Arrest van het Hof (Tweede kamer) van 20 december 2017

Gegevens

Instantie: Hof van Justitie EU

Datum uitspraak: 20 december 2017

Uitspraak

Arrest van het Hof (Tweede kamer)

20 december 2017^(*)

"„Prejudiciële verwijzing - Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens - Richtlijn 95/46/EG - Artikel 2, onder a) - Begrip persoonsgegevens - Schriftelijke antwoorden van de kandidaat op een beroepsexamen - Opmerkingen van de examinator bij die antwoorden - Artikel 12, onder a) en b) - Omvang van het recht op toegang en op rectificatie van de betrokkene”"

In zaak C‑434/16,

betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Supreme Court (hoogste rechterlijke instantie, Ierland) bij beslissing van 29 juli 2016, ingekomen bij het Hof op 4 augustus 2016, in de procedure

Peter Nowak

tegen

Data Protection Commissioner,

HET HOF (Tweede kamer),

samengesteld als volgt: M. Ilešič (rapporteur), kamerpresident, A. Rosas, C. Toader, A. Prechal en E. Jarašiūnas, rechters,

advocaat-generaal: J. Kokott,

griffier: M. Aleksejev, administrateur,

gezien de stukken en na de terechtzitting op 22 juni 2017,

gelet op de opmerkingen van:
- Peter Nowak, vertegenwoordigd door G. Rudden, solicitor, en N. Travers, SC,
- de Data Protection Commissioner, vertegenwoordigd door D. Young, solicitor, en P. A. McDermott, SC,
- de Tsjechische regering, vertegenwoordigd door M. Smolek en J. Vláčil als gemachtigden,
- Ierland, vertegenwoordigd door E. Creedon, L. Williams en A. Joyce als gemachtigden, bijgestaan door A. Caroll, barrister,
- de Griekse regering, vertegenwoordigd door G. Papadaki en S. Charitaki als gemachtigden,
- de Hongaarse regering, vertegenwoordigd door Z. Fehér en A. Pálfy als gemachtigden,
- de Oostenrijkse regering, vertegenwoordigd door G. Eberhard als gemachtigde,
- de Poolse regering, vertegenwoordigd door B. Majczyna als gemachtigde,
- de Portugese regering, vertegenwoordigd door L. Inez Fernandes, M. Figueiredo en I. Oliveira als gemachtigden,
- de Europese Commissie, vertegenwoordigd door D. Nardi en H. Kranenborg als gemachtigden,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 20 juli 2017,

het navolgende

Arrest

1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31).

2 Dit verzoek is ingediend in het kader van een geding tussen Peter Nowak en de Data Protection Commissioner (Ierse toezichthouder voor de gegevensbescherming; hierna: „DPC”) over de weigering van deze laatste om Nowak toegang te geven tot een verbeterde kopie van een examen waaraan hij had deelgenomen, op grond dat de daarin vervatte gegevens geen persoonsgegevens vormen.

Toepasselijke bepalingen

Unierecht

Richtlijn 95/46

3 Richtlijn 95/46, die volgens artikel 1 van deze richtlijn, wat de verwerking van persoonsgegevens betreft, strekt tot bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer, evenals tot opheffing van de belemmeringen voor het vrije verkeer van die gegevens, preciseert in de overwegingen 25, 26 en 41 ervan:

„(25) Overwegende dat de beginselen van de bescherming enerzijds tot uiting moeten komen in de verplichtingen die aan de personen, overheidsinstanties, ondernemingen of andere lichamen die de verwerkingen uitvoeren, worden opgelegd, verplichtingen die met name betrekking hebben op de kwaliteit van de gegevens, de technische beveiliging, de aanmelding bij de toezichthoudende autoriteit en de omstandigheden waarin de verwerking kan worden uitgevoerd, en anderzijds in het feit dat aan personen wier gegevens het voorwerp van verwerkingen zijn, het recht wordt verleend om daarvan in kennis te worden gesteld, tot die gegevens toegang te krijgen, de rectificatie ervan te verlangen en zelfs om zich in bepaalde omstandigheden tegen verwerking te verzetten;
(26) Overwegende dat de beschermingsbeginselen moeten gelden voor elk gegeven betreffende een geïdentificeerde of identificeerbare persoon; dat, om te bepalen of een persoon identificeerbaar is, moet worden gekeken naar alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs door degene die voor de verwerking verantwoordelijk is dan wel door enig ander persoon in te zetten zijn om genoemde persoon te identificeren; dat de beschermingsbeginselen niet van toepassing zijn op gegevens die op zodanige wijze anoniem zijn gemaakt dat de persoon waarop ze betrekking hebben niet meer identificeerbaar is; [...]
[...]
(41) Overwegende dat een ieder over het recht moet kunnen beschikken toegang te verkrijgen tot de gegevens die het voorwerp van een verwerking vormen en hemzelf betreffen, zodat hij zich van de juistheid en de rechtmatigheid van de verwerking ervan kan vergewissen; [...]”.

4 Het begrip „persoonsgegevens” wordt in artikel 2, onder a), van deze richtlijn gedefinieerd als volgt:

„iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna ‚betrokkene’ te noemen; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit”.

5 Artikel 6 van die richtlijn, dat tot afdeling I, „Beginselen betreffende de kwaliteit van de gegevens” van hoofdstuk II behoort, luidt als volgt:

„1.
De lidstaten bepalen dat de persoonsgegevens:

eerlijk en rechtmatig moeten worden verwerkt;

voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verkregen en vervolgens niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden. Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden wordt niet als onverenigbaar beschouwd, mits de lidstaten passende garanties bieden;

toereikend, ter zake dienend en niet bovenmatig moeten zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt;

nauwkeurig dienen te zijn en, zo nodig, dienen te worden bijgewerkt; alle redelijke maatregelen dienen te worden getroffen om de gegevens die, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt, onnauwkeurig of onvolledig zijn, uit te wissen of te corrigeren;

in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is. De lidstaten voorzien in passende waarborgen voor persoonsgegevens die langer dan hierboven bepaald voor historische, statistische of wetenschappelijke doeleinden worden bewaard.

2.
Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.”

6 Artikel 7 van richtlijn 95/46, dat tot afdeling II, „Beginselen betreffende de toelaatbaarheid van gegevensverwerking” van hoofdstuk II behoort, bepaalt:

„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:

de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend, of

[...]

de verwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de voor de verwerking verantwoordelijke onderworpen is, of

[...]

de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag die aan de voor de verwerking verantwoordelijke of de derde aan wie de gegevens worden verstrekt, drager is opgedragen, of

de verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, mits het belang of de fundamentele rechten en vrijheden van de betrokkene die aanspraak maakt op bescherming uit hoofde van artikel 1, lid 1, van deze richtlijn, niet prevaleren.”

7 Artikel 12 van die richtlijn, met als opschrift „Recht van toegang”, luidt als volgt:

„De lidstaten waarborgen elke betrokkene het recht van de voor de verwerking verantwoordelijke te verkrijgen:

vrijelijk en zonder beperking, met redelijke tussenpozen en zonder bovenmatige vertraging of kosten:

uitsluitsel omtrent het al dan niet bestaan van verwerkingen van hem betreffende gegevens, alsmede ten minste informatie over de doeleinden van deze verwerkingen, de categorieën gegevens waarop deze verwerkingen betrekking hebben en de ontvangers of categorieën ontvangers aan wie de gegevens worden verstrekt;

verstrekking, in begrijpelijke vorm, van de gegevens die zijn verwerkt, alsmede de beschikbare informatie over de oorsprong van de gegevens;

[...]

naar gelang van het geval, de rectificatie, de uitwissing of de afscherming van de gegevens waarvan de verwerking niet overeenstemt met de bepalingen van deze richtlijn, met name op grond van het onvolledige of onjuiste karakter van de gegevens;

kennisgeving aan derden aan wie de gegevens zijn verstrekt, van elke rectificatie, uitwissing of afscherming, uitgevoerd overeenkomstig punt b), tenzij zulks onmogelijk blijkt of onevenredig veel moeite kost.”

8 Artikel 13 van voornoemde richtlijn, met als opschrift „Uitzonderingen en beperkingen”, bepaalt:

„1.
De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in artikel 6, lid 1, artikel 10, artikel 11, lid 1, artikel 12 en artikel 21 bedoelde rechten en plichten indien dit noodzakelijk is ter vrijwaring van:
[...]

de bescherming van de betrokkene of van de rechten en vrijheden van anderen.

[...]”

9 Artikel 14 van richtlijn 95/46, met als opschrift „Recht van verzet van de betrokkene”, bepaalt:

„De lidstaten kennen de betrokkene het recht toe:

zich ten minste in de gevallen, bedoeld in artikel 7, onder e) en f), te allen tijde om zwaarwegende en gerechtvaardigde redenen die verband houden met zijn bijzondere situatie ertegen te verzetten dat hem betreffende gegevens het voorwerp van een verwerking vormen, behoudens andersluidende bepalingen in de nationale wetgeving. In geval van gerechtvaardigd verzet mag de door de voor de verwerking verantwoordelijke persoon verrichte verwerking niet langer op deze gegevens betrekking hebben;

[...]”

10 Artikel 28 van die richtlijn, met als opschrift „Toezichthoudende autoriteit”, luidt als volgt:

„1.
Elke lidstaat bepaalt dat een of meer autoriteiten worden belast met het toezicht op de toepassing op zijn grondgebied van de ter uitvoering van deze richtlijn door de lidstaten vastgestelde bepalingen.
[...]
3.
Elke toezichthoudende autoriteit beschikt met name over:

onderzoeksbevoegdheden, zoals het recht van toegang tot gegevens die het voorwerp vormen van een verwerking en het recht alle inlichtingen in te winnen die voor de uitoefening van haar toezichtstaak noodzakelijk zijn;

effectieve bevoegdheden om in te grijpen, zoals bij voorbeeld [...] de bevoegdheid om afscherming, uitwissing of vernietiging van gegevens te gelasten, dan wel een verwerking voorlopig of definitief te verbieden [...]

[...]
Tegen beslissingen van de toezichthoudende autoriteit kan beroep bij de rechter worden aangetekend.
4.
Een ieder kan in eigen persoon of door middel van een vereniging die als zijn vertegenwoordiger optreedt bij elke toezichthoudende autoriteit een verzoek indienen met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van persoonsgegevens. Hij wordt van het gevolg dat daaraan wordt gegeven in kennis gesteld.
[...]”

Verordening (EU) 2016/679

11 Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1) is volgens artikel 99, lid 2 ervan van toepassing met ingang van 25 mei 2018. Overeenkomstig artikel 94, lid 1, van deze verordening is richtlijn 95/46 met ingang van dezelfde datum ingetrokken.

12 Artikel 15 van de verordening heeft als opschrift „Recht van inzage van de betrokkene” en luidt:

„1.
De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens [...]
[...]
3.
De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. [...]
4.
Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.”

13 Artikel 23 van verordening 2016/679 draagt het opschrift „Beperkingen” en bepaalt:

„1.
De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 [...] kan, voor zover de bepalingen van die artikelen overeenstemmen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 20, worden beperkt door middel van Unierechtelijke of lidstaatrechtelijke bepalingen die op de verwerkingsverantwoordelijke of de verwerker van toepassing zijn, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:
[...]

andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;

[...]

de bescherming van de betrokkene of van de rechten en vrijheden van anderen;

[...]”.

Iers recht

14 De Data Protection Act 1988 (wet van 1988 betreffende de gegevensbescherming), zoals gewijzigd bij de Data Protection (Amendment) Act 2003 (wet van 2003 tot de wijziging van de wet betreffende de gegevensbescherming) (hierna: „wet gegevensbescherming”), strekt ertoe richtlijn 95/46 om te zetten in de Ierse rechtsorde. Artikel, lid 1, van deze wet definieert het begrip „persoonsgegevens” als volgt:

„gegevens met betrekking tot een levende persoon die is of kan worden geïdentificeerd aan de hand van ofwel de betrokken gegevens ofwel gegevens gecombineerd met andere inlichtingen die in het bezit van de voor de verwerking van de gegevens verantwoordelijke zijn of kunnen komen”.

15 Artikel 4 van de wet gegevensbescherming regelt het recht op toegang en bepaalt in lid 6, dat specifiek betrekking heeft op verzoeken om toegang tot examenresultaten, het volgende:

Een verzoek van een persoon op grond van lid 1 van dit artikel met betrekking tot de resultaten van een door hem afgelegd examen, wordt voor de toepassing van dit artikel geacht te zijn gedaan op

de datum van de eerste bekendmaking van de examenresultaten, of

de datum van het verzoek,

waarbij de meest recente datum daarvan geldt; [...]

Voor de toepassing van dit artikel wordt onder ‚examen’ verstaan iedere procedure om iemands kennis, intelligentie, vaardigheid of talent vast te stellen aan de hand van diens resultaten in een test, werkstuk of andere activiteit.”

16 Artikel 6 van de wet gegevensbescherming voorziet in het recht op rectificatie en uitwissing van persoonsgegevens waarvan de verwerking niet overeenstemt met deze wet.

17 Artikel 10, lid 1, onder b), i), van de wet gegevensbescherming verplicht de DPC een klacht te onderzoeken „behoudens indien hij van oordeel is dat deze lichtzinnig of vexatoir is”.

Hoofdgeding en prejudiciële vragen

18 Nowak was als stagiair-accountant geslaagd voor het examen van accountancy niveau 1 en voor drie examens van niveau 2, georganiseerd door het Institute of Chartered Accountants of Ireland (beroepsorganisatie van de accountants/belastingadviseurs in Ierland; hierna: „CAI”). Hij was daarentegen niet geslaagd voor het examen „Strategic Finance and Management Accounting” waarin het kandidaten toegestaan was documenten te gebruiken (openboekexamen).

19 Nadat Nowak in de herfst van 2009 voor de vierde maal niet was geslaagd voor dit examen diende hij eerst een klacht in ter betwisting van dit examenresultaat. Nadat deze klacht in maart 2010 werd verworpen diende hij in mei 2010 op grond van artikel 4 van de wet gegevensbescherming een verzoek in om toegang te verkrijgen tot alle hem betreffende persoonsgegevens waarover het CAI beschikte.

20 Het CAI stuurde Nowak bij brief van 1 juni 2010 zeventien documenten toe maar weigerde diens schriftelijk examenwerk vrij te geven, met als argument dat dit geen persoonsgegevens in de zin van de wet gegevensbescherming bevatte.

21 Nowak richtte zich daarop tot de DPC om de gegrondheid te betwisten van de reden die was verstrekt voor de weigering zijn examenwerk vrij te geven. De DPC antwoordde in juni 2010 per e-mail dat „in het algemeen [wat gegevensbescherming betreft] geen rekening wordt gehouden met schriftelijk examenwerk [...] omdat het hierbij doorgaans niet om persoonsgegevens gaat”.

22 Op dit antwoord volgde verdere briefwisseling tussen Nowak en de DPC, die op 1 juli 2010 werd beëindigd toen Nowak een formele klacht indiende.

23 De DPC informeerde Nowak per e-mail van 21 juli 2010 dat hij, na onderzoek van het dossier, geen materiële inbreuk op de wet gegevensbescherming had kunnen vaststellen en dat hij op grond van artikel 10, lid 1, onder b), i), van deze wet, waarin sprake is van lichtzinnige of vexatoire klachten, had besloten om Nowak’s klacht niet te behandelen. De e-mail vermeldde bovendien dat de documenten waarvoor Nowak zijn „recht op rectificatie” wenste uit te oefenen, „geen persoonsgegevens [waren] waarop artikel 6 van de wet gegevensbescherming van toepassing is”.

24 Nowak heeft tegen deze beslissing beroep ingesteld bij de Circuit Court (regionale rechter in eerste aanleg, Ierland). Deze verklaarde het beroep niet-ontvankelijk op grond dat er bij afwezigheid van behandeling van de klacht door de DPC geen beslissing was waartegen beroep kon worden ingesteld. Subsidiair verklaarde de rechter het beroep ongegrond, aangezien het examenwerk geen persoonsgegeven vormde.

25 Tegen dit arrest van de Circuit Court heeft Nowak hoger beroep ingesteld bij de High Court (rechter in eerste aanleg, Ierland), die dat arrest heeft bevestigd. De beslissing van de High Court werd nadien zelf ook bevestigd door de Court of Appeal (rechter in tweede aanleg, Ierland). De Supreme Court (hoogste rechterlijke instantie, Ierland) heeft de hogere voorziening tegen het arrest van de Court of Appeal toegestaan en het beroep van Nowak tegen de beslissing van de DPC ontvankelijk verklaard.

26 Omdat de Supreme Court niettemin twijfels heeft met betrekking tot de vraag of een examenwerk een persoonsgegeven in de zin van richtlijn 95/46 betreft, heeft zij de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

Kunnen gegevens die in of als antwoorden door een kandidaat tijdens een beroepsexamen worden opgeschreven persoonsgegevens zijn in de zin van richtlijn 95/46?

Indien het antwoord op vraag 1 luidt dat alle of sommige van dergelijke gegevens persoonsgegevens kunnen zijn in de zin van richtlijn 95/46, welke factoren zijn dan relevant om te bepalen of in een gegeven geval een examenwerk een persoonsgegeven vormt en welk gewicht dient dan aan deze factoren te worden toegekend?”

Beantwoording van de prejudiciële vragen

27 Met zijn vragen, die samen dienen te worden behandeld, wenst de verwijzende rechter in wezen te vernemen of artikel 2, onder a), van richtlijn 95/46 aldus moet worden uitgelegd dat, in omstandigheden als die in het hoofdgeding, de door een kandidaat geformuleerde schriftelijke antwoorden op een beroepsexamen en de eventuele opmerkingen van de examinator bij deze antwoorden persoonsgegevens zijn in de zin van deze richtlijn.

28 In dit verband dient in herinnering te worden gebracht dat artikel 2, onder a), van richtlijn 95/46 persoonsgegevens definieert als „iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon”. Volgens diezelfde bepaling „[wordt] als identificeerbaar [...] beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit”.

29 Vast staat dat een kandidaat voor een beroepsexamen een natuurlijke persoon is die ofwel direct kan worden geïdentificeerd aan de hand van zijn naam, ofwel indirect aan de hand van zijn identificatienummer, die beide zijn aangebracht op het examenwerk of op de omslag ervan.

30 Anders dan de DPC lijkt te betogen, is de vraag of de examinator de kandidaat al dan niet kan identificeren op het moment van de correctie en markering van het examenwerk irrelevant in dit verband.

31 Het is voor de kwalificatie van een gegeven als „persoonsgegeven” in de zin van artikel 2, onder a), van richtlijn 95/46 immers niet vereist dat alle informatie aan de hand waarvan de betrokkene kan worden geïdentificeerd bij een en dezelfde persoon berust (arrest van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 43 ). Bovendien is het zo dat indien de examinator de identiteit van de kandidaat niet kent op het moment van de markering van de door de kandidaat verstrekte examenantwoorden, de instantie die het examen organiseert – in casu de CAI – wel degelijk over de nodige informatie beschikt die deze instantie toelaat om de kandidaat zonder problemen of twijfels te identificeren aan de hand van het identificatienummer dat op zijn examenwerk of op de omslag ervan is aangebracht, en om zijn antwoorden aan hem toe te schrijven.

32 Nagegaan moet evenwel worden of de door een kandidaat geformuleerde schriftelijke antwoorden op een beroepsexamen en de eventuele opmerkingen van de examinator bij deze antwoorden „informatie” betreffende deze kandidaat vormen in de zin van artikel 2, onder a), van richtlijn 95/46.

33 Zoals het Hof reeds heeft vastgesteld is de werkingssfeer van richtlijn 95/46 zeer ruim en zijn de daarin bedoelde persoonsgegevens van uiteenlopende aard (arrest van 7 mei 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 59 en aldaar aangehaalde rechtspraak).

34 Het gebruik van de woorden „iedere informatie” in de definitie van het begrip „persoonsgegevens” in artikel 2, onder a), van richtlijn 95/46 wijst er immers op dat het de bedoeling van de Uniewetgever was om een ruime betekenis te geven aan dit begrip, dat niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elke soort informatie, zowel objectieve informatie als subjectieve informatie onder de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene „betreft”.

35 Deze laatste voorwaarde is vervuld wanneer die informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon.

36 Zoals Nowak, de Tsjechische, de Helleense, de Hongaarse, de Oostenrijkse en de Portugese regering alsook de Europese Commissie in wezen hebben aangevoerd, vormen de door een kandidaat op een beroepsexamen geformuleerde schriftelijke antwoorden voor hem dergelijke persoonsgebonden informatie.

37 Om te beginnen weerspiegelt de inhoud van deze antwoorden namelijk het niveau van de kennis en de vaardigheden van de kandidaat op een welbepaald gebied, en eventueel ook zijn gedachtegang, oordeel en kritische geest. Bij een schriftelijk examen bevatten de antwoorden bovendien informatie over zijn handschrift.

38 Vervolgens heeft het verzamelen van de voormelde antwoorden tot doel een evaluatie te maken van de beroepsbekwaamheden van de kandidaat en diens geschiktheid om het betrokken beroep uit te oefenen.

39 Tot slot kan het gebruik van deze informatie, dat met name leidt tot het al dan niet slagen van de kandidaat voor het betrokken examen, gevolgen hebben voor zijn rechten en belangen, aangezien het bijvoorbeeld zijn kansen om in aanmerking te komen voor het gewenste beroep of de gewenste functie kan bepalen of beïnvloeden.

40 De vaststelling dat de door een kandidaat geformuleerde schriftelijke antwoorden op een beroepsexamen informatie betreffende deze kandidaat vormen vanwege hun inhoud, doel of gevolg, geldt trouwens evenzeer waar het, zoals in casu, over een openboekexamen gaat.

41 Zoals de advocaat-generaal in punt 24 van haar conclusie heeft opgemerkt, strekt elk examen er immers toe de individuele prestaties van een specifieke persoon, te weten de kandidaat, vast te stellen en te documenteren, en niet om gegevens te verzamelen die losstaan van deze persoon, zoals met name bij een representatieve enquête.

42 Wat de opmerkingen van de examinator bij de examenantwoorden van de kandidaat betreft, moet worden vastgesteld dat deze, net als de antwoorden van de kandidaat, informatie betreffende deze laatste vormen.

43 De strekking van de opmerkingen van de examinator geeft immers zijn mening of beoordeling weer betreffende de individuele prestaties van de kandidaat tijdens het examen, en meer bepaald betreffende diens kennis en vaardigheden op het betrokken gebied. Die opmerkingen hebben overigens juist tot doel om de evaluatie door de examinator van de prestaties van de kandidaat vast te leggen, en kunnen voor deze laatste effecten sorteren, zoals in punt 40 van dit arrest is uiteengezet.

44 Dat de opmerkingen van de examinator bij de door de kandidaat geformuleerde examenantwoorden tevens informatie betreffende de examinator zelf opleveren, doet niet af aan de vaststelling dat deze opmerkingen informatie vormen die, vanwege hun inhoud, doel en gevolg, gelieerd is aan die kandidaat.

45 Eenzelfde informatie kan namelijk meerdere natuurlijke personen betreffen en voor hen een persoonsgegeven vormen in de zin van artikel 2, onder a), van richtlijn 95/46, op voorwaarde dat deze personen geïdentificeerd of identificeerbaar zijn.

46 Bovendien mag de kwalificatie als persoonsgegevens van de door de kandidaat op een beroepsexamen geformuleerde schriftelijke antwoorden en van de eventuele opmerkingen van de examinator bij deze antwoorden, anders dan de DPC en de Ierse regering aanvoeren, niet worden beïnvloed door de omstandigheid dat de kandidaat door die kwalificatie in beginsel volgens artikel 12, onder a) en b), van richtlijn 95/46 recht op toegang en op rectificatie verkrijgt.

47 In dit verband moet er allereerst aan worden herinnerd dat, zoals de Commissie ter terechtzitting heeft aangegeven, tal van de in richtlijn 95/46 vastgelegde beginselen en waarborgen gepaard gaan met die kwalificatie en daaruit voortvloeien.

48 Zo blijkt namelijk uit overweging 25 van richtlijn 95/46 dat de in de richtlijn vastgelegde beginselen inzake bescherming enerzijds tot uiting komen in de verplichtingen die aan degenen die de verwerkingen uitvoeren worden opgelegd, welke verplichtingen met name betrekking hebben op de kwaliteit van de gegevens, de technische beveiliging, de aanmelding bij de toezichthoudende autoriteit en de omstandigheden waarin de verwerking kan worden uitgevoerd, en anderzijds in het feit dat aan personen wier gegevens het voorwerp van verwerkingen zijn, het recht wordt verleend om daarvan in kennis te worden gesteld, tot die gegevens toegang te krijgen, de rectificatie ervan te verlangen en zelfs om zich in bepaalde omstandigheden tegen verwerking te verzetten.

49 Bijgevolg zou het niet-kwalificeren als „persoonsgegevens” van informatie betreffende een kandidaat die vervat zit in zijn antwoorden op een beroepsexamen en in de opmerkingen van de examinator bij deze antwoorden, die informatie volledig onttrekken aan de bescherming van de beginselen en waarborgen inzake persoonsgegevens, meer bepaald aan de in de artikelen 6 en 7 neergelegde beginselen betreffende de kwaliteit van die gegevens en de toelaatbaarheid van hun verwerking, alsook aan de in de artikelen 12 en 14 van die richtlijn voorziene rechten van toegang, rectificatie en verzet van de betrokkene en aan het toezicht dat de toezichthoudende autoriteit uitoefent krachtens artikel 28 van de voornoemde richtlijn.

50 Bovendien staat vast dat, zoals de advocaat-generaal in punt 26 van haar conclusie heeft opgemerkt, een examenkandidaat op basis van de bescherming van zijn privésfeer een gerechtvaardigd belang heeft om zich te kunnen verzetten tegen de verwerking van zijn examenantwoorden en van de opmerkingen van de examinator bij deze antwoorden buiten de examenprocedure om, en in het bijzonder tegen mededeling aan derden of publicatie ervan, zonder zijn toestemming. Evenzo is de instantie die het examen organiseert als verantwoordelijke voor de verwerking gehouden ervoor te zorgen dat die antwoorden en opmerkingen op zodanige wijze worden bewaard dat derden er geen onrechtmatige toegang toe hebben.

51 Voorts dient te worden vastgesteld dat de rechten van toegang en van rectificatie waarin artikel 12, onder a) en b), van richtlijn 95/46 voorziet, ook gerechtvaardigd kunnen zijn met betrekking tot de door de kandidaat geformuleerde schriftelijke antwoorden op een beroepsexamen en op de eventuele opmerkingen van de examinator hierbij.

52 Stellig staat het in artikel 12, onder b), van richtlijn 95/46 voorziene recht op rectificatie een kandidaat vanzelfsprekend niet toe om „foute” antwoorden achteraf te „rectificeren”.

53 Zoals uit artikel 6, lid 1, onder d), van richtlijn 95/46 blijkt, moeten de nauwkeurigheid en de volledigheid van persoonsgegevens immers worden beoordeeld uitgaande van de doeleinden waarvoor zij worden verzameld. Bij examenantwoorden van een kandidaat bestaat dit doel erin het niveau van de kennis en de vaardigheden van de kandidaat te evalueren op de datum van het examen. Dat niveau blijkt juist uit eventuele fouten in zijn antwoorden. Dergelijke fouten zijn echter geenszins onnauwkeurigheden in de zin van richtlijn 95/46 die aanleiding zouden geven tot een recht op rectificatie krachtens artikel 12, onder b) van deze richtlijn.

54 Het is evenwel denkbaar dat zich situaties voordoen waarin de examenantwoorden van een kandidaat en de opmerkingen van de examinator bij deze antwoorden onnauwkeurig zijn in de zin van artikel 6, lid 1, onder d), van richtlijn 95/46 omdat, bijvoorbeeld, examenkopieën per vergissing zijn verwisseld zodat de antwoorden van een andere kandidaat zijn toegerekend aan de betrokken kandidaat, of omdat een deel van de examenbladen met inbegrip van antwoorden van deze kandidaat verloren is gegaan zodat deze antwoorden onvolledig zijn, of nog omdat de eventuele opmerkingen van de examinator diens evaluatie van de antwoorden van de betrokken kandidaat niet correct weergeven.

55 Het is trouwens niet uitgesloten, zoals de advocaat-generaal in punt 37 van haar conclusie heeft opgemerkt, dat een kandidaat op grond van artikel 12, onder b), van richtlijn 95/46 het recht heeft om de voor de verwerking verantwoordelijke te verzoeken om zijn examenantwoorden en de opmerkingen van de examinator bij deze antwoorden na verloop van een zekere periode uit te wissen, dat wil zeggen te vernietigen. Artikel 6, lid 1, onder e), van deze richtlijn bepaalt immers dat de persoonsgegevens – in een vorm die het mogelijk maakt de betrokkenen te identificeren – in beginsel niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is. Rekening houdend met het doel van de examenantwoorden van een kandidaat en de opmerkingen van de examinator bij deze antwoorden, lijkt de bewaring ervan in een vorm die het mogelijk maakt de kandidaat te identificeren a priori niet langer nodig zodra de examenprocedure definitief is afgesloten en er in deze procedure geen betwisting meer mogelijk is zodat die antwoorden en opmerkingen hun bewijskracht dan hebben verloren.

56 Aangezien de door een kandidaat geformuleerde schriftelijke antwoorden op een beroepsexamen en de eventuele opmerkingen van de examinator bij deze antwoorden aldus kunnen worden getoetst op inzonderheid hun nauwkeurigheid en de noodzaak om te worden bewaard in de zin van artikel 6, lid 1, onder d) en e), van richtlijn 95/46, alsook het voorwerp kunnen uitmaken van een rectificatie of uitwissing uit hoofde van artikel 12, onder b), van de richtlijn, moet worden vastgesteld dat het verlenen van een recht op toegang tot die antwoorden en opmerkingen krachtens artikel 12, onder a), van deze richtlijn, het doel van die richtlijn dient, dat erin bestaat de bescherming te garanderen van het recht op persoonlijke levenssfeer van de kandidaat in verband met de verwerking van zijn persoonsgegevens (zie, a contrario, arrest van 17 juli 2014, YS e.a., C‑141/12 en C‑372/12, EU:C:2014:2081, punten 45 en 46 ), ongeacht of die kandidaat een dergelijk recht op toegang heeft krachtens de op de examenprocedure van toepassing zijnde nationale wetgeving.

57 In dit verband zij eraan herinnerd dat de bescherming van het grondrecht op eerbiediging van het privéleven onder meer inhoudt dat elke natuurlijke persoon zich ervan kan vergewissen dat zijn persoonsgegevens nauwkeurig zijn en rechtmatig worden verwerkt. Zoals uit overweging 41 van richtlijn 95/46 blijkt, beschikt de betrokkene, teneinde de nodige controles te kunnen verrichten, volgens artikel 12, onder a), van deze richtlijn over het recht om toegang te verkrijgen tot de hem betreffende gegevens die het voorwerp van een verwerking vormen. Dit recht op toegang is met name noodzakelijk om de betrokkene toe te laten om in voorkomend geval van de verwerkingsverantwoordelijke de rectificatie, uitwissing of afscherming van die gegevens te verkrijgen, en bijgevolg het in artikel 12, onder b), van die richtlijn bedoelde recht uit te oefenen (arrest van 17 juli 2014, YS e.a., C‑141/12 en C‑372/12, EU:C:2014:2081, punt 44 en aldaar aangehaalde rechtspraak).

58 Tot slot moet enerzijds worden vastgesteld dat de rechten van toegang en van rectificatie die aan artikel 12, onder a) en b), van richtlijn 95/46 kunnen worden ontleend, zich niet uitstrekken tot de examenvragen, aangezien deze als zodanig geen persoonsgegevens van de kandidaat vormen.

59 Anderzijds voorzien zowel richtlijn 95/46 als verordening 2016/679, die de richtlijn vervangt, in bepaalde beperkingen van die rechten.

60 Zo kunnen de lidstaten krachtens artikel 13, lid 1, onder g), van richtlijn 95/46 wettelijke maatregelen treffen ter beperking van de reikwijdte van de onder meer in artikel 6, lid 1, en artikel 12 van die richtlijn bedoelde rechten en plichten, indien dit noodzakelijk is ter vrijwaring van de rechten en vrijheden van anderen.

61 Artikel 23, lid 1, onder e), van verordening 2016/679 breidt de lijst van beperkingsgronden, die thans in artikel 13, lid 1, van richtlijn 95/46 is opgenomen, uit met „andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat”. Bovendien bepaalt artikel 15 van verordening 2016/679, dat het recht van inzage van de betrokkene regelt, in lid 4 ervan dat het recht om een kopie te verkrijgen van de persoonsgegevens geen afbreuk mag doen aan de rechten en vrijheden van anderen.

62 Gelet op een en ander moet op de gestelde vragen worden geantwoord dat artikel 2, onder a), van richtlijn 95/46 aldus moet worden uitgelegd dat, in omstandigheden als die van het hoofdgeding, de door de kandidaat geformuleerde schriftelijke antwoorden op een beroepsexamen en de eventuele opmerkingen van de examinator bij deze antwoorden, persoonsgegevens in de zin van die bepaling vormen.

Kosten

63 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Tweede kamer) verklaart voor recht:

Artikel 2, onder a), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, moet aldus worden uitgelegd dat, in omstandigheden als die van het hoofdgeding, de door de kandidaat geformuleerde schriftelijke antwoorden op een beroepsexamen en de eventuele opmerkingen van de examinator bij deze antwoorden, persoonsgegevens in de zin van die bepaling zijn.

ondertekeningen