HvJ EU: recht van inzage

HvJ EU 12 januari 2023, IT 4200; C-154/21, ECLI:EU:C:2023:3 (Österreichische Post) Op 15 januari 2019 heeft RW Österreichische Post verzocht om op grond van artikel 15 AVG inzage te verkrijgen van de hem betreffende persoonsgegevens die Österreichische Post opslaat dan wel in het verleden heeft opgeslagen, alsmede om hem informatie te verstrekken over wie de ontvangers daarvan waren, voor het geval dat deze gegevens aan derden zijn meegedeeld. In antwoord op dit verzoek heeft Österreichische Post zich beperkt tot de mededeling dat zij in het kader van haar activiteit als uitgever van telefoongidsen gebruikmaakt van persoonsgegevens en deze voor marketingdoeleinden aanbiedt aan zakelijke klanten. Afgezien daarvan heeft zij voor nadere informatie en met betrekking tot overige doeleinden van gegevensverwerking verwezen naar een website. Zij heeft RW niet meegedeeld wie de concrete ontvangers van de gegevens waren. RW heeft Österreichische Post gedaagd, de zaak komt uiteindelijk bij het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk). Het Oberste Gerichtshof stelt het Hof de vraag of het recht van inzage beperkt is tot categorieën van ontvangers indien bij de voorgenomen verstrekking van informatie de specifieke ontvangers daarvan nog niet vaststaan, maar dat recht zich noodzakelijkerwijs ook moet uitstrekken tot ontvangers van die informatie wanneer reeds gegevens zijn meegedeeld.

Het Hof oordeelt dat het recht op inzage meebrengt dat de verwerkingsverantwoordelijke verplicht is om aan de betrokkene de identiteit van deze ontvangers mee te delen, tenzij het onmogelijk is om die ontvangers te identificeren of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12 lid 5 AVG. In dat laatste geval hoeft de verwerkingsverantwoordelijke alleen de categorieën van de betreffende ontvangers mee te delen aan die betrokkene.

43. Bijgevolg moet worden geoordeeld dat de informatie die aan de betrokkene wordt verstrekt op grond van het in artikel 15, lid 1, onder c), AVG neergelegde recht van inzage zo nauwkeurig mogelijk moet zijn. In het bijzonder houdt dit recht van inzage in dat de betrokkene van de verwerkingsverantwoordelijke informatie kan verkrijgen over de specifieke ontvangers aan wie de gegevens zijn of zullen worden verstrekt, dan wel ervoor kan kiezen om louter informatie betreffende de categorieën van ontvangers op te vragen.

46. Ook uit het door de AVG nagestreefde doel volgt dus dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke informatie te verkrijgen over de concrete ontvangers aan wie de hem betreffende persoonsgegevens zijn of zullen worden verstrekt.

47. Ten slotte moet er evenwel op worden gewezen dat, zoals blijkt uit overweging 4 AVG, het recht op bescherming van persoonsgegevens geen absoluut recht is. Dit recht moet immers worden beschouwd in relatie tot de functie ervan in de samenleving en moet overeenkomstig het evenredigheidsbeginsel worden afgewogen tegen andere grondrechten, zoals het Hof in wezen opnieuw heeft bevestigd in punt 172 van het arrest van 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559).

48. Om die reden kan worden aangenomen dat het in specifieke omstandigheden niet mogelijk is om informatie te verstrekken over concrete ontvangers. Bijgevolg kan het recht van inzage worden beperkt tot informatie over de categorieën van ontvangers indien het onmogelijk is om informatie te verstrekken over wie de concrete ontvangers daarvan waren, in het bijzonder wanneer deze nog niet bekend zijn.

49. Voorts zij eraan herinnerd dat krachtens artikel 12, lid 5, onder b), AVG de verwerkingsverantwoordelijke overeenkomstig het in artikel 5, lid 2, van die verordening en in overweging 74 ervan bedoelde aansprakelijkheidsbeginsel kan weigeren gevolg te geven aan verzoeken van de betrokkene wanneer deze kennelijk ongegrond of buitensporig van aard zijn, met dien verstande dat de verwerkingsverantwoordelijke de kennelijk ongegronde of buitensporige aard van die verzoeken moet aantonen.

51. Gelet op een en ander moet op de prejudiciële vraag worden geantwoord dat artikel 15, lid 1, onder c), AVG aldus moet worden uitgelegd dat het in die bepaling bedoelde recht van de betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, meebrengt dat de verwerkingsverantwoordelijke, wanneer die gegevens aan ontvangers zijn of zullen worden verstrekt, verplicht is om aan de betrokkene de identiteit van deze ontvangers mee te delen, tenzij het onmogelijk is om die ontvangers te identificeren of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12, lid 5, AVG, in welke gevallen de verwerkingsverantwoordelijke alleen de categorieën van de betreffende ontvangers hoeft mee te delen aan die betrokkene.