HvJ EU: persoonsgegevens openbare telefoongids

HvJ EU 27 oktober 2022, IT 4133; ECLI:EU:C:2022:833 (Proximus tegen Gegevensbeschermingsautoriteit) Proximus is een aanbieder van telecommunicatiediensten in België. Proximus biedt ook telefoongidsen en telefooninlichtingendiensten aan. Die telefoongidsen bevatten de naam, het adres en het telefoonnummer van de abonnees van de verschillende aanbieders van telefoondiensten die voor het publiek beschikbaar zijn. De operatoren verstrekken deze contactgegevens aan Proximus, tenzij de abonnee de wens heeft geuit niet te worden vermeld in de telefoongidsen. Proximus zendt de contactgegevens die zij ontvangt ook door naar een andere aanbieder van telefoongidsen. De klager is een abonnee van Telenet, een operator van telefoondiensten die op de Belgische markt actief is. Telenet geeft geen abonneelijsten uit, maar zendt de contactgegevens van haar abonnees door naar aanbieders van abonneelijsten, onder meer naar Proximus. Er ontstaat een geschil met betrekking tot de verwerking van persoonsgegevens. Het Hof bevestigt dat de toestemming van een naar behoren geïnformeerde abonnee noodzakelijk is om zijn persoonsgegevens te kunnen publiceren in een openbare telefoongids en dat de toestemming zich uitstrekt tot elke latere verwerking van de gegevens door derde ondernemingen die actief zijn op de markt voor openbare telefooninlichtingendiensten en telefoongidsen, op voorwaarde dat deze verwerkingen ditzelfde doel hebben. Deze toestemming vereist een „vrije, specifieke, geïnformeerde en ondubbelzinnige” wilsuiting van de betrokkene die de vorm aanneemt van een verklaring of „een ondubbelzinnige actieve handeling” waaruit blijkt dat hij de verwerking van hem betreffende persoonsgegevens aanvaardt. 

Verder moeten abonnees de gelegenheid krijgen om hun persoonsgegevens te laten verwijderen uit telefoongidsen. Het verzoek van een abonnee tot verwijdering van zijn persoonsgegevens kan worden beschouwd als een uitoefening van het recht op wissing van die gegevens in de zin van de AVG. Vervolgens bevestigt het Hof dat een verantwoordelijke voor de verwerking van persoonsgegevens passende technische en organisatorische maatregelen moet treffen om de andere aanbieders van telefoongidsen aan wie hij dergelijke gegevens heeft verstrekt, op de hoogte te stellen van het feit dat de betrokkene zijn toestemming heeft ingetrokken. Tevens moet deze verwerkingsverantwoordelijke de operator van telefoondiensten die hem die persoonsgegevens heeft verstrekt op de hoogte brengen, zodat deze de lijst van persoonsgegevens aanpast die hij automatisch naar die aanbieders van telefoongidsen doorstuurt. Tot slot moet de verwerkingsverantwoordelijke maatregelen nemen om de exploitanten van zoekmachines op de hoogte te stellen van het tot hem gerichte verzoek van een abonnee van een operator van telefoondiensten om zijn persoonsgegevens te wissen.

49. Wanneer een abonnee door een operator van telefoondiensten, zoals Telenet, op de hoogte is gebracht van het feit dat hem betreffende persoonsgegevens kunnen worden doorgegeven aan een derde onderneming, zoals Proximus of andere derden, om in een openbare telefoongids te worden gepubliceerd, en deze abonnee toestemming heeft gegeven voor de publicatie van die gegevens in een dergelijke telefoongids, hoeft voor het doorgeven van diezelfde gegevens door die operator of die onderneming aan een andere onderneming die een gedrukte of elektronische openbare telefoongids beoogt te publiceren of ervoor beoogt te zorgen dat deze gidsen via inlichtingendiensten toegankelijk zijn, dan ook niet opnieuw toestemming van die abonnee te worden verkregen indien wordt gewaarborgd dat de betrokken gegevens niet voor andere doeleinden zullen worden gebruikt dan die waarvoor zij met het oog op de eerste publicatie ervan zijn verzameld. De in artikel 12, lid 2, van richtlijn 2002/58 bedoelde toestemming van een naar behoren geïnformeerde abonnee voor de publicatie van hem betreffende persoonsgegevens in een openbare telefoongids heeft immers betrekking op het doel van deze publicatie en omvat dus ook elke latere verwerking van deze gegevens door derde ondernemingen die actief zijn op de markt voor openbare telefooninlichtingendiensten en telefoongidsen, op voorwaarde dat deze verwerking ditzelfde doel heeft (arrest van 5 mei 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, punt 65).

71. Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 17 AVG aldus moet worden uitgelegd dat het verzoek van een abonnee tot verwijdering van zijn persoonsgegevens uit abonneelijsten een uitoefening van het „recht op gegevenswissing” in de zin van dit artikel vormt.

83. Uit de algemene verplichtingen van artikel 5, lid 2, en artikel 24 AVG, gelezen in samenhang met artikel 19 daarvan, vloeit voort dat een verantwoordelijke voor de verwerking van persoonsgegevens, zoals Proximus, passende technische en organisatorische maatregelen moet treffen om de andere aanbieders van abonneelijsten aan wie hij dergelijke gegevens heeft verstrekt, te informeren omtrent de tot hem gerichte intrekking van de toestemming door de betrokkene. In omstandigheden als aangegeven in punt 76 van het onderhavige arrest moet een dergelijke verwerkingsverantwoordelijke er ook voor zorgen dat de operator van telefoondiensten die hem die persoonsgegevens heeft verstrekt, op de hoogte wordt gebracht, opdat deze laatste de lijst van persoonsgegevens die hij automatisch naar die aanbieder van abonneelijsten doorstuurt, aanpast en de gegevens van zijn abonnees die te kennen hebben gegeven dat zij hun toestemming voor openbaarmaking van deze gegevens willen intrekken, apart houdt.

90. Gelet op de voorgaande overwegingen moet op de derde vraag worden geantwoord dat artikel 5, lid 2, en artikel 24 AVG aldus moeten worden uitgelegd dat een nationale toezichthoudende autoriteit kan eisen dat de aanbieder van abonneelijsten, als verwerkingsverantwoordelijke, passende technische en organisatorische maatregelen neemt om de derde verwerkingsverantwoordelijken, te weten de operator van telefoondiensten die hem de persoonsgegevens van zijn abonnee heeft verstrekt en de andere aanbieders van abonneelijsten aan wie hij die gegevens heeft verstrekt, te informeren over de intrekking van de toestemming door die abonnee.

96. Bijgevolg moet in omstandigheden als die van het hoofdgeding worden geoordeeld dat een verwerkingsverantwoordelijke als Proximus krachtens artikel 17, lid 2, AVG redelijke maatregelen dient te nemen om de aanbieders van zoekmachines op de hoogte te stellen van het tot haar gerichte verzoek van een abonnee van een operator van telefoondiensten om zijn persoonsgegevens te wissen. Zoals de advocaat-generaal in punt 76 van zijn conclusie heeft opgemerkt, bepaalt artikel 17, lid 2, AVG dat bij de beoordeling of de door de aanbieder van abonneelijsten genomen maatregelen redelijk zijn, rekening moet worden gehouden met de beschikbare technologie en de uitvoeringskosten, een taak die voornamelijk op de daartoe bevoegde autoriteit neerkomt, en die ter beoordeling aan een rechter kan worden voorgelegd.