HvJ EU, 07-05-2009, nr. C-553/07

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 12, sub a, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31; hierna: ‘richtlijn’).

Dit verzoek is ingediend in het kader van een geding tussen Rijkeboer en het College van burgemeester en wethouders van Rotterdam (hierna: ‘College’) over de gedeeltelijke weigering van dit College om hem toegang te verlenen tot informatie over de verstrekking van zijn persoonsgegevens aan derden in de twee jaar voorafgaand aan zijn verzoek om informatie.

Bij brief van 26 oktober 2005 verzocht Rijkeboer het College om opgave van alle verstrekkingen van hem betreffende informatie uit de gemeentelijke basisadministratie aan derden in de twee jaren voorafgaand aan zijn verzoek. Hij wenste te vernemen aan wie informatie was verstrekt en welke informatie daarbij was meegedeeld. Rijkeboer, die naar een andere gemeente was verhuisd, wenste in het bijzonder te vernemen aan wie zijn vroegere adres was meegedeeld.

Bij besluiten van 27 oktober en 29 november 2005 wees het College dit verzoek slechts gedeeltelijk toe door hem overeenkomstig artikel 103, lid 1, Wet GBA slechts informatie te verstrekken over de periode van één jaar voorafgaand aan zijn verzoek.

Verstrekking van gegevens vindt plaats volgens het ‘Logisch Ontwerp GBA’. Het gaat hierbij om een geautomatiseerd systeem, dat is opgezet door het ministerie van Binnenlandse Zaken en Koninkrijkrelaties. Uit het verzoek om een prejudiciële beslissing blijkt dat de door Rijkeboer opgevraagde gegevens die ouder waren dan één jaar voorafgaand aan zijn verzoek, automatisch waren verwijderd, wat in overeenstemming zou zijn met artikel 110 Wet GBA.

Rijkeboer maakte bij het College bezwaar tegen de weigering om hem informatie te verstrekken over de ontvangers van hem betreffende gegevens in de periode vóór het jaar voorafgaand aan zijn verzoek. Aangezien dit bezwaar bij besluit van 13 februari 2006 werd afgewezen, stelde Rijkeboer beroep in bij de Rechtbank Rotterdam.

De Rechtbank wees dat beroep toe op grond dat de beperking van het recht om in kennis te worden gesteld van de aan de ontvangers meegedeelde gegevens tot één jaar voorafgaand aan het verzoek, zoals vastgesteld in artikel 103, lid 1, Wet GBA, niet verenigbaar is met artikel 12 van de richtlijn. De Rechtbank oordeelde voorts dat de in artikel 13 van deze richtlijn bedoelde uitzonderingen niet van toepassing zijn.

Het College heeft tegen deze uitspraak hoger beroep ingesteld bij de Raad van State. Die stelt vast dat in artikel 12 van de richtlijn, betreffende het recht op toegang tot de gegevens, geen termijn wordt gesteld waarbinnen dit recht moet kunnen worden uitgeoefend. Volgens de Raad van State verbiedt dit artikel de nationale wetgever evenwel niet noodzakelijkerwijs, het recht van de betrokkene om te worden geïnformeerd over de ontvangers van zijn persoonsgegevens, in de tijd te beperken, maar hij is daar niet zeker van.

Daarop heeft de Raad van State de behandeling van de zaak geschorst en het Hof de volgende prejudiciële vraag gesteld:

Vooraf zij eraan herinnerd dat het in het kader van het bij artikel 234 EG ingevoerde stelsel van rechterlijke samenwerking aan het Hof staat, de bepalingen van gemeenschapsrecht uit te leggen. Wat de nationale voorschriften betreft, de uitlegging daarvan is een zaak van de nationale rechter (zie arrest van 14 februari 2008, Gysen, C-449/06, Jurispr. blz. I-553, punt 17).

Derhalve moet de vraag van de verwijzende rechter aldus worden begrepen dat die erop gericht is, uit te maken of ingevolge de richtlijn, met name artikel 12, sub a, ervan, het recht van een persoon op toegang tot informatie over de ontvangers of de categorieën ontvangers van hem betreffende persoonsgegevens en over de inhoud van de meegedeelde gegevens kan worden beperkt tot de periode van één jaar voorafgaand aan zijn verzoek om toegang.

De verwijzende rechter vestigt de aandacht op twee bepalingen van de richtlijn, te weten artikel 6, lid 1, sub e, betreffende de bewaring van persoonsgegevens, en artikel 12, sub a, betreffende het recht op toegang tot die gegevens. Daarentegen beroepen de verwijzende rechter noch de partijen die opmerkingen bij het Hof hebben ingediend, zich op de in artikel 13 van de richtlijn neergelegde uitzonderingen.

Artikel 6 van de richtlijn ziet op de kwaliteit van de gegevens. Ingevolge lid 1, sub e, daarvan moeten de lidstaten bepalen dat persoonsgegevens niet langer worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is. De gegevens moeten dus worden uitgewist wanneer deze doeleinden zijn bereikt.

Artikel 12, sub a, van de richtlijn bepaalt dat de lidstaten de betrokkene een recht op toegang verlenen tot zijn persoonsgegevens en tot de informatie over de ontvangers en de categorieën ontvangers van die gegevens, zonder daarbij een termijn te vermelden.

Deze twee artikelen strekken dus tot bescherming van de betrokkene. De verwijzende rechter wenst te vernemen of er tussen deze twee artikelen een verband bestaat in die zin dat het recht op toegang tot informatie over de ontvangers of de categorieën ontvangers van persoonsgegevens en over de inhoud van de verstrekte gegevens kan afhangen van de bewaringstermijn voor die gegevens.

De bij het Hof ingediende opmerkingen onthullen uiteenlopende opvattingen over de wisselwerking tussen die twee bepalingen.

Het College, de Nederlandse, de Tsjechische en de Spaanse regering alsmede de regering van het Verenigd Koninkrijk stellen dat het in artikel 12, sub a, van de richtlijn bedoelde recht op toegang tot informatie over de ontvangers of de categorieën ontvangers slechts bestaat voor het heden en niet voor het verleden. Aangezien de gegevens conform de nationale regeling zijn verwijderd, kan de betrokkene er geen toegang meer toe hebben. Dit gevolg is niet in strijd met de richtlijn.

Het College en de Nederlandse regering betogen dat artikel 103, lid 1, Wet GBA, volgens hetwelk de gemeente de betrokkene op diens verzoek meedeelt of hem betreffende gegevens in het jaar voorafgaand aan zijn verzoek aan ontvangers zijn verstrekt, verder gaat dan de richtlijn verlangt.

De Commissie en de Griekse regering voeren van hun kant aan dat de richtlijn niet alleen in een recht op toegang voorziet voor het heden maar ook voor de periode voorafgaand aan het verzoek om toegang. Hun standpunten wijken onderling evenwel af met betrekking tot de juiste duur van dit recht op toegang.

Om de omvang van het recht op toegang dat de richtlijn mogelijk moet maken, te kunnen beoordelen, moet eerst worden uitgemaakt op welke gegevens het recht op toegang betrekking heeft, en daarna worden ingegaan op het doel van artikel 12, sub a, van de richtlijn gezien tegen de achtergrond van de doelstellingen daarvan.

In een geval als dat van Rijkeboer zijn twee categorieën gegevens in het spel.

De eerste categorie betreft privégegevens die de gemeente over een persoon bezit, zoals diens naam en adres, welke in casu basisgegevens zijn. Uit de mondelinge opmerkingen van het College en de Nederlandse regering blijkt dat die gegevens gedurende lange tijd kunnen worden bewaard. Het zijn ‘persoonsgegevens’ in de zin van artikel 2, sub a, van de richtlijn, aangezien het gaat om informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon (zie in die zin arresten van 20 mei 2003, Österreichischer Rundfunk e.a., C-465/00, C-138/01 en C-139/01, Jurispr. blz. I-4989, punt 64; 6 november 2003, Lindqvist, C-101/01, Jurispr. blz. I-12971, punt 24, en 16 december 2008, Huber, C-524/06, nog niet gepubliceerd in de Jurisprudentie, punt 43).

De tweede categorie betreft informatie over de ontvangers of de categorieën ontvangers van deze basisgegevens alsmede over de inhoud van deze gegevens, en heeft dus betrekking op de verwerking van de basisgegevens. Overeenkomstig de in het hoofdgeding aan de orde zijnde nationale wettelijke regeling wordt deze informatie slechts gedurende één jaar bewaard.

De beperking in de tijd van het recht op toegang tot informatie over de ontvanger of ontvangers van de persoonsgegevens en over de inhoud van de verstrekte gegevens, waar het hoofdgeding op doelt, betreft dus deze tweede categorie gegevens.

Om uit te maken of artikel 12, sub a, van de richtlijn een dergelijke beperking in de tijd al dan niet toestaat, moet dit artikel worden uitgelegd in het licht van de strekking ervan gezien tegen de achtergrond van de doelstellingen van de richtlijn.

Volgens artikel 1 ervan beoogt de richtlijn in verband met de verwerking van persoonsgegevens de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid hun persoonlijke levenssfeer, te beschermen en zo het vrije verkeer van deze gegevens tussen de lidstaten mogelijk te maken.

Het belang van de bescherming van de persoonlijke levenssfeer wordt onder de aandacht gebracht in de punten 2 en 10 van de considerans van de richtlijn en benadrukt in de rechtspraak van het Hof (zie in die zin reeds aangehaalde arresten Österreichischer Rundfunk e.a., punt 70, en Lindqvist, punten 97 en 99, alsmede arresten van 29 januari 2008, Promusicae, C-275/06, Jurispr. blz. I-271, punt 63, en 16 december 2008, Satakunnan Markkinapörssi en Satamedia, C-73/07, nog niet gepubliceerd in de Jurisprudentie, punt 52).

Zoals voortvloeit uit punt 25 van de considerans van de richtlijn, moeten voorts de beginselen van deze bescherming enerzijds tot uiting komen in de verplichtingen die aan de personen die de verwerkingen uitvoeren, worden opgelegd, verplichtingen die met name betrekking hebben op de kwaliteit van de gegevens — welke het voorwerp is van artikel 6 van de richtlijn —, en anderzijds in het feit dat aan personen wier gegevens het voorwerp van verwerkingen zijn, het recht wordt verleend om daarvan in kennis te worden gesteld, tot die gegevens toegang te krijgen, de rectificatie ervan te verlangen en zelfs om zich in bepaalde omstandigheden tegen verwerking te verzetten.

Dit recht op eerbiediging van de persoonlijke levenssfeer impliceert dat de betrokkene zich ervan kan vergewissen dat zijn persoonsgegevens juist en rechtmatig worden verwerkt, dat wil met name zeggen dat de hem betreffende basisgegevens juist zijn en dat zij worden verstrekt aan gemachtigde ontvangers. Zoals in punt 41 van de considerans van de richtlijn wordt uiteengezet, moet de betrokkene over het recht beschikken om toegang te verkrijgen tot de gegevens die het voorwerp van een verwerking vormen en hemzelf betreffen, zodat hij de nodige controles kan verrichten.

In dit verband voorziet artikel 12, sub a, van de richtlijn in een recht op toegang tot de basisgegevens en tot de informatie over de ontvangers of de categorieën ontvangers van die gegevens.

Dit recht op toegang is noodzakelijk opdat de betrokkene de in artikel 12, sub b en c, van de richtlijn bedoelde rechten kan uitoefenen, te weten, in het geval dat zijn gegevens niet conform de richtlijn zijn verwerkt, het recht om van de voor de verwerking verantwoordelijke gedaan te krijgen dat deze zijn gegevens rectificeert, uitwist of afschermt (sub b), of derden aan wie de gegevens zijn meegedeeld, van die rectificatie, uitwissing of afscherming in kennis stelt, tenzij zulks onmogelijk blijkt of onevenredig veel moeite kost (sub c).

Dit recht op toegang is ook noodzakelijk om de betrokkene de mogelijkheid te bieden tot uitoefening van het in artikel 14 van de richtlijn bedoelde recht om zich tegen de verwerking van zijn persoonsgegevens te verzetten of van het in de artikelen 22 en 23 daarvan neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt.

Met betrekking tot het recht op toegang tot informatie over de ontvangers of de categorieën ontvangers van de basisgegevens en over de inhoud van de verstrekte gegevens, preciseert de richtlijn niet of dit recht geldt voor het verleden, en evenmin in voorkomend geval, voor welke periode in het verleden.

Dienaangaande zij vastgesteld dat om de nuttige werking van de in de punten 51 en 52 van dit arrest genoemde bepalingen te waarborgen, dit recht noodzakelijkerwijs voor het verleden moet gelden. Anders zou de betrokkene zijn recht om gegevens waarvan hij vermoedt dat zij onrechtmatig of onjuist zijn, te laten rectificeren, uitwissen of afschermen, en om zich met het oog op vergoeding van de geleden schade tot de rechter te wenden, niet doeltreffend kunnen uitoefenen.

De vraag rijst hoever dit recht zich in het verleden uitstrekt.

Het Hof heeft al geoordeeld dat de bepalingen van de richtlijn betrekkelijk algemeen zijn, aangezien zij voor een groot aantal zeer uiteenlopende situaties moet gelden, en dat de richtlijn regels bevat die door een zekere soepelheid worden gekenmerkt en het in tal van gevallen aan de lidstaten overlaat, de bijzonderheden te regelen of een keuze uit verschillende mogelijkheden te maken (zie arrest Lindqvist, reeds aangehaald, punt 83). Het Hof heeft dus erkend dat de lidstaten bij de uitvoering van de richtlijn in velerlei opzichten over manoeuvreerruimte beschikten (zie arrest Lindqvist, reeds aangehaald, punt 84). Deze manoeuvreerruimte, die met betrekking tot de uitvoering van artikel 12, sub a, van de richtlijn blijkt te bestaan, is evenwel niet onbeperkt.

De vaststelling van een termijn in verband met het recht op toegang tot informatie over de ontvangers of de categorieën ontvangers en over de inhoud van de verstrekte gegevens moet de betrokkene in staat stellen om de verschillende bij de richtlijn voorziene en in de punten 51 en 52 van het onderhavige arrest weergegeven rechten uit te oefenen.

Zonder daarom doorslaggevend te zijn, kan de bewaringsduur van de basisgegevens een nuttige parameter vormen.

De werkingssfeer van de richtlijn is namelijk zeer ruim, zoals het Hof reeds heeft erkend (zie reeds aangehaalde arresten Österreichischer Rundfunk e.a., punt 43, en Lindqvist, punt 88), en de daarin bedoelde persoonsgegevens zijn van uiteenlopende aard. De bewaringsduur van die gegevens, die volgens artikel 6, lid 1, sub e, van de richtlijn afhankelijk is van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, kan dus variëren. Wanneer de bewaringstermijn voor de basisgegevens zeer lang is, kan het belang van de betrokkene om gebruik te maken van de in punt 57 van het onderhavige arrest genoemde mogelijkheden om de voor de verwerking verantwoordelijke in te schakelen en zich tot de rechter te wenden, in een aantal gevallen afnemen. Wanneer bijvoorbeeld dergelijke gegevens aan een groot aantal ontvangers worden verstrekt of zeer frequent aan een kleiner aantal ontvangers worden meegedeeld, kan de verplichting om informatie over de ontvangers of de categorieën ontvangers en over de inhoud van de verstrekte gegevens gedurende een zo lange tijd te bewaren, een buitensporige last vormen voor de voor de verwerking verantwoordelijke.

De richtlijn verlangt evenwel niet dat de lidstaten de voor de verwerking verantwoordelijke dergelijke lasten opleggen.

Zo wordt in artikel 12, sub c, van de richtlijn een uitdrukkelijk voorbehoud gemaakt bij de verplichting van die verantwoordelijke om derden aan wie de gegevens zijn meegedeeld, in kennis te stellen van elke rectificatie, uitwissing of afscherming, namelijk wanneer zulks onmogelijk blijkt of onevenredig veel moeite kost.

Ook volgens andere passages van de richtlijn kan rekening worden gehouden met het onevenredige karakter van een aantal maatregelen. Met betrekking tot de verplichting tot informatieverstrekking aan de betrokkene heet het in punt 40 van de considerans van de richtlijn dat hierbij in aanmerking mag worden genomen om hoeveel betrokkenen het gaat en hoe oud de gegevens zijn. Ingevolge artikel 17 van de richtlijn, dat betrekking heeft op de beveiliging van de verwerking, bepalen de lidstaten verder dat de voor de verwerking verantwoordelijke technische en organisatorische maatregelen ten uitvoer dient te leggen die, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau garanderen gelet op de risico's die de verwerking en de aard van te beschermen gegevens met zich brengen.

Soortgelijke overwegingen zijn ook relevant wanneer het gaat om de vaststelling van een termijn voor het recht op toegang tot informatie over de ontvangers of de categorieën ontvangers en over de inhoud van de verstrekte gegevens. Behalve de in punt 57 van het onderhavige arrest aangevoerde overwegingen, kunnen de lidstaten dus nog andere parameters in aanmerking nemen, met name de nationaalrechtelijke bepalingen inzake de termijn voor het instellen van een vordering, het meer of minder gevoelige karakter van de basisgegevens, de bewaringsduur van deze gegevens en het aantal betrokken ontvangers.

Het staat bijgevolg aan de lidstaten, met betrekking tot informatie over de ontvangers of de categorieën ontvangers en over de inhoud van de verstrekte gegevens, een termijn vast te stellen voor de bewaring daarvan en te voorzien in een toegang daartoe die een juist evenwicht vormen tussen, enerzijds, het belang van de betrokkene bij de bescherming van zijn persoonlijke levenssfeer, met name door uitoefening van het recht op rectificatie, uitwissing en afscherming van de gegevens wanneer die niet conform de richtlijn zijn verwerkt, alsmede van het recht om verzet aan te tekenen en om zich tot de rechter te wenden, en, anderzijds, de last die de verplichting tot bewaring van deze informatie inhoudt voor de voor de verwerking verantwoordelijke.

Bij de vaststelling van die termijn moet voorts ook rekening worden gehouden met de uit artikel 6, sub e, van de richtlijn voortvloeiende verplichting om te bepalen dat persoonsgegevens in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is.

In het onderhavige geval vormt een regeling waarbij informatie over de ontvangers of de categorieën ontvangers van de gegevens en over de inhoud van de verstrekte gegevens slechts één jaar wordt bewaard en de toegang tot die informatie dienovereenkomstig wordt beperkt, terwijl de basisgegevens veel langer worden bewaard, geen juist evenwicht tussen het belang en de verplichting in kwestie, tenzij wordt aangetoond dat een langere bewaring van deze informatie een buitensporige last zou vormen voor de voor de verwerking verantwoordelijke. Het staat evenwel aan de nationale rechter, in het licht van de in de vorige punten uiteengezette overwegingen de nodige controles te verrichten.

Gelet op het voorgaande, kan het argument van een aantal lidstaten niet worden aanvaard dat de toepassing van de artikelen 10 en 11 van de richtlijn de verlening voor het verleden van een recht op toegang tot informatie over de ontvangers of de categorieën ontvangers als bedoeld in artikel 12, sub a, van de richtlijn, overbodig maakt.

Vastgesteld zij namelijk dat die artikelen 10 en 11 de voor de verwerking verantwoordelijke of diens vertegenwoordiger verplichtingen opleggen om in een aantal omstandigheden de betrokkene met name informatie te verstrekken over de ontvangers of de categorieën ontvangers van de gegevens. De voor de verwerking verantwoordelijke of diens vertegenwoordiger moet deze informatie eigener beweging aan de betrokkene verstrekken, met name bij de verkrijging van de gegevens of, wanneer de gegevens niet rechtstreeks bij de betrokkene zijn verkregen, op het moment van de registratie van de gegevens of eventueel wanneer deze gegevens aan een derde worden meegedeeld.

Deze bepalingen leggen dus andere verplichtingen op dan artikel 12, sub a, van de richtlijn. Bijgevolg beperken zij geenszins de aan de lidstaten opgelegde verplichting om te bepalen dat de voor de verwerking verantwoordelijke gehouden is, de betrokkene toegang te verlenen tot informatie over de ontvangers of de categorieën ontvangers en over de verstrekte gegevens, wanneer deze beslist, het hem krachtens dit artikel 12, sub a, verleende recht op toegang uit te oefenen. De lidstaten moeten maatregelen treffen tot omzetting in nationaal recht van, enerzijds, de bepalingen van de artikelen 10 en 11 van de richtlijn inzake de verplichting tot informatieverstrekking, en, anderzijds, de bepalingen van artikel 12, sub a, van de richtlijn, zonder dat eerstgenoemde bepalingen de uit de laatstgenoemde bepalingen voortvloeiende verplichtingen kunnen afzwakken.

Derhalve moet op de gestelde vraag worden geantwoord:

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof van Justitie (Derde kamer) verklaart voor recht:

Artikel 12, sub a, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, verlangt van de lidstaten dat zij niet alleen voor het heden, maar ook voor het verleden voorzien in een recht op toegang tot informatie over de ontvangers of de categorieën ontvangers van de gegevens en tot de inhoud van de verstrekte informatie. Het staat aan de lidstaten, een termijn voor de bewaring van deze informatie en een daarop afgestemde toegang daartoe vast te stellen die een juist evenwicht vormen tussen, enerzijds, het belang van de betrokkene om zijn persoonlijke levenssfeer te beschermen, met name door middel van de bij richtlijn 95/46 voorziene mogelijkheden om de voor de verwerking verantwoordelijke in te schakelen en zich tot de rechter te wenden, en, anderzijds, de last die de verplichting tot bewaring van die informatie inhoudt voor de voor de verwerking verantwoordelijke.

Een regeling waarbij informatie over de ontvangers of de categorieën ontvangers van de gegevens en over de inhoud van de verstrekte gegevens slechts één jaar wordt bewaard en de toegang tot die informatie dienovereenkomstig wordt beperkt, terwijl de basisgegevens veel langer worden bewaard, vormt geen juist evenwicht tussen het belang en de verplichting in kwestie, tenzij wordt aangetoond dat een langere bewaring van deze informatie een buitensporige last zou inhouden voor de voor de verwerking verantwoordelijke. Het staat aan de nationale rechter, de nodige controles te verrichten.

ondertekeningen