Maakt opdrachtgever buiten de EU door inschakelen recherche 'gebruik van middelen'?
Prejudiciële vragen aan HvJEU 28 april 2015, IT&R 1778, zaak C-191/15 (Rease & Wullems)
Vragen gesteld door de Raad van State. Rease woont sinds 2005 bij zijn levenspartner Wullems in Amsterdam. Hij ontving tussen 2000 tot eind 2010 een arbeidsongeschiktheidsuitkering van Prudential Insurance Company of America (PICA). PICA stopt de uitkering na een onderzoek in 2008 door eerst een in het VK gevestigd detectivebureau (JHI) en daarna door een Amerikaans bureau (G4S), die beide gegevens over de persoonlijke omstandigheden van Rease hebben verzameld en doorgespeeld aan PICA. PICA heeft ook medische informatie laten opvragen door het Britse Health Claims Bureau (HCB) bij een arts van het Academisch Medisch Centrum (AMC). Verzoekers starten een procedure bij het College bescherming persoonsgegevens (Cbp). Zij vragen Cbp een onderzoek in te stellen naar overtreding van de Wbp door PICA en de ingeschakelde recherchebureaus. Daarnaast eisen zij optreden tegen de verstrekking van medische gegevens door een arts van het AMC aan HCB. Cbp stelt dat hij niet bevoegd is handhavend op te treden jegens in de VS gevestigde PICA en evenmin jegens HCB dat onderworpen is aan Brits recht.
In deze gevallen heeft de verwerking van persoonsgegevens niet op NL grondgebied plaatsgevonden. Cbp kan wel handhavend optreden tegen G4S dat gebruik heeft gemaakt van zijn vestiging in NL, en onderzoek doen naar het doorgeven van gegevens door het AMC. Maar op grond van beleidsregels (overtredingen niet ernstig en structureel en er worden niet veel mensen getroffen) wordt het verzoek toch afgewezen.In beroep bij de Rb AMS vernietigt deze het besluit voor zover daarbij het bezwaar tegen de onbevoegdheid van het Cbp met betrekking tot het AMC ongegrond is verklaard. Verder laat de Rb de rechtsgevolgen van het vernietigde deel in stand. Verzoekers zijn het niet eens dat het Cbp tegen PICA, JHI en HCB niet bevoegd zou zijn en zij laken het voor individuen ontbreken van effectieve rechtsbescherming. Zij gaan in hoger beroep bij de verwijzende rechter.
De verwijzende NL rechter (RvS) oordeelt dat de Wbp hier van toepassing is. Niet in geschil is dat het Cbp bevoegd is voor zover het de verwerking van de persoonsgegevens door het AMC en G4S betreft. Maar beoordeeld moet worden of het Cbp bevoegd is te oordelen over verwerking in NL van persoonsgegevens door JHI in opdracht van PICA. Een medewerker van JHI heeft persoonlijk in NL onderzoek gedaan door onder meer de woning van verzoekers in de gaten te houden en daarvan filmverslag te doen. Daarnaast vraagt de verwijzende rechter zich af of het EULS is toegestaan beleidsregels op te stellen die ruimte geven om gemotiveerd af te zien van handhaving. Hij stelt het HvJEU de volgende vragen:
1) Valt het door een voor de verwerking verantwoordelijke, als bedoeld in artikel 2, aanhef en onder d, van de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995 L 281), buiten de EU opdrachtgeven aan een recherchebureau gevestigd binnen de EU om middelen in te zetten voor de verwerking van persoonsgegevens op het grondgebied van een lidstaat onder het gebruik maken van middelen als bedoeld in artikel 4, eerste lid, aanhef en onder c, van die richtlijn?
2) Laat de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995 L 281), in het bijzonder artikel 28, derde en vierde lid, gelet op de doelstelling van die richtlijn, ruimte aan de nationale autoriteiten om bij handhaving van de in die richtlijn gegeven bescherming van de individuele persoon door de toezichthoudende autoriteit prioriteiten te stellen die ertoe leiden dat handhaving achterwege blijft in het geval slechts een individu of een kleine groep personen over de overtreding van die richtlijn klaagt?
