EUR-Lex Access to European Union law

Back to EUR-Lex homepage

This document is an excerpt from the EUR-Lex website

Document 62021CJ0487

Arrest van het Hof (Eerste kamer) van 4 mei 2023.
F.F. tegen Österreichische Datenschutzbehörde en CRIF GmbH.
Verzoek van het Bundesverwaltungsgericht om een prejudiciële beslissing.
Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Recht van de betrokkene om inzage te verkrijgen in hem betreffende persoonsgegevens die worden verwerkt – Artikel 15, lid 3 – Verstrekking van een kopie van de gegevens – Begrip ‚kopie’ – Begrip ‚informatie’.
Zaak C-487/21.

Court reports – general

ECLI identifier: ECLI:EU:C:2023:369

 ARREST VAN HET HOF (Eerste kamer)

4 mei 2023 ( *1 )

„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Recht van de betrokkene om inzage te verkrijgen in hem betreffende persoonsgegevens die worden verwerkt – Artikel 15, lid 3 – Verstrekking van een kopie van de gegevens – Begrip ‚kopie’ – Begrip ‚informatie’”

In zaak C‑487/21,

betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk) bij beslissing van 9 augustus 2021, ingekomen bij het Hof op 9 augustus 2021, in de procedure

F.F.

tegen

Österreichische Datenschutzbehörde,

in tegenwoordigheid van:

CRIF GmbH,

wijst

HET HOF (Eerste kamer),

samengesteld als volgt: A. Arabadjiev, kamerpresident, P. G. Xuereb, T. von Danwitz, A. Kumin en I. Ziemele (rapporteur), rechters,

advocaat-generaal: G. Pitruzzella,

griffier: A. Calot Escobar,

gezien de stukken,

gelet op de opmerkingen van:

F.F., vertegenwoordigd door M. Schrems,

de Österreichische Datenschutzbehörde, vertegenwoordigd door A. Jelinek en M. Schmidl als gemachtigden,

CRIF GmbH, vertegenwoordigd door L. Feiler en M. Raschhofer, Rechtsanwälte,

de Oostenrijkse regering, vertegenwoordigd door G. Kunnert, A. Posch en J. Schmoll als gemachtigden,

de Tsjechische regering, vertegenwoordigd door O. Serdula, M. Smolek en J. Vláčil als gemachtigden,

de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door M. Russo, avvocato dello Stato,

de Europese Commissie, vertegenwoordigd door A. Bouchagiar, M. Heller en H. Kranenborg als gemachtigden,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 15 december 2022,

het navolgende

Arrest

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 15 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2; hierna: „AVG”).

2

Dit verzoek is ingediend in het kader van een geding tussen F.F. en de Österreichische Datenschutzbehörde (autoriteit voor gegevensbescherming, Oostenrijk) (hierna: „DSB”) over de weigering van de DSB om CRIF GmbH te verplichten om aan F.F. een kopie te verstrekken van de documenten en databankuittreksels die onder meer hem betreffende persoonsgegevens bevatten die worden verwerkt.

Toepasselijke bepalingen

3

In de overwegingen 10, 11, 26, 58, 60 en 63 AVG staat te lezen:

„(10)

Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. […]

(11)

Doeltreffende bescherming van persoonsgegevens in de gehele Unie vereist de versterking en nadere omschrijving van de rechten van betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken en van degenen die over die verwerking beslissen […].

[…]

(26)

De beginselen van gegevensbescherming moeten voor elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon gelden. Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken.

[…]

(58)

Overeenkomstig het transparantiebeginsel moet informatie die bestemd is voor het publiek of de betrokkene eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal […] worden gebruikt.

[…]

(60)

Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. De verwerkingsverantwoordelijke dient de betrokkene de nadere informatie te verstrekken die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt. […]

[…]

(63)

Een betrokkene moet het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. […] Elke betrokkene dient dan ook het recht te hebben, te weten en te worden meegedeeld voor welke doeleinden de persoonsgegevens worden verwerkt, indien mogelijk hoelang zij worden bewaard, wie de persoonsgegevens ontvangt, welke logica er ten grondslag ligt aan een eventuele automatische verwerking van de persoonsgegevens en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen van een dergelijke verwerking zijn. Indien mogelijk moet de verwerkingsverantwoordelijke op afstand toegang kunnen geven tot een beveiligd systeem waarop de betrokkene direct zijn persoonsgegevens kan inzien. Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. […]”

4

Artikel 4 van deze verordening bepaalt:

„Voor de toepassing van deze verordening wordt verstaan onder:

1)

‚persoonsgegevens’, alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon […]; als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

2)

‚verwerking”, een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens […];

[…]”

5

In artikel 12 („Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene”) van die verordening is bepaald:

„1.   De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.

[…]

3.   De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. […] Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.

[…]”

6

Artikel 15 („Recht van inzage van de betrokkene”) AVG bepaalt:

„1.   De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

a)

de verwerkingsdoeleinden;

b)

de betrokken categorieën van persoonsgegevens;

c)

de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

d)

indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;

e)

dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;

f)

dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;

g)

wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;

h)

het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2.   Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.

3.   De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

4.   Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.”

7

Artikel 16 („Recht op rectificatie”) van die verordening bepaalt:

„De betrokkene heeft het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. Met inachtneming van de doeleinden van de verwerking heeft de betrokkene het recht vervollediging van onvolledige persoonsgegevens te verkrijgen, onder meer door een aanvullende verklaring te verstrekken.”

8

Artikel 17, „Recht op gegevenswissing (‚recht op vergetelheid’)”, van die verordening bepaalt in lid 1:

„De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen […]:

[…]”

Hoofdgeding en prejudiciële vragen

9

CRIF is een bedrijfsadviesbureau dat, op verzoek van zijn klanten, informatie verstrekt over de solvabiliteit van derden. Daartoe heeft het de persoonsgegevens van verzoeker in het hoofdgeding verwerkt.

10

Op 20 december 2018 heeft verzoeker in het hoofdgeding CRIF op grond van artikel 15 AVG verzocht om inzage van de hem betreffende persoonsgegevens. Voorts heeft hij verzocht om hem een kopie te verstrekken van de documenten, te weten e-mails en databankuittreksels, die onder meer zijn gegevens bevatten, dit „in een gangbaar technisch formaat”.

11

In antwoord op dit verzoek heeft CRIF hem de lijst van zijn verwerkte persoonsgegevens toegezonden in geaggregeerde vorm.

12

Verzoeker in het hoofdgeding heeft bij de DSB een klacht ingediend omdat hij van mening was dat CRIF hem een kopie van alle documenten die zijn gegevens bevatten, zoals e-mails en databankuittreksels, had moeten overmaken.

13

Bij besluit van 11 september 2019 heeft de DSB deze klacht afgewezen op grond van de overweging dat CRIF het recht van de verzoeker in het hoofdgeding om inzage te verkrijgen in de hem betreffende persoonsgegevens op geen enkele wijze had geschonden.

14

De verwijzende rechter bij wie verzoeker in het hoofdgeding beroep tegen dit besluit heeft ingesteld, vraagt zich af wat de draagwijdte is van artikel 15, lid 3, eerste volzin, AVG. Hij vraagt zich in het bijzonder af of voldaan is aan de in deze bepaling neergelegde verplichting om een „kopie” van de persoonsgegevens te verstrekken wanneer de verwerkingsverantwoordelijke de persoonsgegevens in geaggregeerde vorm verstrekt, dan wel of deze verplichting ook inhoudt dat uittreksels uit documenten of zelfs volledige documenten alsmede databankuittreksels waarin die gegevens zijn opgenomen, moeten worden verstrekt.

15

Meer in het bijzonder vraagt deze rechter zich af of artikel 15, lid 3, eerste volzin, AVG enkel bepaalt in welke vorm het recht van inzage van de in artikel 15, lid 1, van deze verordening bedoelde informatie moet worden gewaarborgd, dan wel of eerstgenoemde bepaling voorziet in een autonoom recht van de betrokkene om inzage te verkrijgen in de gegevens die verband houden met de context waarin de gegevens van die persoon worden verwerkt, in de vorm van kopieën van uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer deze gegevens bevatten.

16

De verwijzende rechter vraagt zich ook af of het begrip „gegevens” in artikel 15, lid 3, derde volzin, AVG tevens de in artikel 15, lid 1, onder a) tot en met h), van deze verordening bedoelde informatie omvat, of zelfs aanvullende informatie zoals bij de gegevens behorende metagegevens, dan wel of het uitsluitend betrekking heeft op de in artikel 15, lid 3, eerste volzin, van die verordening bedoelde „persoonsgegevens die worden verwerkt”.

17

In deze omstandigheden heeft het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk) de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

„1)

Moet het begrip ‚kopie’ in artikel 15, lid 3, [AVG] aldus worden uitgelegd dat daarmee een fotokopie, een facsimile of een elektronische kopie van een (elektronisch) gegeven wordt bedoeld, of valt daar, uitgaande van de omschrijving van dit begrip in Duitse, Franse en Engelse woordenboeken, ook een ‚Abschrift’, een ‚double’ (‚duplicata’) of een ‚transcript’ onder?

2)

Moet artikel 15, lid 3, eerste volzin, AVG, waarin is bepaald dat ‚[d]e verwerkingsverantwoordelijke […] een kopie [verstrekt] van de persoonsgegevens die worden verwerkt’, aldus worden uitgelegd dat deze bepaling voorziet in een algemeen recht van een betrokkene op verstrekking van een kopie van – ook – volledige documenten waarin persoonsgegevens van de betrokkene zijn verwerkt, of, voor zover van toepassing, op verstrekking van een kopie van een uittreksel uit een databank waarin de persoonsgegevens zijn verwerkt, of houdt die bepaling in dat de betrokkene – alleen – recht heeft op een getrouwe reproductie van de op grond van artikel 15, lid 1, AVG mede te delen persoonsgegevens?

3)

Moet, indien de tweede vraag aldus wordt beantwoord dat de betrokkene slechts recht heeft op een getrouwe reproductie van de op grond van artikel 15, lid 1, AVG mede te delen persoonsgegevens, artikel 15, lid 3, eerste volzin, [ervan] aldus worden uitgelegd dat het, gelet op de aard van de verwerkte gegevens [bijvoorbeeld met betrekking tot de in overweging 63 van de AVG genoemde diagnosen, onderzoeksresultaten, beoordelingen, of ook bescheiden in verband met een toetsing in de zin van het arrest van het Hof van 20 december 2017, Nowak (C‑434/16, EU:C:2017:994),] en het transparantiegebod van artikel 12, lid 1, AVG, in individuele gevallen niettemin noodzakelijk kan zijn om ook tekstpassages of hele documenten aan de betrokkene te verstrekken?

4)

Moet het begrip ‚informatie’ die volgens artikel 15, lid 3, derde volzin, AVG ‚in een gangbare elektronische vorm’ aan de betrokkene moet worden verstrekt, wanneer deze zijn verzoek elektronisch indient ‚en niet om een andere regeling verzoekt’, aldus worden uitgelegd dat daarmee enkel de in artikel 15, lid 3, eerste volzin, AVG bedoelde ‚persoonsgegevens die worden verwerkt’ worden bedoeld?

a)

Indien de vierde vraag ontkennend wordt beantwoord, moet het begrip ‚informatie’ die volgens artikel 15, lid 3, derde volzin, AVG ‚in een gangbare elektronische vorm’ aan de betrokkene moet worden verstrekt, wanneer deze zijn verzoek elektronisch indient ‚en niet om een andere regeling verzoekt’, dan aldus worden uitgelegd dat daarmee ook de informatie waarnaar wordt verwezen in artikel 15, lid 1, onder a) tot en met h), AVG wordt bedoeld?

b)

Indien ook de vierde vraag, onder a), ontkennend wordt beantwoord, moet het begrip ‚informatie’ die volgens artikel 15, lid 3, derde volzin, AVG, ‚in een gangbare elektronische vorm’ aan de betrokkene moet worden verstrekt, wanneer deze zijn verzoek elektronisch indient ‚en niet om een andere regeling verzoekt’, dan aldus worden uitgelegd dat daarmee niet alleen ‚persoonsgegevens die worden verwerkt’ en de informatie bedoeld in artikel 15, lid 1, onder a) tot en met h), AVG worden bedoeld, maar bijvoorbeeld ook bijbehorende metagegevens?”

Beantwoording van de prejudiciële vragen

Eerste tot en met derde prejudiciële vraag

18

Met de eerste tot en met de derde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of artikel 15, lid 3, eerste volzin, AVG, gelezen in het licht van het in artikel 12, lid 1, van deze verordening neergelegde transparantiebeginsel, aldus moet worden uitgelegd dat het recht om een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, impliceert dat aan de betrokkene niet alleen een kopie van die gegevens wordt verstrekt, maar ook een kopie van uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer die gegevens bevatten. In het bijzonder vraagt deze rechter zich af wat de draagwijdte van dit recht is.

19

Vooraf moet in herinnering worden gebracht dat volgens vaste rechtspraak van het Hof voor de uitlegging van een bepaling van Unierecht niet alleen rekening moet worden gehouden met de bewoordingen van die bepaling in overeenstemming met de in de omgangstaal gebruikelijke betekenis ervan, maar ook met de context ervan en de doelstellingen van de regeling waarvan zij deel uitmaakt [zie in die zin arresten van 2 december 2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, punt 19 en aldaar aangehaalde rechtspraak, en 7 september 2022, Staatssecretaris van Justitie en Veiligheid (Aard van het verblijfsrecht op grond van artikel 20 VWEU), C‑624/20, EU:C:2022:639, punt 28].

20

Wat de bewoordingen van artikel 15, lid 3, eerste volzin, AVG betreft, geeft deze bepaling aan dat de verwerkingsverantwoordelijke „de betrokkene een kopie [verstrekt] van de persoonsgegevens die worden verwerkt”.

21

Aangezien de AVG geen definitie bevat van het aldus gebruikte begrip „kopie”, dient daarvoor te rade te worden gegaan bij de gebruikelijke betekenis van deze term die, zoals de advocaat-generaal in punt 30 van zijn conclusie heeft opgemerkt, verwijst naar de getrouwe reproductie of transcriptie van een origineel, zodat een zuiver algemene beschrijving van de gegevens die worden verwerkt of een verwijzing naar categorieën persoonsgegevens niet aan die definitie voldoet. Bovendien blijkt uit de bewoordingen van artikel 15, lid 3, eerste volzin, van deze verordening dat de verplichting tot mededeling betrekking heeft op de persoonsgegevens die het voorwerp van de betrokken verwerking vormen.

22

Artikel 4, punt 1, AVG definieert het begrip „persoonsgegevens” als „alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon” en verduidelijkt dat „als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”.

23

Het gebruik van de woorden „alle informatie” in de definitie van het begrip „persoonsgegevens” in deze bepaling wijst op de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, dat zich potentieel uitstrekt tot elk soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene „betreft” (zie naar analogie arrest van 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 34).

24

Dienaangaande is reeds geoordeeld dat informatie betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon wanneer zij wegens haar inhoud, doel of gevolg verband houdt met een identificeerbare persoon (zie in die zin arrest van 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 35).

25

Wat de „identificeerbaarheid” van een natuurlijke persoon betreft, verduidelijkt overweging 26 AVG dat rekening moet worden gehouden met „alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken”.

26

Zoals de advocaat-generaal in de punten 36 tot en met 39 van zijn conclusie in wezen heeft opgemerkt, omvat de ruime definitie van het begrip „persoonsgegevens” dus niet alleen de door de verwerkingsverantwoordelijke verzamelde en bewaarde gegevens, maar ook alle informatie die voortvloeit uit een verwerking van persoonsgegevens betreffende een geïdentificeerde of identificeerbare persoon, zoals de beoordeling van zijn solvabiliteit of betalingsbereidheid.

27

In deze context dient daaraan te worden toegevoegd dat de Uniewetgever aan het begrip „verwerking”, zoals gedefinieerd in artikel 4, lid 2, AVG, een ruime strekking heeft willen geven door gebruik te maken van een niet-uitputtende lijst van handelingen [zie in die zin arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punt 35].

28

Uit de tekstuele analyse van artikel 15, lid 3, eerste volzin, AVG blijkt bijgevolg dat deze bepaling de betrokkene het recht verleent om een getrouwe reproductie te verkrijgen van zijn – in ruime zin opgevatte – persoonsgegevens die door de verwerkingsverantwoordelijke zijn bewerkt op een manier die als verwerking moet worden aangemerkt.

29

Vastgesteld moet echter worden dat de eerste drie vragen niet kunnen worden beantwoord aan de hand van enkel de bewoordingen van deze bepaling, aangezien deze geen enkele aanwijzing bevatten over een mogelijk recht om niet alleen een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, maar ook een kopie van uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer deze gegevens bevatten.

30

Wat de context van artikel 15, lid 3, eerste volzin, AVG betreft, moet worden opgemerkt dat artikel 15 AVG, met als opschrift „Recht van inzage van de betrokkene”, in lid 1 ervan het voorwerp en de werkingssfeer van het aan de betrokkene toegekende recht van inzage omschrijft en daarin het recht van de betrokkene vastlegt om van de verwerkingsverantwoordelijke inzage te verkrijgen in zijn persoonsgegevens en de in de punten a) tot en met h) van dat lid bedoelde informatie.

31

Artikel 15, lid 3, AVG verduidelijkt op welke wijze de op de verwerkingsverantwoordelijke rustende verplichting in de praktijk moet worden nagekomen, door met name in de eerste volzin te specificeren in welke vorm deze verantwoordelijke de „persoonsgegevens die worden verwerkt” moet verstrekken, te weten in de vorm van een „kopie”. Voorts wordt in de derde volzin van dit lid bepaald dat de informatie in gangbare elektronische vorm wordt verstrekt wanneer het verzoek elektronisch wordt ingediend en de betrokkene niet om een andere regeling verzoekt.

32

Artikel 15 AVG kan dus niet worden uitgelegd als zou het in lid 3, eerste volzin, voorzien in een recht dat losstaat van het in lid 1 bedoelde recht. Zoals de Europese Commissie in haar schriftelijke opmerkingen heeft opgemerkt, verwijst de term „kopie” bovendien niet naar een document als zodanig, maar naar de persoonsgegevens die het bevat en die volledig moeten zijn. De kopie moet dus alle persoonsgegevens bevatten die worden verwerkt.

33

Wat de door artikel 15 AVG nagestreefde doelstellingen betreft, moet worden opgemerkt dat de AVG, zoals overweging 11 ervan verduidelijkt, tot doel heeft de rechten van betrokkenen te versterken en nader te omschrijven. In dit verband voorziet artikel 15 van deze verordening in een recht om een kopie te verkrijgen, in tegenstelling tot artikel 12, onder a), tweede streepje, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31), dat enkel voorzag in een recht op „verstrekking, in begrijpelijke vorm, van de gegevens die zijn verwerkt”. Volgens overweging 63 AVG moet „[e]en betrokkene […] het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren”.

34

Het in artikel 15 AVG neergelegde recht van inzage moet de betrokkene dus in staat stellen zich ervan te vergewissen dat de hem betreffende persoonsgegevens juist zijn en rechtmatig worden verwerkt [zie in die zin arrest van 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens), C‑154/21, EU:C:2023:3, punt 37 en aldaar aangehaalde rechtspraak].

35

Dit recht van inzage is met name noodzakelijk om de betrokkene toe te laten om in voorkomend geval een aantal rechten uit te oefenen, namelijk zijn recht op rectificatie van gegevens, op gegevenswissing („recht op vergetelheid”), en op beperking van de verwerking, die hem respectievelijk worden toegekend door de artikelen 16, 17 en 18 AVG, alsook zijn in artikel 21 AVG vastgestelde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens en zijn in de artikelen 79 en 82 AVG neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt [arrest van 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens), C‑154/21, EU:C:2023:3, punt 38 en aldaar aangehaalde rechtspraak].

36

Tevens dient erop te worden gewezen dat in overweging 60 AVG staat te lezen dat overeenkomstig de beginselen van behoorlijke en transparante verwerking de betrokkene op de hoogte moet worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan, waarbij moet worden benadrukt dat de verwerkingsverantwoordelijke de nadere informatie dient te verstrekken die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt.

37

Voorts moet overeenkomstig het door de verwijzende rechter genoemde transparantiebeginsel waarnaar overweging 58 AVG verwijst en dat uitdrukkelijk is neergelegd in artikel 12, lid 1, van deze verordening, alle informatie die bestemd is voor de betrokkene beknopt, eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal worden gebruikt.

38

Zoals de advocaat-generaal in de punten 54 en 55 van zijn conclusie heeft opgemerkt, volgt uit deze laatste bepaling dat de verwerkingsverantwoordelijke passende maatregelen moet nemen opdat de betrokkene alle informatie, waaronder de in artikel 15 AVG bedoelde informatie, in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, en dat de informatie schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, moet worden verstrekt, tenzij de betrokkene erom verzoekt dat de informatie mondeling wordt meegedeeld. Deze bepaling, die uitdrukking geeft aan het transparantiebeginsel, beoogt te waarborgen dat de betrokkene de informatie die hem wordt verstrekt volledig kan begrijpen.

39

Hieruit volgt dat de kopie van de persoonsgegevens die worden verwerkt en die de verwerkingsverantwoordelijke krachtens artikel 15, lid 3, eerste volzin, AVG moet verstrekken, alle noodzakelijke kenmerken moet vertonen om de betrokkene in staat te stellen de rechten die hij aan deze verordening ontleent daadwerkelijk uit te oefenen. Deze kopie moet deze gegevens dus volledig en getrouw reproduceren.

40

Deze uitlegging strookt met de doelstelling van deze verordening die er – zoals uit overweging 10 ervan blijkt – met name in bestaat een consistent en hoog niveau van bescherming van natuurlijke personen binnen de Unie te waarborgen en te dien einde te zorgen voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en fundamentele vrijheden van die personen in verband met de verwerking van persoonsgegevens (zie in die zin arrest van 9 februari 2023, X-FAB Dresden, C‑453/21, EU:C:2023:79, punt 25 en aldaar aangehaalde rechtspraak).

41

Om te waarborgen dat de aldus verstrekte informatie gemakkelijk te begrijpen is, zoals vereist in artikel 12, lid 1, AVG, gelezen in samenhang met overweging 58 van deze verordening, kan het immers onontbeerlijk zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer de persoonsgegevens bevatten die worden verwerkt, worden gereproduceerd wanneer, zoals de advocaat-generaal in de punten 57 en 58 van zijn conclusie heeft opgemerkt, het in hun context plaatsen van de verwerkte gegevens noodzakelijk is om de begrijpelijkheid ervan te waarborgen.

42

Wanneer met name persoonsgegevens worden gegenereerd op basis van andere gegevens of wanneer dergelijke gegevens voortvloeien uit open tekstvelden, dit wil zeggen wanneer geen data over de betrokkene worden verstrekt en uit deze lacune informatie over de betrokkene valt af te leiden, is de context waarin deze gegevens worden verwerkt een onontbeerlijk element om de betrokkene in staat te stellen op transparante wijze inzage te krijgen in die gegevens en er een begrijpelijk beeld van te krijgen.

43

Daarnaast mag het in lid 3 bedoelde recht om een kopie te verkrijgen krachtens artikel 15, lid 4, AVG, gelezen in samenhang met overweging 63 van deze verordening, geen afbreuk doen aan de rechten en vrijheden van anderen, waaronder bedrijfsgeheimen of intellectuele eigendom, in het bijzonder het auteursrecht dat software beschermt.

44

Zoals de advocaat-generaal in punt 61 van zijn conclusie heeft benadrukt, moeten in geval van strijdigheid tussen enerzijds de volledige uitoefening van het recht van inzage van de persoonsgegevens en anderzijds de rechten of vrijheden van anderen de betrokken rechten tegen elkaar worden afgewogen. Voor zover mogelijk moet ervoor worden gekozen de persoonsgegevens te verstrekken op een wijze die geen afbreuk doet aan de rechten of vrijheden van anderen. Daarbij moet er rekening mee worden gehouden dat, zoals blijkt uit overweging 63 van de AVG, deze overwegingen er niet toe mogen „leiden dat de betrokkene alle informatie wordt onthouden”.

45

Gelet op een en ander moet op de eerste tot en met de derde prejudiciële vraag worden geantwoord dat artikel 15, lid 3, eerste volzin, AVG

aldus moet worden uitgelegd dat

het recht om van de verwerkingsverantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, inhoudt dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Dit recht omvat het recht om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen, waarbij moet worden benadrukt dat daarbij ook rekening moet worden gehouden met de rechten en vrijheden van anderen.

Vierde prejudiciële vraag

46

Met deze vraag wenst de verwijzende rechter in wezen te vernemen of artikel 15, lid 3, derde volzin, AVG aldus moet worden uitgelegd dat het daarin bedoelde begrip „informatie” uitsluitend betrekking heeft op persoonsgegevens waarvan de verwerkingsverantwoordelijke overeenkomstig de eerste volzin van dat lid een kopie moet verstrekken, dan wel of het ook verwijst naar alle in lid 1 van dat artikel genoemde informatie, of zelfs meer gegevens omvat, zoals metagegevens.

47

Zoals in punt 19 van het onderhavige arrest in herinnering is gebracht, moet bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening worden gehouden met de bewoordingen van die bepaling, maar ook met de context ervan en de doelstellingen van de regeling waarvan zij deel uitmaakt.

48

In dit verband bepaalt artikel 15, lid 3, derde volzin, AVG weliswaar louter dat „[w]anneer de betrokkene zijn verzoek elektronisch indient, […] de informatie in een gangbare elektronische vorm [wordt] verstrekt”, zonder dat wordt verduidelijkt wat onder „informatie” moet worden verstaan, maar de eerste volzin van dat lid geeft aan dat „[d]e verwerkingsverantwoordelijke […] de betrokkene een kopie [verstrekt] van de persoonsgegevens die worden verwerkt”.

49

Uit de context van artikel 15, lid 3, derde volzin, AVG volgt dus dat de daarin bedoelde „informatie” noodzakelijkerwijs betrekking heeft op persoonsgegevens waarvan de verwerkingsverantwoordelijke overeenkomstig de eerste volzin van dat lid een kopie moet verstrekken.

50

Een dergelijke uitlegging wordt bevestigd door de doelstelling van artikel 15, lid 3, AVG, die, zoals in punt 31 van het onderhavige arrest in herinnering is gebracht, erin bestaat vast te stellen op welke wijze de op de verwerkingsverantwoordelijke rustende verplichting om een kopie te verstrekken van de persoonsgegevens die worden verwerkt, moet worden uitgevoerd in de praktijk. Deze bepaling roept derhalve geen recht in het leven dat verschilt van het aan de betrokkene verleende recht om een getrouwe en begrijpelijke reproductie van die gegevens te verkrijgen dat hem in staat stelt de hem door die verordening toegekende rechten daadwerkelijk uit te oefenen.

51

Daarbij zij opgemerkt dat geen enkele bepaling van die verordening een verzoek verschillend behandelt naargelang de vorm waarin dit wordt ingediend, zodat de omvang van het recht om een kopie te verkrijgen niet kan verschillen naargelang van die vorm.

52

Bovendien moet er ook op worden gewezen dat artikel 12, lid 3, AVG bepaalt dat wanneer het verzoek elektronisch wordt ingediend, de in dat artikel 15 bedoelde informatie, met inbegrip van de in de punten a) tot en met h) van lid 1 van dit artikel bedoelde informatie, elektronisch wordt verstrekt, tenzij de betrokkene anderszins verzoekt.

53

Gelet op een en ander moet op de vierde prejudiciële vraag worden geantwoord dat artikel 15, lid 3, derde volzin, AVG aldus moet worden uitgelegd dat het daarin bedoelde begrip „informatie” uitsluitend betrekking heeft op persoonsgegevens waarvan de verwerkingsverantwoordelijke een kopie moet verstrekken op grond van de eerste volzin van dat lid.

Kosten

54

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

 

Het Hof (Eerste kamer) verklaart voor recht:

 

1)

Artikel 15, lid 3, eerste volzin, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

moet aldus worden uitgelegd dat

het recht om van de verwerkingsverantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, inhoudt dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Dit recht omvat het recht om een kopie te verkrijgen van uittreksels van documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen, waarbij moet worden benadrukt dat daarbij ook rekening moet worden gehouden met de rechten en vrijheden van anderen.

 

2)

Artikel 15, lid 3, derde volzin, van verordening 2016/679

moet aldus worden uitgelegd dat

het daarin bedoelde begrip „informatie” uitsluitend betrekking heeft op persoonsgegevens waarvan de verwerkingsverantwoordelijke een kopie moet verstrekken op grond van de eerste volzin van dat lid.

 

ondertekeningen


( *1 ) Procestaal: Duits.

Top