C-169/23 Masdi
Prejudiciële hofzaak
Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar). Termijnen: Motivering departement: 30 mei 2023 Schriftelijke opmerkingen: 16 juli 2023
Trefwoorden: bescherming van persoonsgegevens gegenereerd door verwerkingsverantwoordelijke
Onderwerp:
• Artikel 14, lid 5, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming; hierna: „AVG”).
Feiten:
Nadat verzoeker van de overheidsdienst zijn bewijs van vaccinatie tegen / herstel van het coronavirus (hierna: „coronabewijs”) had ontvangen, heeft hij een klacht ingediend, waarin hij verweerster, de nationale autoriteit voor gegevensbescherming, verzocht een gegevensbeschermingsprocedure in te leiden en de overheidsdienst te sommeren om zijn verwerkingen in overeenstemming te brengen met de bepalingen van de AVG. In zijn klacht heeft verzoeker onder meer aangevoerd dat de overheidsdienst geen informatiedocument betreffende de verweking van gegevens in verband met de afgifte van de coronabewijzen heeft opgesteld en gepubliceerd. Er is onvoldoende informatie over het doel en de rechtsgrond voor de gegevensverweking, over de rechten van betrokkenen en over hoe deze rechten kunnen worden uitgeoefend.
Verweerster heeft het verzoek afgewezen. In de motivering van het besluit stelde zij vast dat de overheidsdienst geen informatieverplichting had, aangezien de uitzonderingsregel van artikel 14, lid 5, onder c) van de AVG van toepassing is, waardoor de overheidsdienst niet verplicht was om informatie te verstrekken. Hiertegen heeft verzoeker beroep ingesteld. De rechter in eerste aanleg heeft in het kader van de uitlegging van artikel 14, lid 5, onder c), AVG, vastgesteld dat de uitzonderingsregel geen toepassing kon vinden omdat deze uitsluitend betrekking heeft op gegevens die van een ander orgaan zijn ontvangen. In het geval van de coronabewijzen komen gegevens tot stand die de verwerkingsverantwoordelijke niet van een ander orgaan ontvangt, maar zelf genereert. Hiertegen heeft verweerster een herzieningsverzoek ingesteld met een vraag over de uitleg van de uitzonderingsregel van de AVG.
Overweging:
Volgens verzoeker kan met de uitzonderingsregel van artikel 14, lid 5, onder c), AVG uitsluitend rekening worden gehouden wanneer de verwerkte gegevens betrekking hebben op gegevens die niet bij de betrokkene zijn verzameld, en is zij niet van toepassing wanneer de gegevens door de verwerkingsverantwoordelijke zijn gegenereerd. Hij betoogt dat het standpunt van verweerster zou leiden tot de uitholling van het recht op informatie, terwijl duidelijk is dat het recht op informatie van cruciaal belang is voor de uitoefening van de rechten van betrokkenen, zodat zij weten welke rechten zij ten aanzien van de betrokken gegevensverwerking hebben. Verweerster is van mening dat artikel 14, lid 5, onder c), AVG wel degelijk van toepassing is op de onderzochte gegevensverwerking. Zij betoogt dat de AVG wat betreft de vorm van de informatieverstrekking een gesloten systeem vormt, zodat er geen gegevensverwerking bestaat waarop, gelet op haar aard, de informatieverplichting niet van toepassing is. Zij betoogt dat dit blijkt uit de bewoording van het regelgevend gedeelte, waarin de uitdrukkingen vastleggen en verstrekken van persoonsgegevens zijn vermeld. Bovendien stelt zij dat een systematische uitlegging van de betrokken bepalingen laat zien dat de in overweging 62 van de AVG gebezigde termen registratie/opslag/register een aanzienlijk ruimere betekenis hebben dan de uitdrukkingen ontvangen/verzamelen.
De verwijzende rechter deelt het standpunt van verweerster dat de uitzonderingsregel van toepassing is op alle vormen van gegevensverwerking die betrekking hebben op niet bij de betrokkene verzamelde persoonsgegevens. Zij is van mening dat de materiële werkingssfeer van artikel 14 AVG in de eerste plaats wordt bepaald door lid 1 en de titel van het artikel. Hieruit blijkt dat de onderzochte bepaling betrekking heeft op persoonsgegevens die niet van de betrokkene zijn verkregen en volgt dat de uitzonderingsregel van artikel 14, lid 5, onder c), AVG betrekking heeft op alle verwerkingen van persoonsgegevens die niet van de betrokkene zijn verkregen, ook de gegevens die onder de verwerkingsverantwoordelijke zijn gegenereerd.
Prejudiciële vragen:
1) Moet artikel 14, lid 5, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming; hierna: „AVG”), gelezen in samenhang met artikel 14, lid 1, en overweging 62 AVG, aldus worden uitgelegd dat de uitzondering van artikel 14, lid 5, onder c), AVG niet van toepassing is op gegevens die door de verwerkingsverantwoordelijke in het kader van de eigen procedure worden gegenereerd, maar uitsluitend op gegevens die de verwerkingsverantwoordelijke uitdrukkelijk van derden heeft verkregen?
2) Indien artikel 14, lid 5, onder c), AVG ook van toepassing is op gegevens die door de verwerkingsverantwoordelijke in het kader van de eigen procedure worden gegenereerd, moet artikel 77, lid 1, AVG, dat het recht regelt om een klacht in te dienen bij een toezichthoudende autoriteit, dan aldus worden uitgelegd dat de natuurlijke persoon die stelt dat de informatieplicht niet is nagekomen, in het kader van de uitoefening van zijn recht om een klacht in te dienen ook kan laten onderzoeken of het in artikel 14, lid 5, onder c), AVG bedoelde lidstatelijke recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen?
3) Indien de tweede vraag bevestigend wordt beantwoord, kan artikel 14, lid 5, onder c), AVG dan aldus worden uitgelegd dat de daarin genoemde passende maatregelen inhouden dat de wetgever van de lidstaat geacht wordt de in artikel 32 AVG bedoelde maatregelen met het oog op de beveiliging van de verwerking (wettelijk) vast te leggen?
Aangehaalde (recente) jurisprudentie: C-243/20, Trapeza Peiraios
Specifiek beleidsterrein: BZK, JenV
