 Artikel 14 van de richtlijn bepaalt dat de lidstaten de betrokkene het recht toekennen om zich in een aantal omstandigheden ertegen te verzetten dat hem betreffende gegevens worden verwerkt.
17 Volgens artikel 17, lid 1, tweede alinea, van de richtlijn bepalen de lidstaten dat de voor de verwerking verantwoordelijke technische en organisatorische maatregelen ten uitvoer dient te leggen die, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau garanderen gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich brengen.
18 Overeenkomstig de artikelen 22 en 23, lid 1, van de richtlijn bepalen de lidstaten dat eenieder zich tot de rechter kan wenden wanneer de rechten geschonden worden die hem worden gegarandeerd door het op de betrokken verwerking toepasselijke nationale recht, en dat eenieder die schade heeft geleden ten gevolge van een onrechtmatige verwerking of van enige andere daad die onverenigbaar is met de ter uitvoering van deze richtlijn vastgestelde nationale bepalingen, het recht heeft om van de voor de verwerking verantwoordelijke vergoeding van de geleden schade te verkrijgen.
Nationale regeling
19 De richtlijn is in Nederlands recht omgezet bij een algemene wet, namelijk de Wet bescherming persoonsgegevens. Voorts zijn bijzondere wetten aangepast teneinde met de richtlijn rekening te houden. Dat was het geval met de wet die in het hoofdgeding aan de orde is, te weten de Wet gemeentelijke basisadministratie persoonsgegevens (Stb. 1994, 494; hierna: „Wet GBA”).
20 Artikel 103, lid 1, Wet GBA bepaalt dat het college van burgemeester en wethouders aan de betrokkene op diens verzoek binnen vier weken schriftelijk meedeelt of hem betreffende gegevens uit de basisadministratie in het jaar voorafgaand aan het verzoek zijn verstrekt aan een afnemer of een derde.
21 Conform artikel 110 Wet GBA houdt het college van burgemeester en wethouders gedurende het jaar volgend op de verstrekking van gegevens aantekening van die verstrekking, tenzij deze anderszins uit de basisadministratie kan worden opgemaakt.
22 Uit de schriftelijke opmerkingen van het College blijkt dat de gegevens die door de gemeente worden bewaard, met name betrekking hebben op de naam, de geboortedatum, het administratienummer, het sociaal-fiscaal nummer, de gemeente van inschrijving, het adres en de datum van inschrijving in de gemeente, de burgerlijke staat, de curatele, het gezag dat over minderjarigen wordt uitgeoefend, de nationaliteit en het verblijfsrecht van vreemdelingen.
Hoofdgeding en prejudiciële vraag
23 Bij brief van 26 oktober 2005 verzocht Rijkeboer het College om opgave van alle verstrekkingen van hem betreffende informatie uit de gemeentelijke basisadministratie aan derden in de twee jaren voorafgaand aan zijn verzoek. Hij wenste te vernemen aan wie informatie was verstrekt en welke informatie daarbij was meegedeeld. Rijkeboer, die naar een andere gemeente was verhuisd, wenste in het bijzonder te vernemen aan wie zijn vroegere adres was meegedeeld.
24 Bij besluiten van 27 oktober en 29 november 2005 wees het College dit verzoek slechts gedeeltelijk toe door hem overeenkomstig artikel 103, lid 1, Wet GBA slechts informatie te verstrekken over de periode van één jaar voorafgaand aan zijn verzoek.
25 Verstrekking van gegevens vindt plaats volgens het „Logisch Ontwerp GBA”. Het gaat hierbij om een geautomatiseerd systeem, dat is opgezet door het ministerie van Binnenlandse Zaken en Koninkrijkrelaties. Uit het verzoek om een prejudiciële beslissing blijkt dat de door Rijkeboer opgevraagde gegevens die ouder waren dan één jaar voorafgaand aan zijn verzoek, automatisch waren verwijderd, wat in overeenstemming zou zijn met artikel 110 Wet GBA.
26 Rijkeboer maakte bij het College bezwaar tegen de weigering om hem informatie te verstrekken over de ontvangers van hem betreffende gegevens in de periode vóór het jaar voorafgaand aan zijn verzoek. Aangezien dit bezwaar bij besluit van 13 februari 2006 werd afgewezen, stelde Rijkeboer beroep in bij de Rechtbank Rotterdam.
27 De Rechtbank wees dat beroep toe op grond dat de beperking van het recht om in kennis te worden gesteld van de aan de ontvangers meegedeelde gegevens tot één jaar voorafgaand aan het verzoek, zoals vastgesteld in artikel 103, lid 1, Wet GBA, niet verenigbaar is met artikel 12 van de richtlijn. De Rechtbank oordeelde voorts dat de in artikel 13 van deze richtlijn bedoelde uitzonderingen niet van toepassing zijn.
28 Het College heeft tegen deze uitspraak hoger beroep ingesteld bij de Raad van State. Die stelt vast dat in artikel 12 van de richtlijn, betreffende het recht op toegang tot de gegevens, geen termijn wordt gesteld waarbinnen dit recht moet kunnen worden uitgeoefend. Volgens de Raad van State verbiedt dit artikel de nationale wetgever evenwel niet noodzakelijkerwijs, het recht van de betrokkene om te worden geïnformeerd over de ontvangers van zijn persoonsgegevens, in de tijd te beperken, maar hij is daar niet zeker van.
29 Daarop heeft de Raad van State de behandeling van de zaak geschorst en het Hof de volgende prejudiciële vraag gesteld:
„Verdraagt de in de wet voorziene beperking van de verstrekking van gegevens tot één jaar, voorafgaande aan het desbetreffende verzoek, zich met artikel 12, [...] sub a, van [de richtlijn], al dan niet gelezen in verbinding met artikel 6, lid 1, sub e, van deze richtlijn en het evenredigheidsbeginsel?”
Beantwoording van de prejudiciële vraag
30 Vooraf zij eraan herinnerd dat het in het kader van het bij artikel 234 EG ingevoerde stelsel van rechterlijke samenwerking aan het Hof staat, de bepalingen van gemeenschapsrecht uit te leggen. Wat de nationale voorschriften betreft, de uitlegging daarvan is een zaak van de nationale rechter (zie arrest van 14 februari 2008, Gysen, C‑449/06, Jurispr. blz. I‑553, punt 17).
31 Derhalve moet de vraag van de verwijzende rechter aldus worden begrepen dat die erop gericht is, uit te maken of ingevolge de richtlijn, met name artikel 12, sub a, ervan, het recht van een persoon op toegang tot informatie over de ontvangers of de categorieën ontvangers van hem betreffende persoonsgegevens en over de inhoud van de meegedeelde gegevens kan worden beperkt tot de periode van één jaar voorafgaand aan zijn verzoek om toegang.
32 De verwijzende rechter vestigt de aandacht op twee bepalingen van de richtlijn, te weten artikel 6, lid 1, sub e, betreffende de bewaring van persoonsgegevens, en artikel 12, sub a, betreffende het recht op toegang tot die gegevens. Daarentegen beroepen de verwijzende rechter noch de partijen die opmerkingen bij het Hof hebben ingediend, zich op de in artikel 13 van de richtlijn neergelegde uitzonderingen.
33 Artikel 6 van de richtlijn ziet op de kwaliteit van de gegevens. Ingevolge lid 1, sub e, daarvan moeten de lidstaten bepalen dat persoonsgegevens niet langer worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is. De gegevens moeten dus worden uitgewist wanneer deze doeleinden zijn bereikt.
34 Artikel 12, sub a, van de richtlijn bepaalt dat de lidstaten de betrokkene een recht op toegang verlenen tot zijn persoonsgegevens en tot de informatie over de ontvangers en de categorieën ontvangers van die gegevens, zonder daarbij een termijn te vermelden.
35 Deze twee artikelen strekken dus tot bescherming van de betrokkene. De verwijzende rechter wenst te vernemen of er tussen deze twee artikelen een verband bestaat in die zin dat het recht op toegang tot informatie over de ontvangers of de categorieën ontvangers van persoonsgegevens en over de inhoud van de verstrekte gegevens kan afhangen van de bewaringstermijn voor die gegevens.
36 De bij het Hof ingediende opmerkingen onthullen uiteenlopende opvattingen over de wisselwerking tussen die twee bepalingen.
37 Het College, de Nederlandse, de Tsjechische en de Spaanse regering alsmede de regering van het Verenigd Koninkrijk stellen dat het in artikel 12, sub a, van de richtlijn bedoelde recht op toegang tot informatie over de ontvangers of de categorieën ontvangers slechts bestaat voor het heden en niet voor het verleden. Aangezien de gegevens conform de nationale regeling zijn verwijderd, kan de betrokkene er geen toegang meer toe hebben. Dit gevolg is niet in strijd met de richtlijn.
38 Het College en de Nederlandse regering betogen dat artikel 103, lid 1, Wet GBA, volgens hetwelk de gemeente de betrokkene op diens verzoek meedeelt of hem betreffende gegevens in het jaar voorafgaand aan zijn verzoek aan ontvangers zijn verstrekt, verder gaat dan de richtlijn verlangt.
39 De Commissie en de Griekse regering voeren van hun kant aan dat de richtlijn niet alleen in een recht op toegang voorziet voor het heden maar ook voor de periode voorafgaand aan het verzoek om toegang. Hun standpunten wijken onderling evenwel af met betrekking tot de juiste duur van dit recht op toegang.
40 Om de omvang van het recht op toegang dat de richtlijn mogelijk moet maken, te kunnen beoordelen, moet eerst worden uitgemaakt op welke gegevens het recht op toegang betrekking heeft, en daarna worden ingegaan op het doel van artikel 12, sub a, van de richtlijn gezien tegen de achtergrond van de doelstellingen daarvan.
41 In een geval als dat van Rijkeboer zijn twee categorieën gegevens in het spel.
42 De eerste categorie betreft privégegevens die de gemeente over een persoon bezit, zoals diens naam en adres, welke in casu basisgegevens zijn. Uit de mondelinge opmerkingen van het College en de Nederlandse regering blijkt dat die gegevens gedurende lange tijd kunnen worden bewaard. Het zijn „persoonsgegevens” in de zin van artikel 2, sub a, van de richtlijn, aangezien het gaat om informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon (zie in die zin arresten van 20 mei 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 en C‑139/01, Jurispr. blz. I‑4989, punt 64; 6 november 2003, Lindqvist, C‑101/01, Jurispr. blz. I‑12971, punt 24, en 16 december 2008, Huber, C‑524/06, nog niet gepubliceerd in de Jurisprudentie, punt 43).
43 De tweede categorie betreft informatie over de ontvangers of de categorieën ontvangers van deze basisgegevens alsmede over de inhoud van deze gegevens, en heeft dus betrekking op de verwerking van de basisgegevens. Overeenkomstig de in het hoofdgeding aan de orde zijnde nationale wettelijke regeling wordt deze informatie slechts gedurende één jaar bewaard.
44 De beperking in de tijd van het recht op toegang tot informatie over de ontvanger of ontvangers van de persoonsgegevens en over de inhoud van de verstrekte gegevens, waar het hoofdgeding op doelt, betreft dus deze tweede categorie gegevens.
45 Om uit te maken of artikel 12, sub a, van de richtlijn een dergelijke beperking in de tijd al dan niet toestaat, moet dit artikel worden uitgelegd in het licht van de strekking ervan gezien tegen de achtergrond van de doelstellingen van de richtlijn.
46 Volgens artikel 1 ervan beoogt de richtlijn in verband met de verwerking van persoonsgegevens de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid hun persoonlijke levenssfeer, te beschermen en zo het vrije verkeer van deze gegevens tussen de lidstaten mogelijk te maken.
47 Het belang van de bescherming van de persoonlijke levenssfeer wordt onder de aandacht gebracht in de punten 2 en 10 van de considerans van de richtlijn en benadrukt in de rechtspraak van het Hof (zie in die zin reeds aangehaalde arresten Österreichischer Rundfunk e.a., punt 70, en Lindqvist, punten 97 en 99, alsmede arresten van 29 januari 2008, Promusicae, C‑275/06, Jurispr. blz. I‑271, punt 63, en 16 december 2008, Satakunnan Markkinapörssi en Satamedia, C‑73/07, nog niet gepubliceerd in de Jurisprudentie, punt 52).
48 Zoals voortvloeit uit punt 25 van de considerans van de richtlijn, moeten voorts de beginselen van deze bescherming enerzijds tot uiting komen in de verplichtingen die aan de personen die de verwerkingen uitvoeren, worden opgelegd, verplichtingen die met name betrekking hebben op de kwaliteit van de gegevens – welke het voorwerp is van artikel 6 van de richtlijn –, en anderzijds in het feit dat aan personen wier gegevens het voorwerp van verwerkingen zijn, het recht wordt verleend om daarvan in kennis te worden gesteld, tot die gegevens toegang te krijgen, de rectificatie ervan te verlangen en zelfs om zich in bepaalde omstandigheden tegen verwerking te verzetten.
49 Dit recht op eerbiediging van de persoonlijke levenssfeer impliceert dat de betrokkene zich ervan kan vergewissen dat zijn persoonsgegevens juist en rechtmatig worden verwerkt, dat wil met name zeggen dat de hem betreffende basisgegevens juist zijn en dat zij worden verstrekt aan gemachtigde ontvangers. Zoals in punt 41 van de considerans van de richtlijn wordt uiteengezet, moet de betrokkene over het recht beschikken om toegang te verkrijgen tot de gegevens die het voorwerp van een verwerking vormen en hemzelf betreffen, zodat hij de nodige controles kan verrichten.
50 In dit verband voorziet artikel 12, sub a, van de richtlijn in een recht op toegang tot de basisgegevens en tot de informatie over de ontvangers of de categorieën ontvangers van die gegevens.
51 Dit recht op toegang is noodzakelijk opdat de betrokkene de in artikel 12, sub b en c, van de richtlijn bedoelde rechten kan uitoefenen, te weten, in het geval dat zijn gegevens niet conform de richtlijn zijn verwerkt, het recht om van de voor de verwerking verantwoordelijke gedaan te krijgen dat deze zijn gegevens rectificeert, uitwist of afschermt (sub b), of derden aan wie de gegevens zijn meegedeeld, van die rectificatie, uitwissing of afscherming in kennis stelt, tenzij zulks onmogelijk blijkt of onevenredig veel moeite kost (sub c).
52 Dit recht op toegang is ook noodzakelijk om de betrokkene de mogelijkheid te bieden tot uitoefening van het in artikel 14 van de richtlijn bedoelde recht om zich tegen de verwerking van zijn persoonsgegevens te verzetten of van het in de artikelen 22 en 23 daarvan neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt.
53 Met betrekking tot het recht op toegang tot informatie over de ontvangers of de categorieën ontvangers van de basisgegevens en over de inhoud van de verstrekte gegevens, preciseert de richtlijn niet of dit recht geldt voor het verleden, en evenmin in voorkomend geval, voor welke periode in het verleden.
54 Dienaangaande zij vastgesteld dat om de nuttige werking van de in de punten 51 en 52 van dit arrest genoemde bepalingen te waarborgen, dit recht noodzakelijkerwijs voor het verleden moet gelden. Anders zou de betrokkene zijn recht om gegevens waarvan hij vermoedt dat zij onrechtmatig of onjuist zijn, te laten rectificeren, uitwissen of afschermen, en om zich met het oog op vergoeding van de geleden schade tot de rechter te wenden, niet doeltreffend kunnen uitoefenen.
55 De vraag rijst hoever dit recht zich in het verleden uitstrekt.
56 Het Hof heeft al geoordeeld dat de bepalingen van de richtlijn betrekkelijk algemeen zijn, aangezien zij voor een groot aantal zeer uiteenlopende situaties moet gelden, en dat de richtlijn regels bevat die door een zekere soepelheid worden gekenmerkt en het in tal van gevallen aan de lidstaten overlaat, de bijzonderheden te regelen of een keuze uit verschillende mogelijkheden te maken (zie arrest Lindqvist, reeds aangehaald, punt 83). Het Hof heeft dus erkend dat de lidstaten bij de uitvoering van de richtlijn in velerlei opzichten over manoeuvreerruimte beschikten (zie arrest Lindqvist, reeds aangehaald, punt 84). Deze manoeuvreerruimte, die met betrekking tot de uitvoering van artikel 12, sub a, van de richtlijn blijkt te bestaan, is evenwel niet onbeperkt.
57 De vaststelling van een termijn in verband met het recht op toegang tot informatie over de ontvangers of de categorieën ontvangers en over de inhoud van de verstrekte gegevens moet de betrokkene in staat stellen om de verschillende bij de richtlijn voorziene en in de punten 51 en 52 van het onderhavige arrest weergegeven rechten uit te oefenen.
58 Zonder daarom doorslaggevend te zijn, kan de bewaringsduur van de basisgegevens een nuttige parameter vormen.
59 De werkingssfeer van de richtlijn is namelijk zeer ruim, zoals het Hof reeds heeft erkend (zie reeds aangehaalde arresten Österreichischer Rundfunk e.a., punt 43, en Lindqvist, punt 88), en de daarin bedoelde persoonsgegevens zijn van uiteenlopende aard. De bewaringsduur van die gegevens, die volgens artikel 6, lid 1, sub e, van de richtlijn afhankelijk is van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, kan dus variëren. Wanneer de bewaringstermijn voor de basisgegevens zeer lang is, kan het belang van de betrokkene om gebruik te maken van de in punt 57 van het onderhavige arrest genoemde mogelijkheden om de voor de verwerking verantwoordelijke in te schakelen en zich tot de rechter te wenden, in een aantal gevallen afnemen. Wanneer bijvoorbeeld dergelijke gegevens aan een groot aantal ontvangers worden verstrekt of zeer frequent aan een kleiner aantal ontvangers worden meegedeeld, kan de verplichting om informatie over de ontvangers of de categorieën ontvangers en over de inhoud van de verstrekte gegevens gedurende een zo lange tijd te bewaren, een buitensporige last vormen voor de voor de verwerking verantwoordelijke.
60 De richtlijn verlangt evenwel niet dat de lidstaten de voor de verwerking verantwoordelijke dergelijke lasten opleggen.
61 Zo wordt in artikel 12, sub c, van de richtlijn een uitdrukkelijk voorbehoud gemaakt bij de verplichting van die verantwoordelijke om derden aan wie de gegevens zijn meegedeeld, in kennis te stellen van elke rectificatie, uitwissing of afscherming, namelijk wanneer zulks onmogelijk blijkt of onevenredig veel moeite kost.
62 Ook volgens andere passages van de richtlijn kan rekening worden gehouden met het onevenredige karakter van een aantal maatregelen. Met betrekking tot de verplichting tot informatieverstrekking aan de betrokkene heet het in punt 40 van de considerans van de richtlijn dat hierbij in aanmerking mag worden genomen om hoeveel betrokkenen het gaat en hoe oud de gegevens zijn. Ingevolge artikel 17 van de richtlijn, dat betrekking heeft op de beveiliging van de verwerking, bepalen de lidstaten verder dat de voor de verwerking verantwoordelijke technische en organisatorische maatregelen ten uitvoer dient te leggen die, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau garanderen gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich brengen.
63 Soortgelijke overwegingen zijn ook relevant wanneer het gaat om de vaststelling van een termijn voor het recht op toegang tot informatie over de ontvangers of de categorieën ontvangers en over de inhoud van de verstrekte gegevens. Behalve de in punt 57 van het onderhavige arrest aangevoerde overwegingen, kunnen de lidstaten dus nog andere parameters in aanmerking nemen, met name de nationaalrechtelijke bepalingen inzake de termijn voor het instellen van een vordering, het meer of minder gevoelige karakter van de basisgegevens, de bewaringsduur van deze gegevens en het aantal betrokken ontvangers.
64 Het staat bijgevolg aan de lidstaten, met betrekking tot informatie over de ontvangers of de categorieën ontvangers en over de inhoud van de verstrekte gegevens, een termijn vast te stellen voor de bewaring daarvan en te voorzien in een toegang daartoe die een juist evenwicht vormen tussen, enerzijds, het belang van de betrokkene bij de bescherming van zijn persoonlijke levenssfeer, met name door uitoefening van het recht op rectificatie, uitwissing en afscherming van de gegevens wanneer die niet conform de richtlijn zijn verwerkt, alsmede van het recht om verzet aan te tekenen en om zich tot de rechter te wenden, en, anderzijds, de last die de verplichting tot bewaring van deze informatie inhoudt voor de voor de verwerking verantwoordelijke.
65 Bij de vaststelling van die termijn moet voorts ook rekening worden gehouden met de uit artikel 6, sub e, van de richtlijn voortvloeiende verplichting om te bepalen dat persoonsgegevens in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is.
66 In het onderhavige geval vormt een regeling waarbij informatie over de ontvangers of de categorieën ontvangers van de gegevens en over de inhoud van de verstrekte gegevens slechts één jaar wordt bewaard en de toegang tot die informatie dienovereenkomstig wordt beperkt, terwijl de basisgegevens veel langer worden bewaard, geen juist evenwicht tussen het belang en de verplichting in kwestie, tenzij wordt aangetoond dat een langere bewaring van deze informatie een buitensporige last zou vormen voor de voor de verwerking verantwoordelijke. Het staat evenwel aan de nationale rechter, in het licht van de in de vorige punten uiteengezette overwegingen de nodige controles te verrichten.
67 Gelet op het voorgaande, kan het argument van een aantal lidstaten niet worden aanvaard dat de toepassing van de artikelen 10 en 11 van de richtlijn de verlening voor het verleden van een recht op toegang tot informatie over de ontvangers of de categorieën ontvangers als bedoeld in artikel 12, sub a, van de richtlijn, overbodig maakt.
68 Vastgesteld zij namelijk dat die artikelen 10 en 11 de voor de verwerking verantwoordelijke of diens vertegenwoordiger verplichtingen opleggen om in een aantal omstandigheden de betrokkene met name informatie te verstrekken over de ontvangers of de categorieën ontvangers van de gegevens. De voor de verwerking verantwoordelijke of diens vertegenwoordiger moet deze informatie eigener beweging aan de betrokkene verstrekken, met name bij de verkrijging van de gegevens of, wanneer de gegevens niet rechtstreeks bij de betrokkene zijn verkregen, op het moment van de registratie van de gegevens of eventueel wanneer deze gegevens aan een derde worden meegedeeld.
69 Deze bepalingen leggen dus andere verplichtingen op dan artikel 12, sub a, van de richtlijn. Bijgevolg beperken zij geenszins de aan de lidstaten opgelegde verplichting om te bepalen dat de voor de verwerking verantwoordelijke gehouden is, de betrokkene toegang te verlenen tot informatie over de ontvangers of de categorieën ontvangers en over de verstrekte gegevens, wanneer deze beslist, het hem krachtens dit artikel 12, sub a, verleende recht op toegang uit te oefenen. De lidstaten moeten maatregelen treffen tot omzetting in nationaal recht van, enerzijds, de bepalingen van de artikelen 10 en 11 van de richtlijn inzake de verplichting tot informatieverstrekking, en, anderzijds, de bepalingen van artikel 12, sub a, van de richtlijn, zonder dat eerstgenoemde bepalingen de uit de laatstgenoemde bepalingen voortvloeiende verplichtingen kunnen afzwakken.
70 Derhalve moet op de gestelde vraag worden geantwoord:
– artikel 12, sub a, van de richtlijn verlangt van de lidstaten dat zij niet alleen voor het heden, maar ook voor het verleden voorzien in een recht op toegang tot informatie over de ontvangers of de categorieën ontvangers van de gegevens en tot de inhoud van de verstrekte informatie. Het staat aan de lidstaten, een termijn voor de bewaring van deze informatie en een daarop afgestemde toegang daartoe vast te stellen die een juist evenwicht vormen tussen, enerzijds, het belang van de betrokkene om zijn persoonlijke levenssfeer te beschermen, met name door middel van de bij de richtlijn voorziene mogelijkheden om de voor de verwerking verantwoordelijke in te schakelen en zich tot de rechter te wenden, en, anderzijds, de last die de verplichting tot bewaring van die informatie inhoudt voor de voor de verwerking verantwoordelijke;
– een regeling waarbij informatie over de ontvangers of de categorieën ontvangers van de gegevens en over de inhoud van de verstrekte gegevens slechts één jaar wordt bewaard en de toegang tot die informatie dienovereenkomstig wordt beperkt, terwijl de basisgegevens veel langer worden bewaard, vormt geen juist evenwicht tussen het belang en de verplichting in kwestie, tenzij wordt aangetoond dat een langere bewaring van deze informatie een buitensporige last zou inhouden voor de voor de verwerking verantwoordelijke. Het staat aan de nationale rechter, de nodige controles te verrichten.
Kosten
71 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof van Justitie (Derde kamer) verklaart voor recht:
Artikel 12, sub a, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, verlangt van de lidstaten dat zij niet alleen voor het heden, maar ook voor het verleden voorzien in een recht op toegang tot informatie over de ontvangers of de categorieën ontvangers van de gegevens en tot de inhoud van de verstrekte informatie. Het staat aan de lidstaten, een termijn voor de bewaring van deze informatie en een daarop afgestemde toegang daartoe vast te stellen die een juist evenwicht vormen tussen, enerzijds, het belang van de betrokkene om zijn persoonlijke levenssfeer te beschermen, met name door middel van de bij richtlijn 95/46 voorziene mogelijkheden om de voor de verwerking verantwoordelijke in te schakelen en zich tot de rechter te wenden, en, anderzijds, de last die de verplichting tot bewaring van die informatie inhoudt voor de voor de verwerking verantwoordelijke.
Een regeling waarbij informatie over de ontvangers of de categorieën ontvangers van de gegevens en over de inhoud van de verstrekte gegevens slechts één jaar wordt bewaard en de toegang tot die informatie dienovereenkomstig wordt beperkt, terwijl de basisgegevens veel langer worden bewaard, vormt geen juist evenwicht tussen het belang en de verplichting in kwestie, tenzij wordt aangetoond dat een langere bewaring van deze informatie een buitensporige last zou inhouden voor de voor de verwerking verantwoordelijke. Het staat aan de nationale rechter, de nodige controles te verrichten.
ondertekeningen