–

„SS” SIA, vertegenwoordigd door M. Ruķers,

–

de Letse regering, aanvankelijk vertegenwoordigd door K. Pommere, V. Soņeca en L. Juškeviča, vervolgens door K. Pommere als gemachtigden,

–

de Belgische regering, vertegenwoordigd door J.‑C. Halleux en P. Cottin als gemachtigden, bijgestaan door C. Molitor, advocaat,

–

de Griekse regering, vertegenwoordigd door E.‑M. Mamouna en O. Patsopoulou als gemachtigden,

–

de Spaanse regering, aanvankelijk vertegenwoordigd door J. Rodríguez de la Rúa Puig en S. Jiménez García, vervolgens door J. Rodríguez de la Rúa Puig als gemachtigden,

–

de Europese Commissie, aanvankelijk vertegenwoordigd door H. Kranenborg, D. Nardi en I. Rubene, vervolgens door H. Kranenborg en I. Rubene als gemachtigden,

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35), met name artikel 5, lid 1, ervan.

2

Dit verzoek is ingediend in het kader van een geding tussen „SS” SIA en de Valsts ieņēmumu dienests (belastingautoriteit, Letland; hierna: „Letse belastingautoriteit”) over een verzoek om informatie over advertenties voor de verkoop van voertuigen die op de website van SS zijn geplaatst.

3

Verordening 2016/679, die is gebaseerd op artikel 16 VWEU, is krachtens artikel 99, lid 2, ervan van toepassing met ingang van 25 mei 2018.

4

De overwegingen 1, 4, 10, 19, 26, 31, 39, 41 en 50 van deze verordening luiden:

[...]

[...]

[...]

[...]

[...]

[...]

[...]

[...]

5

Artikel 2 van verordening 2016/679, met als opschrift „Materieel toepassingsgebied”, bepaalt:

„1.   Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

2.   Deze verordening is niet van toepassing op de verwerking van persoonsgegevens:

[...]”

6

Artikel 4 van de verordening, met het opschrift „Definities”, bepaalt:

„Voor de toepassing van deze verordening wordt verstaan onder:

[...]

[...]

[...]”

7

Artikel 5 van deze verordening, met als opschrift „Beginselen inzake verwerking van persoonsgegevens”, luidt als volgt:

„1.   Persoonsgegevens moeten:

2.   De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”

8

Artikel 6 van deze verordening, met als opschrift „Rechtmatigheid van de verwerking”, bepaalt:

„1.   De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

2.   De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.

3.   De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:

Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. [...] Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.

4.   Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:

9

Artikel 13, lid 3, van verordening 2016/679 luidt als volgt:

„Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.”

10

Artikel 14 van die verordening bepaalt:

„1.   Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie:

[...]

[...]

5.   De leden 1 tot en met 4 zijn niet van toepassing indien en voor zover:

[...]

[...]”

11

Artikel 23, lid 1, onder e), van deze verordening luidt:

„De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede artikel 5 voor zover de bepalingen van dat artikel overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 22, kan door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing is worden beperkt, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:

[...]

[...]”

12

Artikel 25, lid 2, van verordening 2016/679 luidt als volgt:

„De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt.”

13

De overwegingen 10 en 11 van richtlijn 2016/680 luiden als volgt:

14

Artikel 3 van deze richtlijn bepaalt:

„Voor de toepassing van deze richtlijn wordt verstaan onder:

[...]

7. ,bevoegde autoriteit’:

[...]”

15

Krachtens artikel 15, lid 6, van de likums „Par nodokļiem un nodevām” (algemene belastingwet, Latvijas Vēstnesis, 1995, nr. 26), in de versie die van toepassing is op het hoofdgeding (hierna: „algemene belastingwet”), is de aanbieder van internetadvertentiediensten verplicht om op verzoek van de Letse belastingautoriteit de informatie te verstrekken waarover hij beschikt inzake de belastingplichtigen die van zijn diensten met betrekking tot de plaatsing van advertenties hebben gebruikgemaakt.

16

SS is een in Letland gevestigde aanbieder van internetadvertentiediensten.

17

Op 28 augustus 2018 heeft de Letse belastingautoriteit op grond van artikel 15, lid 6, van de algemene belastingwet een verzoek om informatie aan SS gericht, waarbij zij deze vennootschap verzocht om haar opnieuw toegang te verlenen tot de chassisnummers van de voertuigen die in de advertenties op het internetportaal van die vennootschap werden aangeboden alsmede tot de telefoonnummers van de verkopers, en haar uiterlijk op 3 september 2018 informatie te verstrekken over de advertenties die in het tijdvak van 14 juli tot en met 31 augustus 2018 in de rubriek „Personenauto’s” op die portaalsite waren geplaatst.

18

In dit verzoek werd gepreciseerd dat deze informatie de link naar de advertentie, de tekst ervan, het merk, het model, het chassisnummer, de prijs van het voertuig en het telefoonnummer van de verkoper moest bevatten, en elektronisch moest worden verstrekt in een formaat waarin de gegevens konden worden gefilterd of geselecteerd.

19

Voor het geval dat de toegang tot de informatie in de op het betrokken internetportaal geplaatste advertenties niet opnieuw kon worden verleend, werd SS bovendien verzocht om de reden daarvoor aan te geven en uiterlijk op de derde dag van elke maand de relevante informatie over de in de voorgaande maand geplaatste advertenties te verstrekken.

20

SS heeft tegen het verzoek om informatie van de Letse belastingautoriteit bezwaar ingediend bij de waarnemend directeur-generaal van de Letse belastingautoriteit, aangezien zij van mening was dat dat verzoek niet in overeenstemming was met de in verordening 2016/679 neergelegde beginselen van evenredigheid en van minimale verwerking van persoonsgegevens.

21

Bij besluit van 30 oktober 2018 heeft de waarnemend directeur-generaal van de Letse belastingautoriteit dit bezwaar afgewezen, met name op grond dat de Letse belastingautoriteit in het kader van de in het hoofdgeding aan de orde zijnde verwerking van persoonsgegevens de haar bij de wet verleende bevoegdheden uitoefende.

22

SS heeft bij de administratīvā rajona tiesa (bestuursrechter in eerste aanleg, Letland) beroep tot nietigverklaring van dat besluit ingesteld. Naast de argumenten die zij in haar bezwaar had uiteengezet, voerde zij aan dat dat besluit in strijd met artikel 5, lid 1, van verordening 2016/679 niet vermeldde wat het specifieke doel van de door de Letse belastingautoriteit beoogde verwerking van persoonsgegevens was, noch hoeveel gegevens daartoe nodig waren.

23

Bij vonnis van 21 mei 2019 heeft de administratīvā rajona tiesa dat beroep verworpen, in wezen op grond dat de Letse belastingautoriteit gerechtigd was om te verzoeken om toegang tot informatie over alle personen en in een onbeperkte hoeveelheid, tenzij die informatie onverenigbaar werd geacht met de doeleinden van de belastinginning. Deze rechter was bovendien van oordeel dat verordening 2016/679 niet van toepassing was op deze autoriteit.

24

SS heeft tegen dit vonnis hoger beroep ingesteld bij de verwijzende rechter, waarbij zij aanvoerde dat de Letse belastingautoriteit onderworpen was aan verordening 2016/679 en dat deze autoriteit het evenredigheidsbeginsel had geschonden door maandelijks en zonder beperking in de tijd een aanzienlijke hoeveelheid persoonsgegevens betreffende een onbeperkt aantal advertenties te eisen zonder aan te geven tegen welke belastingplichtigen een belastingcontrole zou worden ingesteld.

25

De verwijzende rechter wijst erop dat in het hoofdgeding niet wordt betwist dat de uitvoering van het betrokken verzoek om informatie intrinsiek samenhangt met een verwerking van persoonsgegevens, noch dat de Letse belastingautoriteit recht heeft op informatie waarover een aanbieder van internetadvertentiediensten beschikt en die noodzakelijk is voor de uitvoering van specifieke maatregelen op het gebied van belastinginning.

26

Het hoofdgeding betreft de hoeveelheid en de soort informatie waar de Letse belastingautoriteit om kan verzoeken, de grenzen die ter zake gelden, en de vraag of de mededelingsplicht waaraan SS is onderworpen, in de tijd moet worden beperkt.

27

De verwijzende rechter is met name van oordeel dat het aan hem staat om te bepalen of, in de omstandigheden van het hoofdgeding, de verwerking van persoonsgegevens ten aanzien van de betrokkenen op transparante wijze wordt verricht, of de in het betrokken verzoek omschreven informatie wordt opgevraagd voor welbepaalde, eenduidige en gerechtvaardigde doeleinden en of de verwerking van persoonsgegevens slechts plaatsvindt voor zover dat werkelijk noodzakelijk is voor de uitoefening van de taken van de Letse belastingautoriteit in de zin van artikel 5, lid 1, van verordening 2016/679.

28

Daartoe moeten de criteria worden vastgesteld aan de hand waarvan kan worden beoordeeld of een verzoek van de Letse belastingautoriteit om informatie de wezenlijke inhoud van de fundamentele rechten en vrijheden eerbiedigt en of het in het hoofdgeding aan de orde zijnde verzoek om informatie in een democratische samenleving kan worden beschouwd als noodzakelijk en evenredig om belangrijke doelstellingen van de Unie en Letse openbare belangen op fiscaal en budgettair gebied te beschermen.

29

In deze omstandigheden heeft de Administratīvā apgabaltiesa (bestuursrechter in tweede aanleg, Letland) de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

30

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of verordening 2016/679 aldus moet worden uitgelegd dat het verzamelen van informatie die een aanzienlijke hoeveelheid persoonsgegevens inhoudt waartoe de belastingautoriteit van een lidstaat overgaat bij een marktdeelnemer, onderworpen is aan de vereisten van deze verordening, in het bijzonder die van artikel 5, lid 1, ervan.

31

Om deze vraag te beantwoorden moet in de eerste plaats worden nagegaan of een dergelijk verzoek binnen het materiële toepassingsgebied van verordening 2016/679 valt, zoals dat is omschreven in artikel 2, lid 1, ervan, en in de tweede plaats of het niet behoort tot de verwerkingen van persoonsgegevens die artikel 2, lid 2, van die verordening van dit toepassingsgebied uitsluit.

32

In de eerste plaats is verordening 2016/679 volgens artikel 2, lid 1, ervan van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

33

Artikel 4, punt 1, van verordening 2016/679 verduidelijkt wat er onder „persoonsgegevens” wordt verstaan: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, dat wil zeggen een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon. Overweging 26 van deze verordening preciseert in dit verband dat om te bepalen of een natuurlijke persoon identificeerbaar is rekening moet worden gehouden met alle middelen waarvan redelijkerwijs te verwachten valt dat zij door de verwerkingsverantwoordelijke of door een andere persoon zullen worden gebruikt om de natuurlijke persoon direct of indirect te identificeren.

34

In het hoofdgeding staat vast dat de informatie waarvan de Letse belastingautoriteit om verstrekking verzoekt, persoonsgegevens zijn in de zin van artikel 4, punt 1, van verordening 2016/679.

35

Krachtens artikel 4, punt 2, van deze verordening vormen het verzamelen, raadplegen, verstrekken door middel van doorzending, of op andere wijze ter beschikking stellen van persoonsgegevens „verwerkingen” in de zin van deze verordening. Uit de bewoordingen van deze bepaling, met name uit de uitdrukking „een bewerking”, blijkt dat de Uniewetgever aan het begrip „verwerking” een ruime strekking heeft willen geven. Deze uitlegging vindt steun in het feit dat de in die bepaling genoemde handelingen niet exhaustief zijn, wat tot uitdrukking komt in het woord „zoals”.

36

In casu verlangt de Letse belastingautoriteit van de betrokken marktdeelnemer dat hij haar diensten opnieuw toegang verleent tot de chassisnummers van de voertuigen waarvoor op zijn internetportaal advertenties zijn geplaatst, en dat hij informatie verstrekt over de op die portaalsite geplaatste advertenties.

37

Een dergelijk verzoek, waarmee de belastingautoriteit van een lidstaat een marktdeelnemer vraagt om haar persoonsgegevens te verstrekken en ter beschikking te stellen, waartoe hij krachtens de nationale regeling van die lidstaat gehouden is, brengt een proces van „verzameling” van die gegevens op gang in de zin van artikel 4, punt 2, van verordening 2016/679.

38

Bovendien houdt de verstrekking en de terbeschikkingstelling van die gegevens door de betrokken marktdeelnemer aan deze autoriteit een „verwerking” in de zin van dat artikel 4, punt 2, in.

39

In de tweede plaats moet worden onderzocht of de bewerking waarmee de belastingautoriteit van een lidstaat de persoonsgegevens van bepaalde belastingplichtigen bij een marktdeelnemer tracht te verzamelen, kan worden geacht van het toepassingsgebied van verordening 2016/679 te zijn uitgesloten op grond van artikel 2, lid 2, daarvan.

40

In dit verband zij er eerst aan herinnerd dat deze bepaling voorziet in uitzonderingen op het in artikel 2, lid 1, omschreven toepassingsgebied van deze verordening en dat deze uitzonderingen strikt moeten worden uitgelegd (arrest van 16 juli 2020, Facebook Ireland en Schrems, C‑311/18, EU:C:2020:559, punt 84).

41

In het bijzonder bepaalt artikel 2, lid 2, onder d), van verordening 2016/679 dat deze verordening niet van toepassing is op de verwerking van persoonsgegevens door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen.

42

Blijkens overweging 19 van die verordening is deze uitzondering ingegeven door de omstandigheid dat de verwerking van persoonsgegevens voor dergelijke doeleinden door de bevoegde autoriteiten valt onder een specifieke handeling van de Unie, te weten richtlijn 2016/680, die is vastgesteld op dezelfde dag als verordening 2016/679 en die in artikel 3, punt 7, definieert wat moet worden verstaan onder „bevoegde autoriteit”, waarbij deze definitie naar analogie behoort te gelden voor de toepassing van artikel 2, lid 2, onder d), van verordening 2016/679 [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 69].

43

Uit overweging 10 van richtlijn 2016/680 komt naar voren dat het begrip „bevoegde autoriteit” moet worden begrepen in het licht van de bescherming van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking, waarbij rekening dient te worden gehouden met de aanpassingen die in dit verband nodig zouden kunnen blijken wegens de specifieke aard van die gebieden. Voorts wordt in overweging 11 van richtlijn 2016/680 gepreciseerd dat verordening 2016/679 van toepassing is op de verwerking van persoonsgegevens die door een „bevoegde autoriteit” in de zin van artikel 3, punt 7, van deze richtlijn wordt verricht voor andere doeleinden dan die welke in die richtlijn worden genoemd [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 70].

44

Wanneer de belastingautoriteit van een lidstaat een marktdeelnemer verzoekt om haar persoonsgegevens betreffende bepaalde belastingplichtigen te verstrekken met het oog op de inning van de belasting en de bestrijding van belastingfraude, blijkt dus niet dat deze belastingautoriteit kan worden beschouwd als een „bevoegde autoriteit” in de zin van artikel 3, punt 7, van richtlijn 2016/680, en dus ook niet dat dergelijke verzoeken om informatie onder de uitzondering van artikel 2, lid 2, onder d), van verordening 2016/679 kunnen vallen.

45

Bovendien is het weliswaar niet uitgesloten dat de in het hoofdgeding aan de orde zijnde persoonsgegevens kunnen worden gebruikt in het kader van strafvervolgingen die in geval van inbreuken op fiscaal gebied zouden kunnen worden ingesteld tegen bepaalde betrokkenen, maar het blijkt niet dat die gegevens worden verzameld met als specifiek doel dergelijke strafvervolgingen in te stellen of in het kader van de activiteiten van de staat op strafrechtelijk gebied (zie in die zin arrest van 27 september 2017, Puškár, C‑73/16, EU:C:2017:725, punt 40).

46

Bijgevolg valt het verzamelen, door de belastingautoriteit van een lidstaat, van persoonsgegevens betreffende de op de website van een marktdeelnemer geplaatste advertenties voor de verkoop van voertuigen binnen het materiële toepassingsgebied van verordening 2016/679 en moet deze autoriteit dus met name de in artikel 5 van die verordening neergelegde beginselen inzake de verwerking van persoonsgegevens in acht nemen.

47

Gelet op een en ander moet op de eerste vraag worden geantwoord dat verordening 2016/679 aldus moet worden uitgelegd dat het verzamelen van informatie die een aanzienlijke hoeveelheid persoonsgegevens inhoudt waartoe de belastingautoriteit van een lidstaat overgaat bij een marktdeelnemer, onderworpen is aan de vereisten van deze verordening, in het bijzonder die van artikel 5, lid 1, ervan.

48

Met zijn tweede vraag wenst de verwijzende rechter in essentie te vernemen of verordening 2016/679 aldus moet worden uitgelegd dat de belastingautoriteit van een lidstaat mag afwijken van artikel 5, lid 1, van deze verordening, ook al is haar dat recht niet toegekend door het nationale recht van die lidstaat.

49

Om te beginnen zij eraan herinnerd dat verordening 2016/679, zoals blijkt uit overweging 10 ervan, met name een hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen.

50

Daartoe vermelden de hoofdstukken II en III van verordening 2016/679 respectievelijk de beginselen die van toepassing zijn op de verwerking van persoonsgegevens en de rechten van de betrokkene die bij elke verwerking van persoonsgegevens moeten worden geëerbiedigd. In het bijzonder moet elke verwerking van persoonsgegevens met name in overeenstemming zijn met de in artikel 5 van verordening 2016/679 geformuleerde beginselen inzake de verwerking van die gegevens (zie in die zin arrest van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 208).

51

Artikel 23 van verordening 2016/679 staat de Unie en de lidstaten evenwel toe „wetgevingsmaatregelen” vast te stellen die de reikwijdte van de onder meer in artikel 5 van deze verordening bedoelde verplichtingen en rechten beperken, voor zover zij overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 22 van die verordening, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, zoals met name een belangrijk economisch of financieel belang, met inbegrip van budgettaire en fiscale aangelegenheden.

52

In dit verband volgt uit overweging 41 van verordening 2016/679 dat de verwijzing in deze verordening naar een „wetgevingsmaatregel” niet noodzakelijk inhoudt dat er een door een parlement vastgestelde wetgevingshandeling nodig is.

53

Niettemin zij eraan herinnerd dat verordening 2016/679, zoals in overweging 4 ervan staat te lezen, alle grondrechten eerbiedigt alsook de vrijheden en beginselen die zijn erkend in het Handvest, zoals die in de Verdragen zijn verankerd, waaronder met name de bescherming van persoonsgegevens.

54

Volgens artikel 52, lid 1, eerste volzin, van het Handvest moeten beperkingen op de uitoefening van de daarin erkende rechten en vrijheden, waaronder met name het door artikel 7 van het Handvest gewaarborgde recht op eerbiediging van het privéleven en het in artikel 8 ervan neergelegde recht op bescherming van persoonsgegevens, bij wet worden gesteld, wat met name inhoudt dat de rechtsgrond die de inmenging in die rechten toestaat, zelf de reikwijdte van de beperking op de uitoefening van het betrokken recht moet bepalen (zie in die zin arrest van 6 oktober 2020, Privacy International, C‑623/17, EU:C:2020:790, punt 65 en aldaar aangehaalde rechtspraak).

55

In dit verband heeft het Hof bovendien geoordeeld dat de regeling die een dergelijke inmenging mogelijk maakt, duidelijke en nauwkeurige regels moet bevatten die de reikwijdte en de toepassing van de betrokken maatregel vastleggen en minimumvereisten opleggen, zodat degenen van wie de persoonsgegevens zijn doorgegeven, over voldoende waarborgen beschikken dat die gegevens doeltreffend worden beschermd tegen het risico van misbruik [zie in die zin arrest van 2 maart 2021, Prokuratuur (Voorwaarden voor toegang tot elektronischecommunicatiegegevens), C‑746/18, EU:C:2021:152, punt 48 en aldaar aangehaalde rechtspraak].

56

Bijgevolg moet elke krachtens artikel 23 van verordening 2016/679 vastgestelde maatregel, zoals de Uniewetgever overigens in overweging 41 van deze verordening heeft benadrukt, duidelijk en nauwkeurig zijn en moet de toepassing daarvan voorspelbaar zijn voor degenen op wie deze van toepassing is. Deze personen moeten in het bijzonder kunnen vaststellen onder welke omstandigheden en voorwaarden de reikwijdte van de hun door deze verordening verleende rechten kan worden beperkt.

57

Uit het voorgaande volgt dat de belastingautoriteit van een lidstaat niet mag afwijken van artikel 5 van verordening 2016/679 wanneer er in het Unierecht of het nationale recht geen duidelijke en nauwkeurige rechtsgrondslag bestaat waarvan de toepassing voorspelbaar is voor degenen op wie deze van toepassing is en die bepaalt onder welke omstandigheden en voorwaarden de reikwijdte van de in dat artikel 5 bedoelde verplichtingen en rechten kan worden beperkt.

58

Bijgevolg moet op de tweede vraag worden geantwoord dat verordening 2016/679 aldus moet worden uitgelegd dat de belastingautoriteit van een lidstaat niet mag afwijken van artikel 5, lid 1, van deze verordening wanneer haar een dergelijk recht niet is toegekend bij een wetgevingsmaatregel in de zin van artikel 23, lid 1, van die verordening.

59

Met zijn derde tot en met negende vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of verordening 2016/679 aldus moet worden uitgelegd dat zij eraan in de weg staat dat de belastingautoriteit van een lidstaat een aanbieder van internetadvertentiediensten verplicht om haar gedurende onbepaalde tijd informatie te verstrekken over alle belastingplichtigen die advertenties in een van de rubrieken van zijn internetportaal hebben geplaatst, zonder dat zij hem het doel van dit verzoek om informatie meedeelt.

60

Om te beginnen moet worden opgemerkt dat er in een situatie als die in het hoofdgeding twee verwerkingen van persoonsgegevens kunnen plaatsvinden. Zoals uit de punten 37 en 38 van het onderhavige arrest blijkt, gaat het om het verzamelen van persoonsgegevens door de belastingautoriteit bij de betrokken aanbieder van diensten en, in dat kader, om de verstrekking door middel van doorzending van die gegevens door deze aanbieder aan die autoriteit.

61

Zoals blijkt uit de in punt 50 van het onderhavige arrest aangehaalde rechtspraak, moet elk van deze bewerkingen de in artikel 5 van verordening 2016/679 neergelegde beginselen inzake de verwerking van persoonsgegevens en de in de artikelen 12 tot en met 22 van die verordening neergelegde rechten van de betrokkene eerbiedigen, behoudens de in artikel 23 ervan toegestane afwijkingen.

62

In casu stelt de verwijzende rechter zich met name vragen bij de omstandigheid dat, ten eerste, de in punt 60 van het onderhavige arrest vermelde verwerkingen betrekking hebben op informatie in onbeperkte hoeveelheden betreffende een onbepaald tijdvak, en, ten tweede, het doel van deze verwerkingen in het verzoek om informatie niet is gepreciseerd.

63

In dit verband moet in de eerste plaats worden benadrukt dat artikel 5, lid 1, onder b), van verordening 2016/679 bepaalt dat persoonsgegevens met name voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld.

64

Om te beginnen impliceert het vereiste dat de doeleinden van de verwerking bepaald zijn, zoals tevens volgt uit overweging 39 van deze verordening, dat deze uiterlijk bij het verzamelen van de persoonsgegevens moeten vaststaan.

65

Vervolgens moeten de doeleinden van de verwerking uitdrukkelijk omschreven zijn, hetgeen betekent dat zij duidelijk moeten zijn geformuleerd.

66

Ten slotte moeten deze doeleinden gerechtvaardigd zijn. Zij moeten derhalve een rechtmatige verwerking in de zin van artikel 6, lid 1, van deze verordening waarborgen.

67

De in punt 60 van het onderhavige arrest bedoelde verwerkingen worden geïnitieerd door het verzoek om verstrekking van persoonsgegevens dat de Letse belastingautoriteit richt aan de aanbieder van internetadvertentiediensten. In dit verband blijkt dat deze aanbieder krachtens artikel 15, lid 6, van de algemene belastingwet gehouden is een dergelijk verzoek in te willigen.

68

Gelet op de overwegingen die in de punten 64 en 65 van dit arrest zijn uiteengezet, is het noodzakelijk dat de doeleinden van deze verwerkingen duidelijk in dat verzoek worden vermeld.

69

Mits de aldus in dat verzoek vermelde doeleinden noodzakelijk zijn voor de uitvoering van een taak van algemeen belang of een taak die deel uitmaakt van de uitoefening van het openbaar gezag dat aan de belastingautoriteit is opgedragen, volstaat deze omstandigheid, zoals voortvloeit uit artikel 6, lid 1, eerste alinea, aanhef en onder e), van verordening 2016/679, gelezen in samenhang met artikel 6, lid 3, tweede alinea, van die verordening, opdat die verwerkingen ook voldoen aan het in punt 66 van het onderhavige arrest in herinnering gebrachte vereiste van rechtmatigheid.

70

In dit verband zij eraan herinnerd dat de inning van de belasting en de bestrijding van belastingfraude moeten worden beschouwd als taken van algemeen belang in de zin van artikel 6, lid 1, eerste alinea, onder e), van verordening 2016/679 (zie naar analogie arrest van 27 september 2017, Puškár, C‑73/16, EU:C:2017:725, punt 108).

71

Hieruit volgt dat in een geval waarin de verstrekking van de betrokken persoonsgegevens niet rechtstreeks is gebaseerd op de wettelijke bepaling die er de grondslag van vormt, maar voortvloeit uit een verzoek van de bevoegde overheidsinstantie, dit verzoek de specifieke doeleinden voor dat verzamelen van gegevens met het oog op de taak van openbaar belang of de uitoefening van het openbaar gezag nader moet omschrijven, teneinde de ontvanger van dat verzoek in staat te stellen zich ervan te vergewissen dat de doorzending van de betrokken persoonsgegevens rechtmatig is en het de nationale rechterlijke instanties mogelijk te maken de rechtmatigheid van de betrokken verwerkingen te toetsen.

72

In de tweede plaats moeten persoonsgegevens overeenkomstig artikel 5, lid 1, onder c), van verordening 2016/679 toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

73

Dienaangaande zij eraan herinnerd dat afwijkingen en beperkingen van het beginsel van bescherming van persoonsgegevens volgens vaste rechtspraak binnen de grenzen van het strikt noodzakelijke moeten blijven [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 110 en aldaar aangehaalde rechtspraak].

74

Hieruit volgt dat de verwerkingsverantwoordelijke niet op algemene en ongedifferentieerde wijze persoonsgegevens mag verzamelen en zich dient te onthouden van het verzamelen van gegevens die niet strikt noodzakelijk zijn voor de doeleinden van de verwerking, ook wanneer hij handelt in het kader van de hem opgedragen taak van algemeen belang.

75

In casu moet worden opgemerkt dat de Letse belastingautoriteit, zoals blijkt uit de punten 17 tot en met 19 van het onderhavige arrest, de betrokken marktdeelnemer heeft verzocht om haar gegevens te verstrekken over de advertenties voor de verkoop van personenauto’s die tussen 14 juli en 31 augustus 2018 op zijn website zijn geplaatst, en, voor het geval dat de toegang tot deze informatie niet opnieuw kon worden verleend, om haar uiterlijk op de derde dag van elke maand de gegevens te verstrekken over de advertenties voor de verkoop van personenauto’s die in de voorgaande maand op zijn website zijn geplaatst, zonder dit laatste verzoek in de tijd te beperken.

76

Gelet op de in punt 74 van het onderhavige arrest uiteengezette overwegingen staat het aan de verwijzende rechter om na te gaan of het doel van het verzamelen van deze gegevens kan worden bereikt zonder dat de Letse belastingautoriteit potentieel beschikt over de gegevens betreffende alle advertenties voor de verkoop van personenauto’s die op de website van die marktdeelnemer zijn geplaatst, en met name of het denkbaar is dat deze belastingautoriteit zich aan de hand van specifieke criteria op bepaalde advertenties richt.

77

In dit verband moet worden benadrukt dat de verwerkingsverantwoordelijke overeenkomstig de in artikel 5, lid 2, van verordening 2016/679 neergelegde verantwoordingsplicht moet kunnen aantonen dat hij de in lid 1 van dat artikel neergelegde beginselen inzake de verwerking van persoonsgegevens naleeft.

78

Bijgevolg staat het aan de Letse belastingautoriteit om aan te tonen dat zij overeenkomstig artikel 25, lid 2, van die verordening heeft getracht de hoeveelheid te verzamelen persoonsgegevens zoveel mogelijk te beperken.

79

Wat de omstandigheid betreft dat het verzoek van de Letse belastingautoriteit om informatie niet voorziet in een temporele beperking voor het geval dat de betrokken aanbieder van advertentiediensten de toegang tot de advertenties die zijn geplaatst in het in het verzoek bedoelde tijdvak niet opnieuw verleent, zij eraan herinnerd dat de verwerkingsverantwoordelijke, gelet op het beginsel van minimale gegevensverwerking, ook verplicht is om het tijdvak waarin de betrokken persoonsgegevens worden verzameld, te beperken tot hetgeen strikt noodzakelijk is voor het doel van de verwerking.

80

Bijgevolg mag het tijdvak waarop het verzamelen betrekking heeft, niet langer duren dan strikt noodzakelijk is om het beoogde doel van algemeen belang te bereiken.

81

Zoals blijkt uit punt 77 van het onderhavige arrest, rust de bewijslast dienaangaande op de Letse belastingautoriteit.

82

Uit het feit dat deze gegevens worden verzameld zonder dat de Letse belastingautoriteit in het verzoek om informatie zelf temporele grenzen aan een dergelijke verwerking heeft gesteld, kan als zodanig echter niet worden afgeleid dat de duur van de verwerking langer is dan wat strikt noodzakelijk is om het doel te bereiken.

83

In deze context dient er niettemin aan te worden herinnerd dat om te voldoen aan het evenredigheidsvereiste waaraan artikel 5, lid 1, onder c), van verordening 2016/679 uitdrukking geeft [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 98 en aldaar aangehaalde rechtspraak], de regeling waarop de verwerking is gebaseerd duidelijke en nauwkeurige regels moet bevatten over de reikwijdte en de toepassing van de betrokken maatregel en minimumvereisten moet opleggen, zodat degenen van wie de persoonsgegevens worden verwerkt, over voldoende waarborgen beschikken dat die gegevens doeltreffend worden beschermd tegen het risico van misbruik. Die regeling moet wettelijk verbindend zijn naar intern recht en in het bijzonder aangeven in welke omstandigheden en onder welke voorwaarden een maatregel die voorziet in de verwerking van dergelijke gegevens kan worden genomen, en aldus waarborgen dat de inmenging tot het strikt noodzakelijke wordt beperkt (arrest van 6 oktober 2020, Privacy International, C‑623/17, EU:C:2020:790, punt 68 en aldaar aangehaalde rechtspraak).

84

Hieruit volgt dat de nationale regeling inzake een verzoek om informatie als in het hoofdgeding aan de orde, aan de hand van objectieve criteria moet bepalen in welke omstandigheden en onder welke voorwaarden een aanbieder van onlinediensten persoonsgegevens van zijn gebruikers moet doorgeven (zie in die zin arrest van 6 oktober 2020, Privacy International, C‑623/17, EU:C:2020:790, punt 78 en aldaar aangehaalde rechtspraak).

85

Gelet op een en ander dient op de derde tot en met negende vraag te worden geantwoord dat verordening 2016/679 aldus moet worden uitgelegd dat zij zich er niet tegen verzet dat de belastingautoriteit van een lidstaat een aanbieder van internetadvertentiediensten verplicht om haar informatie te verstrekken over de belastingplichtigen die advertenties in een van de rubrieken van zijn internetportaal hebben geplaatst, mits de betrokken gegevens met name noodzakelijk zijn voor de specifieke doeleinden waarvoor zij worden verzameld en het tijdvak gedurende hetwelk die gegevens worden verzameld niet langer is dan strikt noodzakelijk om de doelstelling van algemeen belang te verwezenlijken.

86

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Vijfde kamer) verklaart voor recht: