Hof van Justitie EU: Persoonsgegevens moeten breed uitgelegd

Hof van Justitie EU 22 juni 2023, IT 4301, ECLI:EU:C:2023:501 (J.M./Pankki) In deze zaak worden ten behoeve van J.M., die een tijdje bij de bank Pankki S werkte en daar ook zelf klant was, enkele vragen aan het Hof van Justitie gesteld. Zijn klacht is dat enkele van zijn medewerkers zijn persoonlijke data in het bankenregister hebben bekeken. Hij vraagt Pankki S wie zijn data heeft bekeken en de reden van het onderzoek. De bank weigert deze informatie af te staan, maar vertelt J.M. wel dat zijn data werd bekeken omdat er iemand met dezelfde achternaam als J.M. bij de bank kwam en het verstandig werd geacht om te kijken of er geen  gevaar voor belangenverstrengeling bestond. De bank voegt hieraan toe dat gegevensverwerking van J.M. hiervoor noodzakelijk was. Aan het verzoek van J.M. wordt verder geen gehoor gegeven. Hierop stapt hij naar de rechter, die zijn vragen tot het Hof richt.

De vragen richten zich op de manier waarop de AVG moet worden uitgelegd. De vraag is of informatie die wordt opgeslagen in het onderzoeksproces naar data van de betrokkene ook opgevraagd kan worden onder de AVG.

Het Hof van Justitie stelt dat dit het geval is. Zowel de informatie die is opgedaan en verwerkt in een onderzoeksproces waarin persoonsgegevens van een betrokkene, als ook de redenen achter het onderzoek, moet op verzoek van de betrokkene worden gedeeld. Persoonsgegevens van degene die het onderzoek heeft uitgevoerd hoeven, in de regel, niet te worden gedeeld. In zaken waarin informatie over de onderzoeker wordt gevorderd moet een belangenafweging worden gemaakt tussen het recht van de betrokkene en de rechten en vrijheden van de onderzoeker. Dat J.M. bij een bank werkte en de gegevensverwerkende entiteit ook zijn werkgever was, doet niet af aan het recht van J.M. om te weten hoe er met zijn persoonsgegevens wordt omgegaan. 

48 À cet égard, la Cour a jugé que la personne concernée a le droit d’obtenir du responsable du traitement des informations sur les destinataires concrets auxquels les données à caractère personnel la concernant ont été ou seront communiquées [arrêt du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles), C‑154/21, EU:C:2023:3, point 46].

58 En particulier, ce droit d’accès est nécessaire pour permettre à la personne concernée d’exercer, le cas échéant, son droit à la rectification, son droit à l’effacement (« droit à l’oubli ») et son droit à la limitation du traitement, qui lui sont reconnus, respectivement, par les articles 16 à 18 du RGPD, son droit d’opposition au traitement de ses données à caractère personnel, prévu à l’article 21 du RGPD, ainsi que son droit de recours en cas de dommage subi, prévu aux articles 79 et 82 du RGPD (arrêt du 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C‑487/21, EU:C:2023:369, point 35 ainsi que jurisprudence citée).

82 Dans de telles circonstances, si la personne concernée devait considérer que les informations communiquées par le responsable du traitement sont insuffisantes pour lui permettre de dissiper les doutes qu’elle éprouve quant à la licéité du traitement dont ont fait l’objet ses données à caractère personnel, elle dispose, sur le fondement de l’article 77, paragraphe 1, du RGPD, du droit de saisir l’autorité de contrôle d’une réclamation, cette autorité détenant le pouvoir, en vertu de l’article 58, paragraphe 1, sous a), de ce règlement, de demander au responsable du traitement de lui communiquer toute information dont elle a besoin pour examiner la réclamation de la personne concernée.

88 S’agissant, d’autre part, de la circonstance que J.M. a été à la fois client et employé de Pankki S, il convient de relever que, eu égard non seulement aux objectifs du RGPD mais aussi à l’étendue du droit d’accès dont bénéficie la personne concernée, tels que rappelés aux points 49 et 55 à 59 du présent arrêt, le contexte dans lequel cette personne demande un accès aux informations visées à l’article 15, paragraphe 1, du RGPD ne saurait exercer une quelconque influence sur l’étendue de ce droit.