5.4.4 De samenhang volgens het HvJ EU en zijn omgang met eventuele conflicten

Ondanks dat de twee AVG-doelen in de visie van de EU-wetgever in elkaars verlengde liggen, is het HvJ EU meermaals tot de conclusie gekomen dat ze met elkaar kunnen conflicteren.1 Meer specifiek heeft het overwogen dat het vrije verkeer van persoonsgegevens kan indruisen tegen de rechten op de bescherming van persoonsgegevens en de eerbiediging van het privéleven, doordat de interne markt zorgt voor een toename van persoonsgegevens­uitwisselingen.2 Dit is in lijn met de wijze waarop de rechten in de context van het Handvest samenhangen.3

Bij de vormgeving van een grondrechtenbeperking moet de EU-wetgever de grondrechten die worden beperkt en de doelen ten behoeve waarvan dat gebeurt, tegen elkaar afwegen.4 Hij zal bij de AVG aldus een evenwicht hebben gezocht tussen – in het bijzonder – de waarborging van de rechten op de bescherming van persoonsgegevens en de eerbiediging van het privéleven aan de ene kant en de realisatie van het vrije verkeer van persoonsgegevens en de waarborging van het recht op de vrijheid van ondernemerschap aan de andere kant. Doordat hij hierbij gedeeltelijk voor open normen heeft gekozen, moet deze afweging bij de invulling van deze normen echter gedeeltelijk opnieuw worden gemaakt.5 Zowel het HvJ EU als de nationale rechters en toezichthouders hebben in dit kader de verantwoordelijkheid een juist evenwicht te vinden tussen “de bescherming van het recht op de bescherming van de persoonlijke levenssfeer en de belangen die een vrij verkeer van persoonsgegevens noodzakelijk maken”.6

Hoewel de EU-wetgever geen hiërarchische verhouding tussen de AVG-doelen heeft willen aanbrengen, lijkt het HvJ EU de doelen bij de uitleg van de AVG niet gelijk te waarderen. Hoe het deze doelen tot elkaar relateert, is in de loop van de tijd gewijzigd. Mogelijk heeft dit te maken met de wijziging van de grondslag van het persoonsgegevensbeschermingsrecht en de invoering van art. 116 VWEU en de erkenning van het recht op de bescherming van persoonsgegevens.7

Oorspronkelijk legde het HvJ EU de nadruk op het vrije verkeer van persoonsgegevens. Het zag het wegnemen van de belemmeringen voor de werking van de interne markt die voortvloeien uit de verschillen tussen nationale wetgevingen als het voornaamste doel van de Dataprotectierichtlijn.8 Harmonisering van het nationale persoonsgegevens­beschermingsrecht stond daarom voorop.

Sinds de afkondiging van het Handvest en de inwerkingtreding van het Verdrag van Lissabon zijn de twee doelen van het persoonsgegevensbeschermingsrecht gelijkwaardiger.9 Het HvJ EU overwoog bijvoorbeeld dat de Dataprotectierichtlijn “tot doel heeft dat de lidstaten, waar zij het vrij verkeer van persoonsgegevens mogelijk maken, tegelijkertijd de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, met name van hun privéleven, waarborgen in verband met de verwerking van persoonsgegevens”.10

In de Deutsche Telekom-zaak overweegt het HvJ EU voor het eerst dat de Dataprotectierichtlijn het recht op bescherming van persoonsgegevens in de zin van art. 8 Hv beoogt te eerbiedigen zonder daarbij te vermelden dat de verordening ook nog een ander doel heeft.11 Sindsdien haalt het of beide doelstellingen van het gegevensbeschermingsrecht aan,12 of focust het op de waarborging van de rechten op de bescherming van persoonsgegevens en de eerbiediging van het privéleven.13 Het beschrijft het doel van het persoonsgegevensbeschermingsrecht nu als “het verzekeren van een evenwicht tussen het vrije verkeer van persoonsgegevens en de bescherming van de persoonlijke levenssfeer”.14 Oftewel: waar het HvJ EU de waarborging van de internemarktdimensie door middel van de realisatie van het vrije verkeer van persoonsgegevens oorspronkelijk zag als de voornaamste doelstelling van het persoonsgegevens­beschermings­recht, acht het dit tegenwoordig formeel gelijkwaardig aan de eerbiediging van de bij de bescherming van persoonsgegevensbescherming betrokken grondrechten. Dit is waarschijnlijk te verklaren vanuit de tussentijdse erkenning van het recht op bescherming van persoonsgegevens als fundamenteel recht en het feit dat met het Verdrag van Lissabon een nieuwe juridische grondslag voor het persoonsgegevens­beschermingsrecht is geïntroduceerd.15 Door in het bijzonder deze grondslag, is het voor de geldigheid van het persoonsgegevensbeschermingsrecht niet langer essentieel dat een regeling nadrukkelijk aan de totstandkoming van de interne markt wordt gerelateerd.16 Hierdoor kon de nadruk van het persoonsge­gevensbeschermingsrecht meer op de bescherming van het recht op de bescherming van persoonsgegevens komen te liggen.17

Ondanks de gelijkwaardige benadering van de AVG-doelen, is een van de standaardoverwegingen van het HvJ EU dat het persoonsgegevens­beschermings­recht noodzakelijkerwijs moet worden uitgelegd op basis van de grondrechten, voor zover dit “de verwerking regelt van persoonsgegevens die afbreuk kunnen doen aan de fundamentele vrijheden, met name het recht op persoonlijke levenssfeer”.18 In lijn hiermee benoemt het doorgaans dat iedere uitzondering op de bescherming van persoonsgegevens binnen het strikt noodzakelijke dient te blijven omdat de bescherming van het fundamentele recht dit vereist. Daarbij overweegt het HvJ EU niet dat ook rekening moet worden gehouden met het vrije verkeer van persoonsgegevens of de rechten die samenhangen met het vrije verkeer.19 Zelfs in Google Spain, waarin het HvJ EU op basis van grondrechten de Dataprotectierichtlijn uitlegt op een wijze die gezien de tekst van deze richtlijn niet voor de hand ligt, komt de vrijheid van persoonsgegevens niet verder aan bod.20

Mogelijk heeft de nadruk op grondrechtenbescherming in de rechtspraak van het HvJ EU te maken met de opzet van de AVG en de vragen die het tot op heden zijn voorgelegd. Het zou kunnen dat deze vragen voornamelijk gingen over bepalingen die aan het recht op de bescherming van persoonsgegevens relateerden. Dat de EU-wetgever met de AVG in het geheel een juist evenwicht tussen de verschillende betrokken belangen heeft willen bewerkstelligen, betekent immers niet dat iedere bepaling afzonderlijk ook een evenwicht hiertussen bevat. Het kan zijn dat sommige bepalingen vooral bijdragen aan het ene doel, en andere aan het andere. Dit lijkt echter geen verklaring te bieden voor deze ‘grondrechtennadruk’.21 Als het HvJ EU zich buigt over een bepaling die vooral bijdraagt aan de rechten op de bescherming van persoonsgegevens en de eerbiediging van het privéleven, gaat het namelijk niet in op het vrije verkeer van persoonsgegevens, en lijkt het dit ook niet impliciet mee te nemen. Tegelijkertijd, als het zich uitlaat over een bepaling die vooral bijdraagt aan het vrije verkeer van persoonsgegevens, benoemt het wel dat de bescherming van deze rechten niet uit het oog mag worden verloren. Het HvJ EU legt de focus bij de uitleg van de AVG, met andere woorden, meer op het recht op de bescherming van persoonsgegevens en het recht op de eerbiediging van het privéleven dan op het vrije verkeer van persoonsgegevens en het recht op de vrijheid van ondernemerschap. Het acht het vrije verkeer van persoonsgegevens vooral van belang bij het tegengaan van nationale verschillen.22 Bij de invulling van art. 5 lid 1 onder f en 32 AVG zal, vanwege de rol die deze bepalingen vervullen bij de realisatie van de afzonderlijke AVG-doelen en hun onderlinge verhouding in de visie van de EU-wetgever en in de context van het Handvest, dan ook vooral van belang zijn dat ‘passend’ minimaal zo moet worden uitgelegd dat inmengingen in het recht op de bescherming van persoonsgegevens en de eerbiediging van het privéleven kunnen worden gerechtvaardigd, en dat tegelijkertijd moet worden voorkomen dat er lidstatelijke verschillen ontstaan voor wat betreft beveiligingsvoorschriften.