A-G: recht van inzage strekt zich uit tot informatie over specifieke ontvangers van persoonsgegevens

Het gaat om de conclusie van advocaat-generaal (hierna: A-G) van 9 juni 2022 in de zaak C-154/21, RW tegen Österreichische Post AG.

Achtergrond

Artikel 15, lid 1 van de Algemene verordening gegevensbescherming (AVG) voorziet in het recht van een betrokkene om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Wanneer er sprake is van verwerking, heeft de betrokkene het recht om inzage te verkrijgen van de verwerkte persoonsgegevens en van diverse informatie. In dit verband heeft de betrokkene overeenkomstig artikel 15, lid 1, onder c van de AVG het recht de informatie in te zien over ‘de ontvangers’ of ‘categorieën van ontvangers’ aan wie de persoonsgegevens zijn of zullen worden verstrekt.

In deze zaak gaat het om een geding tussen RW en Österreichische Post AG, de grootste aanbieder van post- en logistieke diensten in Oostenrijk, die na een verzoek van RW om inzage van de hem betreffende persoonsgegevens aan RW geen informatie heeft verstrekt over de specifieke ontvangers aan wie zijn persoonsgegevens worden medegedeeld. Österreichische Post heeft alleen aangegeven dat zij de persoonsgegevens heeft verstrekt aan zakelijke klanten, waaronder adverteerders die actief zijn in online- en offlinehandel, IT-bedrijven, uitgevers van telefoongidsen en verenigingen zoals fondsenwervers, ngo’s of politieke partijen.

Het geding tussen RW en Österreichische Post is uiteindelijk terechtgekomen bij de hoogste federale rechter in civiele en strafzaken van Oostenrijk. Die rechter wil van het EU-Hof weten of het recht op inzage van RW impliceert dat hij informatie moet ontvangen over de ‘(specifieke) ontvangers’ aan wie de hem betreffende persoonsgegevens worden medegedeeld of dat de verwerkingsverantwoordelijke (Österreichische Post) alleen aanwijzingen dient te verstrekken over de ‘categorieën van ontvangers’.

Advies

De A-G concludeert in de eerste plaats dat uit de bewoordingen van artikel 15, lid 1, onder c van de AVG volgt dat de begrippen ‘ontvangers’ en ‘categorieën van ontvangers’ na elkaar worden gebruikt, zonder dat daaruit een rangorde kan worden afgeleid. Volgens de A-G is het aan de betrokkene om te kiezen of hij inzage wil verkrijgen van informatie betreffende de specifieke ontvangers aan wie de gegevens zijn of zullen worden verstrekt, dan wel of hij alleen informatie betreffende de categorieën van ontvangers wil opvragen.

Vervolgens stelt de A-G vast dat uit overweging 63 van de AVG volgt dat het recht van inzage tot doel heeft om de betrokkene in staat te stellen zich van de verwerking van zijn gegevens op de hoogte te stellen en de rechtmatigheid ervan te controleren. Indien het recht van inzage beperkt zou zijn tot categorieën van ontvangers, zou het voor de betrokkene onmogelijk zijn om de rechtmatigheid van de verwerking door de verwerkingsverantwoordelijke volledig te controleren en in het bijzonder om de rechtmatigheid van de reeds verrichte mededelingen van persoonsgegevens te controleren. Bij een dergelijke uitlegging van artikel 15, lid 1 van de AVG zou de betrokkene volgens de A-G niet kunnen nagaan of zijn gegevens alleen aan gemachtigde ontvangers zijn verstrekt.

Verder concludeert de A-G dat een uitlegging van artikel 15, lid 1, onder c van de AVG, waarbij het voor de betrokkene onmogelijk is om informatie te verkrijgen over de specifieke ontvangers aan wie zijn persoonsgegevens worden medegedeeld, tot gevolg zou hebben dat de betrokkene ten aanzien van die ontvangers, aangezien hij niet weet wie zij zijn, niet de rechten kan uitoefenen die hem op grond van de AVG zijn verleend. Het gaat dan bijvoorbeeld om het recht op rectificatie van gegevens en het recht op vergetelheid (artikelen 16 en 17 van de AVG).

De uitbreiding van het in artikel 15, lid 1, onder c van de AVG bedoelde recht van inzage tot de specifieke ontvangers van die gegevens stuit volgens de A-G in ten minste twee gevallen op grenzen.  Ten eerste kan in gevallen waarin het materieel onmogelijk is om informatie te verstrekken over de specifieke ontvangers, bijvoorbeeld omdat nog niet vaststaat om wie het gaat, uiteraard niet van de verwerkingsverantwoordelijke worden verwacht dat hij informatie verstrekt die nog niet bestaat. In de tweede plaats geldt het recht van inzage niet wanneer de verwerkings-verantwoordelijke aantoont dat de verzoeken van de betrokkene kennelijk ongegrond of buitensporig van aard zijn.

Opmerking : een conclusie van een A-G is een advies aan het EU-Hof. Het EU-Hof is volledig vrij daarvan af te wijken. Het is nog niet bekend wanneer de uiteindelijke uitspraak van het EU-Hof zal verschijnen. Dit kan nog enkele maanden duren. De uitspraak van het EU-Hof zal wel bindend zijn.

Meer informatie:

• ECER-dossier – Privacy