HvJ EU, 02-03-2023, nr. C-268/21

In de omschrijving van de materiële werkingssfeer van de AVG in artikel 2, lid 1, komt een functionele en geen institutionele benadering tot uiting. Het is de vraag naar het wat (de verwerking van persoonsgegevens) en niet naar het wie, die ervoor zorgt dat de AVG van toepassing is.16.

De in artikel 2, lid 2, AVG opgesomde situaties die van de werkingssfeer ervan zijn uitgesloten, zijn ook functioneel van aard. Aangezien zij de uitzondering op de toepassing van de AVG vormen, heeft het Hof geoordeeld dat zij restrictief moeten worden uitgelegd.17.

De activiteiten van overheidsinstanties zijn dus niet als zodanig uitgesloten van de werkingssfeer van de AVG, maar uitsluitend met betrekking tot de in artikel 2, lid 2, AVG genoemde activiteiten.18. In dit verband sluit deze bepaling rechterlijke activiteiten in civiele procedures niet uit van de materiële werkingssfeer van de AVG.

De conclusie dat de AVG van toepassing is op gerechtelijke activiteiten, wordt gestaafd door overweging 20 AVG19., waarin wordt verklaard dat deze handeling van toepassing is op de activiteiten van rechterlijke instanties en andere gerechtelijke autoriteiten.20.

De in artikel 55, lid 3, AVG opgenomen uitsluiting van de bevoegdheid van toezichthoudende autoriteiten ten aanzien van een rechter die in zijn rechterlijke hoedanigheid optreedt, doet geen afbreuk aan de vorige conclusie. Integendeel, deze bepaling bevestigt mijns inziens net dat de door de AVG opgelegde verplichtingen rusten op rechters die in hun rechterlijke hoedanigheid optreden. De AVG beschermt hun onafhankelijkheid en onpartijdigheid door toezicht door toezichthoudende instanties op hun verwerkingsactiviteiten te verbieden.

In casu gaat het om een verwerking van persoonsgegevens die binnen de materiële werkingssfeer van de AVG valt. Een elektronische personeelsregistratie aanleggen en bijhouden betreft de verwerking van persoonsgegevens.21. Ook de exhibitie van die persoonsgegevens gelasten in een civiele procedure is een voorbeeld van verwerking van die gegevens.22. De situatie in het hoofdgeding valt dus binnen de materiële werkingssfeer van de AVG.

Wat betekent dit voor de werking van nationale proceduregels zoals de RB?

In casu is de RB de rechtsgrond voor de beslissing tot exhibitie.

De AVG vereist inderdaad dat de gegevensverwerking in een situatie als in casu het recht van de lidstaat (of van de Unie) als rechtsgrond heeft.23.

De betrokken gegevens, die oorspronkelijk voor belastingdoeleinden waren verzameld en verwerkt, moeten thans op grond van de beslissing tot exhibitie in de onderhavige zaak voor bewijsdoeleinden in een gerechtelijke procedure worden verwerkt.

Op grond van artikel 6, lid 4, AVG kunnen gegevens voor een ander doel worden verwerkt dan dat waarvoor ze zijn verzameld indien dat op grond van een lidstaatrechtelijke bepaling gebeurt die in een democratische samenleving een noodzakelijke maatregel is ter waarborging van de in artikel 23, lid 1, AVG bedoelde doelstellingen. Tot die doelstellingen behoort onder meer die welke wordt genoemd in artikel 23, lid 1, onder f): ‘de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures’.

Alle deelnemers aan deze prejudiciële verwijzingsprocedure zijn het erover eens dat artikel 23, lid 1, onder f), AVG de geschikte bepaling is om de verwerking van gegevens voor een ander doel dan dat waarvoor ze werden verzameld, op basis van de RB te rechtvaardigen.24.

De RB machtigt de nationale rechter ertoe om de exhibitie van documenten te gelasten, indien deze in een civiele procedure bewijskracht hebben. Zoals is uiteengezet, wordt de rechter die exhibitie van een document met persoonsgegevens gelast, op grond van de AVG de verwerkingsverantwoordelijke.

Zoals de Commissie ter terechtzitting heeft opgemerkt, is de nationale rechter slechts tot op zekere hoogte een gewone verwerkingsverantwoordelijke. Nationale rechterlijke instanties mogen namelijk alleen gegevens verwerken in de uitoefening van hun openbaar gezag.

Wanneer gegevensverwerking plaatsvindt in de uitoefening van het openbaar gezag25., moet deze volgens artikel 6, lid 3, AVG gebaseerd zijn op Unie- of lidstatelijk recht.

Om die reden moet voor zowel artikel 6, lid 4, AVG (die verwerking voor een ander doel toestaat) als artikel 6, lid 3 (die de verwerking van gegevens toestaat in de uitoefening van het openbaar gezag), een nationaal- of Unierechtelijke rechtsgrond voorhanden zijn voor de verwerking.26.

De RB, die de rechter de bevoegdheid verleent om het bevel tot exhibitie vast te stellen, is dus een noodzakelijke voorwaarde voor de rechtmatigheid van de betrokken verwerking.

Als de door de AVG vereiste rechtsgrondslag voorhanden is en de beslissing die de verwerking van persoonsgegevens met zich meebrengt vastgesteld is in overeenstemming met het recht van die lidstaat, is dan voldaan aan de vereisten van de AVG voor rechtmatige verwerking?

Naar mijn mening is het bestaan van een rechtsgrond in het nationale recht weliswaar noodzakelijk, maar niet voldoende opdat de beslissing tot exhibitie in overeenstemming met de AVG is.

De verwijzende rechter heeft gepreciseerd dat volgens de RB in beginsel geen rekening wordt gehouden met het privékarakter van informatie bij beslissingen tot exhibitie van bewijsmateriaal. Rechters moeten de belangen van de beide partijen in aanmerking nemen, maar in de wet zelf is niet vermeld dat de belangen van de betrokkenen (in dit geval de geregistreerden) een rol spelen.

Is de RB onverenigbaar met de AVG omdat dat wetboek de rechter die verwerkingsverantwoordelijke wordt en een beslissing neemt die gevolgen kan hebben voor de persoonsgegevens van een betrokkene, niet uitdrukkelijk ertoe verplicht om rekening te houden met diens belangen?

Mijns inziens is dat niet het geval. Voor verscheidene nationale wetten die een rechtsgrond voor gegevensverwerking vormen, geldt immers dat zij niet specifiek ter uitvoering van de AVG zijn aangenomen, maar hun eigen doeleinden nastreven. Bovendien is de AVG rechtstreeks toepasselijk in de rechtsorden van de lidstaten en is geen uitvoeringswetgeving vereist. Waar het dus om gaat, is dat wanneer nationale procedureregels samenkomen met de AVG, zij de ruimte bieden voor een gelijktijdige toepassing van de AVG.

Ter terechtzitting heeft de Zweedse regering bevestigd dat de RB niet vereist, maar evenmin verbiedt, dat een rechter de belangen van de betrokkenen in aanmerking neemt. Dit wetboek sluit dus niet uit dat de AVG rechtstreeks wordt toegepast op de in dat wetboek opgenomen gerechtelijke procedure.

De nationale rechters zijn dus parallel gebonden aan de nationale procedureregels en de AVG, met dien verstande dat de AVG de nationale regels aanvult wanneer de procedurele activiteiten van de rechter de verwerking van persoonsgegevens met zich meebrengen.

Kortom, nationale wetgeving hoeft niet uitdrukkelijk naar de AVG te verwijzen of de rechter ertoe te verplichten rekening te houden met de belangen van de betrokkenen. Het volstaat dat die wetgeving een aanvullende toepassing van de AVG mogelijk maakt. Alleen wanneer dat niet het geval zou zijn, zou de nationale wetgeving strijdig zijn met de AVG. De RB lijkt evenwel een aanvullende toepassing van de AVG mogelijk te maken.27.

In antwoord op de eerste vraag van de verwijzende rechter concludeer ik derhalve dat artikel 6, leden 3 en 4, AVG eisen stelt aan het nationale procesrecht inzake de exhibitieplicht, telkens wanneer dit een verwerking van persoonsgegevens impliceert. De nationale procesrechtelijke wetgeving kan in een dergelijk geval niet uitsluiten dat rekening wordt gehouden met de belangen van de betrokkenen. Die belangen zullen worden beschermd wanneer de nationale rechters de bepalingen van de AVG naleven bij hun beslissing of bewijsmateriaal in een individueel geval moet worden overgelegd.

De belangen van betrokkenen worden beschermd wanneer de verwerking van hun persoonsgegevens voldoet aan de artikelen 5 en 6 AVG.28. Om advocaat-generaal Pikamäe aan te halen, de naleving van de artikelen 5 en 6 AVG waarborgt de bescherming van het recht op het privéleven en het familie- en gezinsleven, en de bescherming van persoonsgegevens, zoals gewaarborgd door respectievelijk de artikelen 7 en 8 van het Handvest.29.

De gerechtvaardigde verwerkingsdoeleinden zijn opgesomd in artikel 6 AVG.30. Zoals in het vorige deel van deze conclusie is uiteengezet, wordt met de verwerking in het onderhavige geval een rechtmatig doel nagestreefd, aangezien de rechter zijn openbaar gezag heeft uitgeoefend bij het nemen van de beslissing tot exhibitie op basis van het nationale recht dat het goede verloop van de gerechtelijke procedure waarborgt. Zowel artikel 6 als artikel 5 AVG vereist echter niet alleen een gerechtvaardigd doel, maar ook dat de specifieke verwerking noodzakelijk is voor de verwezenlijking van dat doel.

De AVG verlangt dus dat de rechter een evenredigheidstoets verricht wanneer hij nagaat of de exhibitie van persoonsgegevens in een concrete situatie noodzakelijk is voor de bewijsvoering in een gerechtelijke procedure.31.

In dit verband vereist artikel 6, lid 4, AVG dat de nationale wetgeving waarop de verwerking voor een ander doel is gebaseerd, een noodzakelijke en evenredige maatregel vormt ter waarborging van een van de in artikel 23, lid 1, AVG bedoelde doelstellingen, in dit geval de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures. Bovendien vereist artikel 6, lid 3, AVG dat de verwerking die plaatsvindt in het kader van de uitoefening van het openbaar gezag, noodzakelijk is voor de uitoefening van dat openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend.

Het nationale recht dat de basis voor de verwerking vormt, kan in abstracto voldoen aan de vereisten van artikel 6, leden 3 en 4, AVG. Niettemin hangt de rechtmatigheid van elke afzonderlijke verwerking (met inbegrip van een specifieke rechterlijke beslissing tot exhibitie) af van de concrete afweging van alle betrokken belangen, waarbij rekening wordt gehouden met het gerechtvaardigde doel waarvoor om exhibitie wordt verzocht.32. Alleen op die manier kan de nationale rechter beslissen of en in welke mate exhibitie noodzakelijk is.

De AVG vereist dus duidelijk een evenredigheidstoets. Kan de AVG verder helpen bij het bepalen welke concrete stappen de rechter bij een dergelijke toets moet zetten?

De evenredigheidstoets moet, zoals ik heb toegelicht, in elk individueel geval worden verricht en alle betrokken belangen in aanmerking nemen. In situaties als de onderhavige zaak moeten de belangen die tot exhibitie nopen, worden afgewogen tegen de inmenging in het recht op bescherming van persoonsgegevens.33.

De belangen die tot exhibitie nopen, weerspiegelen het recht op daadwerkelijke rechtsbescherming (artikel 47 van het Handvest). De belangen van de betrokkenen, waarmee het eerstgenoemde recht in strijd is, weerspiegelen het recht op eerbiediging van het privéleven en van het familie- en gezinsleven (artikel 7 van het Handvest) en het recht op persoonsgegevensbescherming (artikel 8 van het Handvest). Het zijn deze rechten die tegen elkaar moeten worden afgewogen om te bepalen of exhibitie van persoonsgegevens noodzakelijk is.

Hierna zal ik een aantal suggesties doen over de specifieke stappen die van de nationale rechter mogen worden verwacht.

Om te beginnen mag altijd worden aangenomen dat het belang van een betrokkene die geen toestemming heeft gegeven voor de verwerking, erin bestaat dat hij de verwerking van zijn persoonsgegevens wil beperken. Dit is dus de standaard uitgangspositie voor de nationale rechter: verantwoorden waarom aan dit belang zou moeten worden geraakt.

Mijns inziens kunnen aanwijzingen voor deze beoordeling worden gevonden in artikel 5 AVG, dat de beginselen bevat die de verwerkingsverantwoordelijke bij de verwerking van persoonsgegevens moet eerbiedigen.

In dit verband is het beginsel van minimale gegevensverwerking van artikel 5, lid 1, onder c), AVG van het grootste belang. Zoals het Hof heeft verklaard34. geeft dit vereiste uitdrukking aan het evenredigheidsbeginsel, op grond waarvan de persoonsgegevens toereikend en ter zake dienend moeten zijn alsook beperkt moeten blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

De eerste vraag die moet worden gesteld, is dus of de gegevens van de personeelsregistratie die door Entral werden bijgehouden, toereikend zijn. Zij zijn toereikend voor het doel waarvoor exhibitie wordt gevraagd indien daaruit inderdaad blijkt hoeveel arbeidsuren de werknemers van Fastec op de bouwplaats hebben gewerkt.

De tweede vraag is of de door Entral bijgehouden gegevens in de personeelsregistratie ter zake dienend zijn voor het doel waarvoor ze werden opgevraagd. Het doel lijkt te bestaan in het belang van Nycander om haar stelling te bewijzen dat de werknemers van Fastec minder uren hebben gewerkt dan op de factuur is vermeld. In dergelijke omstandigheden is de personeelsregistratie ter zake dienend indien ze inderdaad een dergelijke bewering kan staven of ontkrachten. De nationale rechter moet de relevantie ervan beoordelen in het licht van andere omstandigheden van het concrete geval (bijvoorbeeld de stelling van Fastec dat in de personeelsregistratie slechts een deel van de relevante arbeidsuren is opgenomen, aangezien er ook buiten de bouwplaats werd gewerkt).

Om te voldoen aan het derde vereiste van minimale gegevensverwerking, moet de nationale rechter bepalen of alle dan wel slechts enkele geregistreerde gegevens voldoende zijn voor de bewijsvoering. Indien er bovendien andere manieren zijn om hetzelfde feit aan te tonen, vereist het beginsel van minimale gegevensverwerking dat zij worden aangewend. Het is bijvoorbeeld mogelijk dat de nationale rechter zich moet buigen over de stelling van Fastec dat de werkelijk gepresteerde uren kunnen worden gecontroleerd aan de hand van documenten die zich al in het dossier van de verwijzende rechter bevinden. Wanneer de nationale rechter deze stelling juist acht, kan hij de exhibitie van persoonsgegevens in de personeelsregistratie niet gelasten.

De verwijzende rechter moet bepalen welke soorten persoonsgegevens van de personeelsregistratie volstaan om de relevante feiten te staven of te ontkrachten. In dit verband dienen volgens het beginsel van minimale gegevensverwerking alleen de voor het specifieke doel strikt noodzakelijke gegevens te worden verstrekt. Het zou dus nodig kunnen zijn dat Entral, als verwerker, de personeelsregistratie zodanig moet aanpassen dat de persoonsgegevens tot het noodzakelijke minimum worden beperkt, maar er toch een conclusie kan worden getrokken over het werkelijke aantal gewerkte uren.

In dit verband moet de nationale rechter bepalen of het voor de bewijskracht van de over te leggen gegevens noodzakelijk is dat personen wier gegevens in de personeelsregistratie zijn opgenomen, kunnen worden geïdentificeerd (bijvoorbeeld of het noodzakelijk is dat individuele werknemers bij naam worden genoemd zodat ze kunnen worden verzocht om als getuigen op te treden). Anders kan worden volstaan met de informatie over het totale aantal uren dat op de bouwplaats is gewerkt en/of het aantal personen dat deze uren heeft gepresteerd.

Afhankelijk van de antwoorden op de voorgaande vragen kan de rechter beslissen dat gepseudonimiseerde of geanonimiseerde gegevens moeten worden overgelegd.35.

Volgens overweging 26 AVG blijven gepseudonimiseerde gegevens binnen de materiële werkingssfeer van de AVG omdat het mogelijk blijft de identiteit van een persoon achter die gegevens te achterhalen. Voor geanonimiseerde gegevens geldt het omgekeerde; zij vallen buiten haar werkingssfeer. De wijze van exhibitie die uiteindelijk door de nationale rechter wordt gelast, zal dus ook gevolgen hebben voor de verdere toepasselijkheid van de AVG.36.

Uiteindelijk zal de nationale rechter de bewijskracht van de verschillende versies van de personeelsregistratie moeten bepalen om te beslissen welke vorm van gegevensminimalisering eventueel noodzakelijk is voor een goede afwikkeling van de bij hem aanhangige procedure.

De nationale rechter is niet alleen gebonden door het beginsel van minimale gegevensverwerking van artikel 5, lid 1, onder c), AVG, maar ook door andere beginselen van dat artikel, die relevant zijn voor de methode om een beslissing tot exhibitie te nemen.

Zo wordt in artikel 5, lid 1, onder a), AVG niet alleen verwezen naar het rechtmatigheidsbeginsel (dat nader is uitgewerkt in artikel 6 AVG), maar ook naar het transparantiebeginsel. Mijns inziens vereist dit beginsel dat de nationale rechter zijn beslissing tot exhibitie van persoonsgegevens duidelijk motiveert, door onder meer aan te geven hoe hij de verschillende belangen en argumenten van partijen betreffende de exhibitie tegen elkaar heeft afgewogen.

Een deugdelijke motivering van de beslissing tot exhibitie voldoet ook aan het vereiste van artikel 5, lid 2, AVG, dat stelt dat de verwerkingsverantwoordelijke in staat moet zijn aan te tonen dat de in artikel 5, lid 1, van die verordening neergelegde beginselen zijn geëerbiedigd.

De wijze waarop de beginselen van artikel 5 AVG dienen te worden nageleefd, valt ook af te leiden uit overweging 31 AVG. Volgens deze overweging moeten ‘[d]oor overheidsinstanties ingediende verzoeken om verstrekking […] in ieder geval schriftelijk, gemotiveerd en incidenteel zijn, en mogen [ze] geen volledig bestand betreffen of resulteren in het onderling combineren van bestanden’.

De Poolse regering heeft haar bezorgdheid geuit over de evenredigheidstoets die de verwijzende rechter moet verrichten: is een nationale rechter die de bewijskracht van de personeelsregistratie of van een ander bewijsstuk in de bij hem aanhangige procedure moet beoordelen, niet reeds te zeer betrokken bij wat de rol van de partijen moet blijven, namelijk een stelling over de bewijskracht zelf van dat bewijs aannemelijk maken?

Naar mijn mening leidt de beoordeling van de bewijskracht, waarbij de belangen van de betrokkenen in aanmerking wordt genomen, niet tot meer inmenging in de zaak dan het geval is bij de beoordeling van de bewijskracht van elk ander bewijsmiddel in een civiele procedure.37.

De mate van inmenging van de nationale rechter zal afhangen van de sterkte van de bewijskracht die de gegevens waarvan om exhibitie wordt gevraagd, in de omstandigheden van het individuele geval hebben. Het zal altijd van geval tot geval afhangen in hoeverre de exhibitie de belangen van de betrokkenen kan raken.

Zo kan het in bepaalde zaken gaan om gevoelige gegevens waarvoor krachtens artikel 9 AVG een bijzondere beschermingsregeling geldt, of om gegevens over de tenuitvoerlegging van straffen die betrekking hebben op de regeling van artikel 10. In een dergelijk geval zal het belang van de betrokkenen bij de afweging noodzakelijkerwijs zwaarder doorwegen.38. Ook kan het belang van exhibitie per individueel geval verschillen. Hoewel het gevorderde bewijsmateriaal in sommige gevallen duidelijk maar beperkte relevantie zal hebben, zal het in andere situaties het belangrijkste element zijn voor de beslechting van het geding. In dit verband heeft de Commissie een punt wanneer zij stelt dat de nationale rechter bij dergelijke beoordelingen over een ruime beoordelingsmarge moet beschikken. Toch moet hij verplicht blijven om rekening te houden met de belangen van betrokkenen.

De Tsjechische regering heeft nog een andere bezorgdheid geuit: als de nationale rechters ertoe verplicht worden om rekening te houden met de belangen van betrokkenen telkens wanneer zij de exhibitie van bewijsstukken gelasten, dan zou dit de gewone werking van gerechtelijke procedures belemmeren. De AVG legt de rechters immers een aanvullende verplichting op39. om de evenredigheid te toetsen alvorens de exhibitie van schriftelijk bewijs met persoonsgegevens te gelasten. Evenwel is de belangenafweging geen ongebruikelijke denkoefening voor rechters, en ook de last die op de nationale rechter rust, verschilt niet van die welke de AVG elke andere verwerkingsverantwoordelijke oplegt.

Indien men de Unieburgers een hoge mate van bescherming van hun persoonsgegevens wil verlenen, in overeenstemming met de keuze van de Uniewetgever zoals verwoord in de AVG, kan het feit dat rekening moet worden gehouden met de belangen van betrokkenen, niet worden gezien als een buitensporige last die op de rechterlijke instanties van de lidstaten rust.

Ik geef het Hof derhalve in overweging de tweede vraag van de verwijzende rechter te beantwoorden als volgt: de beslissing van de nationale rechter tot exhibitie in een civiele procedure die gepaard gaat met de verwerking van persoonsgegevens, moet berusten op een evenredigheidstoets waarbij rekening wordt gehouden met de belangen van de betrokkenen wier persoonsgegevens zullen worden verwerkt, en waarbij deze belangen worden afgewogen tegen het belang van de procespartijen om bewijs te verkrijgen. Deze evenredigheidstoets is gebaseerd op de beginselen van artikel 5 AVG, waaronder het beginsel van minimalisering van de gegevensverwerking.