Gevoegde zaken C‑468/10 en C‑469/10

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)

en

Federación de Comercio Electrónico y Marketing Directo (FECEMD)

tegen

Administración del Estado

(verzoeken van het Tribunal Supremo om een prejudiciële beslissing)

„Verwerking van persoonsgegevens – Richtlijn 95/46/EG – Artikel 7, sub f – Rechtstreekse werking”

Samenvatting van het arrest

1.        Harmonisatie van wetgevingen – Bescherming van natuurlijke personen in verband met verwerking van persoonsgegevens – Richtlijn 95/46 – Volledige harmonisatie – Uitputtende lijst van gevallen van rechtmatige verwerking van persoonsgegevens

(Richtlijn 95/46 van het Europees Parlement en de Raad, art. 7)

2.        Harmonisatie van wetgevingen – Bescherming van natuurlijke personen in verband met verwerking van persoonsgegevens – Richtlijn 95/46 – Voorwaarden waaronder verwerking van persoonsgegevens rechtmatig is

(Handvest van de grondrechten van de Europese Unie, art. 7 en 8; richtlijn 95/46 van het Europees Parlement en de Raad, art. 5 en 7, sub f)

3.        Harmonisatie van wetgevingen – Bescherming van natuurlijke personen in verband met verwerking van persoonsgegevens – Richtlijn 95/46 – Beoordelingsmarge van lidstaten – Omvang

(Richtlijn 95/46 van het Europees Parlement en de Raad, art. 5)

4.        Harmonisatie van wetgevingen – Bescherming van natuurlijke personen in verband met verwerking van persoonsgegevens – Richtlijn 95/46 – Voorwaarden waaronder verwerking van persoonsgegevens rechtmatig is

(Handvest van de grondrechten van de Europese Unie, art. 7 en 8; richtlijn 95/46 van het Europees Parlement en de Raad, art. 7, sub f)

5.        Grondrechten – Eerbiediging van privéleven – Bescherming van persoonsgegevens – Beperkingen toegestaan krachtens Handvest van grondrechten van Europese Unie

(Handvest van de grondrechten van de Europese Unie, art. 7, 8 en 52, lid 1)

6.        Handelingen van de instellingen – Richtlijnen – Rechtstreekse werking – Voorwaarden

(Art. 249, derde alinea, EG; richtlijn 95/46 van het Europees Parlement en de Raad, art. 7, sub f)

1.        De in richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens bedoelde harmonisatie van de nationale wettelijke regelingen beperkt zich niet tot een minimumharmonisatie, maar dient in beginsel tot een volledige harmonisatie te leiden. Vanuit die optiek wil die richtlijn het vrije verkeer van persoonsgegevens verzekeren en tevens een hoog beschermingsniveau verzekeren van de rechten en belangen van de personen op wie die gegevens betrekking hebben. Derhalve vloeit uit dat doel voort dat artikel 7 van die richtlijn een uitputtende lijst bevat van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt. Hieruit volgt dat de lidstaten aan artikel 7 van die richtlijn geen nieuwe beginselen betreffende de toelaatbaarheid van de verwerking van persoonsgegevens mogen toevoegen, noch bijkomende vereisten mogen vaststellen die de reikwijdte van een van de in dat artikel vervatte beginselen zouden wijzigen.

Aan die uitlegging wordt geen afbreuk wordt gedaan door de bevoegdheid van de lidstaten om krachtens artikel 5 van richtlijn 95/46 nader te bepalen onder welke voorwaarden de verwerking van persoonsgegevens rechtmatig is. De lidstaten mogen immers krachtens de beoordelingsmarge waarover zij op grond van artikel 5 van de richtlijn beschikken, geen andere beginselen betreffende de toelaatbaarheid van de verwerking van persoonsgegevens invoeren dan die welke worden genoemd in artikel 7 van die richtlijn, noch door middel van bijkomende vereisten de reikwijdte van de in voornoemd artikel 7 voorziene beginselen wijzigen.

(cf. punten 29‑30, 32‑33, 35‑36)

2.        Artikel 7, sub f, van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens moet in die zin worden uitgelegd dat het zich verzet tegen een nationale regeling die, bij ontbreken van toestemming van de betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens, die noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de voor die verwerking verantwoordelijke of van de derde(n) aan wie de gegevens zullen worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden, maar ook van het vereiste dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen, en aldus elke verwerking van gegevens die niet in dergelijke voor het publiek toegankelijke bronnen zijn opgenomen, categorisch en generiek uitsluit.

Uit het doel van deze richtlijn, het vrije verkeer van persoonsgegevens te verzekeren en tevens een hoog beschermingsniveau te verzekeren van de rechten en belangen van de personen op wie die gegevens betrekking hebben, vloeit immers enerzijds voort dat artikel 7 ervan een uitputtende lijst bevat van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt. De lidstaten mogen derhalve geen nieuwe beginselen betreffende de toelaatbaarheid van de verwerking van persoonsgegevens invoeren, noch bijkomende vereisten vaststellen die de reikwijdte van een van de in dat artikel 7 vervatte beginselen zouden wijzigen. Bovendien mogen de lidstaten krachtens artikel 5 van die richtlijn ook geen andere beginselen betreffende de toelaatbaarheid van de verwerking van persoonsgegevens invoeren dan die welke worden genoemd in artikel 7, noch mogen zij door middel van bijkomende vereisten de reikwijdte van de in voornoemd artikel 7 voorziene beginselen wijzigen.

Anderzijds kunnen de lidstaten voor het verrichten van de door artikel 7, sub f, van diezelfde richtlijn vereiste afweging van de aan de orde zijnde tegengestelde rechten en belangen, richtsnoeren opstellen. Zij kunnen er ook rekening mee houden dat de ernst van de aantasting van de grondrechten van de betrokkene door die verwerking kan verschillen naargelang de desbetreffende gegevens al dan niet reeds in voor het publiek toegankelijke bronnen zijn opgenomen. In het laatste geval zal de aantasting groter zijn.

Wanneer een nationale regeling voor bepaalde categorieën persoonsgegevens de mogelijkheid van verwerking uitsluit door voor die categorieën de uitkomst van de afweging van de tegengestelde rechten en belangen definitief vast te stellen, zonder ruimte te bieden voor een afwijkende uitkomst wegens de bijzondere omstandigheden van een concreet geval, is evenwel geen sprake meer van een nadere bepaling, maar van een, door artikel 7, sub f, van die richtlijn verboden, bijkomend vereiste.

(cf. punten 29‑30, 32, 36, 44‑49, dictum 1)

3.        Richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens bevat regels die door een zekere soepelheid worden gekenmerkt, en laat het in tal van gevallen aan de lidstaten over om de bijzonderheden te regelen of een keuze uit verschillende mogelijkheden te maken. Er moet dus een onderscheid worden gemaakt tussen, enerzijds, nationale maatregelen die voorzien in bijkomende vereisten die de reikwijdte van een in artikel 7 van die richtlijn genoemd beginsel wijzigen, en, anderzijds, nationale maatregelen die enkel voorzien in een nadere bepaling van een van die beginselen. Het eerste soort nationale maatregelen is verboden. Enkel in het kader van het tweede soort nationale maatregelen beschikken de lidstaten, krachtens artikel 5 van die richtlijn, over een beoordelingsmarge.

(cf. punt 35)

4.        Artikel 7, sub f, van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, voorziet in twee cumulatieve voorwaarden waaraan moet worden voldaan wil een verwerking van persoonsgegevens geoorloofd zijn, te weten, enerzijds, dat de verwerking van de persoonsgegevens noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, en, anderzijds, dat de fundamentele rechten en vrijheden van de betrokkene niet prevaleren. De tweede van die voorwaarden brengt noodzakelijkerwijs een afweging met zich mee van de aan de orde zijnde tegengestelde rechten en belangen, welke in beginsel afhangt van de bijzondere omstandigheden van het concrete geval, en in het kader waarvan de persoon of de instelling die de afweging verricht, rekening dient te houden met het belang van de uit de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie voortvloeiende rechten van de betrokkene.

(cf. punten 38, 40)

5.        De eerbiediging van het in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie erkende recht op persoonlijke levenssfeer bij de verwerking van persoonsgegevens betreft elke informatie aangaande een geïdentificeerde of identificeerbare natuurlijke persoon. Niettemin volgt uit de artikelen 8, lid 2, en 52, lid 1, van het Handvest dat aan dat recht, onder bepaalde voorwaarden, beperkingen kunnen worden gesteld.

(cf. punt 42)

6.        In alle gevallen waarin de bepalingen van een richtlijn, inhoudelijk gezien, onvoorwaardelijk en voldoende nauwkeurig zijn, kunnen particulieren zich op die bepalingen beroepen tegenover de staat, met name wanneer deze verzuimt deze richtlijn binnen de gestelde termijn om te zetten in nationaal recht of dit op onjuiste wijze doet. Dit is het geval met artikel 7, sub f, van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Die richtlijn laat de lidstaten weliswaar in meer of mindere ruime mate een beoordelingsmarge voor de uitvoering van een aantal bepalingen, maar dat artikel 7, sub f, legt hen een onvoorwaardelijke verplichting op.

(cf. punten 51‑52, 55, dictum 2)

ARREST VAN HET HOF (Derde kamer)

24 november 2011 (*)

„Verwerking van persoonsgegevens – Richtlijn 95/46/EG – Artikel 7, sub f – Rechtstreekse werking”

In de gevoegde zaken C‑468/10 en C‑469/10,

betreffende verzoeken om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Tribunal Supremo (Spanje) bij beslissingen van 15 juli 2010, ingekomen bij het Hof op 28 september 2010, in de procedures

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),

Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)

tegen

Administración del Estado,

in tegenwoordigheid van:

Unión General de Trabajadores (UGT) (C‑468/10 en C‑469/10),

Telefónica de España SAU (C‑468/10),

France Telecom España SA (C‑468/10 en C‑469/10),

Telefónica Móviles de España SAU (C‑469/10),

Vodafone España SA (C‑469/10),

Asociación de Usuarios de la Comunicación (C‑469/10),

wijst

HET HOF (Derde kamer),

samengesteld als volgt: K. Lenaerts (rapporteur), kamerpresident, R. Silva de Lapuerta, E. Juhász, T. von Danwitz en D. Šváby, rechters,

advocaat-generaal: P. Mengozzi,

griffier: M. Ferreira, hoofdadministrateur,

gezien de stukken en na de terechtzitting op 15 september 2011,

gelet op de opmerkingen van:

–        de Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), vertegenwoordigd door C. Alonso Martínez en A. Creus Carreras, abogados,

–        de Federación de Comercio Electrónico y Marketing Directo (FECEMD), vertegenwoordigd door R. García del Poyo Vizcaya en M. Á. Serrano Pérez, abogados,

–        de Spaanse regering, vertegenwoordigd door M. Muñoz Pérez als gemachtigde,

–        de Europese Commissie, vertegenwoordigd door I. Martínez del Peral en B. Martenczuk als gemachtigden,

gelet op de beslissing, de advocaat-generaal gehoord, om de zaak zonder conclusie te berechten,

het navolgende

Arrest

1        De verzoeken om een prejudiciële beslissing betreffen de uitlegging artikel 7, sub f, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31).

2        Deze verzoeken zijn ingediend in het kader van een geding tussen de Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) en de Federación de Comercio Electrónico y Marketing Directo (FECEMD), enerzijds, en de Administración del Estado, anderzijds.

 Toepasselijke bepalingen

 Unierecht

 Richtlijn 95/46

3        De punten 7, 8, en 10 van de considerans van richtlijn 95/46 luiden als volgt:

„(7)      Overwegende dat verschillen in de mate waarin de bescherming van de rechten en vrijheden van personen, inzonderheid van de persoonlijke levenssfeer, op het stuk van de verwerking van persoonsgegevens in de lidstaten is gewaarborgd, het doorzenden van die gegevens van het grondgebied van de ene lidstaat naar dat van een andere kunnen beletten; dat deze verschillen bijgevolg een belemmering kunnen vormen voor de uitoefening van een reeks economische activiteiten op communautaire schaal, de mededinging kunnen vervalsen en de overheid kunnen beletten haar taak ten aanzien van de toepassing van het gemeenschapsrecht te vervullen; dat deze verschillen in beschermingsniveau het gevolg zijn van divergenties tussen de nationale wettelijke en bestuursrechtelijke bepalingen;

(8)      Overwegende dat, teneinde de belemmeringen voor het verkeer van persoonsgegevens op te heffen, het niveau van de bescherming van de rechten en vrijheden van personen op het stuk van de verwerking van deze gegevens in alle lidstaten gelijkwaardig moet zijn; dat dit doel, dat voor de interne markt van fundamenteel belang is, niet kan worden bereikt door een optreden van de lidstaten alleen, gezien met name de omvang van de bestaande divergenties tussen de geldende nationale wettelijke regelingen ter zake en de noodzaak om de wetgevingen van de lidstaten op elkaar af te stemmen teneinde voor de grensoverschrijdende stromen van persoonsgegevens tot een samenhangende reglementering te komen die in overeenstemming is met de doelstelling van de interne markt [...]; dat een optreden van de Gemeenschap in de vorm van een onderlinge aanpassing van de wetgevingen derhalve noodzakelijk is;

[...]

(10)      Overwegende dat met de nationale wetgevingen betreffende de verwerking van persoonsgegevens de eerbiediging moet worden gewaarborgd van de fundamentele rechten en vrijheden, en met name van het recht op bescherming van de persoonlijke levenssfeer, dat tevens in artikel 8 van het Europese Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden [, ondertekend te Rome op 4 november 1950 (hierna: ‚EVRM’),] en in de algemene beginselen van het gemeenschapsrecht is erkend; dat derhalve de onderlinge aanpassing van deze wetgevingen niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist erop gericht moet zijn een hoog beschermingsniveau in de Gemeenschap te waarborgen”.

4        Artikel 1 van die richtlijn, met het opschrift „Onderwerp van de richtlijn”, luidt:

„1.      De lidstaten waarborgen in verband met de verwerking van persoonsgegevens, overeenkomstig de bepalingen van deze richtlijn, de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer.

2.      De lidstaten mogen het vrije verkeer van persoonsgegevens tussen lidstaten beperken noch verbieden om redenen die met de uit hoofde van lid 1 gewaarborgde bescherming verband houden.”

5        Artikel 5 van deze richtlijn bepaalt:

„De lidstaten bepalen binnen de grenzen van de bepalingen van dit hoofdstuk nader de voorwaarden waaronder de verwerking van persoonsgegevens rechtmatig is.”

6        In artikel 7 van richtlijn 95/46 wordt bepaald:

„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:

a)      de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend, of

[...]

f)      de verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, mits het belang of de fundamentele rechten en vrijheden van de betrokkene die aanspraak maakt op bescherming uit hoofde van artikel 1, lid 1, van deze richtlijn, niet prevaleren.”

7        Artikel 13, lid 1, van deze richtlijn bepaalt:

„De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in artikel 6, lid 1, artikel 10, artikel 11, lid 1, artikel 12 en artikel 21 bedoelde rechten en plichten indien dit noodzakelijk is ter vrijwaring van

a)      de veiligheid van de staat;

b)      de landsverdediging;

c)      de openbare veiligheid;

d)      het voorkomen, het onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van de beroepscodes voor gereglementeerde beroepen;

e)      een belangrijk economisch en financieel belang van een lidstaat of van de Europese Unie, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden;

f)      een taak op het gebied van controle, inspectie of regelgeving, verbonden, ook al is dit incidenteel, met de uitoefening van het openbaar gezag in de onder c, d en e, bedoelde gevallen;

g)      de bescherming van de betrokkene of van de rechten en vrijheden van anderen.”

 Nationaal recht

 Ley Orgánica 15/1999

8        Ley Orgánica 15/1999 inzake de bescherming van persoonsgegevens (BOE nr. 298 van 14 december 1999, blz. 43088) zet richtlijn 95/46 om in Spaans recht.

9        Artikel 3, sub j, van Ley Orgánica 15/1999 bevat de volgende uitputtende opsomming van „voor het publiek toegankelijke bronnen”:

„[...] bestanden die door eenieder kunnen worden geraadpleegd, zonder dat daaraan beperkingen worden gesteld, dan wel, in voorkomend geval, op de enkele voorwaarde dat een vergoeding wordt betaald. Als voor het publiek toegankelijke bronnen gelden uitsluitend: voor publicitaire doeleinden bestemde kopieën van kiezerslijsten, telefoongidsen onder de in de desbetreffende wettelijke regeling voorziene voorwaarden en lijsten van personen die deel uitmaken van beroepsorganisaties, die enkel naam, titel, beroep, activiteit, academische graad, adres en een vermelding van lidmaatschap van de organisatie bevatten. Tot de voor het publiek toegankelijke bronnen worden voorts gerekend: dagbladen, officiële publicatiebladen en de media.”

10      Artikel 6, lid 1, van Ley Orgánica 15/1999 stelt de verwerking van de gegevens afhankelijk van de door de betrokkene tot uiting gebrachte ondubbelzinnige toestemming, tenzij de wet anders bepaalt. Zo bepaalt artikel 6, lid 2, in fine, van Ley Orgánica 15/1999 dat de toestemming met name niet vereist is:

„wanneer de gegevens zijn opgenomen in voor het publiek toegankelijke bronnen en de verwerking ervan noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de voor het bestand verantwoordelijke of van derden aan wie de gegevens zullen worden meegedeeld, mits de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden”.

11      Artikel 11, lid 1, van Ley Orgánica 15/1999 herinnert aan de noodzaak van toestemming van de betrokkene voor het meedelen van persoonsgegevens aan derden. Lid 2 van dat artikel bepaalt evenwel dat die toestemming met name niet nodig is wanneer het gegevens betreft die worden vermeld in voor het publiek toegankelijke bronnen.

 Real Decreto 1720/2007

12      De Spaanse regering heeft aan Ley Orgánica 15/1999 uitvoering gegeven bij Real Decreto 1720/2007 (BOE nr. 17 van 19 januari 2008, blz. 4103).

13      Artikel 10, lid 1, van Real Decreto 1720/2007 staat de verwerking en overdracht van persoonsgegevens toe indien de betrokkene daarvoor vooraf zijn toestemming heeft verleend.

14      Artikel 10, lid 2, van Real Decreto 1720/2007 bepaalt evenwel:

„[...] verwerking of overdracht van persoonsgegevens zonder toestemming van de betrokkene [is] mogelijk, wanneer:

a)      dat is toegestaan bij een voorschrift met rang van wet of een voorschrift van gemeenschapsrecht en in het bijzonder wanneer zich een van de volgende gevallen voordoet:

–        de verwerking of de overdracht dient de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de verkrijger van de gegevens die onder die voorschriften valt, mits het belang of de fundamentele rechten en vrijheden van de betrokkenen in de zin van artikel 1 van Ley Orgánica 15/1999 van 13 december 1999 niet prevaleren;

–        de verwerking of de overdracht van de gegevens is noodzakelijk met het oog op de nakoming door de voor de verwerking verantwoordelijke van een hem bij een van die voorschriften opgelegde verplichting;

b)      de gegevens waarop de verwerking of de overdracht betrekking heeft, zijn opgenomen in voor het publiek toegankelijke bronnen en de voor het bestand verantwoordelijke of de derde aan wie de gegevens worden meegedeeld een gerechtvaardigd belang heeft bij de verwerking of de kennis daarvan, mits de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden.

Ingevolge dit lid mogen de openbare besturen de uit voor het publiek toegankelijke bronnen verkregen gegevens evenwel slechts aan de voor particuliere bestanden verantwoordelijken meedelen wanneer hun dat krachtens een voorschrift met rang van wet is toegestaan.”

 Hoofdgedingen en prejudiciële vragen

15      De ASNEF en de FECEMD hebben bij de bestuursrechter beroep ingesteld tegen een aantal artikelen van Real Decreto 1720/2007.

16      Artikel 10, lid 2, sub a, eerste streepje, en sub b, eerste alinea, is een van de aangevochten artikelen die volgens de ASNEF en de FECEMD inbreuk maken op artikel 7, sub f, van richtlijn 95/46.

17      De ASNEF en de FECEMD betogen met name dat het Spaanse recht aan het gerechtvaardigde belang als voorwaarde voor het verwerken van gegevens zonder toestemming van de betrokkene een voorwaarde toevoegt die in richtlijn 95/46 niet wordt gesteld, namelijk dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen.

18      Het Tribunal Supremo is van mening dat de gegrondheid van de door de ASNEF en de FECEMD ingestelde beroepen in hoge mate afhangt van de wijze waarop het Hof artikel 7, sub f, van richtlijn 95/46 uitlegt. Zo is het van mening dat wanneer de lidstaten geen aanvullende voorwaarden mogen stellen en deze bepaling rechtstreekse werking heeft, artikel 10, lid 2, sub b, van Real Decreto 1720/2007 buiten toepassing moet worden gelaten.

19      Het Tribunal Supremo stelt dat bij ontbreken van toestemming van de betrokkene, het Spaanse recht de mogelijkheid tot verwerking van diens persoonsgegevens, die noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de verantwoordelijke of van de derde(n) aan wie de gegevens zullen worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden, maar ook van het vereiste dat die gegevens zijn opgenomen in de bestanden die worden opgesomd in artikel 3, sub j, van Ley Orgánica 15/1999. Dienaangaande is het van oordeel dat Ley Orgánica 15/1999 en Real Decreto 1720/2007 de werkingssfeer van artikel 7, sub f, van richtlijn 95/46 beperken.

20      Volgens het Tribunal Supremo voert die beperking een belemmering van het vrije verkeer van persoonsgegevens in die enkel verenigbaar is met richtlijn 95/46 voor zover de bescherming van de fundamentele rechten en vrijheden van de betrokkene dat verlangt. Het leidt hieruit af dat de strijdigheid tussen die richtlijn en het Spaanse recht alleen kan worden opgeheven door ervan uit te gaan dat het vrije verkeer van persoonsgegevens die zijn opgenomen in andere bestanden dan die welke worden opgesomd in artikel 3, sub j, van Ley Orgánica 15/1999, de fundamentele rechten en vrijheden van de betrokkene schendt.

21      Niettemin vraagt het Tribunal Supremo zich af of een dergelijke uitlegging verenigbaar is met de wil van de Uniewetgever.

22      In die omstandigheden heeft het Tribunal Supremo, van oordeel dat de oplossing van de twee zaken afhangt van een uitlegging van bepalingen van Unierecht, de behandeling van de zaken geschorst en het Hof de volgende, in deze twee zaken gelijkluidende, prejudiciële vragen gesteld:

„1)      Moet artikel 7, sub f, van richtlijn 95/46[...] aldus worden uitgelegd dat het zich verzet tegen een nationale wettelijke regeling die, bij ontbreken van toestemming van de betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens, die noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de verantwoordelijke of van de derden aan wie de gegevens zullen worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden, maar ook van het vereiste dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen?

2)      Voldoet voornoemd artikel 7, sub f, aan de in de rechtspraak van het Hof […] gestelde voorwaarden voor rechtstreekse werking?”

23      Bij beschikking van de president van het Hof van 26 oktober 2010 zijn de zaken C‑468/10 en C‑469/10 gevoegd voor de schriftelijke en de mondelinge behandeling alsmede voor het arrest.

 Beantwoording van de prejudiciële vragen

 Eerste vraag

24      Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 7, sub f, van richtlijn 95/46 in die zin moet worden uitgelegd dat het zich verzet tegen een nationale wettelijke regeling die, bij ontbreken van toestemming van de betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens, die noodzakelijk is voor de behartiging van een gerechtvaardigd belang dat wordt nagestreefd door de voor die verwerking verantwoordelijke of door de derde(n) aan wie die gegevens zullen worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden, maar ook van het vereiste dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen.

25      Ingevolge artikel 1 van richtlijn 95/46 waarborgen de lidstaten in verband met de verwerking van persoonsgegevens, de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer (zie in die zin arrest van 16 december 2008, Huber, C‑524/06, Jurispr. blz. I‑9705, punt 47).

26      Overeenkomstig hoofdstuk II van richtlijn 95/46, met het opschrift „Algemene voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens”, moet elke verwerking van persoonsgegevens, behoudens de op grond van artikel 13 van deze richtlijn toegestane uitzonderingen, stroken met de in artikel 6 van die richtlijn genoemde beginselen betreffende de kwaliteit van de gegevens, en met een van de zes in artikel 7 van de richtlijn genoemde beginselen betreffende de toelaatbaarheid van gegevensverwerking (zie in die zin arrest van 20 mei 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 en C‑139/01, Jurispr. blz. I‑4989, punt 65, en reeds aangehaald arrest Huber, punt 48).

27      Blijkens punt 7 van de considerans van richtlijn 95/46 kunnen de totstandbrenging en de werking van de interne markt door de verschillen tussen de nationale regelingen voor de verwerking van persoonsgegevens ernstig worden geschaad (zie arrest van 6 november 2003, Lindqvist, C‑101/01, Jurispr. blz. I‑12971, punt 79).

28      In dit verband moet eraan worden herinnerd dat richtlijn 95/46, zoals met name blijkt uit punt 8 van de considerans, de bescherming van de rechten en vrijheden van personen op het stuk van de verwerking van persoonsgegevens in alle lidstaten op hetzelfde niveau wil brengen. Punt 10 van de considerans voegt daaraan toe dat de onderlinge aanpassing van de ter zake geldende nationale wetgevingen niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist erop gericht moet zijn een hoog beschermingsniveau in de Unie te waarborgen (zie in die zin reeds aangehaalde arresten Lindqvist, punt 95, en Huber, punt 50).

29      Eerder is dan ook geoordeeld dat de harmonisatie van vorenbedoelde nationale wettelijke regelingen zich niet beperkt tot een minimumharmonisatie, maar in beginsel tot een volledige harmonisatie dient te leiden. Vanuit die optiek wil richtlijn 95/46 het vrije verkeer van persoonsgegevens verzekeren maar tevens een hoog beschermingsniveau verzekeren van de rechten en belangen van de personen op wie die gegevens betrekking hebben (zie reeds aangehaald arrest Lindqvist, punt 96).

30      Derhalve vloeit uit het doel om in alle lidstaten een gelijkwaardige bescherming te bieden voort, dat artikel 7 van richtlijn 95/46 een uitputtende lijst bevat van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt.

31      Die uitlegging vindt steun in de termen „slechts mag geschieden indien” en het voegwoord „of” in artikel 7 van richtlijn 95/46, die het uitputtende karakter van de in dat artikel opgenomen lijst doen uitkomen.

32      Hieruit volgt dat de lidstaten aan artikel 7 van richtlijn 95/46 geen nieuwe beginselen betreffende de toelaatbaarheid van de verwerking van persoonsgegevens mogen toevoegen, noch bijkomende vereisten mogen vaststellen die de reikwijdte van een van de zes in dat artikel vervatte beginselen zouden wijzigen.

33      Aan bovenstaande uitlegging wordt geen afbreuk wordt gedaan door artikel 5 van richtlijn 95/46. Dat artikel staat de lidstaten immers enkel toe om, binnen de grenzen van hoofdstuk II van die richtlijn en dus binnen de grenzen van artikel 7 ervan, de voorwaarden nader te bepalen waaronder de verwerking van persoonsgegevens rechtmatig is.

34      Van de beoordelingsmarge waarover de lidstaten krachtens voornoemd artikel 5 beschikken, kan dus enkel gebruik worden gemaakt in overeenstemming met het doel van richtlijn 95/46, dat erin bestaat een evenwicht tussen het vrije verkeer van persoonsgegevens en de bescherming van de persoonlijke levenssfeer te verzekeren (zie reeds aangehaald arrest Lindqvist, punt 97).

35      Richtlijn 95/46 bevat regels die door een zekere soepelheid worden gekenmerkt, en laat het in tal van gevallen aan de lidstaten over om de bijzonderheden te regelen of een keuze uit verschillende mogelijkheden te maken (zie reeds aangehaald arrest Lindqvist, punt 83). Er moet dus een onderscheid worden gemaakt tussen, enerzijds, nationale maatregelen die voorzien in bijkomende vereisten die de reikwijdte van een in artikel 7 van richtlijn 95/46 genoemd beginsel wijzigen, en, anderzijds, nationale maatregelen die enkel voorzien in een nadere bepaling van een van die beginselen. Het eerste soort nationale maatregelen is verboden. Enkel in het kader van het tweede soort nationale maatregelen beschikken de lidstaten, krachtens artikel 5 van richtlijn 95/46, over een beoordelingsmarge.

36      Hieruit volgt dat de lidstaten krachtens artikel 5 van richtlijn 95/46 ook geen andere beginselen betreffende de toelaatbaarheid van de verwerking van persoonsgegevens mogen invoeren dan die welke worden genoemd in artikel 7 van die richtlijn, noch door middel van bijkomende vereisten de reikwijdte van de zes in voornoemd artikel 7 voorziene beginselen mogen wijzigen.

37      In het onderhavige geval bepaalt artikel 7, sub f, van richtlijn 95/46 dat de verwerking van persoonsgegevens geoorloofd is indien „de verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, mits het belang of de fundamentele rechten en vrijheden van de betrokkene die aanspraak maakt op bescherming uit hoofde van artikel 1, lid 1, van deze richtlijn, niet prevaleren”.

38      Genoemd artikel 7, sub f, voorziet in twee cumulatieve voorwaarden waaraan moet worden voldaan wil een verwerking van persoonsgegevens geoorloofd zijn, te weten, enerzijds, dat de verwerking van de persoonsgegevens noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, en, anderzijds, dat het belang of de fundamentele rechten en vrijheden van de betrokkene niet prevaleren.

39      Hieruit volgt dat, wat de verwerking van persoonsgegevens betreft, artikel 7, sub f, van richtlijn 95/46 zich verzet tegen elke nationale wettelijke regeling die, bij ontbreken van toestemming van de betrokkene, naast de twee in het voorgaande punt genoemde cumulatieve voorwaarden, bijkomende vereisten oplegt.

40      Niettemin moet rekening worden gehouden met het feit dat de tweede van die voorwaarden noodzakelijkerwijs een afweging met zich meebrengt van de aan de orde zijnde tegengestelde rechten en belangen, welke in beginsel afhangt van de bijzondere omstandigheden van een concreet geval en in het kader waarvan de persoon of de instelling die de afweging uitvoert rekening dient te houden met het belang van de uit de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”) voortvloeiende rechten van de betrokkene.

41      In dat verband zij opgemerkt dat artikel 8, lid 1, van het Handvest bepaalt dat „[e]enieder recht [heeft] op bescherming van de hem betreffende persoonsgegevens”. Dat fundamentele recht houdt nauw verband met het in artikel 7 van het Handvest neergelegde recht op eerbiediging van het privéleven (arrest van 9 november 2010, Volker en Markus Schecke en Eifert, C‑92/09 en C‑93/09, nog niet gepubliceerd in de Jurisprudentie, punt 47).

42      Volgens de rechtspraak van het Hof betreft de eerbiediging van het in de artikelen 7 en 8 van het Handvest erkende recht op persoonlijke levenssfeer bij de verwerking van persoonsgegevens gelijk welke informatie aangaande een geïdentificeerde of identificeerbare natuurlijke persoon (zie reeds aangehaald arrest Volker en Markus Schecke en Eifert, punt 52). Niettemin volgt uit de artikelen 8, lid 2, en 52, lid 1, van het Handvest dat aan dat recht, onder bepaalde voorwaarden, beperkingen kunnen worden gesteld.

43      Bovendien moeten de lidstaten bij de omzetting van richtlijn 95/46 erop toezien dat zij zich baseren op een uitlegging daarvan die het mogelijk maakt een juist evenwicht tussen de verschillende door de rechtsorde van de Unie beschermde grondrechten te verzekeren (zie naar analogie arrest van 29 januari 2008, Promusicae, C‑275/06, Jurispr. blz. I‑271, punt 68).

44      Wat de door artikel 7, sub f, van richtlijn 95/46 vereiste afweging betreft, kan er rekening mee worden gehouden dat de ernst van de aantasting door die verwerking van de grondrechten van de betrokkene kan verschillen naargelang van de vraag of de desbetreffende gegevens reeds in voor het publiek toegankelijke bronnen zijn opgenomen.

45      Anders dan in het geval van verwerking van gegevens die in voor het publiek toegankelijke bronnen zijn opgenomen, impliceert de verwerking van gegevens die zijn opgenomen in niet voor het publiek toegankelijke bronnen immers noodzakelijkerwijs dat de informatie over het privéleven van de betrokkene inmiddels bekend is bij de voor de verwerking verantwoordelijke en, in voorkomend geval, bij de derde(n) aan wie de gegevens worden verstrekt. Deze grotere aantasting van de rechten van de betrokkene die zijn vastgelegd in de artikelen 7 en 8 van het Handvest, moet op haar juiste waarde worden geschat, door haar in evenwicht te brengen met het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt.

46      Dienaangaande moet worden beklemtoond dat niets zich ertegen verzet dat de lidstaten in het kader van hun in artikel 5 van richtlijn 95/46 vastgelegde beoordelingsvrijheid richtsnoeren opstellen voor die afweging.

47      Wanneer een nationale wettelijke regeling voor bepaalde categorieën persoonsgegevens de mogelijkheid van verwerking uitsluit, door voor die categorieën de uitkomst van de afweging van tegengestelde rechten en belangen definitief vast te stellen, zonder ruimte te bieden voor een afwijkende uitkomst wegens de bijzondere omstandigheden van een concreet geval, is evenwel geen sprake meer van een nadere bepaling in de zin van voornoemd artikel 5.

48      Behoudens artikel 8 van richtlijn 95/46, dat betrekking heeft op de verwerking van bijzondere categorieën gegevens – welke bepaling in het hoofdgeding niet aan de orde is – verzet artikel 7, sub f, van die richtlijn zich er derhalve tegen dat een lidstaat voor bepaalde categorieën persoonsgegevens categorisch en generiek de mogelijkheid van verwerking uitsluit, zonder ruimte te bieden voor een afweging van de betrokken tegengestelde rechten en belangen in een concreet geval.

49      Gelet op deze overwegingen dient op de eerste vraag te worden geantwoord dat artikel 7, sub f, van richtlijn 95/46 in die zin moet worden uitgelegd dat het zich verzet tegen een nationale wettelijke regeling die, bij ontbreken van toestemming van de betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens, die noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de voor die verwerking verantwoordelijke of van de derde(n) aan wie de gegevens zullen worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden, maar ook van het vereiste dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen, en aldus elke verwerking van gegevens die niet in dergelijke voor het publiek toegankelijke bronnen zijn opgenomen, categorisch en algemeen uitsluit.

 Tweede vraag

50      Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 7, sub f, van richtlijn 95/46 rechtstreekse werking heeft.

51      Dienaangaande dient eraan te worden herinnerd dat uit vaste rechtspraak van het Hof volgt dat in alle gevallen waarin de bepalingen van een richtlijn inhoudelijk gezien onvoorwaardelijk en voldoende nauwkeurig zijn, particulieren zich op die bepalingen kunnen beroepen tegenover de staat, met name wanneer hij verzuimt deze richtlijn binnen de gestelde termijn om te zetten in nationaal recht of dit op onjuiste wijze doet (zie arrest van 3 maart 2011, Auto Nikolovi, C‑203/10, nog niet gepubliceerd in de Jurisprudentie, punt 61 en aldaar aangehaalde rechtspraak).

52      Vastgesteld moet worden dat artikel 7, sub f, van richtlijn 95/46 voldoende nauwkeurig is om door een particulier te worden aangevoerd en door de nationale rechterlijke instanties te worden toegepast. Bovendien laat richtlijn 95/46 de lidstaten weliswaar ontegenzeglijk in meer of minder ruime mate een beoordelingsmarge voor de uitvoering van een aantal bepalingen, maar legt artikel 7, sub f, een onvoorwaardelijke verplichting op (zie naar analogie reeds aangehaald arrest Österreichischer Rundfunk e.a., punt 100).

53      Het gebruik van de term „mits” in de tekst zelf van artikel 7, sub f, van richtlijn 95/46 doet niet af aan het onvoorwaardelijke karakter van die bepaling in de zin van die rechtspraak.

54      Die term beoogt immers een van de twee in artikel 7, sub f, van richtlijn 95/46 vastgelegde cumulatieve voorwaarden vast te leggen waaraan de mogelijkheid van verwerking van persoonsgegevens zonder toestemming van de betrokkene is onderworpen. Aangezien die voorwaarde duidelijk is omschreven, ontneemt zij artikel 7, sub f, niet zijn nauwkeurige en onvoorwaardelijke karakter.

55      Mitsdien moet op de tweede vraag worden geantwoord dat artikel 7, sub f, van richtlijn 95/46 rechtstreekse werking heeft.

 Kosten

56      Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Derde kamer) verklaart voor recht:

1)      Artikel 7, sub f, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, moet in die zin worden uitgelegd dat het zich verzet tegen een nationale wettelijke regeling die, bij ontbreken van toestemming van de betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens, die noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de voor die verwerking verantwoordelijke of van de derde(n) aan wie de gegevens zullen worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden, maar ook van het vereiste dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen, en aldus elke verwerking van gegevens die niet in dergelijke voor het publiek toegankelijke bronnen zijn opgenomen, categorisch en algemeen uitsluit.

2)      Artikel 7, sub f, van richtlijn 95/46 heeft rechtstreekse werking.

ondertekeningen

---

* Procestaal: Spaans.