Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
L. MEDINA
van 15 juni 2023 (1)
Zaak C‑333/22
Ligue des droits humains ASBL,
BA
tegen
Controleorgaan op de politionele informatie
[verzoek van de cour d’appel de Bruxelles (hof van beroep Brussel, België) om een prejudiciële beslissing]
„Verzoek om een prejudiciële beslissing – Bescherming van personen met betrekking tot de verwerking van persoonsgegevens in strafzaken – Uitoefening van de rechten van betrokkenen via de bevoegde toezichthoudende autoriteit – Controle door die autoriteit of de persoonsgegevens van de betrokkene rechtmatig zijn verwerkt – Recht om een doeltreffende voorziening in rechte in te stellen tegen de toezichthoudende autoriteit”
1. Richtlijn (EU) 2016/680(2), beter bekend als de „richtlijn rechtshandhaving”, stelt specifieke regels vast voor de bescherming van persoonsgegevens en het vrije verkeer van die gegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking en weerspiegelt in wezen de „specifieke aard van die gebieden”.(3) Richtlijn 2016/680 streeft twee beleidsdoelstellingen na. De richtlijn is enerzijds bedoeld om bij te dragen aan de totstandkoming van een ruimte van vrijheid, veiligheid en recht(4), waardoor het vrije verkeer van persoonsgegevens tussen bevoegde autoriteiten met het oog op handhavingsdoeleinden mogelijk wordt gemaakt(5). Anderzijds wordt ermee beoogd een hoge mate van bescherming van die persoonsgegevens te waarborgen. Artikel 16, lid 2, VWEU, dat de Uniewetgever opdraagt voorschriften betreffende de bescherming van persoonsgegevens vast te stellen, is de rechtsgrondslag ervan.
2. Het is echter geen gemakkelijke opdracht om beide door richtlijn 2016/680 nagestreefde beleidsdoelstellingen met elkaar te „verzoenen”.(6) De onderhavige zaak biedt het Hof de gelegenheid om in een concreet geval de afweging te maken tussen rechtshandhaving en gegevensbescherming in het kader van de uitoefening door betrokkenen van hun rechten. Door de richtlijn worden de rechten van betrokkenen versterkt in vergelijking met de vorige regeling, die was vervat in kaderbesluit 2008/977/JBZ van de Raad(7). Dit houdt met name in dat wordt erkend dat de betrokkene een recht op rechtstreekse inzage heeft, een essentieel onderdeel van het grondrecht op gegevensbescherming. Zoals in de rechtsleer is opgemerkt, zijn de rechten van betrokkenen op het gebied van rechtshandhaving „een essentieel instrument tegen op gezag berustende asymmetrische verhoudingen op het gebied van informatie en illegale verwerkingen”.(8) Het is derhalve van zeer groot belang dat deze rechten doeltreffend kunnen worden uitgeoefend.
I. Toepasselijke bepalingen
Unierecht
Richtlijn 2016/680
3. Artikel 3 van richtlijn 2016/680 bevat de volgende definities:
„[...]
8) ‚verwerkingsverantwoordelijke’: de bevoegde autoriteit die, alleen of samen met andere, de doeleinden van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doeleinden van en de middelen voor die verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
[...]
15) ‚toezichthoudende autoriteit’: een door een lidstaat ingevolge artikel 41 ingestelde onafhankelijke overheidsinstantie;
[...]”
4. Hoofdstuk III van richtlijn 2016/680 draagt het opschrift „Rechten van de betrokkene”. Artikel 13 („Aan de betrokkene ter beschikking gestelde of verstrekte informatie”) behoort tot dat hoofdstuk en bepaalt in de leden 3 en 4:
„3. De lidstaten kunnen wettelijke maatregelen treffen om de verstrekking van de in lid 2 bedoelde informatie aan de betrokkene uit te stellen, te beperken of achterwege te laten, voor zover en zolang een dergelijke maatregel in een democratische samenleving, met inachtneming van de grondrechten en de legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is om:
a) belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;
b) nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen te voorkomen;
c) de openbare veiligheid te beschermen;
d) de nationale veiligheid te beschermen;
e) de rechten en vrijheden van anderen te beschermen.
4. De lidstaten kunnen wettelijke maatregelen treffen om te bepalen welke verwerkingscategorieën geheel of gedeeltelijk onder een van de punten van lid 3 kunnen vallen.”
5. Artikel 14 van richtlijn 2016/680, met als opschrift „Recht op inzage van de betrokkene”, luidt als volgt:
„Behoudens artikel 15 schrijven de lidstaten voor dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over de al dan niet verwerking van hem betreffende persoonsgegevens en, wanneer dat het geval is, om die persoonsgegevens in te zien en om de volgende informatie te verkrijgen:
[...]”
6. Artikel 15 van richtlijn 2016/680, getiteld „Beperkingen van het inzagerecht”, bepaalt het volgende:
„1. De lidstaten kunnen wettelijke maatregelen treffen om het inzagerecht van de betrokkene geheel of gedeeltelijk te beperken, voor zover en zolang die volledige of gedeeltelijke beperking in een democratische samenleving, met inachtneming van de grondrechten en legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is om:
a) belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;
b) nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen te voorkomen;
c) de openbare veiligheid te beschermen;
d) de nationale veiligheid te beschermen;
e) de rechten en vrijheden van anderen te beschermen.
2. De lidstaten kunnen wettelijke maatregelen treffen om te bepalen welke verwerkingscategorieën geheel of gedeeltelijk onder de vrijstellingen van lid 1 kunnen vallen.
3. In de in de leden 1 en 2 bedoelde gevallen schrijven de lidstaten voor dat de verwerkingsverantwoordelijke de betrokkene zonder onnodige vertraging schriftelijk in kennis stelt van een eventuele weigering of beperking van de inzage en van de redenen voor die weigering of beperking. Die informatie kan achterwege worden gelaten wanneer de verstrekking daarvan een van de doeleinden van lid 1 zou ondermijnen. De lidstaten schrijven voor dat de verwerkingsverantwoordelijke de betrokkene inlicht over de mogelijkheid om klacht in te dienen bij een toezichthoudende instantie of om een beroep in te stellen bij de rechter.
4. De lidstaten voorzien erin dat de verwerkingsverantwoordelijke de feitelijke of juridische redenen die aan het besluit ten grondslag liggen, documenteert. Die informatie wordt ter beschikking gesteld van de toezichthoudende autoriteiten.”
7. Artikel 16 van dezelfde richtlijn, met als opschrift „Recht op rectificatie of wissing van persoonsgegevens en verwerkingsbeperking”, bepaalt in lid 4:
„De lidstaten voorzien erin dat de verwerkingsverantwoordelijke de betrokkene schriftelijk in kennis stelt van een eventuele weigering tot rectificatie of wissing van persoonsgegevens of verwerkingsbeperking, en van de redenen voor die weigering. De lidstaten kunnen wettelijke maatregelen treffen om de verplichting tot het verstrekken van die informatie geheel of gedeeltelijk te beperken, voor zover een dergelijke verwerkingsbeperking in een democratische samenleving, met inachtneming van de grondrechten en legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is om:
a) belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;
b) nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen te voorkomen;
c) de openbare veiligheid te beschermen;
d) de nationale veiligheid te beschermen;
e) de rechten en vrijheden van anderen te beschermen.
De lidstaten voorzien erin dat de verwerkingsverantwoordelijke de betrokkene inlicht over de mogelijkheid om klacht in te dienen bij een toezichthoudende instantie of om beroep in te stellen bij de rechter.”
8. Artikel 17 van richtlijn 2016/680, met het opschrift „Uitoefening van rechten door de betrokkene en controle door de toezichthoudende autoriteit”, luidt:
„1. In de in artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, bedoelde gevallen treffen de lidstaten maatregelen die ertoe strekken dat de betrokkene zijn rechten ook via de bevoegde toezichthoudende autoriteit kan uitoefenen.
2. De lidstaten schrijven voor dat de verwerkingsverantwoordelijke de betrokkene in kennis stelt van de mogelijkheid uit hoofde van lid 1 zijn rechten via de toezichthoudende autoriteit uit te oefenen.
3. Wanneer het in lid 1 bedoelde recht wordt uitgeoefend, stelt de toezichthoudende autoriteit de betrokkene er ten minste van in kennis dat alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden. De toezichthoudende autoriteit stelt de betrokkene tevens in kennis van zijn recht om beroep in te stellen bij de rechter. De toezichthoudende autoriteit stelt de betrokkene tevens in kennis van zijn recht om beroep in te stellen bij de rechter.”
Belgisch recht
9. De wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (Belgisch Staatsblad, 5 september 2018, blz. 68616; hierna: „WBG”) vormt de omzetting van richtlijn 2016/680 in Belgisch recht. In titel 2, hoofdstuk III, WBG zijn de rechten van betrokkenen opgenomen, die in wezen bestaan in het recht op informatie, het recht op toegang tot gegevens en het recht op rectificatie.
10. Artikel 42 WBG bepaalt het volgende:
„Het verzoek tot uitoefening van de rechten bedoeld in dit hoofdstuk voor wat betreft de politiedienst [...] of de algemene inspectie van de federale politie en de lokale politie, wordt aan de toezichthoudende autoriteit bedoeld in artikel 71 gericht.
In de in de artikelen 37, § 2, 38, § 2, 39, § 4, en 62, § 1, bedoelde gevallen deelt de toezichthoudende autoriteit bedoeld in artikel 71 uitsluitend mee aan de betrokkene dat de nodige verificaties werden verricht.
Niettegenstaande het tweede lid kan de toezichthoudende autoriteit bedoeld in artikel 71 aan de betrokkene bepaalde contextuele informatie verstrekken.
De Koning, na advies van de toezichthoudende autoriteit bedoeld in artikel 71, bepaalt de categorieën van contextuele informatie die door deze toezichthoudende autoriteit aan de betrokkene kunnen worden medegedeeld.”
11. Volgens de verwijzende rechter is de „contextuele informatie” die het Controleorgaan op de politionele informatie aan de betrokkene kan verstrekken, tot nu toe niet gepreciseerd in een koninklijk besluit waarin artikel 42, vierde zin, van de wet voorziet.
12. Artikel 71 WBG bepaalt het volgende:
㤠1. Bij de Kamer van volksvertegenwoordigers wordt een onafhankelijke toezichthoudende autoriteit op de politionele informatie opgericht, Controleorgaan op de politionele informatie genoemd.
[...]
Zij is [...] belast met: 1° het toezicht op de toepassing van deze titel [...]”.
13. Hoofdstuk I van titel 5 van de WBG draagt het opschrift „Vordering tot staking”. Artikel 209 van dat hoofdstuk is aldus verwoord:
„Onverminderd andere mogelijkheden tot rechterlijk, administratief of buitengerechtelijk beroep, stelt de voorzitter van de rechtbank van eerste aanleg, zitting houdende zoals in kort geding, het bestaan vast van een verwerking die een inbreuk uitmaakt op een wettelijke en reglementaire bepaling betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en beveelt er de staking van.
De voorzitter van de rechtbank van eerste aanleg, zitting houdende zoals in kort geding, neemt kennis van de vorderingen betreffende het door of krachtens de wet verleende recht om kennis te krijgen van persoonsgegevens, alsook van de vorderingen tot rectificatie, tot verwijdering of tot het verbieden van de aanwending van onjuiste persoonsgegevens of die gelet op het doel van de verwerking onvolledig of niet ter zake dienend zijn, dan wel waarvan de registratie de mededeling of de bewaring verboden is, tegen de verwerking waarvan de betrokkene zich heeft verzet of die langer bewaard werden dan de toegestane duur.”
14. Artikel 240 WBG bepaalt dat het Controleorgaan op de politionele informatie:
„4° [...] klachten [behandelt], [...] de inhoud van de klacht [onderzoekt] in de mate waarin dat nodig is en [...] de klager binnen een redelijke termijn in kennis [stelt] van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit nodig is. [...]”
II. Feiten, hoofdgeding en prejudiciële vragen
15. In 2016 wenste BA mee te werken aan de montage en demontage van de installaties voor de tiende editie van de „Europese ontwikkelingsdagen” in Brussel. Hij diende daarvoor te beschikken over een „veiligheidsattest”.
16. Bij brief van 22 juni 2016 heeft de Nationale Veiligheidsoverheid de afgifte van het vereiste veiligheidsattest geweigerd. Zij heeft erop gewezen dat uit de gegevens die haar waren verstrekt bleek dat de betrokkene tussen 2007 en 2016 had deelgenomen aan tien betogingen, waardoor geen veiligheidsattest kon worden afgegeven. BA heeft dit besluit van de Nationale Veiligheidsoverheid niet aangevochten.
17. De WBG, waarbij het Controleorgaan op de politionele informatie (hierna: „controleorgaan”) wordt opgericht, is op 5 september 2018 in werking getreden.
18. Op 4 februari 2020 heeft de raadsman van BA het controleorgaan verzocht om de verantwoordelijken voor de litigieuze verwerking te identificeren en hun te gelasten BA inzage te geven in alle hem betreffende informatie.
19. Bij e-mail van 6 februari 2020 heeft het controleorgaan geantwoord dat BA slechts een indirect inzagerecht had en heeft het hem verzekerd dat het de persoonsgegevens van BA zou verifiëren om de rechtmatigheid van een eventuele verwerking van de gegevens in de Algemene Nationale Gegevensbank (ANG) te waarborgen. Het controleorgaan heeft verduidelijkt dat het de politie kon gelasten de gegevens, zo nodig, te verwijderen of te wijzigen, en dat BA na die controle ervan in kennis zou worden gesteld dat „de nodige verificaties [werden] verricht”.
20. Op 22 juni 2020 heeft het controleorgaan geschreven:
„[...] deel ik u overeenkomstig artikel 42 [WBG] mee dat het controleorgaan de nodige verificaties heeft verricht.
Dit betekent dat de persoonsgegevens van uw cliënt zijn geverifieerd in de politionele gegevensbanken om de rechtmatigheid van een eventuele verwerking te waarborgen.
Waar nodig zijn de persoonsgegevens gewijzigd of verwijderd.
Zoals ik u in mijn e-mail van 2 juni jongstleden heb uitgelegd, staat artikel 42 WBG het controleorgaan niet toe meer informatie te verstrekken.”
21. Op 2 september 2020 hebben verzoekers in het hoofdgeding, namelijk BA en de Ligue des droits humains, het controleorgaan op grond van de tweede zin van artikel 209 WBG gedagvaard voor de voorzitter van de tribunal de première instance du tribunal francophone de Bruxelles (Franstalige rechtbank van eerste aanleg Brussel, België). Zij hebben de voorzitter verzocht hun beroep tegen het controleorgaan ontvankelijk te verklaren. Subsidiair hebben zij hem gevraagd of artikel 42 WBG in strijd is met artikel 47, lid 4, en artikel 17, lid 3, van richtlijn 2016/680. BA en de Ligue des droits humains hebben in dat verband aangevoerd dat artikel 42 WBG niet voorziet in de mogelijkheid om beroep in rechte in te stellen tegen besluiten van het onafhankelijke controleorgaan en dat orgaan evenmin verplicht om de betrokkene in kennis te stellen van zijn recht om beroep in te stellen bij de rechter.
22. Wat de grond van hun beroep betreft, hebben de verzoekende partijen de voorzitter verzocht om inzage in alle persoonsgegevens van BA, en om het controleorgaan te gelasten de verwerkingsverantwoordelijken en de eventuele ontvangers van die gegevens te identificeren. Subsidiair hebben zij hem verzocht om het Hof met name de vraag voor te leggen of artikel 42, tweede alinea, WBG verenigbaar is met de artikelen 14, 15 en 17 van richtlijn 2016/680, gelezen in het licht van de artikelen 8 en 47 en artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”). In dit verband hebben zij geklaagd over het feit dat artikel 42, tweede alinea, WBG voorziet in een algemene en systematische uitzondering van het recht op inzage in persoonsgegevens.
23. Bij beschikking van 17 mei 2021 heeft die voorzitter zich onbevoegd verklaard om het beroep van de verzoekende partijen te behandelen.
24. Bij verzoekschrift van 15 juni 2021 is de zaak aanhangig gemaakt bij de cour d’appel de Bruxelles (hof van beroep Brussel, België). Appellanten hebben in wezen hun kritiek herhaald op artikel 42, tweede alinea, WBG en de verzoeken bevestigd die zij in het kader van de procedure in eerste aanleg hadden gedaan.
25. Het controleorgaan heeft verzocht het hoger beroep te verwerpen.
26. De verwijzende rechter merkt op dat gegevens die door de politiediensten worden verwerkt, volgens het Belgische recht aan een bijzondere regeling zijn onderworpen. Krachtens artikel 42 WBG worden alle verzoeken die zijn gebaseerd op rechten op die persoonsgegevens gericht aan het controleorgaan. Dat orgaan deelt de betrokkene enkel mee dat „de nodige verificaties werden verricht”.
27. De verwijzende rechter merkt op dat artikel 17, lid 3, van richtlijn 2016/680 niet naar behoren in nationaal recht is omgezet. Ten eerste bepaalt artikel 42 WBG niet dat het controleorgaan de betrokkene in kennis moet stellen van zijn recht om beroep in te stellen bij de rechter. In de WBG is ten tweede niet voorzien in de mogelijkheid om beroep in rechte in te stellen tegen het controleorgaan.
28. De verwijzende rechter geeft in dat verband allereerst aan dat het rechtsmiddel van artikel 240 WBG, dat de betrokkene de mogelijkheid biedt om een klacht in te dienen bij het controleorgaan, moet zijn gericht tegen de verwerkingsverantwoordelijke.
29. Tevens merkt hij op dat de vordering tot staking, zoals geregeld in de artikelen 209 en volgende WBG, BA evenmin een daadwerkelijk rechtsmiddel tegen het controleorgaan verleent. De verwijzende rechter wijst er dienaangaande op dat uit deze bepalingen ten eerste voortvloeit dat de vordering tegen de verwerkingsverantwoordelijke moet worden ingesteld, wat betekent dat BA ze niet kan instellen tegen het controleorgaan. Ten tweede biedt artikel 42 WBG BA niet de mogelijkheid om een dergelijke vordering in te stellen tegen de verwerkingsverantwoordelijke, aangezien de uitoefening van zijn rechten is toevertrouwd aan het controleorgaan. Ten derde stelt de uiterst summiere informatie die overeenkomstig artikel 42 WBG door het controleorgaan wordt verstrekt, noch BA, noch een rechter in staat om in het kader van een controle achteraf te beoordelen of het controleorgaan de rechten van BA naar behoren heeft uitgeoefend.
30. Ten slotte is de vordering tot staking weliswaar geregeld in de WBG „[o]nverminderd andere mogelijkheden tot rechterlijk, administratief of buitengerechtelijk beroep” en zonder beperking van „de bevoegdheid van de rechtbank van eerste aanleg en van de voorzitter van de rechtbank van eerste aanleg zetelend in kort geding” (artikelen 209 en 219 WBG), maar zou elk ander rechtsmiddel dat door BA zou worden ingesteld volgens de verwijzende rechter op dezelfde obstakels stoten.
31. In deze omstandigheden heeft de cour d’appel de Bruxelles de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Vereisen artikel 47 en artikel 8, lid 3, [van het Handvest] dat wordt voorzien in een voorziening in rechte tegen een onafhankelijke toezichthoudende autoriteit zoals het [controleorgaan], wanneer zij de rechten van de betrokkene uitoefent jegens de verwerkingsverantwoordelijke?
2) Is artikel 17 van richtlijn 2016/680 in overeenstemming met artikel 47 en artikel 8, lid 3, [van het Handvest], zoals uitgelegd door het Hof van Justitie, voor zover het de toezichthoudende autoriteit – die de rechten van de betrokkene uitoefent jegens de verwerkingsverantwoordelijke – slechts verplicht om de betrokkene ervan in kennis te stellen ‚dat alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden’ en om hem te informeren ‚over zijn recht om beroep in te stellen bij de rechter’, hoewel er aan de hand van dergelijke informatie geen controle a posteriori kan worden uitgeoefend op het optreden en de beoordeling van de toezichthoudende autoriteit met betrekking tot de gegevens van de betrokkene en de verplichtingen van de verwerkingsverantwoordelijke?”
32. Verzoekers in het hoofdgeding, de Belgische regering, de Tsjechische Republiek, de Europese Commissie en het Europees Parlement hebben schriftelijke opmerkingen ingediend. Het Hof heeft de Belgische regering verzocht om schriftelijk te antwoorden op een aantal schriftelijk gestelde vragen. Deze regering heeft dat op 13 maart 2023 gedaan. Verzoekers en verweerder in het hoofdgeding, de Franse regering, alsook de Europese Commissie en het Europees Parlement hebben deelgenomen aan de mondelinge behandeling op 29 maart 2023.
III. Beoordeling
Opmerkingen vooraf
33. De prejudiciële vragen betreffen in wezen de rechterlijke toetsing van het optreden van een toezichthoudende autoriteit (in casu het controleorgaan), en de omvang en de doeltreffendheid daarvan in de situatie waarin deze autoriteit de rechten van de betrokkene namens deze laatste uitoefent, waardoor de rechten dus indirect worden uitgeoefend. De verwijzende rechter heeft de structuur van de Belgische regeling inzake indirecte inzage door de betrokkenen als zodanig niet aan de orde gesteld. Een stelsel waarin inzage voor betrokkenen praktisch onmogelijk of uiterst moeilijk is, tast echter onvermijdelijk het recht aan op een daadwerkelijk rechtsmiddel. Om te beginnen moet dus de structuur van de rechten die betrokkenen ontlenen aan richtlijn 2016/680 kort worden beschreven, waarna kan worden onderzocht hoe de Belgische regeling voor indirecte inzage daarin past.
a) Rechten van betrokkenen op grond van richtlijn 2016/680 en beperkingen op die rechten
34. Het recht op inzage in de verzamelde gegevens en het recht op rectificatie van die gegevens is een essentieel onderdeel van het in artikel 8, lid 2, van het Handvest verankerde recht op bescherming van persoonsgegevens. In het algemeen worden met het recht op inzage twee belangrijke doelstellingen nagestreefd, namelijk „de transparantie vergroten en de controle vergemakkelijken”.(9) Zoals in de rechtsleer wordt benadrukt, bevordert dit recht de transparantie omdat het zorgt voor „een tweede, grondiger en gedetailleerder informatielaag voor de betrokkene”.(10) Het inzagerecht vergemakkelijkt controle, aangezien het een voorwaarde is voor de uitoefening van andere rechten, namelijk het recht op rectificatie of wissing van persoonsgegevens of het recht om beroep in rechte in te stellen.(11)
35. Uit overweging 7 van richtlijn 2016/680 volgt dat deze richtlijn een doeltreffende bescherming van persoonsgegevens in de Europese Unie beoogt, hetgeen een versterking vereist van de rechten van de betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken, alsmede gelijkwaardige bevoegdheden om de regelgeving inzake de bescherming van persoonsgegevens in de lidstaten te handhaven en toe te zien op naleving daarvan. Dit vormt een belangrijke vooruitgang ten opzichte van de eerdere regeling van kaderbesluit 2008/977. De werkingssfeer van dat kaderbesluit was beperkt tot grensoverschrijdende gegevensverwerking. Bovendien weerspiegelde het de „specifieke kenmerken van de pijlerstructuur van de EU, zoals die vóór het Verdrag van Lissabon bestond”(12), en gaf het de lidstaten „veel speelruimte”.(13) Ten opzichte van die eerdere regeling voorziet hoofdstuk III van richtlijn 2016/680 in een „nieuwe architectuur van de rechten van betrokkenen, uitgaande van het beginsel dat zij recht hebben op informatie, inzage, rectificatie, wissing of verwerkingsbeperking, tenzij deze rechten worden beperkt”(14).
36. In artikel 13 van richtlijn 2016/680 is met name bepaald dat de verwerkingsverantwoordelijken de betrokkenen bepaalde informatie moeten verstrekken („het recht op informatie”). Volgens artikel 14 heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over de al dan niet verwerking van hem betreffende persoonsgegevens en, wanneer dat het geval is, om die persoonsgegevens in te zien en om welbepaalde informatie te verkrijgen („het recht op inzage”). Artikel 16 bepaalt dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke rectificatie van hem betreffende onjuiste persoonsgegevens en wissing van de persoonsgegevens of, in voorkomend geval, beperking van de verwerking te verkrijgen („het recht op rectificatie, wissing of verwerkingsbeperking”). De betrokkene kan zijn rechten in beginsel rechtstreeks uitoefenen.
37. Richtlijn 2016/680 biedt de lidstaten te mogelijkheid om onder de in artikel 13, lid 3, artikel 15 en artikel 16, lid 4, vastgestelde voorwaarden wetgevende maatregelen te treffen die de rechten van de betrokkenen geheel of gedeeltelijk beperken. Dergelijke maatregelen zijn in wezen toegestaan „voor zover en zolang” zij „in een democratische samenleving, met inachtneming van de grondrechten en de legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel” vormen ter bescherming van een specifiek doel van algemeen belang, namelijk om te voorkomen dat officiële of gerechtelijke onderzoeken of procedures worden belemmerd, dat de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen nadelige gevolgen zou hebben, of om de openbare of nationale veiligheid of de rechten en vrijheden van anderen te beschermen. De lidstaten kunnen krachtens artikel 13, lid 4, en artikel 15, lid 2, van richtlijn 2016/680 wetgevende maatregelen treffen om te bepalen welke verwerkingscategorieën geheel of gedeeltelijk onder een van deze doeleinden kunnen vallen.
38. In geval van beperking van het inzagerecht moet de verwerkingsverantwoordelijke de betrokkene overeenkomstig artikel 15, lid 3, van richtlijn 2016/680 zonder onnodige vertraging schriftelijk in kennis stellen van een eventuele weigering of beperking van inzage en van de redenen voor weigering of beperking. Die informatie kan achterwege worden gelaten wanneer de verstrekking ervan een doel van algemeen belang in de zin van artikel 15, lid 1, van de richtlijn zou ondermijnen. De verwerkingsverantwoordelijke moet de betrokkene inlichten over de mogelijkheid om een klacht in te dienen bij een toezichthoudende instantie of om een beroep in te stellen bij de rechter. Bovendien moet de verwerkingsverantwoordelijke op grond van artikel 15, lid 4, van richtlijn 2016/680, wanneer het recht op inzage wordt beperkt of geweigerd, de feitelijke of juridische redenen die aan het besluit ten grondslag liggen, documenteren en deze informatie ter beschikking stellen van de toezichthoudende autoriteiten.
39. Uit de structuur van de in hoofdstuk III van richtlijn 2016/680 genoemde rechten van de betrokkene volgt dat op het gebied van rechtshandhaving, betrokkenen als algemene regel over rechten inzake de bescherming van hun gegevens beschikken en deze rechten rechtstreeks kunnen uitoefenen. Elke beperking van deze rechten vormt een uitzondering. Volgens vaste rechtspraak moet een uitzondering op een algemene regel strikt worden uitgelegd.(15) Bovendien kan de verplichting om de opgelegde beperkingen te motiveren en de betrokkene daarvan in kennis te stellen niet grenzeloos worden beperkt. Dergelijke informatie kan slechts uitzonderlijk worden weggelaten.
40. Dezelfde onderlinge samenhang tussen regel en uitzondering geldt ook voor de aan de lidstaten geboden mogelijkheid om „categorieën van verwerkingen” vast te stellen die geheel of gedeeltelijk kunnen worden aangemerkt als doeleinden van algemeen belang, op grond waarvan de uitoefening van de rechten van de betrokkenen uit hoofde van artikel 13, lid 3, of artikel 15, lid 1, van richtlijn 2016/680 dus kan worden beperkt. Zoals de Groep gegevensbescherming artikel 29(16) in haar advies over richtlijn 2016/680 in wezen heeft opgemerkt, biedt de aan de lidstaten gegeven mogelijkheid om dergelijke categorieën van verwerking te bepalen geen ruimte voor „algemeen geldige beperkingen” van het recht van betrokkenen op informatie en inzage.(17) Door dergelijke algemene beperkingen wordt de uitzondering tot regel verheven, waardoor de bepalingen waarin de rechten van de betrokkene zijn vastgelegd, grotendeels worden uitgehold.(18)
b) Indirecte uitoefening van de rechten van de betrokkene
41. Het recht van de betrokkene om zich rechtstreeks tot de verwerkingsverantwoordelijke te wenden om zijn rechten uit te oefenen, is een belangrijk kenmerk van richtlijn 2016/680. Op die wijze wordt gewaarborgd dat de betrokkene zijn rechten „in beginsel” rechtstreeks kan uitoefenen.(19) Betrokkenen hebben recht op rechtstreekse inzage, tenzij er een beperking geldt. Wanneer er een beperking geldt en de betrokkene zijn recht op rechtstreekse inzage dus niet langer kan aanwenden, kan hij zijn rechten indirect uitoefenen via de bevoegde toezichthoudende autoriteit krachtens artikel 17, lid 1, van richtlijn 2016/680.
42. Zoals de Franse regering en de Commissie aangeven en zoals ook de Groep gegevensbescherming artikel 29 in haar advies over richtlijn 2016/680 benadrukt, is de indirecte uitoefening van de rechten via de bevoegde autoriteit een aanvullende garantie voor de betrokkenen in omstandigheden waarin beperkingen gelden.(20) Dat de indirecte uitoefening van rechten als aanvullende garantie is vastgelegd, is een belangrijke stap voorwaarts ten opzichte van de eerdere situatie onder kaderbesluit 2008/977.(21) Volgens dit kaderbesluit stond indirecte inzage immers op gelijke voet met rechtstreekse inzage.(22) Het zou volledig tegen de door richtlijn 2016/680 nagestreefde harmonisatie ingaan indien de lidstaten, ondanks de door de richtlijn beoogde ontwikkelingen betreffende de structuur van de rechten van betrokkenen, indirecte inzage niet als een aanvullende, maar als de enige mogelijkheid zouden aanbieden aan betrokkenen.
c) In artikel 42 WBG vastgelegde regeling voor indirecte uitoefening
43. Artikel 17 van richtlijn 2016/680 is in Belgisch recht omgezet door artikel 42 WBG. In de eerste zin van dat artikel is bepaald dat de betrokkenen het verzoek om uitoefening van hun rechten wat betreft de politiedienst aan het controleorgaan moeten richten. Volgens de tweede zin deelt dit orgaan, wanneer de verwerkingsverantwoordelijke inzage beperkt of weigert, de betrokkene uitsluitend mee dat de nodige verificaties werden verricht.
44. Het komt mij voor dat artikel 42 WBG een regeling invoert die afwijkt van het beginsel van rechtstreekse uitoefening van de rechten van betrokkenen met betrekking tot alle door de politiedienst verwerkte gegevens. Gelet op het zeer brede spectrum van gegevens waarop de afwijkingsregeling van toepassing is, wordt hiermee immers een algemene uitzondering op het recht van rechtstreekse inzage in het leven geroepen. Zoals hierboven in de inleidende opmerkingen is uiteengezet, kan een dergelijke ruime en algemene afwijking van het recht op rechtstreekse inzage niet verenigbaar worden geacht met richtlijn 2016/680.(23) Zoals de Belgische Raad van State in wezen heeft aangegeven in zijn advies over het voorontwerp van de WBG, is het strijdig met artikel 17 van richtlijn 2016/680 om de betrokkene de keuzemogelijkheid te ontnemen om zijn rechten indirect uit te oefenen en in de plaats daarvan de wetgever in staat te stellen de indirecte uitoefening van dergelijke rechten op te leggen.(24)
45. Het feit dat op grond van artikel 42 WBG rechtstreekse inzage door indirecte inzage is vervangen, is nog problematischer in het licht van de beperkte bevoegdheden van het controleorgaan. Bij navraag op dit punt ter terechtzitting, heeft de raadsman van dat orgaan bevestigd dat het in het kader van de indirecte uitoefening van rechten van de betrokkene, deze laatste uitsluitend mag meedelen dat alle nodige verificaties zijn verricht. Er zij evenwel aan herinnerd dat de regeling inzake indirecte inzage de uitzondering is die veronderstelt dat de rechten van de betrokkenen zijn beperkt overeenkomstig de voorwaarden van richtlijn 2016/680. In het Belgische stelsel is de betrokkene daarentegen verplicht het controleorgaan te verzoeken zijn rechten met betrekking tot de door de politiediensten verwerkte gegevens uit te oefenen. Hij heeft geen inzage in zijn gegevens en kan alleen maar de bevestiging krijgen dat alle nodige verificaties zijn verricht. De nationale wetgever lijkt, in afwijking van richtlijn 2016/680, uit te gaan van de veronderstelling dat – met betrekking tot alle door de politie verwerkte gegevens – de rechten van de betrokkenen steeds beperkt zijn en rechtstreekse inzage niet mogelijk is.
46. In het licht van het voorgaande ben ik van mening dat door artikel 42 WBG een regeling van indirecte uitoefening van rechten wordt ingevoerd die onverenigbaar is met de uit richtlijn 2016/680 voortvloeiende voorwaarden voor de uitoefening van de rechten van de betrokkenen. De prejudiciële vragen zullen in het licht van deze overweging worden onderzocht.
Eerste vraag
47. Vooraf moet in herinnering worden gebracht dat het volgens vaste rechtspraak in het kader van de bij artikel 267 VWEU ingestelde procedure van samenwerking tussen de nationale rechterlijke instanties en het Hof, de taak van het Hof is om de nationale rechter een nuttig antwoord te geven aan de hand waarvan deze het bij hem aanhangige geding kan beslechten. Indien nodig dient het Hof de voorgelegde vragen dus te herformuleren. Het Hof kan daartoe uit alle door de nationale rechter verschafte gegevens, met name uit de motivering van de verwijzingsbeslissing, de elementen van het Unierecht putten die, gelet op het voorwerp van het hoofdgeding, uitlegging behoeven.(25)
48. In casu blijkt duidelijk uit de verwijzingsbeslissing dat de verwijzende rechter met zijn eerste vraag om uitlegging van artikel 17 van richtlijn 2016/680 verzoekt. Hij wenst in wezen te vernemen of deze bepaling, gelezen in het licht van artikel 47 en artikel 8, lid 3 van het Handvest, aldus moet worden uitgelegd dat de betrokkene die zijn rechten uitoefent via een onafhankelijke toezichthoudende autoriteit de mogelijkheid moet hebben om beroep in rechte in te stellen tegen die autoriteit.
49. Om te beginnen zij opgemerkt dat de verwijzende rechter deze vraag stelt omdat het Belgische recht volgens hem niet voorziet in een recht op rechterlijke toetsing van een besluit van een toezichthoudende autoriteit (in casu het controleorgaan) die indirect de rechten van de betrokkene uitoefent. In dit verband merkt hij ten eerste op dat deze bepaling niet correct in nationaal recht is omgezet, aangezien artikel 42 WBG niet voorziet in een verplichting voor het controleorgaan om de betrokkene in kennis te stellen van zijn recht om beroep in rechte in te stellen. Ten tweede is de verwijzende rechter van oordeel dat geen enkele andere bepaling van de WBG, met name de artikelen 209 en volgende en artikel 240, de betrokkene de mogelijkheid biedt om bij indirecte uitoefening van zijn rechten beroep in te stellen tegen het controleorgaan.(26)
50. De Belgische regering heeft in haar schriftelijke opmerkingen betoogd dat, ongeacht de uitlegging van artikel 209, tweede volzin, WBG, de Belgische rechtsorde voorziet in een doeltreffende rechterlijke toetsing in de omstandigheden van het hoofdgeding. In dit verband voert zij aan dat de algemene bevoegdheid van de civiele rechter niet wordt aangetast door de specifieke rechtsmiddelen in de WBG. De Belgische regering wijst er evenwel terecht op dat het Hof volgens vaste rechtspraak slechts bevoegd is om uitspraak te doen over de uitlegging of de geldigheid van een Uniebepaling op basis van de feiten die de nationale rechter voorlegt. Daarentegen staat het uitsluitend aan de verwijzende rechter om de nationale wettelijke regeling uit te leggen.(27)
a) Rechtsmiddelen waarover de betrokkene beschikt
51. Om te bepalen of een betrokkene het recht heeft om tegen de toezichthoudende autoriteit een beroep in rechte in te stellen bij indirecte uitoefening van zijn rechten, zij eraan herinnerd dat richtlijn 2016/680 in hoofdstuk VIII voorziet in verschillende rechtsmiddelen voor de betrokkenen. Zij hebben het recht om overeenkomstig artikel 52 van richtlijn 2016/680 een klacht in te dienen bij een toezichthoudende autoriteit. Artikel 53, lid 1, ervan bepaalt dat de betrokkene het recht heeft een doeltreffende voorziening in rechte in te stellen tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit. Volgens artikel 53, lid 2, heeft iedere betrokkene het recht om een doeltreffende voorziening in rechte in te stellen indien de toezichthoudende autoriteit een klacht niet behandelt of de betrokkene niet binnen drie maanden van de voortgang of het resultaat van de klacht in kennis stelt. Bovendien heeft een betrokkene het recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker wanneer hij van mening is dat een inbreuk op zijn rechten is gepleegd als gevolg van de onrechtmatige verwerking van zijn persoonsgegevens. Deze bepalingen vermelden telkens dat een voorziening in rechte mogelijk is „onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep”.
52. Wat het recht op een doeltreffende voorziening in rechte tegen de toezichthoudende autoriteit betreft, wordt in overweging 86 van richtlijn 2016/680 verklaard dat dit recht kan worden uitgeoefend „tegen een besluit van een toezichthoudende autoriteit dat ten aanzien van die persoon rechtsgevolgen heeft”. Volgens diezelfde overweging heeft een dergelijk besluit meer bepaald betrekking op de uitoefening door de toezichthoudende autoriteit van bevoegdheden in verband met onderzoek, corrigerende maatregelen en toestemming, of op de afwijzing van klachten, maar geldt het recht op een doeltreffende voorziening in rechte niet voor „andere maatregelen van de toezichthoudende autoriteiten die niet juridisch bindend zijn, zoals standpunten en adviezen”.
53. Uit artikel 53, lid 1, van richtlijn 2016/680, gelezen in het licht van overweging 86 ervan, volgt dat de betrokkene het recht heeft een besluit of maatregel met bindende rechtsgevolgen van een toezichthoudende autoriteit aan te vechten.
54. In dit verband zij eraan herinnerd dat het in artikel 47 van het Handvest verankerde recht op een doeltreffende voorziening in rechte moet worden toegekend aan eenieder die zich beroept op door het Unierecht gewaarborgde rechten of vrijheden teneinde op te komen tegen een voor hem bezwarend besluit dat afbreuk kan doen aan die rechten of vrijheden.(28)
55. Verder moet erop worden gewezen dat onder „bezwarende besluiten” wordt verstaan, „handelingen of maatregelen die bindende rechtsgevolgen sorteren welke de belangen van de verzoeker rechtstreeks en onmiddellijk kunnen aantasten doordat zij diens rechtspositie aanmerkelijk wijzigen”.(29) In dat verband moet worden gelet op de wezenlijke inhoud van deze handeling en moeten die gevolgen worden beoordeeld aan de hand van objectieve criteria zoals de inhoud van de handeling, waarbij in voorkomend geval rekening wordt gehouden met de bevoegdheden van de instelling die de betreffende handeling heeft vastgesteld en met de context waarin deze is vastgesteld.(30)
b) Bevoegdheden van de toezichthoudende autoriteit in het kader van de indirecte uitoefening van rechten
56. In het licht van de kenmerken van een bezwarend besluit hangt de vraag of een toezichthoudende autoriteit een juridisch bindend besluit neemt wanneer zij indirect de rechten van de betrokkene uitoefent, overeenkomstig artikel 17 van richtlijn 2016/680 af van het onderzoek naar de inhoud of de wezenlijke inhoud van de handeling van een toezichthoudende autoriteit, rekening houdend met de context waarin die handeling werd verricht en de bevoegdheden van die autoriteit.
57. Wat in de eerste plaats de wezenlijke inhoud van de handeling van de toezichthoudende autoriteit betreft, moet om te beginnen worden gepreciseerd dat de vraag of een handeling rechtstreeks gevolgen kan hebben voor de rechtspositie van een natuurlijke of rechtspersoon, niet uitsluitend kan worden beoordeeld op basis van het feit dat de handeling een e-mail betreft (zoals in het hoofdgeding het geval was), aangezien dit erop zou neerkomen dat de vorm van de handeling waartegen het beroep is gericht, voorrang krijgt boven de inhoud ervan.(31)
58. Artikel 17, lid 1, van richtlijn 2016/680 bepaalt dat de rechten van de betrokkene „via” de bevoegde toezichthoudende autoriteit kunnen worden uitgeoefend. In overweging 48 van deze richtlijn staat te lezen dat de toezichthoudende autoriteit optreedt „namens” de betrokkene. Volgens artikel 17, lid 3, van die richtlijn moet de toezichthoudende autoriteit de betrokkene er ten minste van „in kennis stellen” dat alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden.
59. Het controleorgaan betoogt dat uit de bewoordingen van deze bepalingen volgt dat een toezichthoudende autoriteit gewoon een opdracht volbrengt namens de betrokkene en optreedt als een „boodschapper”, die dus gewoon de informatie aan de betrokkene doorgeeft. Daarom zou de door dit orgaan vastgestelde handeling niet kunnen worden geacht bindende rechtsgevolgen voor de betrokkene te hebben. De Tsjechische regering voert een soortgelijk argument aan.
60. Ik betwist niet dat de formulering die wordt gebruikt voor de uitoefening van de rechten van de betrokkene „via” de toezichthoudende autoriteit of voor de toezichthoudende autoriteit die optreedt „namens” de betrokkene, op zich beschouwd, aldus kan worden opgevat dat zij suggereert dat de toezichthoudende autoriteit alleen de opdracht heeft om informatie te verstrekken.
61. Ik ben echter van mening dat de stelling dat er gewoon sprake is van een opdracht geen hout snijdt wanneer de context van de handeling en de bevoegdheden van de toezichthoudende autoriteit onder de loep worden genomen. In het kader van de indirecte uitoefening van de rechten van de betrokkene gaat de rol van de toezichthoudende autoriteit verder dan die van „lasthebber” van een betrokkene, „boodschapper” of tussenpersoon. Zoals ik zal aantonen, laat de Uniewetgever de toezichthoudende autoriteit daarentegen een leidende en actieve rol spelen bij de controle op de rechtmatigheid van gegevensverwerkingen die alleen door een overheidsinstantie kunnen worden verricht.
62. Zoals de Commissie en de Belgische regering hebben betoogd, moet artikel 17 van richtlijn 2016/680 namelijk worden gelezen in samenhang met hoofdstuk VI, afdeling 2, van deze richtlijn, waarin de regels zijn opgenomen met betrekking tot de competentie, de taken en de bevoegdheden van de onafhankelijke toezichthoudende autoriteiten. Artikel 46, lid 1, onder g), van die richtlijn bepaalt dat de toezichthoudende autoriteit „de rechtmatigheid van de verwerking controleert en de betrokkene binnen een redelijke termijn informeert over het resultaat van de controle overeenkomstig artikel 17, lid 3, of van de redenen waarom de controle niet is verricht”.
63. De Belgische regering heeft er in haar antwoord op een schriftelijke vraag van het Hof terecht op gewezen dat het feit dat een toezichthoudende autoriteit specifiek tot taak heeft om toezicht te houden op de rechtmatigheid van de verwerking, aantoont dat haar rol verder gaat dan optreden als „boodschapper” tussen de betrokkene en de verwerkingsverantwoordelijke: ze voert namelijk een passende juridische beoordeling uit van de rechtmatigheid van de verwerking.
64. Bovendien heeft elke toezichthoudende autoriteit overeenkomstig artikel 47 van richtlijn 2016/680 bepaalde handhavingsbevoegdheden om haar taak van onafhankelijke controle op de rechtmatigheid van de verwerking uit te voeren. Deze bevoegdheden zijn „effectieve onderzoeksbevoegdheden”, waartoe ten minste „de bevoegdheid [behoort] om van de verwerkingsverantwoordelijke en de verwerker toegang te verkrijgen tot alle persoonsgegevens die worden verwerkt”, naast bevoegdheden „tot het treffen van corrigerende maatregelen”, waaronder de bevoegdheid om het rectificeren of wissen van gegevens of verwerkingsbeperking te gelasten. Bovendien hebben de toezichthoudende autoriteiten volgens artikel 47, lid 5, de bevoegdheid om in rechte op te treden teneinde de bepalingen inzake gegevensbescherming van richtlijn 2016/680 te doen naleven. Ik ben het eens met de Commissie, die er in dit verband op heeft gewezen dat het controleorgaan deze bevoegdheden slechts voor eigen rekening als overheidsinstantie kan uitoefenen en niet louter als lasthebber of namens de betrokkene.
65. Wanneer de toezichthoudende autoriteit de betrokkene in kennis stelt van het resultaat van de controle die zij op grond van artikel 17, lid 3, en artikel 46, lid 1, onder g), van richtlijn 2016/680 heeft verricht, heeft zij noodzakelijkerwijs een besluitvormingsproces met betrekking tot de rechtmatigheid van de verwerking afgerond. De rechtspositie van de betrokkene wordt dus beïnvloed door i) de vraag of de toezichthoudende autoriteit haar taak om „overeenkomstig artikel 17 de rechtmatigheid van de verwerking [te controleren]” correct heeft uitgevoerd en ii) het besluit waartoe die autoriteit na dat proces is gekomen.
66. Het gegeven dat de toezichthoudende autoriteit krachtens artikel 17 van richtlijn 2016/680 niet gewoon een tussenpersoon is, maar autonoom kan optreden, wordt bevestigd door een uitlegging van de richtlijn in het licht van het Handvest. Krachtens artikel 8, lid 3, van het Handvest ziet een onafhankelijke autoriteit erop toe dat de regels inzake gegevensbescherming en meer in het bijzonder het recht op inzage in de gegevens worden nageleefd. Aan de rol van de gegevensbeschermingsautoriteiten wordt een constitutioneel belang toegekend aangezien zij in het Handvest worden genoemd. Het is aan de toezichthoudende autoriteit om de toepassing van richtlijn 2016/680 te controleren en te handhaven. Een uitlegging volgens welke deze autoriteit los van de betrokkene handelt wanneer zij diens rechten indirect uitoefent, versterkt de constitutionele rol van de toezichthoudende autoriteit.
67. Bovendien zou het controleorgaan, indien wordt aanvaard dat het slechts als een „lasthebber” handelt, verplicht zijn de betrokkene als zijn lastgever informatie te verstrekken. Het controleorgaan stelt echter dat het niet bevoegd is om de betrokkene nadere informatie te verstrekken, een benadering die leidt tot de merkwaardige situatie waarbij een lasthebber beter geïnformeerd zou zijn dan zijn lastgever.
68. Ter terechtzitting heeft de Franse regering in wezen betoogd dat dit controleorgaan op grond van artikel 46, lid 1, onder g), van richtlijn 2016/680 geen bevoegdheid heeft ten aanzien van de verwerkingsverantwoordelijke, in tegenstelling tot een toezichthoudende overheid die klachten behandelt op grond van artikel 46, lid 1, onder f), van die richtlijn. Aangezien een betrokkene die zijn rechten rechtstreeks uitoefent geen bevoegdheid heeft ten aanzien van de verwerkingsverantwoordelijke, kan hij die bevoegdheid volgens de Franse regering evenmin hebben wanneer hij die rechten indirect via de toezichthoudende autoriteit uitoefent. Artikel 47 van richtlijn 2016/680 zou volgens de Franse regering enkel betrekking hebben op de bevoegdheden die het controleorgaan voor eigen rekening uitoefent, maar niet op de bevoegdheden die voor rekening van de betrokkene worden uitgeoefend.
69. Het standpunt van de Franse regering berust in wezen op de stelling dat de toezichthoudende autoriteit slechts optreedt als een tussenpersoon van de betrokkene. Om de hierboven uiteengezette redenen ben ik het niet eens met een dergelijke restrictieve uitlegging van de rol van de toezichthoudende autoriteit. De indirecte uitoefening van de rechten van een betrokkene moet een toegevoegde waarde hebben en een aanvullende garantie en waarborg voor de betrokkene vormen. Mocht de rol van de autoriteit erin bestaan om in alle omstandigheden enkel te bevestigen dat de nodige verificaties zijn verricht zonder dat zij haar bevoegdheden kan uitoefenen, dan zou de toegevoegde waarde van die instantie bij het toezicht op de rechtmatigheid van de verwerking maar beperkt zijn.
70. In dat verband bepaalt artikel 17 van richtlijn 2016/680 dat de toezichthoudende autoriteit de betrokkene er „ten minste” van in kennis stelt dat alle noodzakelijke controles hebben plaatsgevonden. In sommige omstandigheden kan of moet de toezichthoudende autoriteit dus meer dan dergelijke minimuminformatie verstrekken. Deze uitlegging vindt steun in artikel 46, lid 1, onder g), van richtlijn 2016/680, dat de toezichthoudende autoriteit belast met controle op de rechtmatigheid van de verwerking overeenkomstig artikel 17 ervan en met het informeren van de betrokkene over het resultaat van de controle overeenkomstig lid 3 van dat artikel. Het „resultaat van de controle” omvat het verstrekken van de minimuminformatie, maar is daar niet steeds toe beperkt.
71. Zoals de Commissie heeft opgemerkt, verleent artikel 17 van richtlijn 2016/680 de toezichthoudende autoriteit de ruimte om te beoordelen. Het verleent de lidstaten niet de ruimte om de rol van de autoriteit in die mate te beperken dat ze niet méér dan een boodschapper is of om die autoriteit haar beoordelingsbevoegdheid volledig te ontnemen door te bepalen dat zij slechts de minimuminformatie mag verstrekken. Indien een lidstaat immers kan afwijken van richtlijn 2016/680 en minder bevoegdheden kan toekennen aan de toezichthoudende autoriteiten, zou dit de doelstelling van het versterken van de rechten van betrokkenen en het harmoniseren van de bevoegdheden om de naleving van de regels inzake gegevensbescherming in de lidstaten te controleren en te waarborgen ernstig ondermijnen. Dit zou ook afbreuk doen aan de doelstellingen van deze richtlijn waarbij naar meer transparantie en betere controle wordt gestreefd.
72. Ter terechtzitting heeft het controleorgaan er bezwaar tegen gemaakt dat zijn taak verder zou gaan dan het gewoon volbrengen van een opdracht namens de betrokkene. Deze toezichthoudende autoriteit mag in het kader van artikel 17 van richtlijn 2016/680 niet beslissen of een handeling van de verwerkingsverantwoordelijke wenselijk is en evenmin de belangen afwegen die gepaard gaan met het verstrekken van de relevante informatie, anders zou ze zich in de plaats moeten stellen van de verwerkingsverantwoordelijke, wat haar onafhankelijkheid in het gedrang zou brengen.
73. In dit verband mag de beoordelingsbevoegdheid van de toezichthoudende autoriteit krachtens artikel 17 van richtlijn 2016/680 niet worden opgevat als een bevoegdheid om in de plaats te treden van de verwerkingsverantwoordelijke en om automatisch inzage te verlenen in de informatie die deze heeft geweigerd openbaar te maken. In het kader van zijn onafhankelijkheid treedt het controleorgaan in vertrouwelijk overleg met de verwerkingsverantwoordelijke om na te gaan of de verwerking rechtmatig is. Zoals de Commissie in wezen heeft gesteld, kan dat overleg worden afgeleid uit de verplichting van de verwerkingsverantwoordelijke die is opgenomen in artikel 15, lid 4, van richtlijn 2016/680 om de toezichthoudende autoriteit op de hoogte te brengen van de feitelijke of juridische redenen die ten grondslag liggen aan het besluit om het recht op inzage te beperken.
74. Wanneer het controleorgaan in het kader van dit overleg van mening is dat de beperkingen van de rechten van de betrokkene niet gerechtvaardigd zijn, moet het de verwerkingsverantwoordelijke de gelegenheid bieden om deze toestand te herstellen. Volgens artikel 17, lid 3, heeft de toezichthoudende autoriteit na afloop van dit overleg beoordelingsmarge met betrekking tot de omvang van de informatie die het de betrokkene over het resultaat van haar controle kan meedelen. De omvang van de informatie die ze kan verstrekken, moet per geval worden beoordeeld, overeenkomstig het evenredigheidsbeginsel. Bovendien moet de toezichthoudende autoriteit kunnen waarborgen dat de voorschriften van richtlijn 2016/680 worden nageleefd en moet ze de bevoegdheden van artikel 47 daarvan kunnen uitoefenen. Die bepaling stelt geen beperking vast met betrekking tot de uitoefening van die bevoegdheden in het kader van artikel 17 van die richtlijn; integendeel, de effectieve bevoegdheden van de toezichthoudende autoriteit vormen een noodzakelijk en belangrijk tegenwicht voor de beperking van het inzagerecht van de betrokkene.
c) Hiërarchie van de rechtsmiddelen
75. Ten slotte hebben het controleorgaan en de Tsjechische regering een betoog gevoerd betreffende de hiërarchie van de rechtsmiddelen. Zij stellen in wezen dat in het kader van indirecte uitoefening van rechten via de toezichthoudende autoriteit, het recht om een beroep in te stellen bij de rechter overeenkomstig artikel 54 van richtlijn 2016/680 moet worden uitgeoefend tegen de verwerkingsverantwoordelijke en niet tegen de toezichthoudende autoriteit, tenzij deze nalaat te handelen.
76. In dit verband moet worden opgemerkt dat uit geen enkele bepaling van richtlijn 2016/680 volgt dat de rechtsmiddelen waarin de richtlijn voorziet, elkaar uitsluiten. Uit de bewoordingen van de artikelen 52, 53 en 54 van richtlijn 2016/680 waarnaar hierboven wordt verwezen(32) kan daarentegen worden opgemaakt dat die bepalingen verschillende beroepsmogelijkheden bieden aan personen die stellen dat die verordening is geschonden, met dien verstande dat elk van die beroepsmogelijkheden moet kunnen worden aangewend, „onverminderd” de andere.(33) Er zij aan herinnerd dat met betrekking tot de onderlinge verhouding tussen de rechtsmiddelen waarin verordening (EU) 2016/679(34) voorziet, het Hof in het arrest Nemzeti heeft geoordeeld dat die verordening „niet voorziet in een prioritaire of exclusieve bevoegdheid en evenmin een voorrangsregel bevat voor de beoordeling, door de autoriteit of rechterlijke instanties die in die verordening worden genoemd, van de vraag of inbreuk wordt gemaakt op de bij [deze verordening] verleende rechten”.(35)
77. In tegenstelling tot de Franse regering en het controleorgaan ben ik van mening dat de redenering in het arrest Nemzeti naar analogie van toepassing is op de rechtsmiddelen waarin richtlijn 2016/680 voorziet. Niet alleen staan aan de betrokkene krachtens verordening 2016/679 en richtlijn 2016/680 vergelijkbare rechtsmiddelen ter beschikking tegen de toezichthoudende autoriteit en de verwerkingsverantwoordelijke, tevens moeten met het oog op een doeltreffende bescherming van persoonsgegevens in de gehele Unie, volgens overweging 7 van richtlijn 2016/680 de rechten van betrokkenen worden versterkt.(36) Wanneer een aantal rechtsmiddelen ter beschikking wordt gesteld, wordt ook de in overweging 85 van richtlijn 2016/680 geformuleerde doelstelling versterkt om het recht op een doeltreffende voorziening in rechte overeenkomstig artikel 47 van het Handvest te waarborgen ten aanzien van elke betrokkene die meent dat inbreuk is gemaakt op zijn rechten krachtens de uit hoofde van deze richtlijn vastgestelde bepalingen.
78. Ook moet erop worden gewezen dat de rechtsmiddelen tegen de toezichthoudende autoriteit enerzijds en de verwerkingsverantwoordelijke anderzijds elk hun eigen doel hebben. Enerzijds strekt een beroep tegen een besluit van de verwerkingsverantwoordelijke dat de rechten van de betrokkene beperkt ertoe, zoals de Commissie terecht heeft opgemerkt, om de correcte toepassing van artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, van richtlijn 2016/680 door de rechter te laten toetsen. Anderzijds bestaat het doel van een beroep tegen de toezichthoudende autoriteit erin om de correcte toepassing van artikel 17 en artikel 46, lid 1, onder g), van richtlijn 2016/680 door de rechter te laten toetsen, waarbij wordt nagegaan of die toezichthoudende autoriteit haar taak om de rechtmatigheid van de verwerking te controleren, correct heeft uitgevoerd.
79. Tevens moet worden opgemerkt dat het stelsel van rechterlijke bescherming incoherent en onvolledig zou zijn indien de betrokkene alleen het stilzitten van de toezichthoudende autoriteit zou kunnen aanvechten, terwijl het optreden van die autoriteit en de wijze waarop ze zich van haar taken gekweten heeft niet door de rechter zouden kunnen worden getoetst.
80. Het lijkt hoe dan ook onmogelijk om in het hoofdgeding een vordering tegen de verwerkingsverantwoordelijke in te stellen. Uit de verwijzingsbeslissing volgt dat betrokkenen geen beroep kunnen instellen tegen de verwerkingsverantwoordelijke, aangezien de uitoefening van al hun rechten aan het controleorgaan is toevertrouwd. De Ligue des droits humains heeft bovendien aangevoerd dat het in het Belgische systeem van politiedatabanken voor de betrokkene zeer moeilijk is om de verwerkingsverantwoordelijke te identificeren. In dergelijke omstandigheden dreigt de betrokkene volledig verstoken te blijven van doeltreffende rechtsbescherming, aangezien hij niet weet wie de verwerkingsverantwoordelijke is en hij, zelfs indien hij dit zou weten, niet het recht heeft zich rechtstreeks tot hem te wenden. Bovendien kan hij de maatregel van het controleorgaan niet aanvechten. Het komt mij voor dat de betrokkene wordt geconfronteerd met een stelsel waarin „alle deuren zich voor hem sluiten”, hetgeen moeilijk verenigbaar is met richtlijn 2016/680.
81. Gelet op het voorgaande ben ik van mening dat artikel 17 van richtlijn 2016/680, gelezen in samenhang met artikel 46, lid 1, onder g), ervan en in het licht van artikel 47 en artikel 8, lid 3, van het Handvest, aldus moet worden uitgelegd dat de betrokkene een beroep in rechte moet kunnen instellen tegen een onafhankelijke toezichthoudende autoriteit wanneer hij zijn rechten via die autoriteit uitoefent, voor zover dat beroep betrekking heeft op de taak van die toezichthoudende autoriteit om de rechtmatigheid van de verwerking te controleren.
Tweede vraag
82. Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 17 van richtlijn 2016/680 in overeenstemming is met artikel 8, lid 3, en artikel 47 van het Handvest, voor zover het de toezichthoudende autoriteit slechts verplicht om de betrokkene ervan in kennis te stellen i) „dat alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden” en om hem te informeren ii) over „zijn recht om beroep in te stellen bij de rechter”, hoewel aan de hand van dergelijke informatie geen controle a posteriori kan worden uitgeoefend op het optreden en de beoordeling van de toezichthoudende autoriteit met betrekking tot de betrokkene in het licht van de verplichtingen van de verwerkingsverantwoordelijke.
83. Om te beginnen moet worden opgemerkt dat een Uniehandeling volgens een algemeen uitleggingsbeginsel zoveel mogelijk aldus moet worden uitgelegd dat geen afbreuk wordt gedaan aan de geldigheid ervan en dat het gehele primaire recht, waaronder met name de bepalingen van het Handvest, in acht wordt genomen. Wanneer een bepaling van afgeleid Unierecht voor meer dan één uitlegging vatbaar is, verdient de uitlegging die ervoor zorgt dat de bepaling in overeenstemming is met het primaire recht dan ook de voorkeur boven de uitlegging die met zich meebrengt dat zij in strijd is met dat recht.(37)
84. Zoals in het kader van de inleidende opmerkingen en bij de analyse van de eerste vraag is uiteengezet, kunnen de rechten van de betrokkene volgens artikel 17 van richtlijn 2016/680 indirect via de bevoegde toezichthoudende autoriteit worden uitgeoefend wanneer ze zijn beperkt op grond van artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, van richtlijn 2016/680. De rechten van de betrokkene mogen alleen maar worden beperkt voor zover de maatregelen hiertoe in een democratische samenleving, met inachtneming van de grondrechten en van de legitieme belangen van de natuurlijke persoon in kwestie, noodzakelijk en evenredig zijn ter waarborging van een specifiek doel van algemeen belang dat in die bepalingen is vermeld.
85. De vraag is in hoeverre de inhoud van de informatie die is verstrekt door de toezichthoudende autoriteit die indirect de rechten van de betrokkene uitoefent, deze laatste in staat stelt zijn recht op een doeltreffende voorziening in rechte uit hoofde van artikel 47, lid 1, van het Handvest uit te oefenen.
86. In dit verband is bij de analyse van de eerste vraag reeds in herinnering gebracht dat het in artikel 47 van het Handvest verankerde recht op een doeltreffende voorziening in rechte moet worden toegekend aan eenieder die zich beroept op door het Unierecht gewaarborgde rechten of vrijheden teneinde op te komen tegen een voor hem bezwarend besluit dat afbreuk kan doen aan die rechten of vrijheden.(38)
87. Er zij echter aan herinnerd dat het recht op een doeltreffende voorziening in rechte geen absolute gelding heeft en dat er overeenkomstig artikel 52, lid 1, van het Handvest beperkingen aan kunnen worden gesteld, op voorwaarde dat deze beperkingen, ten eerste, bij wet worden gesteld, ten tweede, de wezenlijke inhoud van de betrokken rechten en vrijheden eerbiedigen en, ten derde, met inachtneming van het evenredigheidsbeginsel, noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en de vrijheden van anderen.(39)
88. In het kader van de indirecte uitoefening van de rechten via de toezichthoudende autoriteit moet erop worden gewezen dat de mogelijkheid van indirecte uitoefening wordt geopend wanneer de rechten van de betrokkene worden beperkt. De toezichthoudende autoriteit heeft tot taak op te treden in het geval dat bij wijze van uitzondering een recht wordt beperkt, ook wanneer, afhankelijk van de omstandigheden, informatie over de redenen voor die beperking door de verwerkingsverantwoordelijke wordt achtergehouden.(40) Zoals in de analyse van de eerste vraag uitvoerig is aangetoond, bestaat de rol van de toezichthoudende autoriteit bij de uitvoering van die taak er niet in om gewoon als „boodschapper” op te treden, maar om de rechtmatigheid van de verwerking te waarborgen.
89. De mate waarin de toezichthoudende autoriteit de betrokkene informatie kan verstrekken, hangt noodzakelijkerwijs af van de redenen die tot de beperking van het recht op inzage hebben geleid. Hoe ernstiger de redenen voor de beperking en eventueel voor het weglaten van informatie, hoe minder informatie de toezichthoudende autoriteit zal kunnen verstrekken. Anders dan het vermoeden dat aan de bewoordingen van de prejudiciële vraag ten grondslag ligt, volgt uit artikel 17, lid 3, van richtlijn 2016/680 niet dat de toezichthoudende autoriteit in alle omstandigheden „alleen maar” kan bevestigen dat alle noodzakelijke controles hebben plaatsgevonden. Integendeel, volgens deze bepaling geeft de toezichthoudende autoriteit „ten minste” aan dat alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden.
90. Hieruit volgt dat niet vooraf kan worden bepaald welke informatie de toezichthoudende autoriteit moet verstrekken. Met andere woorden, de minimale elementen die in artikel 17, lid 3, zijn opgenomen, zijn niet de enige mogelijke. Zoals de Commissie heeft opgemerkt, moet de mate waarin informatie wordt verstrekt per geval worden bepaald en kan dit variëren naargelang de omstandigheden en de afweging van de betrokken belangen in het licht van het evenredigheidsbeginsel. Ter illustratie: zoals in de rechtsleer terecht is opgemerkt(41), lijkt het geen probleem te zijn dat de toezichthoudende autoriteit de betrokkene meedeelt dat zijn naam door een spelfout niet in de politiedatabank voorkomt.
91. Er zij op gewezen dat in het Commissievoorstel voor een richtlijn over rechtshandhaving was bepaald dat de toezichthoudende autoriteiten de betrokkene niet alleen de minimuminformatie moesten verstrekken, maar hem ook moesten inlichten „over het resultaat daarvan wat de rechtmatigheid van de verwerking in kwestie betreft”.(42) Dat laatste gegeven – namelijk het resultaat wat de rechtmatigheid van de verwerking betreft – is niet opgenomen in artikel 17 van richtlijn 2016/680. Dit betekent echter niet dat eventuele schendingen van de regels inzake gegevensbescherming zijn toegestaan. In mijn analyse van de eerste vraag heb ik erop gewezen dat de toezichthoudende autoriteit vertrouwelijk overleg pleegt met de verwerkingsverantwoordelijke. Indien de toezichthoudende autoriteit van mening is dat de verwerking onrechtmatig is, biedt zij de verwerkingsverantwoordelijke de gelegenheid om de situatie te herstellen. Indien de situatie echter niet wordt hersteld, moet de toezichthoudende autoriteit op grond van artikel 47 van richtlijn 2016/680 van haar handhavingsbevoegdheden gebruikmaken. In een dergelijke situatie volstaat het mijns inziens niet dat de toezichthoudende autoriteit verslag uitbrengt aan het nationaal parlement, zoals het controleorgaan ter terechtzitting heeft gesteld. Zij moet gebruikmaken van haar bevoegdheid om inbreuken op de bepalingen inzake gegevensbescherming ter kennis te brengen van de rechterlijke autoriteiten en, waar passend, een rechtsvordering in te stellen of anderszins in rechte op te treden overeenkomstig artikel 47, lid 5, van richtlijn 2016/680.
92. De uitlegging dat de toezichthoudende autoriteit over beoordelingsbevoegdheid beschikt wanneer zij indirect de rechten van de betrokkene uitoefent, vindt ook steun in het constitutionele belang van de rol van de onafhankelijke toezichthoudende autoriteiten die in artikel 8, lid 3, van het Handvest is verankerd.
93. Niettemin kunnen er zich omstandigheden voordoen waarin de toezichthoudende autoriteit meent dat zij niet verder mag gaan dan het verstrekken van de minimuminformatie, namelijk dat alle noodzakelijke verificaties zijn verricht. Rechterlijke toetsing zou in dergelijke omstandigheden onmogelijk zijn, tenzij de met de toetsing van het besluit van de toezichthoudende autoriteit belaste rechter niet alleen alle gronden kan onderzoeken waarop dit besluit berust, maar ook het besluit van de verwerkingsverantwoordelijke tot beperking van inzage.
94. In dit verband moet ten eerste worden opgemerkt dat de verwerkingsverantwoordelijke volgens artikel 15, lid 4, van richtlijn 2016/680 de feitelijke of juridische redenen die aan het besluit tot het beperken van het inzagerecht ten grondslag liggen, moet documenteren en die informatie ter beschikking van de toezichthoudende autoriteiten moet stellen. Zoals het Europees Parlement heeft opgemerkt, moet worden aanvaard dat informatie die beschikbaar is voor de toezichthoudende autoriteit, ook beschikbaar moet worden gesteld aan de rechterlijke autoriteit wanneer de betrokkene zijn recht uitoefent om beroep in te stellen tegen het besluit van de verwerkingsverantwoordelijke en/of het besluit van de toezichthoudende autoriteit.
95. Ten tweede moet in uitzonderlijke gevallen waarin de verwerkingsverantwoordelijke geen informatie verstrekt over de gronden voor weigering of beperking van de rechten van de betrokkene en de toezichthoudende autoriteit slechts de minimuminformatie verstrekt, namelijk dat alle nodige verificaties zijn verricht, de bevoegde rechter van de desbetreffende lidstaat beschikken over en gebruikmaken van technieken en procesrechtelijke regels waarmee legitieme overwegingen van staatsveiligheid of algemeen belang ten aanzien van de aard en de bronnen van de informatie die bij de vaststelling van een dergelijk besluit in aanmerking is genomen, kunnen worden verzoend met de noodzaak om aan de justitiabele te garanderen dat zijn procedurele rechten, zoals het recht om te worden gehoord en het beginsel van hoor en wederhoor, worden geëerbiedigd.(43)
96. Overeenkomstig de rechtspraak die voortvloeit uit het arrest van 4 juni 2013, ZZ (C‑300/11, EU:C:2013:363), moeten de lidstaten hiertoe voorzien in, ten eerste, een doeltreffende rechterlijke toetsing van het bestaan en de gegrondheid van de door de nationale autoriteit aangevoerde redenen en, ten tweede, technieken en regels betreffende die toetsing, als bedoeld in het vorige punt van deze conclusie.(44)
97. Ter terechtzitting heeft de Franse regering betoogd dat de context van het arrest ZZ niet dezelfde was als die van het hoofdgeding, aangezien het arrest ZZ betrekking had op de rechterlijke toetsing van een besluit dat een burger van de Unie de toegang tot een lidstaat om redenen van openbare veiligheid had geweigerd. In dit verband zij erop gewezen dat aan de redenering van het Hof in de rechtspraak die voortvloeit uit het arrest ZZ en die is gebaseerd op het arrest Kadi(45), het vereiste ten grondslag ligt om een passende afweging te maken tussen de vereisten in het kader van de staatsveiligheid en die van het recht op doeltreffende rechterlijke bescherming. In antwoord op een vraag ter terechtzitting heeft de raadsman van de Franse regering erkend dat uit deze rechtspraak in wezen volgt dat er geen sprake is van geheimhouding in het kader van een procedure voor de rechter. Ik ben derhalve van mening dat deze rechtspraak naar analogie ook moet gelden in het kader van richtlijn 2016/680 wanneer volgens de bevoegde autoriteiten redenen van nationale veiligheid of andere redenen van openbaar belang die een beperking van de rechten van de betrokkenen kunnen rechtvaardigen, in de weg staan aan een nauwkeurige en volledige bekendmaking van de gronden van een dergelijk besluit tot toepassing van een beperking.
98. Uit het voorgaande volgt dat artikel 17 van richtlijn 2016/680 in overeenstemming is met artikel 8, lid 3, en artikel 47 van het Handvest voor zover i) de toezichthoudende autoriteit, afhankelijk van de omstandigheden, meer kan doen dan louter vaststellen dat alle noodzakelijke verificaties zijn verricht en ii) het voor de betrokkene mogelijk is om het optreden en de beoordeling van de toezichthoudende autoriteit jegens hem door de rechter te laten toetsen in het licht van de verplichtingen van de verwerkingsverantwoordelijke.
99. Gelet op het voorgaande wordt aan de geldigheid van artikel 17 van richtlijn 2016/680 niet afgedaan.
III. Conclusie
100. Gelet op een en ander geef ik het Hof in overweging om de cour d’appel de Bruxelles te antwoorden als volgt:
„1) Artikel 17 van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad, gelezen in samenhang met artikel 46, lid 1, onder g), van die richtlijn en in het licht van artikel 47 en artikel 8, lid 3, van het Handvest van de grondrechten van de Europese Unie,
moet aldus worden uitgelegd dat de betrokkene een beroep in rechte moet kunnen instellen tegen een onafhankelijke toezichthoudende autoriteit wanneer hij zijn rechten via die autoriteit uitoefent, voor zover dat beroep betrekking heeft op de taak van die toezichthoudende autoriteit om de rechtmatigheid van de verwerking te controleren.
2) Aan de geldigheid van artikel 17 van richtlijn 2016/680 wordt niet afgedaan.”