Introductie
Op grond van artikel 15, lid 1, onder c van de Algemene Verordening Gegevensbescherming (AVG) hebben betrokkenen het recht om van de instantie of het bedrijf die verantwoordelijk is voor verwerking van zijn of haar persoonsgegevens uitsluitsel te verkrijgen over de ontvangers aan wie die gegevens worden verstrekt. Naar aanleiding van een prejudiciële vraag van een Oostenrijkse rechter concludeerde Hof van Justitie van de Europese Unie (hierna: het Hof) dat het recht om te weten met welke organisaties de persoonsgegevens gedeeld worden beperkt kan worden. In specifieke omstandigheden is het niet mogelijk om informatie te ontvangen over de partij die de gegevens zal ontvangen, dit is in het bijzonder het geval wanneer de toekomstige ontvangers nog niet vastgesteld zijn. In dat geval volstaat het delen van de categorieën van de mogelijke ontvangers van de persoonsgegevens.
Zaak
HvJ EU 12 januari 2023, C‑154/21, ECLI:EU:C:2023:3 (RW tegen Österreichische Post AG)
Beleidsdossier en thematiek
Feiten
De zaak betreft een conflict tussen verzoeker, particulier ‘RW’, en de grootste aanbieder van post- en logistieke diensten in Oostenrijk: de Österreichische Post. RW had de Österreichische Post verzocht om inzage te krijgen in de op hem betrekking hebbende persoonsgegevens die door de Österreichische Post destijds en in een verder verleden waren opgeslagen. RW verzocht de Österreichische Post daarbij ook met hem te delen wie de concrete ontvangers van zijn persoonsgegevens waren. Hij beriep zich daarmee op zijn recht tot inzage en daarmee op het recht op het ontvangen van informatie omtrent de ontvangers van zijn persoonsgegevens, vastgelegd in artikel 15, lid 1, onder c van de AVG. Op grond van die bepaling heeft een betrokkene het recht om te weten wie de concrete ontvangers van zijn of haar persoonsgegevens zijn óf om te weten te komen onder welke categorieën deze ontvangers vallen. De Österreichische Post gaf in reactie op het verzoek van RW aan dat zij alle verkregen persoonsgegevens van eenieder voor marketingdoeleinden aanbiedt aan zakelijke klanten. Daarbij gaf zij ook aan dat er voor het verkrijgen van nadere informatie over de ontvangers van de persoonsgegevens gekeken kon worden naar een website, waar echter alleen verschillende categorieën ontvangers op gevonden konden worden. RW ontving echter geen informatie over wie de concrete ontvangers van zijn persoonsgegevens waren.
In reactie hierop heeft RW de Österreichische Post voor de Oostenrijkse rechter gedaagd. Zowel de rechter in eerste aanleg als de appelrechter hebben de vordering van RW afgewezen, met het argument dat de Österreichische Post in dit geval ook alleen de categorieën van ontvangers mag mededelen aan RW. Die informatie was door de Österreichische Post dus ook verstrekt. RW nam hier echter geen genoegen mee en stelde hoger beroep in bij het hoogste rechtscollege in Oostenrijk. De federale rechter vroeg zich af hoe de bepaling kwestie, artikel 15 AVG, lid 1, onder c, uitgelegd dient te worden. Het was deze verwijzende rechter niet duidelijk of de AVG een keuze biedt: kan de verwerkingsverantwoordelijke, de Österreichische Post in dit geval, kiezen tussen het delen van de concrete ontvangers of het delen van de categorieën van ontvangers? Indien er een keuze bestaat en hier geen verdere voorwaarden aan verbonden zijn, dan heeft de Österreichische Post aan haar verplichting voldaan. Dit houdt echter ook in dat er in de praktijk altijd de optie bestaat voor de verwerkingsverantwoordelijke om alleen de categorieën van de ontvangers te delen en niet de concrete ontvangers. Omdat dat een gemakkelijkere optie is, bestaat de kans dat er in de praktijk vaak voor die optie gekozen zal worden, waardoor het recht op informatie over het gebruik van persoonsgegevens zou uithollen.
Rechtsvraag
Naar aanleiding van de onduidelijkheid over de interpretatie van artikel 15, lid 1, onder c van de AVG stelde de Oostenrijkse rechter het Hof van Justitie van de EU de volgende prejudiciële vraag:
“Moet artikel 15, lid 1, onder c, AVG aldus worden uitgelegd dat het recht van inzage beperkt is tot categorieën van ontvangers indien bij de voorgenomen verstrekking van informatie de specifieke ontvangers daarvan nog niet vaststaan, maar dat recht zich noodzakelijkerwijs ook moet uitstrekken tot ontvangers van die informatie wanneer reeds gegevens zijn meegedeeld?”
Uitspraak Hof
Het Hof geeft in zijn uitspraak eerst aan dat de begrippen ‘concrete ontvangers’ en ‘categorieën van ontvangers’ niet verschillend in rangorde zijn: er wordt in die bepaling zelf dus geen voorkeur vastgelegd. Hieruit vloeit voort dat een verzoeker niet automatisch het recht heeft om informatie over de concrete ontvangers van zijn of haar persoonsgegevens te ontvangen. Er vloeit slechts uit voort dat de verzoeker het recht heeft op het vernemen van hetzij de namen van de concrete ontvangers van informatie dan wel informatie over de categorieën ontvangers. In overweging 63 van de considerans van de AVG is echter benoemd dat de verzoeker het recht heeft te worden meegedeeld wie de persoonsgegevens ontvangt. In die overweging wordt niet gesproken van een beperking van dit recht tot enkel de mededeling van de categorieën van ontvangers. Daarbij dient, zoals het Hof aangeeft, bij elke verwerking van persoonsgegevens het transparantiebeginsel in acht te worden genomen.
Het Hof geeft vervolgens aan dat het recht van inzage de verzoeker niet alleen in staat moet stellen om na te gaan of de persoonsgegevens juist zijn, maar ook of deze rechtmatig worden verwerkt en of deze gegevens gedeeld zijn of worden met bevoegde ontvangers. Het recht van inzage is belangrijk, want het vormt de poort tot de mogelijkheid tot uitoefening van andere rechten onder de AVG, zoals het recht op rectificatie of het recht op het laten wissen van gegevens. Om al deze rechten te kunnen waarborgen en daarbij het transparantiebeginsel in acht te nemen, dient dus gehoor te worden gegeven aan een verzoek tot informatie omtrent concrete ontvangers, in het geval waarin de betreffende persoonsgegevens reeds aan derden zijn meegedeeld. Dit laatste aspect is van groot belang: de informatie omtrent de ontvangers van de persoonsgegevens dient zo nauwkeurig mogelijk te zijn en kan daarmee alleen specifiek toegespitst zijn op concrete ontvangers aan wie de gegevens zijn of zullen worden gedeeld. Het moet dus al vaststaan wie de ontvangers zijn of zullen zijn om aan dit nauwkeurigheidsvereiste te kunnen voldoen. In geval dat nog niet vaststaat, volstaat het mededelen van de categorieën van ontvangers. Tot slot geeft het Hof aan dat het recht op bescherming van persoonsgegevens geen absoluut recht is. De functie ervan in de samenleving moet worden meegewogen bij de uitoefening daarvan en het moet op een evenredige wijze worden afgewogen tegen andere fundamentele rechten.
Het Hof concludeert op grond van bovenstaande argumenten dat het in specifieke omstandigheden niet mogelijk is om de concrete ontvangers van persoonsgegevens te delen: een voorbeeld hiervan is wanneer de identiteit van de ontvangers simpelweg nog niet vaststaat. Ook concludeert het Hof dat op grond van artikel 12, lid 5, onder b van de AVG de verwerkingsverantwoordelijke op grond van het aansprakelijkheidsbeginsel kan weigeren gevolg te geven aan verzoeken van de betrokkene wanneer deze ongegrond of buitensporig van aard zijn. Het is vervolgens wel aan de verwerkingsverantwoordelijke om aan te tonen dat dat het geval zou zijn. Het antwoord op de prejudiciële vraagt luidt dus, dat de verwerkingsverantwoordelijke verplicht is om op grond van artikel 15, lid 1, onder c van de AVG de concrete ontvangers mee te delen aan de verzoeker, mits de gegevens zijn of zullen worden gedeeld met deze ontvangers. Indien het onmogelijk is om deze ontvangers te identificeren omdat deze nog niet vaststaan en/of nog niet reeds gedeeld zijn dan bestaat er alleen de verplichting tot het delen van de categorieën van de ontvangers.
Decentrale relevantie
Ook decentrale overheden komen veel in aanraking met de AVG en kunnen verzoeken ontvangen met betrekking tot persoonsgegevens die door hen zijn opgeslagen en worden verwerkt. Burgers hebben het recht om deze gegevens in te zien en informatie te ontvangen met betrekking tot de ontvangers van de gegevens. Artikel 15, lid 1, onder c is dus ook zeer relevant voor decentrale overheden. Zij kunnen voor de keuze komen te staan of er in het geval van een dergelijk verzoek gekozen dient te worden voor het delen van de concrete ontvangers van persoonsgegevens of slechts het delen van de categorieën van ontvangers. Op grond van dit arrest dienen zij dus rekening te met specifieke omstandigheden: staan de ontvangers al vast? Dan dienen deze concrete ontvangers gedeeld te worden met de betrokkene. Indien dit niet het geval is dan volstaat het delen van de categorieën van de ontvangers. Als het verzoek van de betrokkene ongegrond of buitensporig van aard is, kan er besloten worden om geen gevolg te geven aan het verzoek.
