4.6.2 Het Verdrag van Lissabon

De juridische status van het Handvest was op het moment van zijn afkondiging niet geheel duidelijk, al stond vast dat het niet bindend was.1 Het Verdrag van Lissabon van 2009 heeft dit veranderd. Sinds zijn inwerkingtreding staat vast dat het Handvest ‘dezelfde juridische waarde als Verdragen’ heeft en aldus primair EU-recht is.2 Instellingen, organisaties en instanties van de EU zijn sindsdien gebonden de rechten en vrijheden van het Handvest te eerbiedigen. Wanneer lidstaten het recht van de EU ten uitvoer brengen, geldt dit ook voor hen.3

De gevolgen van het Verdrag van Lissabon voor het recht op de bescherming van persoonsgegevens strekken verder dan de verplichte eerbiediging van dit recht.4 Dit hangt samen met art. 16 van het Verdrag betreffende de werking van de Europese Unie (VWEU), dat met het Verdrag werd ingevoerd. Art. 16 lid 1 VWEU bepaalt, evenals art. 8 lid 1 Hv, dat eenieder recht heeft op de bescherming van de hem betreffende persoonsgegevens. Lidstaten dienen het recht hierdoor niet enkel te waarborgen wanneer zij EU-recht ten uitvoer leggen, maar altijd wanneer zij handelingen verrichten die met de bescherming van persoons­gegevens te maken hebben.5 Lid 2 bevat bovendien een mandaat voor de EU-wetgever tot het vaststellen van voorschriften “betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens door de instellingen, organen en instanties van de EU, alsook door de lidstaten, bij de uitoefening van activiteiten die binnen het toepassingsgebied van het recht van de EU vallen, alsmede de voorschriften betreffende het vrij verkeer van die gegevens”. Waar ten aanzien van het Handvest nog kan worden gediscussieerd of het nieuwe bevoegdheden in het leven roept, staat dit bij het Verdrag van Lissabon dus vast.6 Over de reikwijdte van dit mandaat bestaat enige discussie.7 Hoewel het artikel bij een letterlijke lezing enige beperkingen bevat, is het uitgangspunt in de rechtspraak van het HvJ EU en de heersende opvatting in de literatuur dat art. 16 VWEU de EU een geschikt mandaat geeft met onbeperkte taken. Het zou een unieke rechtsgrondslag zijn, op basis waarvan de EU voorschriften betreffende de bescherming van persoonsgegevens van natuurlijke personen uit kan vaardigen.8 Het HvJ EU heeft geoordeeld dat art. 16 VWEU een passende rechtsgrondslag biedt “wanneer de bescherming van persoonsgegevens een van de essentiële doelen of componenten van de door de EU-wetgever vastgestelde regels vormt”.9Art. 100A EG-Verdrag (tegenwoordig art. 114 VWEU), op grond waarvan de EU-wetgever regels kan treffen ter instelling en werking van de interne markt, hoeft daarom niet meer de basis te zijn voor het gegevensbeschermingsrecht van de EU.10 De grondslag van de AVG is dan ook, anders dan die van de Dataprotectierichtlijn, art. 16 VWEU.11