C-46/23 Ujpesti Polgarmesteri Hivatal
Prejudiciële hofzaak
Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar). Termijnen: Motivering departement: 23 maart 2023 Schriftelijke opmerkingen: 9 mei 2023
Trefwoorden: persoonsgegevens, gegevenswissing, financiële steun, toezichthoudende autoriteit
Onderwerp: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG
Feiten:
Verzoekster heeft in februari 2020 besloten om financiële steun te verstrekken aan bewoners die tot de risicogroep voor COVID-19 behoorden en voldeden aan een aantal voorwaarden, en wendde zich daarom tot de Hongaarse schatkist en het kantoor van district 4, ressorterend onder de overheidsdienst voor de hoofdstad Boedapest, (districtskantoor) om de persoonsgegevens te verzamelen die nodig waren voor de vaststelling van het recht op steun. De schatkist en het districtskantoor hebben de gevraagde gegevens verstrekt. Verzoekster heeft de verkregen gegevens samengevoegd in een ter uitvoering van het programma opgezette databank, en heeft daarbij voor elke gegevensreeks een unieke identificatiecode en een barcode vervaardigd. Naar aanleiding van een melding in het algemeen belang heeft verweerster (nationale autoriteit voor gegevensbescherming en vrijheid van informatie, Hongarije) de gegevensverwerkingen onderzocht. Verweerster heeft in haar besluit van 22-04-2021 vastgesteld dat verzoekster verschillende bepalingen van de artikelen 5 en 14, en artikel 12, lid 1, AVG had geschonden. Verweerster heeft onder meer vastgesteld dat sommige bepalingen van artikel 14 AVG waren geschonden omdat verzoekster de betrokkenen niet binnen een maand had geïnformeerd over de in het kader van het programma verwerkte persoonsgegevens, het doel van de gegevensverwerking en de wijze waarop zij hun rechten konden uitoefenen. Verweerster heeft verzoekster krachtens artikel 58, lid 2, onder d), AVG gelast om de persoonsgegevens te wissen van de betrokkenen die volgens de van het districtskantoor en de schatkist verkregen informatie recht op de steun hadden, maar daar geen aanspraak op hadden gemaakt. Verzoekster betoogt dat de praktijk van verweerster in strijd is met de beginselen van rechtszekerheid en legaliteit, die deel uitmaken van de rechtsstaat, aangezien verweerster in een ander besluit (dat het voorwerp was van het met onherroepelijke vonnis afgesloten geding) slechts het bestaan van de inbreuk heeft vastgesteld, maar geen enkele bepaling van artikel 58, AVG als rechtsgrond voor het opleggen van de verplichting tot gegevenswissing heeft aangewezen, terwijl zij in het besluit dat het voorwerp is van het onderhavige geding artikel 58, lid 2, onder d), AVG als zodanig heeft vermeld.
Overweging:
De verwijzende rechter wenst van het Hof te vernemen hoe de bevoegdheden van de toezichthoudende autoriteit tot het nemen van corrigerende maatregelen als bedoeld in artikel 58, lid 2, en met name onder c), d) en g), AVG, gelezen in samenhang met artikel 17, lid 1, AVG, moeten worden uitgelegd. De praktijk van verweerster met betrekking tot het opleggen van de verplichting om onrechtmatig verwerkte persoonsgegevens te wissen is namelijk niet consistent, aangezien verweerster in een aantal van haar besluiten uiteenlopende bepalingen, of geen enkele bepaling, van de AVG als rechtsgrond voor de verplichting tot gegevenswissing heeft genoemd. Naar het oordeel van de verwijzende rechter moet het in artikel 17 AVG verankerde recht op gegevenswissing worden uitgelegd als een recht dat uitdrukkelijk aan de betrokkenen toekomt, en voorziet lid 1 niet in twee afzonderlijke rechtsgronden voor gegevenswissing, maar ziet het tweede zinsdeel van de bepaling op een uit het eerste zinsdeel voortvloeiende, dat zinsdeel in de tijd opvolgende, verplichting van de verwerkingsverantwoordelijke. Daarnaast moet voor ogen worden gehouden dat de betrokkene belang kan hebben bij de verwerking van zijn persoonsgegevens, ook wanneer de toezichthoudende autoriteit de verwerkingsverantwoordelijke gelast om gegevens te wissen, in voorkomend geval zelfs wegens onrechtmatige gegevensverwerking. In een dergelijke situatie oefent de toezichthoudende autoriteit een aan de betrokkene toekomend recht uit tegen de wil van de betrokkene. De te beantwoorden vraag is dus of de toezichthoudende autoriteit van de lidstaat de verwerkingsverantwoordelijke of de verwerker, los van de uitoefening van de rechten van de betrokkenen, kan verplichten om onrechtmatig verwerkte persoonsgegevens te wissen en zo ja, op welke rechtsgrond, met name gelet op het feit dat artikel 58, lid 2, onder c), uitdrukkelijk voorschriften bevat betreffende de verzoeken van de betrokkene tot uitoefening van zijn rechten, dat onder d) ziet op de verenigbaarheid van verwerkingen met de AVG in het algemeen, en dat onder g) rechtstreeks terugverwijst naar artikel 17 AVG, welk artikel – zoals uit het voorgaande blijkt – evenmin los van het uitdrukkelijke verzoek van de betrokkene tot wissing van zijn persoonsgegevens kan worden uitgelegd.
Prejudiciële vragen:
1) Moet artikel 58, lid 2, met name onder c), d) en g), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming; hierna: „AVG”) aldus worden uitgelegd dat de toezichthoudende autoriteit van een lidstaat in het kader van haar bevoegdheden tot het nemen van corrigerende maatregelen de verwerkingsverantwoordelijke of de verwerker kan gelasten onrechtmatig verwerkte persoonsgegevens te wissen, ook al is er geen uitdrukkelijk daartoe strekkend verzoek van de betrokkene overeenkomstig artikel 17, lid 1, AVG?
2) Indien het antwoord op de eerste vraag luidt dat de toezichthoudende autoriteit de verwerkingsverantwoordelijke of de verwerker ook zonder een daartoe strekkend verzoek van de betrokkene kan gelasten onrechtmatig verwerkte persoonsgegevens te wissen, is het dan relevant of de persoonsgegevens al dan niet bij de betrokkene zijn verkregen?
Aangehaalde (recente) jurisprudentie:
Specifiek beleidsterrein: JenV
