ARREST VAN HET HOF (Eerste kamer)
12 januari 2023 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 15, lid 1, onder c) – Recht van inzage van de betrokkene in zijn gegevens – Informatie over de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt – Beperkingen”
In zaak C‑154/21,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk) bij beslissing van 18 februari 2021, ingekomen bij het Hof op 9 maart 2021, in de procedure
RW
tegen
Österreichische Post AG,
wijst
HET HOF (Eerste kamer),
samengesteld als volgt: A. Arabadjiev, kamerpresident, L. Bay Larsen, vicepresident van het Hof, waarnemend rechter van de Eerste kamer, P. G. Xuereb, A. Kumin en I. Ziemele (rapporteur), rechters,
advocaat-generaal: G. Pitruzzella,
griffier: A. Calot Escobar,
gezien de stukken,
gelet op de opmerkingen van:
– RW, vertegenwoordigd door R. Haupt, Rechtsanwalt,
– Österreichische Post AG, vertegenwoordigd door R. Marko, Rechtsanwalt,
– de Oostenrijkse regering, vertegenwoordigd door G. Kunnert, A. Posch en J. Schmoll als gemachtigden,
– de Tsjechische regering, vertegenwoordigd door M. Smolek en J. Vláčil als gemachtigden,
– de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door M. Russo, avvocato dello Stato,
– de Letse regering, vertegenwoordigd door J. Davidoviča, I. Hūna en K. Pommere als gemachtigden,
– de Roemeense regering, vertegenwoordigd door L.‑E. Baţagoi, E. Gane en A. Wellman als gemachtigden,
– de Zweedse regering, vertegenwoordigd door H. Eklinder, J. Lundberg, C. Meyer-Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev en O. Simonsson als gemachtigden,
– de Europese Commissie, vertegenwoordigd door F. Erlbacher en H. Kranenborg als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 9 juni 2022,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 15, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2; hierna: „AVG”).
2 Dit verzoek is ingediend in het kader van een geding tussen RW en Österreichische Post AG over een verzoek om inzage van persoonsgegevens krachtens artikel 15, lid 1, onder c), AVG.
Toepasselijke bepalingen
3 De overwegingen 4, 9, 10, 39, 63 en 74 AVG luiden als volgt:
„(4) […] Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. […]
[…]
(9) De doelstellingen en beginselen van richtlijn 95/46/EG [van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31)] blijven overeind, maar de richtlijn heeft niet kunnen voorkomen dat gegevens in de [Europese] Unie op gefragmenteerde wijze worden beschermd, dat er rechtsonzekerheid heerst of dat in brede lagen van de bevolking het beeld bestaat dat met name online-activiteiten aanzienlijke risico’s voor de bescherming van natuurlijke personen inhouden. De lidstaten bieden op het vlak van verwerking van persoonsgegevens uiteenlopende niveaus van bescherming van de rechten en vrijheden van natuurlijke personen, met name de bescherming van persoonsgegevens, wat het vrije verkeer van persoonsgegevens binnen de Unie in de weg kan staan. Die verschillen kunnen dan ook een belemmering vormen voor de uitoefening van economische activiteiten op Unieniveau, de mededinging verstoren en de overheid beletten de taak die zij uit hoofde van het Unierecht heeft, te vervullen. Die verschillende beschermingsniveaus zijn toe te schrijven aan de verschillen in de uitvoering en toepassing van richtlijn 95/46/EG.
(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. […]
[…]
(39) Elke verwerking van persoonsgegevens dient behoorlijk en rechtmatig te geschieden. Voor natuurlijke personen dient het transparant te zijn dat hen betreffende persoonsgegevens worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt. Overeenkomstig het transparantiebeginsel moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt. […]
[…]
(63) Een betrokkene moet het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. […] Elke betrokkene dient dan ook het recht te hebben, te weten en te worden meegedeeld voor welke doeleinden de persoonsgegevens worden verwerkt, indien mogelijk hoe lang zij worden bewaard, wie de persoonsgegevens ontvangt, welke logica er ten grondslag ligt aan een eventuele automatische verwerking van de persoonsgegevens en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen van een dergelijke verwerking zijn. […] Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden. […]
[…]
(74) De verantwoordelijkheid en aansprakelijkheid van de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van persoonsgegevens die door of namens hem wordt uitgevoerd. Meer bepaald dient de verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit te voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig deze verordening geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen moet rekening worden gehouden met de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen.”
4 Artikel 1 AVG („Onderwerp en doelstellingen”) bepaalt in lid 2:
„Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.”
5 Artikel 5 AVG („Beginselen inzake verwerking van persoonsgegevens”) bepaalt:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
[…]
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
6 Artikel 12 („Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene”) van die verordening vermeldt:
„1. De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.
2. De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.
[…]
5. Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel:
a) een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; ofwel
b) weigeren gevolg te geven aan het verzoek.
Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.
[…]”
7 Artikel 13 („Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”) van diezelfde verordening bepaalt in lid 1:
„Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
[…]
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
[…]”
8 De AVG vermeldt in artikel 14 („Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen”), lid 1, het volgende:
„Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie:
[…]
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
[…]”
9 Artikel 15 („Recht van inzage van de betrokkene”) van die verordening luidt:
„1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.”
10 Artikel 16 („Recht op rectificatie”) van diezelfde verordening bepaalt:
„De betrokkene heeft het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. Met inachtneming van de doeleinden van de verwerking heeft de betrokkene het recht vervollediging van onvolledige persoonsgegevens te verkrijgen, onder meer door een aanvullende verklaring te verstrekken.”
11 Artikel 17 AVG, met als opschrift „Recht op gegevenswissing (‚recht op vergetelheid’)”, luidt:
„1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
a) de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
d) de persoonsgegevens zijn onrechtmatig verwerkt;
e) de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
f) de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.
2. Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en overeenkomstig lid 1 verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, om verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen.
[…]”
12 Artikel 18 AVG („Recht op beperking van de verwerking”) bepaalt in lid 1:
„De betrokkene heeft het recht van de verwerkingsverantwoordelijke de beperking van de verwerking te verkrijgen indien een van de volgende elementen van toepassing is:
a) de juistheid van de persoonsgegevens wordt betwist door de betrokkene, gedurende een periode die de verwerkingsverantwoordelijke in staat stelt de juistheid van de persoonsgegevens te controleren;
b) de verwerking is onrechtmatig en de betrokkene verzet zich tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan;
c) de verwerkingsverantwoordelijke heeft de persoonsgegevens niet meer nodig voor de verwerkingsdoeleinden, maar de betrokkene heeft deze nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering;
d) de betrokkene heeft overeenkomstig artikel 21, lid 1, bezwaar gemaakt tegen de verwerking, in afwachting van het antwoord op de vraag of de gerechtvaardigde gronden van de verwerkingsverantwoordelijke zwaarder wegen dan die van de betrokkene.”
13 Artikel 19 van die verordening luidt als volgt:
„De verwerkingsverantwoordelijke stelt iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking overeenkomstig artikel 16, artikel 17, lid 1, en artikel 18, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoekt.”
14 Artikel 21 van diezelfde verordening („Recht van bezwaar”) luidt:
„1. De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.
2. Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing.
3. Wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van direct marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt.
4. Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven.
5. In het kader van het gebruik van diensten van de informatiemaatschappij, en niettegenstaande richtlijn 2002/58/EG [van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB 2002, L 201, blz. 37)], mag de betrokkene zijn recht van bezwaar uitoefenen via geautomatiseerde procedés waarbij wordt gebruikgemaakt van technische specificaties.
6. Wanneer persoonsgegevens overeenkomstig artikel 89, lid 1, met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt, heeft de betrokkene het recht om met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens, tenzij de verwerking noodzakelijk is voor de uitvoering van een taak van algemeen belang.”
15 Artikel 79 AVG („Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker”) bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet.”
16 Artikel 82 („Recht op schadevergoeding en aansprakelijkheid”) van die verordening vermeldt in lid 1 het volgende:
„Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.”
Hoofdgeding en prejudiciële vraag
17 Op 15 januari 2019 heeft RW Österreichische Post verzocht om op grond van artikel 15 AVG inzage te verkrijgen van de hem betreffende persoonsgegevens die Österreichische Post opslaat dan wel in het verleden heeft opgeslagen, alsmede om hem informatie te verstrekken over wie de ontvangers daarvan waren, voor het geval dat deze gegevens aan derden zijn meegedeeld.
18 In antwoord op dit verzoek heeft Österreichische Post zich beperkt tot de mededeling dat zij – voor zover dat wettelijk is toegestaan – in het kader van haar activiteit als uitgever van telefoongidsen gebruikmaakt van persoonsgegevens en deze voor marketingdoeleinden aanbiedt aan zakelijke klanten. Afgezien daarvan heeft zij voor nadere informatie en met betrekking tot overige doeleinden van gegevensverwerking verwezen naar een website. Zij heeft RW niet meegedeeld wie de concrete ontvangers van de gegevens waren.
19 RW heeft Österreichische Post voor de Oostenrijkse rechterlijke instanties gedaagd en gevorderd dat zij wordt gelast hem onder meer de identiteit van de ontvanger(s) van zijn aldus meegedeelde persoonsgegevens te verstrekken.
20 In de loop van de aldus ingeleide procedure heeft Österreichische Post aan RW meegedeeld dat zij zijn persoonsgegevens voor marketingdoeleinden had verwerkt en deze had doorgegeven aan klanten, waaronder adverteerders die actief zijn in verzend- en fysieke handel, IT-bedrijven, adreshandelaars en verenigingen zoals charitatieve instellingen, niet-gouvernementele organisaties (ngo’s) en politieke partijen.
21 De rechter in eerste aanleg en de appelrechter hebben de vordering van RW afgewezen op grond dat artikel 15, lid 1, onder c), AVG, voor zover het verwijst naar de „ontvangers of categorieën van ontvangers”, de verwerkingsverantwoordelijke de mogelijkheid biedt om aan de betrokkene alleen de categorieën van ontvangers aan te geven, zonder verplicht te zijn om de concrete ontvangers aan wie de persoonsgegevens worden meegedeeld, bij naam te noemen.
22 RW heeft beroep in Revision ingesteld bij het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk), de verwijzende rechter.
23 Deze rechter vraagt zich af hoe artikel 15, lid 1, onder c), AVG moet worden uitgelegd, aangezien uit de bewoordingen van deze bepaling niet duidelijk kan worden afgeleid of zij aan de betrokkene het recht verleent om inzage te krijgen van informatie over de concrete ontvangers aan wie de gegevens werden verstrekt, dan wel of de verwerkingsverantwoordelijke over een keuzevrijheid beschikt wat betreft de wijze waarop hij gevolg wenst te geven aan een verzoek om inzage van informatie over de ontvangers.
24 De verwijzende rechter merkt echter op dat de ratio legis van deze bepaling eerder pleit voor de uitlegging dat het de betrokken persoon zelf is die de keuze heeft om informatie over de categorieën van ontvangers dan wel de concrete ontvangers van zijn persoonsgegevens te vragen. Volgens die rechter zou elke andere uitlegging in aanzienlijke mate afbreuk doen aan de doeltreffendheid van de rechtsmiddelen waarover de betrokkene beschikt om zijn gegevens te beschermen. Indien de verwerkingsverantwoordelijken de keuze zouden hebben om aan de betrokkenen de concrete ontvangers dan wel alleen de categorieën van ontvangers mee te delen, valt immers te vrezen dat in de praktijk nagenoeg geen van hen de informatie over de concrete ontvangers zal verstrekken.
25 Anders dan artikel 13, lid 1, onder e), en artikel 14, lid 1, onder e), AVG, die de verwerkingsverantwoordelijke verplichten om de daarin bedoelde informatie te verstrekken, legt artikel 15, lid 1, van die verordening bovendien de nadruk op de reikwijdte van het recht van inzage van de betrokkene, hetgeen er volgens de verwijzende rechter eveneens op wijst dat de betrokkene het recht heeft om te kiezen tussen het opvragen van informatie over de concrete ontvangers dan wel over de categorieën van ontvangers.
26 Ten slotte voegt de verwijzende rechter daaraan toe dat het in artikel 15, lid 1, AVG bedoelde recht van inzage niet enkel betrekking heeft op persoonsgegevens die momenteel worden verwerkt, maar ook op in het verleden verwerkte gegevens. In dit verband preciseert diezelfde rechter dat de overwegingen in het arrest van 7 mei 2009, Rijkeboer (C‑553/07, EU:C:2009:293) – die gebaseerd zijn op het doel van het recht van inzage zoals vastgelegd in richtlijn 95/46/EG –, kunnen worden toegepast op het in artikel 15 AVG bedoelde recht van inzage, temeer daar uit de overwegingen 9 en 10 AVG kan worden afgeleid dat de Uniewetgever niet de intentie had om het niveau van bescherming ten opzichte van die richtlijn te verlagen.
27 In die omstandigheden heeft het Oberste Gerichtshof besloten de behandeling van de zaak te schorsen en het Hof de volgende prejudiciële vraag te stellen:
„Moet artikel 15, lid 1, onder c), [AVG] aldus worden uitgelegd dat het recht van inzage beperkt is tot categorieën van ontvangers indien bij de voorgenomen verstrekking van informatie de specifieke ontvangers daarvan nog niet vaststaan, maar dat recht zich noodzakelijkerwijs ook moet uitstrekken tot ontvangers van die informatie wanneer reeds gegevens zijn meegedeeld?”
Beantwoording van de prejudiciële vraag
28 Met zijn prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 15, lid 1, onder c), AVG aldus moet worden uitgelegd dat het in die bepaling bedoelde recht van de betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, meebrengt dat de verwerkingsverantwoordelijke, wanneer die gegevens aan ontvangers zijn of zullen worden verstrekt, verplicht is om aan de betrokkene de concrete identiteit van deze ontvangers mee te delen.
29 Vooraf zij eraan herinnerd dat volgens vaste rechtspraak bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met haar context en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt (arrest van 15 maart 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, punt 63). Voorts moet, wanneer een bepaling van het Unierecht voor verschillende uitleggingen vatbaar is, de voorkeur worden gegeven aan de uitlegging die de nuttige werking van de bepaling verzekert (arrest van 7 maart 2018, Cristal Union, C‑31/17, EU:C:2018:168, punt 41 en aldaar aangehaalde rechtspraak).
30 Wat om te beginnen de bewoordingen van artikel 15, lid 1, onder c), AVG betreft, moet eraan worden herinnerd dat de betrokkene volgens deze bepaling het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de informatie betreffende de ontvangers of categorieën van ontvangers aan wie die persoonsgegevens zijn of zullen worden verstrekt.
31 Dienaangaande zij opgemerkt dat de begrippen „ontvangers” en „categorieën van ontvangers” in deze bepaling na elkaar worden gebruikt, zonder dat daaruit een rangorde tussen het ene en het andere begrip kan worden afgeleid.
32 Derhalve moet worden vastgesteld dat op basis van de bewoordingen van artikel 15, lid 1, onder c), AVG niet eenduidig kan worden vastgesteld of de betrokkene, wanneer de hem betreffende persoonsgegevens zijn of zullen worden verstrekt, het recht heeft om in kennis te worden gesteld van de concrete identiteit van de ontvangers ervan.
33 Wat vervolgens de context van artikel 15, lid 1, onder c), AVG betreft, moet er in de eerste plaats aan worden herinnerd dat in overweging 63 van die verordening staat te lezen dat de betrokkene inzonderheid het recht dient te hebben, te weten en te worden meegedeeld wie de persoonsgegevens ontvangt, en dat daarin niet wordt verklaard dat dit recht beperkt kan worden tot louter de categorieën van ontvangers, zoals de advocaat-generaal in punt 23 van zijn conclusie heeft opgemerkt.
34 In de tweede plaats zij er voorts aan herinnerd dat, om het recht van inzage te eerbiedigen, elke verwerking van persoonsgegevens van natuurlijke personen in overeenstemming moet zijn met de in artikel 5 AVG vermelde beginselen (zie in die zin arrest van 16 januari 2019, Deutsche Post, C‑496/17, EU:C:2019:26, punt 57).
35 Tot die beginselen behoort het transparantiebeginsel van artikel 5, lid 1, onder a), AVG, dat – zoals blijkt uit overweging 39 van deze verordening – impliceert dat de betrokkene beschikt over informatie over de wijze waarop zijn persoonsgegevens worden verwerkt en dat deze informatie gemakkelijk toegankelijk en begrijpelijk is.
36 In de derde plaats moet worden opgemerkt dat, zoals de advocaat-generaal in punt 21 van zijn conclusie heeft benadrukt, artikel 15 AVG – anders dan de artikelen 13 en 14 AVG, op grond waarvan de verwerkingsverantwoordelijke verplicht is om de betrokkene informatie te verstrekken over de categorieën van ontvangers of de concrete ontvangers van de hem betreffende persoonsgegevens, en dit zowel wanneer deze informatie bij de betrokkene wordt verzameld als wanneer dat niet het geval is – voorziet in een daadwerkelijk recht van inzage van de betrokkene, zodat deze laatste de keuze moet kunnen hebben om ofwel – indien mogelijk – informatie te verkrijgen over de specifieke ontvangers aan wie de gegevens zijn of zullen worden verstrekt, dan wel om informatie te verkrijgen over de categorieën van ontvangers.
37 In de vierde plaats heeft het Hof reeds geoordeeld dat de uitoefening van dit recht van inzage de betrokkene in staat moet stellen niet alleen na te gaan of de hem betreffende gegevens juist zijn, maar ook of deze rechtmatig worden verwerkt (zie naar analogie arresten van 17 juli 2014, YS e.a., C‑141/12 en C‑372/12, EU:C:2014:2081, punt 44, en 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 57), met name of zij zijn meegedeeld aan bevoegde ontvangers (zie naar analogie arrest van 7 mei 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 49).
38 Dit recht van inzage is met name noodzakelijk om de betrokkene toe te laten in voorkomend geval een aantal rechten uit te oefenen, namelijk zijn recht op rectificatie van gegevens, op gegevenswissing („recht op vergetelheid”), en op beperking van de verwerking uit te oefenen, die hem respectievelijk door de artikelen 16, 17 en 18 AVG zijn toegekend (zie naar analogie arresten van 17 juli 2014, YS e.a., C‑141/12 en C‑372/12, EU:C:2014:2081, punt 44, en 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 57), alsook zijn in artikel 21 AVG neergelegde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens en zijn in de artikelen 79 en 82 AVG neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt (zie naar analogie arrest van 7 mei 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 52).
39 Teneinde de nuttige werking te waarborgen van alle rechten die in het vorige punt van het onderhavige arrest zijn vermeld, dient de betrokkene in het bijzonder te beschikken over het recht om te weten wie de concrete ontvangers van zijn persoonsgegevens waren, wanneer deze gegevens reeds aan derden zijn meegedeeld.
40 Een dergelijke uitlegging wordt in de vijfde en laatste plaats bevestigd door de lezing van artikel 19 AVG, waarvan de eerste volzin bepaalt dat de verwerkingsverantwoordelijke in beginsel iedere ontvanger aan wie persoonsgegevens zijn meegedeeld, in kennis stelt van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking, en de tweede volzin bepaalt dat de verwerkingsverantwoordelijke de betrokkene informatie verstrekt over deze ontvangers indien hij daar om verzoekt.
41 Aldus verleent artikel 19, tweede volzin, AVG de betrokkene uitdrukkelijk het recht om door de verwerkingsverantwoordelijke te worden geïnformeerd over de concrete ontvangers van de hem betreffende gegevens, in het kader van de verplichting van deze laatste om alle ontvangers te informeren over de uitoefening van de rechten waarover deze persoon op grond van artikel 16, artikel 17, lid 1, en artikel 18 AVG beschikt.
42 Uit bovenstaande analyse van de context dat artikel 15, lid 1, onder c), AVG een van de bepalingen is waarmee wordt beoogd ten aanzien van de betrokkene de transparantie te waarborgen van de wijze waarop de persoonsgegevens worden verwerkt, en dat deze bepaling hem in staat stelt, zoals de advocaat-generaal in punt 33 van zijn conclusie heeft opgemerkt, de met name in de artikelen 16 tot en met 19, 21, 79 en 82 AVG neergelegde prerogatieven uit te oefenen.
43 Bijgevolg moet worden geoordeeld dat de informatie die aan de betrokkene wordt verstrekt op grond van het in artikel 15, lid 1, onder c), AVG neergelegde recht van inzage zo nauwkeurig mogelijk moet zijn. In het bijzonder houdt dit recht van inzage in dat de betrokkene van de verwerkingsverantwoordelijke informatie kan verkrijgen over de specifieke ontvangers aan wie de gegevens zijn of zullen worden verstrekt, dan wel ervoor kan kiezen om louter informatie betreffende de categorieën van ontvangers op te vragen.
44 Wat ten slotte het doel van de AVG betreft, zij eraan herinnerd dat deze verordening – zoals blijkt uit overweging 10 ervan –, met name een hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen (arrest van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 207). Zoals de advocaat-generaal in punt 14 van zijn conclusie in wezen heeft opgemerkt, geeft het door de AVG gecreëerde algemene rechtskader in dat verband uitvoering aan de vereisten die voortvloeien uit het grondrecht op bescherming van persoonsgegevens dat wordt gewaarborgd door artikel 8 van het Handvest van de grondrechten van de Europese Unie, met name de vereisten die uitdrukkelijk zijn vastgelegd in lid 2 van dat artikel (zie in die zin arrest van 9 maart 2017, Manni, C‑398/15, EU:C:2017:197, punt 40).
45 Deze doelstelling bevestigt de uitlegging van artikel 15, lid 1, AVG die in punt 43 van dit arrest is opgenomen.
46 Ook uit het door de AVG nagestreefde doel volgt dus dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke informatie te verkrijgen over de concrete ontvangers aan wie de hem betreffende persoonsgegevens zijn of zullen worden verstrekt.
47 Ten slotte moet er evenwel op worden gewezen dat, zoals blijkt uit overweging 4 AVG, het recht op bescherming van persoonsgegevens geen absoluut recht is. Dit recht moet immers worden beschouwd in relatie tot de functie ervan in de samenleving en moet overeenkomstig het evenredigheidsbeginsel worden afgewogen tegen andere grondrechten, zoals het Hof in wezen opnieuw heeft bevestigd in punt 172 van het arrest van 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559).
48 Om die reden kan worden aangenomen dat het in specifieke omstandigheden niet mogelijk is om informatie te verstrekken over concrete ontvangers. Bijgevolg kan het recht van inzage worden beperkt tot informatie over de categorieën van ontvangers indien het onmogelijk is om informatie te verstrekken over wie de concrete ontvangers daarvan waren, in het bijzonder wanneer deze nog niet bekend zijn.
49 Voorts zij eraan herinnerd dat krachtens artikel 12, lid 5, onder b), AVG de verwerkingsverantwoordelijke overeenkomstig het in artikel 5, lid 2, van die verordening en in overweging 74 ervan bedoelde aansprakelijkheidsbeginsel kan weigeren gevolg te geven aan verzoeken van de betrokkene wanneer deze kennelijk ongegrond of buitensporig van aard zijn, met dien verstande dat de verwerkingsverantwoordelijke de kennelijk ongegronde of buitensporige aard van die verzoeken moet aantonen.
50 In casu blijkt uit het verzoek om een prejudiciële beslissing dat Österreichische Post het verzoek heeft afgewezen dat door RW op grond van artikel 15, lid 1, AVG werd ingediend om hem informatie te verstrekken over wie de ontvangers zijn aan wie zij de hem betreffende persoonsgegevens had verstrekt. Het staat aan de verwijzende rechter om na te gaan of Österreichische Post, gelet op de omstandigheden van het hoofdgeding, heeft aangetoond dat dit verzoek kennelijk ongegrond of buitensporig is.
51 Gelet op een en ander moet op de prejudiciële vraag worden geantwoord dat artikel 15, lid 1, onder c), AVG aldus moet worden uitgelegd dat het in die bepaling bedoelde recht van de betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, meebrengt dat de verwerkingsverantwoordelijke, wanneer die gegevens aan ontvangers zijn of zullen worden verstrekt, verplicht is om aan de betrokkene de identiteit van deze ontvangers mee te delen, tenzij het onmogelijk is om die ontvangers te identificeren of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12, lid 5, AVG, in welke gevallen de verwerkingsverantwoordelijke alleen de categorieën van de betreffende ontvangers hoeft mee te delen aan die betrokkene.
Kosten
52 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Eerste kamer) verklaart voor recht:
Artikel 15, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
het in die bepaling bedoelde recht van de betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, meebrengt dat de verwerkingsverantwoordelijke, wanneer die gegevens aan ontvangers zijn of zullen worden verstrekt, verplicht is om aan de betrokkene de identiteit van deze ontvangers mee te delen, tenzij het onmogelijk is om die ontvangers te identificeren of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12, lid 5, verordening 2016/679, in welke gevallen de verwerkingsverantwoordelijke alleen de categorieën van de betreffende ontvangers hoeft mee te delen aan die betrokkene.
ondertekeningen