HvJ EU, 07-03-2024, nr. C-479/22 P

De Commissie is van mening dat bepaalde ter ondersteuning van het eerste onderdeel van het eerste middel aangevoerde argumenten tot de beoordeling van de feiten door het Gerecht behoren en derhalve niet vatbaar zijn voor toetsing door het Hof in het kader van deze hogere voorziening.

In dit verband zij eraan herinnerd dat de juridische kwalificatie van een feit of van een handeling door het Gerecht een rechtsvraag is die in het kader van een hogere voorziening aan de orde kan worden gesteld (arrest van 12 mei 2022, Klein/Commissie, C-430/20 P, EU:C:2022:377, punt 41 en aldaar aangehaalde rechtspraak).

Uit de formulering van het eerste onderdeel van het eerste middel en uit alle ter ondersteuning daarvan aangevoerde argumenten blijkt dat rekwirante het Gerecht verwijt, blijk te hebben gegeven van een onjuiste rechtsopvatting door zich bij de uitlegging van het begrip ‘identificeerbare natuurlijke persoon’ te baseren op onjuiste juridische criteria en door op basis daarvan de informatie in het litigieuze persbericht juridisch ten onrechte te kwalificeren als gegevens die niet vallen onder het begrip ‘persoonsgegevens’ als bedoeld in artikel 3, punt 1, van verordening 2018/1725.

Bijgevolg is het eerste onderdeel van het eerste middel ontvankelijk.

Vooraf moet worden opgemerkt dat de definitie van het begrip ‘persoonsgegevens’ in artikel 3, punt 1, van verordening 2018/1425 in wezen identiek is aan die in artikel 4, punt 1, AVG. Zoals blijkt uit de overwegingen 4 en 5 van verordening 2018/1725 alsook uit artikel 2, lid 3, en artikel 98 AVG heeft de Uniewetgever bovendien een regeling voor de bescherming van persoonsgegevens door de instellingen, organen en instanties van de Unie willen invoeren die gelijkwaardig is aan die van de AVG, teneinde een uniforme en coherente bescherming van natuurlijke personen in verband met de verwerking van hun persoonsgegevens binnen de Unie te waarborgen. Artikel 3, punt 1, van verordening 2018/1725 en artikel 4, punt 1, AVG moeten dus op dezelfde wijze worden uitgelegd.

Artikel 3, punt 1, van verordening 2018/1725 bepaalt dat onder persoonsgegevens wordt verstaan ‘iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’.

Het Hof heeft geoordeeld dat het gebruik van de woorden ‘alle informatie’ in de definitie van het begrip ‘persoonsgegevens’ in artikel 4, punt 1, AVG wijst op de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, dat zich potentieel uitstrekt tot elk soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene ‘betreft’. Informatie heeft betrekking op een geïdentificeerde of identificeerbare natuurlijke persoon wanneer zij wegens haar inhoud, doel of gevolg verband houdt met een identificeerbare persoon (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punten 23 en 24).

Wat de ‘identificeerbaarheid’ van een natuurlijke persoon betreft, preciseert artikel 3, punt 1, van verordening 2018/1725 dat als identificeerbaar wordt beschouwd ‘een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel zoals een naam, een identificatienummer, locatiegegevens, een online identificatiemiddel of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon’.

Uit het feit dat de Uniewetgever de term ‘indirect’ gebruikt, kan worden afgeleid dat het voor de kwalificatie van een gegeven als persoonsgegeven niet nodig is dat dit gegeven het op zichzelf mogelijk maakt de betrokken persoon te identificeren (zie naar analogie arrest van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 41).

Overweging 16 van verordening 2018/1725 preciseert in dit verband dat om te bepalen of een natuurlijke persoon identificeerbaar is, rekening moet worden gehouden met ‘alle middelen waarvan redelijkerwijs te verwachten valt’ dat zij door de verwerkingsverantwoordelijke of door ‘een andere persoon’ zullen worden gebruikt om de natuurlijke persoon ‘direct of indirect’ te identificeren. Aldus is het voor de kwalificatie van een gegeven als ‘persoonsgegeven’ niet vereist dat alle informatie aan de hand waarvan de betrokkene kan worden geïdentificeerd, bij een en dezelfde persoon berust (zie naar analogie arrest van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 43).

In het bijzonder sluit het feit dat extra informatie nodig is om de betrokkene te identificeren niet uit dat de betrokken gegevens als persoonsgegevens kunnen worden aangemerkt (zie naar analogie arrest van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 44).

Niettemin moet de mogelijkheid om de betrokken gegevens te combineren met extra informatie een middel vormen waarvan redelijkerwijs te verwachten valt dat het zal worden gebruikt om de betrokkene te identificeren. Om uit te maken of redelijkerwijs te verwachten valt dat middelen zullen worden gebruikt om een natuurlijke persoon te identificeren, moet volgens overweging 16 van verordening 2018/1725 rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd die nodig is voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen.

Dienaangaande heeft het Hof reeds geoordeeld dat niet redelijkerwijs te verwachten valt dat een middel zal worden gebruikt om de betrokkene te identificeren wanneer de identificatie van die persoon bij wet verboden of in de praktijk ondoenlijk is, bijvoorbeeld omdat zij — gelet op de vereiste tijd, kosten en mankracht — een excessieve inspanning vergt, zodat het gevaar voor identificatie in werkelijkheid onbeduidend lijkt (zie naar analogie arrest van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 46).

In casu heeft het Gerecht, in het kader van zijn onderzoek of het litigieuze persbericht persoonsgegevens in de zin van artikel 3, punt 1, van verordening 2018/1725 bevat, in punt 49 van het bestreden arrest eraan herinnerd dat de Unie alleen aansprakelijk kan worden gesteld voor handelingen of gedragingen die aan een instelling of orgaan van de Unie kunnen worden toegerekend. In punt 49 van het bestreden arrest heeft het Gerecht daaruit afgeleid dat rekwirante moet kunnen worden geïdentificeerd aan de hand van het litigieuze persbericht en dat die identificatie niet mag voortvloeien uit externe gegevens die geen deel uitmaken van het aan OLAF verweten gedrag. Bijgevolg heeft het Gerecht zijn onderzoek uitsluitend gericht op de informatie die in dat persbericht was opgenomen en op basis waarvan de lezers in voorkomend geval rekwirante konden identificeren.

Wat vervolgens de onthulling betreft van rekwirantes identiteit door de Duitse journalist die een artikel op sociale media (Twitter) had gepubliceerd over de beschuldigingen van OLAF in het litigieuze persbericht dat op haar betrekking had, heeft het Gerecht in de punten 82 en 87 van het bestreden arrest geoordeeld dat met die onthulling geen rekening kon worden gehouden, aangezien deze journalist niet in staat was geweest om rekwirante alleen op basis van de identificatiemiddelen in het litigieuze persbericht te identificeren en zij externe en aanvullende identificatiemiddelen had moeten gebruiken naast het persbericht. Om tot deze slotsom te komen heeft het Gerecht in de punten 76 en 81 van het bestreden arrest met name geoordeeld dat die journalist geen gemiddelde lezer was, maar een onderzoeksjournalist die gespecialiseerd is in wetenschappelijk onderzoek en die beschikte over subjectieve externe kennis over rekwirante.

De vraag of gegevens in een persbericht van een instelling of orgaan van de Unie onder het begrip ‘persoonsgegevens’ in de zin van artikel 3, punt 1, van verordening 2018/1725 vallen, mag echter niet worden verward met de vraag of is voldaan aan de voorwaarden voor niet-contractuele aansprakelijkheid van de Unie. De eerste vraag moet uitsluitend worden beoordeeld aan de hand van de in deze bepaling gestelde voorwaarden en kan dus, anders dan het Gerecht in punt 49 van het bestreden arrest heeft geoordeeld, niet afhangen van overwegingen betreffende de toerekenbaarheid van een handeling aan de Unie.

In dit verband blijkt uit de overwegingen in de punten 48 tot en met 51 van het onderhavige arrest dat het inherent is aan de ‘indirecte identificatie’ van een persoon dat extra informatie moet worden gecombineerd met de betrokken gegevens teneinde de betrokkene te identificeren. Hieruit volgt tevens dat, anders dan het Gerecht in de punten 49 en 87 van het bestreden arrest heeft geoordeeld, de identificeerbaarheid van een persoon geenszins uitgesloten is doordat deze extra informatie afkomstig is van een andere persoon of bron dan de betrokken verwerkingsverantwoordelijke.

Bovendien stelt verordening 2018/1725 geen enkele voorwaarde aan de personen die degene waarmee de informatie verband houdt kunnen identificeren, aangezien overweging 16 van deze verordening niet alleen verwijst naar de verwerkingsverantwoordelijke maar ook naar ‘een andere persoon’.

Wanneer het in het bijzonder gaat om een persbericht dat door een onderzoeksautoriteit is opgesteld om het publiek te informeren over de uitkomst van een onderzoek, is dit persbericht door de aard ervan met name bedoeld voor journalisten, zodat deze niet kunnen worden onderscheiden van de ‘gemiddelde lezer’, naar wie in punt 76 van het bestreden arrest wordt verwezen.

Dat, zoals in casu, een onderzoeksjournalist de identiteit heeft verspreid van een persoon op wie een persbericht betrekking heeft, kan op zichzelf echter niet leiden tot de vaststelling dat de in dit persbericht vervatte gegevens noodzakelijkerwijs als persoonsgegevens in de zin van artikel 3, lid 1, van verordening 2018/1725 moeten worden aangemerkt en dat niet meer hoeft te worden onderzocht of de betrokkene identificeerbaar is.

Wat de vraag betreft of het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting bij de juridische kwalificatie van de feiten wat de identificeerbaarheid van rekwirante betreft, bevat het litigieuze persbericht — zoals het Gerecht in de punten 53 tot en met 55 van het bestreden arrest in wezen heeft opgemerkt — bepaalde informatie over rekwirante die haar identificatie mogelijk kon maken, namelijk haar geslacht, nationaliteit en beroep, de vermelding dat het ging om een jonge persoon en het feit dat zij verantwoordelijk was voor het betrokken gefinancierde onderzoeksproject. Voorts werden vermeld: het subsidiebedrag, de toekenningsinstantie (te weten ERCEA), alsmede de aard van de entiteit die als gastinstelling optrad voor het project en het land waar deze entiteit zich bevond (te weten een universiteit in Griekenland). Ten slotte verwijst dit persbericht naar de vader van de betrokkene, het feit dat hij zijn beroep binnen diezelfde entiteit uitoefende en het geschatte aantal onderzoekers dat onder leiding van de betrokkene aan dat project werkte.

Anders dan het Gerecht in punt 68 van het bestreden arrest heeft geoordeeld, vormen gegevens inzake het geslacht van een persoon op wie een persbericht betrekking heeft, zijn nationaliteit, het beroep van zijn vader, het subsidiebedrag voor een wetenschappelijk project en de geografische locatie van de entiteit die als gastinstelling optreedt voor dit wetenschappelijke project, in hun geheel beschouwd, informatie aan de hand waarvan de persoon op wie dat persbericht betrekking heeft kan worden geïdentificeerd, met name door personen die op hetzelfde wetenschappelijke gebied werkzaam zijn en die de beroepsloopbaan van de betrokkene kennen.

In deze context kan op basis van de in punt 51 hierboven in herinnering gebrachte rechtspraak van het Hof het risico dat de betrokkene wordt geïdentificeerd, niet als onbeduidend worden aangemerkt. In dit verband zijn gegevens als die welke in het vorige punt van het onderhavige arrest zijn vermeld, in hun geheel beschouwd, van dien aard dat zij het voor personen die op hetzelfde wetenschappelijke gebied werkzaam zijn mogelijk maken om de betrokkene te identificeren, zonder dat deze identificatie — gelet op de vereiste tijd, kosten en mankracht — een excessieve inspanning vergt. Anders dan de Commissie heeft betoogd, hoefde rekwirante bovendien niet aan te tonen dat zij daadwerkelijk door een van deze personen was geïdentificeerd, aangezien artikel 3, punt 1, van verordening 2018/1725 geen dergelijk vereiste stelt en enkel eist dat een persoon ‘identificeerbaar’ is.

Zoals blijkt uit punt 66 van het bestreden arrest, bevatte de beschrijving — op de website van ERCEA — van 70 door dit agentschap gefinancierde projecten met gastinstellingen in Griekenland, bovendien verschillende sleutelelementen aan de hand waarvan de internetgebruiker de gewenste informatie kon vinden, zoals de naam van de verantwoordelijke van het project, de naam van de gastinstelling of het bedrag van de financiering.

Een persbericht over beweerd onrechtmatig gedrag, zoals fraude of corruptie, kan de belangstelling van het publiek wekken en de lezers, met name journalisten, ertoe aanzetten zoekopdrachten te verrichten naar de persoon op wie het persbericht betrekking heeft. In een dergelijke context is een inspanning om dergelijke zoekopdrachten te verrichten op een website als die van ERCEA door de beschrijving te doorlopen van ongeveer 70 gefinancierde projecten die op deze website zijn vermeld, in combinatie met andere zoekopdrachten op het internet waarmee de naam en andere identificatiemiddelen van de persoon op wie het persbericht betrekking heeft waarschijnlijk kunnen worden gevonden, geenszins excessief, zodat het risico dat rekwirante wordt geïdentificeerd door journalisten of andere personen die haar beroepsloopbaan niet kennen, niet als onbeduidend in de zin van de in punt 51 van het onderhavige arrest aangehaalde rechtspraak kan worden aangemerkt.

Uit de voorgaande overwegingen volgt dat het Gerecht in de punten 49 en 87 van het bestreden arrest blijk heeft gegeven van een onjuiste rechtsopvatting door te oordelen dat de identificatie van rekwirante niet mocht voortvloeien uit externe of aanvullende gegevens die geen deel uitmaken van het aan OLAF verweten gedrag. Bovendien heeft het Gerecht bij de juridische kwalificatie van de aan hem voorgelegde feiten blijk gegeven van een onjuiste rechtsopvatting door in punt 68 van dat arrest te oordelen dat rekwirante aan de hand van de identificatiemiddelen in het litigieuze persbericht redelijkerwijs niet kon worden geïdentificeerd, hetzij op basis van een eenvoudige objectieve lezing van dit persbericht, hetzij met behulp van middelen ‘waarvan redelijkerwijs te verwachten valt dat zij zullen worden gebruikt’ door een van de lezers van het persbericht.

Bijgevolg heeft het Gerecht in de punten 91 en 92 van het bestreden arrest ook ten onrechte geoordeeld dat de gegevens in het litigieuze persbericht niet onder het begrip ‘persoonsgegevens’ in de zin van artikel 3, punt 1, van verordening 2018/1725 vielen en dat deze verordening in casu niet van toepassing was.

In die omstandigheden moeten het eerste en het tweede onderdeel van het eerste middel worden toegewezen.