C-638/23 Amt der Tiroler Landesregierung

Prejudiciële hofzaak

Zie bijlage voor de verwijzingsuitspraak , en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar).

Termijnen: Motivering departement:    20 december 2023
Schriftelijke opmerkingen:                    6 februari 2024

Trefwoorden: AVG

Onderwerp:

Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG: artikel 4, punt 7, artikelen 5, 9 en 26.

Feiten:

Op 21 december 2021 heeft de andere partij van de procedure bij de autoriteit voor gegevensbescherming een klacht ingediend tegen de verzoekende partij in Revision, Amt der Tiroler Landesregierung, wegens schending van het recht tot geheimhouding met betrekking tot een aan haar gerichte brief. In dit verband vermoedt de andere partij dat deze brief op een onrechtmatige verstrekking en verwerking van gegevens over haar gezondheid berust. In 2022 heeft het Amt der Tiroler Landesregierung tegenover de autoriteit voor gegevensbescherming onder meer verklaard dat het de verwerkingsverantwoordelijke voor het verzenden van deze brief is en dat er geen sprake is van een gezamenlijke verantwoordelijkheid in de zin van artikel 26 AVG. In 2022 heeft de autoriteit voor gegevensbescherming de klacht inzake gegevensbescherming gegrond verklaard en vastgesteld dat het Amt der Tiroler Landesregierung daarmee het recht tot geheimhouding van de andere partij heeft geschonden. De hoogste federale bestuursrechter heeft het ingestelde beroep in de bestreden beslissing ongegrond verklaard en het Amt der Tiroler Landesregierung heeft tegen deze beslissing het onderhavige buitengewone beroep in Revision ingesteld. De autoriteit voor gegevensbescherming heeft in de door het hoogste bestuursrechter ingeleide eerdere procedure schriftelijke opmerkingen ingediend waarin zij de verwerping van het beroep in Revision in formeel opzicht en subsidiair in materieel opzicht vordert.

Overweging:

Wat de betrokken gegevensverwerking betreft dient te worden verduidelijkt of het Amt der Tiroler Landesregierung de status van verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG heeft. Volgens de definitie in artikel 4, punt 7, AVG wordt onder verwerkingsverantwoordelijke verstaan: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen. Volgens de vaste rechtspraak van het Hof is het begrip van verwerkingsverantwoordelijke ruim omschreven om een doeltreffende en volledige bescherming van de betrokkenen te verzekeren. Volgens de hoogste bestuursrechter heeft het Amt der Tiroler Landesregierung enkel een „voorstel” voor het doel van de en de middelen uitgewerkt, maar niet niet de doelstellingen van en de middelen voor de gegevensverwerking vastgesteld noch op zijn minst om hem moverende redenen aan deze vaststelling deelgenomen. In een dergelijke situatie betwijfelt het de verwijzende rechter dan ook of het Amt der Tiroler Landesregierung als verwerkingsverantwoordelijke in de zin van artikel 4, lid 7, tweede zinsnede, AVG kan worden aangewezen. 

Prejudiciële vraag:

Moet artikel 4, punt 7, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) aldus worden uitgelegd dat het in de weg staat aan de toepassing van een bepaling van nationaal recht [zoals in casu § 2, lid 1, van het Tiroler Datenverarbeitungsgesetz (wet op de gegevensverwerking van de deelstaat Tirol, Oostenrijk)] waarin weliswaar een verwerkingsverantwoordelijke wordt aangewezen in de zin van het tweede deel van artikel 4, punt 7, van de verordening, maar die verwerkingsverantwoordelijke

– slechts een dienst [zoals in het onderhavige geval het Amt der Tiroler Landesregierung (bureau van de deelstaatregering van Tirol, Oostenrijk)] is die weliswaar bij wet is opgericht, maar geen natuurlijke persoon of rechtspersoon is en in casu ook geen overheidsinstantie is, maar slechts als hulporgaan voor een dergelijke instantie optreedt en geen eigen (gedeeltelijke) rechtsbevoegdheid heeft;

– zonder verwijzing naar een specifieke verwerking van persoonsgegevens wordt aangewezen en er daarom ook geen doelstellingen van en middelen voor de specifieke verwerking van persoonsgegevens in het lidstatelijke recht worden vastgesteld;

– in dit specifieke geval noch alleen, noch samen met anderen de doelstellingen van en de middelen voor de verwerking van persoonsgegevens heeft vastgesteld?

Aangehaalde (recente) jurisprudentie: C-40/17 Fashion ID; C-210/16 Wirtschaftsakademie Schleswig-Holstein; C-25/17 Jehovan Todistajat

Specifiek beleidsterrein: JenV