Conclusie A-G HvJ EU: onbeperkte verwerking niet toelaatbaar

Conclusie A-G HvJ EU 15 juni 2023, IT 4296; ECLI:EU:C:2023:483 (NG/MVR) In reactie op een prejudiciële verwijzing behandelt Advocaat-Generaal P. Pikamäe de vraag of richtlijn 2016/680 toestaat dat nationale wettelijke maatregelen worden ontworpen die een nagenoeg onbeperkt recht op verwerking van persoonsgegevens ten aanzien van strafbare feiten aan nationale autoriteiten geven. De aanleiding hiertoe is dat de Bulgaarse 'NG' wegens meineed wordt veroordeeld. Als hij verzoekt om zijn gegevens uit het Bulgaarse politiebestand te schrappen, hoort hij dat zijn gegevens voor onbepaalde duur in het bestand zullen worden gehouden. Dat lijkt in strijd met de eerder genoemde richtlijn, die aangeeft dat verwerking van persoonsgegevens door oplsag niet van onbepaalde duur mag zijn. De verwijzende rechter stelt de genoemde prejudiciële vraag aan het Hof van Justitie, waar Pikamäe deze conclusie aan verbindt. 

De Advocaat-Generaal begint zijn conclusie met de opmerking dat de richtlijn van toepassing is op verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten. Daar staat tegenover dat het niet wenselijk is dat persoonsgegevens voor onbeperkte duur worden opgeslagen. De richtlijn eerbiedigt namelijk ook de grondrechten van burgers en de rechten die zijn vastgelegd in het EVRM, met name het recht op eerbieiding van het privéleven. Deze rechten zijn niet onbeperkt, maar eisen wel eerbiediging. Beperkingen mogen aan deze rechten worden opgelegd, mits deze beperkingen 'noodzakelijk zijn en daadwerkelijk beantwoorden aan de door de Unie erkende doelstellingen van algemeneen belang of aan de eisen die voortvloeien uit de bescherming van de rechten en vrijheden van anderen.'

Tegen deze achtergrond kijkt de Advocaat-Generaal naar de opslag van persoonsgegevens voor rechtshandhavingsdoeleinden. Hij stelt daarbij voorop dat er in de Unie bepaalde beginselen leven ten aanzien van gegevensverwerking. Een belangrijke hiervan is het beginsel van 'minimale gegevensverwerking', wat inhoudt dat de verwerking evenredig moet zijn aan het doel van de verwerking. 

De uitspraken van het Hof van Justitie zijn tot nu toe altijd specifiek op een feitencomplex gebaseerd en de gekozen oplossingen laten zich niet zomaar veralgemeniseren tot pasklare rechtsregels. Hier en daar zijn wel patronen te ontwaren. Nationale autoriteiten hebben een plicht om hun bevolking te beschermen, waarbij het opbouwen van bestanden die een efficiënte bijdrage leveren aan de bestrijding van strafbare feiten van grote waarde is. De belangen van opsporing en preventie mogen echter niet leiden tot 'een overdreven logica van maximalisering van de erin opgenomen informatie en van de opslagtermijn ervan.'

De constante afwegingen tussen de belangen van de betrokkene enerzijds en de opsporing en preventie van strafbare feiten anderzijds brengt mee dat elke inbreuk op het privéleven een duidelijke basis in de (nationale) wetgeving moet hebben. Deze wettelijke regeling moet duidelijk zijn in de manier waarop zij wordt toegepast en nauwkeurig aangeven wat haar rijkweidte is, zodat er voldoende waarborgen zijn die de betrokkene beschermen tegen misbruik van zijn verwerkte data. Bij beoordeling van de kwaliteit van nationale wetgeving die verband houdt met de richtlijn moeten hoge eisen worden gesteld. Daarbij moet ook rekening worden gehouden met de aard van de verwerkte persoonsgegevens. 

De uiteindelijke conclusie van de Advocaat-Generaal is dat de richtlijn niet zo mag worden uitegelegd dat zij zich verzet tegen een nationale wettelijke regeling die toestaat persoonsgegevens voor onbepaalde tijd te bewaren in  gevallen waar strafrechtelijke feiten zijn gepleegd zonder verdere differentiatie naar de aard van de verwerkte gegevens en de aard van het gepleegde feit, zeker als de nationale regeling geen uitzicht geeft op het eventuele wissen van de persoonsgegevens.

32 Het Hof heeft het criterium van naleving van de grenzen van de strikte noodzakelijkheid voor de verwerking van persoonsgegevens ook gehanteerd in het kader van de doorgifte, de bewaring en het gebruik van de gegevens van passagiers op vluchten naar of vanuit derde landen (Passenger Name Record – PNR; hierna: „PNR-gegevens”) die door luchtvaartmaatschappijen worden verzameld met het oog op de voorkoming en opsporing van terroristische misdrijven en ernstige criminaliteit.(23) Het Hof heeft erop gewezen dat de PNR-Overeenkomst EU-Canada het mogelijk maakt om gedurende een erg lange tijd over informatie inzake het privéleven van de luchtreizigers te beschikken, aangezien de PNR-gegevens volgens deze overeenkomst tot vijf jaar lang mogen worden bewaard, en dat, wat luchtreizigers betreft voor wie bij hun aankomst in Canada en tot op het ogenblik van hun vertrek uit dat derde land niet is vastgesteld dat zij een gevaar vormen op het gebied van terrorisme of zware grensoverschrijdende criminaliteit, er – zodra zij vertrokken zijn – tussen hun PNR-gegevens en de doelstelling van de voorgenomen overeenkomst geen verband – zij het ook maar indirect – lijkt te bestaan dat de bewaring van deze gegevens rechtvaardigt. Het Hof is daarom tot de slotsom gekomen dat niet kon worden gerechtvaardigd dat de PNR-gegevens van alle luchtreizigers na hun vertrek uit Canada duurzaam worden opgeslagen met het oog op een eventuele toegang tot deze gegevens, los van het bestaan van enig verband met de strijd tegen terrorisme en zware grensoverschrijdende criminaliteit.

44 Wat de inachtneming van het evenredigheidsbeginsel betreft, zij eraan herinnerd dat de bescherming van het grondrecht op eerbieding van het privéleven volgens vaste rechtspraak van het Hof vereist dat de uitzonderingen op de bescherming van de persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven, met dien verstande dat wanneer een keuze mogelijk is tussen meerdere geschikte maatregelen voor de verwezenlijking van de rechtmatig nagestreefde doelstellingen, de maatregel moet worden gekozen die het minst belastend is. Bovendien kan een doelstelling van algemeen belang niet worden nagestreefd zonder dat er rekening mee wordt gehouden dat deze doelstelling met de grondrechten die door de maatregel worden aangetast in overeenstemming moet worden gebracht door haar zorgvuldig af te wegen tegen de op het spel staande rechten, om ervoor te zorgen dat die maatregel geen nadelen berokkent die onevenredig zijn aan het nagestreefde doel. Bijgevolg moet ter beoordeling van de vraag of een beperking van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten kan worden gerechtvaardigd, de ernst van de inmenging worden bepaald die een dergelijke beperking meebrengt, en worden nagegaan of het gewicht van de met die beperking nagestreefde doelstelling van algemeen belang in verhouding staat tot die ernst.

54 Bij die toetsing moet in het onderhavige geval rekening worden gehouden met het doel van het politiebestand, de aard van de betrokken strafbare feiten, het aantal personen dat in het bestand kan worden opgenomen, de bijzondere gevoeligheid van de verzamelde persoonsgegevens en de duur van de opslag ervan, de in de nationale regeling opgenomen wettelijke en/of technische waarborgen voor de raadpleging van het bestand en het toezicht op het behoud van de gegevens in dat bestand.

77.      Gelet op het voorgaande geef ik het Hof in overweging om de Varhoven administrativen sad als volgt te antwoorden:

„De artikelen 4, 5, 8 en 10 en artikel 16, lid 2, van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad, gelezen in onderlinge samenhang en in het licht van artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie,

moeten aldus worden uitgelegd dat

zij zich verzetten tegen een nationale wettelijke regeling op grond waarvan de persoonsgegevens, waaronder de biometrische en genetische gegevens, van eenieder die strafrechtelijk is veroordeeld wegens een opzettelijk gepleegd strafbaar feit, zonder verdere differentiatie naar de aard of de ernst ervan, tot aan het overlijden van de betrokkene in een politiebestand worden opgeslagen, en die niet de mogelijkheid biedt om toezicht uit te oefenen op het behoud van die gegevens in dat bestand in het licht van de tijd die sinds het moment dat zij daarin zijn opgenomen is verstreken en om deze vervolgens eventueel te laten wissen.

Bij de toetsing of de duur van de opslag van de gegevens evenredig is aan het doel van de verwerking in het licht van de situatie van de veroordeelde persoon, kan ook rekening worden gehouden met het feit dat hij is gerehabiliteerd.”