C-201/14, Smaranda Bara e.a. tegen Președintele Casei Naționale de Asigurări de Sănătate e.a en; 1 oktober 2015, C-230/14, Weltimmo s.r.o. tegen Nemzeti Adatvédelmi és Információszabadság Hatóság

Signaleringsfiche

Arresten van het Hof van Justitie van 1 oktober 2015, C-201/14,  Smaranda Bara e.a. tegen Președintele Casei Naționale de Asigurări de Sănătate e.a en; 1 oktober 2015, C-230/14, Weltimmo s.r.o. tegen Nemzeti Adatvédelmi és Információszabadság Hatóság.

Betrokken departementen
VenJ, BZ, VWS, BZK, I&M, SZW en EZ

Sleutelwoorden
Prejudiciële verwijzing – persoonsgegevens – bescherming van natuurlijke personen in verband met de verwerking van die gegevens – Richtlijn 95/46/EG (hierna: de richtlijn) – Artikelen 4, 10, 11, 13 en 28 – informeren van de betrokkenen – verantwoordelijke voor de verwerking die formeel in een lidstaat is gevestigd – vaststelling van het toepasselijke recht en de bevoegde toezichthoudende autoriteit – bevoegdheden van de nationale toezichthoudende autoriteiten – overdracht van persoonlijke belastinggegevens door overheidsinstantie met het oog op de verwerking ervan door andere overheidsinstantie

Beleidsrelevantie
Uitspraak C-201/14 is relevant voor het beleid betreffende de uitwisseling van persoonsgegevens tussen overheidsinstanties onderling, omdat het Hof preciseert wanneer betrokkenen hierover geïnformeerd moeten worden en een verduidelijking geeft over een uitzondering op deze informatiesplicht.
Uitspraak C-230/14 is relevant voor het beleid inzake bescherming van persoonsgegevens waarvan de verwerking plaatsvindt in meerdere lidstaten. De uitspraak gaat in op het toepasselijk (nationale) recht, de bevoegde toezichthoudende autoriteit en diens bevoegdheden bij interstatelijke gegevensverwerking. Hierbij staat het begrip ‘vestiging’ in de zin van artikel 4 van de richtlijn centraal en het Hof gaat hier dan ook uitvoerig op in.

Samenvatting van feiten, redenering en dictum
In de zaak C-201/14 Bara heeft de Roemeense belastingdienst, zonder dit te melden aan betrokkenen, gegevens over het inkomen van Roemeense zelfstandigen doorgegeven aan het Roemeense socialezekerheidsorgaan (een andere Roemeense overheidsinstelling). De gegevens zijn verwerkt door het socialezekerheidsorgaan. Deze heeft vervolgens bij meerdere burgers achterstallige premies geïnd. Betrokkenen stellen dat de informatie over hun inkomen, zoals door hen verstrekt aan de nationale belastingdienst, voor een ander doel is gebruikt dan waarvoor ze verstrekt is.
De verwijzende rechter vraagt of artikelen 10, 11 en 13 van de richtlijn in de weg staan aan nationale maatregelen die een overheidsinstantie toestaan persoonsgegevens aan een andere overheidsinstantie over te dragen met het oog op gegevensverwerking, zonder dat de desbetreffende personen zijn geïnformeerd over de overdracht en de verwerking. Het Hof concludeert dat dit het geval is. Het Hof bekijkt de zaak zowel vanuit het orgaan dat de gegevens van betrokkenen zelf heeft gekregen – de belastingdienst – als vanuit het orgaan dat de gegevens van het andere overheidsorgaan heeft gekregen – het socialezekerheidsorgaan.
Het Hof wijst daarbij allereerst op de plicht van het orgaan dat de gegevens van betrokkenen heeft verkregen, betrokkenen te informeren over het doorgeven van deze gegevens (artikel 10). Deze plicht is vooral van belang vanwege de rechten van toegang tot en rectificatie van de verwerkte gegevens die betrokkenen hebben, alsook hun recht van verzet tegen de gegevensverwerking, welke rechten niet uitgeoefend kunnen worden als betrokkenen er niet van op de hoogte zijn. Vervolgens buigt het Hof zich over de vraag of betrokkenen reeds op de hoogte waren van het doorgeven van de gegevens. De Roemeense Wet nr. 95/2006 kan niet worden aangemerkt als “voorafgaande informatie” die de voor verwerking verantwoordelijke ontslaat van zijn plicht om betrokkenen te informeren, omdat deze wet niet ziet op het doorgeven van gegevens over het inkomen. Het Hof toetst vervolgens of er sprake is van een uitzondering vanwege een belangrijk economisch en financieel belang of een taak op het gebied van controle, inspectie of regelgeving daarvan (artikel 13). Nu de afspraken tussen de belastingdienst en het socialezekerheidsorgaan uitsluitend intern (bij protocol) zijn gemaakt en niet in een wetgevende maatregel zijn vastgelegd, kan er reeds daarom geen sprake zijn van een geoorloofde uitzondering. Het socialezekerheidsorgaan heeft evenals de belastingdienst nagelaten de betrokkenen te informeren. Ook hier gaat het Hof na of betrokkenen vooraf hadden kunnen weten dat hun gegevens doorgegeven zouden worden (artikel 11), en onder verwijzing naar de eerdere redenering wordt geconcludeerd dat dit niet het geval is. Ook voor artikel 13 wordt naar de voorafgaande redenering verwezen.

In de zaak C-230/14 Weltimmo beheert dit internetbedrijf dat is gevestigd in Slowakije, een vastgoedsite in Hongarije. Het bedrijf heeft, ondanks toezeggingen daartoe, persoonsgegevens niet van de site verwijderd en kosten in rekening gebracht aan gebruikers van de site. De gebruikers hebben hierover geklaagd bij de Hongaarse toezichthouder. De toezichthouder heeft zich bevoegd verklaard, geoordeeld dat Weltimmo de wet had overtreden en dit gesanctioneerd met een boete. Weltimmo heeft zich op het standpunt gesteld dat er niet bij de Hongaarse autoriteit geklaagd kan worden, omdat het bedrijf in Slowakije is gevestigd. Met de prejudiciële vragen wenst de verwijzende rechter te weten welk recht van toepassing is op de gegevensverwerking en welke toezichthouder bevoegd is kennis te nemen van het geschil.
Volgens het Hof vloeit uit artikel 4 van de richtlijn voort welk nationaal recht van toepassing is. De daarin gebezigde uitdrukking ‘in het kader van de activiteiten van een vestiging’ mag, gelet op de doelstelling van de richtlijn, niet restrictief worden uitgelegd. Voorts blijkt uit de preambule dat een bijzonder ruime territoriale werkingssfeer is beoogd. Met betrekking tot het begrip ‘vestiging’ overweegt het Hof dat een flexibele uitleg gewenst is (arrest Google Spain en Google, C-131/12). Relevant hierbij zijn de mate van duurzaamheid van de vestiging en het daadwerkelijk uitoefenen van de activiteiten, waarbij rekening gehouden moet worden met de specifieke aard van de bedrijfsuitoefening en de betrokken dienstverlening. Dit geldt in het bijzonder voor ondernemingen die uitsluitend hun diensten via het internet aanbieden. In dit kader kan onder bepaalde omstandigheden reeds bij één enkele vertegenwoordiger sprake zijn van een duurzame vestiging, indien diegene optreedt met een voldoende mate van duurzaamheid en met behulp van de nodige middelen voor de verlening van de betrokken concrete diensten in de desbetreffende lidstaat. Ook moet worden vastgesteld dat het begrip ‘vestiging’ betrekking heeft op iedere vorm van, zelfs geringe, reële en daadwerkelijke activiteit die via een duurzame vestiging wordt uitgeoefend. Deze aspecten in aanmerking genomen, overweegt het Hof dat er in onderhavig geval sprake is van ‘vestiging’ in de zin van artikel 4. Voorts lijdt het geen twijfel dat het plaatsen van persoonsgegevens op de website plaatsvindt ‘in het kader van de activiteiten’ van Weltimmo. Het Hof concludeert dan ook dat in een dergelijke situatie het Hongaarse recht kan worden toegepast. Expliciet wordt overwogen dat de omstandigheid dat de eigenaren van het onroerend goed van de advertenties de Hongaarse nationaliteit hebben, niet van belang is.
Het Hof vervolgt met de vraag wat de bevoegdheid is van de toezichthouder op grond van artikel 28. Elke toezichthouder oefent de haar toegekende bevoegdheden uit op het grondgebied van de lidstaat waartoe zij behoort, teneinde op dat grondgebied de eerbiediging van de regels inzake gegevensbescherming te waarborgen. De toezichthouder kan elke klacht onderzoeken, zelfs als het recht dat op de betrokken gegevensverwerking van toepassing is van een andere lidstaat is. In dat geval omvatten de bevoegdheden evenwel niet alle haar toegekende bevoegdheden, vanwege de territoriale soevereiniteit, het legaliteitsbeginsel en de rechtsstatelijkheid. Sancties opleggen is niet mogelijk. Op grond van de samenwerkingsverplichting in artikel 28 lid 6, van de richtlijn kan wel gevraagd worden aan de toezichthoudende autoriteit van die andere lidstaat om een schending van het recht van die lidstaat vast te stellen en zo mogelijk sancties op te leggen.

Inventarisatie van de mogelijke effecten
Uit C-201/14 volgt dat personen wier persoonsgegevens worden overgedragen en verwerkt tussen twee overheidsinstanties vooraf daarover moeten worden geïnformeerd. Aan deze informatieverplichting is voldaan wanneer er sprake is van voldoende specifieke, wettelijke grondslag (vergelijk in dit geval de uitspraak van de Afdeling Bestuursrechtspraak van de Raad van State van 3 februari 2016, ECLI:NL:RVS:2016:253).  De uitspraak noopt niet tot wijzigingen van de Wbp; de uitspraak geeft invulling aan artikelen 33, 34 en 43 Wbp inzake het informatierecht van betrokkenen. Een eerste inventarisatie leidt niet tot de conclusie dat aanpassing van overige regelgeving of beleid noodzakelijk is. Het lijkt  raadzaam grondig te inventariseren of wijzigingen in de uitvoeringspraktijk nodig zijn om conform deze uitspraak te handelen.
Uit C-230/14 volgt dat een geringe aanwezigheid of activiteit op het grondgebied van een lidstaat al ‘vestiging’ in de zin van artikel 4 richtlijn kan inhouden, mits de activiteit duurzaam is. Ondernemingen die activiteiten uitoefenen in meerdere lidstaten – en toezichthouders op die ondernemingen – moeten er rekening mee houden dat het nationale gegevensbeschermingsrecht van al deze lidstaten van toepassing is, ook indien de gegevensverwerking strikt gezien niet plaats lijkt te vinden in het kader van haar vestigingen in deze lidstaten. Het is daarom aan te bevelen kennis te nemen van de invulling die het Hof in deze uitspraak geeft aan het begrip ‘vestiging’. De uitspraak maakt voorts voor toezichthouders duidelijk dat als de gegevensverwerking wordt beheerst door het recht van een andere lidstaat, de toezichthouder niet bevoegd is tot het opleggen van sancties. Hij kan wel de toezichthouder van de bevoegde lidstaat verzoeken een sanctie op te leggen mits dat binnen het nationale recht van die laatste lidstaat mogelijk is.
 
Voorstel voor behandeling
De ICER-H heeft het fiche vastgesteld en zendt dit met het arrest ter kennisgeving aan de leden van het IOWJZ. Indien nodig kan het fiche ter kennisname aan hun ministers worden doorgeleid. Een vervolgfiche is niet noodzakelijk.  

Klik C-201/14 of C-230/14 voor het volledige dossier van het Hof van Justitie