HvJ EU, 15-10-2026, nr. C-568/25

Artikel 22, lid 2, onder a), AVG bevat een van de uitzonderingen op de toepassing van lid 1 van dat artikel op grond waarvan individuele besluitvorming mogelijk is die uitsluitend is gebaseerd op geautomatiseerde verwerking van persoonsgegevens. Die uitzondering wordt verantwoord door de noodzakelijkheid van het besluit voor de totstandkoming of de uitvoering van een overeenkomst en de verwijzende rechter vraagt zich af of de beoordeling van die noodzakelijkheid afhangt van het bestaan van een objectief verband tussen dat besluit en het doel van de betrokken overeenkomst.

Voor de omschrijving van het begrip ‘noodzakelijk zijn voor de totstandkoming of de uitvoering van een overeenkomst’ van geautomatiseerde besluitvorming wordt in die verordening niet verwezen naar het nationale recht van de lidstaten. Bijgevolg moet dit begrip krachtens de in punt 21 van de onderhavige conclusie aangehaalde rechtspraak worden aangemerkt als een autonoom Unierechtelijk begrip en moet voorts de betekenis ervan aan de hand van de daarin vastgestelde methode worden vastgesteld.

Wat ten eerste de gebruikelijke betekenis van dat begrip betreft, heeft het Hof reeds verklaard dat het bijvoeglijk naamwoord ‘nodig’ verwijst naar wat vereist of noodzakelijk is om een bepaald doel te bereiken.15.

Wat ten tweede de context betreft, voorziet hoofdstuk II (‘Beginselen’) van de AVG in verplichtingen waaraan alle adressaten van die verordening dienen te voldoen. Artikel 6 van dat hoofdstuk, met als opschrift ‘Rechtmatigheid van de verwerking’, bepaalt in lid 1, onder b), ervan dat de verwerking van persoonsgegevens rechtmatig is indien zij ‘noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is’. Het Hof heeft geoordeeld dat aan die voorwaarde is voldaan wanneer de verwerking van de betrokken gegevens objectief onontbeerlijk is om een doel te bereiken dat een integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie, hetgeen betekent dat de verwerkingsverantwoordelijke moet kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt. Het Hof heeft verklaard dat de verwerking van persoonsgegevens essentieel moet zijn voor de correcte uitvoering van de overeenkomst en dat er dus geen bruikbare, minder ingrijpende alternatieven bestaan.16.

De toepasselijke juridische toets om vast te stellen of gegevensverwerking noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst is dus of die gegevensverwerking onontbeerlijk is om het hoofddoel van de contractuele prestatie te verwezenlijken, in die zin dat de vastgestelde verplichtingen anders niet kunnen worden uitgevoerd. Bijgevolg moet worden nagegaan of er geen bruikbare, voor de bescherming van de gegevens minder ingrijpende alternatieven bestaan waarmee dat doel kan worden verwezenlijkt.

Die overwegingen gelden mijns inziens ook voor de uitlegging van artikel 22, lid 2, onder a), AVG, aangezien de nagenoeg identieke formulering van deze bepaling en artikel 6, lid 1, onder b), van die verordening rechtvaardigt dat het in beide bepalingen opgenomen begrip ‘noodzakelijkheid voor de uitvoering van de overeenkomst’ op dezelfde manier wordt uitgelegd. Het zou namelijk in strijd zijn met de opzet van die verordening om, zonder dat die verordening enige aanwijzing in die zin bevat, begrippen die daarin op dezelfde manier zijn geformuleerd, verschillend uit te leggen.17. Bovendien wordt die uitlegging versterkt door de logica van die verordening, aangezien er voor de toetsing van het criterium van de ‘noodzakelijkheid voor de uitvoering van de overeenkomst’ geen verschillende standaard mag worden gehanteerd naargelang het dient als rechtvaardigingsgrond voor de rechtmatigheid van de verwerking van persoonsgegevens [artikel 6, lid 1, onder b), AVG], dan wel voor geautomatiseerde individuele besluitvorming [artikel 22, lid 2, onder a), van die verordening], terwijl het probleem van dergelijke besluitvorming vanuit het oogpunt van die verordening juist is gelegen in het feit dat zij uitsluitend is gebaseerd op de geautomatiseerde verwerking van persoonsgegevens18..

Ten derde kan voor die uitlegging, aan de hand waarvan de mogelijkheid tot afwijking van het in artikel 22, lid 1, AVG opgenomen verbod van geautomatiseerde individuele besluitvorming strikt kan worden afgebakend, steun worden gevonden in de reeds in punt 26 van de onderhavige conclusie in herinnering gebrachte doelstellingen van die verordening.

Gelet op de overwegingen in de punten 38 tot en met 43 van de onderhavige conclusie kan uitsluitend op geautomatiseerde gegevensverwerking gebaseerde individuele besluitvorming uit hoofde van artikel 22, lid 2, onder a), AVG slechts worden gerechtvaardigd indien zij voldoet aan een soortgelijke juridische toets als omschreven in punt 41 hierboven. Als eerste onderdeel van die toets wordt er nagegaan of dergelijke besluitvorming objectief onontbeerlijk is om het hoofddoel van de betrokken overeenkomst te verwezenlijken. In die fase wordt er dus specifiek onderzocht of er een verband van noodzakelijkheid bestaat tussen die besluitvorming en de verwezenlijking van het doel van die overeenkomst. Bijgevolg is het bewijs van een rechtstreeks objectief verband tussen het doel van de te sluiten overeenkomst en geautomatiseerde individuele besluitvorming een absolute voorwaarde om tot de slotsom te kunnen komen dat die besluitvorming noodzakelijk is voor de totstandkoming of de uitvoering van die overeenkomst. Deze absolute voorwaarde volstaat evenwel niet aangezien ook nog moet worden voldaan aan het tweede onderdeel van de desbetreffende toets, in het kader waarvan moet worden vastgesteld dat er geen minder ingrijpend alternatief bestaat om hetzelfde resultaat te bereiken.

In casu blijkt uit de toelichting van de verwijzende rechter dat het doel van de in het hoofdgeding aan de orde zijnde overeenkomsten bestaat in de overdracht door een postorderbedrijf van de eigendom over consumptiegoederen aan klanten tegen betaling van de prijs van de betrokken goederen. Het gebruik van uitsluitend op geautomatiseerde verwerking van persoonsgegevens gebaseerde besluitvorming is bedoeld om de kredietwaardigheid van die klanten te controleren, teneinde hen een geschikte betaalmethode aan te bieden.

Gelet op een en ander zou ervan uit kunnen worden gegaan dat uitsluitend op geautomatiseerde verwerking van persoonsgegevens gebaseerde besluitvorming erop gericht is om het doel van overeenkomsten als die in het hoofdgeding te verwezenlijken. Om dat te bevestigen, zal evenwel moeten worden vastgesteld dat de aanbieding van een geschikte betaalmethode is bedoeld om te verzekeren dat die contractuele prestatie naar behoren wordt uitgevoerd19. en dat het voor de beoordeling van de geschiktheid ervan wel degelijk vereist is om over te gaan tot een geautomatiseerde controle van de kredietwaardigheid van de betrokken klant, waarvoor er geen minder ingrijpend alternatief voorhanden is. Hieruit zou dan namelijk voortvloeien dat de totstandkoming of de uitvoering van een dergelijke overeenkomst, en dus de verwezenlijking van het doel ervan, daadwerkelijk afhangt van die geautomatiseerde kredietwaardigheidscontrole. Het is evenwel aan de verwijzende rechter om, ten eerste, na te gaan dat dit wel degelijk het geval is en, ten tweede, dat die geautomatiseerde verwerking een geschikt middel is om dat doel te verwezenlijken. Die rechter zal zijn beoordeling met name moeten baseren op elementen die het voorwerp uitmaken van het tweede deel van de tweede prejudiciële vraag.

De verwijzende rechter wenst in essentie te vernemen of bij uitsluitend op geautomatiseerde verwerking van persoonsgegevens gebaseerde besluitvorming uit hoofde van artikel 22, lid 2, onder a), AVG, die verwerking moet worden beperkt tot gegevens die objectief geschikt zijn om het doel van de overeenkomst te kunnen verwezenlijken, en of de bewijslast met betrekking tot die geschiktheid rust op de verwerkingsverantwoordelijke dan wel op de betrokkene.

Wat in de eerste plaats de geschiktheid van de gegevens betreft die worden geselecteerd om automatisch te worden verwerkt met het oog op de totstandkoming of de uitvoering van een overeenkomst, kan de door de verwijzende rechter voorgelegde vraag in het licht van de achterliggende overwegingen mijns inziens op twee manieren worden uitgelegd. Enerzijds lijkt die rechter zich af te vragen wat de kwantitatieve omvang van de gegevens is die op die manier kunnen worden verwerkt. Anderzijds kunnen de vragen van die rechter ook meer wezenlijk in die zin worden begrepen dat zij betrekking hebben op de geschiktheid van die gegevens om de met die verwerking nagestreefde doelstelling te verwezenlijken.

Wat ten eerste de kwantitatieve omvang van de gegevens betreft waarmee rekening kan worden gehouden bij geautomatiseerde besluitvorming als die in het hoofdgeding, moet erop worden gewezen dat die besluitvorming moet voldoen aan de in artikel 5 AVG opgenomen beginselen voor de verwerking van persoonsgegevens, die cumulatief van toepassing zijn. Een van die beginselen is het zogenaamde beginsel van minimale gegevensverwerking, waaruit het vereiste voortvloeit dat de persoonsgegevens ‘toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt’.20. Zo mag ‘de verwerkingsverantwoordelijke niet op algemene en ongedifferentieerde wijze persoonsgegevens […] verzamelen en [dient hij] zich […] te onthouden van het verzamelen van gegevens die niet strikt noodzakelijk zijn voor de doeleinden van de verwerking’. Voorts volgt uit artikel 25 van die verordening dat de verwerkingsverantwoordelijke passende maatregelen moet treffen om ervoor te zorgen dat in beginsel alleen gegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking.21.

Uit de rechtspraak van het Hof kan dus worden afgeleid dat alleen gegevens die objectief geschikt en strikt noodzakelijk zijn voor de verwezenlijking van de met de verwerking van persoonsgegevens nagestreefde doelstelling mogen worden verzameld en gebruikt door de verwerkingsverantwoordelijke. Derhalve zal de verwijzende rechter in het hoofdgeding dienen na te gaan dat de verzamelde en verwerkte gegevens allemaal noodzakelijk zijn om de kredietwaardigheid van de betrokken klanten te beoordelen.

Wat ten tweede de geschiktheid van de automatisch verwerkte gegevens betreft om het met die verwerking nagestreefde doel te verwezenlijken, kan de vraag rijzen of het weglaten van bepaalde gegevens of het gebruik van bepaalde gegevens veeleer dan andere een beslissende en, in voorkomend geval, potentieel problematische invloed kan uitoefenen op een beoordeling die op een dergelijke verwerking is gebaseerd. Het antwoord op die vraag vloeit eveneens voort uit de uitlegging van het beginsel van de ‘minimale gegevensverwerking’, in die zin dat dit beginsel een kwalitatieve dimensie heeft doordat de verwerkte gegevens toereikend en ter zake dienend moeten zijn, dat wil juist zeggen dat zij geschikt moeten zijn om de doeleinden te verwezenlijken waarvoor zij zijn verwerkt.

Naast deze algemene overwegingen wens ik evenwel op te merken dat de AVG geen aanwijzingen bevat over de criteria aan de hand waarvan kan worden beoordeeld of gegevens ‘toereikend’ en ‘ter zake dienend’ zijn. In dat verband heeft het Hof enkel verklaard dat gegevens die aan deze twee vereisten voldoen, geschikt zijn om de doeleinden van de betrokken verwerking te verwezenlijken en a fortiori de doelstelling van die verwerking te bereiken.22. Mijns inziens valt dat logisch te verklaren door de erg grote verscheidenheid aan situaties die worden beoogd en de nodige speelruimte die de lidstaten moeten krijgen om die beginselen toe te passen. Bovendien is die verordening weliswaar bedoeld om kwesties te regelen die rechtstreeks verband houden met gegevensverwerking, maar dienen voor de toetsing van het vereiste dat de gegevens toereikend en ter zake dienend zijn voor de doeleinden waarvoor zij worden verwerkt, andere sectorale regelingen te worden onderzocht die kunnen verduidelijken of preciseren welk verband er moet bestaan tussen de verwerkte gegevens en de met de verwerking beoogde doeleinden.

Zo zou, in een situatie als die van het hoofdgeding, de kwestie van de kredietwaardigheidscontrole van klanten en de elementen waarmee voor de vaststelling van die kredietwaardigheid al dan niet rekening moet worden gehouden, bijvoorbeeld kunnen vallen onder de Unieregeling inzake kredietovereenkomsten voor consumenten of het nationale recht, terwijl, voor de algemene beoordeling van de vraag of die doelstelling rechtmatig is, uit hoofde van genoemde verordening een evenredigheidstoetsing zou moeten worden verricht met inachtneming van de specifieke relevante regelingen.23. In casu is het aan de verwijzende rechter om in het licht van de feiten van het hoofdgeding te onderzoeken of de automatisch gecontroleerde gegevens wel degelijk passend en geschikt waren om de kredietwaardigheid van de betrokken klanten vast te stellen24. en om daartoe de op de betrokken overeenkomsten en consumentenbescherming toepasselijke nationale regeling te onderzoeken.

Wat in de tweede plaats de bewijslast betreft, volgt uit de heel duidelijke bewoordingen van artikel 5, lid 2, van die verordening dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de beginselen die zijn opgenomen in lid 1 van dat artikel onder de vorm van verplichtingen, en dat hij de naleving van die beginselen moet kunnen aantonen. Bovendien heeft het Hof in de context van de toepassing van artikel 6, lid 1, onder b), AVG, waarvan ik in punt 42 van de onderhavige conclusie de gelijkenis met artikel 22, lid 2, onder a), van die verordening heb vastgesteld, reeds geoordeeld dat het de verwerkingsverantwoordelijke is die moet kunnen aantonen in welk opzicht het hoofddoel van de betrokken overeenkomst zonder de litigieuze verwerking van persoonsgegevens niet zou kunnen worden bereikt.25.

Het is dus aan de verwerkingsverantwoordelijke om aan te geven welke gegevens zijn verzameld en verwerkt, en om aan te tonen dat zij noodzakelijk zijn om de met de litigieuze verwerking nagestreefde doeleinden te bereiken.

In het licht hiervan geef ik het Hof in overweging om op de tweede prejudiciële vraag te antwoorden dat artikel 22, lid 2, onder a), AVG aldus moet worden uitgelegd dat er bij het sluiten van een overeenkomst met een klant door een postorderbedrijf sprake dient te zijn van een objectief verband tussen het doel van die overeenkomst en de geautomatiseerde beoordeling van de kans op wanbetaling van de klant teneinde te kunnen besluiten dat een dergelijke geautomatiseerde beoordeling noodzakelijk is voor de uitvoering van die overeenkomst, en dat het daarnaast vereist is dat de daartoe verzamelde gegevens objectief geschikt zijn om die beoordeling uit te voeren en dat er wordt verduidelijkt om welke gegevens het gaat alsook waarom zij zijn verzameld. Dienaangaande rust de bewijslast op het postorderbedrijf.