C-579/21 Pankki S

Prejudiciële hofzaak

Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar).

Termijnen: Motivering departement:    16 november 2021
Schriftelijke opmerkingen:                    2 januari 2022

Trefwoorden : AVG; persoonsgegevens; recht op inzage; loggegevens

Onderwerp :

•          Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (AVG)

Feiten:

J.M. is in loondienst werkzaam geweest bij een Finse bank en was tevens klant van diezelfde bank. Tussen 1 november en 31 december 2013 hebben vier medewerkers van de Finse bank de klantgegevens van J.M. gecontroleerd. Die medewerkers hadden de klantgegevens van J.M. verwerkt, omdat zijn naam naar voren kwam bij de verwerking van gegevens van een andere klant van de bank. J.M. was ten aanzien van die klant zowel de relatiemanager namens de bank, maar had ook een persoonlijke schuld bij die klant. Daardoor waren de vier medewerkers van de bank van mening dat er mogelijk een ongeoorloofd belangenconflict aanwezig kon zijn. J.M. heeft de bank verzocht om inzage tot de loggegevens van de vier medewerkers in het gegevensverwerkingssysteem van de bank. Met zijn verzoek om inzage wilde J.M. onder meer de redenen van zijn ontslag bij de bank achterhalen. De bank heeft het verzoek afgewezen en geconcludeerd dat de loggegevens ‘persoonsgegevens’ zijn van de vier medewerkers van de bank en niet van J.M. Dergelijke loggegevens vallen daarom niet onder het recht van inzage op grond van de AVG. Het geschil tussen de bank en J.M. is uiteindelijk terechtgekomen bij de verwijzende rechter.

Overweging:

De verwijzende rechter wil met name verduidelijking over het recht op inzage tot persoonsgegevens overeenkomstig artikel 15, lid 1 van de AVG. De rechter wil weten of de gegevens die de verwerkingsverantwoordelijke heeft verzameld, waaruit de identiteit van de personen die de persoonsgegevens van de betrokken hebben verwerkt en het tijdstip van verwerking van die persoonsgegevens blijken (“loggegevens”), moeten worden beschouwd als ‘informatie’ in de zin van artikel 15, lid 1 van de AVG, waartoe betrokkene een recht van toegang heeft.

Prejudiciële vragen:

1. Moet het recht van inzage van de betrokkene krachtens artikel 15, lid 1, van de algemene verordening gegevensbescherming juncto [het begrip] „persoonsgegevens” in de zin van artikel 4, punt 1, van deze verordening aldus worden uitgelegd dat gegevens die door de verwerkingsverantwoordelijke zijn verzameld, waaruit blijkt wie de persoonsgegevens van de betrokkene op welk tijdstip en voor welk doel heeft verwerkt, geen gegevens zijn waartoe de betrokkene een recht van toegang heeft, met name omdat het om gegevens gaat die verband houden met de werknemers van de verwerkingsverantwoordelijke?

2. Indien het antwoord op de eerste vraag bevestigend luidt en de betrokkene op grond van artikel 15, lid 1, van de algemene verordening gegevensbescherming geen recht van toegang tot de in de eerste vraag genoemde gegevens heeft, omdat zij geen „persoonsgegevens” van de betrokkene in de zin van artikel 4, punt 1, van de algemene verordening gegevensbescherming zijn, moeten in casu dan nog de gegevens in aanmerking worden genomen waartoe de betrokkene krachtens artikel 15, lid 1, onder [a) tot en met h)] een recht van toegang heeft:

a. Welke uitlegging moet, in het licht van de omvang van het recht van inzage van de betrokkene, worden gegeven aan het verwerkingsdoel in de zin van artikel 15, lid 1, onder a), met andere woorden kan het verwerkingsdoel ten grondslag liggen aan een recht van inzage in de door de verwerkingsverantwoordelijke verzamelde loggegevens van gebruikers, zoals inlichtingen over persoonsgegevens van degenen die de persoonsgegevens van de betrokkene hebben verwerkt en over het tijdstip waarop en het doel waarvoor de persoonsgegevens zijn verwerkt?

b. Kunnen degenen die de klantgegevens van J.M. hebben verwerkt, in dit verband onder bepaalde voorwaarden worden aangemerkt als ontvangers van de persoonsgegevens in de zin van artikel 15, lid 1, onder c), van de algemene verordening gegevensbescherming, over wie de betrokkene informatie zou mogen opvragen?

3. Is het voor de procedure van belang dat de zaak betrekking heeft op een bank die een gereglementeerde activiteit uitoefent, of dat J.M. tegelijkertijd zowel werkzaam was voor de bank als een klant van haar was?

4. Is het voor het onderzoek van de voornoemde vragen van belang dat de gegevens van J.M. zijn verwerkt vóór de inwerkingtreding van de algemene verordening gegevensbescherming?

Aangehaalde (recente) jurisprudentie: C-553/07; C-434/16

Specifiek beleidsterrein: JenV