HvJ EU over het mondeling verstrekken van (persoons)gegevens

HvJ EU 7 maart 2024, IT 4502, ECLI:EU:C:2024:216 (Endemol Shine Finland). Endemol Shine Finland heeft de Finse bodemrechter verzocht om informatie over strafzaken tegen een natuurlijke persoon, teneinde de strafrechtelijke antecedenten van deze persoon na te gaan. In hoger beroep heeft de rechter aangevoerd dat de mondelinge verstrekking van de door haar gevraagde informatie geen verwerking van persoonsgegevens in de zin van artikel 4, punt 2, AVG vormt. De verwijzende rechter legt dit voor aan het Hof. Zij vraagt het Hof ook hoe de beperkingen op de verwerking van persoonsgegevens zich verhoudt ten opzichte van het recht van toegang van het publiek tot officiële documenten.

Het Hof beantwoordt als volgt. De AVG is van toepassing op zowel de geautomatiseerde verwerking van persoonsgegevens als de handmatige verwerking van dergelijke gegevens om zodoende bescherming te bieden aan personen wier gegevens worden verwerkt en dit niet te laten afhangen van de gebruikte technologieën en een ernstig risico op omzeiling van deze bescherming te voorkomen. Aangezien mondelinge verstrekking als zodanig een niet-geautomatiseerde verwerking is, moeten de gegevens die worden verwerkt in een “bestand” zijn “opgenomen” of “bestemd zijn om daarin te worden opgenomen”, wil die verwerking binnen de materiële werkingssfeer van de AVG vallen. Het Hof oordeelt dat hier sprake is van een dergelijke situatie. Het mondeling verstrekken van informatie valt in casu dus onder het verwerken van persoonsgegevens voor zover deze informatie in een bestand is opgenomen of bestemd is om daarin te worden opgenomen.

Verder oordeelt het Hof dat het grondrecht op eerbiediging van het privéleven en het grondrecht op bescherming van persoonsgegevens geen absolute gelding hebben, maar moeten worden beschouwd in relatie tot hun functie in de samenleving en moeten worden afgewogen tegen andere grondrechten. In dit geval zouden de bepalingen uit de AVG het mondeling verstrekken van strafrechtelijke informatie over een natuurlijke persoon, zonder dat de persoon die om verstrekking verzoekt hoeft aan te tonen dat hij een specifiek belang heeft bij het verkrijgen van die gegevens, in de weg staan.

37. In dit verband heeft het Hof reeds geoordeeld dat, om het in punt 34 van het onderhavige arrest in herinnering gebrachte doel te bereiken, deze bepaling een ruime omschrijving geeft van het begrip „bestand” in de zin van „elk” gestructureerd geheel van persoonsgegevens. Bovendien beoogt het vereiste dat het geheel van persoonsgegevens moet zijn „gestructureerd volgens specifieke criteria”, uitsluitend ervoor te zorgen dat de persoonsgegevens gemakkelijk kunnen worden teruggevonden. Behalve dit vereiste bevat artikel 4, punt 6, AVG geen enkele bepaling over de wijze waarop een bestand moet worden gestructureerd, en over de vorm die een dergelijk bestand moet hebben. In het bijzonder blijkt uit deze bepaling noch uit enige andere bepaling van deze verordening dat de betrokken persoonsgegevens moeten zijn opgenomen op steekkaarten, op specifieke lijsten of in een ander ordeningssysteem om tot de slotsom te kunnen komen dat er sprake is van een bestand in de zin van die verordening (zie naar analogie arrest van 10 juli 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, punten 56-58).

52. In dit laatste opzicht zij eraan herinnerd dat het grondrecht op eerbiediging van het privéleven en het grondrecht op bescherming van persoonsgegevens geen absolute gelding hebben, zoals staat te lezen in overweging 4 AVG, maar moeten worden beschouwd in relatie tot hun functie in de samenleving en moeten worden afgewogen tegen andere grondrechten. Beperkingen zijn dan ook mogelijk, mits zij overeenkomstig artikel 52, lid 1, van het Handvest bij wet worden gesteld alsook de wezenlijke inhoud van de grondrechten en het evenredigheidsbeginsel eerbiedigen. Op grond van dit beginsel kunnen slechts beperkingen worden gesteld indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen die voortvloeien uit de bescherming van de rechten en vrijheden van anderen. Zij moeten binnen de grenzen van het strikt noodzakelijke blijven en de regeling die inbreuk maakt op de betreffende grondrechten, moet duidelijke en nauwkeurige regels bevatten over de draagwijdte en de toepassing van de maatregel in kwestie [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 105].

53. Om vast te stellen of de openbaarmaking van persoonsgegevens betreffende strafrechtelijke veroordelingen noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag in de zin van artikel 6, lid 1, onder e), AVG, en of de wettelijke regeling op grond waarvan die openbaarmaking is toegestaan, passende waarborgen voor de rechten en vrijheden van de betrokkenen biedt in de zin van artikel 10 van deze verordening, moet bijgevolg in het bijzonder worden nagegaan of de openbaarmaking van die gegevens – gelet op de ernst van de inbreuk die aldus wordt gemaakt op het grondrecht op eerbiediging van het privéleven en het grondrecht op bescherming van persoonsgegevens – gerechtvaardigd lijkt en met name evenredig is aan de verwezenlijking van de nagestreefde doelstellingen [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 106].