Voorlopige editie
ARREST VAN HET HOF (Vijfde kamer)
16 november 2023 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn (EU) 2016/680 – Artikel 17 – Uitoefening van de rechten van de betrokkene via de toezichthoudende autoriteit – Controle of de gegevens rechtmatig zijn verwerkt – Artikel 17, lid 3 – Minimale informatieplicht tegenover de betrokkene – Omvang – Geldigheid – Artikel 53 – Recht om een doeltreffende voorziening in rechte in te stellen tegen de toezichthoudende autoriteit – Begrip ‚juridisch bindend besluit’ – Handvest van de grondrechten van de Europese Unie – Artikel 8, lid 3 – Toezicht door een onafhankelijke autoriteit – Artikel 47 – Recht op effectieve rechterlijke bescherming”
In zaak C‑333/22,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de cour d’appel de Bruxelles (hof van beroep Brussel, België) bij beslissing van 9 mei 2022, ingekomen bij het Hof op 20 mei 2022, in de procedure
Ligue des droits humains ASBL,
BA
tegen
Controleorgaan op de politionele informatie,
wijst
HET HOF (Vijfde kamer),
samengesteld als volgt: E. Regan, kamerpresident, Z. Csehi, M. Ilešič, I. Jarukaitis en D. Gratsias (rapporteur), rechters,
advocaat-generaal: L. Medina,
griffier: M. Siekierzyńska, administrateur,
gezien de stukken en na de terechtzitting op 29 maart 2023,
gelet op de opmerkingen van:
– de Ligue des droits humains ASBL en BA, vertegenwoordigd door C. Forget, advocaat,
– het Controleorgaan op de politionele informatie, vertegenwoordigd door J. Bosquet en J.‑F. De Bock, advocaten,
– de Belgische regering, vertegenwoordigd door P. Cottin, J.‑C. Halleux, C. Pochet en A. Van Baelen als gemachtigden, bijgestaan door N. Cariat, C. Fischer, B. Lombaert en J. Simba, advocaten,
– de Tsjechische regering, vertegenwoordigd door O. Serdula, M. Smolek en J. Vláčil als gemachtigden,
– de Franse regering, vertegenwoordigd door J. Illouz als gemachtigde,
– het Europees Parlement, vertegenwoordigd door S. Alonso de León, O. Hrstková Šolcová, P. López-Carceller en M. Thibault als gemachtigden,
– de Europese Commissie, vertegenwoordigd door A. Bouchagiar, H. Kranenborg, A.‑C. Simon en F. Wilman als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 15 juni 2023,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft, ten eerste, de uitlegging van artikel 8, lid 3, en artikel 47 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”) en, ten tweede, de geldigheid, in het licht van de voornoemde bepalingen van het Handvest, van artikel 17 van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (PB 2016, L 119, blz. 89).
2 Dit verzoek is ingediend in het kader van een geding tussen de Ligue des droits humains ASBL en BA, enerzijds, en het Controleorgaan op de politionele informatie (België; hierna: „Controleorgaan”), anderzijds, over de uitoefening via dit orgaan van de rechten van BA inzake de hem betreffende persoonsgegevens die zijn verwerkt door de Belgische politiediensten en op grond waarvan de Nationale Veiligheidsoverheid (België) een verzoek van BA om een veiligheidsattest heeft afgewezen.
Toepasselijke bepalingen
Unierecht
3 De overwegingen 7, 10, 43, 46, 48, 75, 82, 85 en 86 van richtlijn 2016/680 luiden:
„(7) Het is voor een doeltreffende justitiële samenwerking in strafzaken en een doeltreffende politiële samenwerking van het allergrootste belang dat een consequente en hoge mate van bescherming van de persoonsgegevens van natuurlijke personen wordt gewaarborgd, én dat de uitwisseling van persoonsgegevens tussen de bevoegde autoriteiten van de lidstaten wordt vergemakkelijkt. Daartoe moet in alle lidstaten worden voorzien in een gelijkwaardige mate van bescherming van de rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid. Doeltreffende bescherming van persoonsgegevens in de gehele [Europese] Unie vereist versterking van de rechten van de betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken, alsmede gelijkwaardige bevoegdheden om de regelgeving inzake de bescherming van persoonsgegevens in de lidstaten te handhaven en toe te zien op naleving daarvan.
[...]
(10) In Verklaring nr. 21 betreffende de bescherming van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking, gehecht aan de slotakte van de intergouvernementele conferentie die het Verdrag van Lissabon heeft aangenomen, erkende de conferentie dat, vanwege de specifieke aard van de justitiële samenwerking in strafzaken en de politiële samenwerking, op die gebieden specifieke voorschriften inzake de bescherming van persoonsgegevens en het vrije verkeer van persoonsgegevens op basis van artikel 16 VWEU nodig zouden kunnen blijken.
[...]
(43) Een natuurlijke persoon moet beschikken over het recht op inzage van de gegevens die over hem zijn verzameld, en moet dit recht gemakkelijk en met redelijke tussenpozen kunnen uitoefenen, zodat hij kennis kan nemen van de verwerking en de rechtmatigheid daarvan kan nagaan. [...]
[...]
(46) Elke beperking van de rechten van de betrokkene dient in overeenstemming te zijn met het Handvest en met het [Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden, ondertekend te Rome op 4 november 1950], zoals uitgelegd in de rechtspraak van respectievelijk het Hof van Justitie en het Europees Hof voor de Rechten van de Mens, en met name de wezenlijke inhoud van die rechten en vrijheden te eerbiedigen.
[...]
(48) Indien de verwerkingsverantwoordelijke een betrokkene zijn recht op informatie, inzage, rectificatie of wissing van persoonsgegevens of verwerkingsbeperking ontzegt, moet de betrokkene het recht hebben de nationale toezichthoudende autoriteit te verzoeken om de rechtmatigheid van de verwerking te controleren. [...]
[...]
(75) Voor de bescherming van natuurlijke personen in verband met de verwerking van hun persoonsgegevens is het van wezenlijk belang dat in de lidstaten toezichthoudende autoriteiten worden ingesteld die hun taken volstrekt onafhankelijk uitvoeren. De toezichthoudende autoriteiten dienen toe te zien op de toepassing van de krachtens deze richtlijn vastgestelde bepalingen en moeten bijdragen aan de consequente toepassing daarvan in de gehele Unie, teneinde natuurlijke personen te beschermen op het vlak van verwerking van hun persoonsgegevens. [...]
[...]
(82) Met het oog op efficiënte, betrouwbare en consequente monitoring van de naleving en handhaving van deze richtlijn in de gehele Unie krachtens het VWEU zoals uitgelegd door het Hof van Justitie, dienen de toezichthoudende autoriteiten in alle lidstaten dezelfde taken en feitelijke bevoegdheden te hebben, waaronder onderzoeksbevoegdheden, bevoegdheden tot het nemen van corrigerende maatregelen en adviesbevoegdheden die noodzakelijk zijn voor de uitvoering van hun taken. [...]
[...]
(85) Iedere betrokkene dient het recht te hebben om een klacht in te dienen bij één toezichthoudende autoriteit en om overeenkomstig artikel 47 van het Handvest een doeltreffende voorziening in rechte in te stellen indien de betrokkene meent dat inbreuk is gemaakt op zijn rechten krachtens uit hoofde van deze richtlijn vastgestelde bepalingen, of indien de toezichthoudende autoriteit niet optreedt naar aanleiding van een klacht, een klacht gedeeltelijk of geheel afwijst, of niet optreedt wanneer zulk optreden voor de bescherming van de rechten van de betrokkene noodzakelijk is. [...]
(86) Iedere natuurlijke persoon of rechtspersoon dient het recht te hebben om voor de bevoegde nationale rechterlijke instantie een doeltreffende voorziening in rechte in te stellen tegen een besluit van een toezichthoudende autoriteit dat ten aanzien van die persoon rechtsgevolgen heeft. Een dergelijk besluit heeft meer bepaald betrekking op de uitoefening door de toezichthoudende autoriteit van bevoegdheden in verband met onderzoek, corrigerende maatregelen en toestemming, of op de afwijzing van klachten. Dat recht geldt echter niet voor andere maatregelen van de toezichthoudende autoriteiten die niet juridisch bindend zijn, zoals standpunten en adviezen. Een vordering tegen een toezichthoudende autoriteit dient te worden ingesteld bij de gerechten van de lidstaat waar de toezichthoudende autoriteit is gevestigd, en moet stroken met het recht van die lidstaat. Die gerechten dienen volledige rechtsmacht uit te oefenen, waaronder rechtsmacht om alle feitelijke en juridische vraagstukken in verband met het aanhangige geschil te onderzoeken.”
4 Artikel 1 („Onderwerp en doelstellingen”) van deze richtlijn bepaalt in de leden 1 en 2:
„1. Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.
2. Overeenkomstig deze richtlijn hebben de lidstaten de verplichting:
a) de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens te beschermen; en
b) erop toe te zien dat de uitwisseling van persoonsgegevens door bevoegde autoriteiten binnen de Unie, wanneer die uitwisseling bij het Unierecht of het recht van de lidstaten is vereist, niet wordt beperkt of verboden om redenen die verband houden met de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens.”
5 Die richtlijn bevat een hoofdstuk III, „Rechten van de betrokkene”, dat met name de artikelen 13 tot en met 17 ervan bevat. Artikel 13 draagt het opschrift „Aan de betrokkene ter beschikking gestelde of verstrekte informatie” en bevat in lid 1 de verplichting voor de lidstaten erin te voorzien dat de verwerkingsverantwoordelijke de betrokkene bepaalde minimuminformatie ter beschikking stelt, zoals met name de identiteit en de contactgegevens van de verwerkingsverantwoordelijke. Voorts bevat artikel 13, lid 2, een opsomming van de verdere informatie waarvoor de lidstaten bij wet moeten voorschrijven dat de verwerkingsverantwoordelijke de betrokkene deze informatie verstrekt om de betrokkene in staat te stellen zijn rechten uit te oefenen. Artikel 13, leden 3 en 4, luidt:
„3. De lidstaten kunnen wettelijke maatregelen treffen om de verstrekking van de in lid 2 bedoelde informatie aan de betrokkene uit te stellen, te beperken of achterwege te laten, voor zover en zolang een dergelijke maatregel in een democratische samenleving, met inachtneming van de grondrechten en de legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is om:
a) belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;
b) nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen te voorkomen;
c) de openbare veiligheid te beschermen;
d) de nationale veiligheid te beschermen;
e) de rechten en vrijheden van anderen te beschermen.
4. De lidstaten kunnen wettelijke maatregelen treffen om te bepalen welke verwerkingscategorieën geheel of gedeeltelijk onder één van de punten van lid 3 kunnen vallen.”
6 Artikel 14 („Recht op inzage van de betrokkene”) van richtlijn 2016/680 is als volgt geformuleerd:
„Behoudens artikel 15 schrijven de lidstaten voor dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over de al dan niet verwerking van hem betreffende persoonsgegevens en, wanneer dat het geval is, om die persoonsgegevens in te zien [...].”
7 Artikel 15 („Beperkingen van het inzagerecht”) van richtlijn 2016/680 luidt als volgt:
„1. De lidstaten kunnen wettelijke maatregelen treffen om het inzagerecht van de betrokkene geheel of gedeeltelijk te beperken, voor zover en zolang die volledige of gedeeltelijke beperking in een democratische samenleving, met inachtneming van de grondrechten en legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is om:
a) belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;
b) nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen te voorkomen;
c) de openbare veiligheid te beschermen;
d) de nationale veiligheid te beschermen;
e) de rechten en vrijheden van anderen te beschermen.
2. De lidstaten kunnen wettelijke maatregelen treffen om te bepalen welke verwerkingscategorieën geheel of gedeeltelijk onder de vrijstellingen van lid 1 kunnen vallen.
3. In de in de leden 1 en 2 bedoelde gevallen schrijven de lidstaten voor dat de verwerkingsverantwoordelijke de betrokkene zonder onnodige vertraging schriftelijk in kennis stelt van een eventuele weigering of beperking van de inzage en van de redenen voor die weigering of beperking. Die informatie kan achterwege worden gelaten wanneer de verstrekking daarvan een van de doeleinden van lid 1 zou ondermijnen. De lidstaten schrijven voor dat de verwerkingsverantwoordelijke de betrokkene inlicht over de mogelijkheid om klacht in te dienen bij een toezichthoudende instantie of om een beroep in te stellen bij de rechter.
4. De lidstaten voorzien erin dat de verwerkingsverantwoordelijke de feitelijke of juridische redenen die aan het besluit ten grondslag liggen, documenteert. Die informatie wordt ter beschikking gesteld van de toezichthoudende autoriteiten.”
8 Artikel 16 („Recht op rectificatie of wissing van persoonsgegevens en verwerkingsbeperking”) van deze richtlijn bepaalt het volgende:
„1. De lidstaten voorzien erin dat de betrokkene het recht heeft van de verwerkingsverantwoordelijke zonder onnodige vertraging rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. Rekening houdend met het doel van de verwerking schrijven de lidstaten voor dat de betrokkene het recht heeft om onvolledige persoonsgegevens te laten vervolledigen, [...].
2. De lidstaten schrijven voor dat de verwerkingsverantwoordelijke de persoonsgegevens zonder onnodige vertraging wist, en voorzien in het recht voor de betrokkene om van de verwerkingsverantwoordelijke zonder onnodige vertraging wissing van hem betreffende persoonsgegevens te verkrijgen wanneer verwerking indruist tegen artikel 4, 8 of 10 of wanneer de persoonsgegevens moeten worden gewist om te voldoen aan een op de verwerkingsverantwoordelijke rustende wettelijke verplichting.
3. In plaats van tot wissing over te gaan, beperkt de verwerkingsverantwoordelijke de verwerking wanneer:
a) de juistheid van de persoonsgegevens door de betrokkene wordt betwist en de juistheid of onjuistheid niet kan worden geverifieerd; of
b) de persoonsgegevens als bewijsmateriaal moeten worden bewaard.
[...]
4. De lidstaten voorzien erin dat de verwerkingsverantwoordelijke de betrokkene schriftelijk in kennis stelt van een eventuele weigering tot rectificatie of wissing van persoonsgegevens of verwerkingsbeperking, en van de redenen voor die weigering. De lidstaten kunnen wettelijke maatregelen treffen om de verplichting tot het verstrekken van die informatie geheel of gedeeltelijk te beperken, voor zover een dergelijke [beperking] in een democratische samenleving, met inachtneming van de grondrechten en legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is om:
a) belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;
b) nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen te voorkomen;
c) de openbare veiligheid te beschermen;
d) de nationale veiligheid te beschermen;
e) de rechten en vrijheden van anderen te beschermen.
De lidstaten voorzien erin dat de verwerkingsverantwoordelijke de betrokkene inlicht over de mogelijkheid om klacht in te dienen bij een toezichthoudende instantie of om beroep in te stellen bij de rechter.
[...]”
9 Artikel 17 („Uitoefening van rechten door de betrokkene en controle door de toezichthoudende autoriteit”) van die richtlijn bepaalt:
„1. In de in artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, bedoelde gevallen treffen de lidstaten maatregelen die ertoe strekken dat de betrokkene zijn rechten ook via de bevoegde toezichthoudende autoriteit kan uitoefenen.
2. De lidstaten schrijven voor dat de verwerkingsverantwoordelijke de betrokkene in kennis stelt van de mogelijkheid uit hoofde van lid 1 zijn rechten via de toezichthoudende autoriteit uit te oefenen.
3. Wanneer het in lid 1 bedoelde recht wordt uitgeoefend, stelt de toezichthoudende autoriteit de betrokkene er ten minste van in kennis dat alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden. De toezichthoudende autoriteit stelt de betrokkene tevens in kennis van zijn recht om beroep in te stellen bij de rechter.”
10 Artikel 42 („Onafhankelijkheid”) van richtlijn 2016/680 bepaalt in lid 1:
„Elke lidstaat schrijft voor dat elke toezichthoudende autoriteit bij de uitvoering van haar taken en de uitoefening van haar bevoegdheden overeenkomstig deze richtlijn volledig onafhankelijk optreedt.”
11 Artikel 46 („Taken”) van richtlijn 2016/680 bepaalt in lid 1:
„Elke lidstaat voorziet erin dat elke toezichthoudende autoriteit op zijn grondgebied:
a) toeziet op de toepassing van de krachtens deze richtlijn vastgestelde bepalingen en de omzettingsmaatregelen daarvan, en deze handhaaft;
[...]
f) klachten behandelt van betrokkenen [...], de inhoud van de klacht onderzoekt in de mate waarin dat nodig is en de klager binnen een redelijke termijn in kennis stelt van de vooruitgang en het resultaat van het onderzoek [...];
g) overeenkomstig artikel 17 de rechtmatigheid van de verwerking controleert en de betrokkene binnen een redelijke termijn informeert over het resultaat van de controle overeenkomstig artikel 17, lid 3, of van de redenen waarom de controle niet is verricht;
[...]”
12 Artikel 47 („Bevoegdheden”) van deze richtlijn luidt als volgt:
„1. Elke lidstaat voorziet erin bij wet dat elke toezichthoudende autoriteit effectieve onderzoeksbevoegdheden heeft. Die bevoegdheden omvatten ten minste de bevoegdheid om van de verwerkingsverantwoordelijke en de verwerker toegang te verkrijgen tot alle persoonsgegevens die worden verwerkt en tot alle informatie die noodzakelijk is voor de uitvoering van haar taken.
2. Elke lidstaat voorziet erin bij wet dat elke toezichthoudende autoriteit effectieve bevoegdheden heeft tot het treffen van corrigerende maatregelen, zoals:
a) de verwerkingsverantwoordelijke of de verwerker waarschuwen dat met de voorgenomen verwerkingen waarschijnlijk een inbreuk op de krachtens deze richtlijn vastgestelde bepalingen wordt gemaakt;
b) de verwerkingsverantwoordelijke of de verwerker gelasten de verwerkingen, waar passend, op een nader bepaalde manier en binnen een nader bepaalde periode in overeenstemming te brengen met deze richtlijn, met name door het rectificeren of wissen van gegevens of verwerkingsbeperking te gelasten overeenkomstig artikel 16;
c) een tijdelijke of definitieve begrenzing van het verwerken, waaronder een verwerkingsverbod, opleggen.
[...]
4. Op de uitoefening van de bevoegdheden die uit hoofde van dit artikel aan de toezichthoudende autoriteit worden verleend, zijn passende waarborgen van toepassing, daaronder begrepen doeltreffende voorziening in rechte en eerlijke rechtsbedeling, zoals overeenkomstig het Handvest vastgelegd in het Unierecht en het lidstatelijke recht.
[...]”
13 Artikel 52 („Recht om een klacht in te dienen bij een toezichthoudende autoriteit”) van die richtlijn bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte voorzien de lidstaten erin dat iedere betrokkene het recht heeft een klacht in te dienen bij één toezichthoudende autoriteit, indien de betrokkene van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op de krachtens deze richtlijn vastgestelde bepalingen.”
14 Artikel 53 („Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”) van richtlijn 2016/680 bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep schrijven de lidstaten voor dat een natuurlijke persoon of een rechtspersoon het recht heeft tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.”
15 Artikel 54 („Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker”) van deze richtlijn is als volgt geformuleerd:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht op grond van artikel 52 klacht in te dienen bij een toezichthoudende autoriteit, schrijven de lidstaten voor dat iedere betrokkene het recht heeft een doeltreffende voorziening in rechte in te stellen, indien hij van mening is dat een inbreuk is gepleegd op zijn rechten uit hoofde van krachtens deze richtlijn vastgestelde bepalingen als gevolg van een verwerking van zijn persoonsgegevens die niet aan die bepalingen voldoet.”
Belgisch recht
16 Richtlijn 2016/680 is in Belgisch recht omgezet bij titel 2 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (Belgisch Staatsblad van 5 september 2018, blz. 68616; hierna: „WBG”). De in de artikelen 13 tot en met 16 van die richtlijn genoemde rechten zijn opgenomen in hoofdstuk III van die titel, meer bepaald in de artikelen 37 tot en met 39 van die wet.
17 Artikel 42 WBG bepaalt het volgende:
„Het verzoek tot uitoefening van de rechten bedoeld in dit hoofdstuk voor wat betreft de politiedienst [...] of de algemene inspectie van de federale politie en de lokale politie, wordt aan de toezichthoudende autoriteit bedoeld in artikel 71 gericht.
In de in de artikelen 37, § 2, 38, § 2, [en] 39, § 4, [...] bedoelde gevallen deelt de toezichthoudende autoriteit bedoeld in artikel 71 uitsluitend mee aan de betrokkene dat de nodige verificaties werden verricht.
Niettegenstaande het tweede lid kan de toezichthoudende autoriteit bedoeld in artikel 71 aan de betrokkene bepaalde contextuele informatie verstrekken.
De Koning, na advies van de toezichthoudende autoriteit bedoeld in artikel 71, bepaalt de categorieën van contextuele informatie die door deze toezichthoudende autoriteit aan de betrokkene kunnen worden medegedeeld.”
18 Volgens de cour d’appel de Bruxelles (hof van beroep Brussel, België), de verwijzende rechter, is er geen koninklijk besluit ter uitvoering van artikel 42, vierde alinea, WBG vastgesteld.
19 Artikel 71, § 1, WBG luidt als volgt:
„Bij de Kamer van volksvertegenwoordigers wordt een onafhankelijke toezichthoudende autoriteit op de politionele informatie opgericht, Controleorgaan op de politionele informatie genoemd.
[...]
Zij is [...] belast met:
1° het toezicht op de toepassing van deze titel [...];
2° de controle van de verwerking van de informatie en de persoonsgegevens bedoeld in de artikelen 44/1 tot 44/11/13 van de wet van 5 augustus 1992 op het politieambt, met inbegrip van deze ingevoegd in de gegevensbanken bedoeld in artikel 44/2 van dezelfde wet;
3° elke andere opdracht haar door of krachtens andere wetten verleend.”
20 Hoofdstuk I van titel 5 WBG, met als opschrift „Vordering tot staking”, bevat artikel 209, dat luidt als volgt:
„Onverminderd andere mogelijkheden tot rechterlijk, administratief of buitengerechtelijk beroep, stelt de voorzitter van de rechtbank van eerste aanleg, zitting houdende zoals in kort geding, het bestaan vast van een verwerking die een inbreuk uitmaakt op een wettelijke en reglementaire bepaling betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en beveelt er de staking van.
De voorzitter van de rechtbank van eerste aanleg, zitting houdende zoals in kort geding, neemt kennis van de vorderingen betreffende het door of krachtens de wet verleende recht om kennis te krijgen van persoonsgegevens, alsook van de vorderingen tot rectificatie, tot verwijdering of tot het verbieden van de aanwending van onjuiste persoonsgegevens of die gelet op het doel van de verwerking onvolledig of niet ter zake dienend zijn, dan wel waarvan de registratie de mededeling of de bewaring verboden is, tegen de verwerking waarvan de betrokkene zich heeft verzet of die langer bewaard werden dan de toegestane duur.”
21 Artikel 240, lid 4, WBG bepaalt:
„Het Controleorgaan:
[...]
4° behandelt klachten, onderzoekt de inhoud van de klacht in de mate waarin dat nodig is en stelt de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit nodig is. [...]”
Hoofdgeding en prejudiciële vragen
22 In 2016 heeft BA, die toen deeltijds in loondienst werkzaam was bij een vereniging zonder winstoogmerk, bij de Nationale Veiligheidsoverheid een veiligheidsattest aangevraagd om te kunnen meewerken aan de montage en demontage van de installaties voor de tiende editie van de „Europese ontwikkelingsdagen” in Brussel (België).
23 Bij brief van 22 juni 2016 heeft deze dienst geweigerd om aan BA een veiligheidsattest af te geven, op grond dat uit de persoonsgegevens die haar waren verstrekt bleek dat deze persoon tussen 2007 en 2016 had deelgenomen aan 10 betogingen, waardoor geen dergelijk attest aan hem kon worden afgegeven in het kader van de toepasselijke regeling, met name om redenen van staatsveiligheid en instandhouding van de grondwettelijke democratische orde. Tegen dit besluit is geen beroep ingesteld.
24 Op 4 februari 2020 heeft de raadsman van BA het Controleorgaan verzocht om de verantwoordelijken voor de betrokken verwerking van persoonsgegevens te identificeren en hun te gelasten zijn cliënt inzage te geven in alle hem betreffende informatie teneinde hem in staat te stellen zijn rechten tijdig uit te oefenen.
25 Bij e-mail van 6 februari 2020 heeft het Controleorgaan de ontvangst van dit verzoek bevestigd. Het Controleorgaan heeft aangegeven dat BA slechts een indirect recht van inzage in die gegevens had en heeft hem verzekerd dat het zelf de rechtmatigheid van een eventuele verwerking van gegevens in de Algemene Nationale Gegevensbank, te weten de gegevensbank die door alle nationale politiediensten wordt gebruikt, zou controleren. Voorts heeft het Controleorgaan gepreciseerd dat het de politie kon gelasten gegevens, zo nodig, te verwijderen of te wijzigen, en dat het BA na die controle ervan in kennis zou stellen dat de nodige verificaties werden verricht.
26 Bij e-mail van 22 juni 2020 heeft het Controleorgaan de raadsman van BA meegedeeld:
„[...]
Ik deel u overeenkomstig artikel 42 [WBG] mee dat het Controleorgaan de nodige verificaties heeft verricht.
Dit betekent dat de persoonsgegevens van uw cliënt zijn geverifieerd in de politionele gegevensbanken om de rechtmatigheid van een eventuele verwerking te waarborgen.
Waar nodig zijn de persoonsgegevens gewijzigd of verwijderd.
Zoals ik u in mijn e-mail van 2 juni jongstleden heb uitgelegd, staat artikel 42 WBG het Controleorgaan niet toe meer informatie te verstrekken.”
27 Op 2 september 2020 hebben de Ligue des droits humains en BA op grond van artikel 209, tweede alinea, WBG een verzoek in kort geding ingediend bij de tribunal de première instance francophone de Bruxelles (Franstalige rechtbank van eerste aanleg Brussel, België).
28 In de eerste plaats hebben verzoekers in het hoofdgeding deze rechter verzocht hun verzoek in kort geding ontvankelijk te verklaren en, subsidiair, het Hof in wezen te vragen of artikel 47, lid 4, van richtlijn 2016/680, gelezen in het licht van de overwegingen 85 en 86 van deze richtlijn en in samenhang met artikel 8, lid 3, en artikel 47 van het Handvest, in de weg staat aan de artikelen 42 en 71 WBG, voor zover deze bepalingen niet voorzien in een beroep in rechte tegen besluiten van het Controleorgaan.
29 In de tweede plaats hebben zij ten gronde verzocht om het Controleorgaan te gelasten inzage te geven in alle persoonsgegevens van BA en de verwerkingsverantwoordelijken en eventuele ontvangers van die gegevens te identificeren.
30 Voor het geval dat de aangezochte rechter van oordeel zou zijn dat artikel 42, tweede alinea, WBG het mogelijk maakt de inzage in persoonsgegevens die door de politiediensten worden verwerkt systematisch te beperken, hebben zij subsidiair verzocht om in wezen de vraag aan het Hof voor te leggen of de artikelen 14, 15 en 17 van richtlijn 2016/680, gelezen in samenhang met de artikelen 8, 47 en 52, lid 1, van het Handvest, aldus moeten worden uitgelegd dat zij in de weg staan aan nationale wetgeving die voorziet in een algemene en systematische uitzondering op het recht van inzage in persoonsgegevens, voor zover dit recht via de toezichthoudende autoriteit is uitgeoefend en deze autoriteit zich ertoe kon beperken aan de betrokkene mee te delen dat zij alle nodige verificaties had verricht, zonder hem te informeren over de persoonsgegevens die worden verwerkt of over de ontvangers, ongeacht het nagestreefde doel.
31 Bij beschikking van 17 mei 2021 heeft de tribunal de première instance francophone de Bruxelles zich „onbevoegd” verklaard om van dit verzoek in kort geding kennis te nemen.
32 Bij verzoekschrift van 15 juni 2021 hebben verzoekers in het hoofdgeding tegen deze beschikking hoger beroep ingesteld bij de cour d’appel de Bruxelles. Zij hebben in wezen hun in eerste aanleg geformuleerde vorderingen herhaald.
33 In dit verband merkt de verwijzende rechter met name in wezen op dat de vordering tot staking, zoals geregeld in de artikelen 209 en volgende WBG, niet kan worden ingesteld indien een persoon niet het recht heeft om de rechten uit hoofde van richtlijn 2016/680 persoonlijk uit te oefenen. Om te beginnen kan een dergelijke vordering immers worden ingesteld tegen de verwerkingsverantwoordelijke maar niet tegen de toezichthoudende autoriteit zelf. Voorts kan deze persoon, in casu BA, de vordering tot staking evenmin instellen tegen de verwerkingsverantwoordelijke, aangezien de uitoefening van zijn rechten is toevertrouwd aan die autoriteit. Ten slotte stelt de uiterst summiere informatie die door het Controleorgaan aan BA wordt verstrekt, noch deze laatste, noch een rechter in staat te beoordelen of deze toezichthoudende autoriteit de rechten van die persoon naar behoren heeft uitgeoefend. De verwijzende rechter voegt daaraan toe dat de WBG weliswaar voorziet in deze vordering tot staking onverminderd andere mogelijkheden tot rechterlijk, administratief of buitengerechtelijk beroep, maar dat een dergelijk ander beroep van BA op dezelfde moeilijkheden zou stuiten.
34 In die omstandigheden heeft de cour d’appel de Bruxelles de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Vereisen artikel 47 en artikel 8, lid 3, van het [Handvest] dat wordt voorzien in een voorziening in rechte tegen een onafhankelijke toezichthoudende autoriteit zoals het [Controleorgaan], wanneer zij de rechten van de betrokkene uitoefent jegens de verwerkingsverantwoordelijke?
2) Is artikel 17 van richtlijn 2016/680 in overeenstemming met artikel 47 en artikel 8, lid 3, van het [Handvest], zoals uitgelegd door het Hof van Justitie, voor zover het de toezichthoudende autoriteit – die de rechten van de betrokkene uitoefent jegens de verwerkingsverantwoordelijke – slechts verplicht om de betrokkene ervan in kennis te stellen ‚dat alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden’ en om hem te informeren ‚over zijn recht om beroep in te stellen bij de rechter’, hoewel er aan de hand van dergelijke informatie geen controle a posteriori kan worden uitgeoefend op het optreden en de beoordeling van de toezichthoudende autoriteit met betrekking tot de gegevens van de betrokkene en de verplichtingen van de verwerkingsverantwoordelijke?”
Beantwoording van de prejudiciële vragen
Eerste vraag
35 Om te beginnen blijkt uit het verzoek om een prejudiciële beslissing dat de twijfel van de verwijzende rechter betrekking heeft op de vraag of er op grond van artikel 53, lid 1, van richtlijn 2016/680, gelezen in het licht van artikel 47 van het Handvest, voor de lidstaten een verplichting bestaat om te voorzien in een recht om een doeltreffende voorziening in rechte in te stellen tegen de bevoegde nationale toezichthoudende autoriteit wanneer een bepaling van nationaal recht wordt toegepast waarbij artikel 17 van deze richtlijn in nationaal recht is omgezet, volgens hetwelk de betrokkene in de in artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, van die richtlijn bedoelde gevallen zijn rechten via een dergelijke toezichthoudende autoriteit kan uitoefenen.
36 Voorts zij opgemerkt dat het antwoord op deze vraag afhangt van de aard en de omvang van de taken en bevoegdheden van de toezichthoudende autoriteit in het kader van de in artikel 17 van richtlijn 2016/680 bedoelde uitoefening van de rechten van de betrokkene. Die taken en bevoegdheden worden nader omschreven in artikel 46, lid 1, onder g), en artikel 47, leden 1 en 2, van deze richtlijn en moeten worden onderzocht in het licht van artikel 8, lid 3, van het Handvest, dat vereist dat een onafhankelijke autoriteit erop toeziet dat de in de leden 1 en 2 van dit artikel vastgelegde regels inzake de bescherming van persoonsgegevens worden nageleefd.
37 Derhalve moet de eerste vraag van de verwijzende rechter aldus worden opgevat dat hij in wezen wenst te vernemen of artikel 17 van richtlijn 2016/680, gelezen in samenhang met artikel 46, lid 1, onder g), artikel 47, leden 1 en 2, en artikel 53, lid 1, van deze richtlijn alsmede met artikel 8, lid 3, en artikel 47 van het Handvest, aldus moet worden uitgelegd dat een persoon wiens rechten overeenkomstig dat artikel 17 via de bevoegde toezichthoudende autoriteit werden uitgeoefend, het recht moet hebben om een doeltreffende voorziening in rechte in te stellen tegen die autoriteit.
38 Om te beginnen zij eraan herinnerd dat de lidstaten krachtens artikel 53, lid 1, van richtlijn 2016/680 moeten voorschrijven dat een natuurlijke persoon of een rechtspersoon het recht heeft tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.
39 Derhalve moet worden bepaald of een toezichthoudende autoriteit een dergelijk besluit vaststelt wanneer de in deze richtlijn genoemde rechten van de betrokkenen overeenkomstig artikel 17 van die richtlijn via deze toezichthoudende autoriteit worden uitgeoefend.
40 Dienaangaande moet worden opgemerkt dat de lidstaten volgens artikel 17, lid 1, van richtlijn 2016/680 „[i]n de in artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, bedoelde gevallen” verplicht zijn om maatregelen te treffen „die ertoe strekken dat de betrokkene zijn rechten ook via de bevoegde toezichthoudende autoriteit kan uitoefenen”.
41 Zoals blijkt uit het gebruik van het bijwoord „ook” en zoals de advocaat-generaal in wezen heeft opgemerkt in de punten 41 en 42 van haar conclusie, vormt de in deze bepaling bedoelde indirecte uitoefening van de rechten van de betrokkene via de bevoegde toezichthoudende autoriteit een aanvullende garantie voor de betrokkene dat zijn persoonsgegevens rechtmatig worden verwerkt wanneer de nationale wetgeving voorziet in beperkingen van de rechtstreekse uitoefening bij de verwerkingsverantwoordelijke van het in artikel 13, lid 2, van richtlijn 2016/680 bedoelde recht om verdere informatie te ontvangen, het in artikel 14 van deze richtlijn geregelde recht om die gegevens in te zien, of het recht op rectificatie of wissing van persoonsgegevens of op verwerkingsbeperking onder de voorwaarden van artikel 16, leden 1 tot en met 3, van die richtlijn.
42 Gelet op de specifieke aard van de doeleinden waarvoor de onder richtlijn 2016/680 vallende gegevensverwerkingen worden verricht, die met name in overweging 10 ervan worden gespecificeerd, staan artikel 13, lid 3, en artikel 15, lid 1, van deze richtlijn de nationale wetgever namelijk toe om de rechtstreekse uitoefening van, ten eerste, het recht op informatie en, ten tweede, het inzagerecht te beperken „voor zover en zolang een dergelijke maatregel in een democratische samenleving, met inachtneming van de grondrechten en de legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is” om „belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen”, „nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen te voorkomen”, „de openbare veiligheid te beschermen”, „de nationale veiligheid te beschermen” of „de rechten en vrijheden van anderen te beschermen”. Voorts is in artikel 15, lid 3, van die richtlijn bepaald dat de verwerkingsverantwoordelijke de betrokkene niet in kennis hoeft te stellen van een eventuele weigering of beperking van de inzage en van de redenen voor die weigering of beperking wanneer de verstrekking daarvan een van de voornoemde doelstellingen van algemeen belang zou ondermijnen.
43 Evenzo staat artikel 16, lid 4, van die richtlijn de nationale wetgever toe, de verplichting van de verwerkingsverantwoordelijke om „de betrokkene schriftelijk in kennis [te stellen] van een eventuele weigering tot rectificatie of wissing van persoonsgegevens of verwerkingsbeperking, en van de redenen voor die weigering” ter verwezenlijking van dezelfde doelstellingen van algemeen belang te beperken „voor zover een dergelijke [beperking] in een democratische samenleving, met inachtneming van de grondrechten en legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is”.
44 In dat kader is de indirecte uitoefening van de in punt 41 van het onderhavige arrest bedoelde rechten via de bevoegde toezichthoudende autoriteit dan ook noodzakelijk om deze rechten te beschermen, zoals blijkt uit overweging 48 van richtlijn 2016/680, aangezien de rechtstreekse uitoefening ervan bij de verwerkingsverantwoordelijke moeilijk of zelfs onmogelijk is.
45 Daartoe vereist artikel 46, lid 1, onder g), van deze richtlijn dat elke bevoegde nationale autoriteit de taak wordt toevertrouwd om overeenkomstig artikel 17 van die richtlijn de rechtmatigheid van de verwerking te controleren, namelijk naar aanleiding van een verzoek op grond van laatstgenoemde bepaling.
46 Voorts blijkt met name uit artikel 47, leden 1 en 2, van die richtlijn dat elke toezichthoudende autoriteit krachtens de nationale wetgeving niet alleen „effectieve onderzoeksbevoegdheden”, maar ook „effectieve bevoegdheden [...] tot het treffen van corrigerende maatregelen” moet hebben.
47 Deze bepalingen moeten worden gelezen in het licht van het vereiste van artikel 8, lid 3, van het Handvest dat „een onafhankelijke autoriteit [...] erop toe[ziet]” dat de in de leden 1 en 2 van dit artikel genoemde regels betreffende het recht van eenieder op bescherming van zijn persoonsgegevens worden nageleefd, en met name de in de tweede volzin van dat lid 2 vermelde regel dat „[e]enieder [...] recht van inzage [heeft] in de over hem verzamelde gegevens en op rectificatie daarvan”. Zoals wordt bevestigd door vaste rechtspraak, beoogt de instelling van een onafhankelijke toezichthoudende autoriteit immers de doeltreffendheid en de betrouwbaarheid van het toezicht op de naleving van de bepalingen inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens te verzekeren en moet zij in het licht van deze doelstelling worden uitgelegd [zie in die zin advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 229 en aldaar aangehaalde rechtspraak].
48 Wanneer een dergelijke toezichthoudende autoriteit optreedt om ervoor te zorgen dat de rechten van de betrokkene op grond van artikel 17 van richtlijn 2016/680 worden uitgeoefend, sluit haar taak dus volledig aan bij de definitie van haar rol in het primaire Unierecht, aangezien deze definitie met name het toezicht op de eerbiediging van de rechten van de betrokkene op inzage en rectificatie inhoudt. Hieruit volgt dat de toezichthoudende autoriteit bij de vervulling van deze specifieke taak, zoals voor elke andere taak, in staat moet zijn om de haar bij artikel 47 van deze richtlijn verleende bevoegdheden volstrekt onafhankelijk uit te oefenen overeenkomstig het Handvest en overweging 75 van die richtlijn.
49 Voorts moet de bevoegde toezichthoudende autoriteit, na de controle van de rechtmatigheid van de verwerking, de betrokkene volgens artikel 17, lid 3, eerste volzin, van die richtlijn er „ten minste” van in kennis stellen „dat alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden”.
50 Zoals de advocaat-generaal in essentie heeft opgemerkt in punt 65 van haar conclusie, moet uit al deze bepalingen worden afgeleid dat de bevoegde toezichthoudende autoriteit, wanneer zij de betrokkene informeert over het resultaat van de verrichte controles, hem op de hoogte stelt van het jegens hem vastgestelde besluit om het controleproces te beëindigen, waarbij dit besluit noodzakelijkerwijs gevolgen heeft voor zijn rechtspositie. Dit besluit vormt dus ten aanzien van de betrokkene een „juridisch bindend besluit” in de zin van artikel 53, lid 1, van richtlijn 2016/680, ongeacht of en in welke mate deze autoriteit heeft vastgesteld dat de gegevens van deze persoon rechtmatig zijn verwerkt en corrigerende maatregelen heeft getroffen.
51 In overweging 86 van deze richtlijn staat overigens dat het begrip „juridisch bindend besluit” in de zin van deze richtlijn moet worden opgevat als een besluit dat ten aanzien van de betrokkene rechtsgevolgen heeft, met name als een besluit dat betrekking heeft op de uitoefening door de toezichthoudende autoriteit van bevoegdheden in verband met onderzoek, corrigerende maatregelen en toestemming, of op de afwijzing van klachten.
52 Derhalve moet de betrokkene op grond van artikel 53, lid 1, van richtlijn 2016/680 een rechterlijke toetsing van de gegrondheid van een dergelijk besluit kunnen verkrijgen, met name van de wijze waarop de toezichthoudende autoriteit heeft voldaan aan haar uit artikel 17 van deze richtlijn voortvloeiende verplichting, waarnaar artikel 46, lid 1, onder g), van deze richtlijn verwijst, dat „alle noodzakelijke controles [...] hebben plaatsgevonden”, en in voorkomend geval van de uitoefening van haar bevoegdheden om corrigerende maatregelen te treffen.
53 Voor deze conclusie is overigens steun te vinden in overweging 85 van richtlijn 2016/680, waaruit blijkt dat iedere betrokkene het recht dient te hebben om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit indien deze „niet optreedt wanneer zulk optreden voor de bescherming van de rechten van de betrokkene noodzakelijk is”.
54 Ten slotte is een dergelijke uitlegging in overeenstemming met artikel 47 van het Handvest, aangezien dit recht blijkens vaste rechtspraak moet worden toegekend aan eenieder die zich beroept op door het Unierecht gewaarborgde rechten of vrijheden teneinde op te komen tegen een voor hem bezwarend besluit dat afbreuk kan doen aan die rechten of vrijheden [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 87 en aldaar aangehaalde rechtspraak].
55 Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 17 van richtlijn 2016/680, gelezen in samenhang met artikel 46, lid 1, onder g), artikel 47, leden 1 en 2, en artikel 53, lid 1, van deze richtlijn alsmede met artikel 8, lid 3, en artikel 47 van het Handvest, aldus moet worden uitgelegd dat een persoon wiens rechten overeenkomstig dat artikel 17 via de bevoegde toezichthoudende autoriteit werden uitgeoefend en die door deze autoriteit wordt geïnformeerd over het resultaat van de verrichte controles, het recht moet hebben om een doeltreffende voorziening in rechte in te stellen tegen het besluit van die autoriteit om het controleproces te beëindigen.
Tweede vraag
56 Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 17, lid 3, van richtlijn 2016/680 geldig is in het licht van artikel 8, lid 3, en artikel 47 van het Handvest, voor zover het de toezichthoudende autoriteit enkel verplicht om de betrokkene ervan in kennis te stellen dat zij alle noodzakelijke controles of een evaluatie heeft verricht en dat de betrokkene het recht heeft om beroep bij de rechter in te stellen, aangezien dergelijke informatie een rechter niet in staat stelt het optreden en de beoordelingen van de toezichthoudende autoriteit te toetsen met betrekking tot de verwerkte gegevens en de verplichtingen van de verwerkingsverantwoordelijke.
57 Ten eerste moet er in dit verband aan worden herinnerd dat een Uniehandeling volgens een algemeen uitleggingsbeginsel zo veel mogelijk aldus moet worden uitgelegd dat geen afbreuk wordt gedaan aan de geldigheid ervan en dat het gehele primaire recht, waaronder met name de bepalingen van het Handvest, in acht wordt genomen. Wanneer een bepaling van afgeleid Unierecht voor meer dan één uitlegging vatbaar is, verdient de uitlegging die ervoor zorgt dat de bepaling in overeenstemming is met het primaire recht dan ook de voorkeur boven de uitlegging die met zich meebrengt dat zij in strijd is met dat recht (arrest van 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punt 86 en aldaar aangehaalde rechtspraak).
58 Ten tweede vereist het door artikel 47 van het Handvest gewaarborgde recht op een doeltreffende voorziening in rechte in beginsel dat de belanghebbende kennis kan nemen van de gronden waarop het jegens hem genomen besluit is gebaseerd, teneinde hem de mogelijkheid te bieden zijn rechten onder zo goed mogelijke omstandigheden te verdedigen en met volledige kennis van zaken te beslissen of hij er baat bij heeft om zich tot de bevoegde rechter te wenden, en teneinde deze laatste ten volle in staat te stellen om de wettigheid van dit besluit te toetsen (zie in die zin arrest van 4 juni 2013, ZZ, C‑300/11, EU:C:2013:363, punt 53 en aldaar aangehaalde rechtspraak).
59 Dit recht heeft echter geen absolute gelding en overeenkomstig artikel 52, lid 1, van het Handvest kunnen er beperkingen aan worden gesteld, op voorwaarde dat deze beperkingen bij wet worden gesteld, de wezenlijke inhoud van de betrokken rechten en vrijheden eerbiedigen en, met inachtneming van het evenredigheidsbeginsel, noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en de vrijheden van anderen [arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 89 en aldaar aangehaalde rechtspraak].
60 In casu moet worden opgemerkt dat artikel 17, lid 3, van richtlijn 2016/680, wat het in punt 50 van het onderhavige arrest genoemde besluit van de bevoegde toezichthoudende autoriteit betreft, een minimale informatieplicht voor deze toezichthoudende autoriteit invoert door voor te schrijven dat deze autoriteit de betrokkene „ten minste” in kennis stelt van het feit dat „alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden” en van „zijn recht om beroep in te stellen bij de rechter”.
61 Hieruit volgt dat deze bepaling kan leiden tot een beperking van het door artikel 47 van het Handvest gewaarborgde recht op een doeltreffende voorziening in rechte, aangezien zij er niet aan in de weg staat dat de toezichthoudende autoriteit – overeenkomstig de door de nationale wetgever vastgestelde regels ter uitvoering ervan – zich in bepaalde gevallen kan of zelfs moet beperken tot de in het vorige punt bedoelde minimuminformatie zonder nadere precisering, inzonderheid wanneer deze regels beogen te voorkomen dat de doelstellingen van algemeen belang bedoeld in artikel 13, lid 3, artikel 15, lid 1, en artikel 16, lid 4, van die richtlijn worden ondermijnd, zoals in de punten 42 en 43 van dit arrest is uiteengezet.
62 In de eerste plaats moet evenwel worden vastgesteld dat een dergelijke beperking uitdrukkelijk in richtlijn 2016/680 is opgenomen en derhalve voldoet aan de voorwaarde van artikel 52, lid 1, van het Handvest dat beperkingen op de uitoefening van een grondrecht „bij wet [moeten] worden gesteld”.
63 In de tweede plaats betekent het feit dat artikel 17, lid 3, van richtlijn 2016/680 de lidstaten toestaat om de motivering van dat besluit in bepaalde gevallen te beperken tot de in deze bepaling genoemde minimumgegevens, niet dat het in alle omstandigheden mogelijk is om de informatie aan de betrokkene louter tot die gegevens te reduceren, zoals de advocaat-generaal in punt 89 van haar conclusie in wezen heeft opgemerkt.
64 Deze bepaling moet namelijk worden uitgelegd in het licht van artikel 52, lid 1, van het Handvest, en dus in die zin dat wordt voldaan aan de andere daarin genoemde criteria. Bijgevolg moet worden aangenomen dat zij van de lidstaten verlangt dat zij erop toezien dat de nationale uitvoeringsbepalingen, ten eerste, de wezenlijke inhoud van het recht van de betrokkene op effectieve rechterlijke bescherming eerbiedigen en, ten tweede, berusten op een afweging tussen de doelstellingen van algemeen belang die een beperking van deze informatie rechtvaardigen en de grondrechten en rechtmatige belangen van de betrokkene, waarbij de beginselen van noodzakelijkheid en evenredigheid in acht worden genomen, net zoals de afweging die de nationale wetgever moet maken wanneer hij beperkingen oplegt waarin artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, van deze richtlijn voorzien.
65 Met name wanneer, ten eerste, de bescherming van het recht van de betrokkene op een doeltreffende voorziening in rechte tegen het besluit tot beëindiging van het controleproces dat vereist en, ten tweede, de doelstellingen van algemeen belang als bedoeld in artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, van richtlijn 2016/680 zich daar niet tegen verzetten, dienen de lidstaten voor te schrijven dat de informatie aan de betrokkene ruimer kan zijn dan de in artikel 17, lid 3, van deze richtlijn bedoelde minimuminformatie, zodat de betrokkene zijn rechten kan verdedigen en met volledige kennis van zaken kan beslissen of hij er baat bij heeft om zich tot de bevoegde rechter te wenden.
66 Evenzo moeten de nationale maatregelen ter uitvoering van laatstgenoemde bepaling de bevoegde toezichthoudende autoriteit, overeenkomstig de onafhankelijkheid die haar volgens artikel 8, lid 3, van het Handvest kenmerkt, voor zover mogelijk een zekere beoordelingsmarge laten bij de beoordeling of het kader dat in overeenstemming met de in punt 65 van het onderhavige arrest genoemde vereisten is vastgesteld door de nationale wetgeving, er niet aan in de weg staat dat zij het resultaat van haar controles en, in voorkomend geval, de door haar getroffen corrigerende maatregelen op zijn minst op beknopte wijze aan de betrokkene meedeelt. Zoals de advocaat-generaal in de punten 73 en 74 van haar conclusie in essentie heeft opgemerkt, staat het in dit verband aan deze autoriteit om, met inachtneming van dit nationale wetgevingskader, in vertrouwelijk overleg met de verwerkingsverantwoordelijke te treden en na afloop van dat overleg te beslissen welke informatie die noodzakelijk is voor de uitoefening door de betrokkene van zijn recht op een doeltreffende voorziening in rechte aan hem kan worden meegedeeld zonder de in punt 65 van het onderhavige arrest bedoelde doelstellingen van algemeen belang te ondermijnen.
67 In de gevallen waarin dit kader voorschrijft dat de door de toezichthoudende autoriteit verstrekte informatie moet worden beperkt tot hetgeen is vastgesteld in artikel 17, lid 3, van richtlijn 2016/680, staat het voorts niettemin aan de lidstaten om in het kader van hun procedurele autonomie de nodige maatregelen te treffen om overeenkomstig artikel 53, lid 1, van deze richtlijn een doeltreffende rechterlijke toetsing te waarborgen van zowel het bestaan en de gegrondheid van de rechtvaardigingsgronden voor de beperking van die informatie als de correcte uitvoering door de toezichthoudende autoriteit van haar taak bestaande in de controle of de verwerking rechtmatig is. In dit verband moet het in deze laatste bepaling gehanteerde begrip „doeltreffende voorziening in rechte” worden gelezen in het licht van overweging 86 van die richtlijn, volgens welke de gerechten waarbij vorderingen tegen een toezichthoudende autoriteit worden ingesteld „volledige rechtsmacht [dienen] uit te oefenen, waaronder rechtsmacht om alle feitelijke en juridische vraagstukken in verband met het aanhangige geschil te onderzoeken”.
68 Met name moeten de lidstaten erop toezien dat de bevoegde rechter beschikt over en gebruikmaakt van technieken en procesrechtelijke regels waarmee legitieme overwegingen inzake de doelstellingen van algemeen belang als bedoeld in artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, van richtlijn 2016/680 die in de nationale wetgeving in aanmerking zijn genomen om de informatie te beperken die aan de betrokkene wordt verstrekt, kunnen worden verzoend met de noodzaak om aan de justitiabele genoegzaam te garanderen dat zijn procedurele rechten, zoals het recht om te worden gehoord en het beginsel van hoor en wederhoor, worden geëerbiedigd (zie in die zin arrest van 4 juni 2013, ZZ, C‑300/11, EU:C:2013:363, punt 57 en aldaar aangehaalde rechtspraak).
69 In het kader van de toetsing door de rechter of de toezichthoudende autoriteit artikel 17 van deze richtlijn juist heeft toegepast, dienen de lidstaten te voorzien in regels aan de hand waarvan de bevoegde rechter kennis kan nemen van alle redenen en van het betreffende bewijsmateriaal waarop deze autoriteit de controle van de rechtmatigheid van de betrokken gegevensverwerking alsmede haar conclusies heeft gebaseerd (zie in die zin arrest van 4 juni 2013, ZZ, C‑300/11, EU:C:2013:363, punt 59 en aldaar aangehaalde rechtspraak).
70 Dienaangaande bepaalt artikel 15, lid 4, van richtlijn 2016/680, zoals het Europees Parlement in zijn opmerkingen heeft vermeld, dat de verwerkingsverantwoordelijke de feitelijke of juridische redenen documenteert die ten grondslag liggen aan zijn besluit waarbij het recht van inzage van de betrokkene geheel of gedeeltelijk is beperkt, en dat deze informatie ter beschikking wordt gesteld van de toezichthoudende autoriteiten. Zoals deze instelling heeft voorgesteld, impliceert deze bepaling – gelezen in samenhang met de artikelen 17 en 53 van deze richtlijn en in het licht van artikel 47 van het Handvest – zoals uitgelegd in de rechtspraak die in de punten 68 en 69 van het onderhavige arrest in herinnering is gebracht, dat deze informatie ook ter beschikking moet worden gesteld van de rechter bij wie een beroep tegen de toezichthoudende autoriteit is ingesteld met het oog op de toetsing of dat artikel 17 juist is toegepast.
71 Aldus blijkt uit de punten 63 tot en met 70 van het onderhavige arrest dat de in artikel 17 van richtlijn 2016/680 bedoelde beperking de inhoud van het recht van de betrokkene op een doeltreffende voorziening in rechte tegen het besluit van de toezichthoudende autoriteit om de in die bepaling voorgeschreven procedure te beëindigen, eerbiedigt en de beginselen van noodzakelijkheid en evenredigheid in acht neemt overeenkomstig artikel 52, lid 1, van het Handvest.
72 Gelet op het voorgaande moet worden geoordeeld dat het onderzoek van de tweede vraag geen enkel element aan het licht heeft gebracht dat de geldigheid van artikel 17, lid 3, van richtlijn 2016/680 kan aantasten.
Kosten
73 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Vijfde kamer) verklaart voor recht:
1) Artikel 17 van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad, gelezen in samenhang met artikel 46, lid 1, onder g), artikel 47, leden 1 en 2, en artikel 53, lid 1, van deze richtlijn alsmede met artikel 8, lid 3, en artikel 47 van het Handvest van de grondrechten van de Europese Unie,
moet aldus worden uitgelegd dat
een persoon wiens rechten overeenkomstig dat artikel 17 via de bevoegde toezichthoudende autoriteit werden uitgeoefend en die door deze autoriteit wordt geïnformeerd over het resultaat van de verrichte controles, het recht moet hebben om een doeltreffende voorziening in rechte in te stellen tegen het besluit van die autoriteit om het controleproces te beëindigen.
2) Het onderzoek van de tweede vraag heeft geen enkel element aan het licht gebracht dat de geldigheid van artikel 17, lid 3, van richtlijn 2016/680 kan aantasten.
ondertekeningen