1. Introductie
Hoe kunnen de fundamentele rechten en vrijheden van natuurlijke personen beschermd blijven, terwijl persoonsgegevens wel doorgespeeld worden. En hoe moeten de woorden ‘noodzakelijk voor de behartiging van het gerechtvaardigd belang van derde aan wie de gegevens worden verstrekt’ uitgelegd worden? In dit arrest gaat het Hof van Justitie hierop in.
2. Casus
3. Beleidsdossier en thematiek
Digitale Overheid
Justitie, vrijheid en veiligheid
4. Samenvatting feiten
In december 2012 wordt in Riga door het opendoen van een taxideur door de passagier, schade toegebracht aan een bus. Eigenaar van de bus, Rigas satiksme (hierna: Rigas) verzoekt de politie om toezending van een aantal gegevens, waaronder persoonsgegevens. De gevraagde gegevens betreffen een afschrift van de verklaringen van de taxichauffeur en de passagier betreffende de omstandigheden van het ongeval, en mededeling van de naam, de voornaam, het identificatienummer en het adres van de taxipassagier. De politie honoreert dit verzoek gedeeltelijk. De politie deelt alleen de naam en voornaam van de passagier. Dit besluit is gebaseerd op het feit dat alleen partijen die betrokken zijn bij een zaak betreffende een administratieve overtreding, de informatie mogen verkrijgen.
Rigas vecht dit besluit bij de lagere nationale rechter aan, die in het voordeel van Rigas beslist: de rijkspolitie moet het identificatienummer en het adres van de passagier wel verstrekken. De rijkspolitie gaat hier tegen in beroep. De hogere rechter vraagt advies aan de nationale privacytoezichthouder. De toezichthouder legt de grondslag ‘gerechtvaardigd belang’ in artikel 7 van de wet bescherming persoonsgegevens in Letland en de richtlijn (straks art. 6 Algemene verordening gegevensbescherming) uit als een recht van de verwerkingsverantwoordelijke om gegevens te verwerken, en geen verplichting. De toezichthouder stelt dat artikel 7 niet als rechtsgrondslag kan dienen om persoonsgegevens te verstrekken, aangezien in het nationaal recht de personen worden opgesomd aan wie de rijkspolitie informatie over een zaak mag verstrekken.
Daarnaast geeft de toezichthouder twee wegen via het nationale Letse recht waardoor Rigas de persoonsgegevens ook had kunnen verkrijgen. De hogere rechter heeft echter twijfels over de doeltreffendheid van deze voorgestelde mogelijkheden door de toezichthouder. De rechter acht het in dit geval nodig om aan het Europees Hof van Justitie voor te leggen hoe het begrip “noodzakelijk”, uit artikel 7 onder f) van de richtlijn moet worden uitgelegd.
5. Rechtsvraag
In deze zaak worden de volgende vragen aan het Hof van Justitie voorgelegd:
- Moeten de woorden “noodzakelijk voor de behartiging van het gerechtvaardigde belang van de derde(n) aan wie de gegevens worden verstrekt” in artikel 7, onder f), van richtlijn 95/46 aldus worden uitgelegd dat de rijkspolitie aan Rīgas satiksme de, door deze gevraagde, persoonsgegevens dient te verstrekken die noodzakelijk zijn om de een civielrechtelijke procedure in te stellen?
- Is het voor het antwoord op deze vraag van belang dat, zoals uit de stukken blijkt, de passagier van wie Rīgas satiksme de gegevens heeft opgevraagd, ten tijde van het ongeval minderjarig was?
6. Samenvatting uitspraak
Verplichting of bevoegdheid
Het Hof stelt dat uit de opzet van richtlijn 95/46/EG en de bewoording van artikel 7 onder f) blijkt, dat dit op zich niet voorziet in een verplichting, maar in een bevoegdheid om de gegevens te verwerken. Het Hof verwijst hierbij ook terug naar de conclusie van de AG, waarin wordt gesteld dat dit ook kan worden afgeleid uit andere instrumenten van het Unierecht die verband houden met persoonsgegevens.
Hierbij maakt het Hof wel de kanttekening dat artikel 7 onder f) zich niet tegen een dergelijke mededeling zou verzetten indien deze geschiedt op basis van het nationale recht, met inachtneming van de in deze bepaling gestelde voorwaarden.
Het gerechtvaardigd belang
Het belang van een derde bij het verkrijgen van persoonsgegevens van iemand die schade heeft aangebracht in het eigendom, is een gerechtvaardigd belang, ingevolge het Hof (dit wordt ondersteund door het arrest Promusicae). Daarnaast bepaalt artikel 8, lid 2, onder e), van richtlijn 95/46/EG, dat het verbod op de verwerking van bepaalde soorten persoonlijke gegevens, zoals die waaruit de raciale afkomst of de politieke overtuigingen blijken, niet geldt wanneer de verwerking noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte.
De noodzaak
De verwerking van persoonsgegevens moet binnen het strikt noodzakelijke blijven. Het Hof haalt om dit te bevestigen de arresten Volker und Marcus Schecke en Eifert, arrest IPI en arrest Ryneš aan. Afgaande op de vaststelling van de verwijzende rechter dat de schadeverwekker met alleen de naam en achternaam niet voldoende nauwkeurig te identificeren is, stelt het Hof dat het dus ook noodzakelijk is het adres en/of het identificatienummer van de betrokkene te verkrijgen.
De rechten van de betrokkene
Om de belangenafweging te maken tussen de tegengestelde rechten en belangen, moet de verwijzende rechter alle bijzondere omstandigheden van het concrete geval meenemen. Het Hof geeft aan dat het feit dat de passagier minderjarig was, meegenomen moet worden in deze belangenafweging. Onder voorbehoud van het onderzoek dat de nationale rechter dient te verrichten, kan op grond van de casus alvast wel worden gezegd, dat het niet gerechtvaardigd is te weigeren de persoonsgegevens te overhandigen vanwege het feit dat de passagier minderjarig is.
7. Decentrale relevantie
De Algemene verordening gegevensbescherming (AVG) moet per 25 mei 2018 toegepast worden door decentrale overheden. De AVG vervangt richtlijn 95/46/EG en trekt deze ook in. De voorwaarden voor het verwerken van persoonsgegevens, in de richtlijn neergezet in artikel 7, staan in artikel 6 AVG. Hoewel de voorwaarde ‘het gerechtvaardigd belang’ ook weer een voorwaarde in de AVG is, mogen overheidsinstellingen bij het ‘uitoefenen van hun publieke taak’ zich niet beroepen op deze grondslag. Het maken van een belangenafweging, of het noodzakelijk is om persoonsgegevens te verwerken, is bij elke verwerking noodzakelijk.
Meer informatie:
Digitale Overheid, Europa decentraal
Algemene verordening gegevensbescherming, Europa decentraal
