Het Europese hof heeft een uitspraak gedaan die niet alleen van belang is voor advertentiebedrijven.

Feiten
Het betreft de uitspraak in de zaak van het Oostenrijkse postbedrijf in een zaak die aanhangig is gemaakt door iemand die ‘RW’ wordt genoemd. RW heeft aan het postbedrijf gevraagd om inzage van de door het bedrijf inzake hem opgeslagen persoonsgegevens en het verzocht om hem informatie te verstrekken over wie de ontvangers daarvan waren, voor het geval dat deze gegevens aan derden zijn meegedeeld. De Österreichische Post deelde aan RW dat zij als uitgever van telefoongidsen gebruik maakt van zijn persoonsgegevens en dat hij die persoonsgegevens voor marketingdoeleinden aanbiedt aan zakelijke klanten. Het postbedrijf heeft RW niet meegedeeld wie de concrete ontvangers van de gegevens waren.
Daar was RW het niet mee eens. Hij heeft een procedure aanhangig gemaakt en is bij de hoogste Oostenrijkse federale rechter (het Oberste Gerichtshof) beland die aan het Europese hof prejudiciële vragen heeft gesteld.

Het inzagerecht van artikel 15 lid 1 AVG
Deze zaak ging om de uitleg van artikel 15 lid 1 sub c AVG:

Artikel 15
Recht van inzage van de betrokkene
1.   De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. (…)

Overwegingen van het Europese hof
Het hof overweegt dat de bepaling inzake inzage in de AVG moet wordt gelezen in het licht van het doel van de bepaling, nl. dat betrokkene in staat moet zijn na te gaan of zijn persoonsgegevens rechtmatig worden verwerkt en of de gegevens juist zijn, iets wat alleen mogelijk is als de ontvanger bekend is. Zie overwegingen 37-39:

37 In de vierde plaats heeft het Hof reeds geoordeeld dat de uitoefening van dit recht van inzage de betrokkene in staat moet stellen niet alleen na te gaan of de hem betreffende gegevens juist zijn, maar ook of deze rechtmatig worden verwerkt (zie naar analogie arresten van 17 juli 2014, YS e.a., C‑141/12 en C‑372/12, EU:C:2014:2081, punt 44, en 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 57), met name of zij zijn meegedeeld aan bevoegde ontvangers (zie naar analogie arrest van 7 mei 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 49).
38 Dit recht van inzage is met name noodzakelijk om de betrokkene toe te laten in voorkomend geval een aantal rechten uit te oefenen, namelijk zijn recht op rectificatie van gegevens, op gegevenswissing („recht op vergetelheid”), en op beperking van de verwerking uit te oefenen, die hem respectievelijk door de artikelen 16, 17 en 18 AVG zijn toegekend (zie naar analogie arresten van 17 juli 2014, YS e.a., C‑141/12 en C‑372/12, EU:C:2014:2081, punt 44, en 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 57), alsook zijn in artikel 21 AVG neergelegde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens en zijn in de artikelen 79 en 82 AVG neergelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt (zie naar analogie arrest van 7 mei 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 52).
39 Teneinde de nuttige werking te waarborgen van alle rechten die in het vorige punt van het onderhavige arrest zijn vermeld, dient de betrokkene in het bijzonder te beschikken over het recht om te weten wie de concrete ontvangers van zijn persoonsgegevens waren, wanneer deze gegevens reeds aan derden zijn meegedeeld.

Dat betekent dat de betrokkene recht heeft te weten aan wie de persoonsgegevens zijn verstrekt:

41 Aldus verleent artikel 19, tweede volzin, AVG de betrokkene uitdrukkelijk het recht om door de verwerkingsverantwoordelijke te worden geïnformeerd over de concrete ontvangers van de hem betreffende gegevens, in het kader van de verplichting van deze laatste om alle ontvangers te informeren over de uitoefening van de rechten waarover deze persoon op grond van artikel 16, artikel 17, lid 1, en artikel 18 AVG beschikt.

Op dit uitgangspunt zijn uitzonderingen mogelijk (overwegingen 48 en 49). Het is aan de Oostenrijkse rechter om te beoordelen of dat in deze zaak het geval is.

De conclusie van het hof luidt daarom:

Het Hof (Eerste kamer) verklaart voor recht:

Artikel 15, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

moet aldus worden uitgelegd dat

het in die bepaling bedoelde recht van de betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, meebrengt dat de verwerkingsverantwoordelijke, wanneer die gegevens aan ontvangers zijn of zullen worden verstrekt, verplicht is om aan de betrokkene de identiteit van deze ontvangers mee te delen, tenzij het onmogelijk is om die ontvangers te identificeren of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12, lid 5, verordening 2016/679, in welke gevallen de verwerkingsverantwoordelijke alleen de categorieën van de betreffende ontvangers hoeft mee te delen aan die betrokkene.

Betekenis voor andere situaties
Deze uitspraak is niet alleen relevant voor advertentiebedrijven, ook al ging het hier om verkoop van persoonsgegevens door de Oostenrijkse post voor marketingdoelen.

In de praktijk worden er door allerlei bedrijven persoonsgegevens aan derden verschaft, zonder dat de betrokkenen worden geïnformeerd, terwijl dit op grond van artikel 14 lid 1 AVG (te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen) verplicht is. De enige manier voor betrokkene om er achter te komen wie zijn persoonsgegevens hebben ontvangen, is door aan het bedrijf (zoals het postbedrijf, het telecombedrijf) op basis van artikel 15 lid 1 sub c AVG te geven aan wie de persoonsgegevens zijn verstrekt.

Deze problematiek kan ook spelen bij data handelaren die persoonsgegevens verzamelen en verkopen in verband met kredietbeoordeling en criminaliteitsbestrijding (‘witwasbestrijding’).

Ubo-register-regelgeving
Deze uitspraak kan ook relevant zijn voor de Europese en nationale ubo-register-regelgeving, aangezien deze regelgeving aan de vereisten van de AVG, het Europees Handvest en het EVRM dient te voldoen. In die regelgeving wordt er van uitgegaan dat private partijen en personen informatie kunnen krijgen uit het ubo-register, zonder dat de ubo mag weten bij wie zijn persoonsgegevens zijn beland.

Anders gezegd: de ubo heeft volgens de ubo-register-regels niet de basisrechten om te worden geïnformeerd door de derde die zijn persoonsgegevens verwerkt (artikel 14 lid 1 AVG) en kan ook niet bij de houder van het register opvragen aan wie zijn gegevens zijn verstrekt (artikel 15 lid 1 sub c AVG). Die ubo heeft echter hetzelfde belang als iedere burger bij transparantie, zodat hij kan verifiëren of zijn persoonsgegevens op goede gronden worden verwerkt en of de gegevens juist zijn.

Meer informatie:

• Uitspraak van 12 januari 2023 inzake de Österreichische Post, zaak C-154/21, persbericht (Engelstalig), Nederlandstalige versie van de uitspraak, overzichtspagina bij het hof.
• Artikel Binnenlands Bestuur, EU-hof: burger mag weten wie zijn data ontvangt, 13 januari 2023.