HvJ EU, 12-01-2023, nr. C-154/21

HvJ EU, 12-01-2023, nr. C-154/21

Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.

Uitspraak 12‑01‑2023

Inhoudsindicatie

Prejudiciële verwijzing — Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens — Verordening (EU) 2016/679 — Artikel 15, lid 1, onder c) — Recht van inzage van de betrokkene in zijn gegevens — Informatie over de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt — Beperkingen

A. Arabadjiev, L. Bay Larsen, P. G. Xuereb, A. Kumin, I. Ziemele

Partij(en)

In zaak C-154/21,*

betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk) bij beslissing van 18 februari 2021, ingekomen bij het Hof op 9 maart 2021, in de procedure

RW

tegen

Österreichische Post AG,

wijst

HET HOF (Eerste kamer),

samengesteld als volgt: A. Arabadjiev, kamerpresident, L. Bay Larsen, vicepresident van het Hof, waarnemend rechter van de Eerste kamer, P. G. Xuereb, A. Kumin en I. Ziemele (rapporteur), rechters,

advocaat-generaal: G. Pitruzzella,

griffier: A. Calot Escobar,

gezien de stukken,

gelet op de opmerkingen van:

—

RW, vertegenwoordigd door R. Haupt, Rechtsanwalt,

—

Österreichische Post AG, vertegenwoordigd door R. Marko, Rechtsanwalt,

—

de Oostenrijkse regering, vertegenwoordigd door G. Kunnert, A. Posch en J. Schmoll als gemachtigden,

—

de Tsjechische regering, vertegenwoordigd door M. Smolek en J. Vláčil als gemachtigden,

—

de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door M. Russo, avvocato dello Stato,

—

de Letse regering, vertegenwoordigd door J. Davidoviča, I. Hūna en K. Pommere als gemachtigden,

—

de Roemeense regering, vertegenwoordigd door L.-E. Baţagoi, E. Gane en A. Wellman als gemachtigden,

—

de Zweedse regering, vertegenwoordigd door H. Eklinder, J. Lundberg, C. Meyer-Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev en O. Simonsson als gemachtigden,

—

de Europese Commissie, vertegenwoordigd door F. Erlbacher en H. Kranenborg als gemachtigden,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 9 juni 2022,

het navolgende

Arrest

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 15, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2; hierna: ‘AVG’).

2

Dit verzoek is ingediend in het kader van een geding tussen RW en Österreichische Post AG over een verzoek om inzage van persoonsgegevens krachtens artikel 15, lid 1, onder c), AVG.

Toepasselijke bepalingen

3

De overwegingen 4, 9, 10, 39, 63 en 74 AVG luiden als volgt:

‘(4)

[…] Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. […]

[…]

(9)

De doelstellingen en beginselen van richtlijn 95/46/EG [van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31)] blijven overeind, maar de richtlijn heeft niet kunnen voorkomen dat gegevens in de [Europese] Unie op gefragmenteerde wijze worden beschermd, dat er rechtsonzekerheid heerst of dat in brede lagen van de bevolking het beeld bestaat dat met name online-activiteiten aanzienlijke risico's voor de bescherming van natuurlijke personen inhouden. De lidstaten bieden op het vlak van verwerking van persoonsgegevens uiteenlopende niveaus van bescherming van de rechten en vrijheden van natuurlijke personen, met name de bescherming van persoonsgegevens, wat het vrije verkeer van persoonsgegevens binnen de Unie in de weg kan staan. Die verschillen kunnen dan ook een belemmering vormen voor de uitoefening van economische activiteiten op Unieniveau, de mededinging verstoren en de overheid beletten de taak die zij uit hoofde van het Unierecht heeft, te vervullen. Die verschillende beschermingsniveaus zijn toe te schrijven aan de verschillen in de uitvoering en toepassing van richtlijn 95/46/EG.

(10)

Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. […]

[…]

(39)

Elke verwerking van persoonsgegevens dient behoorlijk en rechtmatig te geschieden. Voor natuurlijke personen dient het transparant te zijn dat hen betreffende persoonsgegevens worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt. Overeenkomstig het transparantiebeginsel moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt. […]

[…]

(63)

Een betrokkene moet het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. […] Elke betrokkene dient dan ook het recht te hebben, te weten en te worden meegedeeld voor welke doeleinden de persoonsgegevens worden verwerkt, indien mogelijk hoe lang zij worden bewaard, wie de persoonsgegevens ontvangt, welke logica er ten grondslag ligt aan een eventuele automatische verwerking van de persoonsgegevens en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen van een dergelijke verwerking zijn. […] Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden. […]

[…]

(74)

De verantwoordelijkheid en aansprakelijkheid van de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van persoonsgegevens die door of namens hem wordt uitgevoerd. Meer bepaald dient de verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit te voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig deze verordening geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen moet rekening worden gehouden met de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen.’

4

Artikel 1 AVG (‘Onderwerp en doelstellingen’) bepaalt in lid 2:

‘Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.’

5

Artikel 5 AVG (‘Beginselen inzake verwerking van persoonsgegevens’) bepaalt:

‘1.

Persoonsgegevens moeten:

a)

worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‘rechtmatigheid, behoorlijkheid en transparantie’);

[…]

2.

De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‘verantwoordingsplicht’).’

6

Artikel 12 (‘Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene’) van die verordening vermeldt:

‘1.

De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.

2.

De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.

[…]

5.

Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel:

a)

een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; ofwel

b)

weigeren gevolg te geven aan het verzoek.

Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.

[…]’

7

Artikel 13 (‘Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld’) van diezelfde verordening bepaalt in lid 1:

‘Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:

[…]

e)

in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;

[…]’

8

De AVG vermeldt in artikel 14 (‘Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen’), lid 1, het volgende:

‘Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie:

[…]

e)

in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;

[…]’

9

Artikel 15 (‘Recht van inzage van de betrokkene’) van die verordening luidt:

‘1.

De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

a)

de verwerkingsdoeleinden;

b)

de betrokken categorieën van persoonsgegevens;

c)

de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

d)

indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;

e)

dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;

f)

dat de betrokkene het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit;

g)

wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;

h)

het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2.

Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.

3.

De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

4.

Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.’

10

Artikel 16 (‘Recht op rectificatie’) van diezelfde verordening bepaalt:

‘De betrokkene heeft het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. Met inachtneming van de doeleinden van de verwerking heeft de betrokkene het recht vervollediging van onvolledige persoonsgegevens te verkrijgen, onder meer door een aanvullende verklaring te verstrekken.’

11

Artikel 17 AVG, met als opschrift ‘Recht op gegevenswissing (‘recht op vergetelheid’)’, luidt:

‘1.

De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:

a)

de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;

b)

de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;

c)

de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;

d)

de persoonsgegevens zijn onrechtmatig verwerkt;

e)

de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

f)

de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.

2.

Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en overeenkomstig lid 1 verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, om verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen.

[…]’

12

Artikel 18 AVG (‘Recht op beperking van de verwerking’) bepaalt in lid 1:

‘De betrokkene heeft het recht van de verwerkingsverantwoordelijke de beperking van de verwerking te verkrijgen indien een van de volgende elementen van toepassing is:

a)

de juistheid van de persoonsgegevens wordt betwist door de betrokkene, gedurende een periode die de verwerkingsverantwoordelijke in staat stelt de juistheid van de persoonsgegevens te controleren;

b)

de verwerking is onrechtmatig en de betrokkene verzet zich tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan;

c)

de verwerkingsverantwoordelijke heeft de persoonsgegevens niet meer nodig voor de verwerkingsdoeleinden, maar de betrokkene heeft deze nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering;

d)

de betrokkene heeft overeenkomstig artikel 21, lid 1, bezwaar gemaakt tegen de verwerking, in afwachting van het antwoord op de vraag of de gerechtvaardigde gronden van de verwerkingsverantwoordelijke zwaarder wegen dan die van de betrokkene.’

13

Artikel 19 van die verordening luidt als volgt:

‘De verwerkingsverantwoordelijke stelt iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking overeenkomstig artikel 16, artikel 17, lid 1, en artikel 18, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoekt.’

14

Artikel 21 van diezelfde verordening (‘Recht van bezwaar’) luidt:

‘1.

De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

2.

Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing.

3.

Wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van direct marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt.

4.

Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven.

5.

In het kader van het gebruik van diensten van de informatiemaatschappij, en niettegenstaande richtlijn 2002/58/EG [van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB 2002, L 201, blz. 37)], mag de betrokkene zijn recht van bezwaar uitoefenen via geautomatiseerde procedés waarbij wordt gebruikgemaakt van technische specificaties.

6.

Wanneer persoonsgegevens overeenkomstig artikel 89, lid 1, met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt, heeft de betrokkene het recht om met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens, tenzij de verwerking noodzakelijk is voor de uitvoering van een taak van algemeen belang.’

15

Artikel 79 AVG (‘Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker’) bepaalt in lid 1:

‘Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet.’

16

Artikel 82 (‘Recht op schadevergoeding en aansprakelijkheid’) van die verordening vermeldt in lid 1 het volgende:

‘Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.’

Hoofdgeding en prejudiciële vraag

17

Op 15 januari 2019 heeft RW Österreichische Post verzocht om op grond van artikel 15 AVG inzage te verkrijgen van de hem betreffende persoonsgegevens die Österreichische Post opslaat dan wel in het verleden heeft opgeslagen, alsmede om hem informatie te verstrekken over wie de ontvangers daarvan waren, voor het geval dat deze gegevens aan derden zijn meegedeeld.

18

In antwoord op dit verzoek heeft Österreichische Post zich beperkt tot de mededeling dat zij — voor zover dat wettelijk is toegestaan — in het kader van haar activiteit als uitgever van telefoongidsen gebruikmaakt van persoonsgegevens en deze voor marketingdoeleinden aanbiedt aan zakelijke klanten. Afgezien daarvan heeft zij voor nadere informatie en met betrekking tot overige doeleinden van gegevensverwerking verwezen naar een website. Zij heeft RW niet meegedeeld wie de concrete ontvangers van de gegevens waren.

19

RW heeft Österreichische Post voor de Oostenrijkse rechterlijke instanties gedaagd en gevorderd dat zij wordt gelast hem onder meer de identiteit van de ontvanger(s) van zijn aldus meegedeelde persoonsgegevens te verstrekken.

20

In de loop van de aldus ingeleide procedure heeft Österreichische Post aan RW meegedeeld dat zij zijn persoonsgegevens voor marketingdoeleinden had verwerkt en deze had doorgegeven aan klanten, waaronder adverteerders die actief zijn in verzend- en fysieke handel, IT-bedrijven, adreshandelaars en verenigingen zoals charitatieve instellingen, niet-gouvernementele organisaties (ngo's) en politieke partijen.

21

De rechter in eerste aanleg en de appelrechter hebben de vordering van RW afgewezen op grond dat artikel 15, lid 1, onder c), AVG, voor zover het verwijst naar de ‘ontvangers of categorieën van ontvangers’, de verwerkingsverantwoordelijke de mogelijkheid biedt om aan de betrokkene alleen de categorieën van ontvangers aan te geven, zonder verplicht te zijn om de concrete ontvangers aan wie de persoonsgegevens worden meegedeeld, bij naam te noemen.

22

RW heeft beroep in Revision ingesteld bij het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk), de verwijzende rechter.

23

Deze rechter vraagt zich af hoe artikel 15, lid 1, onder c), AVG moet worden uitgelegd, aangezien uit de bewoordingen van deze bepaling niet duidelijk kan worden afgeleid of zij aan de betrokkene het recht verleent om inzage te krijgen van informatie over de concrete ontvangers aan wie de gegevens werden verstrekt, dan wel of de verwerkingsverantwoordelijke over een keuzevrijheid beschikt wat betreft de wijze waarop hij gevolg wenst te geven aan een verzoek om inzage van informatie over de ontvangers.

24

De verwijzende rechter merkt echter op dat de ratio legis van deze bepaling eerder pleit voor de uitlegging dat het de betrokken persoon zelf is die de keuze heeft om informatie over de categorieën van ontvangers dan wel de concrete ontvangers van zijn persoonsgegevens te vragen. Volgens die rechter zou elke andere uitlegging in aanzienlijke mate afbreuk doen aan de doeltreffendheid van de rechtsmiddelen waarover de betrokkene beschikt om zijn gegevens te beschermen. Indien de verwerkingsverantwoordelijken de keuze zouden hebben om aan de betrokkenen de concrete ontvangers dan wel alleen de categorieën van ontvangers mee te delen, valt immers te vrezen dat in de praktijk nagenoeg geen van hen de informatie over de concrete ontvangers zal verstrekken.

25

Anders dan artikel 13, lid 1, onder e), en artikel 14, lid 1, onder e), AVG, die de verwerkingsverantwoordelijke verplichten om de daarin bedoelde informatie te verstrekken, legt artikel 15, lid 1, van die verordening bovendien de nadruk op de reikwijdte van het recht van inzage van de betrokkene, hetgeen er volgens de verwijzende rechter eveneens op wijst dat de betrokkene het recht heeft om te kiezen tussen het opvragen van informatie over de concrete ontvangers dan wel over de categorieën van ontvangers.

26

Ten slotte voegt de verwijzende rechter daaraan toe dat het in artikel 15, lid 1, AVG bedoelde recht van inzage niet enkel betrekking heeft op persoonsgegevens die momenteel worden verwerkt, maar ook op in het verleden verwerkte gegevens. In dit verband preciseert diezelfde rechter dat de overwegingen in het arrest van 7 mei 2009, Rijkeboer (C-553/07, EU:C:2009:293) — die gebaseerd zijn op het doel van het recht van inzage zoals vastgelegd in richtlijn 95/46/EG —, kunnen worden toegepast op het in artikel 15 AVG bedoelde recht van inzage, temeer daar uit de overwegingen 9 en 10 AVG kan worden afgeleid dat de Uniewetgever niet de intentie had om het niveau van bescherming ten opzichte van die richtlijn te verlagen.

27

In die omstandigheden heeft het Oberste Gerichtshof besloten de behandeling van de zaak te schorsen en het Hof de volgende prejudiciële vraag te stellen:

‘Moet artikel 15, lid 1, onder c), [AVG] aldus worden uitgelegd dat het recht van inzage beperkt is tot categorieën van ontvangers indien bij de voorgenomen verstrekking van informatie de specifieke ontvangers daarvan nog niet vaststaan, maar dat recht zich noodzakelijkerwijs ook moet uitstrekken tot ontvangers van die informatie wanneer reeds gegevens zijn meegedeeld?’

Beantwoording van de prejudiciële vraag

28

Met zijn prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 15, lid 1, onder c), AVG aldus moet worden uitgelegd dat het in die bepaling bedoelde recht van de betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, meebrengt dat de verwerkingsverantwoordelijke, wanneer die gegevens aan ontvangers zijn of zullen worden verstrekt, verplicht is om aan de betrokkene de concrete identiteit van deze ontvangers mee te delen.

29

Vooraf zij eraan herinnerd dat volgens vaste rechtspraak bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met haar context en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt (arrest van 15 maart 2022, Autorité des marchés financiers, C-302/20, EU:C:2022:190, punt 63). Voorts moet, wanneer een bepaling van het Unierecht voor verschillende uitleggingen vatbaar is, de voorkeur worden gegeven aan de uitlegging die de nuttige werking van de bepaling verzekert (arrest van 7 maart 2018, Cristal Union, C-31/17, EU:C:2018:168, punt 41 en aldaar aangehaalde rechtspraak).

30

Wat om te beginnen de bewoordingen van artikel 15, lid 1, onder c), AVG betreft, moet eraan worden herinnerd dat de betrokkene volgens deze bepaling het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de informatie betreffende de ontvangers of categorieën van ontvangers aan wie die persoonsgegevens zijn of zullen worden verstrekt.

31

Dienaangaande zij opgemerkt dat de begrippen ‘ontvangers’ en ‘categorieën van ontvangers’ in deze bepaling na elkaar worden gebruikt, zonder dat daaruit een rangorde tussen het ene en het andere begrip kan worden afgeleid.

32

Derhalve moet worden vastgesteld dat op basis van de bewoordingen van artikel 15, lid 1, onder c), AVG niet eenduidig kan worden vastgesteld of de betrokkene, wanneer de hem betreffende persoonsgegevens zijn of zullen worden verstrekt, het recht heeft om in kennis te worden gesteld van de concrete identiteit van de ontvangers ervan.

33

Wat vervolgens de context van artikel 15, lid 1, onder c), AVG betreft, moet er in de eerste plaats aan worden herinnerd dat in overweging 63 van die verordening staat te lezen dat de betrokkene inzonderheid het recht dient te hebben, te weten en te worden meegedeeld wie de persoonsgegevens ontvangt, en dat daarin niet wordt verklaard dat dit recht beperkt kan worden tot louter de categorieën van ontvangers, zoals de advocaat-generaal in punt 23 van zijn conclusie heeft opgemerkt.

34

In de tweede plaats zij er voorts aan herinnerd dat, om het recht van inzage te eerbiedigen, elke verwerking van persoonsgegevens van natuurlijke personen in overeenstemming moet zijn met de in artikel 5 AVG vermelde beginselen (zie in die zin arrest van 16 januari 2019, Deutsche Post, C-496/17, EU:C:2019:26, punt 57).

35

Tot die beginselen behoort het transparantiebeginsel van artikel 5, lid 1, onder a), AVG, dat — zoals blijkt uit overweging 39 van deze verordening — impliceert dat de betrokkene beschikt over informatie over de wijze waarop zijn persoonsgegevens worden verwerkt en dat deze informatie gemakkelijk toegankelijk en begrijpelijk is.

36

In de derde plaats moet worden opgemerkt dat, zoals de advocaat-generaal in punt 21 van zijn conclusie heeft benadrukt, artikel 15 AVG — anders dan de artikelen 13 en 14 AVG, op grond waarvan de verwerkingsverantwoordelijke verplicht is om de betrokkene informatie te verstrekken over de categorieën van ontvangers of de concrete ontvangers van de hem betreffende persoonsgegevens, en dit zowel wanneer deze informatie bij de betrokkene wordt verzameld als wanneer dat niet het geval is — voorziet in een daadwerkelijk recht van inzage van de betrokkene, zodat deze laatste de keuze moet kunnen hebben om ofwel — indien mogelijk — informatie te verkrijgen over de specifieke ontvangers aan wie de gegevens zijn of zullen worden verstrekt, dan wel om informatie te verkrijgen over de categorieën van ontvangers.

37

In de vierde plaats heeft het Hof reeds geoordeeld dat de uitoefening van dit recht van inzage de betrokkene in staat moet stellen niet alleen na te gaan of de hem betreffende gegevens juist zijn, maar ook of deze rechtmatig worden verwerkt (zie naar analogie arresten van 17 juli 2014, YS e.a., C-141/12 en C-372/12, EU:C:2014:2081, punt 44, en 20 december 2017, Nowak, C-434/16, EU:C:2017:994, punt 57), met name of zij zijn meegedeeld aan bevoegde ontvangers (zie naar analogie arrest van 7 mei 2009, Rijkeboer, C-553/07, EU:C:2009:293, punt 49).

38

Dit recht van inzage is met name noodzakelijk om de betrokkene toe te laten in voorkomend geval een aantal rechten uit te oefenen, namelijk zijn recht op rectificatie van gegevens, op gegevenswissing (‘recht op vergetelheid’), en op beperking van de verwerking uit te oefenen, die hem respectievelijk door de artikelen 16, 17 en 18 AVG zijn toegekend (zie naar analogie arresten van 17 juli 2014, YS e.a., C-141/12 en C-372/12, EU:C:2014:2081, punt 44, en 20 december 2017, Nowak, C-434/16, EU:C:2017:994, punt 57), alsook zijn in artikel 21 AVG neergelegde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens en zijn in de artikelen 79 en 82 AVG neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt (zie naar analogie arrest van 7 mei 2009, Rijkeboer, C-553/07, EU:C:2009:293, punt 52).

39

Teneinde de nuttige werking te waarborgen van alle rechten die in het vorige punt van het onderhavige arrest zijn vermeld, dient de betrokkene in het bijzonder te beschikken over het recht om te weten wie de concrete ontvangers van zijn persoonsgegevens waren, wanneer deze gegevens reeds aan derden zijn meegedeeld.

40

Een dergelijke uitlegging wordt in de vijfde en laatste plaats bevestigd door de lezing van artikel 19 AVG, waarvan de eerste volzin bepaalt dat de verwerkingsverantwoordelijke in beginsel iedere ontvanger aan wie persoonsgegevens zijn meegedeeld, in kennis stelt van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking, en de tweede volzin bepaalt dat de verwerkingsverantwoordelijke de betrokkene informatie verstrekt over deze ontvangers indien hij daar om verzoekt.

41

Aldus verleent artikel 19, tweede volzin, AVG de betrokkene uitdrukkelijk het recht om door de verwerkingsverantwoordelijke te worden geïnformeerd over de concrete ontvangers van de hem betreffende gegevens, in het kader van de verplichting van deze laatste om alle ontvangers te informeren over de uitoefening van de rechten waarover deze persoon op grond van artikel 16, artikel 17, lid 1, en artikel 18 AVG beschikt.

42

Uit bovenstaande analyse van de context dat artikel 15, lid 1, onder c), AVG een van de bepalingen is waarmee wordt beoogd ten aanzien van de betrokkene de transparantie te waarborgen van de wijze waarop de persoonsgegevens worden verwerkt, en dat deze bepaling hem in staat stelt, zoals de advocaat-generaal in punt 33 van zijn conclusie heeft opgemerkt, de met name in de artikelen 16 tot en met 19, 21, 79 en 82 AVG neergelegde prerogatieven uit te oefenen.

43

Bijgevolg moet worden geoordeeld dat de informatie die aan de betrokkene wordt verstrekt op grond van het in artikel 15, lid 1, onder c), AVG neergelegde recht van inzage zo nauwkeurig mogelijk moet zijn. In het bijzonder houdt dit recht van inzage in dat de betrokkene van de verwerkingsverantwoordelijke informatie kan verkrijgen over de specifieke ontvangers aan wie de gegevens zijn of zullen worden verstrekt, dan wel ervoor kan kiezen om louter informatie betreffende de categorieën van ontvangers op te vragen.

44

Wat ten slotte het doel van de AVG betreft, zij eraan herinnerd dat deze verordening — zoals blijkt uit overweging 10 ervan —, met name een hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen (arrest van 6 oktober 2020, La Quadrature du Net e.a., C-511/18, C-512/18 en C-520/18, EU:C:2020:791, punt 207). Zoals de advocaat-generaal in punt 14 van zijn conclusie in wezen heeft opgemerkt, geeft het door de AVG gecreëerde algemene rechtskader in dat verband uitvoering aan de vereisten die voortvloeien uit het grondrecht op bescherming van persoonsgegevens dat wordt gewaarborgd door artikel 8 van het Handvest van de grondrechten van de Europese Unie, met name de vereisten die uitdrukkelijk zijn vastgelegd in lid 2 van dat artikel (zie in die zin arrest van 9 maart 2017, Manni, C-398/15, EU:C:2017:197, punt 40).

45

Deze doelstelling bevestigt de uitlegging van artikel 15, lid 1, AVG die in punt 43 van dit arrest is opgenomen.

46

Ook uit het door de AVG nagestreefde doel volgt dus dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke informatie te verkrijgen over de concrete ontvangers aan wie de hem betreffende persoonsgegevens zijn of zullen worden verstrekt.

47

Ten slotte moet er evenwel op worden gewezen dat, zoals blijkt uit overweging 4 AVG, het recht op bescherming van persoonsgegevens geen absoluut recht is. Dit recht moet immers worden beschouwd in relatie tot de functie ervan in de samenleving en moet overeenkomstig het evenredigheidsbeginsel worden afgewogen tegen andere grondrechten, zoals het Hof in wezen opnieuw heeft bevestigd in punt 172 van het arrest van 16 juli 2020, Facebook Ireland en Schrems (C-311/18, EU:C:2020:559).

48

Om die reden kan worden aangenomen dat het in specifieke omstandigheden niet mogelijk is om informatie te verstrekken over concrete ontvangers. Bijgevolg kan het recht van inzage worden beperkt tot informatie over de categorieën van ontvangers indien het onmogelijk is om informatie te verstrekken over wie de concrete ontvangers daarvan waren, in het bijzonder wanneer deze nog niet bekend zijn.

49

Voorts zij eraan herinnerd dat krachtens artikel 12, lid 5, onder b), AVG de verwerkingsverantwoordelijke overeenkomstig het in artikel 5, lid 2, van die verordening en in overweging 74 ervan bedoelde aansprakelijkheidsbeginsel kan weigeren gevolg te geven aan verzoeken van de betrokkene wanneer deze kennelijk ongegrond of buitensporig van aard zijn, met dien verstande dat de verwerkingsverantwoordelijke de kennelijk ongegronde of buitensporige aard van die verzoeken moet aantonen.

50

In casu blijkt uit het verzoek om een prejudiciële beslissing dat Österreichische Post het verzoek heeft afgewezen dat door RW op grond van artikel 15, lid 1, AVG werd ingediend om hem informatie te verstrekken over wie de ontvangers zijn aan wie zij de hem betreffende persoonsgegevens had verstrekt. Het staat aan de verwijzende rechter om na te gaan of Österreichische Post, gelet op de omstandigheden van het hoofdgeding, heeft aangetoond dat dit verzoek kennelijk ongegrond of buitensporig is.

51

Gelet op een en ander moet op de prejudiciële vraag worden geantwoord dat artikel 15, lid 1, onder c), AVG aldus moet worden uitgelegd dat het in die bepaling bedoelde recht van de betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, meebrengt dat de verwerkingsverantwoordelijke, wanneer die gegevens aan ontvangers zijn of zullen worden verstrekt, verplicht is om aan de betrokkene de identiteit van deze ontvangers mee te delen, tenzij het onmogelijk is om die ontvangers te identificeren of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12, lid 5, AVG, in welke gevallen de verwerkingsverantwoordelijke alleen de categorieën van de betreffende ontvangers hoeft mee te delen aan die betrokkene.

Kosten

52

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Eerste kamer) verklaart voor recht:

Artikel 15, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

moet aldus worden uitgelegd dat

het in die bepaling bedoelde recht van de betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, meebrengt dat de verwerkingsverantwoordelijke, wanneer die gegevens aan ontvangers zijn of zullen worden verstrekt, verplicht is om aan de betrokkene de identiteit van deze ontvangers mee te delen, tenzij het onmogelijk is om die ontvangers te identificeren of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12, lid 5, verordening 2016/679, in welke gevallen de verwerkingsverantwoordelijke alleen de categorieën van de betreffende ontvangers hoeft mee te delen aan die betrokkene.

ondertekeningen

Conclusie 09‑06‑2022

Inhoudsindicatie

Prejudiciële verwijzing — Bescherming van persoonsgegevens — Verordening (EU) 2016/679 — Artikel 15, lid 1, onder c) — Recht van inzage van de betrokkene — Informatie over de concrete ontvanger of de categorieën van ontvangers aan wie de gegevens zijn meegedeeld

G. pitruzzella

Partij(en)

Zaak C-154/211.

RW

tegen

Österreichische Post AG

[verzoek van het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk) om een prejudiciële beslissing]

1.

Wanneer een persoon wiens persoonsgegevens worden verwerkt, van de verwerkingsverantwoordelijke informatie wil ontvangen over de derden aan wie deze gegevens worden verstrekt, impliceert zijn recht van inzage dan noodzakelijkerwijs dat hij informatie ontvangt over de concrete ontvangers aan wie de hem betreffende persoonsgegevens worden meegedeeld of hoeft de verwerkingsverantwoordelijke alleen aanwijzingen te verstrekken over de categorieën van ontvangers daarvan?

2.

Dat is in wezen de vraag die in deze prejudiciële verwijzing aan het Hof wordt gesteld door de verwijzende rechter, het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk), betreffende de uitlegging van artikel 15, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming; hierna: ‘AVG’)2..

3.

De vraag van de verwijzende rechter is gerezen in het kader van een geding tussen RW, een natuurlijke persoon, en Österreichische Post AG, de grootste aanbieder van post- en logistieke diensten in Oostenrijk, die na een verzoek van RW om inzage van de hem betreffende persoonsgegevens aan RW geen informatie heeft verstrekt over de specifieke ontvangers aan wie zijn persoonsgegevens worden meegedeeld.

I. Toepasselijke bepalingen

4.

Artikel 15, lid 1, onder c), AVG, met als opschrift ‘Recht van inzage van de betrokkene’, bepaalt:

‘1.

De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

[…]

c)

de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

[…]’

II. Feiten, hoofdgeding en prejudiciële vraag

5.

Op 15 januari 2019 heeft RW, verzoeker voor de verwijzende rechter, onder verwijzing naar artikel 15 AVG, Österreichische Post verzocht om onder meer inzage te verkrijgen van de hem betreffende persoonsgegevens die Österreichische Post opslaat dan wel in het verleden heeft opgeslagen, alsmede om hem informatie te verstrekken over wie de ontvangers daarvan waren, voor het geval dat deze gegevens aan derden zijn meegedeeld.

6.

In haar antwoord heeft Österreichische Post meegedeeld dat zij, voor zover dat wettelijk is toegestaan, in het kader van haar activiteit als uitgever van telefoongidsen gebruikmaakt van gegevens en deze voor marketingdoeleinden aanbiedt aan zakelijke klanten. Vervolgens heeft zij verwezen naar een website waaruit algemene informatie over de doeleinden van de verwerking van de gegevens van RW kon worden afgeleid en die een link naar een andere website bevatte. Deze tweede website bevatte dan weer algemene informatie over gegevensbescherming en maakte het mogelijk om op algemene wijze een aantal categorieën van ontvangers vast te stellen aan wie Österreichische Post persoonsgegevens meedeelde. Op geen enkel ogenblik heeft Österreichische Post RW echter meegedeeld wie de specifieke ontvangers van de hem betreffende persoonsgegevens waren.

7.

RW heeft daarop in rechte gevorderd dat Österreichische Post wordt gelast om hem op grond van artikel 15 AVG meer informatie te verstrekken en hem mee te delen of de hem betreffende persoonsgegevens al dan niet aan derden zijn doorgegeven en, zo ja, aan welke specifieke ontvanger(s) zijn persoonsgegevens zijn verstrekt of nog zullen worden verstrekt. RW betoogt dat de door Österreichische Post verschafte informatie niet voldoet aan de wettelijke vereisten van artikel 15 AVG, omdat daaruit niet is gebleken of Österreichische Post persoonsgegevens van RW aan derden heeft doorgegeven en, in het geval dat er daadwerkelijk persoonsgegevens zijn doorgegeven, wie de specifieke ontvangers van die gegevens waren.

8.

De rechter in eerste aanleg en de appelrechter hebben de vordering van RW afgewezen. Zij waren in wezen van oordeel dat, aangezien artikel 15, lid 1, onder c), AVG verwijst naar ontvangers of categorieën van ontvangers, deze bepaling de verwerkingsverantwoordelijke de keuze laat om alleen de categorieën van ontvangers aan de betrokkene mee te delen, zonder dat hij verplicht is de specifieke ontvangers aan wie diens persoonsgegevens worden meegedeeld, bij naam te noemen.

9.

RW heeft zijn vorderingen gehandhaafd in het kader van het bij de verwijzende rechter ingestelde cassatieberoep.

10.

In de procedure voor de verwijzende rechter heeft Österreichische Post aan RW meegedeeld dat zij in het kader van haar activiteit als uitgever van telefoongidsen gegevens van RW voor marketingdoeleinden heeft verwerkt en deze gegevens heeft doorgegeven aan zakelijke klanten, waaronder adverteerders die actief zijn in online- en offlinehandel, IT-bedrijven, uitgevers van telefoongidsen en verenigingen zoals fondsenwervers, ngo's of politieke partijen. Zij heeft echter niet bekendgemaakt wie de specifieke ontvangers van de gegevens van RW waren.

11.

In die omstandigheden heeft de verwijzende rechter twijfels over de uitlegging van artikel 15 AVG door de feitenrechters en heeft hij derhalve besloten de behandeling van de zaak te schorsen en het Hof de volgende prejudiciële vraag te stellen:

‘Moet artikel 15, lid 1, onder c), [AVG] aldus worden uitgelegd dat het recht van inzage beperkt is tot categorieën van ontvangers indien bij de voorgenomen verstrekking van informatie de specifieke ontvangers daarvan nog niet vaststaan, maar dat recht zich noodzakelijkerwijs ook moet uitstrekken tot ontvangers van die informatie wanneer reeds gegevens zijn meegedeeld?’

III. Juridische analyse

12.

Met zijn prejudiciële vraag verzoekt de verwijzende rechter het Hof om uitlegging van artikel 15, lid 1, onder c), AVG wat betreft de reikwijdte van het in dat artikel vervatte recht van de betrokkene om van de verwerkingsverantwoordelijke informatie te ontvangen over de ontvangers of de categorieën van ontvangers aan wie zijn persoonsgegevens zijn of zullen worden verstrekt.

13.

De verwijzende rechter vraagt zich af of deze bepaling aldus moet worden uitgelegd dat de reikwijdte van dit recht van inzage van de betrokkene anders is naargelang de gegevens reeds zijn verstrekt — in welk geval dit recht zich moet uitstrekken tot de concrete ontvangers ervan — dan wel in de toekomst zullen worden verstrekt aan concrete ontvangers die nu nog niet vaststaan — in welk geval dit recht moet worden geacht zich te beperken tot informatie over categorieën van ontvangers.

14.

In dit verband moet om te beginnen worden opgemerkt dat artikel 15 AVG het recht van inzage van de betrokkene regelt, ten aanzien van de verwerkingsverantwoordelijke, van de hem betreffende persoonsgegevens die worden verwerkt, alsmede van diverse informatie over met name de verwerking zelf. Deze bepaling concretiseert en specificeert het recht van inzage van eenieder van de over hem verzamelde gegevens, zoals neergelegd in artikel 8, lid 2, tweede zin, van het Handvest van de grondrechten van de Europese Unie (hierna: ‘Handvest’).3.

15.

Meer in het bijzonder heeft de betrokkene overeenkomstig artikel 15, lid 1, AVG in de eerste plaats het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Wanneer er sprake is van verwerking, heeft de betrokkene het recht om inzage te verkrijgen van de verwerkte persoonsgegevens en van diverse informatie, die onder a) tot en met h) van die bepaling wordt genoemd. In dit verband heeft de betrokkene overeenkomstig artikel 15, lid 1, onder c), AVG het recht de informatie in te zien over de ‘ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties’.

16.

Om de prejudiciële vraag van de verwijzende rechter te beantwoorden, moet eerst artikel 15, lid 1, onder c), AVG worden uitgelegd teneinde de juiste reikwijdte te bepalen van het erin vervatte recht van de betrokkene om informatie te ontvangen over de ontvangers aan wie zijn persoonsgegevens worden meegedeeld.

17.

In dit verband zij eraan herinnerd dat volgens vaste rechtspraak bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met de context ervan en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt.4.

18.

Omdat de AVG een regeling treft in verband met de verwerking van persoonsgegevens die afbreuk kan doen aan de fundamentele vrijheden, en inzonderheid aan het recht op eerbiediging van het privéleven, moet zij bovendien noodzakelijkerwijs worden uitgelegd op basis van de grondrechten die door het Handvest worden gewaarborgd.5.

19.

Uit vaste rechtspraak blijkt ook dat wanneer een bepaling van het Unierecht voor verschillende uitleggingen vatbaar is, de voorkeur moet worden gegeven aan de uitlegging die de nuttige werking van de bepaling verzekert.6.

20.

Zoals de verwijzende rechter en meerdere interveniërende partijen voor het Hof hebben opgemerkt, kan om te beginnen op basis van de bewoordingen van artikel 15, lid 1, onder c), AVG geen sluitend antwoord worden gegeven op de vraag of het daarin vervatte recht van inzage van de betrokkene noodzakelijkerwijs moet worden geacht ook inzage te omvatten van informatie over specifieke ontvangers aan wie persoonsgegevens worden meegedeeld dan wel kan worden beperkt tot inzage van informatie over de categorieën van ontvangers. In deze bepaling worden de begrippen ‘ontvangers’ en ‘categorieën van ontvangers’ namelijk op neutrale wijze na elkaar gebruikt zonder dat daaruit een rangorde kan worden afgeleid. Bovendien vermeldt deze bepaling evenmin uitdrukkelijk of een keuze kan worden gemaakt tussen de twee mogelijke categorieën van informatie (te weten ‘ontvangers’ of ‘categorieën van ontvangers’), en wie (te weten de betrokkene of de verwerkingsverantwoordelijke) eventueel mag kiezen van welk soort informatie inzage moet worden verleend.

21.

Zoals de verwijzende rechter eveneens heeft opgemerkt, zorgt de opzet van artikel 15, lid 1, AVG er mijns inziens voor dat de voorkeur moet uitgaan naar een uitlegging van dat artikel in die zin dat het aan de betrokkene staat om de keuze te maken tussen de twee daarin voorziene mogelijkheden (en dus niet aan de verwerkingsverantwoordelijke zoals in casu door de twee nationale feitenrechters is geoordeeld). Anders dan andere bepalingen van de AVG, zoals de artikelen 13 en 147., die zo zijn gestructureerd dat zij voorzien in een informatieplicht van de verwerkingsverantwoordelijke, voorziet deze bepaling in een daadwerkelijk recht van inzage van de betrokkene. De uitoefening van dit recht van inzage door de betrokkene veronderstelt logischerwijs dat de houder van dit recht kan kiezen of hij inzage wil verkrijgen van informatie betreffende, indien mogelijk, de specifieke ontvangers aan wie de gegevens zijn of zullen worden verstrekt, dan wel of hij louter informatie betreffende de categorieën ontvangers wil opvragen.

22.

Een uitlegging van artikel 15, lid 1, onder c), AVG in die zin dat het voorziet in het recht van de betrokkene om indien mogelijk inzage te vragen van informatie over de specifieke ontvangers aan wie zijn persoonsgegevens worden meegedeeld, wordt overigens zowel bevestigd door een analyse van de context van die bepaling als door het oogmerk ervan in het licht van de doelstellingen en de algemene opzet van de AVG.

23.

In dit verband merk ik in de eerste plaats op dat in overweging 63 van de AVG uitdrukkelijk is vermeld dat de betrokkene ‘het recht [dient] te hebben, te weten en te worden meegedeeld […] wie de persoonsgegevens ontvangt’. Deze overweging, in het licht waarvan de betrokken bepaling moet worden uitgelegd, verwijst naar het recht van de betrokkene om inzage te verkrijgen van de specifieke ontvangers aan wie zijn persoonsgegevens worden meegedeeld en vermeldt geenszins dat dit recht naar goeddunken van de verwerkingsverantwoordelijke kan worden beperkt tot louter de categorieën van ontvangers.

24.

Bovendien blijkt uitdrukkelijk uit de rechtspraak dat de AVG, zoals blijkt uit overweging 10 ervan, met name een hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen en daartoe een coherente en homogene toepassing van de regels inzake bescherming van de grondrechten van deze personen in verband met de verwerking van persoonsgegevens binnen de gehele Unie wil verzekeren.8.

25.

Hiertoe moet elke verwerking van persoonsgegevens in overeenstemming zijn met de in artikel 5 van die verordening geformuleerde beginselen.9. In het bijzonder blijkt uit artikel 5, lid 1, onder a), AVG dat de persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene transparant is.10. In die context vormt artikel 15 AVG, dat het recht van inzage van de betrokkene regelt, een fundamentele bepaling om te waarborgen dat de wijze waarop de gegevens worden verwerkt, transparant is voor de betrokkenen.

26.

Zoals blijkt uit overweging 63 van de AVG11., heeft dit recht van inzage in de eerste plaats tot doel de betrokkene in staat te stellen zich van de verwerking van zijn gegevens op de hoogte te stellen en de rechtmatigheid ervan te controleren12.. Door dit recht van inzage uit te oefenen moet de betrokkene met name kunnen controleren dat de hem betreffende gegevens juist zijn, maar ook dat zij worden verstrekt aan gemachtigde ontvangers.13. Dit veronderstelt in beginsel dat zo nauwkeurig mogelijke aanwijzingen worden verstrekt.

27.

In dat verband ben ik het met de Commissie eens dat wanneer de specifieke ontvangers niet onder het in artikel 15, lid 1, onder c), AVG vervatte recht van inzage van de betrokkene zouden vallen en dit recht zou worden beperkt tot louter de categorieën van ontvangers, het voor de betrokkene onmogelijk zou zijn de rechtmatigheid van de verwerking door de verwerkingsverantwoordelijke volledig te controleren en in het bijzonder om de rechtmatigheid van de reeds verrichte mededelingen van persoonsgegevens te controleren. Bij een dergelijke uitlegging van de betrokken bepaling zou de betrokkene niet kunnen nagaan of zijn gegevens alleen aan gemachtigde ontvangers zijn verstrekt, wat in strijd is met de in het vorige punt gestelde eisen.

28.

In de tweede plaats en in verband met het eerste doeleinde, is dit recht van inzage noodzakelijk, zoals het Hof reeds heeft opgemerkt, opdat de betrokkene zijn rechten op rectificatie van gegevens, op gegevenswissing (‘recht op vergetelheid’) en op beperking van de verwerking kan uitoefenen, die hem respectievelijk door de artikelen 16, 17 en 18 AVG worden verleend.14. Het Hof heeft eveneens verduidelijkt dat dit recht van inzage ook noodzakelijk is om de betrokkene de mogelijkheid te bieden tot uitoefening van het in artikel 21 AVG bedoelde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens of van het in de artikelen 79 en 82 AVG neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt, en om schadevergoeding te ontvangen.15.

29.

Een uitlegging van de betrokken bepaling waarbij het voor de betrokkene onmogelijk is om informatie te verkrijgen over de specifieke ontvangers aan wie zijn persoonsgegevens worden meegedeeld, zou tot gevolg hebben dat de betrokkene ten aanzien van die ontvangers, aangezien hij niet weet wie zij zijn, de aan hem door de bovengenoemde bepalingen van de AVG verleende rechten niet kan uitoefenen of dat het onevenredig veel inspanning vergt om deze uit te oefenen.16. Bij een dergelijke uitlegging is de nuttige werking van de bovengenoemde bepalingen en de rechten die erin worden verleend, dus niet verzekerd.

30.

Vanuit contextueel oogpunt wordt de bovengenoemde uitlegging van artikel 15, lid 1, onder c), AVG bovendien ook bevestigd door artikel 19 van diezelfde verordening. Volgens dat laatste artikel stelt de ‘verwerkingsverantwoordelijke […] iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking overeenkomstig artikel 16, artikel 17, lid 1, en artikel 18, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt’.

31.

Artikel 19 AVG verplicht de verwerkingsverantwoordelijke dus om alle ontvangers aan wie hij persoonsgegevens heeft verstrekt, in kennis te stellen van elk verzoek om rectificatie, wissing of beperking van de verwerking van die gegevens waaraan hij gevolg moet geven. De aldus in kennis gestelde ontvangers zijn dus verplicht onmiddellijk over te gaan tot rectificatie, wissing of beperking van de verwerking, voor zover zij de desbetreffende gegevens nog verwerken. Ter verwezenlijking van de in punt 24 genoemde doelstelling om een hoog niveau van bescherming te waarborgen, beoogt artikel 19 AVG in die zin de betrokkene — nadat hij op grond van artikel 15, lid 1, onder c), AVG om informatie heeft verzocht — te bevrijden van de last om ook aan alle betrokken ontvangers overeenkomstige verzoeken tot rectificatie, wissing of beperking van de verwerking te moeten sturen. De betrokkene moet echter wel kunnen nagaan of de rectificatie, wissing of beperking daadwerkelijk heeft plaatsgevonden na de kennisgeving ervan door de verwerkingsverantwoordelijke. In die optiek moet de verwerkingsverantwoordelijke dus op grond van artikel 19 AVG aan de betrokkene informatie verstrekken over deze ontvangers indien de betrokkene daarom verzoekt.

32.

Artikel 19 AVG bevestigt dat de AVG, teneinde de nuttige werking van de in de artikelen 16, 17 en 18 AVG vervatte rechten van de betrokkene op wissing, rectificatie of beperking van de verwerking te verzekeren, de betrokkene in beginsel recht moet hebben op bekendmaking van de identiteit van de specifieke ontvangers wanneer zijn persoonsgegevens reeds zijn meegedeeld. Alleen op die manier kan de betrokkene namelijk zijn rechten jegens hen doen gelden.

33.

Uit het voorgaande volgt dat het in artikel 15, lid 1, onder c), AVG neergelegde recht van inzage een functionele en instrumentele rol speelt bij de uitoefening van andere voorrechten van de betrokkene uit hoofde van de AVG. Hieruit volgt dat deze bepaling, om de nuttige werking van alle bovengenoemde bepalingen van de AVG te verzekeren, aldus moet worden uitgelegd dat het in die bepaling bedoelde recht van inzage in beginsel noodzakelijkerwijs betrekking moet hebben op de mogelijkheid om van de verwerkingsverantwoordelijke informatie te ontvangen over de specifieke ontvangers aan wie de persoonsgegevens van de betrokkene worden meegedeeld.

34.

De uitbreiding van het in artikel 15, lid 1, onder c), AVG bedoelde recht van inzage tot de specifieke ontvangers van die gegevens stuit mijns inziens echter in ten minste twee gevallen op grenzen.

35.

Ten eerste kan in gevallen waarin het materieel onmogelijk is om informatie te verstrekken over de specifieke ontvangers, bijvoorbeeld omdat nog niet vaststaat om wie het gaat, uiteraard niet van de verwerkingsverantwoordelijke worden verwacht dat hij informatie verstrekt die nog niet bestaat. In dat geval, dat uitdrukkelijk in het verzoek om een prejudiciële beslissing is vermeld, kan het recht van inzage van de betrokkene dus alleen betrekking hebben op de categorieën van ontvangers.

36.

Ten tweede moeten, zoals de Italiaanse regering heeft opgemerkt, de uitoefening van het recht van inzage van de betrokkene en de nakoming van de overeenkomstige verplichting door de verwerkingsverantwoordelijke worden beschouwd in het licht van de beginselen van billijkheid en evenredigheid.

37.

In dit verband zij eraan herinnerd dat, zoals blijkt uit de rechtspraak van het Hof, de in de artikelen 7 en 8 van het Handvest verankerde rechten geen absolute gelding hebben, maar dat zij moeten worden beschouwd in relatie tot hun functie in de samenleving.17.

38.

In deze context blijkt uitdrukkelijk uit artikel 12, lid 5, dat ook uitdrukkelijk van toepassing is op de bepaling waarop de prejudiciële vraag betrekking heeft, dat de verzoeken van de betrokkene niet kennelijk ongegrond of buitensporig mogen zijn en dat, indien dat wel het geval is, de verwerkingsverantwoordelijke ook kan weigeren om gevolg te geven aan het verzoek. Uit dezelfde bepaling blijkt overigens dat het ‘aan de verwerkingsverantwoordelijke [is] om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen’.

39.

Daarnaast heeft het Hof reeds verduidelijkt dat moet worden gezocht naar een juist evenwicht tussen, enerzijds, het belang van de betrokkene bij de bescherming van zijn persoonlijke levenssfeer, met name door uitoefening van de in hoofdstuk III van de AVG neergelegde rechten en de mogelijkheden om zich tot de rechter te wenden, en, anderzijds, de last die de verplichting inhoudt voor de verwerkingsverantwoordelijke.18. Bij het zoeken naar dit juiste evenwicht blijkt een groter gewicht te worden toegekend aan de bescherming van de persoonsgegevens en de persoonlijke levenssfeer van de betrokkene, zoals blijkt uit het feit dat de verwerkingsverantwoordelijke de kennelijk ongegronde of buitensporige aard van het verzoek om inzage van de betrokkene moet aantonen alvorens hij kan weigeren om er gevolg aan te geven.

IV. Conclusie

40.

Gelet op het voorgaande geef ik het Hof in overweging de prejudiciële vraag van het Oberste Gerichtshof te beantwoorden als volgt:

‘Artikel 15, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moet aldus worden uitgelegd dat het daarin geregelde recht van inzage van de betrokkene, indien hij daarom verzoekt, zich noodzakelijkerwijs moet uitstrekken tot de vermelding van de specifieke ontvangers aan wie zijn persoonsgegevens worden verstrekt. Alleen wanneer het materieel onmogelijk is om de specifieke ontvangers te identificeren aan wie de persoonsgegevens van de betrokkene worden verstrekt, of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12, lid 5, van verordening (EU) 2016/679 kan dit recht van inzage worden beperkt tot de vermelding van de categorieën van ontvangers.’

Deze functie is alleen te gebruiken als je bent ingelogd.