Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
P. PIKAMÄE
van 22 februari 2024 (1)
Zaak C‑693/22
I. sp. z o. o.
tegen
M. W.
[verzoek van de Sąd Rejonowy dla m.st. Warszawy w Warszawie (rechter in eerste aanleg Warschau, Polen) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Verkoop van een databank met persoonsgegevens in het kader van een procedure van gedwongen tenuitvoerlegging – Artikel 4, punt 7 – Begrip ‚verwerkingsverantwoordelijke’ – Artikel 5, lid 1, onder b) – Doelbinding – Artikel 6, leden 1, 3 en 4 – Rechtmatigheid van de verwerking – Voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust – Vervulling van een taak van algemeen belang – Artikel 23, lid 1, onder j) – Inning van civielrechtelijke vorderingen – Noodzakelijke en evenredige maatregel”
1. Kan de verkoop van een databank met persoonsgegevens in het kader van een procedure van gedwongen tenuitvoerlegging in overeenstemming zijn met verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (hierna: „AVG”)(2), wanneer de betrokkenen geen toestemming hebben gegeven voor die verkoop?
2. Dit is de hoofdvraag die de Sąd Rejonowy dla m.st. Warszawy w Warszawie (rechter in eerste aanleg Warschau, Polen; hierna: „verwijzende rechter”) in het kader van dit verzoek om een prejudiciële beslissing aan het Hof heeft voorgelegd.
3. Het Hof zal dus een bepaalde zaak moeten onderzoeken in het licht van de AVG en een standpunt moeten innemen over een aantal kernonderdelen van deze verordening, zoals het begrip „verwerkingsverantwoordelijke”, de rechtmatigheid van de verwerking en de reikwijdte van het doelbindingsbeginsel.
Toepasselijke bepalingen
Unierecht
4. Artikel 4 AVG luidt:
„Voor de toepassing van deze verordening wordt verstaan onder:
1) ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); [...]
2) ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[...]
7) ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
[...]”
5. Artikel 5 van deze verordening, met het opschrift „Beginselen inzake verwerking van persoonsgegevens”, bepaalt in de leden 1 en 2:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; [...]
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);
[...]
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
6. Artikel 6 van deze verordening draagt het opschrift „Rechtmatigheid van de verwerking” en luidt als volgt:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
[...]
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
[...]
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
[...]
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. [...] Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.
4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:
a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;
b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;
c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;
d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.”
7. Artikel 23 AVG, met als opschrift „Beperkingen”, bepaalt in lid 1:
„1. De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede artikel 5 voor zover de bepalingen van dat artikel overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 22, kan door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing is worden beperkt, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:
[...]
j) de inning van civielrechtelijke vorderingen.”
Pools recht
8. Artikel 299 van de ustawa Kodeks spółek handlowych (wet houdende het wetboek van handelsvennootschappen) van 15 september 2000 (Dz. U. van 2022, volgnr. 1467; hierna: „wetboek van handelsvennootschappen”) bepaalt het volgende:
㤠1. Indien tenuitvoerlegging tegen de vennootschap geen effect sorteert, zijn de leden van de raad van bestuur hoofdelijk aansprakelijk voor de verplichtingen van de vennootschap.
§ 2. Een lid van de raad van bestuur kan zich van de in lid 1 bedoelde aansprakelijkheid bevrijden indien hij bewijst dat tijdig een faillissementsaanvraag is ingediend of dat tegelijkertijd een beslissing over de inleiding van een herstructureringsprocedure of over de goedkeuring van een akkoord in de procedure tot goedkeuring van een akkoord is genomen, of dat het niet indienen van een faillissementsaanvraag niet aan hem te wijten is, of dat ondanks het niet indienen van een faillissementsaanvraag en het niet nemen van een beslissing over de inleiding van een herstructureringsprocedure of het niet goedkeuren van een akkoord in de procedure tot goedkeuring van een akkoord, de schuldeiser geen schade heeft geleden.”
9. Artikel 796, lid 1, van de ustawa Kodeks postępowania cywilnego (wet houdende het wetboek van burgerlijke rechtsvordering) van 17 november 1964 (Dz. U. van 2021, volgnr. 1805), zoals gewijzigd (hierna: „wetboek van burgerlijke rechtsvordering”), luidt als volgt:
„Een verzoek tot het inleiden van een tenuitvoerleggingsprocedure wordt ingediend bij de rechter of de deurwaarder, naargelang van de bevoegdheid. Het verzoek aan de deurwaarder kan op een officieel formulier worden ingediend.”
10. In artikel 799, lid 1, eerste volzin, van het wetboek van burgerlijke rechtsvordering is bepaald:
„Een verzoek tot tenuitvoerlegging of een verzoek tot ambtshalve tenuitvoerlegging maakt de tenuitvoerlegging mogelijk met alle toegestane methoden, met uitzondering van de tenuitvoerlegging op onroerende zaken. […]”
11. Artikel 824, lid 1, punt 3, van dit wetboek bepaalt het volgende:
„De volledige of gedeeltelijke beëindiging van de gerechtelijke tenuitvoerleggingsprocedure wordt ambtshalve vastgesteld:
[…]
3) wanneer duidelijk is dat gedwongen tenuitvoerlegging geen hoger bedrag zal opleveren dan de uitvoeringskosten.”
12. Artikel 831 van dat wetboek luidt:
㤠1. Aan tenuitvoerlegging kunnen niet worden onderworpen:
[...]
3) niet-overdraagbare rechten, tenzij de overdraagbaarheid bij overeenkomst is uitgesloten en op het voorwerp van de prestatie een gedwongen tenuitvoerlegging kan worden toegepast of de uitoefening van het recht aan iemand anders kan worden toevertrouwd”.
13. De ustawa o komornikach sądowych (wet inzake het deurwaardersambt) van 22 maart 2018 (Dz. U. van 2022, volgnr. 1168), zoals gewijzigd (hierna: „deurwaarderswet”), regelt het statuut en de werkzaamheden van deurwaarders. Artikel 3, leden 1 en 3, bepaalt:
„De deurwaarder is een overheidsinstantie voor het verrichten van werkzaamheden in het kader van tenuitvoerleggings- en conservatoire procedures. Deze werkzaamheden worden verricht door de deurwaarder, behoudens de bij de wet bepaalde uitzonderingen.
[...]
De deurwaarder is belast met de volgende taken:
1) tenuitvoerlegging van gerechtelijke bevelen in zaken betreffende geldelijke en niet-geldelijke vorderingen en borgstellingen, met inbegrip van Europese bevelen tot conservatoir beslag op bankrekeningen, behoudens de uitzonderingen waarin is voorzien in [het wetboek van burgerlijke rechtsvordering];
[...]”
14. In artikel 9, lid 1, van deze wet is bepaald:
„Een deurwaarder mag niet weigeren gevolg te geven aan een verzoek:
1) tot gedwongen tenuitvoerlegging,
[…]
waarvoor hij bevoegd is volgens [het wetboek van burgerlijke rechtsvordering].”
15. Artikel 31, lid 1, eerste volzin, van die wet luidt als volgt:
„De bedragen waarop beslag is gelegd op een bankrekening, een rekening geopend door een coöperatieve spaar- en kredietkas of een rekening bij de makelaarsinstelling, verkregen ten gevolge van een eerste storting door de schuldenaar van de schuldvordering waarop de beslaglegging betrekking heeft, worden door de gerechtsdeurwaarder ten vroegste 7 dagen en uiterlijk 14 dagen na ontvangst ervan aan de schuldeiser gezonden. [...]”
16. Artikel 2, lid 1, punt 1, van de ustawa o ochronie baz danych (wet inzake de bescherming van databanken) van 27 juli 2001 (Dz. U. van 2021, volgnr. 386) (hierna: „wet bescherming databanken”) luidt als volgt:
„In deze wet wordt verstaan onder:
1) ‚databank’: een verzameling gegevens of enig ander materiaal en elementen die volgens een bepaalde systematiek of methode zijn verzameld, afzonderlijk toegankelijk zijn met om het even welk middel, ook langs elektronische weg, en die een substantiële investering vergen, zowel kwalitatief als kwantitatief, om de inhoud ervan samen te stellen, te controleren of te presenteren”.
17. Artikel 6, lid 1, van de wet bescherming databanken bepaalt:
„De fabrikant van de databank heeft een exclusief en overdraagbaar recht om de gegevens op te vragen en het geheel of een in kwalitatief of kwantitatief opzicht aanzienlijk deel te hergebruiken.”
Hoofdgeding, prejudiciële vraag en procedure bij het Hof
18. De in Polen gevestigde vennootschap I. (hierna: „verzoekster” of „schuldeiser”) heeft een schuldvordering, die is bevestigd door een onherroepelijke rechterlijke beslissing, tegen de vennootschap NMW, die is gespecialiseerd in onlineverkoop en waarin M. W. lid van de raad van bestuur is.
19. Op verzoek van verzoekster is ter inning van deze vordering een tenuitvoerleggingsprocedure ingeleid tegen de vennootschap NMW. Deze procedure heeft geresulteerd in een beslissing van de deurwaarder om de tenuitvoerlegging te beëindigen op grond dat de vennootschap NMW geen activa bezat die daaraan konden worden onderworpen. Daarop heeft verzoekster bij de Sąd Rejonowy dla m.st. Warszawy w Warszawie een rechtsvordering tegen M. W. ingesteld op grond van artikel 299, lid 1, van het wetboek van handelsvennootschappen, volgens hetwelk een lid van de raad van bestuur van de schuldenaar-vennootschap met zijn vermogen aansprakelijk is wanneer een schuld niet kan worden ingevorderd uit de activa van die vennootschap.
20. M. W. heeft geconcludeerd tot afwijzing van deze rechtsvordering op grond dat NMW activa bezat die elk een grotere waarde hadden dan verzoeksters schuldvordering, namelijk de broncode van een softwareprogramma voor onlineaankopen gecombineerd met een quasi-cashbackdienst (hierna: „platform M.”) en twee databanken met gebruikers van dat platform.
21. De verwijzende rechter geeft echter aan dat de verkoop van alleen het platform M., zonder deze databanken, op de markt minder aantrekkelijk zou zijn dan de verkoop van het gehele „pakket”.
22. Volgens deze rechter moet daarom de vraag worden beantwoord of de door NMW gecreëerde databanken in het kader van een tenuitvoerleggingsprocedure kunnen worden overgedragen. Bij een bevestigend antwoord zou het beroep in het hoofdgeding namelijk worden verworpen.
23. De verwijzende rechter licht toe dat hij weliswaar niet gebonden is aan de taxatie van de betrokken activa waarop M. W. zich baseert – te meer daar deze taxatie niet door een gerechtelijk deskundige is verricht – maar dat het antwoord op voormelde vraag noodzakelijk blijft voor de beslechting van het hoofdgeding, aangezien dergelijk bewijs in de Poolse burgerlijke rechtsvordering niet wordt toegelaten zonder dat eerst de relevantie ervan is vastgesteld.
24. Volgens deze rechter vallen de betrokken databanken onder het begrip „databank” in de zin van artikel 1 van richtlijn 96/9/EG van het Europees Parlement en de Raad van 11 maart 1996 betreffende de rechtsbescherming van databanken(3), zodat de eigenaar ervan, de vennootschap NMW, krachtens artikel 7 van deze richtlijn het vermogensrecht heeft om deze databanken te vervreemden. Tenuitvoerleggingsprocedures kunnen immers worden gevoerd met betrekking tot elk vermogensrecht, tenzij de wet dat uitdrukkelijk uitsluit. De Poolse wetgever heeft de gedwongen tenuitvoerlegging met betrekking tot een databank zoals in het hoofdgeding niet verboden.
25. De verwijzende rechter betwijfelt of dergelijke databanken het voorwerp van een gedwongen tenuitvoerlegging kunnen zijn, aangezien zij de persoonsgegevens van honderdduizenden gebruikers van het platform M. bevatten en er geen bewijs is dat de gebruikers van dat platform hebben ingestemd met de verwerking van hun persoonsgegevens door deze aan derden buiten het platform ter beschikking te stellen. In dit verband heeft deze rechter erop gewezen dat de gegevens in kwestie niet vallen onder de bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG.
26. Tevens vraagt hij zich af hoe de beperkingen die de AVG oplegt aan de verwerking van persoonsgegevens zich verhouden tot het recht om vrij over een databank te beschikken overeenkomstig richtlijn 69/9 en de nationale regelgeving, welk recht volgens deze rechter ook het recht omvat om de databank over te dragen in het kader van een tenuitvoerleggingsprocedure.
27. Daarop heeft de Sąd Rejonowy dla m.st. Warszawy w Warszawie de behandeling van de zaak geschorst en het Hof de volgende prejudiciële vraag gesteld:
„Moet artikel 5, lid 1, onder a), [AVG] juncto artikel 6, lid 1, onder a), c) en e), en lid 3, [AVG] aldus worden uitgelegd dat het zich verzet tegen een nationale regeling die in het kader van een procedure van gedwongen tenuitvoerlegging de verkoop toestaat van een databank in de zin van artikel 1, lid 2, van [richtlijn 96/9] met persoonsgegevens, wanneer de personen op wie die gegevens betrekking hebben niet met een dergelijke verkoop hebben ingestemd?”
28. De Poolse regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend. Dezelfde betrokkenen alsmede I. hebben pleidooi gevoerd ter terechtzitting van 16 november 2023.
Analyse
Ontvankelijkheid
29. Eerst moeten twee vragen worden beantwoord over de ontvankelijkheid van dit verzoek om een prejudiciële beslissing.
30. Ten eerste heeft verzoekster in het hoofdgeding ter terechtzitting twijfels geuit over de relevantie van de prejudiciële vraag. Volgens deze partij heeft de vennootschap NMW haar economische activiteiten reeds enkele jaren geleden gestaakt. Meer bepaald beschikt de vennootschap niet meer over een raad van bestuur of directie en levert zij de gebruikers van het platform M. geen diensten meer sinds april 2019(4). Zij heeft dus noodzakelijkerwijs alle verwerking van persoonsgegevens in verband met de uitvoering van haar activiteiten gestaakt. In die omstandigheden vereisen de beginselen van doelbinding en opslagbeperking dat de betrokken gegevens worden gewist, en indien dat niet is gebeurd, is het bestaan op zich van de in het hoofdgeding aan de orde zijnde databanken onrechtmatig. Gelet hierop is de vraag van de verwijzende rechter naar de rechtmatigheid van de verkoop van deze databanken in het kader van een gedwongen tenuitvoerleggingsprocedure niet relevant voor de beslechting van het hoofdgeding.
31. Krachtens artikel 5, lid 1, onder e), AVG mogen persoonsgegevens(5) in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verwerkt. Hieruit volgt dat zelfs een aanvankelijk rechtmatige gegevensverwerking na verloop van tijd niet meer verenigbaar is met de AVG, wanneer die gegevens niet meer nodig zijn voor de verwezenlijking van die doeleinden.(6) In dat geval moeten de gegevens worden gewist.(7) In casu zijn de betrokken gegevens ongetwijfeld verzameld ten behoeve van de onlineverkoopactiviteiten van NMW. Als NMW de werkzaamheden in april 2019 heeft gestaakt, kan er weinig twijfel over bestaan dat de gegevens daar niet langer noodzakelijk voor zijn en daarom hadden moeten worden gewist. Indien deze niet zijn gewist, is het bestaan van de betrokken databanken niet in overeenstemming met de AVG en is de onderhavige prejudiciële vraag duidelijk niet relevant voor de beslechting van het hoofdgeding.
32. In dit verband zij eraan herinnerd dat het Hof volgens vaste rechtspraak uitsluitend bevoegd is om uitspraak te doen over de uitlegging van het Unierecht binnen het door de nationale rechter en onder zijn eigen verantwoordelijkheid geschetste feitelijke en wettelijke kader, zonder dat kader in twijfel te kunnen trekken of de juistheid ervan te kunnen onderzoeken.(8)
33. Uit de verwijzingsbeslissing blijkt echter nergens dat de vennootschap NMW haar activiteiten in april 2019 heeft gestaakt, zoals verzoekster stelt.
34. Ten tweede heeft de nationale rechter er twijfels over of de AVG van toepassing is in het licht van richtlijn 96/9.
35. Vooraf zij eraan herinnerd dat richtlijn 96/9 de opheffing beoogt, door harmonisatie van de nationale wettelijke regelingen, van de verschillen die tussen deze nationale wettelijke regelingen bestonden op het gebied van de rechtsbescherming van databanken en die afbreuk deden aan de werking van de interne markt, het vrije verkeer van goederen en diensten in de Unie en de ontwikkeling van een informatiemarkt in de Unie(9). Volgens artikel 1, lid 1, betreft deze richtlijn de rechtsbescherming van databanken in ongeacht welke vorm. Lid 2 van dit artikel definieert een „databank” als „een verzameling van werken, gegevens of andere zelfstandige elementen, systematisch of methodisch geordend, en afzonderlijk met elektronische middelen of anderszins toegankelijk”.
36. De richtlijn vereist dat alle lidstaten in hun nationale wetgeving voorzien in de bescherming van databanken door middel van een recht sui generis. Meer in het bijzonder bepaalt artikel 7, lid 1, van richtlijn 96/9 dat de fabrikant van een databank waarvoor een substantiële investering nodig is geweest, de opvraging en/of het hergebruik van het geheel of een in kwalitatief of kwantitatief opzicht substantieel deel van de inhoud van die databank kan verbieden. Dit recht is krachtens artikel 7, lid 3, van deze richtlijn vervreemdbaar.
37. Volgens de verwijzende rechter voldoen de databanken van de vennootschap NMW aan de voorwaarden waaronder de bescherming die wordt geboden door de wet bescherming databanken en door richtlijn 96/9, die bij deze wet in de Poolse rechtsorde is omgezet, toepassing vindt. Artikel 6 van deze wet bepaalt met name dat de fabrikant het exclusieve en vervreemdbare recht heeft om de gegevens op te vragen en deze geheel of voor een substantieel deel te hergebruiken. Volgens deze rechter gaat het dus om een eigendomsrecht dat absoluut van aard is en erga omnes werkt. Naar Pools recht kan elk vermogensrecht het voorwerp zijn van een gedwongen tenuitvoerleggingsprocedure, tenzij de wet uitdrukkelijk in een uitzondering voorziet. De Poolse wetgever heeft niet verboden dat databanken het voorwerp vormen van gedwongen tenuitvoerlegging. Hieruit volgt dat de deurwaarder in casu het recht heeft om de databanken voor rekening van de schuldeiser te vervreemden, welk is afgeleid van het recht van de fabrikant waartegen de tenuitvoerlegging loopt, om vrij over die databanken te beschikken. Het inroepen van dit recht kan in een zaak zoals de onderhavige in de weg staan aan toepassing van de AVG, waardoor de prejudiciële vraag niet-ontvankelijk zou worden.
38. Om te beginnen zij opgemerkt dat het recht sui generis dat in artikel 7 van deze richtlijn in het leven is geroepen, door de verwijzende rechter onjuist is omschreven. Het gaat in werkelijkheid om een recht om zich te verzetten tegen handelingen die met name bestaan in het opnieuw samenstellen van de databank, of een substantieel deel ervan, voor een fractie van de kosten die nodig zouden zijn om deze producten zelfstandig te ontwikkelen(10), waarbij de Uniewetgever beoogt aan degene die het initiatief en het risico heeft genomen om substantieel te investeren in het verkrijgen, verifiëren of weergeven van de inhoud van een databank, de zekerheid te bieden dat hij voor zijn investering zal worden vergoed door hem te beschermen tegen de onrechtmatige toe-eigening van de resultaten van die investering(11).
39. Wat voorts en vooral de verhouding tussen richtlijn 96/9 en de AVG betreft, blijkt uit artikel 13 van deze richtlijn dat zij geen afbreuk doet aan de wettelijke bepalingen betreffende onder andere de bescherming van persoonsgegevens en van de persoonlijke levenssfeer, en blijkt uit overweging 48 van die richtlijn dat deze de toepassing onverlet laat van de gegevensbeschermingsregels in richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens(12), waarvan de AVG de opvolger is.(13)
40. Naar mijn mening moet het Hof zich dus uitspreken over de grond van de onderhavige zaak.
Ten gronde
41. Met zijn vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 1, onder a), en artikel 6, lid 1, eerste alinea, onder a), c) en e), en lid 3, AVG aldus moeten worden uitgelegd dat zij zich verzetten tegen een nationale regeling op grond waarvan een deurwaarder in het kader van een procedure voor gedwongen tenuitvoerlegging een databank met persoonsgegevens kan verkopen wanneer degenen op wie deze gegevens betrekking hebben niet met die verkoop hebben ingestemd.
42. Mijn juridische analyse heeft de volgende structuur: wat de AVG betreft, wordt eerst ingegaan op de vraag of deze verordening in casu van toepassing is en de vraag wie in deze zaak de verwerkingsverantwoordelijke is, en daarna op de uitlegging van de regels betreffende de rechtmatigheid van een dergelijke verwerking.
43. Uit de redenering in deze conclusie zal blijken dat de bepalingen van Unierecht die het Hof in aanmerking moet nemen slechts deels overeenkomen met de bepalingen die in de prejudiciële vraag worden genoemd. Het voorgestelde antwoord heeft dus betrekking op die bepalingen.(14)
Bestaan van verwerking en identificatie van de verwerkingsverantwoordelijke
44. Zoals blijkt uit overweging 10 beoogt de AVG met name natuurlijke personen binnen de Unie een hoog beschermingsniveau te bieden, waarvoor een in de gehele Unie coherente en homogene toepassing moet worden gewaarborgd van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van deze personen in verband met de verwerking van persoonsgegevens.(15)
45. Krachtens artikel 2, lid 1, is deze verordening van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
46. Lid 2 van dit artikel bevat een reeks uitzonderingen op de werkingssfeer van de verordening, op basis van het soort activiteiten in het kader waarvan de gegevens worden verwerkt. Uit de rechtspraak van het Hof volgt dat deze uitzonderingen restrictief moeten worden uitgelegd en dat de betrokken activiteit een van de activiteiten moet zijn die in artikel 2, lid 2, AVG uitdrukkelijk zijn vermeld of in dezelfde categorie kunnen worden ondergebracht. Het feit dat het een specifieke activiteit van de staat of een overheidsdienst betreft, volstaat dus niet om aan te nemen dat de betrokken verwerking plaatsvindt in het kader van een activiteit die buiten de werkingssfeer van het Unierecht valt in de zin van de uitzondering in artikel 2, lid 2, onder a), AVG.(16)
47. In casu is het van belang dat de verwerking in het kader van de gedwongen tenuitvoerlegging van een civiele vordering niet buiten de werkingssfeer van deze verordening valt.
48. De werkingssfeer van de AVG wordt afgebakend door het begrip „verwerking”. Artikel 4, punt 2, van deze verordening bepaalt dat dit begrip ook slaat op een bewerking die met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals onder andere het „opvragen”, „raadplegen”, „gebruiken” en „op andere wijze ter beschikking stellen” van deze gegevens. De Uniewetgever heeft aan dit begrip dus een ruime strekking willen geven.(17)
49. Is er in casu sprake van verwerking van persoonsgegevens?
50. Vooraf is een verduidelijking nodig. Hetgeen de vennootschap NMW doet met de persoonsgegevens voor haar onlineverkoop via het platform M. valt buiten de vraagstelling van de verwijzende rechter. Diens vraag betreft uitsluitend de tenuitvoerleggingsprocedure die strekt tot gedwongen verkoop van de betrokken databanken. Volgens de verwijzende rechter brengt een dergelijke procedure een verwerking in de zin van de AVG mee en is de deurwaarder daarbij de verwerkingsverantwoordelijke.
51. De toelichting die de Poolse regering ter terechtzitting heeft gegeven over de taak van de deurwaarder in een dergelijke procedure van gedwongen tenuitvoerlegging laat mijns inziens geen twijfel bestaan over de juistheid van deze uitlegging.
52. Deze regering heeft uitgelegd dat die procedure aanvangt met de inbeslagname van de databank, waardoor de deurwaarder toegang krijgt tot de daarin opgeslagen persoonsgegevens om de waarde daarvan te kunnen ramen en die op te nemen in het proces-verbaal van inbeslagname. Voor zijn raming voert de deurwaarder een reeks handelingen uit, waaronder het opvragen, raadplegen en gebruiken van die gegevens.(18) De procedure van gedwongen tenuitvoerlegging wordt afgerond door vervreemding van de databank bij openbare veiling. Na de definitieve veiling en volledige betaling van de prijs stelt de deurwaarder de databank ter beschikking aan de koper.
53. Hieruit volgt dat de persoonsgegevens in databanken als die welke hier aan de orde zijn, op zijn minst door de deurwaarder worden opgevraagd, geraadpleegd en gebruikt om hun waarde te ramen, en vervolgens ter beschikking van de koper worden gesteld. Daarbij zij opgemerkt dat een verwerking van persoonsgegevens kan bestaan uit een of meerdere bewerkingen, die elk betrekking hebben op een van de verschillende fasen waarin een verwerking van persoonsgegevens kan plaatsvinden.(19) In casu moeten deze bewerkingen dus worden beschouwd als „een verwerking” in de zin van de AVG.
54. Vervolgens moet worden bepaald wie de verwerkingsverantwoordelijke is.
55. Ik breng in herinnering dat het begrip „verwerkingsverantwoordelijke” in artikel 4, punt 7, AVG, betrekking heeft op een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.(20) Wanneer de doelstellingen van en de middelen voor deze verwerking in met name het lidstatelijke recht worden vastgesteld, kan daarin volgens datzelfde punt tevens worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; deze ruime definitie van het begrip „verwerkingsverantwoordelijke” beoogt volgens vaste rechtspraak een doelmatige en volledige bescherming van de betrokkenen.(21)
56. Wanneer de doelstellingen en de middelen voor de verwerking in het nationale recht zijn bepaald, moet volgens de meest recente rechtspraak worden nagegaan of dat recht de verwerkingsverantwoordelijke aanwijst of specifieke criteria voor de aanwijzing bevat. De aanwijzing van de verwerkingsverantwoordelijke in het nationale recht kan niet alleen expliciet maar ook impliciet zijn. In dit laatste geval moet deze vaststelling evenwel met voldoende zekerheid voortvloeien uit de rol, de taak of de bevoegdheden die aan de persoon of entiteit in kwestie zijn toebedeeld.(22)
57. In casu volgt uit artikel 3, lid 1, van de Poolse deurwaarderswet dat de deurwaarder een openbaar gezagsdrager is die onder voorbehoud van de wettelijk bepaalde uitzonderingen handelingen verricht in het kader van procedures voor gedwongen tenuitvoerlegging. Voorts blijkt uit het dossier en is hierboven al vermeld dat deze handelingen bij een gedwongen tenuitvoerlegging met betrekking tot databanken met name bestaan in het opvragen, raadplegen en gebruiken van de persoonsgegevens daarin, om de waarde van die databanken te ramen met het oog op vervreemding middels openbare veiling en om deze na de definitieve verkoop ter beschikking te stellen aan de koper. Het lijkt mij dat het Poolse recht zo op zijn minst impliciet de doelstellingen en de middelen van de verwerking van persoonsgegevens door de deurwaarder heeft vastgesteld.
58. Hieruit volgt dat de deurwaarder, de openbare gezagsdrager die belast is met alle gedwongen tenuitvoerleggingen en ook die met betrekking tot een databank, in casu kan worden beschouwd als de verantwoordelijke voor de verwerking van persoonsgegevens in die databank in de zin van artikel 4, punt 7, AVG.
59. De verwijzende rechter wijst geen bepaling van Pools recht aan die de schuldenaar, de vennootschap NMW, verplicht om medewerking te verlenen aan de deurwaarder opdat deze de waarde van de betrokken databanken kan ramen met het oog op de gedwongen verkoop ervan.
60. Het kan niet worden uitgesloten dat dergelijke verplichtingen een andere verwerking in de zin van de AVG zouden meebrengen, waarvoor deze vennootschap verantwoordelijk zou zijn. In dit verband zij eraan herinnerd dat het Hof in het arrest Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden) heeft geoordeeld dat de verstrekking en de terbeschikkingstelling van persoonsgegevens door een marktdeelnemer aan de belastingautoriteit van een lidstaat, waartoe de marktdeelnemer rechtens gehouden was, een dergelijke verwerking meebracht, als aanvulling op de verwerking door die autoriteit middels het verzoek waarbij deze laatste om verstrekking en terbeschikkingstelling van die gegevens vroeg.(23)
61. Minder waarschijnlijk maar in abstracto voorstelbaar is dat de deurwaarder en de schuldenaar, de vennootschap NMW, gezamenlijk verantwoordelijk kunnen worden gehouden voor de verwerking van de betrokken persoonsgegevens, met het oog op de gedwongen verkoop. Deze slotsom is volgens het arrest Belgische Staat (Gegevens verwerkt voor een staatsblad) denkbaar wanneer de verschillende verwerkingshandelingen de doelstellingen en middelen delen die het nationale recht bepaalt en dit recht de respectieve verplichtingen van elk van de gezamenlijke verwerkingsverantwoordelijken vaststelt(24).
62. De onderstaande analyse berust echter op de premisse dat in het licht van de feiten van de zaak de deurwaarder als enige verantwoordelijk is voor de gegevensverwerking in het hoofdgeding.
63. Als verwerkingsverantwoordelijke is de deurwaarder niet slechts verantwoordelijk voor de naleving van de beginselen betreffende de verwerking van persoonsgegevens(25), maar heeft hij ook een aanzienlijk aantal verplichtingen, die corresponderen met de rechten van de betrokkenen(26). Deze verplichtingen kunnen door de nationale wetgever slechts worden beperkt onder de voorwaarden van artikel 23 AVG. Toen de Poolse regering ter terechtzitting werd gevraagd naar het bestaan van dergelijke wettelijke bepalingen in het nationale recht, heeft zij slechts artikel 4 van de wet bescherming databanken genoemd. Dit artikel beperkt echter slechts de reikwijdte van de verplichtingen die krachtens de leden 1, 2 en 4, van artikel 14 AVG („Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen”) rusten op de verwerkingsverantwoordelijke die een publieke taak uitvoert.
Rechtmatigheid van de verwerking van persoonsgegevens in casu
64. Zoals het Hof herhaaldelijk heeft geoordeeld, moet elke verwerking van persoonsgegevens onder meer in overeenstemming zijn met de in artikel 5, lid 1, AVG geformuleerde beginselen, en gelet op het beginsel van rechtmatigheid van de verwerking voldoen aan de in artikel 6 van deze verordening opgesomde rechtmatigheidsvoorwaarden.(27)
65. Artikel 6, lid 1, eerste alinea, van deze verordening bevat een uitputtende en limitatieve lijst van hypothesen waarin een verwerking van persoonsgegevens als rechtmatig kan worden gekwalificeerd. Deze kwalificatie impliceert dat de verwerking binnen een van deze hypothesen past. De verwerking in casu past echter niet binnen de voornaamste hypothese van deze bepaling, namelijk die waarin de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden.(28) Zoals blijkt uit de verwijzingsbeslissing is in het hoofdgeding geen bewijs overgelegd aan de hand waarvan kan worden geconstateerd dat degenen wier persoonsgegevens zijn opgenomen in de betrokken databanken ermee hebben ingestemd dat hun gegevens aan derden worden overgedragen, buiten de activiteiten in verband met het platform M., en in het bijzonder dat die gegevens na een gedwongen tenuitvoerleggingsprocedure worden verkocht.
66. Volgens de verwijzende rechter kan de verwerking door de deurwaarder vallen onder artikel 6, lid 1, eerste alinea, onder c), AVG (de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust) of onder artikel 6, lid 1, eerste alinea, onder e), van deze verordening (de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen).(29)
67. Zoals de verwijzende rechter heeft opgemerkt, verleent artikel 3 van de deurwaarderswet de deurwaarder de status van openbaar gezagsdrager. Mijns inziens kan moeilijk worden gesteld dat de handelingen die aan de deurwaarder zijn opgedragen in het kader van een gedwongen tenuitvoerlegging om de schuld aan een schuldeiser af te lossen, geen uitvoering vormen van een taak die behoort tot de uitoefening van het openbaar gezag waarmee deze deurwaarder is bekleed.
68. Voorts kan niet gemakkelijk worden aangenomen dat de hypothese van artikel 6, lid 1, eerste alinea, onder c), AVG van toepassing is op de feiten van de zaak. In dit verband zij opgemerkt dat de werkingssfeer van deze bepaling strikt is afgebakend. Zoals blijkt uit advies 6/2014 van de werkgroep „Artikel 29”(30) moet bij de wettelijke verplichting die op de verwerkingsverantwoordelijke rust namelijk voldoende duidelijk zijn welke verwerking van persoonsgegevens in het kader van die verplichting vereist is. Dit impliceert in het bijzonder het bestaan van rechtsregels waarin de aard en het voorwerp van de verwerking uitdrukkelijk worden genoemd.(31)
69. In dit geval denk ik niet dat de bepalingen die de verwijzende rechter noemt, artikel 3, lid 1, artikel 9, lid 1, punt 1, en artikel 31, lid 1, eerste volzin, van de deurwaarderswet, alsmede artikel 796, lid 1, en artikel 799, lid 1, eerste volzin, van het wetboek van burgerlijke rechtsvordering, als zodanig kunnen worden aangemerkt, omdat uit deze bepalingen slechts blijkt dat de deurwaarder als openbaar gezagsdrager met alle toegestane methoden gevolg moet geven aan elk verzoek tot gedwongen tenuitvoerlegging. Meer bepaald lijkt het Poolse recht de deurwaarder geen wettelijke verplichting op te leggen tot gedwongen verkoop van een databank met persoonsgegevens. In dit verband zij opgemerkt dat artikel 831, lid 1, punt 3, van het wetboek van burgerlijke rechtsvordering „onvervreemdbare rechten” uitsluit van de gedwongen tenuitvoerlegging, hetgeen begrepen kan worden als een verbod om een databank over te dragen wanneer dat in strijd zou zijn met de AVG.
70. Hoe dan ook is het niet nodig om uit te sluiten dat deze laatste hypothese in casu ook van toepassing is. Hoewel het namelijk volstaat dat één hypothese voor rechtmatigheid toepassing vindt, zoals wordt bevestigd door de tekst van artikel 6, lid 1, eerste alinea, AVG, heeft het Hof bevestigd dat één enkele verwerking onder meerdere van deze hypothesen kan vallen(32).
71. De verwerking in casu valt dus volgens mij onder de rechtmatigheidshypothese van artikel 6, lid 1, eerste alinea, onder e), AVG.
72. Deze hypothese veronderstelt dat rekening wordt gehouden met een andere voorwaarde voor een rechtmatige verwerking. Artikel 6, lid 3, AVG bepaalt namelijk nader dat de rechtsgrond van de verwerking die wordt bedoeld in met name artikel 6, lid 1, eerste alinea, onder e), van deze verordening moet worden vastgesteld bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is, moet beantwoorden aan een doelstelling van algemeen belang en evenredig moet zijn met het nagestreefde gerechtvaardigde doel.(33)
73. Artikel 6, lid 1, eerste alinea, onder e), AVG juncto artikel 6, lid 3, AVG vereisen dus een rechtsgrondslag, met name in het nationale recht, die dient als rechtsgrond voor de verwerking van persoonsgegevens door verwerkingsverantwoordelijken die handelen in het kader van met name de uitoefening van openbaar gezag, zoals de deurwaarder bij de gedwongen tenuitvoerlegging tegen de activa van een vennootschap.(34)
74. In mijn ogen bestaat deze rechtsgrondslag uit het geheel van de Poolse rechtsregels die zijn genoemd in de eerste volzin van punt 69 in deze conclusie, waaruit blijkt dat de deurwaarder als openbaar gezagsdrager met alle toegestane methoden gevolg moet geven aan elk verzoek tot gedwongen tenuitvoerlegging.
75. De vraag of de betrokken verwerking voldoet aan de AVG vereist tot slot de analyse van nog een juridische kwestie, die zich in de kern van de onderhavige zaak bevindt.
76. Het doel van de verwerking van persoonsgegevens door de deurwaarder, namelijk de gedwongen verkoop van de databanken met gebruikers van het platform M. om de schuldeisers van de vennootschap NMW af te lossen, is namelijk anders dan het oorspronkelijke doel van de verwerking van persoonsgegevens door deze vennootschap, namelijk het platform M. te kunnen gebruiken voor de onlineverkoopactiviteiten van deze vennootschap.
77. Wat dat betreft zij eraan herinnerd dat persoonsgegevens volgens artikel 5, lid 1, onder b), AVG, waarin het beginsel van „doelbinding” is neergelegd, ten eerste voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld, en vervolgens niet verder op een met die doeleinden onverenigbare wijze mogen worden verwerkt. Deze bepaling vermeldt evenwel niet aan welke voorwaarden een verdere verwerking van persoonsgegevens moet voldoen om verenigbaar te zijn met het doel van de oorspronkelijke gegevensverzameling.(35)
78. Uit artikel 6, lid 4, AVG, gelezen in het licht van overweging 50 van deze verordening(36), volgt dat bij het onderzoek naar die verenigbaarheid rekening moet worden gehouden met een niet-uitputtende reeks criteria, die daar zijn opgesomd.
79. Het is duidelijk dat de inaanmerkingneming van deze criteria in casu geen bevestigend antwoord zou kunnen opleveren over de verenigbaarheid van de betrokken doelstellingen. Zoals het Hof onlangs heeft verduidelijkt, geven deze criteria blijk van de noodzaak van een concreet, logisch en voldoende nauw verband tussen het doel van de aanvankelijke verzameling van persoonsgegevens en de verdere verwerking van die gegevens, en maken zij het mogelijk om na te gaan of deze verdere verwerking niet afwijkt van de legitieme verwachtingen van de betrokkenen wat het verdere gebruik van hun gegevens betreft.(37) In deze zaak kan een dergelijk verband niet worden vastgesteld.
80. Hoe dan ook blijkt uit de eerste volzin van artikel 6, lid 4, AVG dat de verenigbaarheid van de doelstellingen pas moeten worden beoordeeld „[w]anneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, [AVG] bedoelde doelstellingen”.
81. In casu staat vast dat de gebruikers van het platform M. niet hebben ingestemd met een verwerking voor een ander doel dan dat waarvoor hun persoonsgegevens zijn verzameld. De vraag moet dan worden gesteld of die verwerking is gebaseerd op het nationale recht of het Unierecht, en of zij in een democratische samenleving beschouwd kan worden als een noodzakelijke en evenredige maatregel ter waarborging van een van de doelstellingen van artikel 23, lid 1, AVG.
82. Wat dit betreft lijkt het me nodig te verduidelijken dat deze hypothese door het Hof is uitgelegd als een echte uitzondering op het beginsel van doelbinding. Steunend op overweging 50 AVG heeft het Hof aangegeven dat de verwerkingsverantwoordelijke aldus de mogelijkheid heeft om de persoonsgegevens verder te verwerken teneinde belangrijke doelstellingen van algemeen belang in artikel 23, lid 1, AVG te waarborgen, ongeacht of deze verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Zo heeft het geoordeeld dat artikel 6, lid 4, eerste volzin, van deze verordening van toepassing is op de door een rechterlijke instantie in het kader van een civiele gerechtelijke procedure gelaste overlegging, als bewijs, van een document met persoonsgegevens van derden die hoofdzakelijk met het oog op belastingcontrole zijn verzameld.(38)
83. Hoewel deze uitlegging mogelijk degenen misnoegt die menen dat het recht op bescherming van persoonsgegevens alleen bij nationale wettelijke maatregelen zou moeten kunnen worden beperkt, lijkt zij mij volledig in overeenstemming met de bedoelingen van de Uniewetgever. De motivering van de Raad van zijn standpunt tijdens de voorbereidende werkzaamheden van de AVG drukt namelijk wellicht nog helderder dan overweging 50 AVG uit dat gekozen is om de verwerkingsverantwoordelijke een zorgvuldig afgebakende marge te laten voor een verwerking die onverenigbaar is met de doelstellingen die zijn aangegeven op het moment waarop de verwerkte persoonsgegevens zijn verzameld.(39)
84. Aangezien reeds is vastgesteld dat de verwerking in casu een rechtsgrondslag bezit, moet vervolgens worden bepaald of deze verwerking de doelstellingen in artikel 23 AVG beoogt te waarborgen.
85. Overeenkomstig lid 1, punt j), van deze bepaling is een van deze doelstellingen „de inning van civielrechtelijke vorderingen”. Het lijkt mij dat de verwerking van persoonsgegevens in casu kan waarborgen dat deze doelstelling wordt bereikt. Hierbij zij opgemerkt dat de doelstelling van deze verwerking volgens de verwijzende rechter volgt uit de gezamenlijke lezing van artikel 911 van het wetboek van burgerlijke rechtsvordering en artikel 31, lid 1, eerste volzin, van de deurwaarderswet, op grond waarvan de deurwaarder de databank kan verkopen en vervolgens het uit die gedwongen verkoop verkregen bedrag aan de schuldeiser kan overdragen.
86. De vraag of de verwerking door de deurwaarder in het kader van de gedwongen tenuitvoerleggingsprocedure in een democratische samenleving een noodzakelijke en evenredige maatregel is om de doelstelling van de inning van civielrechtelijke vorderingen te waarborgen, valt onder de bevoegdheid van de verwijzende rechter. Het staat evenwel aan het Hof om deze rechter vanuit het oogpunt van het Unierecht op grond van de beschikbare gegevens alle noodzakelijke aanwijzingen te verstrekken.(40)
87. Wat de noodzakelijkheid betreft staat vast dat een maatregel noodzakelijk is wanneer het nagestreefde legitieme doel niet kan worden bereikt met een net zo passende maar minder beperkende maatregel. Met andere woorden, is het mogelijk om de vordering van de schuldeisende vennootschap ten uitvoer te leggen met andere middelen, die net zo doeltreffend zijn maar een geringere beperking vormen van het recht van de gebruikers van het platform M. op de bescherming van hun persoonlijke levenssfeer en persoonsgegevens? Wat dit betreft merk ik slechts op dat het volgens de verwijzende rechter niet mogelijk is om de vennootschap die de schuldvordering heeft op het vermogen van de schuldenaar-vennootschap, te betalen zonder de gedwongen verkoop van de betrokken databanken.
88. Wat de evenredigheid betreft, vereist de beoordeling van deze voorwaarde een afweging van de betrokken tegengestelde belangen, afhankelijk van de concrete omstandigheden van het onderzochte geval.
89. In casu bestaat het eerste van deze belangen, een grondrecht dat is verankerd in artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”) en in artikel 16 VWEU, in de bescherming van de gebruikers van het platform M. op het punt van de verwerking van hun persoonsgegevens. Nauw verbonden met dit recht is de eerbiediging van het privéleven, die in artikel 7 van het Handvest is opgenomen. Zoals overweging 4 AVG aangeeft heeft het recht op bescherming van persoonsgegevens geen absolute gelding, maar moet het worden beschouwd in relatie tot de functie ervan in de samenleving en moet het conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Een van deze rechten is het in artikel 17 van het Handvest vervatte recht op eigendom. De verkoop van een aan de schuldenaar toebehorende databank in het kader van een procedure tot gedwongen tenuitvoerlegging draagt in mijn ogen bij tot de eerbiediging van het eigendomsrecht van degene die een door de rechter vastgestelde schuldvordering heeft.
90. In dat verband zij eraan herinnerd dat artikel 17 van het Handvest overeenkomt met artikel 1 van het aanvullend protocol bij het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM), zodat de inhoud en reikwijdte ervan krachtens artikel 52, lid 3, van het Handvest dezelfde zijn als die welke door het EVRM aan dat artikel 1 worden toegekend.
91. Volgens rechtspraak van het Europees Hof voor de Rechten van de Mens (EHRM) impliceert het recht op eigendom dat op de verdragsluitende staten de positieve verplichting rust om een stelsel in te voeren voor de tenuitvoerlegging van rechterlijke beslissingen, dat praktisch en juridisch doeltreffend is en waarmee kan worden gewaarborgd dat de bij wet ingestelde procedures voor de tenuitvoerlegging van onherroepelijke rechterlijke beslissingen zonder onnodige vertraging worden uitgevoerd.(41) Wanneer het gaat om een privaatrechtelijke schuldeiser moet de staat hem de nodige steun verlenen bij de tenuitvoerlegging van de betreffende rechterlijke beslissingen, bijvoorbeeld middels een deurwaardersdienst.(42) Indien de autoriteiten in deze context moeten optreden om een vonnis ten uitvoer te leggen en zij doen dat niet, dan kan de staat voor die passiviteit aansprakelijk worden gesteld op onder meer het gebied van artikel 1 van aanvullend protocol nr. 1 bij het EVRM.(43)
92. Bij de beoordeling van deze afweging tussen enerzijds het recht op eigendom en anderzijds het recht op bescherming van persoonsgegevens en van de persoonlijke levenssfeer, kan volgens mij rekening worden gehouden met een specifiek gegeven uit het dossier.
93. Volgens de verwijzingsbeslissing brengt het Poolse recht geen beperkingen aan betreffende het subject dat een databank kan verwerven, aangezien de enige voorwaarde handelingsbekwaamheid is. Deze lacune brengt mee dat de derde verwerver ook een buiten de Europese Unie gevestigde entiteit kan zijn, die zich als zodanig niet hoeft te houden aan de regels van de AVG voor de verwerking van persoonsgegevens.
94. In die situatie lijkt de verwerking in kwestie mij een excessieve opoffering van het recht op bescherming van persoonsgegevens en kan deze dus niet worden beschouwd als een evenredige maatregel. Een dergelijk resultaat zou bijvoorbeeld kunnen worden voorkomen door een nationale rechtsregel die de deurwaarder verplicht om in het voor de openbare verkoop opgestelde bestek een beding op te nemen dat de derde verwerver de AVG moet naleven.
Conclusie
95. In het licht van bovenstaande overwegingen geef ik het Hof in overweging om de prejudiciële vraag van de Sąd Rejonowy dla m.st. Warszawy w Warszawie te beantwoorden als volgt:
„Artikel 6, lid 1, eerste alinea, onder e), lid 3, en lid 4, eerste volzin, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
het zich niet verzet tegen een nationale regeling op grond waarvan een deurwaarder in het kader van een procedure voor gedwongen tenuitvoerlegging een databank met persoonsgegevens kan verkopen wanneer de betrokkenen niet met die verkoop hebben ingestemd, op voorwaarde dat de verwerking van deze gegevens door de deurwaarder een maatregel vormt die in een democratische samenleving noodzakelijk en evenredig is om de inning van een civielrechtelijke vordering te waarborgen.”
1 Oorspronkelijke taal: Frans.
2 PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2 en PB 2021, L 74, blz. 35.
3 PB 1996, L 77, blz. 20.
4 De gebruikers van het platform M. zouden op 30 april 2019 een e-mail hebben ontvangen waarin hun werd meegedeeld dat NMW haar activiteiten in verband met dit platform had beëindigd.
5 Het is niet in twijfel getrokken dat de gegevens in de databanken die in het hoofdgeding aan de orde zijn, moeten worden aangemerkt als „persoonsgegevens” in de zin van artikel 4, lid 1, AVG.
6 Arrest van 20 oktober 2022, Digi (C‑77/21, EU:C:2022:805, punt 54).
7 Arrest van 7 mei 2009, Rijkeboer (C‑553/07, EU:C:2009:293, punt 33).
8 Zie arrest van 3 juni 2021, Ministero dell’Istruzione, dell’Università e della Ricerca – MIUR e.a. (Universitaire onderzoekers) (C‑326/19, EU:C:2021:438, punt 36 en aldaar aangehaalde rechtspraak).
9 Zie arrest van 18 oktober 2012, Football Dataco e.a. (C‑173/11, EU:C:2012:642, punt 25 en aldaar aangehaalde rechtspraak).
10 Zie overweging 7 van richtlijn 96/9.
11 Zie overwegingen 39 en 40 van richtlijn 96/9. Zie ook arrest van 19 december 2013, Innoweb (C‑202/12, EU:C:2013:850, punt 36).
12 PB 1995, L 281, blz. 31.
13 Anders dan de Commissie in haar schriftelijke opmerkingen betoogt, wordt de verhouding van richtlijn 96/9 tot de AVG niet geregeld door artikel 7, lid 4, ervan: „De bescherming van databanken door het in lid 1 bedoelde recht laat de bestaande rechten op de inhoud ervan onverlet.” Zie in dit verband overweging 18 van deze richtlijn.
14 Om een nuttig antwoord te geven aan de hand waarvan de nationale rechter het bij hem aanhangige geding kan beslechten, kan het Hof volgens vaste rechtspraak Unierechtelijke bepalingen in aanmerking nemen waaraan de nationale rechter niet heeft gerefereerd bij de formulering van zijn vraag. Zie arrest van 21 december 2023, Infraestruturas de Portugal en Futrifer Indústrias Ferroviárias (C‑66/22, EU:C:2023:1016, punt 41 en aldaar aangehaalde rechtspraak).
15 Arrest van 20 oktober 2022, Digi (C‑77/21, EU:C:2022:805, punt 48).
16 Zie arrest van 9 juli 2020, Land Hessen (C‑272/19, EU:C:2020:535, punt 70), waarin het Hof werd gevraagd of de verzoekschriftencommissie van het parlement van die deelstaat „verwerkingsverantwoordelijke” was. Zie tevens arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2021:504, punt 66), en 20 oktober 2022, Koalitsia „Demokratichna Bulgaria – Obedinenie” (C‑306/21, EU:C:2022:813, punt 39).
17 Deze uitlegging vloeit volgens het Hof voort uit de bewoordingen van deze bepaling, met name de uitdrukking „een bewerking”, en het feit dat de in die bepaling genoemde handelingen niet exhaustief zijn, wat tot uitdrukking komt in het woord „zoals”. Zie arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden) (C‑175/20, EU:C:2022:124, punt 35).
18 Indien de deurwaarder meent dat voor de raming van de waarde van deze databank vanwege de specifieke eigenschappen ervan specialistische kennis vereist is, kan een deskundige worden aangewezen. In dat geval stelt de deurwaarder de databank ter beschikking van de deskundige.
19 Arrest van 29 juli 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 72). Volledigheidshalve wijs ik erop dat het genoemde arrest betrekking had op de uitlegging van het begrip „verwerking” zoals dat was gedefinieerd in artikel 2, onder d), van richtlijn 95/46. Deze richtlijn is niet langer van kracht en is vervangen door de AVG, maar de uitlegging van het Hof blijft relevant voor de toepassing van de AVG omdat de definitie van het begrip in de twee instrumenten identiek is, enkele kleine formele wijzigingen daargelaten. Daarom zal ik zonder onderscheid verwijzen naar de arresten die op het ene dan wel het andere instrument betrekking hebben.
20 Zoals het Hof reeds heeft geoordeeld, wordt met artikel 4, punt 7, AVG namelijk beoogd om de betrokkenen met een brede definitie van het begrip „verwerkingsverantwoordelijke” een doeltreffende en volledige bescherming te bieden. Zie arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, punt 29 en aldaar aangehaalde rechtspraak).
21 Arrest van 8 december 2022, Google (Verwijdering van links naar beweerdelijk onjuiste inhoud) (C‑460/20, EU:C:2022:962, punt 51 en aldaar aangehaalde rechtspraak).
22 Arrest van 11 januari 2024, Belgische Staat (Gegevens verwerkt door een staatsblad) (C‑231/22, EU:C:2024:7, punten 29 en 30). Zie ook de richtsnoeren 07/2020 over de begrippen „verwerkingsverantwoordelijke” en „verwerker” in de AVG, vastgesteld op 7 juli 2021 en webpagina die is te raadplegen op https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, punt 24: „Het is [...] gebruikelijker dat in de wet een taak of een verplichting wordt opgelegd aan iemand om bepaalde gegevens te verzamelen en te verwerken dan dat daarin de verwerkingsverantwoordelijke rechtstreeks wordt aangewezen of de criteria voor diens aanwijzing daarin worden vastgesteld. In die gevallen is het doel van de verwerking bij wet vastgelegd. Normaal gesproken is de verwerkingsverantwoordelijke de persoon die bij wet is aangewezen voor de verwezenlijking van dit doel, deze publieke taak.”
23 Arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden) (C‑175/20, EU:C:2022:124, met name de punten 37, 38 en 60).
24 Arrest van 11 januari 2024 (C‑231/22, EU:C:2024:7, punt 49). Verduidelijkt moet worden dat, volgens de rechtspraak, „het bestaan van een gezamenlijke verantwoordelijkheid zich niet noodzakelijkerwijs [uit] in een gelijkwaardige verantwoordelijkheid van de verschillende ondernemers die betrokken zijn bij de verwerking van persoonsgegevens. Deze ondernemers kunnen juist in verschillende stadia en in verschillende maten bij deze verwerking betrokken zijn, zodat het niveau van verantwoordelijkheid van elk van hen moet worden beoordeeld in het licht van alle relevante omstandigheden van het geval”. Zie in die zin arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, punt 42 en aldaar aangehaalde rechtspraak).
25 Zie hoofdstuk II AVG. Artikel 5, lid 2, AVG bepaalt: „De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
26 Zie hoofdstuk III AVG.
27 Arrest van 6 oktober 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 208 en aldaar aangehaalde rechtspraak).
28 Zie artikel 6, lid 1, eerste alinea, onder a), en overweging 40 AVG, waarin het Latijnse adagium „volenti non fit injuria” (aan wie instemt geschiedt geen onrecht) wordt uitgedrukt.
29 Deze twijfel wekt geen verbazing, omdat de werkingssferen van deze hypothesen elkaar duidelijk overlappen; taken van algemeen belang of taken ter uitoefening van het openbaar gezag berusten in het algemeen op een wettelijke bepaling.
30 Een onafhankelijk adviesorgaan dat was ingesteld krachtens artikel 29 van richtlijn 95/46 en sinds de vaststelling van de AVG is vervangen door het Europees Comité voor gegevensbescherming.
31 Bij wijze van illustratie wordt de verplichting van een lokale overheid genoemd om persoonsgegevens te verzamelen voor de verwerking van parkeerboetes.
32 Arrest van 9 maart 2017, Manni (C‑398/15, EU:C:2017:197, punt 42).
33 Zie ook overweging 45 AVG.
34 Zie arrest van 2 maart 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, punt 32).
35 Zie arrest van 20 oktober 2022, Digi (C‑77/21, EU:C:2022:805, punt 32).
36 In deze overweging staat te lezen: „Wanneer de betrokkene zijn toestemming heeft gegeven of wanneer de verwerking gebaseerd is op Unierecht of lidstatelijk recht dat in een democratische samenleving een noodzakelijke en evenredige maatregel vormt voor met name het waarborgen van belangrijke doelstellingen van algemeen belang, moet de verwerkingsverantwoordelijke de mogelijkheid hebben de persoonsgegevens verder te verwerken, ongeacht of dat verenigbaar is met de doeleinden.”
37 Arrest van 20 oktober 2022, Digi (C‑77/21, EU:C:2022:805, punt 36).
38 Arrest van 2 maart 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, punten 33‑41).
39 Motivering van de Raad: standpunt (EU) nr. 6/2016 van de Raad in eerste lezing met het oog op de vaststelling van een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) vastgesteld op 8 april 2016 (punt 3.3).
40 Arrest van 7 september 2016, ANODE (C‑121/15, EU:C:2016:637, punt 54 en aldaar aangehaalde rechtspraak).
41 EHRM, 7 juni 2005, Fuklev tegen Oekraïne (CE:ECHR:2005:0607JUD007118601, § 91).
42 Zie met name EHRM, 19 oktober 2006, Kesyan tegen Rusland (CE:ECHR:2006:1019JUD003649602, § 80).
43 Zie met name EHRM, 28 september 1995, Scollo tegen Italië (CE:ECHR:1995:0928JUD001913391, § 44).