1.

Verordening (EU) 2016/679 (hierna: „AVG”) ( 2 ) is geen compact stuk wetgeving. De ruim omschreven werkingssfeer ervan, het feit dat de uitzonderingen erop door de rechter daadwerkelijk tot een dode letter zijn gemaakt ( 3 ), alsook de op definities gebaseerde, abstracte en daardoor erg ruime uitlegging die eraan wordt gegeven ( 4 ), hebben er allemaal toe bijgedragen dat de AVG een nagenoeg grenzeloos bereik heeft gekregen. Bij een dergelijke benadering is het thans immers vrij moeilijk om een geval te vinden waarin niet iemand ergens op een bepaald moment persoonsgegevens verwerkt.

2.

Die benadering, die is gebaseerd op de verheffing van de bescherming van persoonsgegevens als bedoeld in artikel 8 van het Handvest van de grondrechten van de Europese Unie tot een allesoverheersend (super)grondrecht, heeft er evenwel toe geleid dat de bescherming van persoonsgegevens een uitgesproken centripetale werking is gaan vertonen op andere rechtsgebieden en op geschillen op die gebieden. Bepaalde zaken werden plots gepresenteerd als aangelegenheden van persoonsgegevensbescherming en werden bij (niet alleen) het Hof aanhangig gemaakt als kwesties betreffende de uitlegging van de AVG. Soms zijn de concrete kwesties die in die geschillen aan de orde worden gesteld, evenwel niet die waarvan men verwacht dat zij onder een wetgevingstekst als de AVG vallen, ook al heeft deze een erg ruime werkingssfeer.

3.

Weinigen zouden wellicht immers bij voorbaat hebben gedacht dat de AVG of de voorloper ervan, richtlijn 95/46/EG ( 5 ), zou kunnen worden geacht van toepassing te zijn op de inzage van stagiair-accountants in hun examen en eventueel op het recht op rectificatie van die persoonsgegevens na het examen ( 6 ), of zou kunnen worden gezien als een beletsel voor de identificatie door de politie van een bij een verkeersongeval betrokken partij, waardoor de gelaedeerde partij bij de civiele rechter geen vordering kan instellen tot vergoeding van de aan haar auto veroorzaakte schade ( 7 ), of nog als een beperking op de bekendmaking van informatie over door een inmiddels failliete vennootschap betaalde belastingen aan de curator van deze vennootschap met het oog op het herstel van de gelijkheid tussen privaatrechtelijke en publiekrechtelijke schuldeisers in de context van faillissementspauliana ( 8 ) – om maar een paar meer opvallende voorbeelden te noemen.

4.

De onderhavige zaak is het zoveelste voorbeeld van die centripetale werking van de AVG. SIA „SS” biedt internetadvertentiediensten aan. In het kader daarvan verkrijgt zij de persoonsgegevens van degenen die advertenties op haar website plaatsen. De bevoegde nationale belastingdienst heeft die onderneming verzocht hem een aantal gegevens toe te zenden met betrekking tot op die website geplaatste advertenties over tweedehands personenauto’s, teneinde te verzekeren dat de belastingen op de verkoop van personenauto’s naar behoren worden geïnd. De belastingdienst heeft uitvoerig uiteengezet in welk formaat hij de gegevens wenst te ontvangen. Hij heeft ook duidelijk laten verstaan dat die gegevensdoorgiften worden geacht een permanent karakter te hebben, zonder dat er blijkbaar een financiële vergoeding tegenover staat.

5.

Tegen die achtergrond wenst de verwijzende rechter te vernemen hoe omvangrijk dergelijke verzoeken om doorgifte van gegevens mogen zijn. Net als in de voorgaande zaken lijkt de AVG op de onderhavige zaak toepassing te vinden. Persoonsgegevens worden ergens door iemand verwerkt, of zullen zeker later worden verwerkt, wanneer zij daadwerkelijk worden doorgegeven. De rechten waarover de betrokkenen in het kader van die verwerking beschikken, dienen, net als de persoonsgegevens in kwestie, te worden beschermd. Dat betekent evenwel niet dat de AVG de verhouding tussen een toekomstige verwerkingsverantwoordelijke (een overheidsinstantie) en een actuele verwerkingsverantwoordelijke (een particuliere onderneming) concreet regelt. De AVG volgt en beschermt de gegevens namelijk ongeacht waar zij naartoe gaan, en regelt bijgevolg de verplichtingen die met betrekking tot de gegevens en jegens de betrokkenen rusten op elke volgende verwerkingsverantwoordelijke. Afgezien van enkele expliciete uitzonderingen worden in de AVG daarentegen niet de concrete bijzonderheden geregeld van de onderlinge verhouding tussen twee opeenvolgende verantwoordelijken voor de verwerking van die gegevens. De AVG bevat met name geen nadere bepalingen over de afspraken tussen de verwerkingsverantwoordelijken, of die nu van contractuele dan wel van publiekrechtelijke oorsprong zijn, op grond waarvan zij over en weer gegevens kunnen opvragen en verkrijgen.

6.

Overweging 31 AVG luidt als volgt:

„Overheidsinstanties waaraan ingevolge een wettelijke verplichting persoonsgegevens worden meegedeeld voor het vervullen van hun overheidstaak, zoals belasting- of douaneautoriteiten, financiëleonderzoeksdiensten, onafhankelijke bestuurlijke autoriteiten of financiëlemarktautoriteiten die belast zijn met de regulering van en het toezicht op de effectenmarkten, mogen niet worden beschouwd als ontvangers indien zij persoonsgegevens ontvangen die noodzakelijk zijn voor de uitvoering van een bepaald onderzoek van algemeen belang, overeenkomstig het Unierecht of het lidstatelijke recht. Door overheidsinstanties ingediende verzoeken om verstrekking moeten in ieder geval schriftelijk, gemotiveerd en incidenteel zijn, en mogen geen volledig bestand betreffen of resulteren in het onderling combineren van bestanden. De verwerking van persoonsgegevens door bedoelde overheidsinstanties moet stroken met de voor de doeleinden van de verwerking toepasselijke gegevensbeschermingsregels.”

7.

Overweging 45 AVG is als volgt verwoord:

„Indien de verwerking wordt verricht omdat de verwerkingsverantwoordelijke hiertoe wettelijk is verplicht of indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag, dient de verwerking een grondslag te hebben in het Unierecht of het lidstatelijke recht. Deze verordening schrijft niet voor dat voor elke afzonderlijke verwerking specifieke wetgeving vereist is. Er kan worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust, of voor verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag. Het moet ook het Unierecht of het lidstatelijke recht zijn dat het doel van de verwerking bepaalt. Voorts zou dat recht een nadere omschrijving kunnen geven van de algemene voorwaarden van deze verordening waaraan de persoonsgegevensverwerking moet voldoen om rechtmatig te zijn, en specificaties kunnen vaststellen voor het bepalen van de verwerkingsverantwoordelijke, het type verwerkte persoonsgegevens, de betrokkenen, de entiteiten waaraan de persoonsgegevens mogen worden vrijgegeven, de doelbinding, de opslagperiode en andere maatregelen om te zorgen voor rechtmatige en behoorlijke verwerking. Ook dient in het Unierecht of het lidstatelijke recht te worden vastgesteld of de verwerkingsverantwoordelijke die is belast met een taak van algemeen belang dan wel met een taak in het kader van de uitoefening van het openbaar gezag, een overheidsinstantie of een andere publiekrechtelijke persoon of, indien zulks is gerechtvaardigd om redenen van algemeen belang, waaronder gezondheidsdoeleinden zoals volksgezondheid, sociale bescherming en het beheer van gezondheidszorgdiensten, een privaatrechtelijke persoon, zoals een beroepsvereniging, moet zijn.”

8.

In artikel 2 wordt de materiële werkingssfeer van de AVG uiteengezet:

„1.   Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

2.   Deze verordening is niet van toepassing op de verwerking van persoonsgegevens:

[…]

[…]”

9.

Artikel 4 bevat de definities voor de toepassing van de AVG:

„1)   ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); […]

2)   ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

[…]

7)   ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;

8)   ‚verwerker’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt;

9)   ‚ontvanger’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie/waaraan de persoonsgegevens worden verstrekt. Overheidsinstanties die mogelijk persoonsgegevens ontvangen in het kader van een bijzonder onderzoek overeenkomstig het Unierecht of het lidstatelijke recht gelden echter niet als ontvangers; de verwerking van die gegevens door die overheidsinstanties strookt met de gegevensbeschermingsregels die op het betreffende verwerkingsdoel van toepassing zijn;

[…]”

10.

In artikel 5 AVG worden de beginselen inzake verwerking van persoonsgegevens vastgesteld:

„1.   Persoonsgegevens moeten:

2.   De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”

11.

In artikel 6 AVG staat het volgende te lezen:

„1.   De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

[…]

[…]

[…]

2.   De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.

3.   De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:

Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.”

12.

In de artikelen 12 tot en met 22 van hoofdstuk III, met als opschrift „Rechten van de betrokkene”, worden de rechten van de betrokkene en de overeenstemmende verplichtingen van verwerkingsverantwoordelijken uiteengezet. Dat hoofdstuk wordt afgesloten met artikel 23. Het heeft als opschrift „Beperkingen” en luidt als volgt:

„1.   De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede in artikel 5 voor zover de bepalingen van dat artikel overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 22, kan door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing is worden beperkt, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:

[…]

[…]

2.   De in lid 1 bedoelde wetgevingsmaatregel bevat met name specifieke bepalingen met betrekking tot, in voorkomend geval, ten minste:

13.

Krachtens artikel 15, lid 6, van de Likums „Par nodokļiem un nodevām” (hierna: „algemene belastingwet”), in de versie die ten tijde van de feiten van de onderhavige zaak toepasselijk was, zijn aanbieders van internetadvertentiediensten verplicht om op verzoek van de nationale belastingdienst de informatie te verstrekken waarover zij beschikken met betrekking tot belastingplichtigen die van dergelijke diensten gebruik hebben gemaakt om advertenties te plaatsen en met betrekking tot de door hen geplaatste advertenties.

14.

Op 28 augustus 2018 heeft de directeur van de Nodokļu kontroles pārvalde (belastinginspectie) van de Valsts ieņēmumu dienests (Letse belastingdienst; hierna: „verweerder”) SIA „SS” (hierna: „verzoekster”) een verzoek om informatie toegezonden op grond van artikel 15, lid 6, van de algemene belastingwet.

15.

Bij dat verzoek heeft verweerder er bij verzoekster op aangedrongen om zijn toegang tot de informatie over de telefoonnummers van de adverteerders en de chassisnummers van de voertuigen die in de advertenties op haar website (www.ss.com) werden aangeboden, te verlengen. Verweerder heeft verzoekster eveneens verzocht om uiterlijk op 3 september 2018 informatie te verstrekken over de advertenties die van 14 juli tot en met 31 augustus 2018 in de rubriek „Personenauto’s” van die website werden geplaatst. Verzoekster werd gevraagd om de informatie elektronisch door te sturen in een formaat waarin de gegevens konden worden gefilterd en geselecteerd. Het bestand moest het volgende bevatten: link naar de advertentie, tekst van de advertentie, merk van het voertuig, model, chassisnummer, prijs, telefoonnummers van de verkoper.

16.

Indien de toegang niet kon worden verlengd, werd gevraagd om de reden(en) daarvoor te geven en ook om de informatie over de geplaatste advertenties regelmatig en uiterlijk op de derde dag van elke maand te verstrekken.

17.

Verzoekster heeft tegen het verzoek om informatie een administratieve klacht ingediend bij de waarnemend directeur-generaal van verweerder. Volgens haar is de omvang van het verzoek om informatie, dat betrekking heeft op persoonsgegevens als bedoeld in artikel 4, punt 1, AVG, niet wettelijk gerechtvaardigd. Het verzoek vermeldt noch een concrete groep betrokkenen, noch het doel of de omvang van de beoogde verwerking, noch de duur van de verplichting om informatie te verstrekken. Zodoende heeft verweerder in zijn hoedanigheid van verwerkingsverantwoordelijke niet gehandeld in overeenstemming met het evenredigheidsbeginsel en het beginsel volgens hetwelk de verwerking van persoonsgegevens tot een minimum moet worden beperkt, die zijn neergelegd in de AVG waaraan verweerder dient te voldoen.

18.

Bij besluit van 30 oktober 2018 (hierna: „bestreden besluit”) heeft verweerder de klacht afgewezen en het verzoek om informatie bevestigd.

19.

In de motivering van dat besluit zet verweerder in wezen uiteen dat de belastingdienst, wanneer hij deze gegevens verwerkt, de taken en bevoegdheden uitoefent die de wet hem toekent. De belastingdienst is verantwoordelijk voor de inning van en de controle op belastingen, taksen en andere heffingen. Hij is wettelijk verplicht om toezicht te houden op de economische en financiële activiteiten van natuurlijke en rechtspersonen om te waarborgen dat die betalingen aan de staat en de Uniebegroting worden verricht. Met het oog op de uitvoering van deze taken wordt aan verweerder de wettelijke bevoegdheid toegekend om de documenten en informatie te verzamelen die nodig zijn om belastbare feiten te verwerken en te registreren of om belastingen en taksen te controleren. Aanbieders van internetadvertentiediensten zijn krachtens artikel 15, lid 6, van de algemene belastingwet met name verplicht om op verzoek van de belastingdienst de informatie te verstrekken waarover zij beschikken met betrekking tot belastingplichtigen die gebruik hebben gemaakt van dergelijke diensten om advertenties te plaatsen en met betrekking tot de geplaatste advertenties zelf. De vertrouwelijke informatie die verweerder in zijn bezit heeft, is wettelijk beschermd, met name door het verbod op openbaarmaking dat geldt voor de werknemers van de belastingdienst. Het verzoek om informatie is daarom rechtmatig.

20.

Verzoekster heeft bij de administratīvā rajona tiesa (bestuursrechter in eerste aanleg, Letland) beroep tot nietigverklaring van het bestreden besluit ingesteld, met het argument dat uit de motivering van dat besluit niet blijkt wat het specifieke doel van de gegevensverwerking is en evenmin aan de hand van welke criteria de informatie die met betrekking tot een concrete groep identificeerbare personen wordt opgevraagd, moet worden geselecteerd.

21.

Bij beslissing van 21 mei 2019 heeft de administratīvā rajona tiesa dat beroep verworpen. Die rechter was het in wezen met verweerder eens dat de hoeveelheid informatie waartoe de belastingdienst met betrekking tot een bepaalde persoon toegang heeft, niet kan worden beperkt, tenzij die informatie wordt geacht niet te stroken met de doelstellingen van de belastingdienst. Volgens die beslissing was de opgevraagde informatie nodig om niet-aangegeven economische activiteiten op te sporen. De bepalingen van de AVG gelden uitsluitend voor verzoekster in haar hoedanigheid van aanbieder van diensten, niet voor de belastingdienst.

22.

Verzoekster heeft tegen deze beslissing hoger beroep ingesteld bij de Administratīvā apgabaltiesa (bestuursrechter in tweede aanleg, Letland). Volgens haar is de AVG in de onderhavige zaak van toepassing. Verweerder dient met betrekking tot de persoonsgegevens die hij middels het verzoek om informatie verzamelt, te worden beschouwd als verwerkingsverantwoordelijke in de zin van die verordening. Bijgevolg moet hij aan de daarin gestelde vereisten voldoen. Verweerder heeft bij de toezending van het verzoek om informatie evenwel het evenredigheidsbeginsel geschonden, aangezien hij verlangt dat hem elke maand een aanzienlijke hoeveelheid gegevens wordt verstrekt met betrekking tot een onbepaald aantal advertenties, zonder dat daarbij concrete belastingplichtigen worden genoemd tegen wie een belastingcontrole is ingesteld. Het verzoek om informatie vermeldt niet hoelang verzoekster onderworpen blijft aan de verplichting om verweerder de in het verzoek genoemde informatie te verstrekken. Daarom heeft verweerder de in artikel 5 AVG neergelegde beginselen inzake verwerking van persoonsgegevens (rechtmatigheid, behoorlijkheid en transparantie) geschonden. Noch in het verzoek om informatie, noch in de motivering van het bestreden besluit wordt het specifieke kader (doel) van de door verweerder beoogde verwerking van de informatie of de hoeveelheid vereiste informatie (minimale gegevensverwerking) vermeld. Verzoekster stelt dat overheidsinstanties in het verzoek om informatie duidelijk omschreven criteria moeten opnemen op basis waarvan de informatie die zij voor een bepaalde groep identificeerbare personen verlangen, wordt geselecteerd.

23.

Volgens de verwijzende rechter kan niet ondubbelzinnig worden vastgesteld dat een dergelijk verzoek om informatie kan worden beschouwd als „naar behoren gemotiveerd” en „incidenteel” en dat het niet ziet op alle informatie onder de rubriek „Personenauto’s” van verzoeksters website, aangezien de belastingdienst in wezen doorlopende en exhaustieve controles wil uitvoeren. De verwijzende rechter twijfelt of de door verweerder beoogde verwerking van persoonsgegevens kan worden geacht in overeenstemming te zijn met de voor de doeleinden van de verwerking toepasselijke gegevensbeschermingsregels in de zin van overweging 31 AVG. Daarom moeten de criteria worden vastgesteld op basis waarvan kan worden beoordeeld of verweerders verzoek om informatie de fundamentele rechten en vrijheden eerbiedigt en of dat verzoek in een democratische samenleving kan worden beschouwd als noodzakelijk en evenredig om belangrijke doelstellingen van openbaar belang te waarborgen die de Unie en Letland op fiscaal en budgettair gebied nastreven.

24.

Volgens de verwijzende rechter verwijst het betrokken verzoek om informatie niet naar een „bepaald onderzoek” in de zin van de bepalingen van de AVG dat door verweerder zou worden uitgevoerd. Met dat verzoek om informatie wordt geen informatie opgevraagd over specifieke personen, maar over alle betrokkenen die advertenties hebben geplaatst in de rubriek „Personenauto’s” van de website. Bovendien verlangt de belastingdienst dat deze informatie uiterlijk op de derde dag van elke maand wordt verstrekt (dat wil zeggen dat verzoekster verweerder alle informatie moet verstrekken met betrekking tot de advertenties die in de voorgaande maand zijn geplaatst). Gelet op het voorgaande vraagt de verwijzende rechter zich af of een dergelijke handelwijze van een nationale instantie in overeenstemming is met de vereisten van de AVG.

25.

Tegen deze feitelijke en juridische achtergrond heeft de Administratīvā apgabaltiesa de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

26.

Schriftelijke opmerkingen zijn ingediend door de Belgische, de Griekse, de Spaanse en de Letse regering, en door de Europese Commissie. Verzoekster, de Belgische, de Spaanse en de Letse regering, alsook de Commissie, hebben geantwoord op schriftelijke vragen die het Hof heeft gesteld overeenkomstig artikel 61, lid 1, van zijn Reglement voor de procesvoering.

27.

De onderhavige conclusie is als volgt opgebouwd. Allereerst zal ik bekijken of de AVG van toepassing is op een aan een verwerkingsverantwoordelijke gericht verzoek van een overheidsinstantie om doorgifte van een aantal persoonsgegevens. Gelet op de vragen van de verwijzende rechter dienen vooraf twee punten te worden opgehelderd, namelijk wie in het hoofdgeding nu juist wie is en welke specifieke regels voor dergelijke gevallen in de AVG zijn opgenomen (A). Vervolgens zal ik ingaan op het (vrij elementaire) rechtskader dat uit de AVG voortvloeit ten aanzien van verzoeken om doorgifte van gegevens die overheidsinstanties richten aan particuliere ondernemingen (B). Ten slotte zal ik een aantal opmerkingen formuleren over hetgeen, althans volgens mij, de echte netelige kwestie van deze zaak vormt, ook al is die door de verwijzende rechter niet uitdrukkelijk opgeworpen (C).

28.

De verwijzende rechter heeft negen vragen voorgelegd die alle op de een of andere manier verband houden met de rechtmatigheid van (een) specifiek(e) verzoek(en) van een belastingdienst om doorgifte door (een) particuliere onderneming(en) van een aantal persoonsgegevens met het oog op belastinginning en opsporing van belastingfraude. De persoonsgegevens in kwestie zijn door de particuliere onderneming van de betrokkenen verkregen in het kader van haar normale bedrijfsactiviteit.

29.

Uit de negen vragen blijkt evenwel niet duidelijk op wie er nu juist welke verplichting rust en op basis van welke bepaling van de AVG. Die onduidelijkheid wijst er in zekere zin op dat er op minstens twee niveaus heel wat onzekerheid heerst over het kader van deze zaak.

30.

Ten eerste rijst de vraag wie in deze zaak binnen welke van de door de AVG vastgestelde categorieën valt. De zaak ziet op de doorgifte door de particuliere onderneming aan de overheidsinstantie van een aantal tot een groter bestand behorende gegevens die door die onderneming worden verzameld en beheerd. Dat is de specifieke bewerking in de zin van artikel 4, punt 2, AVG die aan de basis ligt van de aan het Hof voorgelegde vragen.

31.

Evenwel blijkt ook dat de verwijzende rechter, met betrekking tot die doorgifte van gegevens, de belastingdienst (verweerder) al als de verwerkingsverantwoordelijke voor die specifieke bewerking beschouwt. ( 9 ) In de zesde en in de negende vraag wordt van deze hypothese, waarop de hele verwijzingsbeslissing is gebaseerd, uitdrukkelijk uitgegaan. Dat vraagt om een voorafgaande verduidelijking: wie precies dient in de onderhavige zaak aan de AVG te voldoen? Wie is de verwerkingsverantwoordelijke voor die concrete bewerking? (2)

32.

Ten tweede brengt die onzekerheid nog een ander belangrijk probleem met zich mee: welke specifieke AVG-bepalingen gelden voor doorgiften van gegevens en welke van die bepalingen zien met name op het soort en de hoeveelheid gegevens die een overheidsinstantie van een particuliere onderneming kan verlangen? Veelzeggend in dat verband is dat de verwijzende rechter in drie van zijn vragen enkel artikel 5, lid 1, AVG noemt, een transversale bepaling met daarin de beginselen die gelden voor de verwerking van persoonsgegevens door iedere verwerkingsverantwoordelijke. In de andere vragen wordt daarentegen louter verwezen naar de „in de AVG gestelde vereisten” zonder dat wordt verduidelijkt in welke specifieke bepalingen die vereisten zouden moeten zijn opgenomen.

33.

Derhalve dient vooraf eveneens te worden opgehelderd welke bepaling(en) van de AVG van toepassing is (zijn), met name in de verhouding tussen de verzoekende onderneming en de verwerende belastingdienst. Welke regeling bevat de AVG met name voor dergelijke verzoeken om doorgifte van gegevens en de wederzijdse rechten en plichten tussen een particuliere onderneming en een overheidsinstantie? (3)

34.

Alvorens die twee kwesties te behandelen, dien ik evenwel in herinnering te brengen waarom de toepassing en de naleving van de AVG mijns inziens niet mogen worden beoordeeld op een abstracte manier, waarbij definities worden uitgelegd die niet aan een specifieke bewerking zijn gerelateerd, en waarom daarentegen een concrete bewerking als vertrekbasis moet worden genomen. Pas wanneer dit is verduidelijkt, kan een correcte analyse worden gemaakt van de actoren en hun verplichtingen. (1)

35.

In de onderhavige zaak zijn alle belanghebbenden, met inbegrip van de Letse regering, het erover eens dat de AVG zonder twijfel op het hoofdgeding van toepassing is, indien de in artikel 4 ervan neergelegde wettelijke definities van „persoonsgegevens” en „verwerking” als vertrekbasis voor de analyse worden genomen.

36.

Ten eerste zijn de gegevens waarop het verzoek om informatie betrekking heeft, persoonsgegevens in de zin van artikel 4, punt 1, AVG. De opgevraagde informatie, zoals het telefoonnummer van de betrokkenen of het chassisnummer, is „informatie over een geïdentificeerde of identificeerbare persoon”. Aan de hand van die informatie kunnen immers autoverkopers, en dus potentiële belastingplichtigen, worden geïdentificeerd.

37.

Ten tweede is het vaste rechtspraak dat de mededeling van gegevens ( 10 ) of het verstrekken van persoonsgegevens door middel van doorzending, net zoals het opslaan of het op andere wijze ter beschikking stellen van gegevens, een verwerking vormt. ( 11 ) Het „verstrekken door middel van doorzending” is immers opgenomen in de beschrijvende lijst van bewerkingen van artikel 4, punt 2, AVG.

38.

Ten derde is die verwerking van persoonsgegevens duidelijk geautomatiseerd in de zin van artikel 2, lid 1, AVG.

39.

In het onderhavige geval geldt bovendien geen enkele van de uitzonderingen, die hoe dan ook restrictief moeten worden uitgelegd ( 12 ). In het licht van het arrest Österreichischer Rundfunk e.a. ( 13 ), en met name na de recente strafpuntenzaak ( 14 ), kan niet worden betoogd dat de persoonsgegevens in kwestie zijn verwerkt „in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen” als bedoeld in artikel 2, lid 2, onder a), AVG.

40.

Aan de voorwaarden van de in artikel 2, lid 2, onder d), AVG opgenomen uitzondering is evenmin voldaan. „Bevoegde autoriteiten” als bedoeld in die bepaling zijn instanties als de politie of de met vervolging belaste nationale diensten. ( 15 ) Daaronder vallen geen belastingdiensten die om informatie verzoeken met het oog op belastinginning en al helemaal geen aanbieders van internetadvertentiediensten. Ofschoon gegevensverwerking door de bevoegde belastingdienst in sommige gevallen uiteindelijk kan leiden tot het opsporen van strafbare feiten in de vorm van belastingfraude, is dat in dit stadium niet meer dan een hypothetische mogelijkheid. ( 16 )

41.

Als deze benadering wordt gevolgd, moet de slotsom bijgevolg luiden dat de AVG van toepassing is, want er is sprake van persoonsgegevens die automatisch worden verwerkt. Zoals ik in de inleiding van deze conclusie reeds heb aangestipt, houdt een dergelijke benadering, waarbij de toepasselijke begrippen van artikel 4 AVG zoals „verwerking” ( 17 ), „persoonsgegevens” ( 18 ) of „verwerkingsverantwoordelijke” ( 19 ) ruim en los van een specifieke bewerking worden uitgelegd, evenwel in dat elke mededeling van ongeacht welke informatie onder de AVG zou vallen.

42.

De verplichtingen van alle betrokken actoren kunnen slechts correct worden uitgelegd indien voor de toetsing aan de AVG eerst duidelijk een concrete bewerking wordt bepaald. Alleen dan kan naar behoren worden beoordeeld welke verplichtingen ten aanzien van die specifieke bewerking uit de AVG voortvloeien voor de daadwerkelijk bij die verwerking betrokken actoren. ( 20 ) Het is de specifieke bewerking, het werken aan en met de gegevens, die wordt geregeld. De regelgevingsopzet en de focus van de AVG zijn resultaatgericht en procesmatig, en dus noodzakelijkerwijs dynamisch.

43.

Wat is de specifieke bewerking in het onderhavige geval? Voor de uitvoering van verzoeken om informatie als die in het hoofdgeding dienen ongetwijfeld persoonsgegevens te worden verwerkt waarop de AVG in beginsel van toepassing zal zijn. In de onderhavige zaak worden door twee verschillende entiteiten op een bepaald moment gegevens verwerkt. De verwijzende rechter richt zich in zijn vragen op de verwerking door verweerder, namelijk de nationale belastingdienst. Uit de feiten van de zaak blijkt evenwel dat eerst verzoekster, dat wil zeggen de particuliere onderneming, gegevens dient te verwerken.

44.

Bij het arrest in de zaak Fashion ID ( 21 ) heeft het Hof ter identificatie van de relevante verwerkingsverantwoordelijke(n) gekeken naar de specifieke bewerkingen die bij de gegevensverwerking aan de orde waren. Het Hof heeft geoordeeld dat het begrip „verwerkingsverantwoordelijke” niet noodzakelijk verwijst naar één enkele entiteit maar betrekking kan hebben op meerdere deelnemers aan deze verwerking, die dan alle onder de toepasselijke bepalingen inzake gegevensbescherming vallen. ( 22 ) Een natuurlijke of rechtspersoon kan evenwel niet worden geacht verantwoordelijk te zijn voor bewerkingen die vroeger of later in de verwerkingsketen plaatsvinden en waarvan respectievelijk waarvoor hij niet het doel en de middelen vaststelt. ( 23 )

45.

In de onderhavige zaak zal verweerder in beginsel de verwerkingsverantwoordelijke zijn zodra hij de opgevraagde gegevens van verzoekster heeft ontvangen en deze begint te verwerken in de zin van artikel 4, punt 2, AVG. ( 24 ) In dat stadium zal verweerder niet alleen de gegevens beginnen te verwerken, maar wellicht ook het doel van en de middelen voor zijn eigen verwerking vaststellen als bedoeld in artikel 4, punt 7, AVG. Wanneer verweerder in de toekomst zelf bewerkingen uitvoert, zal hij, voor zover de lidstaat ter zake geen beperkingen als bedoeld in artikel 23 AVG heeft ingevoerd, op dat moment dienen te voldoen aan de in artikel 5 AVG neergelegde beginselen inzake de kwaliteit van de gegevens en zijn bewerking(en) dienen te baseren op een van de gevallen van artikel 6, lid 1, AVG. ( 25 )

46.

Uit de verwijzingsbeslissing blijkt evenwel dat de onderhavige procedure zich nog niet in dat stadium bevindt. De belastingdienst is niet in het bezit van de opgevraagde gegevens. Hij kan dus niet met het verwerken van die gegevens zijn begonnen. Voorts heeft het Hof geen informatie ontvangen over wat verweerder met de gegevens van plan is of over de manier waarop hij die gegevens wil verwerken.

47.

Tot dusver heeft de belastingdienst alleen maar een particuliere onderneming verzocht hem een bepaald gegevensbestand te verstrekken. Als zodanig behelst dat geen verwerking van persoonsgegevens, zeker niet van gegevens die nog moeten worden verkregen. In een dergelijk feitelijk scenario blijft verzoekster, de particuliere onderneming, de verantwoordelijke voor de verwerking van de gegevens, voor zover zij deze überhaupt heeft verkregen via haar eigen activiteit, dat wil zeggen voor middelen en doeleinden die zij zelf heeft vastgesteld. Wanneer zij de gegevens in haar bezit verwerkt om deze overeenkomstig de door haar ontvangen voorschriften aan verweerder te verstrekken, blijft zij ook voor die bewerking de verwerkingsverantwoordelijke. Verzoekster is degene die de gegevens verder verwerkt. ( 26 )

48.

In die context voldoet verzoekster zodoende overeenkomstig artikel 6, lid 1, onder c), AVG aan een wettelijke verplichting die op haar als verwerkingsverantwoordelijke rust, namelijk aan de verplichting uit artikel 15, lid 6, van de algemene belastingwet. In haar hoedanigheid van verwerkingsverantwoordelijke dient ook verzoekster bij het verwerken van persoonsgegevens alsmede bij het verstrekken van die gegevens aan verweerder te voldoen aan de AVG. De verwijzende rechter wenst evenwel niet te vernemen in hoeverre verzoekster gegevens dient te verwerken om aan het verzoek in kwestie te voldoen. In feite heeft hij geen enkele vraag gesteld over eventuele uit de AVG voortvloeiende verplichtingen die in het kader van die verwerking op verzoekster zouden rusten.

49.

Aangezien de verwijzende rechter verweerder heeft genoemd als degene op wie verplichtingen uit hoofde van de AVG worden geacht te rusten, maakt hij zich klaarblijkelijk zorgen over de (rechts)grond voor de verwerking als bedoeld in artikel 6, lid 3, AVG, dat wil zeggen artikel 15, lid 6, van de algemene belastingwet, zoals verweerder die bepaling middels zijn verzoeken om informatie heeft uitgevoerd.

50.

Kortom, de centrale kwestie die aan de basis van alle negen vragen van de verwijzende rechter ligt, is die van de omvang van en de voorwaarden voor doorgiften van persoonsgegevens tussen twee opeenvolgende verwerkingsverantwoordelijken. ( 27 ) Wat zijn de eventuele bepalingen van de AVG die de verhouding tussen opeenvolgende verwerkingsverantwoordelijken regelen? Worden er in de AVG (materiële of temporele) grenzen gesteld aan de omvang en het type van doorgifte van persoonsgegevens tussen twee verwerkingsverantwoordelijken, in casu een particuliere onderneming en een overheidsinstantie? Al deze kwesties hebben specifiek betrekking op de rechtsgrond voor het verkrijgen van persoonsgegevens, en zien niet echt op de bewerking die wordt uitgevoerd.

51.

De AVG is voornamelijk gericht op de bescherming van de persoonsgegevens van de betrokkenen en op de verhouding tussen die betrokkenen en entiteiten die hun gegevens verwerken. Daartoe wordt in de AVG vastgesteld wat bij de verwerking van persoonsgegevens de rechten van de betrokkenen en de verplichtingen van de desbetreffende verwerkingsverantwoordelijken zijn.

52.

Bij een dergelijke regelgevingsopzet wordt de nadruk gelegd op de gegevens en de entiteiten die er toegang toe hebben en ermee aan de slag gaan. De AVG bevat erg weinig bepalingen die de verhouding tussen gegevensverwerkende entiteiten rechtstreeks en expliciet regelen. ( 28 ) Het klopt dat de AVG indirect in die verhoudingen ingrijpt. Op grond van die verordening dient een volgende entiteit de door haar verkregen gegevens en de rechten van de betrokkenen te beschermen. Aldus worden in de AVG een aantal voorwaarden gesteld voor de verstrekking en de doorgifte van gegevens. Dat houdt evenwel zeker niet in dat de AVG de verhoudingen tussen die entiteiten rechtstreeks regelt.

53.

Indien gegevens als goederen zouden moeten worden beschouwd, zou de regelgevingsopzet van de AVG in zekere zin kunnen worden vergeleken met een specifiek publiekrechtelijk stelsel voor bepaalde soorten (kostbare, artistieke, historische) goederen. Onder een dergelijk stelsel worden die goederen aan een aantal beperkingen onderworpen: de manier waarop zij kunnen worden geproduceerd en moeten worden gebruikt, alsook de voorwaarden waaronder zij kunnen worden aangepast, opgeslagen, doorverkocht of vernietigd. Een dergelijk specifiek stelsel beschermt de goederen en bindt aldus indirect elke volgende eigenaar of bezitter ervan. Als zodanig blijft dat specifieke stelsel evenwel gebonden aan de goederen. Het bevat geen regeling voor de particuliere overeenkomsten uit hoofde waarvan dergelijke goederen tussen private partijen kunnen worden verkocht en stelt evenmin de voorwaarden vast waaronder zij door een privaatrechtelijke entiteit aan een publiekrechtelijke entiteit kunnen of moeten worden overgedragen. Een goederenregeling is niet hetzelfde als een regeling van het achterliggende eigendomsrecht op, en van de handel in die goederen.

54.

De AVG kan alleen maar op een redelijke manier worden uitgelegd als die regelgevingsopzet wordt verduidelijkt en als wordt gefocust op de specifieke bewerking als vertrekpunt voor de eventuele verplichtingen die uit dat instrument voortvloeien. Anders zal de AVG altijd van toepassing zijn, ofschoon zij, hoe creatief zij ook wordt uitgelegd, simpelweg geen regeling bevat voor de specifieke kwestie die is voorgelegd. De uitkomst van dergelijke gevallen kan niet anders zijn dan dat de AVG zich niet verzet tegen bepaalde nationale wettelijke regelingen of praktijken. Die „afwezigheid van verzet” zal evenwel niet per definitie het gevolg zijn van het feit dat nationale stelsels doorgaans rechtmatig zijn, maar wel van het feit dat een dergelijke kwestie eenvoudigweg niet door de AVG wordt geregeld, ook al houdt zij op de een of andere manier verband met persoonsgegevens.

55.

De rechtspraak van het Hof is bekend met dergelijke „vals positieve resultaten” betreffende diverse verplichtingen tot verstrekking van gegevens die om uiteenlopende redenen in het nationale recht zijn opgenomen. De meeste van zulke gevallen zien wederom niet op een doorlopende bewerking als zodanig, maar wel op de daaraan voorafgaande kwestie van de rechtsgrond voor een dergelijke bewerking in de toekomst. Zij variëren van de inleiding van civielrechtelijke procedures voor de handhaving van auteursrechten ( 29 ) tot het goed beheer van openbare middelen ( 30 ), of het waarborgen van de nationale veiligheid ( 31 ). Onder deze noemer kunnen bijvoorbeeld ook zaken vallen als Rīgas satiksme ( 32 ), Promusicae ( 33 ), Bonnier ( 34 ) en J & S Service ( 35 ).

56.

In al die situaties was de AVG stellig van toepassing op de rechten van de betrokkenen ten aanzien van de verwerkingsverantwoordelijke(n) in de context van specifieke bewerkingen die pas waren uitgevoerd of op het punt stonden om te worden uitgevoerd. Ik benadruk evenwel nogmaals dat de regelgevingsopzet van de AVG en de eigenlijke werkingssfeer ervan het gegevensverkeer moeten volgen en ervoor moeten zorgen dat persoonsgegevens bij bewerkingen worden beschermd. De AVG is niet bedoeld om alle voorafgaande verhoudingen tussen allerlei entiteiten die mogelijk in het bezit zijn van gegevens, waaronder de redenen waarom en de manier waarop zij deze gegevens in hun bezit zouden kunnen krijgen, te regelen. De AVG waarborgt met andere woorden geen „rechten” van de ene verwerkingsverantwoordelijke jegens de andere.

57.

Dat betekent niet dat dergelijke kwesties niet wettelijk zijn geregeld. Zij zijn dat wel degelijk, maar door andere instrumenten, die in eerste instantie op rechtshandhaving zijn gericht. Die instrumenten bevatten in de eerste plaats de rechtsgrond voor de verwerking die wordt vereist door artikel 6, lid 3, AVG. Het is vrij logisch dat verplichte doorgiften van persoonsgegevens doorgaans worden geregeld bij „rechtshandhavingsinstrumenten”, of het nu in het kader van het Unierecht ( 36 ) dan wel van het nationale recht is. Voor zover vrijwillige doorgiften van persoonsgegevens onder het publiekrechtelijke stelsel van de AVG kunnen en mogen, zullen zij, naargelang van de afspraken die tussen de respectieve opeenvolgende verwerkingsverantwoordelijken zijn gemaakt, hun grondslag vinden in nationaal ondernemings- of overeenkomstenrecht.

58.

Gelet op deze preciseringen ben ik van mening dat de onderhavige zaak (nog) niet draait om een verwerkingsactiviteit. Deze zaak ziet op de rechtsgrond voor die verwerking en dat is een kwestie waarnaar de AVG slechts verwijst zonder ze zelf rechtstreeks te regelen. In een poging om de verwijzende rechter ten volle bij te staan, wordt in het volgende deel van deze conclusie niettemin een uiteenzetting gegeven van het uit de AVG voortvloeiende basiskader dat op de bewerking van toepassing zal zijn zodra zij door de verwerkingsverantwoordelijke, de particuliere onderneming, wordt uitgevoerd (B). De AVG heeft tot doel de betrokkenen te beschermen, niet een particuliere onderneming tegen overheidsinmenging in haar vrijheid van ondernemerschap of haar recht op eigendom in de vorm van gegevensexploitatie. Daarmee wil ik niet zeggen dat een dergelijke kwestie geen aanleiding kan geven tot een terecht punt van zorg, maar gewoon dat zij niet door de AVG kan worden geregeld (C).

59.

Hieronder volgt een vrij algemene bespreking van de rechtsgrond voor de gegevensverwerking waartoe verzoekster dient over te gaan om te voldoen aan verweerders verzoek om informatie. De toepasselijke bepaling zal wellicht artikel 6 AVG, en meer bepaald de leden 1 en 3 ervan zijn, gelezen in samenhang met overweging 45.

60.

Vooraf dient te worden gewezen op het feit dat aan het Hof geen specifieke informatie is verstrekt met betrekking tot eventuele aanvullende nationale regels die op gegevensbescherming in omstandigheden als die van het hoofdgeding van toepassing zijn. Daarnaast is aan het Hof evenmin meegedeeld of er naast artikel 15, lid 6, van de algemene belastingwet andere nationale handelingen van algemene strekking zijn (bijvoorbeeld een besluit of uitvoeringsrichtsnoeren) die de verplichting van aanbieders van (internetadvertentie)diensten tot het verstrekken van bepaalde gegevens aan belastingdiensten nader regelen. Ook is er erg weinig informatie over het nationale wetgevingskader dat meer in het algemeen uitvoering geeft aan de AVG.

61.

Bovendien wordt niet verduidelijkt of artikel 23, lid 1, onder e), AVG op enige manier in het nationale recht is omgezet. Voor de rechtmatigheid van het verzoek om doorgifte van informatie is het niet bepalend of die Unierechtelijke bepaling al dan niet is omgezet. Dit is wél van belang om de omvang en de aard van de verplichtingen vast te stellen die ten aanzien van de betrokkenen op een volgende verwerkingsverantwoordelijke (een overheidsinstantie) zouden kunnen rusten, alsook om te achterhalen wat de verplichtingen van de oorspronkelijke verwerkingsverantwoordelijke zijn en welke informatie laatstgenoemde aan de betrokkenen dient te verstrekken.

62.

De bespreking hieronder is dus per definitie vrij algemeen. Ik zal mij eerst richten op de beginselen die, voor de toekomstige verwerking van gegevens door een particuliere onderneming ter voldoening aan een gegevensverzoek van een overheidsinstantie, voortvloeien uit artikel 6 AVG met betrekking tot het doel (1) en de omvang en duur (2) van dergelijke gegevensdoorgiften. Vervolgens zal ik ingaan op de rechtsgrond voor dergelijke doorgiften aangezien de vereisten waaraan deze dient te beantwoorden duidelijker worden nadat de voorgaande deelkwesties zijn behandeld (3).

63.

Het globale doel waarvoor de belastingdienst in het hoofdgeding toegang tot persoonsgegevens wenst te krijgen, is algemeen gesproken zonder meer rechtmatig. Het verzekeren van een correcte belastinginning en het opsporen van een eventuele niet-nakoming van de belastingplicht kunnen ongetwijfeld vallen onder de soorten legitieme doelen voor gegevensverwerking in de zin van artikel 6, leden 1 en 3, AVG. ( 37 )

64.

Cruciaal voor de kwesties die door de onderhavige zaak worden opgeworpen, is het abstractieniveau waarop een dergelijk doel dient te worden geformuleerd. Dienaangaande blijken twee soorten specifieke doelen enigszins met elkaar te worden verward: i) het zoeken naar bepaalde soorten informatie (met het oog op het opsporen van wetsovertredingen), in tegenstelling tot ii) het verifiëren of bepaalde overtredingen zijn begaan (en toegang wensen tot specifieke gegevens ter bevestiging van die hypothese).

65.

De aard (en derhalve de omvang) van de twee types gegevensverstrekking is zeker verschillend. Bij het zoeken en opsporen is de opzet ex ante, ruim en veelal vaag wat de precieze betrokkenen betreft. Indien het de bedoeling is om mogelijke overtredingen op te sporen, dan dient het metaforische net erg breed te worden uitgeworpen. Bij het verifiëren van potentiële overtredingen door opvraging van relevante gegevens is daarentegen een veel genuanceerdere en gerichtere opzet mogelijk. In dat geval is de opzet veel meer ex post, namelijk toegespitst op het verifiëren van bepaalde vermoedens ten aanzien van een doorgaans reeds aanwijsbare betrokkene.

66.

Mijns inziens zijn op grond van artikel 6 AVG beide scenario’s mogelijk. Artikel 6, lid 3, AVG vereist evenwel voor elk van die gegevensdoorgiften een duidelijke rechtsgrond.

67.

Gelet op de bewoordingen van artikel 15, lid 6, van de algemene belastingwet begrijp ik nochtans de terughoudendheid van de verwijzende rechter in de context van de onderhavige zaak. Luidens de versie ervan die blijkbaar van toepassing was toen de verwijzende rechter zijn verzoek om een prejudiciële beslissing indiende, kunnen de aanbieders van internetadvertentiediensten worden verplicht om op verzoek van de nationale belastingdienst informatie te verstrekken met betrekking tot de (respectieve) belastingplichtigen.

68.

In de onderhavige zaak komt het in de toepasselijke rechtsgrond genoemde doel van de gegevensverstrekking daarom het dichtst in de buurt van het hierboven geschetste tweede scenario: het verifiëren van bepaalde informatie met betrekking tot specifieke belastingplichtigen. De nationale belastingdienst lijkt die rechtsgrond evenwel te hebben aangegrepen voor een ogenschijnlijk verzoek om (onbeperkte) gegevensdoorgiften of zelfs regelrechte data harvesting teneinde een algemene zoek- en opsporingsactie uit te voeren, die binnen het hierboven geschetste eerste scenario valt. Dat is de tegenstrijdige opzet die op nationaal vlak klaarblijkelijk aan de zaak ten grondslag ligt, waardoor er een zekere verwarring ontstaat over zowel de evenredigheid van een dergelijke maatregel (2) als de passende rechtsgrond ervoor (3).

69.

Evenredigheid, alsook „minimalisering” overigens, betreft het onderzoek naar het verband tussen de (geformuleerde) doelen en de (gekozen) middelen. Het probleem in casu is dat de evenredigheid afhankelijk van welk van de doelen uit de twee zonet geschetste (optimale ( 38 )) scenario’s wordt gekozen, anders zal moeten worden beoordeeld.

70.

Wanneer overheidsinstanties willen „zoeken en opsporen”, zullen zij hun net zo breed mogelijk uitwerpen zodat de relevante informatie met zekerheid kan worden gevonden. Dat kan mogelijk de verwerking van een grote hoeveelheid gegevens met zich brengen. Het is immers eigen aan dit soort algemene en niet-afgebakende zoekacties naar informatie dat grotere gegevensbestanden moeten worden verzameld en verwerkt. In dat geval kunnen de evenredigheid en de minimale gegevensverwerking alleen maar verband houden met het opgevraagde soort gegevens waaronder de nodige informatie zich potentieel bevindt. ( 39 )

71.

Wanneer overheidsinstanties de bedoeling hebben te „verifiëren”, waarbij zij bewijsmateriaal dienen te verzamelen over de inhoud van een specifieke transactie of reeks transacties, is de evenredigheidsbeoordeling vanzelfsprekend mogelijk lastiger. De belastingdienst kan dan enkel binnen bepaalde termijnen naar specifieke transacties informeren met het oog op verificaties achteraf die doorgaans betrekking hebben op een of meer bepaalde belastingplichtigen. De verzoeken om informatie zullen bijgevolg op maat zijn van de specifieke gegevens die dat soort informatie bevatten.

72.

De redenering achter overweging 31 AVG, voor zover ik er een kan ontwaren, lijkt enkel verband te houden met laatstgenoemd scenario. De tweede volzin van die overweging, waarop de betrokken partijen en met name de Commissie zich hebben gebaseerd en die overvloedig door hen is besproken, luidt dat de door overheidsinstanties ingediende verzoeken om gegevensverstrekking in ieder geval schriftelijk, gemotiveerd en incidenteel moeten zijn, en niet een volledig bestand mogen betreffen of mogen resulteren in het onderling combineren van bestanden.

73.

Het is mijns inziens evenwel niet mogelijk om (een deel) van een overweging van een verordening uit zijn context te halen en te behandelen als een op zichzelf staande en bindende bepaling die niet eens ergens anders in de juridisch bindende tekst van dat instrument wordt herhaald ( 40 ), en op die basis te verklaren dat doorgiften van persoonsgegevens aan overheidsinstanties uitsluitend onder die voorwaarden mogen plaatsvinden. Ik ben het eenvoudigweg niet eens met de suggestie dat alle grootschaligere gegevensdoorgiften aan overheidsinstanties, zelfs die waarvoor er een passende rechtsgrond voorhanden is (in het nationale en/of het Unierecht) en die voldoen aan alle bindende bepalingen van de AVG, louter op grond van een deel van overweging 31 zijn uitgesloten.

74.

In de context van de onderhavige zaak voert de Letse regering aan dat de opgevraagde hoeveelheid informatie als redelijk kan worden beschouwd aangezien het verzoek om verstrekking enkel advertenties betreft die in de rubriek „Personenauto’s” van de website zijn geplaatst, die slechts een van de 112 rubrieken van de betrokken website van verzoekster vormt. De Belgische en de Spaanse regering hebben daaraan toegevoegd dat het in hun ogen niet draait om de hoeveelheid gegevens die wordt opgevraagd, maar om het soort gegevens dat wordt verlangd.

75.

Ik ben het eens met die opmerkingen.

76.

De toets of onderzoek en opsporing ex ante als evenredig kunnen worden beschouwd, impliceert dat een „kwalitatieve controle” wordt uitgevoerd met betrekking tot het soort gegevens dat wordt opgevraagd. Enkel voor de verificatie ex post van bepaalde gegevens kan ten volle worden gebruikgemaakt van de „kwantitatieve controle”. Was dat niet het geval, dan zouden de meeste instrumenten voor gegevensmonitoring of -bewaking in de praktijk uitgesloten zijn.

77.

Een nationale belastingdienst mag in beginsel, voor zover er een passende rechtsgrond in het Unie- of het nationale recht kan worden gevonden, zonder enige beperking in de tijd verzoeken om alle gegevens die hij nodig heeft voor het soort onderzoek dat hij moet uitvoeren. De enige beperking die uit de AVG voortvloeit, is dat naar evenredigheid moet worden gestreefd wat betreft het soort gegevens dat wordt opgevraagd. Zoals de Griekse regering terecht opmerkt, dienen verzoeken om informatie te worden beperkt tot gegevens die verband houden met de economische activiteit van belastingplichtigen, en mogen zij niet hun persoonlijke levenssfeer betreffen.

78.

Indien het geformuleerde doel erin bestaat niet-aangegeven inkomsten uit de verkoop van tweedehands personenauto’s op te sporen, heeft de belastingdienst niet ook het recht om bijvoorbeeld te verzoeken om informatie over de vraag of de verkoper van de personenauto roodharig is, een bepaald dieet volgt of een zwembad heeft. Derhalve moet het soort informatie dat wordt opgevraagd duidelijk verband houden met de meegedeelde zoekacties en onderzoeken.

79.

Afgezien daarvan staat het aan de nationale rechter om de evenredigheid in elk van de twee hierboven geschetste scenario’s te beoordelen in het licht van de feitelijke en juridische omstandigheden van de concrete zaak. ( 41 ) De vraag die in de onderhavige zaak rijst is eenvoudigweg of verweerder met het soort opgevraagde gegevens de informatie kan verkrijgen die hij nodig heeft om het door hem geformuleerde doel te bereiken.

80.

De centrale kwestie van de rechtsgrond kan pas nu, in het licht van de verduidelijkingen van zonet, naar behoren worden beoordeeld. In de twee scenario’s die in de voorgaande onderdelen van deze conclusie zijn geschetst („zoeken en opsporen” en „verifiëren”), is er voor de verwerking door verzoekster uiteraard een rechtsgrond als bedoeld in artikel 6, lid 3, AVG vereist. Die bepaling staat uitdrukkelijk toe dat de toepassing van de algemene regels van de AVG in het Unierecht of in het recht van de lidstaten specifiek wordt aangepast.

81.

Logischerwijs dient de gekozen rechtsgrond echter in elk geval het specifieke doel van de verwerking en het type verwerking dat wordt verricht om dat doel te bereiken, te dekken. Op welke manier dat juist vorm wordt gegeven, is een kwestie van de door de lidstaat of de Unie vastgestelde specifieke aanpassingsbepalingen als bedoeld in artikel 6, lid 3, AVG. Hoe algemener, uitgebreider en permanenter gegevensdoorgiften zijn, des te solider, gedetailleerder en explicieter moet doorgaans de wettelijke basis zijn, aangezien dergelijke doorgiften een grotere inmenging inhouden in de gegevensbescherming. Daartegenover staat dat hoe discreter en beperkter de verzoeken om verstrekking zijn – veelal met betrekking tot slechts één of enkele betrokkenen of een beperkte hoeveelheid gegevens –, des te aannemelijker het is dat die verzoeken de vorm kunnen aannemen van individuele administratieve verzoeken, ten aanzien waarvan de bij wet vastgestelde machtigingsbepaling vrij ruim en algemeen blijft.

82.

De twee lagen regelgeving, namelijk de wettelijke en de administratieve, die samen de uiteindelijke rechtsgrond voor de gegevensverwerking vormen, functioneren met andere woorden als een geheel. Minstens een van de twee dient voldoende specifiek te zijn en op maat te zijn van een bepaald soort of een bepaalde hoeveelheid opgevraagde persoonsgegevens. Hoe meer er voor dergelijke gegevensdoorgiften is vastgelegd op wettelijk en structureel vlak, des te minder details dienen te zijn opgenomen in het individuele administratieve verzoek. De wettelijke laag kan zelfs zo nauwkeurig en uitgebreid zijn dat zij volledig op zichzelf staat en geen uitvoeringsbepalingen vereist. Daartegenover staat dat hoe algemener en vager het wettelijk niveau is, des te meer uitleg er op het niveau van het individuele administratieve verzoek zal dienen te worden gegeven, met inbegrip van een duidelijk geformuleerd doel ter afbakening van de omvang ervan.

83.

Dit punt biedt indirect een antwoord op de kwestie die door de verwijzende rechter is opgeworpen onder de noemer van evenredigheid en waarop in feite best nu kan worden ingegaan om te bepalen of belastingdiensten gegevensverzoeken kunnen indienen die onbeperkt zijn in de tijd. Mijns inziens is dat op grond van de AVG mogelijk. Relevanter is evenwel de vraag of er in het nationale recht een passende rechtsgrond bestaat voor iets dat in wezen een doorlopende en permanente gegevensdoorgifte inhoudt. Voor zover het nationale recht een duidelijke grondslag voor dergelijke doorgiften bevat en de duur ervan bepaalt, verzet artikel 6, lid 3, AVG zich er niet tegen. Overweging 31 AVG verandert daar wederom weinig aan. ( 42 ) Mijns inziens is het in de praktijk weinig zinvol om die overweging aldus op te vatten dat van overheidsinstanties daadwerkelijk wordt verlangd dat zij telkens opnieuw (of het nu dagelijks, maandelijks of jaarlijks is) identieke individuele verzoeken doen ter verkrijging van iets wat zij reeds hadden kunnen verkrijgen op grond van een nationale wettelijke regeling.

84.

In de onderhavige zaak wordt de rechtsgrond voor de verwerking blijkbaar gevormd door artikel 15, lid 6, van de algemene belastingwet en de specifieke verzoeken van de belastingdienst om gegevensverstrekking. Derhalve is er sprake van een dubbele rechtsgrond, die bestaat uit een algemene, bij wet vastgestelde machtigingsbepaling en de administratieve toepassing ervan, die specifiek en doelgericht is.

85.

Algemeen genomen volstaat die dubbele rechtsgrond om op grond van artikel 6, lid 1, onder c), en lid 3, AVG te rechtvaardigen dat verzoekster persoonsgegevens verwerkt met het oog op doorgifte ervan aan een overheidsinstantie. Ofschoon de nationale wettelijke regeling op grond waarvan belastingdiensten worden gemachtigd om informatie op te vragen vrij algemeen blijft, blijken specifieke gegevensverzoeken voornamelijk gericht te zijn op een bepaald soort gegevens, ook al kan het daarbij om een grote hoeveelheid gaan.

86.

Uiteindelijk staat het evenwel aan de nationale rechter om met volle kennis van het nationale recht, met inbegrip van eventuele in het onderhavige geding niet genoemde aanvullende nationale uitvoeringsregels, te verifiëren of de verwerking die van verzoekster in het hoofdgeding wordt verlangd, voldoet aan de in dit deel van de onderhavige conclusie uiteengezette voorwaarden.

87.

De kwestie die bij die beoordeling van de rechtsgrond centraal staat en waaraan bijzondere aandacht moet worden besteed, is of artikel 15, lid 6, van de algemene belastingwet, samen met de specifieke verzoeken om informatie, voldoet aan het vereiste van voorzienbaarheid. ( 43 ) De wettelijke regeling op grond waarvan gegevens kunnen worden doorgegeven, dient duidelijke en nauwkeurige regels te bevatten over de werkingssfeer en de toepassing van de betrokken maatregel en minimumwaarborgen op te leggen, zodat degenen van wie de persoonsgegevens in het spel zijn, over voldoende garanties beschikken dat die gegevens doeltreffend worden beschermd tegen het risico van misbruik. ( 44 )

88.

De rechtsgrond in zijn geheel genomen (de wettelijke en de administratieve grond samen) dient dus voldoende nauwkeurig verwoord te zijn voor alle betrokken personen: de overheidsinstanties met betrekking tot hetgeen zij mogen verlangen, de ondernemingen met betrekking tot hetgeen zij mogen verstrekken en bovenal de betrokkenen, zodat zij kennis hebben van wie voor welke doeleinden toegang tot hun gegevens kan krijgen. Informatie over gegevensverwerking is onder de AVG trouwens een kernvereiste. De betrokkenen dienen van het bestaan van een dergelijke verwerking op de hoogte te zijn en de uitoefening van verdere rechten – op inzage, wissen of rectificatie van gegevens – is van die informatie afhankelijk. ( 45 )

89.

Tenzij artikel 23 AVG op een of andere manier in nationaal recht is omgezet met het oog op het beperken van de in hoofdstuk III AVG bedoelde rechten van betrokkenen, volgt uit de artikelen 13 en 14 AVG dat de verwerkingsverantwoordelijke aan de betrokkene informatie dient te verstrekken. Bij opeenvolgende gegevensdoorgiften kan het lastig zijn om te bepalen op wie de informatieplicht rust. ( 46 ) Indien er geen beperkingen overeenkomstig artikel 23, lid 1, AVG zijn ingevoerd, welke in het nationale recht moeten voldoen aan de vereisten van artikel 23, lid 2, AVG, zal een overheidsinstantie die de gegevens heeft verkregen in de praktijk bovendien mogelijk verplicht zijn om op grond van artikel 14 AVG passende informatie te verstrekken aan alle betrokkenen in kwestie. Zonder een duidelijke en voorzienbare rechtsgrond die dergelijke gegevensdoorgiften uiteindelijk mogelijk maakt, kan van de verwerkingsverantwoordelijke die de gegevens heeft verzameld moeilijk worden verwacht dat hij de betrokkene daarvan in kennis stelt overeenkomstig artikel 13 AVG.

90.

Concluderend ben ik daarom van mening dat artikel 6, lid 1, onder c), en lid 3, AVG zich niet verzet tegen nationale regels op grond waarvan aanbieders van internetadvertentiediensten zonder beperking in de tijd verplicht zijn om bepaalde persoonsgegevens aan een belastingdienst te verstrekken, voor zover er in het nationale recht een duidelijke rechtsgrond voor een dergelijk soort gegevensdoorgiften is opgenomen en de opgevraagde gegevens voor de belastingdienst passend en noodzakelijk zijn om zijn wettelijke taken te vervullen.

91.

Het is niet aan mij om te speculeren over wat partijen voor de nationale rechter werkelijk drijft. Ik zal daarom vasthouden aan mijn hoop dat er barmhartige Samaritanen bestaan die belangeloos naar voren treden ter verdediging van anderen. Waarom zou het niet kunnen dat een particuliere onderneming gewoonweg de rechten verdedigt van de betrokkenen wier personengegevens zij heeft verzameld?

92.

Ofschoon het alleen maar heuglijk nieuws is dat commerciële ondernemingen zich beginnen in te zetten voor gegevensbescherming, neem ik aan dat sommige andere ondernemingen zich mogelijk om nog andere redenen wensen te verzetten tegen van overheidswege voorgeschreven doorgiften van persoonsgegevens die zij hebben verzameld. Een mogelijke reden kan liggen in de kosten die een dergelijke inspanning meebrengt. Moeten overheidsinstanties de uitoefening van wat in essentie openbaar gezag is daadwerkelijk gedeeltelijk kunnen uitbesteden waardoor particuliere ondernemingen de kosten daarvan moeten dragen? Die kwestie is van belang bij permanente, grootschalige gegevensdoorgiften die particuliere ondernemingen zonder enige vergoeding dienen uit te voeren in het algemeen belang. ( 47 ) Andere redenen zijn mogelijk meer bedrijfsmatig van aard. Indien heel even wordt aangenomen – uiteraard puur hypothetisch – dat mensen doorgaans niet graag belastingen betalen, is het misschien evenmin vergezocht om ervan uit te gaan dat een aantal van die mensen voor het maken van reclame voor hun tweedehands personenauto’s andere opties zouden kunnen kiezen dan een website die deze informatie vervolgens meedeelt aan de belastingdienst.

93.

Een evenwicht vinden tussen al de in een dergelijke situatie bestaande belangen is allesbehalve voor de hand liggend. Enerzijds kan het verzoek van het openbaar gezag aan particuliere ondernemingen om gegevens te verstrekken die moeten worden voorbereid en meegedeeld overeenkomstig de precieze vereisten van dat openbaar gezag, gevaarlijk veel weg hebben van gedwongen uitbesteding van de uitoefening van openbaar gezag. Dat kan met name het geval zijn voor gegevens die overigens vrij verkrijgbaar zijn en die de overheidsinstanties met behulp van enige technische middelen zelf hadden kunnen verzamelen. Anderzijds kan, zoals de Belgische regering terecht heeft benadrukt door te wijzen op de bredere relevantie van de situatie in het hoofdgeding, wellicht een ietwat meer genuanceerd antwoord geboden zijn in gevallen waarin er sprake is van allerlei vormen van deeleconomieplatforms, of in andere scenario’s waarin overheidsinstanties verzoeken om toegang tot gegevens die essentieel zijn voor het legitieme maatschappelijke doel dat is geformuleerd, maar die niet vrij beschikbaar zijn waardoor ze niet door de overheidsinstanties zelf kunnen worden verzameld. Ook in dergelijke omstandigheden blijft evenwel de vraag open of er eventueel een vergoeding moet worden betaald.

94.

Mijns inziens gaan er achter het hoofdgeding ongetwijfeld dergelijke kwesties schuil. Voor dergelijke zaken dient een redelijk evenwicht evenwel in de eerste plaats te worden gevonden op het nationale niveau of op het niveau van de Unie, bij de vaststelling van de toepasselijke wettelijke regeling die de rechtsgrond voor een dergelijk type doorgifte bevat. Het is niet de taak van het Hof om zich daarover uit te spreken, zeker niet in een zaak waarin die kwesties door de verwijzende rechter niet eens uitdrukkelijk zijn opgeworpen. Bovendien zijn er minstens nog twee andere redenen waarom de onderhavige zaak zich niet tot dat soort discussie leent.

95.

Ten eerste worden dergelijke kwesties, zoals zovele andere kwesties die op een of andere manier draaien rond het verkeer van persoonsgegevens maar niet echt zien op de bescherming van de rechten van de betrokkenen, eenvoudigweg niet specifiek geregeld door de AVG. De AVG bevat geen regeling voor de kwestie van de rechtsbescherming van verwerkingsverantwoordelijken – de bescherming van particuliere ondernemingen tegen de potentieel onrechtmatige of onevenredige inmenging in hun vrijheid van ondernemerschap, hun eventuele recht op eigendom ( 48 ), of zelfs hun potentiële recht op een billijke vergoeding voor de gegevens die zij doorgeven.

96.

Ten tweede kan de kwestie van een potentiële vergoeding voor verplichte gegevensdoorgiften moeilijk een Unierechtelijke kwestie zijn wanneer het Unierecht niet in een rechtsgrond voor een dergelijke doorgifte voorziet. ( 49 ) Dat wil wederom niet zeggen dat dergelijke kwesties niet aan de orde kunnen zijn, al was het als een zaak van bescherming van grondrechten (van de betrokken verwerkingsverantwoordelijken). Die kwesties zullen dan evenwel naar behoren moeten worden behandeld door de rechter van de lidstaat die dergelijke doorgiften heeft opgelegd. Zulke zaken dienen daarom veeleer bij een nationale (constitutionele) rechter aanhangig te worden gemaakt.

97.

Ik geef het Hof in overweging om de prejudiciële vragen van de Administratīvā apgabaltiesa te beantwoorden als volgt:

„Artikel 6, lid 1, onder c), en lid 3, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) verzet zich niet tegen nationale regels op grond waarvan aanbieders van internetadvertentiediensten zonder beperking in de tijd verplicht zijn om bepaalde persoonsgegevens aan een belastingdienst te verstrekken, voor zover er in het nationale recht een duidelijke rechtsgrond voor een dergelijk soort gegevensdoorgiften is opgenomen en de opgevraagde gegevens voor de belastingdienst passend en noodzakelijk zijn om zijn wettelijke taken te vervullen.”