HvJ EU, 22-06-2023, nr. C-579/21

Met zijn vierde vraag, die als eerste dient te worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of artikel 15 AVG, gelezen in het licht van artikel 99, lid 2, van deze verordening, van toepassing is op een verzoek om inzage in informatie in de zin van dat artikel 15 wanneer de verwerkingsactiviteiten waarop dit verzoek betrekking heeft, zijn uitgevoerd vóór de datum waarop die verordening van toepassing is geworden, maar het verzoek na die datum is ingediend.

Om deze vraag te beantwoorden dient erop te worden gewezen dat de AVG op grond van artikel 99, lid 2, ervan met ingang van 25 mei 2018 van toepassing is.

In casu blijkt uit de verwijzingsbeslissing dat de in het hoofdgeding aan de orde zijnde verwerkingen van persoonsgegevens zijn uitgevoerd tussen 1 november 2013 en 31 december 2013, dat wil zeggen vóór de datum waarop de AVG van toepassing werd. Uit deze verwijzingsbeslissing blijkt echter ook dat J.M. zijn verzoek om informatie bij Pankki S heeft ingediend na die datum, te weten op 29 mei 2018.

In dit verband zij eraan herinnerd dat procedureregels in het algemeen geacht worden te gelden vanaf de datum waarop zij in werking treden, in tegenstelling tot materiële regels, die doorgaans aldus worden uitgelegd dat zij op situaties die vóór de inwerkingtreding ervan zijn ontstaan en definitief zijn geworden, slechts van toepassing zijn voor zover uit de bewoordingen, de doelstelling of de opzet ervan blijkt dat er een dergelijke werking aan dient te worden toegekend (arrest van 15 juni 2021, Facebook Ireland e.a., C-645/19, EU:C:2021:483, punt 100 en aldaar aangehaalde rechtspraak).

In casu blijkt uit de verwijzingsbeslissing dat het verzoek van J.M. om de in het hoofdgeding aan de orde zijnde informatie te ontvangen verband houdt met artikel 15, lid 1, AVG, dat voorziet in het recht van de betrokkene om inzage te verkrijgen in de hem betreffende persoonsgegevens die worden verwerkt, en in de in deze bepaling genoemde informatie.

Vastgesteld moet worden dat deze bepaling geen betrekking heeft op de voorwaarden waaronder de verwerking van de persoonsgegevens van de betrokkene rechtmatig is. Artikel 15, lid 1, AVG preciseert namelijk enkel de omvang van het recht van inzage van deze persoon in de gegevens en in de in dat artikel genoemde informatie.

Zoals de advocaat-generaal in punt 33 van zijn conclusie heeft opgemerkt, verleent artikel 15, lid 1, AVG betrokkenen een procedureel recht om informatie over de verwerking van hun persoonsgegevens te verkrijgen. Aangezien het om een regel van procedurele aard gaat, is deze bepaling van toepassing op verzoeken om inzage die zijn ingediend vanaf de datum waarop deze verordening van toepassing is, zoals het verzoek van J.M.

In deze omstandigheden dient op de vierde vraag te worden geantwoord dat artikel 15 AVG, gelezen in het licht van artikel 99, lid 2, van deze verordening, aldus moet worden uitgelegd dat het van toepassing is op een verzoek om inzage in de in dat artikel genoemde informatie wanneer de verwerkingsactiviteiten waarop dit verzoek betrekking heeft, zijn uitgevoerd vóór de datum waarop deze verordening van toepassing is, maar het verzoek na die datum is ingediend.

Met zijn eerste en zijn tweede vraag, die gezamenlijk dienen te worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of artikel 15, lid 1, AVG aldus moet worden uitgelegd dat de informatie met betrekking tot de raadplegingen van persoonsgegevens van een persoon over de datums en de doeleinden van deze raadplegingen, alsmede de identiteit van de natuurlijke personen die deze raadplegingen hebben verricht, informatie is met betrekking waartoe deze persoon krachtens deze bepaling het recht heeft van de verwerkingsverantwoordelijke inzage te verlangen.

Vooraf zij eraan herinnerd dat volgens vaste rechtspraak bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met de context ervan en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt [arrest van 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens), C-154/21, EU:C:2023:3, punt 29].

Wat om te beginnen de bewoordingen van artikel 15, lid 1, AVG betreft, heeft de betrokkene volgens deze bepaling het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen in die persoonsgegevens en in de informatie betreffende met name de verwerkingsdoeleinden en de ontvangers of categorieën van ontvangers aan wie die persoonsgegevens zijn of zullen worden verstrekt.

In dit verband moet worden benadrukt dat de in artikel 15, lid 1, AVG opgenomen begrippen zijn omschreven in artikel 4 van deze verordening.

In de eerste plaats wordt in artikel 4, punt 1, AVG onder persoonsgegevens verstaan ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’ en wordt in dit artikel verduidelijkt dat ‘als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online-identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon’.

Het gebruik van de woorden ‘alle informatie’ in de definitie van het begrip ‘persoonsgegevens’ in deze bepaling wijst op de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, dat zich potentieel uitstrekt tot elk soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene ‘betreft’ (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 23).

Dienaangaande is reeds geoordeeld dat informatie betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon wanneer zij wegens haar inhoud, doel of gevolg verband houdt met een identificeerbare persoon (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 24).

Wat de ‘identificeerbaarheid’ van een persoon betreft, verduidelijkt overweging 26 AVG dat rekening moet worden gehouden met ‘alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken’.

Hieruit volgt dat de ruime definitie van het begrip ‘persoonsgegevens’ niet alleen de door de verwerkingsverantwoordelijke verzamelde en bewaarde gegevens omvat, maar ook alle informatie die voortvloeit uit een verwerking van persoonsgegevens betreffende een geïdentificeerde of identificeerbare persoon (zie in die zin arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 26).

Wat in de tweede plaats het begrip ‘verwerking’, betreft, zoals gedefinieerd in artikel 4, punt 2, AVG, moet worden vastgesteld dat de Uniewetgever met het gebruik van de woorden ‘een bewerking’ een ruime strekking heeft willen geven aan dit begrip door gebruik te maken van een niet-uitputtende lijst van bewerkingen die zijn uitgevoerd met betrekking tot gegevens of een geheel van persoonsgegevens, waaronder het verzamelen, vastleggen, opslaan, of raadplegen van gegevens (zie in die zin arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 27).

In de derde plaats wordt in artikel 4, punt 9, AVG verduidelijkt dat ‘ontvanger’ wordt gedefinieerd als ‘een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie/waaraan de persoonsgegevens worden verstrekt’.

Het Hof heeft in dit verband geoordeeld dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke informatie te verkrijgen over de concrete ontvangers aan wie de hem betreffende persoonsgegevens zijn of zullen worden verstrekt [arrest van 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens), C-154/21, EU:C:2023:3, punt 46].

Uit de tekstuele analyse van artikel 15, lid 1, AVG en de daarin vervatte begrippen volgt dus dat het recht van inzage dat deze bepaling aan de betrokkene toekent, wordt gekenmerkt door de ruime omvang van de informatie die de verwerkingsverantwoordelijke aan deze persoon moet verstrekken.

Wat vervolgens de context van artikel 15, lid 1, AVG betreft, moet er in de eerste plaats aan worden herinnerd dat in overweging 63 van die verordening staat te lezen dat elke betrokkene het recht dient te hebben, te weten en te worden meegedeeld met name voor welke doeleinden de persoonsgegevens worden verwerkt, indien mogelijk hoelang zij worden bewaard en wie deze persoonsgegevens ontvangt.

In de tweede plaats staat in overweging 60 AVG te lezen dat de betrokkene overeenkomstig de beginselen van behoorlijke en transparante verwerking op de hoogte moet worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan, waarbij moet worden benadrukt dat de verwerkingsverantwoordelijke de nadere informatie dient te verstrekken die noodzakelijk is om een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt. Voorts moet overeenkomstig het door de verwijzende rechter genoemde transparantiebeginsel waarnaar overweging 58 AVG verwijst en dat uitdrukkelijk is neergelegd in artikel 12, lid 1, van deze verordening, alle informatie die bestemd is voor de betrokkene beknopt, eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal worden gebruikt.

In dit verband preciseert artikel 12, lid 1, AVG dat de informatie door de verwerkingsverantwoordelijke schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, moet worden verstrekt, tenzij de betrokkene erom verzoekt dat de informatie mondeling wordt meegedeeld. Deze bepaling, die uitdrukking geeft aan het transparantiebeginsel, beoogt te waarborgen dat de betrokkene de informatie die hem wordt verstrekt volledig kan begrijpen (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 38 en aldaar aangehaalde rechtspraak).

Uit bovenstaande analyse van de context volgt dat artikel 15, lid 1, AVG een van de bepalingen is waarmee wordt beoogd ten aanzien van de betrokkene de transparantie te waarborgen van de wijze waarop de persoonsgegevens worden verwerkt.

Ten slotte vindt deze uitlegging van de omvang van het in artikel 15, lid 1, AVG neergelegde recht van inzage steun in de doelstellingen van deze verordening.

Ten eerste heeft deze verordening blijkens de overwegingen 10 en 11 ervan tot doel natuurlijke personen binnen de Unie een consistent en hoog beschermingsniveau te bieden en de rechten van de betrokkenen te versterken en nader te omschrijven.

Zoals blijkt uit overweging 63 AVG heeft het recht van een persoon om zijn eigen persoonsgegevens en de andere in artikel 15, lid 1, van deze verordening genoemde informatie in te zien, om te beginnen tot doel deze persoon in staat te stellen zich van de verwerking van zijn gegevens op de hoogte te stellen en de rechtmatigheid ervan te controleren. Hieruit volgt dat elke betrokkene het recht dient te hebben te weten en te worden meegedeeld met name voor welke doeleinden de persoonsgegevens worden verwerkt, indien mogelijk hoelang zij worden bewaard, wie de persoonsgegevens ontvangt en welke logica ten grondslag ligt aan de verwerking ervan, zoals in die overweging en in punt 50 van het onderhavige arrest is aangegeven.

In dit verband zij er ten tweede aan herinnerd dat het Hof reeds heeft geoordeeld dat het in artikel 15 AVG neergelegde recht van inzage de betrokkene in staat moet stellen zich ervan te vergewissen dat de hem betreffende persoonsgegevens juist zijn en rechtmatig worden verwerkt (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 34).

Dit recht van inzage is met name noodzakelijk om de betrokkene toe te laten om in voorkomend geval een aantal rechten uit te oefenen, namelijk zijn recht op rectificatie van gegevens, op gegevenswissing (‘recht op vergetelheid’), en op beperking van de verwerking, die hem respectievelijk worden toegekend door de artikelen 16 tot en met 18 AVG, alsook zijn in artikel 21 AVG vastgestelde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens en zijn in de artikelen 79 en 82 AVG neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 35 en aldaar aangehaalde rechtspraak).

Derhalve vormt artikel 15, lid 1, AVG een van de bepalingen waarmee wordt beoogd ten aanzien van de betrokkene de transparantie te waarborgen van de wijze waarop de persoonsgegevens worden verwerkt [arrest van 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens), C-154/21, EU:C:2023:3, punt 42], welke transparantie noodzakelijk is voor de betrokkene om te kunnen beoordelen of de verwerking van zijn gegevens rechtmatig is en om de prerogatieven die zijn neergelegd in de artikelen 16 tot en met 18, 21, 79 en 82 van deze verordening te kunnen uitoefenen.

In casu volgt uit de verwijzingsbeslissing dat J.M. Pankki S heeft verzocht om hem informatie te verstrekken met betrekking tot de raadplegingen van zijn persoonsgegevens die tussen 1 november 2013 en 31 december 2013 zijn verricht, informatie over de datums van deze raadplegingen, de doeleinden ervan en de identiteit van de personen die deze raadplegingen hebben verricht. De verwijzende rechter wijst erop dat met de overdracht van de logbestanden die bij die raadplegingen waren gegenereerd, aan het verzoek van J.M. kon worden voldaan.

In casu wordt niet betwist dat de raadplegingen van de persoonsgegevens van verzoeker in het hoofdgeding een ‘verwerking’ in de zin van artikel 4, punt 2, AVG vormen, zodat verzoeker op grond van artikel 15, lid 1, van deze verordening niet alleen beschikt over een recht van inzage in deze persoonsgegevens, maar ook over een recht om informatie te ontvangen die met deze raadplegingen verband houdt, zoals vermeld in dat artikel 15.

Wat de door J.M. gevraagde informatie betreft, kan de betrokkene om te beginnen door het verstrekken van de datums van de raadplegingen de bevestiging krijgen dat zijn persoonsgegevens daadwerkelijk op een bepaald moment zijn verwerkt. Aangezien aan de in de artikelen 5 en 6 AVG neergelegde voorwaarden voor rechtmatigheid moet zijn voldaan op het moment van de verwerking zelf, vormt de datum van de verwerking voorts een element aan de hand waarvan de rechtmatigheid van de verwerking kan worden gecontroleerd. Vervolgens moet worden opgemerkt dat informatie over de doeleinden van de verwerkingen uitdrukkelijk wordt genoemd in artikel 15, lid 1, onder a), van deze verordening. Ten slotte bepaalt artikel 15, lid 1, onder c), van die verordening dat de verwerkingsverantwoordelijke de betrokkene meedeelt aan welke ontvangers zijn gegevens zijn verstrekt.

Wat betreft, meer in het bijzonder, het verstrekken van al deze informatie door overdracht van de logbestanden van de in het hoofdgeding aan de orde zijnde verwerkingsactiviteiten dient te worden opgemerkt dat artikel 15, lid 3, eerste volzin, AVG vermeldt dat de verwerkingsverantwoordelijke de betrokkene ‘een kopie verstrekt van de persoonsgegevens die worden verwerkt’.

In dit verband heeft het Hof reeds geoordeeld dat het aldus gebruikte begrip ‘kopie’ verwijst naar de getrouwe reproductie of transcriptie van een origineel, zodat een zuiver algemene beschrijving van de gegevens die worden verwerkt of een verwijzing naar categorieën persoonsgegevens niet aan die definitie voldoet. Bovendien blijkt uit de bewoordingen van artikel 15, lid 3, eerste volzin, van deze verordening dat de verplichting tot mededeling betrekking heeft op de persoonsgegevens die het voorwerp van de betrokken verwerking vormen (zie in die zin arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 21).

De kopie die de verwerkingsverantwoordelijke dient te verstrekken moet alle persoonsgegevens bevatten die worden verwerkt, alle noodzakelijke kenmerken vertonen om de betrokkene in staat te stellen de rechten die hij aan deze verordening ontleent daadwerkelijk uit te oefenen. Deze kopie moet deze gegevens dus volledig en getrouw reproduceren (zie in die zin arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punten 32 en 39).

Om te waarborgen dat de aldus verstrekte informatie gemakkelijk te begrijpen is, zoals wordt vereist in artikel 12, lid 1, AVG, gelezen in samenhang met overweging 58 van deze verordening, kan het onontbeerlijk zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer de verwerkte persoonsgegevens bevatten, worden gereproduceerd wanneer het in hun context plaatsen van de verwerkte gegevens noodzakelijk is om de begrijpelijkheid ervan te waarborgen. Met name wanneer persoonsgegevens worden gegenereerd op basis van andere gegevens of wanneer dergelijke gegevens voortvloeien uit open tekstvelden — dat wil zeggen wanneer geen data over de betrokkene worden verstrekt en uit deze lacune informatie over de betrokkene valt af te leiden — is de context waarin deze gegevens worden verwerkt een onontbeerlijk element om de betrokkene in staat te stellen op transparante wijze inzage te krijgen in die gegevens en er een begrijpelijk beeld van te krijgen (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punten 41 en 42).

Zoals de advocaat-generaal in de punten 88 tot en met 90 van zijn conclusie heeft opgemerkt, vallen de logbestanden — die de door J.M. gevraagde informatie bevatten — in casu onder registers van verwerkingsactiviteiten in de zin van artikel 30 AVG. Zij worden geacht onder de in overweging 74 van deze verordening vermelde maatregelen te vallen die door de verwerkingsverantwoordelijke worden uitgevoerd om te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig deze verordening geschiedt. Artikel 30, lid 4, van die verordening bepaalt met name dat deze registers desgevraagd aan de toezichthoudende autoriteit ter beschikking moeten worden gesteld.

Voor zover die registers van verwerkingsactiviteiten geen informatie bevatten met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon in de zin van de in de punten 42 en 43 van het onderhavige arrest in herinnering gebrachte rechtspraak, stellen zij de verwerkingsverantwoordelijke enkel in staat om te voldoen aan zijn verplichtingen jegens de toezichthoudende autoriteit die om de verstrekking van die registers vraagt.

Wat meer in het bijzonder de logbestanden van de verwerkingsverantwoordelijke betreft, kan het verstrekken van een kopie van de in die bestanden opgenomen informatie noodzakelijk blijken om te voldoen aan de verplichting om de betrokkene inzage te verlenen in alle in artikel 15, lid 1, AVG genoemde informatie, en om een behoorlijke en transparante verwerking te waarborgen, zodat hij de rechten die hij aan die verordening ontleent ten volle kan doen gelden.

Ten eerste wijzen dergelijke bestanden er namelijk op dat er sprake is van gegevensverwerking, informatie waartoe de betrokkene toegang moet hebben op grond van artikel 15, lid 1, AVG. Daarnaast geven zij informatie over de frequentie en de intensiteit van de raadplegingen, zodat de betrokkene zich ervan kan vergewissen dat de uitgevoerde verwerking daadwerkelijk is ingegeven door de doeleinden die de verwerkingsverantwoordelijke heeft aangevoerd.

Ten tweede bevatten deze bestanden informatie over de identiteit van de personen die de raadplegingen hebben verricht.

In casu blijkt uit de verwijzingsbeslissing dat de personen die de in het hoofdgeding aan de orde zijnde raadplegingen hebben verricht, werknemers zijn van Pankki S die onder haar gezag en overeenkomstig haar instructies hebben gehandeld.

Uit artikel 15, lid 1, onder c), AVG volgt weliswaar dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke informatie te ontvangen met betrekking tot de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, maar werknemers van de verwerkingsverantwoordelijke kunnen niet worden beschouwd als ‘ontvangers’ in de zin van artikel 15, lid 1, onder c), AVG, dat in de punten 47 en 48 van het onderhavige arrest in herinnering is gebracht, wanneer zij persoonsgegevens verwerken onder het gezag van die verwerkingsverantwoordelijke en overeenkomstig zijn instructies, zoals de advocaat-generaal in punt 63 van zijn conclusie heeft opgemerkt.

In dit verband moet worden benadrukt dat overeenkomstig artikel 29 AVG eenieder die onder het gezag van de verwerkingsverantwoordelijke handelt en toegang heeft tot persoonsgegevens, deze uitsluitend in opdracht van die verwerkingsverantwoordelijke verwerkt.

De informatie in de logbestanden over de personen die de persoonsgegevens van de betrokkene hebben geraadpleegd, kan informatie vormen die valt onder de in artikel 4, punt 1, AVG genoemde informatie, dat in punt 41 van het onderhavige arrest in herinnering is gebracht, aan de hand waarvan de betrokkene kan nagaan of de verwerking van zijn gegevens rechtmatig is, en met name zich ervan kan vergewissen of de verwerking daadwerkelijk is verricht onder het gezag van de verwerkingsverantwoordelijke en overeenkomstig zijn instructies.

Niettemin blijkt uit de verwijzingsbeslissing ten eerste dat aan de hand van de informatie in de logbestanden, zoals die welke in het hoofdgeding aan de orde zijn, de werknemers kunnen worden geïdentificeerd die de verwerkingsactiviteiten hebben verricht, en dat deze informatie persoonsgegevens van deze werknemers bevat in de zin van artikel 4, lid 1, AVG.

In dit verband zij eraan herinnerd dat, wat het in artikel 15 AVG neergelegde recht van inzage betreft, in overweging 63 van deze verordening staat te lezen dat ‘[d]at recht […] geen afbreuk [mag] doen aan de rechten of vrijheden van anderen’.

Op grond van overweging 4 AVG heeft het recht op bescherming van persoonsgegevens immers geen absolute gelding, aangezien het moet worden beschouwd in relatie tot de functie ervan in de samenleving en het tegen andere grondrechten moet worden afgewogen (zie in die zin arrest van 16 juli 2020, Facebook Ireland en Schrems, C-311/18, EU:C:2020:559, punt 172).

Gesteld dat het verstrekken van informatie aan de betrokkene van wie de persoonsgegevens worden verwerkt over de identiteit van de werknemers van de verwerkingsverantwoordelijke noodzakelijk is voor deze betrokkene om zich ervan te vergewissen dat de verwerking van zijn persoonsgegevens rechtmatig is, dan kan dit niettemin afbreuk doen aan de rechten en vrijheden van deze werknemers.

In deze omstandigheden moeten in geval van strijdigheid tussen enerzijds de uitoefening van het recht van inzage — dat de nuttige werking van de door de AVG aan de betrokkene verleende rechten waarborgt — en anderzijds de rechten of vrijheden van anderen, de betrokken rechten en vrijheden tegen elkaar worden afgewogen. Voor zover mogelijk moet worden gekozen voor een wijze die geen afbreuk doet aan de rechten of vrijheden van anderen. Daarbij moet er rekening mee worden gehouden dat deze overwegingen er niet toe mogen ‘leiden dat de betrokkene alle informatie wordt onthouden’, zoals blijkt uit overweging 63 van de AVG (zie in die zin arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 44).

Ten tweede volgt echter uit de verwijzingsbeslissing dat J.M. niet verzoekt om het verstrekken van informatie over de identiteit van de werknemers van Pankki S die zijn persoonsgegevens hebben geraadpleegd, op grond dat zij niet daadwerkelijk onder het gezag en in overeenstemming met de instructies van de verwerkingsverantwoordelijke hebben gehandeld, maar omdat hij lijkt te twijfelen aan de juistheid van de informatie met betrekking tot de doeleinden van die raadplegingen die Pankki S hem heeft meegedeeld.

In dergelijke omstandigheden heeft de betrokkene, indien hij van mening is dat de door de verwerkingsverantwoordelijke verstrekte informatie niet toereikend is om zijn twijfel over de rechtmatigheid van de verwerking van zijn persoonsgegevens te kunnen wegnemen, op grond van artikel 77, lid 1, AVG het recht om een klacht in te dienen bij de toezichthoudende autoriteit, die krachtens artikel 58, lid 1, onder a), van deze verordening de bevoegdheid heeft om de verwerkingsverantwoordelijke te vragen alle informatie te verstrekken die zij nodig heeft om de klacht van de betrokkene te onderzoeken.

Uit een en ander volgt dat artikel 15, lid 1, AVG aldus moet worden uitgelegd dat de informatie met betrekking tot de raadplegingen van de persoonsgegevens van een persoon, over de datums en de doeleinden van deze raadplegingen, informatie is met betrekking waartoe deze persoon krachtens deze bepaling het recht heeft van de verwerkingsverantwoordelijke inzage te verlangen. Die bepaling voorziet daarentegen niet in een dergelijk recht wat de informatie betreft over de identiteit van de werknemers van die verwerkingsverantwoordelijke die onder zijn gezag en overeenkomstig zijn instructies deze raadplegingen hebben verricht, tenzij die informatie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen en mits rekening wordt gehouden met de rechten en vrijheden van die werknemers.

Met zijn derde vraag wenst de verwijzende rechter in wezen te vernemen of de omstandigheid dat de verwerkingsverantwoordelijke in het kader van een gereglementeerde activiteit een bankactiviteit uitoefent en dat voorts de persoon van wie in zijn hoedanigheid van klant van de verwerkingsverantwoordelijke persoonsgegevens zijn verwerkt, ook werknemer was bij deze verwerkingsverantwoordelijke, van belang is voor de bepaling van de omvang van het hem bij artikel 15, lid 1, AVG toegekende recht van inzage.

Om te beginnen moet met betrekking tot de werkingssfeer van het in artikel 15, lid 1, AVG neergelegde recht van inzage worden benadrukt dat geen enkele bepaling van deze verordening onderscheid maakt naargelang de aard van de activiteiten van de verwerkingsverantwoordelijke of de hoedanigheid van de persoon van wie de persoonsgegevens worden verwerkt.

Wat het gereglementeerde karakter van de activiteit van Pankki S betreft, stelt artikel 23 AVG de lidstaten in staat om de reikwijdte van de met name in artikel 15 van deze verordening neergelegde rechten en plichten te beperken door middel van Unierechtelijke en lidstaatrechtelijke wetgevingsmaatregelen.

Uit de verwijzingsbeslissing blijkt evenwel niet dat de activiteit van Pankki S onder een dergelijke wettelijke regeling valt.

Wat voorts de omstandigheid betreft dat J.M. zowel klant als werknemer van Pankki S was, moet worden opgemerkt dat de context waarin de betrokkene verzoekt om inzage in de informatie in de zin van artikel 15, lid 1, AVG, gelet op zowel de doelstellingen van de AVG als ook de omvang van het recht van inzage van deze betrokkene, zoals in herinnering gebracht in de punten 49 en 55 tot en met 59 van het onderhavige arrest, geen invloed kan hebben op de omvang van dit recht.

Dientengevolge moet artikel 15, lid 1, AVG aldus worden uitgelegd dat de omstandigheid dat de verwerkingsverantwoordelijke in het kader van een gereglementeerde activiteit een bankactiviteit uitoefent en dat de persoon van wie in zijn hoedanigheid van klant van de verwerkingsverantwoordelijke de persoonsgegevens zijn verwerkt, ook werknemer was bij deze verwerkingsverantwoordelijke, in beginsel niet van invloed is op de omvang van het recht van deze persoon op grond van deze bepaling.