C-484/24 NTH Haustechnik
Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar).
Termijnen: Motivering departement: 3 september 2024 Schriftelijke opmerkingen: 20 oktober 2024
Trefwoorden: onrechtmatig verkregen persoonsgegevens, justitiële verwerkingsactiviteit, AVG
Onderwerp: - Handvest van de grondrechten van de Europese Unie: artikelen 7, 8, 47 en 52; - Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en intrekking van richtlijn 95/46/EG: artikelen 5, 6, 9, 13 en 17.
Feiten: Verzoekende partij is ‘NTH Haustechnik’ (hierna: Haustechnik) en verwerende partij is ‘EM’. Haustechnik is de voormalige werkgever van EM, en vordert schadevergoeding wegens vermeende verduistering en het onbevoegd doorverkopen van bedrijfseigendom door EM. EM is getrouwd geweest met de directeur van het bedrijf van verzoekende partij. Na de echtscheiding stelde Haustechnik vast dat EM op eBay in totaal 195 keer bedrijfseigendom van Haustechnik voor eigen rekening heeft verkocht. De verkopen waren in te zien door Haustechnik vanwege geautomatiseerde toegang tot de privé-account van EM op e-Bay. De uitvoerende medewerker van Haustechnik maakte hierbij gebruik van EM’s user ID en wachtwoord. Het is niet zeker op welke manier de medewerker daarvan kennis heeft gekregen.
Overweging: De verwijzende rechter stelt uit rechtspraak van het Hof vast dat de AVG onder meer van toepassing is op verwerkingen door overheidsinstanties, met inbegrip van rechterlijke autoriteiten. De verwijzende rechter vraagt om uitleg over de rechtmatigheid van de verwerking van persoonsgegevens door de rechter. Tevens worden er vragen gesteld over de onrechtmatig verkregen gegevens in de procedure, en of de rechter een omvattende evenredigheidstoets moet doen om de gegevens te verwerken of dat deze helemaal niet gebruikt mogen worden in de procedure. Hierbij is het de vraag of er een schending van artikelen 7 en 8 van het Handvest vastgesteld moet worden, of dat ook uit minder ernstige schendingen van het gegevensbeschermingsrecht kan voortvloeien dat het gebruik ervan door de rechter onredelijk en onevenredig zou zijn.
Prejudiciële vragen: 1. Voldoen de regelingen van artikel 92 Grundgesetz (grondwet) (GG), § 138, § 286 en § 355 e.v. Zivilprozessordnung (wetboek van burgerlijke rechtsvordering) (ZPO), in het geval van een onder artikel 6, lid 1, onder e), en lid 3, van de algemene verordening gegevensbescherming (AVG) vallende autonome justitiële verwerkingsactiviteit, aan het uit artikel 8, lid 2 en artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie (Handvest) en uit artikel 5, lid 1, onder c), AVG voortvloeiende lex certa-vereiste, wanneer de justitiële verwerkingsactiviteit gepaard gaat met inmengingen in grondrechten van een partij of een derde?
2. a) Kan een nationale rechter bij de verwerking van gegevens – met name persoonsgegevens – zich erop beroepen dat deze verwerking op grond van artikel 17, lid 3, onder e), AVG aan hem is toegestaan of vormen uitsluitend de artikelen 6 en 9, AVG de grondslag voor een justitiële verwerkingsactiviteit? b) Indien artikel 17, lid 3, onder e), AVG in beginsel een juridische basis voor justitiële verwerkingsactiviteiten kan vormen: aa) Geldt dit dan ook voor gevallen waarin deze gegevens oorspronkelijk op onrechtmatige wijze door een procespartij of een derde zijn verzameld? bb) Leidt de verwerking van oorspronkelijk onrechtmatig verzamelde gegevens volgens het algemeen geldende beginsel van goede trouw [artikel 5, lid 1, onder a), AVG] op grond van afgeleid recht tot een beperking van de justitiële verwerking, in die zin dat artikel 17, lid 3, onder e), AVG slechts onder bepaalde voorwaarden of binnen bepaalde grenzen van toepassing is? cc) Is de regeling van artikel 17, lid 3, onder e), AVG aldus te verstaan dat een verbod van het gebruik door de rechter van oorspronkelijk onrechtmatig verkregen gegevens niet geldt – dus dat de rechter deze gegevens moet gebruiken – wanneer de gegevens oorspronkelijk niet op verkapte wijze zijn verzameld en deze zijn gebruikt om een opzettelijke onrechtmatige handeling aan te tonen?
3. Ongeacht of de justitiële verwerkingsactiviteit onder artikel 17, lid 3, onder e), of artikel 6, lid 1, onder c), of e), lid 3, dan wel artikel 9 AVG of andere Unierechtelijke voorschriften valt: a) Volgt uit de gegevensbescherming betreffende beginselen van noodzakelijkheid en minimale gegevensverwerking als bedoeld in artikel 52, lid 1, tweede volzin, van het Handvest en artikel 5, lid 1, onder a), AVG, met name met het oog op de verwerking van gegevens die oorspronkelijk onrechtmatig zijn verzameld of opgeslagen, de noodzaak van een omvattende evenredigheidstoets en afweging door de rechter? b) Welke gevolgen heeft artikel 5, lid 1, onder e), AVG, waarin is bepaald dat persoonsgegevens niet langer mogen worden bewaard dan voor het doeleinde ervan noodzakelijk is, voor de daaropvolgende justitiële verwerkingsactiviteit, met name in het geval dat – de oorspronkelijk verzameling van gegevens een ander doel had, of – de oorspronkelijke verzameling van gegevens lang geleden plaatsvond, of – een onrechtmatige opslag gedurende langere perioden in stand is gehouden, of – de onrechtmatige verzameling gegevens betreft die lang geleden – eventueel onrechtmatig – zijn opgeslagen, of – de instantie dan wel de persoon die de gegevens heeft verwerkt of verzameld zich eenzijdig, op grond van een individuele overeenkomst of op grond van collectief recht ertoe verbindt om deze gegevens binnen een bepaalde periode te wissen, maar dit niet heeft gedaan? c) Vloeit uit het Unierecht, met name uit artikel 8 van het Handvest, artikel 6, lid 1, onder c)het aan dan wel e), lid 3, en artikel 9 AVG voort dat de nationale rechter bewijs dat is verkregen onder schending van persoonsrechten, slechts mag gebruiken wanneer er sprake is van een in aanmerking te nemen belang van de partij die door het bewijs wordt belast, dat verder gaat dan eenvoudigweg het belang van bewijs, of vloeien uit het Unierecht in dit verband geen vereisten voort zodat het aan de nationale rechtsorde staat om hiervoor regelingen te treffen? d) Volgt uit artikel 47, tweede alinea, van het Handvest, dat het recht op effectieve rechtsbescherming in rechte en met name op een eerlijk proces waarborgt, op grond waarvan de partijen in een rechtsgeding in beginsel in staat moeten zijn om hun doel van rechtsbescherming voldoende te motiveren en onder bewijs te stellen, dat de verwerking door de rechter van door de werkgever onrechtmatig verzamelde persoonsgegevens van de verzoekende werknemer alleen als onredelijk en onevenredig in engere zin kan worden aangemerkt wanneer het verzamelen van gegevens volgens Unierecht een ernstige schending van de artikelen 7 en 8 van het Handvest is gebleken en andere mogelijke sancties voor de werkgever (bijvoorbeeld een schadevergoeding als bedoeld in artikel 82 AVG en het opleggen van administratieve geldboeten als bedoeld in artikel 83 AVG) geheel ontoereikend zouden zijn, of kan een onredelijkheid of onevenredigheid reeds uit andere, minder ernstige schendingen van het gegevensbeschermingsrecht bij de oorspronkelijke verzameling van gegevens voortvloeien? e) Moet de rechter, bij zijn beslissing of hij de oorspronkelijk door een partij of derde verzamelde gegevens gebruikt voor zijn justitiële gegevensverwerkingsactiviteit, rekening houden met het feit of degene die de gegevens heeft verzameld zijn informatieplichten als bedoeld in artikel 13 AVG al dan niet heeft nageleefd? Zo ja: onder welke voorwaarden en volgens welke criteria moet de rechter hiermee rekening houden? f) Strekt de verplichting voor de rechter om bij de verwerking van persoonsgegevens de AVG en het Handvest in acht te nemen, zich ook uit tot de persoonsgegevens van derden? Welke gevolgen heeft een eventuele schending jegens derden van het gegevensbeschermingsrecht die is begaan bij de oorspronkelijke verzameling van gegevens, voor de daaropvolgende justitiële gegevensverwerking in een geding tussen twee partijen? Kan een partij zich beroepen op een schending die niet jegens haarzelf maar jegens derden heeft plaatsgevonden, of niet?
Aangehaalde (recente) jurisprudentie: C-245/20 Autoriteit Persoonsgegevens; C-268/21 Norra Stockholm Bygg; C-175/20 verwerking van persoonsgegevens voor fiscale doeleinden; C-136/17 Verwijdering van links naar gevoelige gegevens
Specifiek beleidsterrein: JenV
