Zaak C‑487/21
F. F.
tegen
Österreichische Datenschutzbehörde en CRIF GmbH
[verzoek om een prejudiciële beslissing, ingediend door het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk)]
Arrest van het Hof (Eerste kamer) van 4 mei 2023
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Recht van de betrokkene om inzage te verkrijgen in hem betreffende persoonsgegevens die worden verwerkt – Artikel 15, lid 3 – Verstrekking van een kopie van de gegevens – Begrip ‚kopie’ – Begrip ‚informatie’”
1. Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht van de betrokkene om inzage te verkrijgen in hem betreffende persoonsgegevens die worden verwerkt – Verstrekking van een kopie van de gegevens – Begrip „kopie” – Verstrekking aan de betrokkene van een getrouwe en begrijpelijke reproductie van deze gegevens – Kopie van uittreksels uit documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten – Daaronder begrepen – Voorwaarde
(Verordening 2016/679 van het Europees Parlement en de Raad, overwegingen 58 en 60, art. 12, lid 1, en art. 15, lid 1 en lid. 3, eerste volzin)
(zie punten 21, 28, 32, 36‑45, dictum 1)
2. Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht van de betrokkene om inzage te verkrijgen in hem betreffende persoonsgegevens die worden verwerkt – Verstrekking van een kopie van de gegevens – Begrip „informatie” – Persoonsgegevens die door de verwerkingsverantwoordelijke moeten worden verstrekt onder de vorm van een kopie – Daaronder begrepen
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 15, lid 3, derde volzin)
(zie punten 48‑53, dictum 2)
Samenvatting
AVG: het recht om een „kopie” te verkrijgen van persoonsgegevens houdt in dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven
Dit recht omvat het recht om een kopie te verkrijgen van uittreksels van documenten of zelfs van volledige documenten of databankuittreksels die deze gegevens bevatten, indien dit onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen
CRIF is een bedrijfsadviesbureau dat op verzoek van zijn klanten informatie verstrekt over de solvabiliteit van derden. Daartoe heeft het ook de persoonsgegevens van verzoeker in het hoofdgeding, een particulier, verwerkt. Verzoeker in het hoofdgeding heeft CRIF op grond van de algemene verordening gegevensbescherming(1) verzocht om inzage van de hem betreffende persoonsgegevens. Voorts heeft hij verzocht om hem een kopie te verstrekken van de documenten, te weten e-mails en databankuittreksels, die onder meer zijn gegevens bevatten, dit „in een gangbaar technisch formaat”.
In antwoord op dit verzoek heeft CRIF hem de lijst van zijn verwerkte persoonsgegevens toegezonden in geaggregeerde vorm. Verzoeker in het hoofdgeding heeft bij de Österreichische Datenschutzbehörde (Oostenrijkse gegevensbeschermingsautoriteit) een klacht ingediend omdat hij van mening was dat CRIF hem een kopie van alle documenten die zijn gegevens bevatten, zoals e-mails en databankuittreksels, had moeten bezorgen. Deze autoriteit heeft deze klacht afgewezen op grond van de overweging dat CRIF het recht van de verzoeker in het hoofdgeding op geen enkele wijze had geschonden.
Het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk), bij wie verzoeker in het hoofdgeding beroep heeft ingesteld tegen het door deze autoriteit vastgestelde afwijzingsbesluit, vraagt zich af wat de draagwijdte is van de in artikel 15, lid 3, eerste volzin, AVG bedoelde verplichting om de betrokkene een „kopie” te verstrekken van hem betreffende persoonsgegevens die worden verwerkt. Het vraagt zich in het bijzonder af of aan deze verplichting is voldaan wanneer de verwerkingsverantwoordelijke de persoonsgegevens in geaggregeerde vorm verstrekt, dan wel of deze verplichting ook inhoudt dat uittreksels uit documenten of zelfs volledige documenten alsmede databankuittreksels waarin die gegevens zijn weergegeven, moeten worden overgelegd. De verwijzende rechter verzoekt het Hof voorts om te verduidelijken wat precies wordt verstaan onder het begrip „informatie” in artikel 15, lid 3, derde volzin, AVG(2).
In zijn arrest verduidelijkt het Hof de inhoud en de omvang van het recht van de betrokkene om inzage te krijgen in hem betreffende persoonsgegevens die worden verwerkt. In dit verband oordeelt het Hof dat het recht om krachtens artikel 15, lid 3, eerste volzin, AVG van de verwerkingsverantwoordelijke een „kopie” te verkrijgen van de persoonsgegevens die worden verwerkt, inhoudt dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Dit recht omvat het recht om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij de AVG verleende rechten daadwerkelijk uit te oefenen, waarbij moet worden benadrukt dat daarbij ook rekening moet worden gehouden met de rechten en vrijheden van anderen. Voorts preciseert het Hof dat het begrip „informatie” in artikel 15, lid 3, derde volzin, AVG uitsluitend betrekking heeft op persoonsgegevens waarvan de verwerkingsverantwoordelijke een kopie moet verstrekken op grond van de eerste volzin van dat lid.
Beoordeling door het Hof
In de eerste plaats geeft het Hof een letterlijke, systematische en teleologische uitlegging van artikel 15, lid 3, eerste volzin, AVG, dat voorziet in het recht van de betrokkene om een kopie te verkrijgen van hem betreffende persoonsgegevens die worden verwerkt.
Wat de bewoordingen van artikel 15, lid 3, eerste volzin, AVG betreft, merkt het Hof op dat deze bepaling geen definitie bevat van het begrip „kopie”, zodat daarvoor te rade moet worden gegaan bij de gebruikelijke betekenis van deze term. Deze verwijst naar de getrouwe reproductie of transcriptie van een origineel, zodat een zuiver algemene beschrijving van de gegevens die worden verwerkt of een verwijzing naar categorieën persoonsgegevens niet aan die definitie voldoet. Bovendien blijkt uit de bewoordingen van deze bepaling dat de verplichting tot mededeling betrekking heeft op de persoonsgegevens die het voorwerp van de betrokken verwerking vormen. Na deze bepaling tekstueel te hebben onderzocht, is het Hof van oordeel dat deze de betrokkene het recht verleent om een getrouwe reproductie te verkrijgen van zijn – in ruime zin opgevatte – persoonsgegevens die door de verwerkingsverantwoordelijke zijn bewerkt op een manier die als verwerking moet worden aangemerkt.
Wat de context van artikel 15, lid 3, eerste volzin, AVG betreft, merkt het Hof op dat artikel 15 AVG in lid 1 het voorwerp en de werkingssfeer van het aan de betrokkene toegekende recht van inzage omschrijft. Artikel 15, lid 3, AVG verduidelijkt op welke wijze de op de verwerkingsverantwoordelijke rustende verplichting in de praktijk moet worden nagekomen, door met name in de eerste volzin te specificeren in welke vorm deze verwerkingsverantwoordelijke de persoonsgegevens die worden verwerkt, moet verstrekken, te weten onder de vorm van een „kopie”. Artikel 15 kan dus niet worden uitgelegd als zou het in lid 3, eerste volzin, voorzien in een recht dat losstaat van het in lid 1 bedoelde recht. Het Hof merkt verder op dat de term „kopie” niet naar een document als dusdanig verwijst, maar naar de persoonsgegevens die het bevat en die volledig moeten zijn. De kopie moet dus alle persoonsgegevens bevatten die worden verwerkt.
Wat de door artikel 15 AVG nagestreefde doelstellingen betreft, wijst het Hof erop dat het in dit artikel bedoelde recht van inzage de betrokkene in staat moet stellen zich ervan te vergewissen dat de hem betreffende persoonsgegevens juist zijn en rechtmatig zijn verwerkt.
Volgens het Hof blijkt voorts uit de AVG(3) dat de verwerkingsverantwoordelijke passende maatregelen moet nemen opdat de betrokkene alle informatie in kwestie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, en dat de informatie schriftelijk of met andere middelen, met inbegrip van elektronische middelen, indien dit passend is, moet worden verstrekt, tenzij de betrokkene vraagt dat de informatie mondeling wordt meegedeeld. Hieruit volgt dat de kopie van de persoonsgegevens die worden verwerkt en die de verwerkingsverantwoordelijke moet verstrekken, alle noodzakelijke kenmerken moet vertonen om de betrokkene in staat te stellen de rechten die hij aan de AVG ontleent daadwerkelijk uit te oefenen. Deze kopie moet deze gegevens dus volledig en getrouw reproduceren.
Om te waarborgen dat de aldus verstrekte informatie gemakkelijk te begrijpen is, kan het dus onontbeerlijk zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer de persoonsgegevens bevatten die worden verwerkt, worden gereproduceerd. Wanneer met name persoonsgegevens worden gegenereerd op basis van andere gegevens of wanneer dergelijke gegevens voortvloeien uit open tekstvelden, dat wil zeggen wanneer er geen data worden verstrekt en uit deze lacune informatie over de betrokkene valt af te leiden, is de context waarin deze gegevens worden verwerkt een onontbeerlijk element om de betrokkene in staat te stellen op transparante wijze inzage te krijgen in die gegevens en er een begrijpelijk beeld van te krijgen.
Wanneer de volledige uitoefening van het recht van inzage van de persoonsgegevens en de rechten of vrijheden van anderen met elkaar in conflict komen, moeten de betrokken rechten tegen elkaar worden afgewogen. Voor zover mogelijk moet ervoor worden gekozen de persoonsgegevens te verstrekken op een wijze die geen afbreuk doet aan de rechten of vrijheden van anderen. Daarbij moet er rekening mee worden gehouden dat deze overwegingen er niet toe mogen leiden dat de betrokkene alle informatie wordt onthouden.
In de tweede plaats buigt het Hof zich over de vraag wat moet worden verstaan onder het begrip „informatie” in de zin van artikel 15, lid 3, derde volzin, AVG. Deze bepaling verduidelijkt weliswaar niet wat onder „informatie” moet worden verstaan, maar uit de context ervan blijkt dat de daarin bedoelde „informatie” noodzakelijkerwijs betrekking heeft op persoonsgegevens waarvan de verwerkingsverantwoordelijke overeenkomstig de eerste volzin van dat lid een kopie moet verstrekken.