HvJ EU 12 januari 2023, C-154/21 (Österreichische Post)

Het in de AVG geregelde recht van een betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, brengt mee dat de verwerkingsverantwoordelijke verplicht is om aan de betrokkene de identiteit van de specifieke ontvangers van die gegevens mee te delen. Alleen wanneer het onmogelijk is om die ontvangers te identificeren of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig zijn, hoeft hij alleen de categorieën van de betreffende ontvangers mee te delen aan de betrokkene. Dat is het antwoord van het EU-Hof op een vraag van een Oostenrijkse rechter.

Achtergrond

Artikel 15, lid 1 van de Algemene verordening gegevensbescherming (AVG) voorziet in het recht van een betrokkene om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Wanneer er sprake is van verwerking, heeft de betrokkene het recht om inzage te verkrijgen van de verwerkte persoonsgegevens en van diverse informatie. In dit verband heeft de betrokkene overeenkomstig artikel 15, lid 1, onder c van de AVG het recht de informatie in te zien over ‘de ontvangers’ of ‘categorieën van ontvangers’ aan wie de persoonsgegevens zijn of zullen worden verstrekt.

In deze zaak gaat het om een geding tussen RW en Österreichische Post AG, de grootste aanbieder van post- en logistieke diensten in Oostenrijk, die na een verzoek van RW om inzage van de hem betreffende persoonsgegevens aan RW geen informatie heeft verstrekt over de specifieke ontvangers aan wie zijn persoonsgegevens worden verstrekt. Österreichische Post heeft alleen aangegeven dat zij de persoonsgegevens heeft verstrekt aan zakelijke klanten, waaronder adverteerders die actief zijn in online- en offlinehandel, IT-bedrijven, uitgevers van telefoongidsen en verenigingen zoals fondsenwervers, ngo’s of politieke partijen.

Het geding tussen RW en Österreichische Post is uiteindelijk terechtgekomen bij de hoogste federale rechter in civiele en strafzaken van Oostenrijk (hierna: de verwijzende rechter). De verwijzende rechter wil van het EU-Hof weten of het recht op inzage van RW impliceert dat hij informatie moet ontvangen over de ‘(specifieke) ontvangers’ aan wie de hem betreffende persoonsgegevens worden medegedeeld of dat de verwerkingsverantwoordelijke (Österreichische Post) alleen aanwijzingen dient te verstrekken over de ‘categorieën van ontvangers’.

EU-Hof

Het EU-Hof brengt in herinnering dat het reeds heeft geoordeeld dat de uitoefening van het recht van inzage de betrokkene in staat moet stellen niet alleen na te gaan of de hem betreffende gegevens juist zijn, maar ook of deze rechtmatig worden verwerkt, met name of die zijn meegedeeld aan bevoegde ontvangers. Dit recht van inzage is met name noodzakelijk om de betrokkene toe te laten een aantal rechten uit de AVG uit te oefenen, waaronder het recht op gegevenswissing en het recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens. Teneinde de nuttige werking te waarborgen van die rechten, dient de betrokkene te beschikken over het recht om te weten wie de concrete ontvangers van zijn persoonsgegevens waren, wanneer deze reeds aan derden zijn meegedeeld.

De informatie die aan de betrokkene wordt verstrekt op grond van het in de AVG neergelegde recht van inzage moet volgens het EU-Hof zo nauwkeurig mogelijk zijn. In het bijzonder houdt dit recht van inzage in dat de betrokkene van de verwerkingsverantwoordelijke informatie kan verkrijgen over de specifieke ontvangers aan wie de gegevens zijn of zullen worden verstrekt, dan wel ervoor kan kiezen om louter informatie betreffende de categorieën van ontvangers op te vragen.

Het EU-Hof benadrukt echter dat het in specifieke omstandigheden niet mogelijk is om informatie te verstrekken over specifieke ontvangers. Het recht van inzage kan dus wordt beperkt tot informatie over de categorieën van ontvangers indien het onmogelijk is om informatie te verstrekken over wie de concrete ontvangers daarvan waren. In het bijzonder wanneer deze ontvangers nog niet bekend zijn.

Daarnaast oordeelt het EU-Hof dat een verwerkingsverantwoordelijke kan weigeren gevolg te geven aan verzoeken van de betrokkene wanneer deze kennelijk ongegrond of buitensporig van aard zijn. De verwerkingsverantwoordelijke moet de kennelijk ongegronde of buitensporige aard van die verzoeken aantonen.

Lees hier de volledige uitspraak.