CONCLUSIE VAN ADVOCAAT-GENERAAL
G. PITRUZZELLA
van 9 juni 2022 (1)
Zaak C‑154/21
RW
tegen
Österreichische Post AG
[verzoek van het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 15, lid 1, onder c) – Recht van inzage van de betrokkene – Informatie over de concrete ontvanger of de categorieën van ontvangers aan wie de gegevens zijn meegedeeld”
1. Wanneer een persoon wiens persoonsgegevens worden verwerkt, van de verwerkingsverantwoordelijke informatie wil ontvangen over de derden aan wie deze gegevens worden verstrekt, impliceert zijn recht van inzage dan noodzakelijkerwijs dat hij informatie ontvangt over de concrete ontvangers aan wie de hem betreffende persoonsgegevens worden meegedeeld of hoeft de verwerkingsverantwoordelijke alleen aanwijzingen te verstrekken over de categorieën van ontvangers daarvan?
2. Dat is in wezen de vraag die in deze prejudiciële verwijzing aan het Hof wordt gesteld door de verwijzende rechter, het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk), betreffende de uitlegging van artikel 15, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming; hierna: „AVG”)(2).
3. De vraag van de verwijzende rechter is gerezen in het kader van een geding tussen RW, een natuurlijke persoon, en Österreichische Post AG, de grootste aanbieder van post‑ en logistieke diensten in Oostenrijk, die na een verzoek van RW om inzage van de hem betreffende persoonsgegevens aan RW geen informatie heeft verstrekt over de specifieke ontvangers aan wie zijn persoonsgegevens worden meegedeeld.
I. Toepasselijke bepalingen
4. Artikel 15, lid 1, onder c), AVG, met als opschrift „Recht van inzage van de betrokkene”, bepaalt:
„1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
[…]
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
[…]”
II. Feiten, hoofdgeding en prejudiciële vraag
5. Op 15 januari 2019 heeft RW, verzoeker voor de verwijzende rechter, onder verwijzing naar artikel 15 AVG, Österreichische Post verzocht om onder meer inzage te verkrijgen van de hem betreffende persoonsgegevens die Österreichische Post opslaat dan wel in het verleden heeft opgeslagen, alsmede om hem informatie te verstrekken over wie de ontvangers daarvan waren, voor het geval dat deze gegevens aan derden zijn meegedeeld.
6. In haar antwoord heeft Österreichische Post meegedeeld dat zij, voor zover dat wettelijk is toegestaan, in het kader van haar activiteit als uitgever van telefoongidsen gebruikmaakt van gegevens en deze voor marketingdoeleinden aanbiedt aan zakelijke klanten. Vervolgens heeft zij verwezen naar een website waaruit algemene informatie over de doeleinden van de verwerking van de gegevens van RW kon worden afgeleid en die een link naar een andere website bevatte. Deze tweede website bevatte dan weer algemene informatie over gegevensbescherming en maakte het mogelijk om op algemene wijze een aantal categorieën van ontvangers vast te stellen aan wie Österreichische Post persoonsgegevens meedeelde. Op geen enkel ogenblik heeft Österreichische Post RW echter meegedeeld wie de specifieke ontvangers van de hem betreffende persoonsgegevens waren.
7. RW heeft daarop in rechte gevorderd dat Österreichische Post wordt gelast om hem op grond van artikel 15 AVG meer informatie te verstrekken en hem mee te delen of de hem betreffende persoonsgegevens al dan niet aan derden zijn doorgegeven en, zo ja, aan welke specifieke ontvanger(s) zijn persoonsgegevens zijn verstrekt of nog zullen worden verstrekt. RW betoogt dat de door Österreichische Post verschafte informatie niet voldoet aan de wettelijke vereisten van artikel 15 AVG, omdat daaruit niet is gebleken of Österreichische Post persoonsgegevens van RW aan derden heeft doorgegeven en, in het geval dat er daadwerkelijk persoonsgegevens zijn doorgegeven, wie de specifieke ontvangers van die gegevens waren.
8. De rechter in eerste aanleg en de appelrechter hebben de vordering van RW afgewezen. Zij waren in wezen van oordeel dat, aangezien artikel 15, lid 1, onder c), AVG verwijst naar ontvangers of categorieën van ontvangers, deze bepaling de verwerkingsverantwoordelijke de keuze laat om alleen de categorieën van ontvangers aan de betrokkene mee te delen, zonder dat hij verplicht is de specifieke ontvangers aan wie diens persoonsgegevens worden meegedeeld, bij naam te noemen.
9. RW heeft zijn vorderingen gehandhaafd in het kader van het bij de verwijzende rechter ingestelde cassatieberoep.
10. In de procedure voor de verwijzende rechter heeft Österreichische Post aan RW meegedeeld dat zij in het kader van haar activiteit als uitgever van telefoongidsen gegevens van RW voor marketingdoeleinden heeft verwerkt en deze gegevens heeft doorgegeven aan zakelijke klanten, waaronder adverteerders die actief zijn in online‑ en offlinehandel, IT‑bedrijven, uitgevers van telefoongidsen en verenigingen zoals fondsenwervers, ngo’s of politieke partijen. Zij heeft echter niet bekendgemaakt wie de specifieke ontvangers van de gegevens van RW waren.
11. In die omstandigheden heeft de verwijzende rechter twijfels over de uitlegging van artikel 15 AVG door de feitenrechters en heeft hij derhalve besloten de behandeling van de zaak te schorsen en het Hof de volgende prejudiciële vraag te stellen:
„Moet artikel 15, lid 1, onder c), [AVG] aldus worden uitgelegd dat het recht van inzage beperkt is tot categorieën van ontvangers indien bij de voorgenomen verstrekking van informatie de specifieke ontvangers daarvan nog niet vaststaan, maar dat recht zich noodzakelijkerwijs ook moet uitstrekken tot ontvangers van die informatie wanneer reeds gegevens zijn meegedeeld?”
III. Juridische analyse
12. Met zijn prejudiciële vraag verzoekt de verwijzende rechter het Hof om uitlegging van artikel 15, lid 1, onder c), AVG wat betreft de reikwijdte van het in dat artikel vervatte recht van de betrokkene om van de verwerkingsverantwoordelijke informatie te ontvangen over de ontvangers of de categorieën van ontvangers aan wie zijn persoonsgegevens zijn of zullen worden verstrekt.
13. De verwijzende rechter vraagt zich af of deze bepaling aldus moet worden uitgelegd dat de reikwijdte van dit recht van inzage van de betrokkene anders is naargelang de gegevens reeds zijn verstrekt – in welk geval dit recht zich moet uitstrekken tot de concrete ontvangers ervan – dan wel in de toekomst zullen worden verstrekt aan concrete ontvangers die nu nog niet vaststaan – in welk geval dit recht moet worden geacht zich te beperken tot informatie over categorieën van ontvangers.
14. In dit verband moet om te beginnen worden opgemerkt dat artikel 15 AVG het recht van inzage van de betrokkene regelt, ten aanzien van de verwerkingsverantwoordelijke, van de hem betreffende persoonsgegevens die worden verwerkt, alsmede van diverse informatie over met name de verwerking zelf. Deze bepaling concretiseert en specificeert het recht van inzage van eenieder van de over hem verzamelde gegevens, zoals neergelegd in artikel 8, lid 2, tweede zin, van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”).(3)
15. Meer in het bijzonder heeft de betrokkene overeenkomstig artikel 15, lid 1, AVG in de eerste plaats het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Wanneer er sprake is van verwerking, heeft de betrokkene het recht om inzage te verkrijgen van de verwerkte persoonsgegevens en van diverse informatie, die onder a) tot en met h) van die bepaling wordt genoemd. In dit verband heeft de betrokkene overeenkomstig artikel 15, lid 1, onder c), AVG het recht de informatie in te zien over de „ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties”.
16. Om de prejudiciële vraag van de verwijzende rechter te beantwoorden, moet eerst artikel 15, lid 1, onder c), AVG worden uitgelegd teneinde de juiste reikwijdte te bepalen van het erin vervatte recht van de betrokkene om informatie te ontvangen over de ontvangers aan wie zijn persoonsgegevens worden meegedeeld.
17. In dit verband zij eraan herinnerd dat volgens vaste rechtspraak bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met de context ervan en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt.(4)
18. Omdat de AVG een regeling treft in verband met de verwerking van persoonsgegevens die afbreuk kan doen aan de fundamentele vrijheden, en inzonderheid aan het recht op eerbiediging van het privéleven, moet zij bovendien noodzakelijkerwijs worden uitgelegd op basis van de grondrechten die door het Handvest worden gewaarborgd.(5)
19. Uit vaste rechtspraak blijkt ook dat wanneer een bepaling van het Unierecht voor verschillende uitleggingen vatbaar is, de voorkeur moet worden gegeven aan de uitlegging die de nuttige werking van de bepaling verzekert.(6)
20. Zoals de verwijzende rechter en meerdere interveniërende partijen voor het Hof hebben opgemerkt, kan om te beginnen op basis van de bewoordingen van artikel 15, lid 1, onder c), AVG geen sluitend antwoord worden gegeven op de vraag of het daarin vervatte recht van inzage van de betrokkene noodzakelijkerwijs moet worden geacht ook inzage te omvatten van informatie over specifieke ontvangers aan wie persoonsgegevens worden meegedeeld dan wel kan worden beperkt tot inzage van informatie over de categorieën van ontvangers. In deze bepaling worden de begrippen „ontvangers” en „categorieën van ontvangers” namelijk op neutrale wijze na elkaar gebruikt zonder dat daaruit een rangorde kan worden afgeleid. Bovendien vermeldt deze bepaling evenmin uitdrukkelijk of een keuze kan worden gemaakt tussen de twee mogelijke categorieën van informatie (te weten „ontvangers” of „categorieën van ontvangers”), en wie (te weten de betrokkene of de verwerkingsverantwoordelijke) eventueel mag kiezen van welk soort informatie inzage moet worden verleend.
21. Zoals de verwijzende rechter eveneens heeft opgemerkt, zorgt de opzet van artikel 15, lid 1, AVG er mijns inziens voor dat de voorkeur moet uitgaan naar een uitlegging van dat artikel in die zin dat het aan de betrokkene staat om de keuze te maken tussen de twee daarin voorziene mogelijkheden (en dus niet aan de verwerkingsverantwoordelijke zoals in casu door de twee nationale feitenrechters is geoordeeld). Anders dan andere bepalingen van de AVG, zoals de artikelen 13 en 14(7), die zo zijn gestructureerd dat zij voorzien in een informatieplicht van de verwerkingsverantwoordelijke, voorziet deze bepaling in een daadwerkelijk recht van inzage van de betrokkene. De uitoefening van dit recht van inzage door de betrokkene veronderstelt logischerwijs dat de houder van dit recht kan kiezen of hij inzage wil verkrijgen van informatie betreffende, indien mogelijk, de specifieke ontvangers aan wie de gegevens zijn of zullen worden verstrekt, dan wel of hij louter informatie betreffende de categorieën ontvangers wil opvragen.
22. Een uitlegging van artikel 15, lid 1, onder c), AVG in die zin dat het voorziet in het recht van de betrokkene om indien mogelijk inzage te vragen van informatie over de specifieke ontvangers aan wie zijn persoonsgegevens worden meegedeeld, wordt overigens zowel bevestigd door een analyse van de context van die bepaling als door het oogmerk ervan in het licht van de doelstellingen en de algemene opzet van de AVG.
23. In dit verband merk ik in de eerste plaats op dat in overweging 63 van de AVG uitdrukkelijk is vermeld dat de betrokkene „het recht [dient] te hebben, te weten en te worden meegedeeld […] wie de persoonsgegevens ontvangt”. Deze overweging, in het licht waarvan de betrokken bepaling moet worden uitgelegd, verwijst naar het recht van de betrokkene om inzage te verkrijgen van de specifieke ontvangers aan wie zijn persoonsgegevens worden meegedeeld en vermeldt geenszins dat dit recht naar goeddunken van de verwerkingsverantwoordelijke kan worden beperkt tot louter de categorieën van ontvangers.
24. Bovendien blijkt uitdrukkelijk uit de rechtspraak dat de AVG, zoals blijkt uit overweging 10 ervan, met name een hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen en daartoe een coherente en homogene toepassing van de regels inzake bescherming van de grondrechten van deze personen in verband met de verwerking van persoonsgegevens binnen de gehele Unie wil verzekeren.(8)
25. Hiertoe moet elke verwerking van persoonsgegevens in overeenstemming zijn met de in artikel 5 van die verordening geformuleerde beginselen.(9) In het bijzonder blijkt uit artikel 5, lid 1, onder a), AVG dat de persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene transparant is.(10) In die context vormt artikel 15 AVG, dat het recht van inzage van de betrokkene regelt, een fundamentele bepaling om te waarborgen dat de wijze waarop de gegevens worden verwerkt, transparant is voor de betrokkenen.
26. Zoals blijkt uit overweging 63 van de AVG(11), heeft dit recht van inzage in de eerste plaats tot doel de betrokkene in staat te stellen zich van de verwerking van zijn gegevens op de hoogte te stellen en de rechtmatigheid ervan te controleren(12). Door dit recht van inzage uit te oefenen moet de betrokkene met name kunnen controleren dat de hem betreffende gegevens juist zijn, maar ook dat zij worden verstrekt aan gemachtigde ontvangers.(13) Dit veronderstelt in beginsel dat zo nauwkeurig mogelijke aanwijzingen worden verstrekt.
27. In dat verband ben ik het met de Commissie eens dat wanneer de specifieke ontvangers niet onder het in artikel 15, lid 1, onder c), AVG vervatte recht van inzage van de betrokkene zouden vallen en dit recht zou worden beperkt tot louter de categorieën van ontvangers, het voor de betrokkene onmogelijk zou zijn de rechtmatigheid van de verwerking door de verwerkingsverantwoordelijke volledig te controleren en in het bijzonder om de rechtmatigheid van de reeds verrichte mededelingen van persoonsgegevens te controleren. Bij een dergelijke uitlegging van de betrokken bepaling zou de betrokkene niet kunnen nagaan of zijn gegevens alleen aan gemachtigde ontvangers zijn verstrekt, wat in strijd is met de in het vorige punt gestelde eisen.
28. In de tweede plaats en in verband met het eerste doeleinde, is dit recht van inzage noodzakelijk, zoals het Hof reeds heeft opgemerkt, opdat de betrokkene zijn rechten op rectificatie van gegevens, op gegevenswissing („recht op vergetelheid”) en op beperking van de verwerking kan uitoefenen, die hem respectievelijk door de artikelen 16, 17 en 18 AVG worden verleend.(14) Het Hof heeft eveneens verduidelijkt dat dit recht van inzage ook noodzakelijk is om de betrokkene de mogelijkheid te bieden tot uitoefening van het in artikel 21 AVG bedoelde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens of van het in de artikelen 79 en 82 AVG neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt, en om schadevergoeding te ontvangen.(15)
29. Een uitlegging van de betrokken bepaling waarbij het voor de betrokkene onmogelijk is om informatie te verkrijgen over de specifieke ontvangers aan wie zijn persoonsgegevens worden meegedeeld, zou tot gevolg hebben dat de betrokkene ten aanzien van die ontvangers, aangezien hij niet weet wie zij zijn, de aan hem door de bovengenoemde bepalingen van de AVG verleende rechten niet kan uitoefenen of dat het onevenredig veel inspanning vergt om deze uit te oefenen.(16) Bij een dergelijke uitlegging is de nuttige werking van de bovengenoemde bepalingen en de rechten die erin worden verleend, dus niet verzekerd.
30. Vanuit contextueel oogpunt wordt de bovengenoemde uitlegging van artikel 15, lid 1, onder c), AVG bovendien ook bevestigd door artikel 19 van diezelfde verordening. Volgens dat laatste artikel stelt de „verwerkingsverantwoordelijke […] iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking overeenkomstig artikel 16, artikel 17, lid 1, en artikel 18, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt”.
31. Artikel 19 AVG verplicht de verwerkingsverantwoordelijke dus om alle ontvangers aan wie hij persoonsgegevens heeft verstrekt, in kennis te stellen van elk verzoek om rectificatie, wissing of beperking van de verwerking van die gegevens waaraan hij gevolg moet geven. De aldus in kennis gestelde ontvangers zijn dus verplicht onmiddellijk over te gaan tot rectificatie, wissing of beperking van de verwerking, voor zover zij de desbetreffende gegevens nog verwerken. Ter verwezenlijking van de in punt 24 genoemde doelstelling om een hoog niveau van bescherming te waarborgen, beoogt artikel 19 AVG in die zin de betrokkene – nadat hij op grond van artikel 15, lid 1, onder c), AVG om informatie heeft verzocht – te bevrijden van de last om ook aan alle betrokken ontvangers overeenkomstige verzoeken tot rectificatie, wissing of beperking van de verwerking te moeten sturen. De betrokkene moet echter wel kunnen nagaan of de rectificatie, wissing of beperking daadwerkelijk heeft plaatsgevonden na de kennisgeving ervan door de verwerkingsverantwoordelijke. In die optiek moet de verwerkingsverantwoordelijke dus op grond van artikel 19 AVG aan de betrokkene informatie verstrekken over deze ontvangers indien de betrokkene daarom verzoekt.
32. Artikel 19 AVG bevestigt dat de AVG, teneinde de nuttige werking van de in de artikelen 16, 17 en 18 AVG vervatte rechten van de betrokkene op wissing, rectificatie of beperking van de verwerking te verzekeren, de betrokkene in beginsel recht moet hebben op bekendmaking van de identiteit van de specifieke ontvangers wanneer zijn persoonsgegevens reeds zijn meegedeeld. Alleen op die manier kan de betrokkene namelijk zijn rechten jegens hen doen gelden.
33. Uit het voorgaande volgt dat het in artikel 15, lid 1, onder c), AVG neergelegde recht van inzage een functionele en instrumentele rol speelt bij de uitoefening van andere voorrechten van de betrokkene uit hoofde van de AVG. Hieruit volgt dat deze bepaling, om de nuttige werking van alle bovengenoemde bepalingen van de AVG te verzekeren, aldus moet worden uitgelegd dat het in die bepaling bedoelde recht van inzage in beginsel noodzakelijkerwijs betrekking moet hebben op de mogelijkheid om van de verwerkingsverantwoordelijke informatie te ontvangen over de specifieke ontvangers aan wie de persoonsgegevens van de betrokkene worden meegedeeld.
34. De uitbreiding van het in artikel 15, lid 1, onder c), AVG bedoelde recht van inzage tot de specifieke ontvangers van die gegevens stuit mijns inziens echter in ten minste twee gevallen op grenzen.
35. Ten eerste kan in gevallen waarin het materieel onmogelijk is om informatie te verstrekken over de specifieke ontvangers, bijvoorbeeld omdat nog niet vaststaat om wie het gaat, uiteraard niet van de verwerkingsverantwoordelijke worden verwacht dat hij informatie verstrekt die nog niet bestaat. In dat geval, dat uitdrukkelijk in het verzoek om een prejudiciële beslissing is vermeld, kan het recht van inzage van de betrokkene dus alleen betrekking hebben op de categorieën van ontvangers.
36. Ten tweede moeten, zoals de Italiaanse regering heeft opgemerkt, de uitoefening van het recht van inzage van de betrokkene en de nakoming van de overeenkomstige verplichting door de verwerkingsverantwoordelijke worden beschouwd in het licht van de beginselen van billijkheid en evenredigheid.
37. In dit verband zij eraan herinnerd dat, zoals blijkt uit de rechtspraak van het Hof, de in de artikelen 7 en 8 van het Handvest verankerde rechten geen absolute gelding hebben, maar dat zij moeten worden beschouwd in relatie tot hun functie in de samenleving.(17)
38. In deze context blijkt uitdrukkelijk uit artikel 12, lid 5, dat ook uitdrukkelijk van toepassing is op de bepaling waarop de prejudiciële vraag betrekking heeft, dat de verzoeken van de betrokkene niet kennelijk ongegrond of buitensporig mogen zijn en dat, indien dat wel het geval is, de verwerkingsverantwoordelijke ook kan weigeren om gevolg te geven aan het verzoek. Uit dezelfde bepaling blijkt overigens dat het „aan de verwerkingsverantwoordelijke [is] om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen”.
39. Daarnaast heeft het Hof reeds verduidelijkt dat moet worden gezocht naar een juist evenwicht tussen, enerzijds, het belang van de betrokkene bij de bescherming van zijn persoonlijke levenssfeer, met name door uitoefening van de in hoofdstuk III van de AVG neergelegde rechten en de mogelijkheden om zich tot de rechter te wenden, en, anderzijds, de last die de verplichting inhoudt voor de verwerkingsverantwoordelijke.(18) Bij het zoeken naar dit juiste evenwicht blijkt een groter gewicht te worden toegekend aan de bescherming van de persoonsgegevens en de persoonlijke levenssfeer van de betrokkene, zoals blijkt uit het feit dat de verwerkingsverantwoordelijke de kennelijk ongegronde of buitensporige aard van het verzoek om inzage van de betrokkene moet aantonen alvorens hij kan weigeren om er gevolg aan te geven.
IV. Conclusie
40. Gelet op het voorgaande geef ik het Hof in overweging de prejudiciële vraag van het Oberste Gerichtshof te beantwoorden als volgt:
„Artikel 15, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moet aldus worden uitgelegd dat het daarin geregelde recht van inzage van de betrokkene, indien hij daarom verzoekt, zich noodzakelijkerwijs moet uitstrekken tot de vermelding van de specifieke ontvangers aan wie zijn persoonsgegevens worden verstrekt. Alleen wanneer het materieel onmogelijk is om de specifieke ontvangers te identificeren aan wie de persoonsgegevens van de betrokkene worden verstrekt, of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12, lid 5, van verordening (EU) 2016/679 kan dit recht van inzage worden beperkt tot de vermelding van de categorieën van ontvangers.”