EU-Hof verduidelijkt het begrip ‘verwerkingsverantwoordelijke’ uit de AVG

Het gaat om het arrest van het EU-Hof van 27 februari 2025 in de zaak C-638/23, Amt der Tiroler Landesregierung. 

Achtergrond

Het gaat in deze zaak om een geding tussen het bureau van de deelstaatregering van Tirol (hierna: het bureau) en de gegevensbeschermingsautoriteit van Oostenrijk betreffende een beweerlijk onrechtmatige verwerking van persoonsgegevens van een natuurlijk persoon door het bureau. In deze zaak ligt bij het EU-Hof de vraag voor of het bureau, gelet op haar kenmerken, de hoedanigheid van ‘verwerkingsverantwoordelijke’ in de zin van artikel 4, punt 7 van de Algemene Verordening Gegevensbescherming (AVG) had. Die kenmerken zijn:

• de dienst is bij wet opgericht, maar is geen natuurlijke persoon of rechtspersoon en in deze zaak ook geen overheidsinstantie. Het is enkel een ondersteund orgaan voor een overheidsinstantie en heeft geen eigen (gedeeltelijke) rechtsbevoegdheid;
• de dienst is zonder verwijzing naar een specifieke verwerking van persoonsgegevens aangewezen, en er zijn geen doelstellingen van en middelen voor de specifieke verwerking van persoonsgegevens in het recht van de lidstaat (Oostenrijk) vastgesteld;
• de dienst heeft noch alleen, noch samen met anderen de doelstellingen van en de middelen voor de verwerking van persoonsgegevens vastgesteld. 

EU-Hof

Het EU-Hof oordeelt dat de nationale wetgever een ondersteunend bestuursorgaan ten dienste van de overheidsinstanties kan aanwijzen als ‘verwerkingsverantwoordelijke’ in de zin van artikel 4, punt 7, tweede volzin, van de AVG, wanneer deze entiteit geen rechtspersoonlijkheid en geen eigen rechtsbevoegdheid heeft.

Daarnaast oordeelt het EU-Hof dat een nationale wetgever een entiteit kan aanwijzen als ‘verwerkingsverantwoordelijke’ op grond van artikel 4, punt 7, tweede volzin, van de AVG, zonder concreet aan te geven welke verwerkingen van persoonsgegevens deze entiteit eventueel moet verrichten, noch wat het doel ervan is noch welke middelen zij precies kan aanwenden voor die verwerking. Deze entiteit moet wel in staat zijn om in overeenstemming met de toepasselijke nationale regeling te voldoen aan de verplichtingen van een verwerkingsverantwoordelijke tegenover betrokkenen in verband met de bescherming van persoonsgegevens. Ook moet de betrokken nationale regeling wel uitdrukkelijk of op zijn minst impliciet de omvang bepalen van de verwerking van de persoonsgegevens waarvoor deze entiteit verantwoordelijk is verklaard. 

Een entiteit, die door het nationale recht als verwerkingsverantwoordelijke is aangewezen, hoeft volgens het EU-Hof niet zelf het doel van en de middelen voor de verwerking van persoonsgegevens te bepalen om als verwerkingsverantwoordelijke te moeten ingaan op verzoeken die de betrokkenen tot haar richten op grond van de rechten die zij aan de AVG ontlenen.

Meer informatie

• ECER-dossier - Privacy