Arrest van het Hof (Eerste kamer) van 4 mei 2023

Eerste tot en met derde prejudiciële vraag

18 Met de eerste tot en met de derde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of artikel 15, lid 3, eerste volzin, AVG, gelezen in het licht van het in artikel 12, lid 1, van deze verordening neergelegde transparantiebeginsel, aldus moet worden uitgelegd dat het recht om een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, impliceert dat aan de betrokkene niet alleen een kopie van die gegevens wordt verstrekt, maar ook een kopie van uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer die gegevens bevatten. In het bijzonder vraagt deze rechter zich af wat de draagwijdte van dit recht is.

19 Vooraf moet in herinnering worden gebracht dat volgens vaste rechtspraak van het Hof voor de uitlegging van een bepaling van Unierecht niet alleen rekening moet worden gehouden met de bewoordingen van die bepaling in overeenstemming met de in de omgangstaal gebruikelijke betekenis ervan, maar ook met de context ervan en de doelstellingen van de regeling waarvan zij deel uitmaakt [zie in die zin arresten van 2 december 2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, punt 19 en aldaar aangehaalde rechtspraak, en  7 september 2022, Staatssecretaris van Justitie en Veiligheid (Aard van het verblijfsrecht op grond van artikel 20 VWEU), C‑624/20, EU:C:2022:639, punt 28 ].

20 Wat de bewoordingen van artikel 15, lid 3, eerste volzin, AVG betreft, geeft deze bepaling aan dat de verwerkingsverantwoordelijke „de betrokkene een kopie [verstrekt] van de persoonsgegevens die worden verwerkt”.

21 Aangezien de AVG geen definitie bevat van het aldus gebruikte begrip „kopie”, dient daarvoor te rade te worden gegaan bij de gebruikelijke betekenis van deze term die, zoals de advocaat-generaal in punt 30 van zijn conclusie heeft opgemerkt, verwijst naar de getrouwe reproductie of transcriptie van een origineel, zodat een zuiver algemene beschrijving van de gegevens die worden verwerkt of een verwijzing naar categorieën persoonsgegevens niet aan die definitie voldoet. Bovendien blijkt uit de bewoordingen van artikel 15, lid 3, eerste volzin, van deze verordening dat de verplichting tot mededeling betrekking heeft op de persoonsgegevens die het voorwerp van de betrokken verwerking vormen.

22 Artikel 4, punt 1, AVG definieert het begrip „persoonsgegevens” als „alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon” en verduidelijkt dat „als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”.

23 Het gebruik van de woorden „alle informatie” in de definitie van het begrip „persoonsgegevens” in deze bepaling wijst op de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, dat zich potentieel uitstrekt tot elk soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene „betreft” (zie naar analogie arrest van 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 34 ).

24 Dienaangaande is reeds geoordeeld dat informatie betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon wanneer zij wegens haar inhoud, doel of gevolg verband houdt met een identificeerbare persoon (zie in die zin arrest van 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 35 ).

25 Wat de „identificeerbaarheid” van een natuurlijke persoon betreft, verduidelijkt overweging 26 AVG dat rekening moet worden gehouden met „alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken”.

26 Zoals de advocaat-generaal in de punten 36 tot en met 39 van zijn conclusie in wezen heeft opgemerkt, omvat de ruime definitie van het begrip „persoonsgegevens” dus niet alleen de door de verwerkingsverantwoordelijke verzamelde en bewaarde gegevens, maar ook alle informatie die voortvloeit uit een verwerking van persoonsgegevens betreffende een geïdentificeerde of identificeerbare persoon, zoals de beoordeling van zijn solvabiliteit of betalingsbereidheid.

27 In deze context dient daaraan te worden toegevoegd dat de Uniewetgever aan het begrip „verwerking”, zoals gedefinieerd in artikel 4, lid 2, AVG, een ruime strekking heeft willen geven door gebruik te maken van een niet-uitputtende lijst van handelingen [zie in die zin arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punt 35 ].

28 Uit de tekstuele analyse van artikel 15, lid 3, eerste volzin, AVG blijkt bijgevolg dat deze bepaling de betrokkene het recht verleent om een getrouwe reproductie te verkrijgen van zijn – in ruime zin opgevatte – persoonsgegevens die door de verwerkingsverantwoordelijke zijn bewerkt op een manier die als verwerking moet worden aangemerkt.

29 Vastgesteld moet echter worden dat de eerste drie vragen niet kunnen worden beantwoord aan de hand van enkel de bewoordingen van deze bepaling, aangezien deze geen enkele aanwijzing bevatten over een mogelijk recht om niet alleen een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, maar ook een kopie van uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer deze gegevens bevatten.

30 Wat de context van artikel 15, lid 3, eerste volzin, AVG betreft, moet worden opgemerkt dat artikel 15 AVG, met als opschrift „Recht van inzage van de betrokkene”, in lid 1 ervan het voorwerp en de werkingssfeer van het aan de betrokkene toegekende recht van inzage omschrijft en daarin het recht van de betrokkene vastlegt om van de verwerkingsverantwoordelijke inzage te verkrijgen in zijn persoonsgegevens en de in de punten a) tot en met h) van dat lid bedoelde informatie.

31 Artikel 15, lid 3, AVG verduidelijkt op welke wijze de op de verwerkingsverantwoordelijke rustende verplichting in de praktijk moet worden nagekomen, door met name in de eerste volzin te specificeren in welke vorm deze verantwoordelijke de „persoonsgegevens die worden verwerkt” moet verstrekken, te weten in de vorm van een „kopie”. Voorts wordt in de derde volzin van dit lid bepaald dat de informatie in gangbare elektronische vorm wordt verstrekt wanneer het verzoek elektronisch wordt ingediend en de betrokkene niet om een andere regeling verzoekt.

32 Artikel 15 AVG kan dus niet worden uitgelegd als zou het in lid 3, eerste volzin, voorzien in een recht dat losstaat van het in lid 1 bedoelde recht. Zoals de Europese Commissie in haar schriftelijke opmerkingen heeft opgemerkt, verwijst de term „kopie” bovendien niet naar een document als zodanig, maar naar de persoonsgegevens die het bevat en die volledig moeten zijn. De kopie moet dus alle persoonsgegevens bevatten die worden verwerkt.

33 Wat de door artikel 15 AVG nagestreefde doelstellingen betreft, moet worden opgemerkt dat de AVG, zoals overweging 11 ervan verduidelijkt, tot doel heeft de rechten van betrokkenen te versterken en nader te omschrijven. In dit verband voorziet artikel 15 van deze verordening in een recht om een kopie te verkrijgen, in tegenstelling tot artikel 12, onder a), tweede streepje, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31), dat enkel voorzag in een recht op „verstrekking, in begrijpelijke vorm, van de gegevens die zijn verwerkt”. Volgens overweging 63 AVG moet „[e]en betrokkene […] het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren”.

34 Het in artikel 15 AVG neergelegde recht van inzage moet de betrokkene dus in staat stellen zich ervan te vergewissen dat de hem betreffende persoonsgegevens juist zijn en rechtmatig worden verwerkt [zie in die zin arrest van 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens), C‑154/21, EU:C:2023:3, punt 37 en aldaar aangehaalde rechtspraak].

35 Dit recht van inzage is met name noodzakelijk om de betrokkene toe te laten om in voorkomend geval een aantal rechten uit te oefenen, namelijk zijn recht op rectificatie van gegevens, op gegevenswissing („recht op vergetelheid”), en op beperking van de verwerking, die hem respectievelijk worden toegekend door de artikelen 16, 17 en 18 AVG, alsook zijn in artikel 21 AVG vastgestelde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens en zijn in de artikelen 79 en 82 AVG neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt [arrest van 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens), C‑154/21, EU:C:2023:3, punt 38 en aldaar aangehaalde rechtspraak].

36 Tevens dient erop te worden gewezen dat in overweging 60 AVG staat te lezen dat overeenkomstig de beginselen van behoorlijke en transparante verwerking de betrokkene op de hoogte moet worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan, waarbij moet worden benadrukt dat de verwerkingsverantwoordelijke de nadere informatie dient te verstrekken die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt.

37 Voorts moet overeenkomstig het door de verwijzende rechter genoemde transparantiebeginsel waarnaar overweging 58 AVG verwijst en dat uitdrukkelijk is neergelegd in artikel 12, lid 1, van deze verordening, alle informatie die bestemd is voor de betrokkene beknopt, eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal worden gebruikt.

38 Zoals de advocaat-generaal in de punten 54 en 55 van zijn conclusie heeft opgemerkt, volgt uit deze laatste bepaling dat de verwerkingsverantwoordelijke passende maatregelen moet nemen opdat de betrokkene alle informatie, waaronder de in artikel 15 AVG bedoelde informatie, in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, en dat de informatie schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, moet worden verstrekt, tenzij de betrokkene erom verzoekt dat de informatie mondeling wordt meegedeeld. Deze bepaling, die uitdrukking geeft aan het transparantiebeginsel, beoogt te waarborgen dat de betrokkene de informatie die hem wordt verstrekt volledig kan begrijpen.

39 Hieruit volgt dat de kopie van de persoonsgegevens die worden verwerkt en die de verwerkingsverantwoordelijke krachtens artikel 15, lid 3, eerste volzin, AVG moet verstrekken, alle noodzakelijke kenmerken moet vertonen om de betrokkene in staat te stellen de rechten die hij aan deze verordening ontleent daadwerkelijk uit te oefenen. Deze kopie moet deze gegevens dus volledig en getrouw reproduceren.

40 Deze uitlegging strookt met de doelstelling van deze verordening die er – zoals uit overweging 10 ervan blijkt – met name in bestaat een consistent en hoog niveau van bescherming van natuurlijke personen binnen de Unie te waarborgen en te dien einde te zorgen voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en fundamentele vrijheden van die personen in verband met de verwerking van persoonsgegevens (zie in die zin arrest van 9 februari 2023, X-FAB Dresden, C‑453/21, EU:C:2023:79, punt 25 en aldaar aangehaalde rechtspraak).

41 Om te waarborgen dat de aldus verstrekte informatie gemakkelijk te begrijpen is, zoals vereist in artikel 12, lid 1, AVG, gelezen in samenhang met overweging 58 van deze verordening, kan het immers onontbeerlijk zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer de persoonsgegevens bevatten die worden verwerkt, worden gereproduceerd wanneer, zoals de advocaat-generaal in de punten 57 en 58 van zijn conclusie heeft opgemerkt, het in hun context plaatsen van de verwerkte gegevens noodzakelijk is om de begrijpelijkheid ervan te waarborgen.

42 Wanneer met name persoonsgegevens worden gegenereerd op basis van andere gegevens of wanneer dergelijke gegevens voortvloeien uit open tekstvelden, dit wil zeggen wanneer geen data over de betrokkene worden verstrekt en uit deze lacune informatie over de betrokkene valt af te leiden, is de context waarin deze gegevens worden verwerkt een onontbeerlijk element om de betrokkene in staat te stellen op transparante wijze inzage te krijgen in die gegevens en er een begrijpelijk beeld van te krijgen.

43 Daarnaast mag het in lid 3 bedoelde recht om een kopie te verkrijgen krachtens artikel 15, lid 4, AVG, gelezen in samenhang met overweging 63 van deze verordening, geen afbreuk doen aan de rechten en vrijheden van anderen, waaronder bedrijfsgeheimen of intellectuele eigendom, in het bijzonder het auteursrecht dat software beschermt.

44 Zoals de advocaat-generaal in punt 61 van zijn conclusie heeft benadrukt, moeten in geval van strijdigheid tussen enerzijds de volledige uitoefening van het recht van inzage van de persoonsgegevens en anderzijds de rechten of vrijheden van anderen de betrokken rechten tegen elkaar worden afgewogen. Voor zover mogelijk moet ervoor worden gekozen de persoonsgegevens te verstrekken op een wijze die geen afbreuk doet aan de rechten of vrijheden van anderen. Daarbij moet er rekening mee worden gehouden dat, zoals blijkt uit overweging 63 van de AVG, deze overwegingen er niet toe mogen „leiden dat de betrokkene alle informatie wordt onthouden”.

45 Gelet op een en ander moet op de eerste tot en met de derde prejudiciële vraag worden geantwoord dat artikel 15, lid 3, eerste volzin, AVG

aldus moet worden uitgelegd dat

het recht om van de verwerkingsverantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, inhoudt dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Dit recht omvat het recht om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen, waarbij moet worden benadrukt dat daarbij ook rekening moet worden gehouden met de rechten en vrijheden van anderen.

Vierde prejudiciële vraag

46 Met deze vraag wenst de verwijzende rechter in wezen te vernemen of artikel 15, lid 3, derde volzin, AVG aldus moet worden uitgelegd dat het daarin bedoelde begrip „informatie” uitsluitend betrekking heeft op persoonsgegevens waarvan de verwerkingsverantwoordelijke overeenkomstig de eerste volzin van dat lid een kopie moet verstrekken, dan wel of het ook verwijst naar alle in lid 1 van dat artikel genoemde informatie, of zelfs meer gegevens omvat, zoals metagegevens.

47 Zoals in punt 19 van het onderhavige arrest in herinnering is gebracht, moet bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening worden gehouden met de bewoordingen van die bepaling, maar ook met de context ervan en de doelstellingen van de regeling waarvan zij deel uitmaakt.

48 In dit verband bepaalt artikel 15, lid 3, derde volzin, AVG weliswaar louter dat „[w]anneer de betrokkene zijn verzoek elektronisch indient, […] de informatie in een gangbare elektronische vorm [wordt] verstrekt”, zonder dat wordt verduidelijkt wat onder „informatie” moet worden verstaan, maar de eerste volzin van dat lid geeft aan dat „[d]e verwerkingsverantwoordelijke […] de betrokkene een kopie [verstrekt] van de persoonsgegevens die worden verwerkt”.

49 Uit de context van artikel 15, lid 3, derde volzin, AVG volgt dus dat de daarin bedoelde „informatie” noodzakelijkerwijs betrekking heeft op persoonsgegevens waarvan de verwerkingsverantwoordelijke overeenkomstig de eerste volzin van dat lid een kopie moet verstrekken.

50 Een dergelijke uitlegging wordt bevestigd door de doelstelling van artikel 15, lid 3, AVG, die, zoals in punt 31 van het onderhavige arrest in herinnering is gebracht, erin bestaat vast te stellen op welke wijze de op de verwerkingsverantwoordelijke rustende verplichting om een kopie te verstrekken van de persoonsgegevens die worden verwerkt, moet worden uitgevoerd in de praktijk. Deze bepaling roept derhalve geen recht in het leven dat verschilt van het aan de betrokkene verleende recht om een getrouwe en begrijpelijke reproductie van die gegevens te verkrijgen dat hem in staat stelt de hem door die verordening toegekende rechten daadwerkelijk uit te oefenen.

51 Daarbij zij opgemerkt dat geen enkele bepaling van die verordening een verzoek verschillend behandelt naargelang de vorm waarin dit wordt ingediend, zodat de omvang van het recht om een kopie te verkrijgen niet kan verschillen naargelang van die vorm.

52 Bovendien moet er ook op worden gewezen dat artikel 12, lid 3, AVG bepaalt dat wanneer het verzoek elektronisch wordt ingediend, de in dat artikel 15 bedoelde informatie, met inbegrip van de in de punten a) tot en met h) van lid 1 van dit artikel bedoelde informatie, elektronisch wordt verstrekt, tenzij de betrokkene anderszins verzoekt.

53 Gelet op een en ander moet op de vierde prejudiciële vraag worden geantwoord dat artikel 15, lid 3, derde volzin, AVG aldus moet worden uitgelegd dat het daarin bedoelde begrip „informatie” uitsluitend betrekking heeft op persoonsgegevens waarvan de verwerkingsverantwoordelijke een kopie moet verstrekken op grond van de eerste volzin van dat lid.

Kosten

54 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.