HvJ EU, 07-03-2024, nr. C-740/22

De overwegingen 4, 10, 11, 15, 19 en 154 AVG luiden als volgt:

Artikel 2 (‘Materieel toepassingsgebied’) AVG bepaalt:

Artikel 4 (‘Definities’) AVG bepaalt in de punten 1, 2, 6 en 7:

Artikel 5 (‘Beginselen inzake verwerking van persoonsgegevens’) van deze verordening luidt als volgt:

Artikel 6 (‘Rechtmatigheid van de verwerking’) van die verordening bepaalt in de leden 1 tot en met 3:

Artikel 10 AVG, met als opschrift ‘Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten’, bepaalt het volgende:

Artikel 23 van die verordening, getiteld ‘Beperkingen’, luidt als volgt:

Artikel 85 AVG heeft als opschrift ‘Verwerking en vrijheid van meningsuiting en van informatie’ en bepaalt in lid 1:

Artikel 86 (‘Verwerking en recht van toegang van het publiek tot officiële documenten’) AVG luidt:

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 2, lid 1, en artikel 4, punt 2, AVG aldus moeten worden uitgelegd dat het mondeling verstrekken van informatie over mogelijkerwijs aanhangige of afgesloten strafzaken tegen een natuurlijke persoon een verwerking van persoonsgegevens in de zin van artikel 4, punt 2, van deze verordening vormt en, zo ja, of die verwerking valt binnen de materiële werkingssfeer van die verordening, zoals omschreven in artikel 2, lid 1, ervan.

Vooraf dient ten eerste eraan te worden herinnerd dat bij de uitlegging van deze Unierechtelijke bepalingen niet alleen rekening moet worden gehouden met de bewoordingen ervan, maar ook met de context en de doelstellingen van de regeling waarvan zij deel uitmaken [arrest van 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens), C-154/21, EU:C:2023:3, punt 29].

Ten tweede moet worden benadrukt dat in het hoofdgeding niet wordt betwist dat de informatie waarvan verzoekster in het hoofdgeding om verstrekking verzoekt, persoonsgegevens in de zin van artikel 4, punt 1, AVG zijn.

Artikel 4, punt 2, van deze verordening definieert het begrip ‘verwerking’ als ‘een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés’.

Uit de woorden ‘een bewerking’ blijkt met name dat de Uniewetgever aan het begrip ‘verwerking’ een ruime strekking heeft willen geven. Deze uitlegging vindt steun in het feit dat de in die bepaling opgesomde bewerkingen niet exhaustief zijn, wat tot uitdrukking komt in het woord ‘zoals’ [zie in die zin arresten van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C-175/20, EU:C:2022:124, punt 35, en 22 juni 2023, Pankki S, C-579/21, EU:C:2023:501, punt 46].

Deze opsomming heeft onder meer betrekking op het verstrekken door middel van doorzending, verspreiden en ‘op andere wijze ter beschikking stellen’, welke bewerkingen al dan niet geautomatiseerd kunnen zijn. In dit verband stelt artikel 4, punt 2, AVG geen enkele voorwaarde met betrekking tot de vorm van de ‘niet-geautomatiseerde’ verwerking. Het begrip ‘verwerking’ omvat dus ook mondelinge verstrekking.

Deze uitlegging van het begrip ‘verwerking’ wordt bevestigd door het doel van de AVG, dat er met name in bestaat, zoals blijkt uit artikel 1 en de overwegingen 1 en 10 ervan, een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen te waarborgen, in het bijzonder van hun recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens, dat is neergelegd in artikel 8, lid 1, van het Handvest en in artikel 16, lid 1, VWEU [zie in die zin arrest van 4 mei 2023, Bundesrepublik Deutschland (Gerechtelijke elektronische postbus), C-60/22, EU:C:2023:373, punt 64]. De mogelijkheid om de toepassing van deze verordening te omzeilen door persoonsgegevens mondeling in plaats van schriftelijk te verstrekken, zou duidelijk onverenigbaar zijn met deze doelstelling.

Derhalve omvat het begrip ‘verwerking’ als bedoeld in artikel 4, punt 2, AVG noodzakelijkerwijs de mondelinge verstrekking van persoonsgegevens.

De vraag blijft echter of een dergelijke verwerking binnen de materiële werkingssfeer van de AVG valt. Artikel 2 AVG, waarin die werkingssfeer wordt afgebakend, bepaalt in lid 1 dat deze verordening van toepassing is op ‘de geheel of gedeeltelijk geautomatiseerde’ verwerking alsmede op de ‘[niet-geautomatiseerde] verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen’.

Zoals blijkt uit de bewoordingen van laatstgenoemde bepaling en overweging 15 AVG, is deze verordening van toepassing op zowel de geautomatiseerde verwerking van persoonsgegevens als de handmatige verwerking van dergelijke gegevens, teneinde de bescherming die zij verleent aan de personen wier gegevens worden verwerkt, niet te laten afhangen van de gebruikte technologieën en een ernstig risico op omzeiling van deze bescherming te voorkomen. Daaruit blijkt echter ook dat die verordening slechts op de handmatige verwerking van persoonsgegevens van toepassing is indien de verwerkte gegevens ‘in een bestand zijn opgenomen of […] bestemd zijn om daarin te worden opgenomen’ (zie naar analogie arrest van 10 juli 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, punt 53).

Aangezien mondelinge verstrekking als zodanig een niet-geautomatiseerde verwerking is, moeten de gegevens die worden verwerkt dus in een ‘bestand’ zijn ‘opgenomen’ of ‘bestemd zijn om daarin te worden opgenomen’, wil die verwerking binnen de materiële werkingssfeer van de AVG vallen.

Volgens artikel 4, punt 6, AVG ziet het begrip ‘bestand’ op ‘elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid’.

In dit verband heeft het Hof reeds geoordeeld dat, om het in punt 34 van het onderhavige arrest in herinnering gebrachte doel te bereiken, deze bepaling een ruime omschrijving geeft van het begrip ‘bestand’ in de zin van ‘elk’ gestructureerd geheel van persoonsgegevens. Bovendien beoogt het vereiste dat het geheel van persoonsgegevens moet zijn ‘gestructureerd volgens specifieke criteria’, uitsluitend ervoor te zorgen dat de persoonsgegevens gemakkelijk kunnen worden teruggevonden. Behalve dit vereiste bevat artikel 4, punt 6, AVG geen enkele bepaling over de wijze waarop een bestand moet worden gestructureerd, en over de vorm die een dergelijk bestand moet hebben. In het bijzonder blijkt uit deze bepaling noch uit enige andere bepaling van deze verordening dat de betrokken persoonsgegevens moeten zijn opgenomen op steekkaarten, op specifieke lijsten of in een ander ordeningssysteem om tot de slotsom te kunnen komen dat er sprake is van een bestand in de zin van die verordening (zie naar analogie arrest van 10 juli 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, punten 56–58).

In casu blijkt uit het verzoek om een prejudiciële beslissing dat de door verzoekster in het hoofdgeding gevraagde gegevens zijn opgenomen in ‘een bestand met persoonsgegevens dat door een rechterlijke instantie wordt bijgehouden’. Deze gegevens lijken dus te zijn opgenomen in een bestand in de zin van artikel 4, punt 6, AVG, hetgeen de verwijzende rechter evenwel dient na te gaan, zonder dat het van belang is of die gegevens zijn opgenomen in elektronische databanken dan wel in fysieke dossiers of registers.

In die omstandigheden dient op de eerste vraag te worden geantwoord dat artikel 2, lid 1, en artikel 4, punt 2, AVG aldus moeten worden uitgelegd dat het mondeling verstrekken van informatie over mogelijkerwijs aanhangige of afgesloten strafzaken tegen een natuurlijke persoon een verwerking van persoonsgegevens in de zin van artikel 4, punt 2, van deze verordening vormt die binnen de materiële werkingssfeer van deze verordening valt voor zover deze informatie in een bestand is opgenomen of bestemd is om daarin te worden opgenomen.

Met de tweede en de derde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of de bepalingen van de AVG, met name artikel 86 ervan, aldus moeten worden uitgelegd dat zij eraan in de weg staan dat gegevens betreffende strafrechtelijke veroordelingen van een natuurlijke persoon die zijn opgenomen in een bestand dat door een rechterlijke instantie wordt bijgehouden, mondeling aan eenieder kunnen worden verstrekt teneinde de toegang van het publiek tot officiële documenten te waarborgen, zonder dat de persoon die om verstrekking verzoekt hoeft aan te tonen dat hij een specifiek belang heeft bij het verkrijgen van die gegevens, en of het antwoord op die vraag verschilt naargelang laatstgenoemde persoon een handelsvennootschap dan wel een particulier is.

Deze vraag vloeit voort uit de in het hoofdgeding aan de orde zijnde nationale regeling, voor zover deze niet vereist dat de nationale bepalingen inzake de bescherming van persoonsgegevens worden nageleefd wanneer deze gegevens mondeling worden verstrekt.

In dit verband dient eraan te worden herinnerd dat een verordening volgens artikel 288, tweede alinea, VWEU verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat. Wegens de aard en de functie ervan in het bronnenstelsel van het Unierecht hebben de bepalingen van verordeningen derhalve in het algemeen rechtstreekse werking in de nationale rechtsorden zonder dat de nationale autoriteiten uitvoeringsmaatregelen hoeven vast te stellen (arresten van 16 juni 2022, Haven van Brussel en Brussels Hoofdstedelijk Gewest, C-229/21, EU:C:2022:471, punt 47, en 30 maart 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C-34/21, EU:C:2023:270, punt 77).

Een nationale rechter is dus verplicht om de vereisten van de AVG in zijn geheel toe te passen, zelfs als het toepasselijke nationale recht geen specifieke bepaling bevat die het mogelijk maakt om rekening te houden met de belangen van de persoon van wie de persoonsgegevens in het geding zijn (zie in die zin arrest van 2 maart 2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, punten 44 en 59).

Uit de voorgaande overwegingen volgt dat mondelinge verstrekking van gegevens betreffende strafrechtelijke veroordelingen van een natuurlijke persoon slechts kan plaatsvinden wanneer aan de voorwaarden van de AVG is voldaan, voor zover deze gegevens in een bestand zijn opgenomen of bestemd zijn om daarin te worden opgenomen.

In dit verband is het van belang erop te wijzen dat volgens vaste rechtspraak van het Hof elke verwerking van persoonsgegevens in overeenstemming moet zijn met de in artikel 5 AVG verankerde beginselen inzake gegevensverwerking en, in het bijzonder gelet op het in lid 1, onder a), van dat artikel neergelegde beginsel dat de verwerking rechtmatig is, moet beantwoorden aan een van de in artikel 6 van die verordening genoemde voorwaarden inzake de rechtmatigheid van de verwerking [zie in die zin arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 96, en 7 december 2023, SCHUFA Holding (Scoring), C-634/21, EU:C:2023:957, punt 67].

In het bijzonder kan de verwerking van persoonsgegevens die in het hoofdgeding aan de orde is — te weten de mondelinge verstrekking van gegevens inzake strafbare feiten aan het publiek — binnen de werkingssfeer van artikel 6, lid 1, onder e), AVG, vallen, waarin is bepaald dat de verwerking rechtmatig is indien en voor zover zij ‘noodzakelijk [is] voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen’ [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 99].

Wat meer specifiek gegevens inzake strafrechtelijke veroordelingen en strafbare feiten betreft, onderwerpt artikel 10 AVG de verwerking ervan aan bijkomende beperkingen. Derhalve mogen deze gegevens overeenkomstig die bepaling ‘alleen worden verwerkt onder toezicht van de overheid’, tenzij de verwerking ‘is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden’ [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 100].

Het Hof heeft reeds geoordeeld dat noch artikel 6, lid 1, onder e), AVG noch artikel 10 van deze verordening er op algemene en absolute wijze aan in de weg staat dat een overheidsinstantie gemachtigd of zelfs verplicht is om persoonsgegevens te verstrekken aan personen die erom verzoeken [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 103].

De AVG staat er dus niet aan in de weg dat persoonsgegevens openbaar worden gemaakt wanneer dit noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag in de zin van artikel 6, lid 1, onder e), van deze verordening. Dit geldt zelfs wanneer artikel 10 van deze verordening van toepassing is op de gegevens in kwestie, mits de wettelijke regeling op grond waarvan die openbaarmaking is toegestaan, passende waarborgen voor de rechten en vrijheden van de betrokkenen biedt [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 104].

In casu blijkt uit de verwijzingsbeslissing en uit de door de Finse regering ingediende schriftelijke opmerkingen dat de nationale wettelijke regeling betreffende de openbaarheid van handelingen van overheidsinstanties en die betreffende de openbaarheid van procedures voor de gewone rechterlijke instanties beogen de taak van algemeen belang te vervullen die erin bestaat de toegang van het publiek tot officiële documenten te waarborgen.

In die omstandigheden wenst de verwijzende rechter meer in het bijzonder te vernemen of de in het hoofdgeding aan de orde zijnde verwerking van persoonsgegevens als rechtmatig kan worden beschouwd in het licht van het evenredigheidsbeginsel, met name gelet op de afweging die moet worden gemaakt tussen enerzijds het in artikel 86 AVG bedoelde recht van toegang van het publiek tot officiële documenten en anderzijds de in de artikelen 7 en 8 van het Handvest verankerde grondrechten op eerbiediging van het privéleven en bescherming van persoonsgegevens.

In dit laatste opzicht zij eraan herinnerd dat het grondrecht op eerbiediging van het privéleven en het grondrecht op bescherming van persoonsgegevens geen absolute gelding hebben, zoals staat te lezen in overweging 4 AVG, maar moeten worden beschouwd in relatie tot hun functie in de samenleving en moeten worden afgewogen tegen andere grondrechten. Beperkingen zijn dan ook mogelijk, mits zij overeenkomstig artikel 52, lid 1, van het Handvest bij wet worden gesteld alsook de wezenlijke inhoud van de grondrechten en het evenredigheidsbeginsel eerbiedigen. Op grond van dit beginsel kunnen slechts beperkingen worden gesteld indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen die voortvloeien uit de bescherming van de rechten en vrijheden van anderen. Zij moeten binnen de grenzen van het strikt noodzakelijke blijven en de regeling die inbreuk maakt op de betreffende grondrechten, moet duidelijke en nauwkeurige regels bevatten over de draagwijdte en de toepassing van de maatregel in kwestie [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 105].

Om vast te stellen of de openbaarmaking van persoonsgegevens betreffende strafrechtelijke veroordelingen noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag in de zin van artikel 6, lid 1, onder e), AVG, en of de wettelijke regeling op grond waarvan die openbaarmaking is toegestaan, passende waarborgen voor de rechten en vrijheden van de betrokkenen biedt in de zin van artikel 10 van deze verordening, moet bijgevolg in het bijzonder worden nagegaan of de openbaarmaking van die gegevens — gelet op de ernst van de inbreuk die aldus wordt gemaakt op het grondrecht op eerbiediging van het privéleven en het grondrecht op bescherming van persoonsgegevens — gerechtvaardigd lijkt en met name evenredig is aan de verwezenlijking van de nagestreefde doelstellingen [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 106].

Wat de ernst van de inbreuk op deze rechten betreft, heeft het Hof al geoordeeld dat de verwerking van gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen wegens de bijzondere gevoeligheid van deze gegevens in zeer ernstige mate inbreuk kan maken op de door de artikelen 7 en 8 van het Handvest verankerde grondrechten op eerbiediging van het privéleven en bescherming van persoonsgegevens. Wanneer dergelijke gegevens betrekking hebben op gedragingen die aanleiding geven tot maatschappelijke afkeuring, kan het feit dat toegang wordt verleend tot die gegevens de betrokkene immers stigmatiseren en aldus op ernstige wijze inbreuk maken op zijn privé- of beroepsleven [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punten 74, 75 en 112].

De toegang van het publiek tot officiële documenten, waarnaar de verwijzende rechter verwijst, vormt blijkens overweging 154 AVG weliswaar een algemeen belang dat kan rechtvaardigen dat de in die documenten vervatte persoonsgegevens worden verstrekt, maar die toegang moet niettemin worden verzoend met het grondrecht op eerbiediging van het privéleven en het grondrecht op bescherming van persoonsgegevens, zoals artikel 86 AVG overigens uitdrukkelijk vereist. Met name gelet op de gevoeligheid van gegevens betreffende strafrechtelijke veroordelingen en de ernst van de inbreuk die de openbaarmaking van die gegevens maakt op het grondrecht op eerbiediging van het privéleven en het grondrecht op bescherming van persoonsgegevens van de betrokken personen, moet worden geoordeeld dat deze rechten prevaleren boven het belang dat het publiek heeft bij toegang tot officiële documenten [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 120].

Het in artikel 85 AVG bedoelde recht op vrijheid van informatie kan om dezelfde reden niet aldus worden uitgelegd dat het een rechtvaardiging vormt om persoonsgegevens betreffende strafrechtelijke veroordelingen te verstrekken aan eenieder die erom verzoekt [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 121].

In dit verband is het irrelevant of de persoon die om toegang tot gegevens betreffende strafrechtelijke veroordelingen verzoekt, een handelsvennootschap dan wel een particulier is, en of dergelijke gegevens schriftelijk of mondeling worden verstrekt.

Gelet op een en ander dient op de tweede en de derde prejudiciële vraag te worden geantwoord dat de bepalingen van de AVG, met name artikel 6, lid 1, onder e), en artikel 10 ervan, aldus moeten worden uitgelegd dat zij eraan in de weg staan dat gegevens betreffende strafrechtelijke veroordelingen van een natuurlijke persoon die zijn opgenomen in een bestand dat door een rechterlijke instantie wordt bijgehouden, mondeling aan eenieder kunnen worden verstrekt teneinde de toegang van het publiek tot officiële documenten te waarborgen, zonder dat de persoon die om verstrekking verzoekt hoeft aan te tonen dat hij een specifiek belang heeft bij het verkrijgen van die gegevens, waarbij het in dit verband irrelevant is of laatstgenoemde persoon een handelsvennootschap dan wel een particulier is.