CONCLUSIE VAN ADVOCAAT-GENERAAL
D. RUIZ-JARABO COLOMER
van 22 december 2008 (1)
Zaak C‑553/07
College van burgemeester en wethouders van Rotterdam
tegen
M.E.E. Rijkeboer
[verzoek van de Raad van State (Nederland) om een prejudiciële beslissing]
„Bescherming van gegevens – Grondrechten – Richtlijn 95/46/EG – Recht van toegang tot persoonsgegevens – Vernietiging – Verstrekking aan derden – Termijn voor uitoefening van recht van toegang – Evenredigheidsbeginsel”
I – Inleiding
1. De Raad van State (Nederland) heeft het Hof een prejudiciële vraag gesteld over de uitlegging van de artikelen 6 en 12 van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van hun gegevens en betreffende het vrije verkeer van die gegevens.(2) De prejudiciële verwijzing betreft een delicate aangelegenheid, namelijk de vernietiging van persoonsinformatie in het bezit van een gemeentelijke overheid die aan derden is verstrekt, en het daarmee samenhangende recht van toegang tot de gegevens betreffende de verwerking daarvan.
2. De vernietiging van gegevens strekt in beginsel tot bescherming van de betrokkene. Aan de vernietiging zijn evenwel ook andere gevolgen verbonden, aangezien met de bestanden tevens elk spoor van het daarvan gemaakte gebruik verdwijnt. Aldus wordt degene die schijnbaar werd beschermd, ook benadeeld, aangezien hij nooit zal weten waarvoor de persoon die in het bezit was van zijn persoonsgegevens die gegevens heeft gebruikt.(3)
3. Tegen deze achtergrond moet het Hof uitspraak doen over de vraag of de termijn voor de vernietiging van de gegevens het recht van toegang tot informatie over de verwerking van die gegevens in de tijd beperkt. Als dat zo is, moet worden uitgemaakt of de termijn van één jaar een voldoende en evenredige termijn is om de in richtlijn 95/46 neergelegde rechten te vrijwaren.
II – Feiten
4. Uit de verwijzingsbeslissing blijkt dat Rijkeboer het College van burgemeester en wethouders van Rotterdam (hierna: „College”) had verzocht om op basis van de archieven van de gemeentelijke administratie opgave te doen van alle verstrekkingen van hem betreffende informatie aan derden gedurende de laatste twee jaar. Bij besluiten van 27 en 29 november 2005 wees het College Rijkeboers verzoek gedeeltelijk af, waarbij het hem alleen informatie over het voorafgaande jaar meedeelde. Rijkeboer was het oneens met het besluit van de gemeentelijke overheid en stelde administratief beroep in, dat op 13 februari 2006 eveneens werd verworpen.
5. Na uitputting van de administratieve rechtsmiddelen, wees de Rechtbank Rotterdam het beroep van Rijkeboer toe. Bij uitspraak van 17 november 2006 vernietigde de Rechtbank Rotterdam het administratieve besluit waarbij een aantal verzoeken van betrokkene was afgewezen, en gelastte zij het College een nieuw besluit vast te stellen.
6. Op 28 december 2006 stelde het College hoger beroep in bij de Afdeling bestuursrechtspraak van de Raad van State, die bij beslissing van 5 december 2007 de behandeling van het hoofdgeding heeft geschorst en het Hof een prejudiciële vraag heeft gesteld.
III – Toepasselijke bepalingen
A – Bepalingen van gemeenschapsrecht
7. In artikel 6, leden 1 en 2, EU wordt de verhouding tussen de Unie en de grondrechten vastgelegd in de volgende bewoordingen:
„Artikel 6
„1. De Unie is gegrondvest op de beginselen van vrijheid, democratie, eerbiediging van de rechten van de mens en de fundamentele vrijheden, en van de rechtsstaat, welke beginselen de lidstaten gemeen hebben.
2. De Unie eerbiedigt de grondrechten, zoals die worden gewaarborgd door het op 4 november 1950 te Rome ondertekende Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en zoals zij uit de gemeenschappelijke constitutionele tradities van de lidstaten voortvloeien, als algemene beginselen van het gemeenschapsrecht.
[...]”
8. Het grondrecht op persoonlijke levenssfeer is als algemeen beginsel van gemeenschapsrecht door de wetgever neergelegd in richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens. Deze tekst, waarvan de beginselen zijn overgenomen in artikel 8 van het Handvest van de grondrechten van de Europese Unie, omschrijft het begrip „gegevens” en bepaalt dat die gegevens moeten worden vernietigd wanneer zij gedurende een bepaalde tijd aan verwerking zijn onderworpen. De artikelen 2, sub a, en 6 van deze richtlijn luiden als volgt:
„Artikel 2
a) ‚persoonsgegevens’, iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon [...]; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit;
[...]
Artikel 6
1. De lidstaten bepalen dat de persoonsgegevens:
[...]
e) in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is. De lidstaten voorzien in passende waarborgen voor persoonsgegevens die langer dan hierboven bepaald voor historische, statistische of wetenschappelijke doeleinden worden bewaard.”
9. Om de transparantie van de verwerking te garanderen, voorzien de artikelen 10 en 11 van richtlijn 95/46 in de verplichting tot verstrekking van informatie aan de persoon op wie de gegevens betrekking hebben, die varieert naargelang de gegevens al dan niet bij de betrokkene zijn verkregen. Naast andere verplichtingen heeft de verantwoordelijke voor het bestandsbeheer de volgende taken:
„Artikel 10
Informatieverstrekking in geval van verkrijging van gegevens bij de betrokkene
De lidstaten bepalen dat de voor de verwerking verantwoordelijke of diens vertegenwoordiger aan de betrokkene, bij wie de betrokkene zelf betreffende gegevens worden verkregen, ten minste de hierna volgende informatie moet verstrekken, behalve indien de betrokkene daarvan reeds op de hoogte is:
a) de identiteit van de voor de verwerking verantwoordelijke en, in voorkomend geval, van diens vertegenwoordiger,
b) de doeleinden van de verwerking waarvoor de gegevens zijn bestemd,
c) verdere informatie zoals
- de ontvangers of de categorieën ontvangers van de gegevens;
- antwoord op de vraag of men al dan niet verplicht is om te antwoorden en de eventuele gevolgen van niet-beantwoording,
- het bestaan van een recht op toegang tot zijn eigen persoonsgegevens en op rectificatie van deze gegevens,
voor zover die, met inachtneming van de specifieke omstandigheden waaronder de verdere informatie verkregen wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.
Artikel 11
Informatieverstrekking aan de betrokkene wanneer de gegevens niet bij de betrokkene zijn verkregen
1. De lidstaten bepalen dat wanneer de gegevens niet bij de betrokkene zijn verkregen de voor de verwerking verantwoordelijke of diens vertegenwoordiger, op het moment van registratie van de gegevens of wanneer verstrekking van de gegevens aan een derde wordt overwogen, aan de betrokkene uiterlijk op het moment van de eerste verstrekking van de gegevens ten minste de volgende informatie moet verstrekken, tenzij de betrokkene daarvan reeds op de hoogte is:
a) de identiteit van de voor de verwerking verantwoordelijke en, in voorkomend geval, van diens vertegenwoordiger,
b) de doeleinden van de verwerking,
c) verdere informatie zoals
- de betrokken gegevenscategorieën;
- de ontvangers of de categorieën ontvangers;
- het bestaan van een recht op toegang tot zijn eigen persoonsgegevens en op rectificatie van deze gegevens,
voor zover die, met inachtneming van de specifieke omstandigheden waaronder de verdere informatie verzameld wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.
[...]”
10. De betrokkenen kunnen erop toezien dat de verwerkte hen betreffende gegevens correct worden gebruikt door hun „recht van toegang” uit te oefenen, waarvan de algemene kenmerken worden omschreven in artikel 12 van richtlijn 95/46. Voor de onderhavige zaak is het bepaalde sub a relevant:
„Artikel 12
Recht van toegang
De lidstaten waarborgen elke betrokkene het recht van de voor de verwerking verantwoordelijke te verkrijgen:
a) vrijelijk en zonder beperking, met redelijke tussenpozen en zonder bovenmatige vertraging of kosten:
– uitsluitsel omtrent het al dan niet bestaan van verwerkingen van hem betreffende gegevens, alsmede ten minste informatie over de doeleinden van deze verwerkingen, de categorieën gegevens waarop deze verwerkingen betrekking hebben en de ontvangers of categorieën ontvangers aan wie de gegevens worden verstrekt;
– verstrekking, in begrijpelijke vorm, van de gegevens die zijn verwerkt, alsmede de beschikbare informatie over de oorsprong van de gegevens;
– mededeling van de logica die ten grondslag ligt aan de automatische verwerking van hem betreffende gegevens, in elk geval als het gaat om de geautomatiseerde besluiten als bedoeld in artikel 15, lid 1;
[...]”
11. In de in artikel 13 van richtlijn 95/46 genoemde gevallen kunnen de lidstaten de verplichting tot vernietiging en het recht van toegang beperken:
„Artikel 13
1. De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in artikel 6, lid 1, artikel 10, artikel 11, lid 1, artikel 12 en artikel 21 bedoelde rechten en plichten indien dit noodzakelijk is ter vrijwaring van
a) de veiligheid van de Staat;
b) de landsverdediging;
c) de openbare veiligheid;
d) het voorkomen, het onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van de beroepscodes voor gereglementeerde beroepen;
e) een belangrijk economisch en financieel belang van een lidstaat of van de Europese Unie, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden;
f) een taak op het gebied van controle, inspectie of regelgeving, verbonden, ook al is dit incidenteel, met de uitoefening van het openbaar gezag in de sub c, d en e, bedoelde gevallen;
g) de bescherming van de betrokkene of van de rechten en vrijheden van anderen.
[...]”
B – Bepalingen van nationaal recht
12. Richtlijn 95/46 is in Nederlands recht omgezet bij een algemene wet, namelijk de Wet bescherming persoonsgegevens. In deze prejudiciële procedure is die wet van ondergeschikt belang, aangezien op gemeentelijk niveau een bijzondere wettelijke regeling van toepassing is, te weten de Wet gemeentelijke basisadministratie persoonsgegevens. In artikel 103, lid 1, hiervan zijn de voorwaarden neergelegd waaronder de particulier toegang krijgt tot informatie over de verwerking van hem betreffende gegevens:
„Artikel 103
1. Het College van burgemeester en wethouders deelt aan de betrokkene op diens verzoek schriftelijk binnen vier weken mede of hem betreffende gegevens in het jaar voorafgaande aan het verzoek uit de basisadministratie zijn verstrekt aan een afnemer of een derde.
[...]”
IV – De prejudiciële vraag
13. Op 12 december 2007 werd het door de Raad van State ingediende verzoek om een prejudiciële beslissing ingeschreven in het register van het Hof. De prejudiciële vraag van de Raad van State luidt als volgt:
„Verdraagt de in de wet voorziene beperking van de verstrekking van gegevens tot één jaar, voorafgaande aan het desbetreffende verzoek, zich met artikel 12, aanhef en sub a, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, al dan niet gelezen in verbinding met artikel 6, lid 1, sub e, van deze richtlijn en het evenredigheidsbeginsel?”
14. Het College, de Nederlandse regering, de regering van het Verenigd Koninkrijk, de Griekse, de Tsjechische en de Spaanse regering alsmede de Commissie hebben binnen de in artikel 23 van het Statuut van het Hof van Justitie gestelde termijn schriftelijke opmerkingen ingediend.
15. Ter terechtzitting van 20 november 2008 hebben de wettelijk vertegenwoordigers van het College en van Rijkeboer alsook de gemachtigden van de Nederlandse, de Tsjechische en de Spaanse regering, de regering van het Verenigd Koninkrijk en de Commissie hun standpunt mondeling toegelicht.
V – Afbakening van de aan de orde zijnde vraag
16. Deze zaak doet verschillende vragen van een zekere conceptuele complexiteit rijzen. In wezen wenst de verwijzende rechter te vernemen of er sprake kan zijn van een specifieke termijn voor de vernietiging van informatie betreffende de verwerking van persoonsgegevens. Worden die gegevens op grond van richtlijn 95/46 vernietigd, dan kan het recht van toegang niet langer worden uitgeoefend, aangezien informatie die niet meer bestaat, niet kan worden opgevraagd. Bijgevolg betreft de discussie de beperking van een recht, waarin richtlijn 95/46 ook uitdrukkelijk voorziet. Deze spanning tussen vernietiging en toegang brengt een conflict binnen de genoemde richtlijn aan het licht, waarover het Hof uitspraak moet doen.
17. Uitgemaakt moet dus worden of gegevens betreffende de verwerking onder eenzelfde regeling vallen of kunnen vallen als persoonsgegevens. Verder moet worden onderzocht of de termijn voor vernietiging in elk geval als een beperking van het recht van toegang moet worden aangemerkt. Deze vragen moeten worden beantwoord binnen een enigszins onduidelijke feitelijke en juridische context, nu de Raad van State niet heeft aangegeven of de termijn voor de vernietiging van gegevens betreffende de verwerking gelijk is aan of korter dan die voor de vernietiging van persoonsgegevens. Om de verwijzende rechter een zinvol antwoord te kunnen geven, moeten bijgevolg de beide hypothesen worden onderzocht.
VI – Voorafgaande discussie: afweging van belangen in het licht van de grondrechten van de Unie
A – Het grondrecht op persoonlijke levenssfeer en de communautaire ontwikkeling ervan
18. In overeenstemming met de bepalingen van haar constitutioneel handvest(4) is de Europese Unie gegrondvest op de grondrechten, op de eerbiediging waarvan wordt toegezien door het Hof.(5) Na verschillende decennia van jurisprudentiële ontwikkeling, die begon met de arresten Stauder(6) en Internationale Handelsgeselschaft(7), hebben de lidstaten met de vaststelling van artikel F van de Europese Akte – thans artikel 6 EU – het structurele karakter van die rechten ten volle erkend. In die bepaling heet het dat de Unie de grondrechten eerbiedigt, zoals die worden gewaarborgd door het Europees Verdrag tot bescherming van de rechten van de mens (hierna: „EVRM”)(8) en zoals zij uit de gemeenschappelijke constitutionele tradities van de lidstaten voortvloeien.
19. Het recht op persoonlijke levenssfeer maakt deel uit van die tradities. Sinds het arrest Stauder(9) heeft de rechtspraak de bescherming van de persoonlijke levenssfeer beschouwd als een van de algemene beginselen van het gemeenschapsrecht. Eerst gebeurde dat in het kader van de verplichting tot verstrekking van gegevens als de naam(10) of van medische informatie(11), zowel op nationaal niveau(12) als op gemeenschapsniveau(13). Kort daarna, in de jaren negentig, oordeelde het Hof dat dit recht van toepassing was op het gebied van het privéleven(14) en het gezinsleven(15).
20. In 1995 kwam er een keerpunt met de vaststelling van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van hun gegevens. De desbetreffende rechtspraak van het Hof, die tot dan toe versnipperd en casuïstisch was geweest, kreeg daarmee een solidere grondslag, aangezien de richtlijn voorwerp(16), subjecten(17) en de mogelijke rechtsmiddelen waarover een persoon beschikt wanneer hem betreffende informatie wordt vrijgegeven(18), nauwgezet afbakent. Uit punt 10 van de considerans blijkt dat richtlijn 95/46 een instrument wil zijn ter bescherming van de grondrechten zoals die zijn erkend in het EVRM en in de algemene beginselen van het gemeenschapsrecht.(19) In het arrest Österreichischer Rundfunk oordeelde het Hof dat richtlijn 95/46, hoewel zij beoogt het vrije verkeer van gegevens te waarborgen, ook in belangrijke mate is gericht op de bescherming van de grondrechten.(20)
21. Kortom, richtlijn 95/46 ontwikkelt het grondrecht op persoonlijke levenssfeer voor zover het betrekking heeft op de geautomatiseerde verwerking van persoonsgegevens.(21)
22. Als bewijs van dit streven naar codificatie, volstaat de vaststelling dat artikel 8 van het Handvest van de grondrechten van de Europese Unie(22), dat betrekking heeft op de „bescherming van persoonsgegevens”, voorziet in een recht op persoonlijke levenssfeer en een recht op eerlijke verwerking, en ook het recht erkent op toegang tot de gegevens en op rectificatie daarvan. Hoewel het Handvest met de nodige terughoudendheid moet worden toegepast(23), kan mijns inziens moeilijk worden voorbijgegaan aan de bepalingen ervan en ontkend dat deze elementen van het recht deel uitmaken van de gemeenschappelijke constitutionele tradities van de lidstaten.(24) Dit standpunt wordt bevestigd door het feit dat er sinds de vaststelling van richtlijn 95/46 méér dan tien jaar zijn verstreken, en dat op dit gebied een efficiënte harmonisatie tot stand is gebracht.(25)
23. In het bijzonder ziet artikel 8 van het Handvest op twee aspecten die relevant zijn voor het onderhavige geding. Beide aspecten worden weerspiegeld in de artikelen 6 en 12 van richtlijn 95/46. Het betreft, enerzijds, de verplichting om de gegevens te vernietigen binnen een termijn die niet langer is dan noodzakelijk voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld (artikel 6, lid 1, sub e), en, anderzijds, het recht van toegang, zonder beperking, tot informatie over de ontvangers aan wie de gegevens zijn verstrekt (artikel 12, sub a). Nu deze aspecten in het Handvest zijn opgenomen en daarmee wordt bevestigd dat het essentiële aspecten van het grondrecht op persoonlijke levenssfeer betreft, vereist de prejudiciële vraag van de Raad van State een afweging van de betrokken belangen, zodat een rationeel antwoord kan worden verstrekt dat deze bepalingen in het juiste constitutionele kader plaatst.(26)
24. In het kader van de beschrijving van de wijzen waarop richtlijn 95/46 kan worden uitgelegd, moet, om vast te kunnen stellen welk belang overheerst, eerst worden ingegaan op het teleologische aspect van deze richtlijn.
B – Het grondrecht op persoonlijke levenssfeer en zijn innerlijke spanningen
25. In het onderhavige geding gaat het niet om twee grondrechten, maar om twee zijden van eenzelfde munt. Anders dan in gevallen waar, bijvoorbeeld, het recht op eer en de vrijheid van informatie of het recht op persoonlijke levenssfeer en het eigendomsrecht met elkaar in conflict komen, betreft het hier twee verplichtingen die op de overheid rusten: de verplichting om termijnen vast te stellen voor de vernietiging van bestanden die persoonsgegevens bevatten en de verplichting om de personen op wie de gegevens betrekking hebben, recht van toegang te waarborgen. Dit bijzondere kenmerk onderscheidt het geval van Rijkeboer van andere zaken waarover het Hof uitspraak heeft gedaan, zoals de zaken Lindqvist(27) of Promusicae(28), waar de bescherming van de persoonlijke levenssfeer respectievelijk in botsing kwam met de vrijheid van godsdienst en het eigendomsrecht.(29) Thans gaat het integendeel om één enkel recht met een innerlijk conflict – een recht met twee zielen –, aangezien, zoals ik hierna zal aantonen, net als bij Dr. Jeckyll en Mr. Hyde in zijn binnenste goedheid en kille, berekende wreedheid naast elkaar bestaan.
26. De bewaring van gegevens door de verantwoordelijken voor de verwerking is een taak van beperkte duur, aangezien richtlijn 95/46 bepaalt dat die bewaring niet langer mag duren dan voor de verwezenlijking van de doeleinden waarvoor de gegevens worden verzameld of vervolgens worden verwerkt, noodzakelijk is. Dit is de uitdrukkelijke formulering van artikel 6, dat het aan de lidstaten overlaat om de relevante termijnen vast te stellen naargelang van de sectoren en de doelstellingen die ten grondslag liggen aan de aanmaking en de daaropvolgende vernietiging van de bestanden. Ondanks de flexibiliteit die deze bepaling de nationale rechtsstelsels verleent, biedt artikel 13 van richtlijn 95/46 de mogelijkheid om uitzonderingen op die bepaling in te voeren, daarbij bepalende dat bewaring gedurende langere tijd dan normaal is toegestaan wanneer algemene belangen, zoals de veiligheid van de staat, de strijd tegen criminaliteit of wetenschappelijk onderzoek dat verlangen.
27. In de considerans van richtlijn 95/46 wordt deze omstandigheid niet vermeld en wordt geen bijzonder belang gehecht aan de grenzen voor de bewaring van de gegevens. Bijgevolg hebben alleen de artikelen 6 en 12 betrekking op deze verplichting en, gelet op de ruime beoordelingsmarge die richtlijn 95/46 de lidstaten toekent, was de aandacht van de gemeenschapswetgever mijns inziens niet op dit punt toegespitst, wat duidelijk blijkt wanneer men de regeling hiervan vergelijkt met die van het recht van toegang.(30)
28. De mogelijkheid voor een persoon om de hem betreffende gegevens in te zien en rectificatie, uitwissing of afscherming ervan te vragen, vormt een van de wezenlijke aspecten van richtlijn 95/46. De punten 38 en 40 van de considerans illustreren deze opvatting, niet alleen omdat daarin het belang van het recht van toegang wordt bevestigd, maar ook wegens het verband dat wordt verondersteld tussen de informatie waarover de persoon op wie de gegevens betrekking hebben, beschikt en de verwerking daarvan. Opdat de in artikel 12 neergelegde rechten daadwerkelijk zouden kunnen worden uitgeoefend, moet namelijk rekening worden gehouden met een aantal grondbeginselen, zoniet zouden de door die bepaling geboden garanties worden uitgehold. In punt 41 van de considerans wordt dit zeer helder tot uitdrukking gebracht, voor zover daarin wordt vastgesteld dat „eenieder over het recht moet kunnen beschikken toegang te verkrijgen tot de gegevens die het voorwerp van een verwerking vormen en hemzelf betreffen, zodat hij zich van de juistheid en de rechtmatigheid van de verwerking ervan kan vergewissen”. (31) Op dit punt krijgen de „beginselen betreffende de kwaliteit van de gegevens” van hoofdstuk II, afdeling I, van richtlijn 95/46, hun volle betekenis. Eén van deze beginselen betreft de verplichting om de gegevens „niet langer [te bewaren] dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is”. De verplichting om de bestanden te vernietigen hangt samen met de verplichting om de informatie „eerlijk en rechtmatig” te verwerken, en met die om de kwaliteit ervan te waarborgen, zodat de informatie toereikend, ter zake dienend, niet bovenmatig en nauwkeurig is.(32)
C – Ondergeschiktheid van artikel 6 aan artikel 12 van richtlijn 95/46
29. Ik ben mij ervan bewust dat het moeilijk is om te bepalen welk van de artikelen 6 en 12 van richtlijn 95/46 voorrang heeft boven het andere. Er zijn sterke argumenten om de vernietiging van gegevens te beschouwen als de hoeksteen van het bij richtlijn 95/46 ingevoerde stelsel, op grond waarvan een recht van toegang wordt verleend dat de betrokkenen toestaat erop toe te zien dat de verplichting tot het uitwissen van de informatie wordt nagekomen. Zo ook is in artikel 12 het recht op bescherming neergelegd, aangezien de toegang de werkelijke subjectieve dimensie van de richtlijn vormt, die, alles bij elkaar genomen, het individu toestaat te reageren ter verdediging van zijn belangen.
30. In deze context kan ik niet nalaten het oude dilemma van de kip en het ei in herinnering te brengen. Welk van beide was er het eerst? Kan men eeuwigdurend met die vraag leven in het besef dat het antwoord zal uitblijven, nu het bij de twee begrippen om eeuwige werkelijkheden gaat, zoals Aristoteles schreef?(33)
31. Anders dan de filosoof, genieten de rechterlijke instanties geen vrijheid van gedachte en moeten zij proberen een antwoord te formuleren, ook indien dat niet altijd het meest gepaste is. Net zoals er wetenschappers zijn die een standpunt hebben ingenomen over de eeuwige controverse rond de kip en het ei(34), neem ik mij bijgevolg voor een oplossing voor te stellen voor het conflict tussen de artikelen 6 en 12 van richtlijn 95/46.
32. Aan de in de punten 29 tot en met 35 van deze conclusie uiteengezette argumenten verbind ik de conclusie dat in richtlijn 95/46 de verplichting tot vernietiging ondergeschikt is aan het recht van toegang. De betrokken bepalingen verlenen een recht dat ontstaat wanneer het bestand wordt aangemaakt en uitdooft bij de vernietiging van dat bestand. Bijgevolg is de uitwissing van de gegevens slechts één moment in het bestaan van het recht van toegang; dit kenmerk is een voorwaarde voor artikel 12 en rechtvaardigt het artikel.
33. Wanneer men deze gedachtegang doortrekt, kom men tot de overtuiging dat het recht van toegang beoogt de persoon op wie de gegevens betrekking hebben, in staat te stellen te weten te komen welke informatie over hem bekend is. Deze overtuiging wordt nog versterkt wanneer men zich afvraagt wat het doel van het onderzoek van die persoon is. In veel gevallen wil de houder van het recht van toegang de rechtmatigheid van de verwerking van de hem betreffende gegevens nagaan. Richtlijn 95/46 onderwerpt de verantwoordelijken voor de verwerking bij de uitoefening van hun werkzaamheden aan een aantal beginselen, maar voorziet ook in beschermingsmechanismen, waaronder het recht van toegang, als een instrument voor de persoon op wie de gegevens betrekking hebben om toe te zien op de eerbiediging van de voorschriften en om die eerbiediging af te dwingen.
34. Als hoeksteen van het stelsel van waarborgen waarin richtlijn 95/46 voorziet, zou artikel 12 zodoende logica missen, wanneer zij die in het bezit zijn van gegevens over anderen, aan geen enkele regel zouden zijn onderworpen. Zoals de Commissie ter terechtzitting op goede gronden heeft uiteengezet, is het precies omdat er beginselen voor gegevensverwerking bestaan (artikel 6), dat er ook sprake is van een recht van toegang.(35) Het recht van toegang vormt een centrale pijler van deze richtlijn, wat wordt bevestigd in artikel 12 ervan, dat de nadruk legt op het aspect „zonder beperking”.(36) Gelet op de beschermende werking van richtlijn 95/46, waarbij alle aandacht gaat naar de bescherming van de personen op wie de gegevens betrekking hebben, is het voor de hand liggend dat de verplichting tot bewaring ondergeschikt is aan het recht van toegang. Haar sterk subjectieve dimensie en haar doel om grondrechten te beschermen (in dit geval, het recht op persoonlijke levenssfeer) schragen deze zienswijze en plaatsen de aan artikel 6 ten grondslag liggende belangen op een lager normatief niveau.
35. Dit argument wordt bevestigd door de structuur van artikel 8 van het Handvest van de grondrechten van de Europese Unie, waarvan de hermeneutische waarde buiten twijfel staat(37) en waarin het recht van toegang is opgenomen in lid 1. Vervolgens worden in lid 2 de beginselen genoemd die gelden voor de verwerking, maar in een zodanige hiërarchische orde, dat het recht van de persoon op wie de gegevens betrekking hebben, voorrang heeft op de verantwoordelijkheden van de gebruikers van die gegevens.
36. Het is vanuit deze premisse dat ik de vraag van de Raad van State onderzoek en ik vestig daarbij de aandacht van het Hof op de subjectieve dimensie van richtlijn 95/46, waarin artikel 12 van bijzonder belang is in vergelijking met artikel 6.
VII – Persoonsgegevens en gegevens betreffende de verwerking
37. Zoals ik in de punten 16 en 17 van deze conclusie heb uiteengezet, dienen twee hypothesen – waarvan de toepassing afhangt van de omstandigheden van elk geval – afzonderlijk te worden onderzocht. Daarbij moet de rechtmatigheid van de termijn worden nagegaan, enerzijds, wanneer die korter is dan die waarin voor de hoofdgegevens is voorzien, en anderzijds, wanneer de termijn voor toegang tot de gegevens betreffende de verwerking overeenkomt met die voor toegang tot de hoofdgegevens. In het eerste geval moet worden uitgemaakt of die verschillende regelingen voor toegang, naargelang van het type van gegevens dat wordt opgevraagd, verenigbaar zijn met de richtlijn. In het tweede geval rijst de moeilijkheid om uit te maken of toegang mogelijk is na vernietiging.
38. Om de vraag van de Raad van State accuraat te beantwoorden, moet eerst worden nagegaan of de termijnen voor vernietiging gelijkelijk moeten worden toegepast op alle gegevens, met inbegrip van de gegevens betreffende de verwerking, dan wel of zij kunnen verschillen naargelang van het type van persoonsinformatie. Er is een wezenlijk verschil dat voortvloeit uit de doelen die met elk type van informatie worden nagestreefd.
39. De Griekse regering heeft, net als de Tsjechische regering ter terechtzitting, erop gewezen dat elk type van gegevens verschillende doelen dient. Hierna moet worden ingegaan op de voordelen en de nadelen van deze redenering, alsook op de gevolgen ervan voor de onderhavige zaak.
40. De vernietiging van persoonsgegevens strekt tot bescherming van de betrokkene, aangezien met de uitwissing van de informatie elk risico op onrechtmatige verwerking verdwijnt. Dat in artikel 6 van richtlijn 95/46 geen termijn is bepaald, is in zekere zin logisch, omdat elk bestand eigen doelen dient en de nationale wetgever overeenkomstig het subsidiariteitsbeginsel zelf het best in staat is om te beslissen over hoeveel tijd de verantwoordelijken voor de verwerking beschikken alvorens tot vernietiging te moeten overgaan. De uitwissing van de gegevens betreffende de verwerking dient evenwel andere doelen, aangezien daarmee niet de persoon op wie de gegevens betrekking hebben, wordt beschermd – die verliest namelijk elk spoor van de informatie, zonder dat hij zijn recht van toegang kan uitoefenen, omdat de betrokken gegevens niet meer in het bezit van de verantwoordelijke voor de verwerking zijn –, maar de derden die de gegevens hebben ontvangen, wier identiteit en bedoelingen worden uitgeveegd.
41. Deze benadering brengt de onderliggende conceptuele moeilijkheden in deze zaak aan het licht. Het is juist dat onderscheid kan worden gemaakt tussen uitwissing van de persoonsgegevens en uitwissing van de gegevens betreffende de verwerking.(38) Het gaat om verschillende rechtsgoederen en autonome functies die door richtlijn 95/46 afzonderlijk worden geregeld. Maar die redenering, wanneer zij tot het uiterste wordt doorgetrokken, heeft ongewenste gevolgen. In de eerste plaats blijkt het verschil niet uit de bewoordingen van richtlijn 95/46, aangezien artikel 6 ziet op de vernietiging van de persoonsgegevens in het algemeen, terwijl artikel 12 weliswaar verschillende types informatie noemt, maar dat doet om inhoud te geven aan het recht van toegang, niet om te differentiëren.(39) In de tweede plaats is het recht van toegang aldus opgevat dat het „zonder beperking” moet kunnen worden uitgeoefend; het moet dus ruim worden uitgelegd. Zoals ik verderop uiteenzet, kan de mate waarin dit recht moet worden beschermd, worden bepaald naargelang van de omstandigheden, maar volgens de formulering van artikel 12 kan er geen sprake zijn van rechten van toegang van eerste klasse en rechten van toegang van tweede klasse. In de derde plaats vormen beide types van gegevens, zoals de Commissie, het Koninkrijk Spanje en het Verenigd Koninkrijk ter terechtzitting hebben opgemerkt, een technologische eenheid, worden zij gewoonlijk in dezelfde bestanden opgeslagen en brengt hun gezamenlijke beheer geen bijzonder zware last mee voor de verantwoordelijken voor de verwerking.
42. Ik verwerp dan ook de theorie dat de gegevens betreffende de verwerking een eigen leven leiden en een eigen rechtsregeling kennen. Deze informatie heeft betrekking op de persoonsgegevens die worden verwerkt, voor zover daaruit blijkt hoe en onder welke voorwaarden met die persoonsgegevens is omgesprongen. Dat brengt mij ertoe het standpunt te verdedigen dat dergelijke gegevens integraal onder de communautaire definitie van de „persoonsgegevens” in de zin van artikel 2, sub a, van richtlijn 95/46 vallen. Om voor de verwijzende rechter zinvol te kunnen zijn, moet deze stelling worden genuanceerd in het licht van de twee gevallen die ik in de punten 16 en 17 van deze conclusie uiteenzet.
VIII – Eerste geval: een kortere termijn voor de vernietiging van de gegevens betreffende de verwerking
43. De vraag van de Raad van State lijkt betrekking te hebben op het volgende geval: de Nederlandse wettelijke regeling voorziet in langdurige bewaring van de persoonsgegevens, maar schrijft voor de vernietiging van de gegevens betreffende de verwerking een kortere termijn van één jaar voor. In de verwijzingsbeslissing worden echter geen bijzonderheden verstrekt over de in het hoofdgeding aan de orde zijnde gegevens; in het licht van het genoemde geval geef ik dan ook het navolgende eerste antwoord in overweging.
44. Om de in de punten 37 en 42 van deze conclusie uiteengezette redenen, ben ik van mening dat in richtlijn 95/46 geen onderscheid wordt gemaakt tussen persoonsgegevens en gegevens betreffende de verwerking daarvan. Gelet op de opslagmoeilijkheden die een dergelijke benadering zou meebrengen, is mijns inziens de termijn voor vernietiging van artikel 6 van richtlijn 95/46 dan ook dezelfde voor de beide types van gegevens. Hoewel het doel van de vernietiging verschilt naargelang van het type van gegevens, kan ik mij moeilijk voorstellen dat er verschillende regelingen bestaan die op een zo kunstmatige scheiding berusten, temeer daar er een grondrecht in het geding is.
45. Zoals ik heb uiteengezet in de punten 29 tot en met 35 van deze conclusie, kent de richtlijn voorrang toe aan het recht van toegang; de verplichtingen tot vernietiging zijn daaraan ondergeschikt. Gelet hierop, genieten zowel de persoonsgegevens als de gegevens betreffende de verwerking een betere bescherming, wanneer zij even lang worden bewaard.
46. Soms worden persoonsgegevens langdurig opgeslagen, maar dat moet worden gerechtvaardigd door het algemeen belang, op grond waarvan ook de gegevens betreffende de verwerking langer kunnen worden bewaard. Wanneer de bestanden buitengewoon lang worden bewaard voor historisch, statistisch of wetenschappelijk gebruik, verlangt richtlijn 95/46 van de lidstaten dat zij specifieke maatregelen treffen waarbij het gebruik van die bestanden wordt afgestemd op de omstandigheden die de langdurige bewaring ervan rechtvaardigen.(40) Bijgevolg moeten andere maatregelen worden genomen die de bescherming garanderen van de persoon op wie de gegevens betrekking hebben, met dien verstande dat die maatregelen aangepast moeten zijn aan het gebruik van de gegevens voor historische of culturele doeleinden in de zin van artikel 6, lid 1, sub e, van richtlijn 95/46.
47. Zoals het College in zijn schriftelijke opmerkingen heeft verklaard en ter terechtzitting heeft bevestigd, bestaan er andere beperkingen op deze verplichting tot opslag van de gegevens betreffende de verwerking gedurende dezelfde termijn als de persoonsgegevens. Het voorbeeld dat het College geeft, lijkt mij overtuigend. Het heeft betrekking op de bescherming van informatie betreffende derden, die zelf door richtlijn 95/46 worden beschermd, wat evenwel niet betekent dat de persoon over wie informatie is verstrekt, alle bescherming moet worden ontzegd. Deze voorwaarde impliceert, uitsluitend wat de persoonsgegevens van de ontvanger betreft, dat de persoon op wie de gegevens betrekking hebben aan dezelfde beperkingen is onderworpen als iedere andere ontvanger in de zin van richtlijn 95/46.
48. Zou voor persoonsgegevens en gegevens betreffende de verwerking dezelfde vernietigingstermijn gelden, dan zou dus niet moeten worden nagegaan of de termijn van één jaar waarin de Nederlandse wettelijke regeling voorziet, een evenredige termijn is. Indien de bewaringstermijn voor persoonsgegevens langer is dan die voor gegevens betreffende de verwerking, zou het antwoord op de prejudiciële vraag in dit stadium kunnen worden gegeven.
49. Zou de normatieve context van de zaak anders zijn, dan zou ook het antwoord op de prejudiciële vraag verschillen, voor zover de termijnen zouden overeenkomen en de persoon op wie de gegevens betrekking hebben, toegang zou verlangen tot reeds vernietigde informatie.
IX – Tweede geval: dezelfde vernietigingstermijn voor beide types van gegevens
A – Letterlijke formulering van artikel 12 van richtlijn 95/46
50. Het Koninkrijk Spanje, de Tsjechische Republiek en Nederland betogen dat in artikel 12 een verband wordt gelegd tussen het recht van toegang en de bij artikel 6 voorgeschreven vernietiging; zij baseren zich daarbij op de bewoordingen van artikel 12, sub a, tweede streepje. Deze bepaling verlangt dat de lidstaten het recht waarborgen om van de voor de verwerking verantwoordelijke „verstrekking, in begrijpelijke vorm, [te verkrijgen] van de gegevens die zijn verwerkt, alsmede de beschikbare informatie over de oorsprong van de gegevens”. Volgens die lidstaten volgt uit deze formulering dat richtlijn 95/46 het recht van toegang beperkt tot informatie die wordt verwerkt op het ogenblik dat om toegang wordt verzocht, zodat verzoeken om toegang die worden ingediend nadat de verwerking is afgerond, dat wil zeggen, na de vernietiging van de gegevens, zijn uitgesloten. Deze uitlegging zou worden bevestigd door de vergelijking van de verschillende taalversies, die variëren qua intensiteit waarmee zij refereren aan de tijdelijke en het vaste karakter van het recht.
51. Dit argument kan niet overtuigen, nu de Engelse versie weliswaar refereert aan gegevens „undergoing processing”(41), maar de Spaanse versie dubbelzinniger is. Ik erken dat een enge uitlegging van die bewoordingen beter in overeenstemming zou zijn met de in artikel 6 neergelegde vernietigingsverplichting. Mijns inziens is de vergelijking van de taalversies evenwel niet beslissend, temeer daar er gronden zijn, die ik verderop uiteenzet, om de grammaticale formulering van artikel 12 buiten beschouwing te laten.(42)
52. Ook de zienswijze van het Koninkrijk Spanje deel ik niet, namelijk dat behalve de uitzonderingen waarin artikel 13 van richtlijn 95/46 voorziet, aan artikel 12 nog een andere uitzondering moet worden toegevoegd.(43) De Spaanse regering erkent dat de toegang beperkt blijft tot de gegevens die in verwerking zijn en betoogt vervolgens dat bovenop de beperkingen van artikel 13, nog een andere – stilzwijgende – beperking komt, waarvan de strekking voortvloeit uit de in artikel 6 van richtlijn 95/46 bedoelde verplichting. Dat betoog overtuigt mij niet en schraagt in aanzienlijke mate de stelling die de Spaanse regering net wil weerleggen: voor zover in artikel 13 een aantal uitzonderingen op een ruim recht van toegang zijn neergelegd, moeten die uitzonderingen eng worden uitgelegd. Nu een ruime uitlegging van deze beperkingen niet kan worden toegestaan, zou de invoering van nieuwe categorieën nog minder aanvaardbaar zijn.
53. Samenvattend ben ik op grond van de bewoordingen van de bepalingen van de richtlijn geneigd een beperkende opvatting van het recht van toegang af te wijzen. Dergelijke argumenten leiden niet tot een unitaire opvatting van de termijn, aangezien conform de interne hiërarchie van richtlijn 95/46 het recht van toegang voorrang heeft boven de verplichting tot vernietiging. De vernietiging van het bestand vormt dus een beperking van de toegang, die slechts rechtmatig is wanneer bepaalde waarborgen worden geboden. Dit wil zeggen dat de uitoefening van het recht van toegang aan voorwaarden kan worden onderworpen (bijvoorbeeld door de vaststelling van een termijn), mits de persoon op wie de gegevens betrekking hebben, anderszins wordt beschermd. Zoniet zou er sprake zijn van vernietigingstermijnen die onrechtmatig zijn, omdat zij het recht van toegang belemmeren, wat niet betekent dat onderscheid moet worden gemaakt tussen types van informatie, noch dat de verantwoordelijken moeten worden verplicht de gegevens betreffende de verwerking eeuwig te bewaren. Dit betekent integendeel dat de termijn voor de vernietiging van de gegevens moet worden verlengd, zodat de toegang is gewaarborgd.
54. Bijgevolg stel ik mij op het standpunt dat de termijn voor vernietiging ook een beperking van het in artikel 12 van richtlijn 95/46 neergelegde recht vormt. Die termijn kan evenwel in strijd zijn met de richtlijn wanneer hij de met die bepaling nagestreefde doelen buitensporig bemoeilijkt.
B – Een uitzondering op de regel: informatieverstrekking aan de betrokkene
55. Om de uiteengezette redenen ben ik van mening dat de termijn voor de vernietiging van de gegevens de uitoefening van het recht van toegang afremt, hoewel in bepaalde omstandigheden een discrepantie bestaat tussen de termijnen voor vernietiging en die voor toegang. Daarmee bedoel ik dat de termijn voor vernietiging mogelijk evenredig, en die voor de toegang onevenredig is, of omgekeerd. Ik ben mij bewust van de praktische problemen die deze zienswijze meebrengt, maar een soortgelijk gevolg kan zich voordoen in een zeer specifieke situatie, wanneer de betrokkene onvoldoende is voorgelicht over zijn rechten.
56. Dat gevolg doet zich voor, wanneer, zoals de Griekse regering en de Commissie betogen, wordt vastgesteld dat te weinig informatie is verstrekt aan de persoon op wie de gegevens betrekking hebben. Duidelijkheidshalve herinner ik eraan dat de artikelen 10 en 11 van richtlijn 95/46 in de verplichting voorzien om de betrokkene een aantal inlichtingen te verstrekken – waaronder informatie over de verstrekking van gegevens aan derden – en/of hem de toestemming voor bepaalde handelingen te vragen. Deze verplichting is vaag geformuleerd, waarbij de lidstaten een ruime handelingsvrijheid wordt gelaten. Het antwoord in een zaak als de onderhavige hangt af van de wijze waarop deze verplichtingen in de nationale rechtsorden zijn vastgelegd. Niets belet dat een persoon die voorafgaand aan de verstrekking van hem betreffende gegevens aan derden, niet is geïnformeerd over de identiteit van de ontvanger of de termijnen voor uitoefening van het recht van toegang, een hoger niveau van bescherming wordt geboden.(44) Deze gevolgtrekking strookt met de voorrang die richtlijn 95/46 toekent aan het subjectieve recht van de persoon op wie de gegevens betrekking hebben, waarvan de beperking op een zodanige wijze moet plaatsvinden, dat de uitoefening van het recht gewaarborgd blijft, ook wanneer de gegevens zijn vernietigd.
57. In sommige gevallen leidt de toepassing van deze theorie tot een uitspraak die niet ten uitvoer kan worden gelegd. Wanneer het College alle gegevens ouder dan één jaar van Rijkeboer ambtshalve heeft vernietigd, zou de betrokkene zijn vordering wel eens tevergeefs kunnen hebben ingesteld. Het ligt voor de hand dat de stad Rotterdam niet kan geven wat zij niet meer heeft. Dit probleem geldt mogelijk ook voor andere nationale regelingen, zij het slechts in de tijdsspanne die nodig is om de met het gemeenschapsrecht strijdige regeling aan te passen. In afwachting daarvan staat voor de betrokkene evenwel een andere mogelijkheid open, namelijk instelling van een aansprakelijkheidsvordering tegen de staat wegens niet-nakoming van de gemeenschapsrechtelijke plichten. Bij ontbreken van een tenuitvoerlegging die het individu volledige genoegdoening geeft, voorzien deze regels ten minste in een geldelijke vergoeding, bij de vaststelling waarvan de nationale rechters zijn betrokken.(45)
58. Alles bij elkaar genomen, moet deze zaak worden beslecht – om het met een Amerikaanse uitdrukking te zeggen – met een hard look op de evenredigheid(46), wanneer de Raad van State vaststelt dat in het hoofdgeding ontoereikende informatie is verstrekt. In dergelijke gevallen is het van wezenlijk belang dat de termijn voor vernietiging niet automatisch de uitoefening van het recht van toegang belemmert. De toetsing van de evenredigheid moet op het hoogste beschermingsniveau worden verricht, waarbij een zo korte termijn van één jaar bezwaarlijk kan worden aanvaard.
59. In die omstandigheden, sluit ik mij aan bij het standpunt van degenen die vernietiging en toegang beschouwen als twee aspecten van één enkele werkelijkheid, waarvoor bijgevolg dezelfde termijnen moeten gelden. De in artikel 6 van richtlijn 95/46 bedoelde vernietiging ziet op alle informatie, ook informatie over verstrekkingen aan derden. Bijgevolg werkt de termijn voor de vernietiging indirect ook als een termijn gedurende dewelke het recht van toegang kan worden uitgeoefend. Wanneer met het oog op de toegang onderscheid wordt gemaakt tussen verschillende types van gegevens, wordt een onderscheid gemaakt dat richtlijn 95/46 niet kent, en waarvan het praktische nut overigens niet duidelijk is.(47)
60. Uitzonderingen zijn mogelijk wanneer bij de kennisgeving aan de betrokkene van zijn rechten te weinig transparantie in acht wordt genomen. In dergelijke gevallen moet de termijn voor de vernietiging van de gegevens worden verlengd, zodat het recht van toegang wordt gevrijwaard.
C – De termijn van één jaar en het evenredigheidsbeginsel
61. Nederland kent een bijzondere regeling voor de verwerking van persoonsgegevens door de gemeenten, waarbij, met betrekking tot de thans aan de orde zijnde zaak, de aandacht moet worden gevestigd op de algemene termijn van één jaar voor de vernietiging van de gegevens. Ik heb al uiteengezet waarom die termijn zowel in het licht van artikel 6 als dat van artikel 12 van richtlijn 95/46 moet worden beoordeeld. Thans moet worden uitgemaakt of die termijn verenigbaar is met het evenredigheidsbeginsel, waarvan de toepasselijkheid een voorwaarde is van de artikelen 6 en 12, aangezien beide inhoud geven aan een grondrecht.
62. De regering van het Verenigd Koninkrijk en de Spaanse en de Tsjechische regering hebben al hun inspanningen toegespitst op de rechtvaardiging van de moeilijkheden om het recht van toegang te waarborgen wanneer de gegevens zijn uitgewist. Zij hebben bijgevolg niet veel aandacht besteed aan de aan de orde zijnde termijn. De Griekse regering en het College gaan in hun opmerkingen daarentegen wél in op de implicaties van de Nederlandse termijn in het licht van richtlijn 95/46 en het evenredigheidsbeginsel. Volgens de Griekse regering en de Commissie is die termijn te kort en dus onverenigbaar met het gemeenschapsrecht. Het College is van mening dat de termijn rechtmatig is, en beroept zich daarbij op de specificiteit van de Nederlandse regeling, die de kortheid van de termijn compenseert met andere maatregelen ter bescherming van de persoon op wie de gegevens betrekking hebben.
63. In het kader van het onderzoek van de evenredigheid van de nationale termijn, moeten eerst enkele richtsnoeren worden aangereikt, aangezien het Hof soortgelijke termijnen al in andere zaken heeft getoetst. Uit de rechtspraak blijkt dat de benadering varieert volgens de context van elke zaak, waarbij een meer of minder grondige toetsing wordt verricht naargelang van de omstandigheden.(48) Wanneer er sprake is van een eventuele aantasting van grondrechten, moet de termijn voor de uitoefening van die rechten nauwgezet worden onderzocht.(49) Het te verrichten onderzoek hangt evenwel van verschillende factoren af.
64. Zoals ik in de punten 55 tot en met 60 van deze conclusie heb uiteengezet, moet worden nagegaan in hoeverre de persoon op wie de gegevens betrekking hebben, informatie heeft ontvangen tijdens de verwerking daarvan; daarbij kunnen de volgende criteria worden aangereikt.
65. Overeenkomstig de artikelen 10 en 11 van de richtlijn heeft de betrokkene het recht te worden geïnformeerd over een aantal aspecten, met name de identiteit van „de ontvangers of de categorieën ontvangers van de gegevens [...], voor zover die, met inachtneming van de specifieke omstandigheden waaronder de verdere informatie verkregen wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen”. In de twee bepalingen wordt onderscheid gemaakt tussen gegevens die bij de betrokkene zelf zijn verkregen en gegevens met een andere oorsprong; in beide gevallen moet evenwel informatie worden gegeven over de verstrekking van gegevens aan derden.
66. De nationale wetgever beschikt over een ruime marge bij de uitvoering van de bij de artikelen 10 en 11 opgelegde verplichting, maar deze bepalingen beogen de betrokkene in kennis te stellen van het feit dat hem betreffende gegevens aan derden zijn doorgegeven, en hem de mogelijkheid te bieden om, zou hij dat wensen, informatie op te vragen over de verwerking van die gegevens en erover te waken dat die verwerking conform de beginselen van artikel 6 van richtlijn 95/46 gebeurt. De informatie die wordt verstrekt, verschilt echter naargelang van de context, en het staat aan de verwijzende rechter om na te gaan of de Nederlandse regeling en de overeenkomstige gemeentelijke praktijk in overeenstemming zijn met de artikelen 10 en 11. Nagegaan moet worden of Rijkeboer in kennis is gesteld van verstrekkingen aan derden en of hem is meegedeeld dat hij over een termijn van één jaar beschikte om zijn recht van toegang uit te oefenen. De lidstaten zijn niet verplicht die termijn mee te delen, aangezien de artikelen 10 en 11 daarin niet voorzien.(50) Bij de beoordeling van de duur van die termijn is het evenwel van groot belang dat wordt nagegaan of de betrokken persoon daarvan op de hoogte is gebracht. Anders valt moeilijk aan te nemen dat een zo korte termijn van één jaar, zonder nadere toelichtingen van de verantwoordelijke voor de verwerking, verenigbaar is met het evenredigheidsbeginsel, en dus met richtlijn 95/46.
67. Verder komt bijzondere betekenis toe aan het type van informatie dat wordt meegedeeld, aangezien de gegevens die moeten worden verstrekt, zoals blijkt uit de richtlijn, onder meer betrekking kunnen hebben op de identiteit van de ontvangers, maar ook op de „categorieën ontvangers”. In laatstbedoeld geval blijkt uit de verstrekte overzichten niet altijd wie precies toegang tot de bestanden heeft gekregen, wat in het kader van de uitoefening van het recht van toegang een nadelige situatie is voor de betrokkene. Het staat aan de nationale rechter om uit te maken in hoeverre Rijkeboer is meegedeeld aan wie hem betreffende gegevens zijn verstrekt en volgens welke parameters dat is gebeurd. In het kader van dit onderzoek moet de termijn nadrukkelijker worden getoetst wanneer de identiteit van de derden niet is vrijgegeven, aangezien de persoon op wie de gegevens betrekking hebben, zich dan wellicht afvraagt of de verwerking in overeenstemming met de beginselen van artikel 6 heeft plaatsgevonden.
68. Ten slotte moeten enkele regels inzake bewijslast worden vastgesteld. Als drager van een grondrecht was Rijkeboer genoodzaakt een procedure in rechte aan te spannen om te kunnen nagaan op welke wijze zijn gegevens werden verwerkt.(51) De verenigbaarheid met richtlijn 95/46 hangt af van een aantal factoren, die inherent zijn aan het nationale recht en aan de praktijk van de gemeentelijke overheid. Met een beroep op zijn grondrecht heeft Rijkeboer een zaak in rechte aangespannen, maar hij zou niet verplicht moeten zijn de gebreken van de desbetreffende regeling van zijn lidstaat aan te tonen, aangezien de bewoordingen van richtlijn 95/46, in overeenstemming met hetgeen ik uiteenzet in de punten 29 tot en met 35 van deze conclusie, doen vermoeden dat het recht van toegang voorrang geniet en elke uitzondering daarop met grote behoedzaamheid moet worden beoordeeld. Aangezien de subjectieve dimensie van de gemeenschapsbepalingen inzake gegevensbescherming primeert, staat het aan de verantwoordelijke voor de verwerking van de gegevens aan te tonen dat het rechtskader van en de geldende praktijk voor de verwerking waarborgen bieden die een zo korte termijn van één jaar ter uitoefening van het in artikel 12 van richtlijn 95/46 bedoelde recht rechtvaardigen.
69. In zijn in deze prejudiciële procedure ingediende opmerkingen heeft het College daarover een aantal aanwijzingen verstrekt. De nationale wettelijke regeling voert, zoals het College het uitdrukt, een systeem van „checks and balances” in, dat aan het recht van toegang een aantal beschermende maatregelen koppelt, zoals beperkingen wat de ontvangers betreft, een verband, in sommige gevallen, met welbepaalde doeleinden, de voorafgaande toestemming van de betrokkene of een mechanisme voor toezicht door een onafhankelijke instantie. Het College betoogt voorts dat de betrokkene op de hoogte wordt gebracht van de termijn van één jaar, zulks zowel individueel als collectief (via internet en folders die ter beschikking worden gesteld van de bevolking).(52)
70. Ik ben mij bewust van de mogelijke repercussies van deze zaak voor degenen die verantwoordelijk zijn voor bestanden die binnen de werkingssfeer van richtlijn 95/46 vallen. Het doorslaggevende belang van de bescherming van het individu brengt mij evenwel tot de conclusie dat een efficiënt bestandsbeheer zich moet verdragen met het beginsel van de bescherming van de rechten. Bijgevolg moeten de artikelen 6 en 12 van richtlijn 95/46 aldus worden uitgelegd dat zij zich verzetten tegen de termijn van één jaar om het recht van toegang tot de gegevens betreffende de verwerking uit te oefenen, voor zover:
– aan de betrokkene niet is meegedeeld dat hem betreffende gegevens aan derden zijn verstrekt; of
– wanneer hem dat wél is meegedeeld, hij niet in kennis is gesteld van de duur van de termijn; of
– wanneer hem dat wél is meegedeeld, hem niet voldoende informatie over de identiteit van de ontvangers is verstrekt.
71. Aangezien een grondrecht aan de orde is, moet het College aantonen dat de nationale bepalingen en de administratieve praktijk een passend niveau van informatieverstrekking aan de betrokkene waarborgen dat hem in staat stelt om zijn recht van toegang zonder beperking uit te oefenen.
72. Het staat aan de Raad van State om in het licht van de zowel in deze prejudiciële procedure als in het hoofdgeding aangereikte criteria en elementen, feitelijk en rechtens, de artikelen 6 en 12 van richtlijn 95/46 toe te passen overeenkomstig hetgeen ik in de punten 70 en 71 van deze conclusie heb uiteengezet.
X – Conclusie
73. Gelet op het voorgaande, geef ik het Hof in overweging om de prejudiciële vraag van de Raad van State te beantwoorden als volgt:
„De gegevens betreffende de verwerking, met inbegrip van die welke betrekking hebben op verstrekkingen aan derden, zijn persoonsgegevens in de zin van artikel 2, sub a, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Om de nuttige werking van richtlijn 95/46 te waarborgen, moet voor de vernietiging van de gegevens betreffende de verwerking en voor de vernietiging van de persoonsgegevens dezelfde termijn gelden, onverminderd de rechten respectievelijk verplichtingen die de genoemde richtlijn toekent respectievelijk oplegt aan derden aan wie de gegevens worden verstrekt.
De artikelen 6 en 12 van richtlijn 95/46 verzetten zich tegen de termijn van één jaar om het recht van toegang tot de gegevens betreffende de verwerking uit te oefenen, voor zover:
– aan de betrokkene niet is meegedeeld dat hem betreffende gegevens aan derden zijn verstrekt; of
– wanneer hem dat wél is meegedeeld, hij niet in kennis is gesteld van de duur van de termijn; of
– wanneer hem dat wél is meegedeeld, hem niet voldoende informatie over de identiteit van de ontvangers is verstrekt.
Het staat aan de verantwoordelijke voor de verwerking aan te tonen dat de nationale bepalingen en de administratieve praktijk een passend niveau van informatieverstrekking aan de betrokkene waarborgen dat hem in staat stelt om zijn recht van toegang zonder beperking uit te oefenen.”