5.2.3.1 Inhoud en reikwijdte

Hoewel het beschermingsbereik van de AVG niet is beperkt tot één of meer grondrechten, volgt uit de doelstelling van deze verordening dat de bescherming die zij beoogt te bieden ten aanzien van de grondrechten en fundamentele vrijheden van natuurlijke personen ‘met name’ het recht op bescherming van persoonsgegevens betreft.1

Het recht op de bescherming van persoonsgegevens vindt zijn grondslag in art. 8 lid 1 Hv en art. 16 lid 1 VWEU, die beide bepalen dat “eenieder recht op bescherming van de hem betreffende persoons­gegevens” heeft.2 Art. 8 lid 2 Hv voegt hieraan toe: “Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op rectificatie daarvan”. Lid 3 bepaalt ten slotte dat er een onafhankelijke autoriteit toeziet op de naleving van deze regels.3

De inhoud en reikwijdte van het recht op de bescherming van persoonsgegevens zijn nog niet uitgekristalliseerd.4 Uit de toelichtingen bij het Handvest blijkt dat art. 8 Hv is gebaseerd op art. 8 EVRM, de Dataprotectierichtlijn, Verordening 45/2001 – die de verwerking van persoonsgegevens door communautaire instellingen en organen betreft – en (de voorganger van) art. 16 VWEU.5 Tegelijkertijd verduidelijken ze dat art. 8 Hv niet dezelfde inhoud en reikwijdte heeft als art. 8 EVRM.6 Tot slot blijkt uit de preambule van het Handvest dat (inmiddels) de AVG en Verordening 2018/1725 de voorwaarden en beperkingen bevatten voor de uitoefening van het recht op de bescherming van persoonsgegevens.7 Hieruit blijkt de precieze inhoud van het recht op de bescherming van persoonsgegevens echter niet.

Er bestaan in de literatuur grofweg twee visies op de inhoud en reikwijdte van het recht op de bescherming van persoonsgegevens.8 Dit is het gevolg van een sterk uiteenlopende kijk op het verband tussen art. 8 lid 1 Hv enerzijds en art. 8 lid 2 en 3 Hv anderzijds.9

Het recht op de bescherming van persoonsgegevens kan om te beginnen een prohibitive (verbiedend) karakter hebben. De structuur van art. 8 Hv is dan vergelijkbaar met die van art. 8 EVRM.10 Het grondrecht volgt daarbij uit het eerste lid van deze bepaling. De verbiedende formulering van dit lid brengt mee dat iedere persoonsgegevens­verwerking een inmenging vormt in het recht op de bescherming van persoonsgegevens en hier dus in beginsel strijdig mee is. De leden 2 en 3 dienen ertoe de omstandigheden te beschrijven waaronder een dergelijke inmenging is gerechtvaardigd. Zij betreffen daardoor – net als art. 52 Hv – niet zozeer de inhoud van het recht, maar de inmengingen daarop. Uit verscheidende uitspraken lijkt te volgen dat het HvJ EU deze ‘verbiedende’ benadering heeft omarmd. Zo overweegt het in de Schwarz-uitspraak dat uit art. 7 en 8 lid 1 Hv, gelezen in hun onderlinge verband, volgt “dat in beginsel elke verwerking van persoonsgegevens door een derde, een aantasting van die rechten kan opleveren”.11 In zijn advies over het Canada PNR-overeenkomst legt het HvJ EU daarnaast uit dat de handelingen die dankzij deze overeenkomst zouden kunnen worden verricht een inmenging in het recht op de bescherming van persoonsgegevens vormen, aangezien zij verwerkingen van persoonsgegevens zijn.12 Ook uit zijn overwegingen over art. 8 lid 2 Hv blijkt dat het HvJ EU art. 8 Hv als verbodsbepaling benadert. Zo overweegt het in ASNEF & FECEMD dat uit art. 8 lid 2 Hv, tezamen met art. 52 lid 1 Hv, blijkt dat het recht op de bescherming van persoonsgegevens onder bepaalde voorwaarden kan worden beperkt, en in Deutsche Telekom dat persoonsgegevens op grond van art. 8 lid 2 Hv kunnen worden verwerkt indien aan bepaalde voorwaarden is voldaan.13

In de literatuur wordt de prohibitive lezing van art. 8 Hv veelal verworpen ten gunste van de zogenoemde permissive (regulerende) lezing.14 Deze visie gaat ervan uit dat de leden 2 en 3 van art. 8 Hv niet zozeer zien op de inmengingen in het recht uit lid 1, maar de belangrijkste onderdelen zijn van dit recht. Daarbij is het belang daarvan zo groot dat persoonsgegevensverwerkingen slechts in strijd zijn met het recht op de bescherming van persoonsgegevens wanneer zij niet voldoen aan de eisen uit de leden 2 en 3 van art. 8 Hv.15 Het verbod is hierbij dus niet het uitgangspunt. In de literatuur wordt doorgaans bepleit dat deze visie beter past bij het systeem van het Handvest, waarin art. 52 Hv immers als horizontale beperkingsbepaling geldt.16 Ook zou zij beter aansluiten op het Verdrag van Straatsburg en de Dataprotectierichtlijn, waarin persoonsgegevens­verwerkingen ook niet algemeen werden verboden.17 Het HvJ EU volgt deze lezing desalniettemin niet, wat in het bijzonder blijkt uit de hiervoor besproken overwegingen uit de arresten Canada PNR en ASNEF & FECEMD.18 Ook zijn overwegingen over de wezenlijke inhoud van het recht op de bescherming van persoonsgegevens geven geen blijk van een permissieve lezing. Waar de permissieve opvatting ervan uitgaat dat de leden 2 en 3 de belangrijkste elementen van dit recht benoemen, heeft het HvJ EU in de gevallen waarin het zich uitliet over de wezenlijke inhoud van het recht, namelijk juist de focus op andere elementen gelegd (zie §5.2.3.2). Omdat het uiteindelijk aan het HvJ EU is om het Handvest uit te leggen,19 is het uitgangspunt vooralsnog dan ook dat iedere verwerking van persoonsgegevens een te rechtvaardigen inmenging in het recht op de bescherming van persoonsgegevens oplevert.20 De AVG vormt de wettelijke grondslag die dat mogelijk maakt.21 Overigens sluit ook de Europese Toezichthouder voor gegevensbescherming zich bij de lezing aan.22

Inmengingen in het recht op de bescherming van persoonsgegevens komen voor in verschillende gradaties. Zo vormde de Dataretentierichtlijn een “zeer ruime en bijzonder zware inmenging” in dit recht omdat zij geen duidelijke en precieze regels bevatte over de omvang van de inmengingen die zij mogelijk maakte.23 Bij de beoordeling van de ernst van een inmenging is het verder in ieder geval van belang of de inmenging het mogelijk maakt nauwkeurige conclusies over het privéleven van de betrokken persoon te trekken.24

Uit het arrest Google Spain blijkt dat het recht op de bescherming van persoonsgegevens verregaande invloed kan hebben op het persoonsgegevensbeschermingsrecht.25 Deze zaak ging onder andere over art. 12 sub b en art. 14, eerste alinea, sub a van de Dataprotectie­richtlijn (het recht op uitwissing en afscherming van gegevens en het recht van verzet). De vraag die voorlag was of deze bepalingen meebrengen dat betrokkenen ten opzichte van zoekmachineaanbieders het recht hebben om vergeten te worden.26 Advocaat-Generaal N. Jääskinen concludeerde dat dergelijk recht niet uit de bepalingen van de Dataprotectierichtlijn volgt en hier bij een Handvest-conforme uitleg ook niet uit kan voortvloeien.27 Het HvJ EU komt tot een andere conclusie. Het overweegt daarbij eerst dat de betrokkenen op basis van art. 7 en 8 Hv kunnen verlangen dat hun informatie niet in zoekresultaten naar voren komt.28 Vervolgens benoemt het dat het belang dat betrokkenen hierbij hebben, gezien deze grondrechtelijke achtergrond, in beginsel voorrang heeft op economische belangen van de zoekmachine, en dat er ook geen overwegend publiek belang is dat het rechtvaardigt dat betrokkenen dit recht niet toekomt.29 Het HvJ EU beslist daarom dat betrokkenen in deze context, op grond van het recht op uitwissing en afscherming van gegevens en het recht van verzet, het recht toekomt om vergeten te worden.

In Google Spain legt het HvJ EU de Dataprotectierichtlijn al met al uit op een manier die niet zozeer aansluit bij de bewoording van deze richtlijn, maar bij de grondrechten en fundamentele vrijheden uit het Handvest.30 Ik acht aannemelijk dat het hier ook onder AVG toe zou kunnen overgaan, nu het als instelling van de EU verplicht is de grondrechten uit het Handvest te eerbiedigen.31 Het recht op de bescherming van persoonsgegevens is dan ook van groot belang voor de invulling van de normen uit AVG.