HvJ EU: risico op identificatie natuurlijke persoon door persbericht

HvJ EU 7 maart 2024, IT 4500; ECLI:EU:C:2024:215 (Rekwirante tegen Europese Commissie). Rekwirante is een academisch onderzoekster en kreeg via de Europese Onderzoeksraad een subsidie voor haar project bij de Aristoteles-universiteit. De universiteit heeft na voltooiing van het project (onder meer) de personeelskosten gedeclareerd bij het ERCEA. Het ERCEA stelde dat het bedrag niet subsidiabel was en heeft het Europees Bureau voor fraudebestrijding (OLAF) ingeschakeld. OLAF heeft onderzoek gedaan en een persbericht gepubliceerd over de fraudezaak. Rekwirante vordert aan de hand van dit persbericht immateriële schadevergoeding. Zij stelt dat OLAF de bepalingen van verordening 2018/1725 betreffende de bescherming van persoonsgegevens heeft geschonden.

Het Hof gaat in op de betekenis van "persoonsgegevens" in de zin van de AVG en wijst op de bedoeling van de Uniewetgever om het een ruime betekenis te geven. Het persbericht bevatte informatie over rekwirante die haar identificatie mogelijk kon maken en haar dus “identificeerbaar” maakt. Het kan dan gaan om zowel directe als indirecte identificeerbaarheid. Dit zou betekenen dat voor de kwalificatie van "persoonsgegevens" niet nodig is dat dit gegeven het op zichzelf mogelijk maakt de betrokken persoon te identificeren. Bij de indirecte identificatie zal gebruik gemaakt moeten worden van andere informatie gecombineerd met de betreffende persoonsgegevens om tot identificatie over te kunnen. Het Hof oordeelt dat niet vereist is dat deze “andere” informatie van dezelfde bron afkomstig is. Een persbericht over beweerd onrechtmatig gedrag, zoals fraude of corruptie, kan de belangstelling van het publiek wekken en journalisten ertoe aanzetten zoekopdrachten te verrichten naar de persoon op wie het persbericht betrekking heeft. Hierdoor is het risico dat rekwirante wordt geïdentificeerd niet onbeduidend. Het Hof oordeelt dat sprake is van een onrechtmatige verwering van persoonsgegegevens. 

55. In dit verband blijkt uit de overwegingen in de punten 48 tot en met 51 van het onderhavige arrest dat het inherent is aan de „indirecte identificatie” van een persoon dat extra informatie moet worden gecombineerd met de betrokken gegevens teneinde de betrokkene te identificeren. Hieruit volgt tevens dat, anders dan het Gerecht in de punten 49 en 87 van het bestreden arrest heeft geoordeeld, de identificeerbaarheid van een persoon geenszins uitgesloten is doordat deze extra informatie afkomstig is van een andere persoon of bron dan de betrokken verwerkingsverantwoordelijke.

59. Wat de vraag betreft of het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting bij de juridische kwalificatie van de feiten wat de identificeerbaarheid van rekwirante betreft, bevat het litigieuze persbericht – zoals het Gerecht in de punten 53 tot en met 55 van het bestreden arrest in wezen heeft opgemerkt – bepaalde informatie over rekwirante die haar identificatie mogelijk kon maken, namelijk haar geslacht, nationaliteit en beroep, de vermelding dat het ging om een jonge persoon en het feit dat zij verantwoordelijk was voor het betrokken gefinancierde onderzoeksproject. Voorts werden vermeld: het subsidiebedrag, de toekenningsinstantie (te weten ERCEA), alsmede de aard van de entiteit die als gastinstelling optrad voor het project en het land waar deze entiteit zich bevond (te weten een universiteit in Griekenland). Ten slotte verwijst dit persbericht naar de vader van de betrokkene, het feit dat hij zijn beroep binnen diezelfde entiteit uitoefende en het geschatte aantal onderzoekers dat onder leiding van de betrokkene aan dat project werkte.

61. In deze context kan op basis van de in punt 51 hierboven in herinnering gebrachte rechtspraak van het Hof het risico dat de betrokkene wordt geïdentificeerd, niet als onbeduidend worden aangemerkt. In dit verband zijn gegevens als die welke in het vorige punt van het onderhavige arrest zijn vermeld, in hun geheel beschouwd, van dien aard dat zij het voor personen die op hetzelfde wetenschappelijke gebied werkzaam zijn mogelijk maken om de betrokkene te identificeren, zonder dat deze identificatie – gelet op de vereiste tijd, kosten en mankracht – een excessieve inspanning vergt. Anders dan de Commissie heeft betoogd, hoefde rekwirante bovendien niet aan te tonen dat zij daadwerkelijk door een van deze personen was geïdentificeerd, aangezien artikel 3, punt 1, van verordening 2018/1725 geen dergelijk vereiste stelt en enkel eist dat een persoon „identificeerbaar” is.

63. Een persbericht over beweerd onrechtmatig gedrag, zoals fraude of corruptie, kan de belangstelling van het publiek wekken en de lezers, met name journalisten, ertoe aanzetten zoekopdrachten te verrichten naar de persoon op wie het persbericht betrekking heeft. In een dergelijke context is een inspanning om dergelijke zoekopdrachten te verrichten op een website als die van ERCEA door de beschrijving te doorlopen van ongeveer 70 gefinancierde projecten die op deze website zijn vermeld, in combinatie met andere zoekopdrachten op het internet waarmee de naam en andere identificatiemiddelen van de persoon op wie het persbericht betrekking heeft waarschijnlijk kunnen worden gevonden, geenszins excessief, zodat het risico dat rekwirante wordt geïdentificeerd door journalisten of andere personen die haar beroepsloopbaan niet kennen, niet als onbeduidend in de zin van de in punt 51 van het onderhavige arrest aangehaalde rechtspraak kan worden aangemerkt.