A-G: databanken met persoonsgegevens mogen onder voorwaarden verkocht worden

HvJEU AG 22 februari 2024, IT 4496; ECLI:EU:C:2024:162 (I. sp. z o. o. tegen M. W.). De in Polen gevestigde vennootschap I. (hierna: verzoekster) heeft een schuldvordering tegen de vennootschap NMW. Verzoekster is ter inning van deze vordering een tenuitvoerleggingsprocedure ingeleid. Volgens de rechter moet de vraag worden beantwoord of de door NMW gecreëerde databanken met persoonsgegevens in het kader van een tenuitvoerleggingsprocedure kunnen worden overgedragen. Bij een bevestigend antwoord zou het beroep in het hoofdgeding namelijk worden verworpen. De Poolse rechter stelt de volgende prejudiciële vraag:

„Moet artikel 5, lid 1, onder a), [AVG] juncto artikel 6, lid 1, onder a), c) en e), en lid 3, [AVG] aldus worden uitgelegd dat het zich verzet tegen een nationale regeling die in het kader van een procedure van gedwongen tenuitvoerlegging de verkoop toestaat van een databank in de zin van artikel 1, lid 2, van [richtlijn 96/9] met persoonsgegevens, wanneer de personen op wie die gegevens betrekking hebben niet met een dergelijke verkoop hebben ingestemd?”

Artikel 6, lid 1, eerste alinea, van de AVG bevat een uitputtende en limitatieve lijst van hypothesen waarin rechtmatig wordt verwerkt. De A-G oordeelt dat onderhavige casus onder sub e (de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen) van dit artikel zou vallen.

In casu staat vast dat de gebruikers van het platform niet hebben ingestemd met een verwerking voor een ander doel dan dat waarvoor hun gegevens zijn verzameld. De vraag die dan gesteld moet worden, is of dergelijke maatregel beschouwd kan worden als een noodzakelijke en evenredige maatregel ter waarborging van een van de doelstellingen van artikel 23, lid 1, AVG. Wat betreft de noodzakelijkheid constateert de A-G geen probleem. Of de maatregel evenredig is, betwijfelt de A-G. In dit geval staat het recht op eigendom tegenover het recht op bescherming van persoonsgegevens. De A-G oordeelt dat een dergelijke opoffering van het recht op bescherming van persoonsgegevens niet beschouwd kan worden als een evenredige maatregel. Indien een verwerking van persoonsgegevens door de deurwaarder een maatregel vormt die in een democratische samenleving noodzakelijk en evenredig is om de inning van een civielrechtelijke vordering te waarborgen, is verkoop van databanken in beginsel wel toelaatbaar.

73. Artikel 6, lid 1, eerste alinea, onder e), AVG juncto artikel 6, lid 3, AVG vereisen dus een rechtsgrondslag, met name in het nationale recht, die dient als rechtsgrond voor de verwerking van persoonsgegevens door verwerkingsverantwoordelijken die handelen in het kader van met name de uitoefening van openbaar gezag, zoals de deurwaarder bij de gedwongen tenuitvoerlegging tegen de activa van een vennootschap.

74. In mijn ogen bestaat deze rechtsgrondslag uit het geheel van de Poolse rechtsregels die zijn genoemd in de eerste volzin van punt 69 in deze conclusie, waaruit blijkt dat de deurwaarder als openbaar gezagsdrager met alle toegestane methoden gevolg moet geven aan elk verzoek tot gedwongen tenuitvoerlegging.

76. Het doel van de verwerking van persoonsgegevens door de deurwaarder, namelijk de gedwongen verkoop van de databanken met gebruikers van het platform M. om de schuldeisers van de vennootschap NMW af te lossen, is namelijk anders dan het oorspronkelijke doel van de verwerking van persoonsgegevens door deze vennootschap, namelijk het platform M. te kunnen gebruiken voor de onlineverkoopactiviteiten van deze vennootschap.

77. Wat dat betreft zij eraan herinnerd dat persoonsgegevens volgens artikel 5, lid 1, onder b), AVG, waarin het beginsel van „doelbinding” is neergelegd, ten eerste voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld, en vervolgens niet verder op een met die doeleinden onverenigbare wijze mogen worden verwerkt. Deze bepaling vermeldt evenwel niet aan welke voorwaarden een verdere verwerking van persoonsgegevens moet voldoen om verenigbaar te zijn met het doel van de oorspronkelijke gegevensverzameling.

82. Wat dit betreft lijkt het me nodig te verduidelijken dat deze hypothese door het Hof is uitgelegd als een echte uitzondering op het beginsel van doelbinding. Steunend op overweging 50 AVG heeft het Hof aangegeven dat de verwerkingsverantwoordelijke aldus de mogelijkheid heeft om de persoonsgegevens verder te verwerken teneinde belangrijke doelstellingen van algemeen belang in artikel 23, lid 1, AVG te waarborgen, ongeacht of deze verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Zo heeft het geoordeeld dat artikel 6, lid 4, eerste volzin, van deze verordening van toepassing is op de door een rechterlijke instantie in het kader van een civiele gerechtelijke procedure gelaste overlegging, als bewijs, van een document met persoonsgegevens van derden die hoofdzakelijk met het oog op belastingcontrole zijn verzameld.

94. In die situatie lijkt de verwerking in kwestie mij een excessieve opoffering van het recht op bescherming van persoonsgegevens en kan deze dus niet worden beschouwd als een evenredige maatregel. Een dergelijk resultaat zou bijvoorbeeld kunnen worden voorkomen door een nationale rechtsregel die de deurwaarder verplicht om in het voor de openbare verkoop opgestelde bestek een beding op te nemen dat de derde verwerver de AVG moet naleven.