LISA Groningen

Over anderhalve maand is de Algemene Verordening Gegevensbescherming (hierna: AVG) al zes jaar van kracht in de hele Europese Unie.[1] Hoewel het bewustzijn onder Nederlanders over het belang van privacy is toegenomen, geeft bijna de helft van hen aan zich meer zorgen te maken over privacy en de verwerking van hun persoonsgegevens in vergelijking met vijf jaar geleden.[2] Om meer inzicht te bieden in welke vormen het verstrekken van persoonsgegevens onder de AVG vallen, wil ik u in dit blog graag wijzen op een recente ontwikkeling met betrekking tot de mondelinge verstrekking van persoonsgegevens en de verwerking ervan onder de AVG. Aanleiding van deze ontwikkeling is een recente uitspraak van het Hof van Justitie (hierna: Hof), waarin antwoord werd gegeven op prejudiciële vragen van een Finse rechter.[3]

De zaak Endemol Shine Oy

De Finse rechter behandelde in hoger beroep het verzoek van de Finse vennootschap Endemol Shine Oy. In eerste aanleg verzocht de vennootschap de rechter mondelinge informatie te verstrekken over mogelijk afgesloten of lopende strafzaken van een natuurlijke persoon. De rechter oordeelde dat deze informatie niet aan de vennootschap kon worden verstrekt, omdat het niet viel onder een van de gronden voor de verwerking van strafvonnissen of delicten zoals genoemd in de AVG. Echter, was de vennootschap het niet eens met deze uitspraak en ging in hoger beroep. In hoger beroep betoogde de vennootschap dat het voldoen aan het verzoek tot het verstrekken van informatie geen verwerking van persoonsgegevens zou zijn in de zin van artikel 4, punt 2, AVG. Daarop besloot de rechter in hoger beroep deze kwestie voor te leggen aan het Hof. De prejudiciële vraag luidde als volgt:

‘Vormt het mondeling verstrekken van persoonsgegevens een verwerking van persoonsgegevens in de zin van artikel 2 lid 1, en artikel 4, punt 2, AVG'?[4]

De uitspraak van het Hof

Om direct tot de kern van de zaak te komen: ja, volgens het Hof kan de mondelinge overdracht van persoonsgegevens worden beschouwd als verwerking van persoonsgegevens in de zin van artikel 2 lid 1, en artikel 4, punt 2 AVG. Het antwoord hierop is wellicht onverwachts. Zo is de algemene gedachte dat puur mondelinge overdracht van persoonsgegevens geen verwerking is in de zin van AVG. Vooral wanneer men kijkt naar de ‘Handleiding Algemene Gegevensbescherming’ (hierna: handleiding), die is uitgegeven in opdracht van het Ministerie van Justitie en Veiligheid.[5] In paragraaf 3.3. van de handleiding staat het volgende: 

‘Puur mondelinge overdracht van gegevens is ook geen verwerking van persoonsgegevens’.

Het vastleggen van de uitkomsten van een gesprek werd echter al beschouwd als verwerking van persoonsgegevens. Zo wordt volgens de handleiding in de meeste gevallen de inhoud van het gesprek gedocumenteerd, waardoor dit resulteert in een verwerking van persoonsgegevens die valt onder de AVG. Als voorbeeld wordt het volgende scenario aangehaald: ‘Een hulpverlener die met een collega mondeling de situatie van een cliënt bespreekt, verwerkt geen persoonsgegevens. Echter, als de diagnose of het plan van aanpak vervolgens wordt vastgelegd in een cliëntsysteem, dan is dat wel een verwerking van persoonsgegevens’.[6]

Het Hof heeft nu in het arrest bepaald dat het mondeling verstrekken van persoonsgegevens zelf ook als een verwerking van persoonsgegevens wordt beschouwd in de zin van artikel 2 lid 1, en artikel 4, punt 2, van de AVG. Dit geldt onder de voorwaarde dat de verstrekte informatie is bedoeld om in een bestand te worden opgenomen of al in een bestand is opgenomen.[7] Onder een bestand wordt verstaan: ‘elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid.[8]  

Hoe is het Hof tot dit standpunt gekomen?

Hiervoor diende het Hof twee vragen te beantwoorden: 

1. Is er sprake van een verwerking als bedoeld in artikel 4, punt 2, van de AVG?

2. Valt een dergelijke verwerking binnen de materiële werkingssfeer van de AVG?

Is er sprake van een verwerking als bedoeld in artikel 4, punt 2, van de AVG?

Uit artikel 4, punt 2, van de AVG volgt de volgende begripsomschrijving voor verwerking: ‘bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés’.[9] Volgens het Hof heeft de Uniewetgever met ‘een bewerking’ een ruime definitie willen geven aan het begrip ‘verwerking’. Zo vallen het verstrekken door middel van doorzending, verspreiding en op een andere wijze tot beschikking stellen ook onder het begrip.[10] Dit betekent dat het ook niet-geautomatiseerd kan zijn. Volgens het Hof stelt artikel 4, punt 2, AVG geen enkele voorwaarde aan de vorm van deze niet-geautomatiseerde verwerking. Het begrip ‘verwerking’ omvat dus ook mondelinge verstrekking.[11] Dit wordt volgens het Hof bevestigd door het doel van de AVG. Dit doel richt zich erop een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen te waarborgen, in het bijzonder van hun recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens. Het is onverenigbaar met dit doel om de toepassing van deze verordening te omzeilen door persoonsgegevens mondeling in plaats van schriftelijk te verstrekken.[12] Daarom valt onder het begrip verwerking in de zin van artikel 4, punt 2, AVG ook de mondelinge verstrekking van persoonsgegevens.[13]

Valt een dergelijke verwerking binnen de materiële werkingssfeer van de AVG?

Nadat werd vastgesteld dat er sprake was van verwerking als bedoeld in artikel 4, punt 2, AVG, was het volgende probleem de vraag of een dergelijke verwerking binnen de materiële werkingssfeer van de AVG valt. Daarvoor heeft het Hof gekeken naar het eerste lid van artikel 2 van de AVG en overweging 15 van de AVG.[14] Het eerste lid van artikel 2 van de AVG luidt als volgt: 

‘Deze verordening is van toepassing op de geheel of gedeeltelijke geautomatiseerde verwerking alsmede de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn daarin te worden opgenomen’.[15]

Overweging 15 van de AVG luidt als volgt:

‘Om te voorkomen dat een ernstig risico op omzeiling zou ontstaan, dient de bescherming van natuurlijke personen technologieneutraal te zijn en mag zij niet afhankelijk zijn van de gebruikte technologieën’.[16]

Hieruit volgt volgens het Hof dat de verordening van toepassing is op zowel de geautomatiseerde verwerking van persoonsgegevens als de niet-geautomatiseerde verwerking hiervan. Om te voorkomen dat een ernstig risico op omzeiling wordt gecreëerd, mogen zij de verleende bescherming niet laten afhangen van de gebruikte technologieën en moet deze technologieneutraal zijn. Nu de mondelinge verstrekking van persoonsgegevens niet kan worden gezien als geautomatiseerde verwerking is er sprake van een niet-geautomatiseerde verwerking[17]. Deze niet-geautomatiseerde verwerking moet dus worden opgenomen in een bestand of bestemd zijn daarin te worden opgenomen, wil de verwerking binnen de materiële werkingssfeer van de AVG vallen.[18]

Samenvattend bepaalt dit arrest dat het mondelinge verstrekken van persoonsgegevens, die in een bestand zijn opgenomen of die zijn bedoeld om opgenomen te worden in een bestand, een verwerking van persoonsgegevens is in de zin van  artikel 2 lid 1, en artikel 4, punt 2, AVG. Bijvoorbeeld op het moment dat hulpverleners mondeling gegevens verstrekken uit een medisch dossier (oftewel bestand). De AVG is dan van toepassing en men moet zich houden aan de rechten en plichten van deze AVG. Dat betekent dat het mondeling uitwisselen van informatie om te voorkomen dat de AVG van toepassing is niet meer zo snel opgaat. Wellicht is dit arrest dan ook een nieuwe stap naar meer vertrouwen in de privacy en de verwerking van de persoonsgegevens onder (onder andere) de Nederlanders.

Namens de Carrièrecommissie, 

Manon Hospers 

[1] ‘De AVG in het kort’, autoriteitpersoonsgegevens.nl.

[2] ‘5 jaar AVG en het perspectief van de Nederlandse consument’, kpmg.com.

[3] HVJ EU 7 maart 2024, C-740/22, ECLI:EU:C:2024:216 (Endemol Shine Finland Oy), r.o. 1.

[4] ‘C-740/22 Endemol Shine Finland’, ecer.minbuza.nl.

[5] ‘Mondelinge overdracht van persoonsgegevens kan ook verwerking zijn in de zin van de AVG’, kbsadvocaten.nl.

[6] ‘Handleiding Algemene Verordening Gegevensbescherming’, rijksoverheid.nl. 

[7] ‘Mondeling overdragen van persoonsgegevens kan onder de AVG vallen’, jurdict.nl.

[8] Artikel 4 AVG

[9] Idem.

[10] HVJ EU 7 maart 2024, C-740/22, ECLI:EU:C:2024:216 (Endemol Shine Finland Oy), r.o. 29.

[11] HVJ EU 7 maart 2024, C-740/22, ECLI:EU:C:2024:216 (Endemol Shine Finland Oy), r.o. 30.

[12] HVJ EU 7 maart 2024, C-740/22, ECLI:EU:C:2024:216 (Endemol Shine Finland Oy), r.o. 31.

[13] HVJ EU 7 maart 2024, C-740/22, ECLI:EU:C:2024:216 (Endemol Shine Finland Oy), r.o. 32.

[14] HVJ EU 7 maart 2024, C-740/22, ECLI:EU:C:2024:216 (Endemol Shine Finland Oy), r.o. 34.

[15] Artikel 2 AVG

[16] Overweging 15 van de AVG

[17] HVJ EU 7 maart 2024, C-740/22, ECLI:EU:C:2024:216 (Endemol Shine Finland Oy), r.o. 34.

[18] HVJ EU 7 maart 2024, C-740/22, ECLI:EU:C:2024:216 (Endemol Shine Finland Oy), r.o. 35.