ARREST VAN HET HOF (Vierde kamer)
27 oktober 2022 (*)
„Prejudiciële verwijzing – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie – Richtlijn 2002/58/EG – Artikel 12 – Openbare telefoongidsen en telefooninlichtingendiensten – Toestemming van de abonnee – Verplichtingen van de aanbieder van abonneelijsten en inlichtingendiensten – Verordening (EU) 2016/679 – Artikel 17 – Recht op gegevenswissing (‚recht op vergetelheid’) – Artikel 5, lid 2 – Artikel 24 – Informatieverplichtingen en verantwoordelijkheid van de verwerkingsverantwoordelijke”
In zaak C‑129/21,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het hof van beroep te Brussel (België) bij beslissing van 24 februari 2021, ingekomen bij het Hof op 2 maart 2021, in de procedure
Proximus NV
tegen
Gegevensbeschermingsautoriteit,
wijst
HET HOF (Vierde kamer),
samengesteld als volgt: C. Lycourgos, kamerpresident, L. S. Rossi (rapporteur), J.‑C. Bonichot, S. Rodin en O. Spineanu-Matei, rechters,
advocaat-generaal: A. M. Collins,
griffier: M. Ferreira, hoofdadministrateur,
gezien de stukken en na de terechtzitting op 9 februari 2022,
gelet op de opmerkingen van:
– Proximus NV, vertegenwoordigd door P. Craddock, T. de Haan en E. Van Bogget, advocaten,
– de Gegevensbeschermingsautoriteit, vertegenwoordigd door C. Buggenhoudt, E. Cloots en J. Roets, advocaten,
– de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door E. De Bonis, avvocato dello Stato,
– de Letse regering, vertegenwoordigd door E. Bārdiņš, J. Davidoviča en K. Pommere als gemachtigden,
– de Portugese regering, vertegenwoordigd door P. Barros da Costa, L. Inez Fernandes, M. J. Ramos en C. Vieira Guerra als gemachtigden,
– de Roemeense regering, vertegenwoordigd door E. Gane en L. Liţu als gemachtigden,
– de Europese Commissie, vertegenwoordigd door S. L. Kalėda, H. Kranenborg en P.‑J. Loewenthal als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 28 april 2022,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 12, lid 2, gelezen in samenhang met artikel 2, tweede alinea, onder f), van richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB 2002, L 201, blz. 37), zoals gewijzigd bij richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009 (PB 2009, L 337, blz. 11) (hierna: „richtlijn 2002/58), en van artikel 5, lid 2, en de artikelen 17, 24 en 95 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2; hierna: „AVG”).
2 Dit verzoek is ingediend in het kader van een geding tussen Proximus NV, een Belgische publiekrechtelijke vennootschap, en de Gegevensbeschermingsautoriteit (België) (hierna: „GBA”) over de beslissing waarbij de Geschillenkamer van de Gegevensbeschermingsautoriteit (hierna: „Geschillenkamer”) corrigerende maatregelen en een geldboete van 20 000 EUR wegens schending van een aantal artikelen van de AVG aan Proximus heeft opgelegd.
Toepasselijke bepalingen
Unierecht
Richtlijn 95/46
3 Artikel 2, onder h), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31) bepaalt:
„In de zin van deze richtlijn wordt verstaan onder:
[...]
h) ‚toestemming van de betrokkene’, elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt.”
Richtlijn 2002/58
4 De overwegingen 10, 17, 38 en 39 van richtlijn 2002/58 luiden als volgt:
„(10) In de sector elektronische communicatie is richtlijn 95/46/EG van toepassing, met name op alle aangelegenheden met betrekking tot de bescherming van fundamentele rechten en vrijheden die niet specifiek onder het bepaalde in deze richtlijn vallen, met inbegrip van de plichten van de verantwoordelijke en de rechten van personen. [...]
[...]
(17) In deze richtlijn dient ‚toestemming van een gebruiker of abonnee’, ongeacht of deze laatste een natuurlijke of rechtspersoon is, dezelfde betekenis te hebben als ‚toestemming van de betrokkene’ zoals gedefinieerd en nader bepaald in richtlijn 95/46/EG. Toestemming kan worden gegeven op elke wijze die de gebruiker in staat stelt vrijelijk een specifieke en geïnformeerde indicatie te geven omtrent zijn wensen, onder andere door bij een bezoek aan een internetwebsite op een vakje te klikken.
[...]
(38) Abonneelijsten van elektronischecommunicatiediensten vinden brede verspreiding en zijn openbaar. Het recht op bescherming van de persoonlijke levenssfeer van natuurlijke personen en van de rechtmatige belangen van rechtspersonen houdt in dat de abonnees zelf moeten kunnen bepalen of hun persoonsgegevens in een abonneelijst worden vermeld en, zo ja, welke. Aanbieders van openbare abonneelijsten dienen de in dergelijke abonneelijsten op te nemen abonnees op de hoogte te brengen van de doeleinden van de abonneelijst en van eventueel bijzonder gebruik dat gemaakt kan worden van de elektronische versies van openbare abonneelijsten, in het bijzonder door middel van in de software opgenomen zoekfuncties, zoals omgekeerde zoekfuncties waarmee gebruikers de naam en het adres van een abonnee kunnen vinden op basis van alleen het telefoonnummer.
(39) De verplichting om abonnees in kennis te stellen van de doeleinden van openbare abonneelijsten waarin hun persoonsgegevens zullen worden opgenomen, rust op de partij die de gegevens met het oog op de opneming ervan verzamelt. Indien de gegevens aan een of meer derden kunnen worden doorgezonden, moet de abonnee van deze mogelijkheid en van de ontvanger of categorieën mogelijke ontvangers in kennis worden gesteld. Aan elke doorzending moet de voorwaarde worden verbonden dat de gegevens niet voor andere doeleinden mogen worden gebruikt dan die waarvoor ze zijn verzameld. Indien de partij die de gegevens van de abonnee verzamelt of een derde aan wie de gegevens zijn doorgezonden, de gegevens voor een ander doel wenst te gebruiken, moet opnieuw de toestemming van de abonnee worden verkregen, hetzij door de partij die de gegevens oorspronkelijk heeft verzameld hetzij door de derde aan wie de gegevens zijn doorgezonden.”
5 Artikel 1 van deze richtlijn bepaalt:
„1. Deze richtlijn voorziet in de harmonisering van de regelgeving van de lidstaten die nodig is om een gelijk niveau van bescherming van fundamentele rechten en vrijheden – met name het recht op een persoonlijke levenssfeer en vertrouwelijkheid – bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen en om te zorgen voor het vrij verkeer van dergelijke gegevens en van elektronischecommunicatieapparatuur en ‑diensten in de Gemeenschap.
2. Voor [...] de doelstellingen van lid 1 vormen de bepalingen van deze richtlijn een specificatie van en een aanvulling op richtlijn 95/46/EG. Bovendien voorzien zij in bescherming van de rechtmatige belangen van abonnees die rechtspersonen zijn.
[...]”
6 Artikel 2, tweede alinea, onder f), van die richtlijn, met als opschrift „Definities”, luidt als volgt:
„Daarnaast wordt in deze richtlijn verstaan onder:
[...]
f) ‚toestemming’ van een gebruiker of abonnee: toestemming van de betrokkene in de zin van richtlijn 95/46/EG”.
7 Artikel 12 van richtlijn 2002/58, met het opschrift „Abonneelijsten”, luidt:
„1. De lidstaten zorgen ervoor dat de abonnees kosteloos en voordat zij in de abonneelijst worden opgenomen op de hoogte worden gesteld van de doeleinden van gedrukte of elektronische abonneelijsten die voor het publiek beschikbaar zijn of kunnen worden verkregen door middel van gidsinformatiediensten, waarin hun persoonsgegevens kunnen worden opgenomen, alsmede van alle eventuele verdere gebruiksmogelijkheden op basis van zoekfuncties die zijn opgenomen in de elektronische versies van de abonneelijsten.
2. De lidstaten zorgen ervoor dat de abonnees de gelegenheid krijgen zelf te bepalen of, en zo ja welke, persoonsgegevens in een openbare abonneelijst worden opgenomen, voor zover die gegevens relevant zijn voor de doeleinden van de abonneelijst zoals bepaald door de aanbieder ervan, en om de gegevens daarin te verifiëren, te corrigeren of te laten verwijderen. Het niet opgenomen zijn in een openbare abonneelijst of de verificatie, correctie of verwijdering van persoonsgegevens van dergelijke lijsten brengt geen kosten met zich.
3. De lidstaten kunnen verlangen dat de aparte toestemming van de abonnees ook verkregen moet worden voor andere doeleinden van een openbare abonneelijst dan het zoeken van contactgegevens van een persoon op basis van zijn naam en, in voorkomend geval, een minimumaantal andere identificatiegegevens.
[...]”
AVG
8 De overwegingen 42, 66 en 173 AVG luiden als volgt:
„(42) Indien de verwerking plaatsvindt op grond van toestemming van de betrokkene, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking. Met name in de context van een schriftelijke verklaring over een andere zaak dient te worden gewaarborgd dat de betrokkene zich ervan bewust is dat hij toestemming geeft en hoever deze toestemming reikt. [...] [D]e verwerkingsverantwoordelijke [stelt] vooraf een verklaring van toestemming op in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal; deze verklaring mag geen oneerlijke bedingen bevatten. Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene ten minste bekend zijn met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens. Toestemming mag niet worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.
[...]
(66) Ter versterking van het recht op vergetelheid in de onlineomgeving, dient het recht op wissing te worden uitgebreid door de verwerkingsverantwoordelijke die persoonsgegevens openbaar heeft gemaakt te verplichten de verwerkingsverantwoordelijken die deze persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene heeft verzocht om het wissen van links naar, of kopieën of reproducties van die persoonsgegevens. Die verwerkingsverantwoordelijke dient daarbij, met inachtneming van de beschikbare technologie en de middelen waarover hij beschikt, redelijke maatregelen te nemen, waaronder technische maatregelen, om de verwerkingsverantwoordelijken die de persoonsgegevens verwerken, over het verzoek van de betrokkene te informeren.
[...]
(173) Deze verordening dient van toepassing te zijn op alle aangelegenheden die betrekking hebben op de bescherming van grondrechten en fundamentele vrijheden in het kader van de verwerking van persoonsgegevens waarvoor de in richtlijn 2002/58/EG [...] opgenomen specifieke verplichtingen met dezelfde doelstelling niet gelden, met inbegrip van de verplichtingen van de verwerkingsverantwoordelijke en de rechten van natuurlijke personen. Om de verhouding tussen deze verordening en richtlijn 2002/58/EG te verduidelijken, dient die richtlijn dienovereenkomstig te worden gewijzigd. Zodra deze verordening is vastgesteld, dient richtlijn 2002/58/EG te worden geëvalueerd, met name om te zorgen voor samenhang met deze verordening.”
9 Artikel 4, punten 2, 7 en 11, van deze verordening is als volgt geformuleerd:
„Voor de toepassing van deze verordening wordt verstaan onder:
[...]
2) ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[...]
7) ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; [...]
[...]
11) ‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt”.
10 Artikel 5 AVG, met als opschrift „Beginselen inzake verwerking van persoonsgegevens”, bepaalt:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
[...]
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
11 Artikel 6 AVG, „Rechtmatigheid van de verwerking”, luidt als volgt:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
[...]”
12 Artikel 7 AVG, „Voorwaarden voor toestemming”, luidt:
„1. Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.
[...]
3. De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het geven ervan.
[...]”
13 In artikel 16 AVG, „Recht op rectificatie”, is bepaald:
„De betrokkene heeft het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. Met inachtneming van de doeleinden van de verwerking heeft de betrokkene het recht vervollediging van onvolledige persoonsgegevens te verkrijgen, onder meer door een aanvullende verklaring te verstrekken.”
14 Artikel 17 AVG, „Recht op gegevenswissing (‚recht op vergetelheid’)”, luidt als volgt:
„1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
[...]
b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
[...]
d) de persoonsgegevens zijn onrechtmatig verwerkt;
[...]
2. Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en overeenkomstig lid 1 verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, om verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen.
[...]”
15 Artikel 19 AVG, „Kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens of verwerkingsbeperking”, bepaalt:
„De verwerkingsverantwoordelijke stelt iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking overeenkomstig artikel 16, artikel 17, lid 1, en artikel 18, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoekt.”
16 Artikel 24 AVG, „Verantwoordelijkheid van de verwerkingsverantwoordelijke”, luidt als volgt:
„1. Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.
2. Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd.
[...]”
17 Artikel 94 AVG, „Intrekking van richtlijn 95/46/EG”, bepaalt in lid 2:
„Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar deze verordening. [...]”
18 Artikel 95 AVG, „Verhouding tot richtlijn 2002/58/EG”, bepaalt:
„Deze verordening legt natuurlijke personen of rechtspersonen geen aanvullende verplichtingen op met betrekking tot verwerking in verband met het verstrekken van openbare elektronischecommunicatiediensten in openbare communicatienetwerken in de [Europese] Unie, voor zover zij op grond van richtlijn 2002/58/EG onderworpen zijn aan specifieke verplichtingen met dezelfde doelstelling.”
Belgisch recht
19 Artikel 133 van de wet betreffende de elektronische communicatie van 13 juni 2005 (Belgisch Staatsblad, 20 juni 2005, blz. 28070), waarbij artikel 12 van richtlijn 2002/58 in Belgisch recht is omgezet, luidt als volgt:
㤠1. De aanbieders van de openbare telefoniedienst brengen hun abonnees, kosteloos en vooraleer zij opgenomen worden in een telefoongids of een telefooninlichtingendienst, op de hoogte van:
1° de doeleinden van de telefoongids of de telefooninlichtingendienst;
2° het gratis karakter van de opname in de telefoongids of de telefooninlichtingendienst;
3° in voorkomend geval, de toepassingen van de telefoongids of de telefooninlichtingendienst die afwijken van het zoeken van persoonsgegevens op basis van de naam en, in voorkomend geval, de woon-, verblijf- of vestigingsplaats van de abonnees.
Enkel de persoonsgegevens die relevant zijn voor de doeleinden zoals medegedeeld overeenkomstig het eerste lid en waarvan de betrokken abonnee heeft aangegeven dat zij opgenomen mogen worden in de betrokken telefoongids of de telefooninlichtingendienst mogen opgenomen worden in die telefoongids of telefooninlichtingendienst.
Hiertoe stelt de operator twee aparte vragen aan de abonnee:
1° of hij wenst dat zijn adresgegevens vermeld worden in de universele telefoongids en in de universele inlichtingendienst;
2° of hij wenst dat zijn adresgegevens worden vermeld in andere telefoongidsen of andere inlichtingendiensten.
[...]
§ 2. Iedere abonnee is gerechtigd de persoonsgegevens die op hem betrekking hebben in te zien overeenkomstig de voorwaarden bepaald door of krachtens de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens.
Iedere abonnee is bovendien gerechtigd om kosteloos, volgens de procedures en onder de voorwaarden bepaald door de Koning, na advies van de Commissie voor de bescherming van de persoonlijke levenssfeer en van het Instituut, de persoonsgegevens die op hem betrekking hebben te laten verbeteren of te laten verwijderen uit de telefoongids of de telefooninlichtingendienst.”
20 Artikel 45, § 2, van die wet verplicht operatoren van telefoondiensten om hun abonneegegevens ter beschikking te stellen van aanbieders van openbare abonneelijsten. Volgens artikel 45, § 3, van de wet betreffende de elektronische communicatie houden die aanbieders de gegevens apart met betrekking tot de abonnees die gevraagd hebben niet te worden opgenomen in een telefoongids, zodat die abonnees de telefoongids kunnen ontvangen zonder dat hun gegevens daarin vermeld staan.
Hoofdgeding en prejudiciële vragen
21 Proximus, een aanbieder van telecommunicatiediensten in België, verstrekt ook voor het publiek beschikbare telefoongidsen en telefooninlichtingendiensten (hierna: „abonneelijsten”) overeenkomstig de bepalingen van de wet betreffende de elektronische communicatie. Die abonneelijsten bevatten de naam, het adres en het telefoonnummer (hierna: „contactgegevens”) van abonnees van de verschillende aanbieders van telefoondiensten die voor het publiek beschikbaar zijn (hierna: „operatoren”). Er bestaan andere door derden uitgegeven abonneelijsten.
22 De operatoren verstrekken de contactgegevens van die abonnees regelmatig aan Proximus, met uitzondering van de contactgegevens van abonnees die de wens hebben geuit niet te worden vermeld in de door Proximus uitgegeven abonneelijsten. In België wordt het onderscheid tussen abonnees die vermeld willen worden in een telefoongids en abonnees die dat niet wensen, in de praktijk gemaakt door de toekenning van een code in het record van iedere abonnee, te weten „NNNNN” voor abonnees van wie de contactgegevens mogen verschijnen en „XXXXX” voor abonnees van wie de contactgegevens geheim blijven. Proximus zendt de contactgegevens die zij ontvangt ook door aan een andere aanbieder van telefoongidsen.
23 De klager is een abonnee van Telenet, een operator van telefoondiensten die op de Belgische markt actief is. Telenet geeft geen abonneelijsten uit, maar zendt de contactgegevens van haar abonnees door naar aanbieders van abonneelijsten, onder meer naar Proximus.
24 Op 13 januari 2019 heeft die abonnee Proximus verzocht om zijn contactgegevens niet op te nemen in de abonneelijsten uitgegeven door zowel Proximus als derden. Naar aanleiding van dat verzoek heeft Proximus de status van die abonnee in haar IT-systeem gewijzigd, zodat diens contactgegevens niet langer openbaar werden gemaakt.
25 Op 31 januari 2019 heeft Proximus een periodieke actualisering van de abonneegegevens van Telenet ontvangen. Deze actualisering bevatte nieuwe gegevens van de betrokken abonnee, die niet als vertrouwelijk waren gemarkeerd. Proximus heeft die gegevens automatisch verwerkt en geregistreerd, zodat zij opnieuw waren opgenomen in de abonneelijsten van Proximus.
26 Op 14 augustus 2019 heeft de betrokken abonnee, nadat hij had vastgesteld dat zijn telefoonnummer was vermeld in de abonneelijsten van Proximus en die van derden, Proximus opnieuw verzocht om zijn gegevens daarin niet op te nemen. Diezelfde dag heeft Proximus de klager geantwoord dat zij zijn gegevens had verwijderd uit de abonneelijsten en contact had opgenomen met Google om de bijbehorende links naar de website van Proximus te wissen. Tevens heeft Proximus deze abonnee ervan in kennis gesteld dat zij zijn contactgegevens had doorgestuurd naar andere aanbieders van abonneelijsten en dat die aanbieders via de maandelijkse actualiseringen in kennis waren gesteld van klagers verzoek.
27 Tezelfdertijd heeft die abonnee bij de GBA een klacht ingediend tegen Proximus, omdat zijn telefoonnummer, ondanks zijn verzoek om zijn contactgegevens niet in de abonneelijsten te vermelden, toch was opgenomen in bepaalde abonneelijsten.
28 Op 5 september 2019 is er nog contact geweest tussen de betrokken abonnee en Proximus over de vermelding van de gegevens van deze abonnee in de abonneelijst van een derde. Proximus heeft in dit verband benadrukt dat zij de contactgegevens van haar abonnees doorzendt naar andere aanbieders van abonneelijsten, maar dat zij geen zicht heeft op de procedures voor de interne werking van die aanbieders.
29 Op 30 juli 2020 heeft de Geschillenkamer na een procedure op tegenspraak een beslissing genomen waarbij zij corrigerende maatregelen en een geldboete van 20 000 EUR wegens schending van met name artikel 6 AVG, gelezen in samenhang met artikel 7 van deze verordening, en artikel 5, lid 2, juncto artikel 24 van die verordening, aan Proximus heeft opgelegd. Meer bepaald heeft zij Proximus om te beginnen gelast terdege en onverwijld gevolg te geven aan de intrekking van de toestemming door de betrokken abonnee en te voldoen aan de verzoeken van die abonnee om diens recht op wissing van de hem betreffende gegevens uit te oefenen. Vervolgens heeft de Geschillenkamer Proximus gelast passende technische en organisatorische maatregelen te treffen teneinde te waarborgen dat de verwerkingen van persoonsgegevens die zij uitvoert in overeenstemming zijn met de AVG. Ten slotte heeft zij Proximus bevolen de onrechtmatige doorzending van deze gegevens naar andere aanbieders van abonneelijsten te staken.
30 Op 28 augustus 2020 heeft Proximus tegen die beslissing beroep ingesteld bij het hof van beroep te Brussel (België).
31 Volgens Proximus is er overeenkomstig artikel 45, § 3, van de wet betreffende de elektronische communicatie geen toestemming van de abonnee vereist, maar moeten de abonnees zelf volgens een zogenoemd systeem van „opt-out” vragen om niet in de abonneelijsten te worden opgenomen. Indien een dergelijk verzoek ontbreekt, kan de betrokken abonnee in die abonneelijsten worden opgenomen. Om die reden is er volgens Proximus in casu geen „toestemming” van de abonnee in de zin van richtlijn 95/46 of in de zin van de AVG vereist.
32 De GBA is een andere mening toegedaan en voert in wezen aan dat artikel 12, lid 2, van richtlijn 2002/58 en artikel 133, § 1, van de wet betreffende de elektronische communicatie de „toestemming van de abonnees” in de zin van de AVG vereisen, opdat aanbieders van abonneelijsten hun persoonsgegevens kunnen verwerken en doorzenden.
33 Volgens de verwijzende rechter vormt richtlijn 2002/58 een lex specialis ten opzichte van de AVG, zoals overweging 173 en artikel 95 AVG bevestigen. In situaties waarin richtlijn 2002/58 de regels van de AVG specificeert, hebben de specifieke bepalingen van deze richtlijn als lex specialis bijgevolg voorrang op de algemenere bepalingen van de AVG.
34 Dienaangaande merkt de verwijzende rechter op dat artikel 12, lid 2, van richtlijn 2002/58 en artikel 133, § 1, van de wet betreffende de elektronische communicatie weliswaar een wilsuiting van de abonnees vereisen opdat aanbieders van abonneelijsten hun persoonsgegevens kunnen verwerken, maar niet preciseren of deze wilsuiting moet bestaan in de uitoefening van een keuzerecht, zoals Proximus stelt, of in de uitdrukking van een werkelijke toestemming in de zin van de AVG, zoals de GBA aangeeft. De verwijzende rechter wijst er in dit verband op dat volgens rechtspraak van het Hof – met name het arrest van 5 mei 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, punt 61 – uit een contextuele en systematische uitlegging van artikel 12 van richtlijn 2002/58 volgt dat de betrokken wilsuiting overeenkomt met „toestemming” die betrekking heeft op het doel van de publicatie van de persoonsgegevens in een openbare telefoongids, en niet op de identiteit van een aanbieder van abonneelijsten in het bijzonder.
35 Aangezien noch in richtlijn 2002/58, noch in de wet betreffende de elektronische communicatie of in een uitvoeringsbesluit een specifieke regeling is uitgewerkt met betrekking tot de intrekking van die wilsuiting of „toestemming” door een abonnee, vraagt de verwijzende rechter zich daarenboven af of alle bepalingen van de AVG ook in de bijzondere context van telefoongidsen automatisch onverminderd van toepassing zijn.
36 In die omstandigheden heeft het hof van beroep te Brussel de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Moet artikel 12.2 van [richtlijn 2002/58] samen gelezen met artikel 2.f) van deze richtlijn en met artikel 95 [AVG], zo worden uitgelegd dat het toelaat dat een nationale toezichthoudende autoriteit een ‚toestemming’ van de abonnee in de zin van de [AVG] vereist als grondslag voor de publicatie van diens persoonsgegevens in openbare telefoongidsen en telefooninlichtingendiensten, zowel die uitgegeven door de operator zelf als door derde aanbieders, bij gebreke aan andersluidende nationale wetgeving ter zake?
2) Moet het recht op gegevenswissing uit artikel 17 [AVG] zo worden geïnterpreteerd dat het zich ertegen verzet dat een nationale toezichthoudende autoriteit een verzoek van een abonnee om uit openbare telefoongidsen en -inlichtingendiensten te worden verwijderd als een verzoek tot gegevenswissing in de zin van artikel 17 [AVG] kwalificeert?
3) Moeten artikel 24 en artikel 5.2 [AVG] zo worden uitgelegd dat zij zich ertegen verzetten dat een nationale toezichthoudende autoriteit uit de daarin verankerde verantwoordingsplicht afleidt dat de verwerkingsverantwoordelijke de passende technische en organisatorische maatregelen dient te nemen om derde verwerkingsverantwoordelijken, te weten de telefoondienstaanbieder en andere aanbieders van telefoongidsen en telefooninlichtingendiensten die gegevens van deze verwerkingsverantwoordelijke hebben ontvangen, te informeren omtrent het intrekken van de toestemming door de betrokkene overeenkomstig artikel 6 juncto artikel 7 [AVG]?
4) Moet artikel 17.2 [AVG] zo worden uitgelegd dat het zich ertegen verzet dat een nationale toezichthoudende autoriteit een aanbieder van openbare telefoongidsen en telefooninlichtingendiensten die wordt verzocht de gegevens van een persoon niet langer openbaar te maken, beveelt om redelijke maatregelen te nemen om zoekmachines op de hoogte te stellen van dat verzoek tot gegevenswissing?”
Beantwoording van de prejudiciële vragen
Eerste vraag
37 Proximus voert aan dat het hoofdgeding geen betrekking heeft op de publicatie van abonneelijsten met persoonsgegevens door een operator van telefoondiensten, zodat de eerste prejudiciële vraag niet-ontvankelijk moet worden geacht voor zover zij betrekking heeft op een dergelijk geval.
38 Volgens vaste rechtspraak geldt er een vermoeden van relevantie voor de vragen betreffende de uitlegging van het Unierecht die de nationale rechter heeft gesteld binnen het onder zijn verantwoordelijkheid geschetste wettelijke en feitelijke kader, ten aanzien waarvan het niet aan het Hof staat om de juistheid te onderzoeken. Het Hof kan slechts weigeren uitspraak te doen op een verzoek van een nationale rechter om een prejudiciële beslissing wanneer duidelijk blijkt dat de gevraagde uitlegging van het Unierecht geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het vraagstuk van hypothetische aard is of wanneer het Hof niet beschikt over de feitelijke en juridische gegevens die het nodig heeft om een nuttig antwoord te geven op de gestelde vragen (arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 48 en aldaar aangehaalde rechtspraak).
39 In casu betreft het hoofdgeding een geschil dat zich uitsluitend afspeelt tussen een natuurlijke persoon en een vennootschap, die niet zijn operator van telefoondiensten is, en dat betrekking heeft op de wijze waarop deze vennootschap de persoonsgegevens van deze persoon heeft verwerkt in het kader van de publicatie van abonneelijsten. Hieruit volgt dat de eerste vraag niet-ontvankelijk is voor zover zij strekt tot uitlegging van de vereisten van artikel 12, lid 2, van richtlijn 2002/58 voor het geval dat de operator van telefoondiensten van die persoon diens persoonsgegevens zelf in abonneelijsten vermeldt.
40 Uit het voorgaande volgt dat de verwijzende rechter met zijn eerste vraag in wezen wenst te vernemen of artikel 12, lid 2, van richtlijn 2002/58, gelezen in samenhang met artikel 2, tweede alinea, onder f), van deze richtlijn en artikel 95 AVG, aldus moet worden uitgelegd dat de „toestemming” in de zin van artikel 4, punt 11, AVG van de abonnee van een operator van telefoondiensten vereist is voor het opnemen van de persoonsgegevens van die abonnee in abonneelijsten die worden uitgegeven door andere aanbieders dan die operator.
41 Voor de beantwoording van deze vraag zij eraan herinnerd dat richtlijn 2002/58 volgens artikel 1, lid 1, ervan met name voorziet in de harmonisering van de regelgeving van de lidstaten die nodig is om een gelijk niveau van bescherming van fundamentele rechten en vrijheden – met name het recht op een persoonlijke levenssfeer en vertrouwelijkheid – bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen.
42 In dit verband moet in herinnering worden gebracht dat uit artikel 12, lid 1, en overweging 38 van deze richtlijn volgt dat abonnees, voordat zij in openbare abonneelijsten worden opgenomen, op de hoogte worden gesteld van de doeleinden van de abonneelijst en van eventueel bijzonder gebruik dat daarvan gemaakt kan worden, in het bijzonder door middel van zoekfuncties die in de software van de elektronische versies van de abonneelijsten zijn opgenomen.
43 Overweging 39 van richtlijn 2002/58 preciseert vervolgens met betrekking tot de in artikel 12, lid 1, van deze richtlijn gestelde verplichting om de abonnees vooraf op de hoogte te stellen, dat „[i]ndien de [persoonsgegevens] aan een of meer derden kunnen worden doorgezonden, [...] de abonnee van deze mogelijkheid en van de ontvanger of categorieën mogelijke ontvangers in kennis [moet] worden gesteld”.
44 Nadat de abonnee de in artikel 12, lid 1, van richtlijn 2002/58 bedoelde informatie heeft gekregen, kan hij blijkens artikel 12, lid 2, zelf bepalen of, en zo ja welke, hem betreffende persoonsgegevens in een openbare abonneelijst moeten worden opgenomen.
45 Zoals het Hof reeds heeft geoordeeld, biedt die voorafgaande informatie de betrokken abonnee de mogelijkheid om toestemming te geven voor de publicatie van hem betreffende persoonsgegevens in openbare telefoongidsen, aangezien zijn toestemming noodzakelijk is voor die publicatie (zie in die zin arrest van 5 mei 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, punten 54 en 58).
46 Het vereiste om de toestemming van de betrokken abonnee te verkrijgen ten behoeve van de publicatie van deze gegevens in abonneelijsten wordt bevestigd in artikel 12, lid 3, van richtlijn 2002/58, waarin is bepaald dat de lidstaten kunnen verlangen dat „de aparte toestemming van de abonnees ook verkregen moet worden voor andere doeleinden van een openbare abonneelijst dan het zoeken van contactgegevens van een persoon op basis van zijn naam.”
47 Zoals het Hof heeft vastgesteld, volgt uit een contextuele en systematische uitlegging van artikel 12 van richtlijn 2002/58 evenwel dat de in artikel 12, lid 2, bedoelde toestemming betrekking heeft op het doel van de publicatie van de persoonsgegevens in een openbare telefoongids, en niet op de identiteit van een telefoongidsaanbieder in het bijzonder. Wanneer de abonnee heeft toegestemd in de publicatie van zijn gegevens in een telefoongids met een bijzondere doelstelling zal hij er derhalve over het algemeen geen belang bij hebben zich te verzetten tegen de publicatie van dezelfde gegevens in een andere vergelijkbare telefoongids (arrest van 5 mei 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, punten 61 en 62).
48 Dienaangaande bevestigt overweging 39 van deze richtlijn dat de doorzending van persoonsgegevens van abonnees aan derden toegestaan is indien daaraan „de voorwaarde [wordt] verbonden dat de gegevens niet voor andere doeleinden [...] worden gebruikt dan die waarvoor ze zijn verzameld”.
49 Wanneer een abonnee door een operator van telefoondiensten, zoals Telenet, op de hoogte is gebracht van het feit dat hem betreffende persoonsgegevens kunnen worden doorgegeven aan een derde onderneming, zoals Proximus of andere derden, om in een openbare telefoongids te worden gepubliceerd, en deze abonnee toestemming heeft gegeven voor de publicatie van die gegevens in een dergelijke telefoongids, hoeft voor het doorgeven van diezelfde gegevens door die operator of die onderneming aan een andere onderneming die een gedrukte of elektronische openbare telefoongids beoogt te publiceren of ervoor beoogt te zorgen dat deze gidsen via inlichtingendiensten toegankelijk zijn, dan ook niet opnieuw toestemming van die abonnee te worden verkregen indien wordt gewaarborgd dat de betrokken gegevens niet voor andere doeleinden zullen worden gebruikt dan die waarvoor zij met het oog op de eerste publicatie ervan zijn verzameld. De in artikel 12, lid 2, van richtlijn 2002/58 bedoelde toestemming van een naar behoren geïnformeerde abonnee voor de publicatie van hem betreffende persoonsgegevens in een openbare telefoongids heeft immers betrekking op het doel van deze publicatie en omvat dus ook elke latere verwerking van deze gegevens door derde ondernemingen die actief zijn op de markt voor openbare telefooninlichtingendiensten en telefoongidsen, op voorwaarde dat deze verwerking ditzelfde doel heeft (arrest van 5 mei 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, punt 65).
50 Indien de partij die de gegevens van de abonnee verzamelt of een derde aan wie de gegevens zijn doorgezonden, deze gegevens voor een ander doel wenst te gebruiken, moet daarentegen opnieuw de toestemming van de abonnee worden verkregen, hetzij door de partij die de gegevens oorspronkelijk heeft verzameld hetzij door de derde aan wie de gegevens zijn doorgezonden, zoals in overweging 39 van de richtlijn staat te lezen.
51 Wat de wijze betreft waarop blijk moet worden gegeven van een dergelijke toestemming, volgt uit artikel 2, tweede alinea, onder f), van richtlijn 2002/58, gelezen in samenhang met artikel 94, lid 2, en artikel 95 AVG, dat die toestemming in beginsel moet voldoen aan de vereisten van artikel 4, punt 11, van deze verordening.
52 In de onderhavige zaak definieert artikel 4, punt 11, AVG – de op de feiten in het hoofdgeding toepasselijke bepaling – de „toestemming van de betrokkene” in die zin dat daarvoor een „vrije, specifieke, geïnformeerde en ondubbelzinnige” wilsuiting van de betrokkene is vereist, die de vorm aanneemt van een verklaring of „een ondubbelzinnige actieve handeling” waaruit blijkt dat hij de verwerking van hem betreffende persoonsgegevens aanvaardt.
53 Hieruit volgt dat een dergelijke toestemming noodzakelijk is om de persoonsgegevens van de abonnee van een operator van telefoondiensten te kunnen opnemen in abonneelijsten.
54 Bijgevolg kan de publicatie van persoonsgegevens van de betrokken abonnee in abonneelijsten zoals door Proximus of door andere aanbieders worden uitgegeven, slechts rechtmatig in de zin van artikel 6, lid 1, onder a), AVG worden geacht wanneer er sprake is van een dergelijke toestemming, die uitdrukkelijk aan de operator van telefoondiensten of aan een van die aanbieders van telefoongidsen is gegeven.
55 Zoals in punt 49 van het onderhavige arrest in herinnering is gebracht, veronderstelt een dergelijke toestemming echter niet dat de betrokkene op het tijdstip waarop zij wordt gegeven, noodzakelijkerwijs de identiteit kent van alle aanbieders van abonneelijsten die zijn persoonsgegevens zullen verwerken.
56 Gelet op de voorgaande overwegingen moet op de eerste vraag worden geantwoord dat artikel 12, lid 2, van richtlijn 2002/58, gelezen in samenhang met artikel 2, tweede alinea, onder f), van deze richtlijn en artikel 95 AVG, aldus moet worden uitgelegd dat de „toestemming” in de zin van artikel 4, punt 11, AVG van de abonnee van een operator van telefoondiensten vereist is voor het opnemen van de persoonsgegevens van die abonnee in abonneelijsten die door andere aanbieders dan die operator worden uitgegeven; deze toestemming kan aan die operator of aan een van die aanbieders worden gegeven.
Tweede vraag
57 Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 17 AVG aldus moet worden uitgelegd dat het verzoek van een abonnee tot verwijdering van zijn persoonsgegevens uit abonneelijsten een „uitoefening van het recht op gegevenswissing” in de zin van dit artikel vormt.
58 Om te beginnen moet worden opgemerkt dat Proximus betoogt dat artikel 17 AVG niet van toepassing is op een aanbieder van abonneelijsten die niet de operator van telefoondiensten van de abonnee is, zoals in casu, en dat een verzoek als vermeld in het vorige punt van het onderhavige arrest hooguit kan worden beschouwd als een verzoek om rectificatie in de zin van artikel 16 van deze verordening, zodat de tweede prejudiciële vraag niet-ontvankelijk is voor zover zij niet relevant is voor het hoofdgeding.
59 De aldus door die partij aangevoerde argumenten hebben echter in wezen betrekking op de werkingssfeer en de draagwijdte en derhalve op de uitlegging van de bepalingen van Unierecht die in de tweede vraag aan de orde zijn. Deze argumenten, die betrekking hebben op de kern van de prejudiciële vraag, kunnen dus per definitie niet leiden tot de niet-ontvankelijkheid van de vraag (arrest van 13 januari 2022, Minister Sprawiedliwości, C‑55/20, EU:C:2022:6, punt 83).
60 Hieruit volgt dat de tweede prejudiciële vraag ontvankelijk is.
61 In de eerste plaats moet erop worden gewezen dat abonnees volgens artikel 12, lid 2, tweede volzin, van richtlijn 2002/58 met name de gelegenheid moeten krijgen om de hen betreffende persoonsgegevens te laten verwijderen uit openbare abonneelijsten.
62 Het feit dat abonnees die mogelijkheid wordt geboden, houdt voor aanbieders van abonneelijsten echter geen specifieke verplichting in de zin van artikel 95 AVG in, op grond waarvan de toepassing van de relevante bepalingen van deze verordening zou kunnen worden uitgesloten. Zoals de advocaat-generaal in punt 54 van zijn conclusie in wezen heeft opgemerkt, bevat richtlijn 2002/58 namelijk geen aanwijzingen aangaande de modaliteiten, de uitvoering en de gevolgen van verzoeken tot verwijdering van persoonsgegevens. De bepalingen van de AVG kunnen derhalve worden toegepast in een dergelijk geval, zoals overigens blijkt uit overweging 10 van deze richtlijn juncto artikel 94 van deze verordening.
63 In de tweede plaats volgt uit artikel 17, lid 1, onder b) en d), AVG dat de betrokkene het recht heeft van de verwerkingsverantwoordelijke wissing van de hem betreffende persoonsgegevens te verkrijgen en dat de verwerkingsverantwoordelijke verplicht is persoonsgegevens zonder onredelijke vertraging te wissen, onder andere wanneer de betrokkene „de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, [onder] a), [...] berust, [intrekt], en er [...] geen andere rechtsgrond voor de verwerking [is]” of wanneer „de persoonsgegevens onrechtmatig zijn verwerkt”.
64 Dienaangaande volgt uit het antwoord op de eerste prejudiciële vraag dat de publicatie van persoonsgegevens van een abonnee in abonneelijsten berust op zijn toestemming.
65 Voorts volgt uit artikel 6, lid 1, onder a), en artikel 7, lid 3, AVG dat een dergelijke toestemming een van de noodzakelijke voorwaarden vormt op basis waarvan kan worden geconcludeerd dat de verwerking van de persoonsgegevens van de betrokken abonnee rechtmatig is, en dat deze toestemming te allen tijde net zo eenvoudig kan worden ingetrokken als ze door de betrokkene is gegeven.
66 In casu komt het verzoek van de abonnee om zijn gegevens niet langer te vermelden in een abonneelijst neer op de intrekking van zijn toestemming voor de publicatie van die gegevens. Op basis van de intrekking van zijn toestemming verwerft hij, bij gebreke van een andere rechtsgrond voor een dergelijke verwerking, het recht te verzoeken om wissing van zijn persoonsgegevens uit de abonneelijst krachtens artikel 17, lid 1, onder b), AVG of, indien de verwerkingsverantwoordelijke die gegevens op onrechtmatige wijze blijft publiceren, krachtens artikel 17, lid 1, onder d), van die verordening.
67 In die omstandigheden moet worden geoordeeld dat het verzoek van een abonnee tot verwijdering van zijn persoonsgegevens uit abonneelijsten kan worden beschouwd als een uitoefening van het recht op wissing van die gegevens in de zin van artikel 17 AVG.
68 Aan deze conclusie wordt niet afgedaan door het argument van Proximus dat moet worden aangenomen dat een dergelijk verzoek ertoe strekt die abonnee in staat te stellen zijn in artikel 16 AVG bedoelde recht om van de verwerkingsverantwoordelijke rectificatie van hem betreffende persoonsgegevens te verkrijgen, uit te oefenen. Volgens de bewoordingen van deze bepaling is een dergelijke rectificatie namelijk mogelijk wanneer deze gegevens onjuist zijn en zij beoogt de betrokkene in staat te stellen vervollediging daarvan te verkrijgen.
69 In casu strekt een verzoek tot verwijdering van de gegevens van een in een abonneelijst opgenomen abonnee niet tot vervanging van onjuiste gegevens door juiste gegevens of tot vervollediging van onvolledige gegevens, maar tot verwijdering van de gepubliceerde juiste gegevens.
70 Het feit dat een dergelijke verwijdering in casu tot uiting komt in de eenvoudige wijziging van de code die aan de betrokken abonnee is toegekend in de databank van Proximus op basis waarvan de persoonsgegevens van deze abonnee in de abonneelijsten worden gepubliceerd, kan niet beletten dat een verzoek tot verwijdering van persoonsgegevens die in die abonneelijsten zijn opgenomen, wordt beschouwd als een „verzoek tot gegevenswissing” in de zin van artikel 17 AVG. Uit het dossier waarover het Hof beschikt, blijkt namelijk dat de door die operator vastgestelde wijze van verwijdering een zuiver technische of organisatorische maatregel vormt die noodzakelijk blijkt om gevolg te geven aan het verzoek van de betrokkene tot wissing van persoonsgegevens en om openbaarmaking van die gegevens te verhinderen.
71 Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 17 AVG aldus moet worden uitgelegd dat het verzoek van een abonnee tot verwijdering van zijn persoonsgegevens uit abonneelijsten een uitoefening van het „recht op gegevenswissing” in de zin van dit artikel vormt.
Derde vraag
72 Met zijn derde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 5, lid 2, en artikel 24 AVG aldus moeten worden uitgelegd dat een nationale toezichthoudende autoriteit kan eisen dat de aanbieder van abonneelijsten, als verwerkingsverantwoordelijke, passende technische en organisatorische maatregelen neemt om derde verwerkingsverantwoordelijken, te weten de operator van telefoondiensten die hem de persoonsgegevens van zijn abonnee heeft verstrekt en de andere aanbieders van abonneelijsten aan wie hij zelf die gegevens heeft verstrekt, ervan op de hoogte te stellen dat die abonnee zijn toestemming heeft ingetrokken.
73 Vooraf zij opgemerkt dat Proximus in casu persoonsgegevens van de klager heeft verwerkt door ze te publiceren en aan andere aanbieders van abonneelijsten te verstrekken. Telenet, de operator van telefoondiensten van klager, heeft die gegevens ook verwerkt, onder meer door ze door te zenden naar Proximus. Hetzelfde geldt voor de andere aanbieders van abonneelijsten aan wie Proximus de contactgegevens van deze klager heeft doorgezonden en die deze hebben gepubliceerd.
74 Voorts moet ten eerste worden opgemerkt dat de wet betreffende de elektronische communicatie weliswaar vereist van operatoren van telefoondiensten dat zij hun abonneegegevens doorzenden naar aanbieders van openbare abonneelijsten, maar die operatoren moeten de gegevens met betrekking tot abonnees die gevraagd hebben niet te worden opgenomen in een abonneelijst, apart houden, zodat die abonnees een kopie van de abonneelijst kunnen ontvangen zonder dat hun gegevens daarin vermeld staan, zoals in punt 20 van het onderhavige arrest in herinnering is gebracht.
75 Uit het dossier waarover het Hof beschikt, blijkt dat in de praktijk de abonnee in de regel aan zijn operator van telefoondiensten toestemming geeft om zijn persoonsgegevens in een abonneelijst te publiceren en dat een dergelijke toestemming de doorzending van deze gegevens aan een derde, een aanbieder van abonneelijsten, mogelijk maakt. Deze aanbieder kan op grond van dezelfde toestemming op zijn beurt die gegevens verstrekken aan andere aanbieders van abonneelijsten, zodat deze verwerkingsverantwoordelijken een keten vormen waarbij zij achtereenvolgens op basis van een en dezelfde toestemmingshandeling die gegevens onafhankelijk verwerken.
76 Ten tweede blijkt uit het dossier waarover het Hof beschikt tevens dat de bijgewerkte versie van de databank van Proximus om gevolg te geven aan de intrekking van de toestemming door de klager is gewist zodra zijn operator van telefoondiensten een nieuwe lijst met abonneegegevens, waarin geen rekening was gehouden met het feit dat de klager zijn toestemming bij Proximus had ingetrokken, naar Proximus had doorgestuurd ten behoeve van de publicatie ervan in abonneelijsten.
77 In dit verband rijst dus de vraag of een aanbieder van abonneelijsten, zoals Proximus, wanneer een abonnee van een operator van telefoondiensten zijn toestemming om in de abonneelijsten van deze aanbieder te worden opgenomen intrekt, niet alleen zijn eigen databank moet actualiseren om rekening te houden met deze intrekking, maar ook de operator van telefoondiensten die hem deze gegevens heeft verstrekt en de andere aanbieders van telefoongidsen aan wie hij zelf die gegevens heeft doorgegeven van die intrekking op de hoogte moet stellen.
78 In de eerste plaats zij eraan herinnerd dat artikel 6, lid 1, onder a), AVG bepaalt dat een verwerking rechtmatig is indien en voor zover de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden. Uit de verwijzingsbeslissing blijkt dat de klager zijn toestemming voor de verwerking van zijn persoonsgegevens ten behoeve van de publicatie ervan in abonneelijsten heeft ingetrokken in de zin van artikel 7, lid 3, AVG. Ingevolge een dergelijke intrekking heeft de verwerking van die gegevens ten behoeve van de opneming ervan in openbare abonneelijsten, daaronder begrepen de verwerking die voor hetzelfde doel wordt uitgevoerd door operatoren van telefoondiensten of andere aanbieders van abonneelijsten die zich op dezelfde toestemming baseren, geen rechtsgrond meer en is zij in het licht van artikel 6, lid 1, onder a), van die verordening dan ook onrechtmatig.
79 In de tweede plaats moet in herinnering worden gebracht dat de verwerkingsverantwoordelijke volgens artikel 5, lid 1, onder a), en lid 2, AVG moet waarborgen en kunnen aantonen dat de persoonsgegevens worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is.
80 Artikel 24 AVG vereist dat de verwerkingsverantwoordelijke, rekening houdend met de aard, de omvang, de context en het doel van de verwerking, passende technische en organisatorische maatregelen treft om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd.
81 Zoals de advocaat-generaal in punt 67 van zijn conclusie heeft opgemerkt, leggen artikel 5, lid 2, en artikel 24 AVG algemene verantwoordingsplichten en nalevingsvereisten op aan verantwoordelijken voor de verwerking van persoonsgegevens. Meer bepaald vereisen deze bepalingen van verwerkingsverantwoordelijken dat zij passende maatregelen nemen om eventuele schendingen van de regels van de AVG te voorkomen om het recht op gegevensbescherming te waarborgen.
82 Vanuit dit oogpunt bepaalt artikel 19 AVG met name dat de verwerkingsverantwoordelijke iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis stelt van elke wissing van persoonsgegevens overeenkomstig artikel 17, lid 1, van deze verordening, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt.
83 Uit de algemene verplichtingen van artikel 5, lid 2, en artikel 24 AVG, gelezen in samenhang met artikel 19 daarvan, vloeit voort dat een verantwoordelijke voor de verwerking van persoonsgegevens, zoals Proximus, passende technische en organisatorische maatregelen moet treffen om de andere aanbieders van abonneelijsten aan wie hij dergelijke gegevens heeft verstrekt, te informeren omtrent de tot hem gerichte intrekking van de toestemming door de betrokkene. In omstandigheden als aangegeven in punt 76 van het onderhavige arrest moet een dergelijke verwerkingsverantwoordelijke er ook voor zorgen dat de operator van telefoondiensten die hem die persoonsgegevens heeft verstrekt, op de hoogte wordt gebracht, opdat deze laatste de lijst van persoonsgegevens die hij automatisch naar die aanbieder van abonneelijsten doorstuurt, aanpast en de gegevens van zijn abonnees die te kennen hebben gegeven dat zij hun toestemming voor openbaarmaking van deze gegevens willen intrekken, apart houdt.
84 Wanneer verschillende verwerkingsverantwoordelijken zich baseren op de eenmalige toestemming van de betrokkene om diens persoonsgegevens voor hetzelfde doel te verwerken, zoals in casu, volstaat het namelijk voor de intrekking van een dergelijke toestemming door de betrokkene dat hij zich wendt tot een van de verwerkingsverantwoordelijken die voor de gevraagde intrekking uitgaan van die toestemming.
85 Zoals de Commissie terecht opmerkt, is de verwerkingsverantwoordelijke bij wie de betrokkene zijn toestemming voor de verwerking van zijn persoonsgegevens heeft ingetrokken, daadwerkelijk gehouden om iedere persoon die hem deze gegevens heeft doorgestuurd en de persoon aan wie hij op zijn beurt die gegevens heeft verstrekt, op de hoogte te stellen van die intrekking, teneinde de doeltreffendheid van het in artikel 7, lid 3, AVG bedoelde recht op intrekking van zijn toestemming te garanderen en te verzekeren dat de toestemming van de betrokkene strikt gebonden is aan het doel waarvoor de toestemming is gegeven. De aldus geïnformeerde verwerkingsverantwoordelijken dienen vervolgens op hun beurt deze informatie door te zenden naar de andere verwerkingsverantwoordelijken aan wie zij dergelijke gegevens hebben verstrekt.
86 In dit verband moet allereerst worden opgemerkt dat een dergelijke informatieverplichting ertoe strekt elke mogelijke inbreuk op de regels van de AVG te voorkomen om het recht op gegevensbescherming te waarborgen en derhalve behoort tot de passende maatregelen in de zin van artikel 24 van deze verordening. Zoals de advocaat-generaal in punt 68 van zijn conclusie heeft benadrukt, sluit die informatieverplichting ook aan bij het vereiste van artikel 12, lid 2, van deze verordening, uit hoofde waarvan de verwerkingsverantwoordelijke gehouden is de betrokkene in staat te stellen zijn met name bij artikel 17 van die verordening verleende rechten gemakkelijker uit te oefenen.
87 Vervolgens moet worden vastgesteld dat de intrekking van de toestemming door het ontbreken van een dergelijke informatieverplichting voor de verwerkingsverantwoordelijke omtrent de intrekking van de toestemming door de betrokkene bijzonder moeilijk zou kunnen worden, aangezien die persoon de indruk zou kunnen hebben dat hij met elke operator afzonderlijk contact moet opnemen. Een dergelijke benadering zou dan ook in strijd zijn met artikel 7, lid 3, AVG, waarin is bepaald dat het intrekken van zijn toestemming voor de verwerking van persoonsgegevens even eenvoudig moet zijn als het geven ervan.
88 Ten slotte blijkt uit de in punt 49 van het onderhavige arrest in herinnering gebrachte rechtspraak dat de in artikel 12, lid 2, van richtlijn 2002/58 bedoelde toestemming van een naar behoren geïnformeerde abonnee voor de publicatie van hem betreffende persoonsgegevens in een openbare telefoongids betrekking heeft op het doel van die publicatie en dus ook ziet op elke latere verwerking van die gegevens door derde ondernemingen die actief zijn op de markt voor telefoongidsen, op voorwaarde dat deze verwerkingen ditzelfde doel hebben.
89 Zoals de advocaat-generaal in punt 68 van zijn conclusie heeft opgemerkt, volgt hieruit dat aangezien een aanbieder van abonneelijsten mag afgaan op de toestemming voor de verwerking van gegevens die een abonnee aan een andere aanbieder of aan zijn operator van telefoondiensten voor dat doel heeft gegeven, het voor een abonnee, teneinde zijn toestemming in te trekken, mogelijk moet zijn om – met het oog op de verwijdering van zijn contactgegevens uit telefoongidsen die worden uitgegeven door al diegenen die op zijn eenmalige toestemming afgaan – contact op te nemen met een van de aanbieders van telefoongidsen of die operator.
90 Gelet op de voorgaande overwegingen moet op de derde vraag worden geantwoord dat artikel 5, lid 2, en artikel 24 AVG aldus moeten worden uitgelegd dat een nationale toezichthoudende autoriteit kan eisen dat de aanbieder van abonneelijsten, als verwerkingsverantwoordelijke, passende technische en organisatorische maatregelen neemt om de derde verwerkingsverantwoordelijken, te weten de operator van telefoondiensten die hem de persoonsgegevens van zijn abonnee heeft verstrekt en de andere aanbieders van abonneelijsten aan wie hij die gegevens heeft verstrekt, te informeren over de intrekking van de toestemming door die abonnee.
Vierde vraag
91 Met zijn vierde vraag wenst de verwijzende rechter in wezen te vernemen of artikel 17, lid 2, AVG aldus moet worden uitgelegd dat het zich ertegen verzet dat een nationale toezichthoudende autoriteit een aanbieder van abonneelijsten, die door de abonnee van een operator van telefoondiensten is verzocht om de hem betreffende persoonsgegevens niet langer te publiceren, gelast „redelijke maatregelen” in de zin van die bepaling te nemen om de aanbieders van zoekmachines op de hoogte te stellen van dat verzoek tot gegevenswissing.
92 Voor de beantwoording van deze vraag zij eraan herinnerd dat artikel 17, lid 2, AVG de verwerkingsverantwoordelijke die de persoonsgegevens openbaar heeft gemaakt, verplicht om, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, te nemen om verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijke heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen.
93 Blijkens overweging 66 van de AVG bestaat het doel van deze verplichting in de versterking van het recht op vergetelheid in de onlineomgeving en heeft zij derhalve op bijzondere wijze betrekking op de informatie die via internet beschikbaar wordt gesteld door zoekmachines die online gepubliceerde gegevens verwerken.
94 In casu staat vast dat Proximus persoonsgegevens van de klager in haar telefoongids heeft gepubliceerd en dat deze vennootschap bijgevolg moet worden beschouwd als een verwerkingsverantwoordelijke die dergelijke gegevens openbaar heeft gemaakt in de zin van artikel 17, lid 2, AVG.
95 Voorts moet worden herinnerd aan de vaste rechtspraak dat, ten eerste, de activiteit van een zoekmachine, die erin bestaat door derden op het internet gepubliceerde of opgeslagen informatie te vinden, automatisch te indexeren, tijdelijk op te slaan en uiteindelijk in een bepaalde volgorde ter beschikking te stellen aan internetgebruikers, moet worden gekwalificeerd als „verwerking” van persoonsgegevens in de zin van artikel 4, punt 2, AVG wanneer deze informatie persoonsgegevens bevat en, ten tweede, de exploitant van deze zoekmachine moet worden beschouwd als de „verantwoordelijke” voor deze verwerking, in de zin van artikel 4, punt 7, van deze verordening en dus ook in de zin van artikel 17, lid 2, daarvan [zie in die zin arrest van 24 september 2019, GC e.a. (Verwijdering van links naar gevoelige gegevens), C‑136/17, EU:C:2019:773, punt 35 en aldaar aangehaalde rechtspraak].
96 Bijgevolg moet in omstandigheden als die van het hoofdgeding worden geoordeeld dat een verwerkingsverantwoordelijke als Proximus krachtens artikel 17, lid 2, AVG redelijke maatregelen dient te nemen om de aanbieders van zoekmachines op de hoogte te stellen van het tot haar gerichte verzoek van een abonnee van een operator van telefoondiensten om zijn persoonsgegevens te wissen. Zoals de advocaat-generaal in punt 76 van zijn conclusie heeft opgemerkt, bepaalt artikel 17, lid 2, AVG dat bij de beoordeling of de door de aanbieder van abonneelijsten genomen maatregelen redelijk zijn, rekening moet worden gehouden met de beschikbare technologie en de uitvoeringskosten, een taak die voornamelijk op de daartoe bevoegde autoriteit neerkomt, en die ter beoordeling aan een rechter kan worden voorgelegd.
97 In casu blijkt uit de schriftelijke opmerkingen van de GBA, die op dit punt niet zijn weersproken door de andere partijen in de onderhavige procedure, dat er in het tweede kwartaal van 2020 sprake was van een beperkt aantal aanbieders van zoekmachines in België. Meer bepaald had Google een marktaandeel van tussen de 90 % (voor desktopzoekopdrachten) en de 99 % (voor zoekopdrachten vanaf smartphones en op tablets).
98 Zoals in punt 26 van het onderhavige arrest is aangegeven, blijkt daarenboven uit het dossier waarover het Hof beschikt, dat Proximus na het verzoek van de abonnee om zijn gegevens niet te op te nemen in de abonneelijsten van deze aanbieder, heeft geantwoord dat zij niet alleen deze gegevens had verwijderd uit de telefoongidsen en de telefooninlichtingendiensten, maar ook contact had opgenomen met Google om de relevante links naar de website van Proximus te verwijderen.
99 Gelet op een en ander moet op de vierde vraag worden geantwoord dat artikel 17, lid 2, AVG aldus moet worden uitgelegd dat het zich er niet tegen verzet dat een nationale toezichthoudende autoriteit een aanbieder van abonneelijsten die door de abonnee van een operator van telefoondiensten is verzocht om de hem betreffende persoonsgegevens niet langer te publiceren, gelast „redelijke maatregelen” in de zin van deze bepaling te treffen om zoekmachines te informeren over dat verzoek tot gegevenswissing.
Kosten
100 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Vierde kamer) verklaart voor recht:
1) Artikel 12, lid 2, van richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie), zoals gewijzigd bij richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009, gelezen in samenhang met artikel 2, tweede alinea, onder f), van deze richtlijn en artikel 95 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming),
moet aldus worden uitgelegd dat:
de „toestemming” in de zin van artikel 4, punt 11, van deze verordening van de abonnee van een operator van telefoondiensten vereist is voor het opnemen van de persoonsgegevens van die abonnee in voor het publiek beschikbare telefoongidsen en telefooninlichtingendiensten die door andere aanbieders dan die operator worden uitgegeven; deze toestemming kan aan die operator of aan een van die aanbieders worden gegeven.
2) Artikel 17 van verordening 2016/679
moet aldus worden uitgelegd dat:
het verzoek van een abonnee tot verwijdering van zijn persoonsgegevens uit telefoongidsen en telefooninlichtingendiensten die voor het publiek beschikbaar zijn, een uitoefening van het „recht op gegevenswissing” in de zin van dit artikel vormt.
3) Artikel 5, lid 2, en artikel 24 van verordening 2016/679
moeten aldus worden uitgelegd dat:
een nationale toezichthoudende autoriteit kan eisen dat de aanbieder van telefoongidsen en telefooninlichtingendiensten die voor het publiek beschikbaar zijn, als verwerkingsverantwoordelijke, passende technische en organisatorische maatregelen neemt om de derde verwerkingsverantwoordelijken, te weten de operator van telefoondiensten die hem de persoonsgegevens van zijn abonnee heeft verstrekt en de andere aanbieders van voor het publiek beschikbare telefoongidsen en telefooninlichtingendiensten aan wie hij die gegevens heeft verstrekt, te informeren over de intrekking van de toestemming door die abonnee.
4) Artikel 17, lid 2, van verordening 2016/679
moet aldus worden uitgelegd dat:
het zich er niet tegen verzet dat een nationale toezichthoudende autoriteit een aanbieder van voor het publiek beschikbare telefoongidsen en telefooninlichtingendiensten die door de abonnee van een operator van telefoondiensten is verzocht om de hem betreffende persoonsgegevens niet langer te publiceren, gelast „redelijke maatregelen” in de zin van deze bepaling te treffen om de aanbieders van zoekmachines te informeren over dat verzoek tot gegevenswissing.
Uitgesproken ter openbare terechtzitting te Luxemburg op 27 oktober 2022.
De griffier | | De kamerpresident |
A. Calot Escobar | | C. Lycourgos |