- Deze annotatie is in verkorte vorm verschenen in NJCM-Bulletin 2004, nr. 3, pp. 415-425 -
Pas op met wat je op je homepage zet! Publicatie van persoonsgegevens op Internet beschermd door Europese regelgeving •
Hof van Justitie van de Europese Gemeenschap 6 november 2003• Bodil Lindqvist (zaak C-101/01)
Met noot van H.R. Kranenborg1 In de zaak Lindqvist spreekt het Hof van Justitie zich uit over richtlijn 95/46, waarin harmoniserende regels zijn neergelegd over de bescherming van persoonsgegevens. Het HvJ brengt het niet-economische gebruik van Internet door een particulier binnen de reikwijdte van de richtlijn, waardoor het valt te betwijfelen of de richtlijn volledig rechtsgeldig is. Het HvJ worstelt om de inhoudelijke eisen van de gedateerde richtlijn toe te passen op het gebruik van Internet. Daarnaast behandelt het HvJ de verhouding tussen de richtlijn en de vrijheid van meningsuiting uit artikel 10 EVRM. De gevolgen van de uitspraak voor de nationale toezichthoudende praktijk lijken verstrekkend. Het Nederlandse College Bescherming Persoonsgegevens is op het moment van schrijven nog in beraad. FEITEN Dat de Zweedse huishoudster en vrijwillig catecheet Bodil Lindqvist nog eens strafrechtelijk zou worden veroordeeld, had waarschijnlijk niemand kunnen bevroeden – behoudens wellicht een enkele collega. Na het volgen van een computercursus besluit Lindqvist haar verworven vaardigheden in te zetten voor de gemeenteleden van de kerkgemeente Aldesa. Ze maakt op haar thuiscomputer een aantal internetpagina’s, waarop zij informatie plaatst voor gemeenteleden die belijdenis willen doen. Naast informatie over zichzelf beschrijft Lindqvist in licht humoristische bewoordingen de werkzaamheden en liefhebberijen van een achttiental collega’s. Dit doet zij zonder het vooraf aan iemand te melden of toestemming te vragen. Van sommige collega’s vermeldt zij de gezinssituatie en telefoonnummers, en over één collega vertelt Lindqvist dat deze haar voet heeft bezeerd en met gedeeltelijk ziekteverlof is geweest. Op verzoek van Lindqvist is op de algemene website van de Kerk van Zweden een link naar haar internetpagina’s gemaakt. Als blijkt dat Lindqvists inspanningen door haar collega’s niet worden gewaardeerd, verwijdert zij de pagina’s van Internet.2 Op een waarschijnlijk niet bijzonder collegiale wijze komen de feiten het Zweedse Openbaar •
Samenstelling Hof: Jahn (president van de Eerste kamer, waarnemend voor de president), Timmermans, Gulmann, Cunha Rodrigues en Rosas (kamerpresidenten), Edward (rapporteur), Puissochet, Macken en von Bahr (rechters). 1 Mr H.R. Kranenborg is als PhD-fellow werkzaam bij de afdeling Europees Recht van de Universiteit Leiden. Hij werkt aan een dissertatie over het raakvlak van toegang tot documenten en de bescherming van persoonsgegevens in de Europese rechtsorde.
[email protected]. Met dank aan Wessel Geursen en Rick Lawson voor hun nuttige commentaar op een eerdere versie. Zie verder de annotaties van P.H. Blok, “Inkomens, internet en informationele privacy”, in: NTER 2004, nr. 1/2, pp. 30-36, J.M.A. Berkvens, “De Lindqvist-case of de onbevlekte ontvangenis van persoonsgegevens”, in: Privacy & Informatie 2004, nr. 1, pp. 17-20 en G-J. Zwenne, “Noot bij Europees Hof van Justitie 6 november 2003 (Zaak C101/01)”, in: JAVI 2004, nr. 2, te vinden op www.javisite.nl. 2 Zie voor een nieuwe versie van de internetpagina’s van Lindqvist: http://biphome.spray.se/mors/.
Ministerie ter ore. Dit besluit Lindqvist strafrechtelijke te vervolgen wegens schending van de Personuppgiftslag (PUL), de Zweedse wet inzake persoonsgegevens. Lindqvist wordt veroordeeld tot een boete van 4 000 SEK (ca. 450 Euro) vanwege het niet aanmelden van de automatische verwerking van persoonsgegevens aan de Datainspektion – een overheidsorgaan voor de bescherming van elektronisch doorgegeven gegevens – het zonder toestemming van de betrokkenen verwerken van gevoelige persoonsgegevens en het zonder toestemming doorgeven van verwerkte persoonsgegevens naar derde landen. Bovendien moet Lindqvist 300 SEK (ca. 35 Euro) betalen aan een Zweeds fonds voor slachtofferhulp. In het hoger beroep twijfelt de Göta hovrätt over de uitleg van richtlijn 95/46/EG3 waarin regels over de bescherming van persoonsgegevens zijn vastgelegd en waaraan de PUL uitvoering geeft. Aan het Hof van Justitie (HvJ) wordt een aantal vragen voorgelegd. Op 19 september 2002 wijst Advocaat-generaal Tizzano zijn conclusie en op 6 november 2003 geeft het HvJ zijn antwoorden. Tijdens de procedure zijn opmerkingen ingediend door Nederland, het Verenigd Koninkrijk en de Europese Commissie. UITSPRAAK Een aantal vragen van de Göta hovrätt ziet op de werkingssfeer van richtlijn 95/46. In artikel 3 lid 1 is vastgelegd dat de richtlijn alleen van toepassing is op de ‘geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens’. Het HvJ merkt op dat: ‘het plaatsen van informatie op een internetpagina volgens de thans toegepaste technische en elektronische procedures betekent, dat die pagina wordt geüploaded op een server en dat de nodige handelingen worden verricht om die pagina toegankelijk te maken voor degenen die een internetverbinding hebben gemaakt.’ (r.o. 26)
Deze handelingen worden volgens het HvJ ten minste gedeeltelijk geautomatiseerd verricht. De richtlijn is daarmee in beginsel van toepassing op de situatie van Lindqvist. In het tweede lid van artikel 3 wordt een aantal uitzonderingen gemaakt op het toepassingsbereik van de richtlijn: De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens; - die met het oog op de uitoefening van niet binnen de werkingssfeer van het Gemeenschapsrecht vallende activiteiten geschiedt zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de Staat (waaronder de economie van de Staat, wanneer deze verwerkingen in verband staan met vraagstukken van Staatsveiligheid), en de activiteiten van de Staat op strafrechtelijk gebied; - die door een natuurlijk persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.
Gevraagd wordt of de onderhavige zaak onder één van deze uitzonderingen valt. Lindqvist is van mening dat de handelingen die zij verrichtte geen economische activiteit zijn, en dat daarom het Gemeenschapsrecht überhaupt niet van toepassing is. Mocht het HvJ menen dat richtlijn 95/46 wel van toepassing is, dan betwist Lindqvist de geldigheid van de richtlijn wegens overschrijding van de bevoegdheden zoals neergelegd in artikel 95 van het EGVerdrag, dat de rechtsgrondslag vormt van de richtlijn. Het HvJ antwoordt als volgt: 3
Richtlijn 95/46/EG van 24 oktober 1995, Pb. EG 1995, L 281/31.
’39. Daar de in het hoofdgeding betrokken activiteiten van Lindqvist in wezen niet economisch waren maar te maken hadden met vrijwilligerswerk en religieuze activiteiten, moet worden onderzocht of zij zijn aan te merken als verwerkingen van persoonsgegevens die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschieden in de zin van artikel 3, lid 2, eerste streepje van richtlijn 95/46. 40. Het Hof heeft ter zake van richtlijn 95/46, die op artikel 100 A [nu: 95] van het Verdrag is gebaseerd, reeds beslist dat voor een beroep op die rechtsgrondslag niet vereist is, dat in elke situatie die valt onder een op deze grondslag gebaseerde handeling een daadwerkelijk verband met het vrije verkeer tussen lidstaten bestaat (zie arrest van 20 mei 2003, Österreichiser Rundfunk e.a., C-465/00, C-138/01 en C-139/01, nog niet gepubliceerd in de Jurisprudentie, punt 41 en aldaar aangehaalde rechtspraak). 41. Iedere andere uitlegging brengt het gevaar met zich dat de grenzen van de werkingssfeer van die richtlijn bijzonder onzeker en vaag worden, hetgeen strijdig zou zijn met de voornaamste doelstelling van de richtlijn, namelijk de harmonisatie van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten teneinde de belemmeringen van de werking van de interne markt die voortvloeien uit de verschillen tussen nationale wetgevingen weg te nemen (arrest Österreichiser Rundfunk e.a., reeds aangehaald, punt 42). 42. In die omstandigheden mag de uitdrukking niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten niet in dier voege worden uitgelegd, dat van geval tot geval moet worden nagegaan of de betrokken specifieke activiteit het vrije verkeer tussen lidstaten rechtstreeks beïnvloedt. 43. De in artikel 3, lid 2, eerste streepje, van richtlijn 95/46 als voorbeeld genoemde activiteiten (te weten de activiteiten bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie, alsmede de verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de staat, en de activiteiten op strafrechtelijk gebied) zijn telkens specifieke activiteiten van de staten of de overheidsdiensten en hebben met de activiteiten van particulieren niets van doen. 44. Derhalve moet ervan worden uitgegaan dat de activiteiten die in artikel 3, lid 2, eerste streepje, van richtlijn 95/46 als voorbeeld worden genoemd, dienen tot afbakening van het toepassingsgebied van de daarin geregelde uitzondering, zodat die uitzondering enkel geldt voor activiteiten die daarin dus uitdrukkelijk zijn vermeld of die in dezelfde categorie kunnen worden ondergebracht (ejusdem generis). 45. Vrijwilligerswerk of religieuze activiteiten, zoals door Lindqvist zijn uitgeoefend, zijn niet gelijk te stellen met de in artikel 3, lid 2, eerste streepje, van richtlijn 95/46 genoemde activiteiten en vallen dus niet onder die uitzondering. 46. Met betrekking tot de tweede uitzondering van artikel 3, lid 2, tweede streepje, van richtlijn 95/46 zijn in punt 12 van de considerans van die richtlijn de correspondentie en het bijhouden van adressenbestanden genoemd als voorbeelden van verwerking van gegevens door een natuurlijke persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden. 47. Die uitzondering moet derhalve aldus worden uitgelegd, dat zij uitsluitend betrekking heeft op activiteiten die tot het persoonlijke of gezinsleven van particulieren behoren, hetgeen klaarblijkelijk niet het geval is met de verwerking van persoonsgegevens die bestaat in hun openbaarmaking op internet waardoor die gegevens voor een onbepaald aantal personen toegankelijk worden gemaakt.’
De Göta hovrätt vraagt het HvJ ook of er sprake is van doorgifte van persoonsgegevens naar een derde land in de zin van artikel 25 van richtlijn 95/46, wanneer een individu in een lidstaat gegevens op een internetpagina plaatst die is ondergebracht bij een server en via een zogenaamde hosting provider toegankelijk wordt gemaakt voor personen uit derde landen. Daarbij vraagt de Zweedse rechter of het van belang is of de betrokken server zich fysiek in een derde land bevindt. Artikel 25, dat valt onder hoofdstuk IV van de richtlijn, bevat een aparte regeling ten aanzien van persoonsgegevens die naar derde landen worden doorgegeven. Deze doorgifte mag slechts plaatsvinden, als er in het derde land sprake is van een ‘passend beschermingsniveau’. Is dat niet het geval dan is het aan de Europese Commissie om in onderhandeling met het derde land de situatie te verbeteren. Het HvJ constateert dat in de richtlijn geen definitie wordt gegeven van het begrip ‘doorgifte naar een
derde land’. Rekening houdend met de technische aard van de handelingen en met het doel en de systematiek van de richtlijn bepaalt het HvJ het volgende: ‘58. De informatie op internet kan nagenoeg te allen tijde worden geraadpleegd door een onbepaald aantal personen die op zeer verschillende plaatsen wonen. Dat die informatie overal toegankelijk is vloeit met name voort uit het feit dat de in het kader van internet gebruikte technische middelen betrekkelijk eenvoudig en steeds minder duur zijn. 59. Volgens de mogelijkheden voor het gebruik van internet, zoals die in de loop van de negentiger jaren voor particulieren als Lindqvist beschikbaar zijn geworden, verzendt de maker van een op internet te publiceren pagina de gegevens van die pagina naar zijn hosting provider. Die provider beheert de informatica-infrastructuur die noodzakelijk is voor het opslaan van die gegevens en voor de verbinding met de server waarbij de website is ondergebracht. Daardoor kunnen die gegevens vervolgens worden doorgegeven aan iedereen die een internetverbinding heeft en de gegevens wil opvragen. De computers die deze informatica-infrastructuur vormen, kunnen zich in een of meer andere landen dan dat van vestiging van de hosting provider bevinden - wat ook dikwijls het geval is -, zonder dat diens klanten dit weten of redelijkerwijs kunnen weten. 60. Blijkens het dossier diende een internetgebruiker om toegang te krijgen tot de informatie op de internetpagina waarop Lindqvist gegevens over haar collega's had geplaatst, niet alleen een verbinding met internet te maken maar diende hij ook eigenhandig de voor het raadplegen van die pagina's nodige handelingen te verrichten. Met andere woorden, de internetpagina's van Lindqvist bevatten niet de technische middelen waardoor die informatie automatisch had kunnen worden verzonden aan personen die niet bewust toegang tot die pagina's hadden proberen te krijgen. 61. Hieruit volgt dat in omstandigheden als de onderhavige de persoonsgegevens die afkomstig zijn van een persoon die ze op een website heeft geplaatst, op de computer van een persoon in een derde land verschijnen, niet rechtstreeks tussen die twee personen zijn doorgegeven, maar via de informatica-infrastructuur van de hosting provider waarbij de pagina is opgeslagen. 62. In die context moet worden onderzocht of de gemeenschapswetgever met het oog op de toepassing van hoofdstuk IV van richtlijn 95/46 in het begrip doorgifte van gegevens naar een derde land in de zin van artikel 25 van deze richtlijn ook handelingen wilde opnemen als die welke door Lindqvist zijn verricht. Er moet op worden gewezen dat de vijfde vraag van de verwijzende rechter enkel die handelingen betreft en niet die welke door de hosting providers worden verricht. […] 67. In hoofdstuk IV van richtlijn 95/46 is niets bepaald over het gebruik van internet. Het formuleert met name geen criteria om te bepalen of voor de door tussenkomst van de hosting provider verrichte handelingen moet worden uitgegaan van de plaats van vestiging of van de bedrijfszetel van de provider dan wel van de plaats(en) waar zich de computers bevinden die de informatica-infrastructuur van de provider vormen. 68. Gezien de ontwikkeling van internet ten tijde van de opstelling van richtlijn 95/46 en het ontbreken van criteria voor het gebruik van internet in hoofdstuk IV, kan niet worden aangenomen dat het de bedoeling was van de gemeenschapswetgever, vooruitlopend op latere ontwikkelingen, het begrip doorgifte van gegevens naar een derde land ook te laten gelden voor de handeling van een persoon in de situatie van Lindqvist die gegevens op een internetpagina plaatst, ook wanneer die gegevens daarmee toegankelijk worden gemaakt voor personen uit derde landen die de technische middelen hebben om zich toegang daartoe te verschaffen. 69. Indien artikel 25 van richtlijn 95/46 aldus werd uitgelegd dat er sprake is van een doorgifte van gegevens naar een derde land telkens wanneer persoonsgegevens op een internetpagina worden geplaatst, zou dat noodzakelijkerwijs een doorgifte zijn naar alle derde landen waar de technische middelen voor toegang tot internet bestaan. De bijzondere regeling van hoofdstuk IV van die richtlijn zou daarmee, voor de verrichtingen op internet, noodzakelijkerwijs een algemene toepassingsregeling worden. Immers, zodra de Commissie overeenkomstig artikel 25, lid 4, van richtlijn 95/46 zou vaststellen dat één enkel derde land geen waarborgen voor een passend beschermingsniveau biedt, zouden de lidstaten het plaatsen van persoonsgegevens op het internet moeten verhinderen. 70. In die omstandigheden moet worden vastgesteld dat artikel 25 van richtlijn 95/46 aldus moet worden uitgelegd, dat handelingen als die van Lindqvist als zodanig geen doorgifte van gegevens naar een derde land vormen. Derhalve behoeft niet te worden onderzocht of iemand uit een derde land toegang tot de betrokken internetpagina heeft gehad dan wel of de server van die provider zich fysiek in een derde land bevindt.’
In een volgende vraag wil de Zweedse rechter weten of richtlijn 95/46 in het onderhavige geval in strijd is met de vrijheid van meningsuiting uit artikel 10 EVRM. Het HvJ overweegt het volgende: ‘84. De lidstaten beschikken bij de omzetting van richtlijn 95/46 weliswaar in velerlei opzichten over een handelingsvrijheid, maar er is geen enkele reden om aan te nemen, dat de daarin opgenomen regeling niet voldoende voorzienbaar is of dat haar bepalingen als zodanig in strijd zijn met de algemene beginselen van gemeenschapsrecht en met name met de door de communautaire rechtsorde beschermde grondrechten. 85. Het is dus veeleer in het stadium van de concrete toepassing op nationaal niveau van de regeling tot omzetting van richtlijn 95/46, dat een juist evenwicht tussen de betrokken rechten en belangen moet worden gevonden. 86. In die context hebben de grondrechten een bijzonder belang, zoals blijkt uit het hoofdgeding, waarin het in wezen erom gaat de vrijheid van meningsuiting van Lindqvist in het kader van haar werk als catecheet en de vrijheid om activiteiten uit te oefenen die bijdragen tot het religieuze leven, af te wegen tegen de bescherming van de persoonlijke levenssfeer van personen wier gegevens door Lindqvist op haar website zijn geplaatst. 87. Bijgevolg moeten de autoriteiten en de rechterlijke instanties van de lidstaten niet alleen hun nationaal recht conform richtlijn 95/46 uitleggen, maar moeten zij er ook op toezien dat zij zich niet baseren op een uitlegging daarvan die in conflict zou komen met de door de communautaire rechtsorde beschermde grondrechten of met de andere algemene beginselen van gemeenschapsrecht, zoals het evenredigheidsbeginsel. 88. Ter bescherming van de persoonlijke levenssfeer moeten doelmatige sancties worden toegepast op personen die persoonsgegevens op een met richtlijn 95/46 strijdige wijze verwerken, maar die sancties moeten altijd het evenredigheidsbeginsel in acht nemen. Dat geldt des te meer nu de werkingssfeer van richtlijn 95/46 zeer ruim is en de personen die persoonsgegevens verwerken, veel en belangrijke verplichtingen hebben. 89. Volgens het evenredigheidsbeginsel staat het aan de verwijzende rechter om alle omstandigheden van de bij hem aanhangige zaak in aanmerking nemen, met name de duur van de schending van de regels tot uitvoering van richtlijn 95/46, en het belang van de bescherming van de bekendgemaakte gegevens voor de betrokkenen.’
Het HvJ beantwoordt de vraag van de Zweedse rechter door te concluderen dat de bepalingen van richtlijn 95/46 als zodanig geen beperking bevatten die in strijd is met de vrijheid van meningsuiting uit artikel 10 EVRM. Het is aan de nationale autoriteiten en rechterlijke instanties om een juist evenwicht tussen de betrokken rechten en belangen te verzekeren. De laatste vraag die de Zweedse rechter stelt, is of het lidstaten vrij staat verdergaande bescherming van persoonsgegevens te bieden dan is voorzien in de richtlijn. Het HvJ antwoordt hierop dat de richtlijn volledige harmonisatie nastreeft. De richtlijn zelf biedt lidstaten op sommige gebieden een bepaalde ruimte, maar deze ruimte dient op de in de richtlijn voorgeschreven wijze te worden gebruikt, in overeenstemming met het doel van de richtlijn om een evenwicht te verzekeren tussen het vrij verkeer van persoonsgegevens en de bescherming van de persoonlijke levenssfeer. Uiteraard blijven de lidstaten bevoegd op terreinen die buiten de reikwijdte van de richtlijn vallen en waar geen andere Gemeenschapsregel op van toepassing is. NOOT 1. Bodil Lindqvist voert een interessant argument aan: het creëren van internetpagina’s zonder winstoogmerk of in het kader van een hobby is geen economische activiteit en valt
daarom niet onder de toepassing van het Gemeenschapsrecht. Mocht het HvJ vinden dat haar handelingen toch onder de reikwijdte van richtlijn 95/46 vallen, dan is volgens Lindqvist deze richtlijn onrechtmatig, wegens overschrijding van bevoegdheden. Dit standpunt vindt steun bij Advocaat-generaal Tizzano. In zijn conclusie bij deze zaak wijst hij erop dat áls het HvJ het handelen van Lindqvist binnen de werkingssfeer van richtlijn 95/46 brengt, harmonisatie van het fundamentele recht op bescherming van persoonsgegevens een zelfstandig doel van de richtlijn lijkt te zijn.4 Dit doel staat dan naast het formele doel van de richtlijn, te weten het bevorderen van het vrij verkeer van persoonsgegevens. Het EGVerdrag, inclusief artikel 95, dat in casu de rechtsgrondslag vormt van de richtlijn, geeft de EG hiertoe geen bevoegdheid. Lindqvist en Tizzano weten het HvJ niet te overtuigen. Volgens het HvJ is het voor de rechtsgeldigheid van de richtlijn die gebaseerd is op artikel 95 EG-Verdrag niet vereist dat er in elke situatie een daadwerkelijk verband met het vrij verkeer tussen lidstaten bestaat. Het HvJ oordeelt vervolgens dat het handelen van Lindqvist niet onder de uitzondering uit artikel 3 lid 2 van richtlijn 95/46 valt en dat de richtlijn op de casus van toepassing is. Is met deze uitspraak, zoals Tizzano aanvoert, het harmoniseren van het fundamentele recht op bescherming van persoonsgegevens een eigenlijke doelstelling van de richtlijn? Of valt het handelen van Lindqvist toch binnen de reikwijdte van de nagestreefde doelstelling op basis van door artikel 95 EG-Verdrag aan de EG verleende bevoegdheden? Artikel 95 geeft de Raad een algemene harmonisatiebevoegdheid ten aanzien van ‘de instelling en de werking van de interne markt’ (lid 1). Deze harmonisatiebevoegdheid wordt allereerst extern beperkt door andere in het EG-Verdrag genoemde specifieke bevoegdheidsgronden of door Verdragsbepalingen die harmonisatie expliciet verbieden.5 Er is ook een ‘intrinsieke’ begrenzing.6 Deze is door het HvJ benoemd in het Tabaksarrest, waarin een Europese tabaksrichtlijn werd vernietigd omdat deze niet op artikel 95 kon worden gebaseerd.7 Het HvJ bepaalt in deze zaak dat artikel 95 de EG niet de algemene bevoegdheid geeft om de interne markt te reglementeren. De gemeenschapsregeling moet ‘metterdaad ten doel hebben, de voorwaarden voor de instelling en de werking van de interne markt te verbeteren’.8 Dit betekent dat de regeling er werkelijk toe moet bijdragen dat bestaande belemmeringen worden weggenomen, of dat belemmeringen waarvan het ontstaan waarschijnlijk is, worden vermeden.9 Het gebruik van de woorden ‘metterdaad’ en ‘werkelijk’ sluiten aan op eerdere jurisprudentie waarin het HvJ bepaalt dat om te kunnen beoordelen of een richtlijn op de juiste leest is geschoeid, niet alleen het formele doel maar ook de inhoud van de richtlijn moeten worden bekeken.10 Wordt richtlijn 95/46 getoetst aan de begrenzing uit het Tabaksarrest, dan kan het doel van de richtlijn, het opheffen van de belemmeringen voor het verkeer van persoonsgegevens,11 beschouwd worden als in lijn met de bevoegdheidstoebedeling van Conclusie Advocaat-generaal Tizzano van 19 september 2002, Bodil Lindqvist, zaak C-101/01, n.n.g., te vinden via http://www.europa.eu.int, para. 41. 5 Specifieke bevoegdheden tot harmonisatie met betrekking tot de interne markt zijn onder andere te vinden in artikel 40 EG-Verdrag, vrij verkeer van werknemers, artikel 47, vrije beroeps- en bedrijfsuitoefening, artikel 52, vrij verkeer van diensten en artikel 44 lid 2 sub g, vennootschapsrecht. Expliciete harmonisatieverboden zijn onder andere neergelegd in artikel 150 lid 4, beroepsopleiding en artikel 152 lid 4 sub c, volksgezondheid. 6 Zie hierover uitgebreid Kapteyn-VerLoren van Themaat, Het recht van de Europese Unie en van de Europese Gemeenschappen, Kluwer 2003, zesde druk, pp. 263-266. 7 HvJ EG 5 oktober 2000, Duitsland tegen het Europees Parlement en de Raad, zaak C-376/98, Jur. 2000, p. I-8419. 8 Ibidem, r.o. 84. 9 Ibidem, r.o. 86 en 95. 10 Zie bijvoorbeeld HvJ EG 11 juni 1991, Titaandioxydeafval, zaak C-300/89, Jur. 1991, p. I-2867, r.o. 10. 11 Zie de achtste considerans van richtlijn 95/46. 4
artikel 95. Ook de inhoud van de richtlijn ondersteunt op het eerste gezicht ‘metterdaad’ het doel van de richtlijn. Dit geldt echter alleen voor zover situaties als die van mevrouw Lindqvist niet onder de reikwijdte van de richtlijn vallen. Het harmoniseren van nationale regels op het gebied van het niet-economische gebruik van Internet door particulieren, dient niet tot de werkelijke ondersteuning van het in het kader van de interne markt nagestreefde vrij verkeer van persoonsgegevens.12 Een vergelijkbare gedachte zal er dan ook toe bij hebben gedragen dat de uitzonderingen, waaronder die van de persoonlijke activiteiten, in artikel 3 lid 2 van richtlijn 95/46 zijn opgenomen. Redenerend vanuit deze gedachte zou artikel 3 lid 2 op de situatie van Lindqvist van toepassing kunnen worden verklaard.13 De letterlijke inhoud van de uitzondering wordt daarmee weliswaar enig geweld aangedaan, maar het laat de richtlijn wel zijn rechtsgeldigheid behouden. Het HvJ acht de uitzondering, na een letterlijke en restrictieve interpretatie, dus toch niet van toepassing. Daarmee brengt het HvJ het toepassingsbereik van de richtlijn (alsnog) tot buiten de bevoegdheid van de EG voor zover deze berust op artikel 95. Op de vervolgvraag naar de geldigheid van de richtlijn gaat het HvJ met een beroep op zijn eerdere Österreichiser Rundfunk-uitspraak14 slechts summier in. De Tabakszaak blijft daarbij ongenoemd. Ook in Österreichiser Rundfunk is geen helder beredeneerd antwoord op de vraag naar de geldigheid van de richtlijn te vinden. In deze zaak is het de vraag of Oostenrijkse regelgeving die bepaalde instanties opdraagt informatie over het salaris en het pensioen van werknemers door te geven aan het toezichthoudende Rechnungshof, dat deze gegevens vervolgens publiceert in een openbaar verslag, binnen de reikwijdte van richtlijn 95/46 valt. De Oostenrijkse regering meent dat de regelgeving überhaupt niet binnen het bereik van het Gemeenschapsrecht valt, omdat het toezicht door het Rechnungshof doeleinden van algemeen belang op het gebied van de overheidsfinanciën nastreeft. Het HvJ gaat in op de geldigheid van de richtlijn. Het concludeert dat een directe link met een van de fundamentele vrijheden uit het EG-Verdrag, waaronder bijvoorbeeld het vrij verkeer van werknemers, niet vereist is. De grenzen van de richtlijn zouden bovendien vaag en onzeker worden als in elke situatie getoetst zou moeten worden of er een link is met de fundamentele vrijheden van het EGVerdrag bestaat. Daarmee is echter niet alles gezegd over de vereiste link tussen de daadwerkelijke doelstelling van de richtlijn en de werking en instelling van de interne markt. Het HvJ noemt de Tabakszaak wel in Österreichiser Rundfunk, maar omdat Oostenrijk de daaruit voortvloeiende fundamentele vereisten niet ter discussie heeft gesteld, gaat het HvJ er verder niet op in. Het is dan ook opmerkelijk dat in Lindqvist, waar de vraag naar de geldigheid van de richtlijn juist wel aan bod komt, niet alsnog aan de Tabakszaak wordt getoetst. Ook in Österreichiser Rundfunk oordeelt het HvJ dat situatie niet onder de uitzonderingen van artikel 3 lid 2 van de richtlijn valt en daarmee wel binnen de werkingssfeer van de richtlijn. Ook met inachtneming van de eerdere uitspraak in Österreichiser Rundfunk is het oordeel van het HvJ over de geldigheid van de richtlijn niet helder. Al in Österreichiser Rundfunk, en nog sterker in Lindqvist, kan worden betwijfeld of er sprake is van handelen waarvan de regulering daadwerkelijk de doelstelling van richtlijn 95/46 dient. Österreichiser Het is overigens denkbaar dat het handelen van Lindqvist wel onder een Europese richtlijn, gebaseerd op artikel 95 EG-Verdrag, met een geheel ander doel (bijv. internet en interne markt) zou kunnen vallen. 13 Zie in die zin ook Tizzano, supra noot 4, para. 36. 14 HvJ EG 20 mei 2003, Österreichiser Rundfunk, zaak C-465/00, n.n.g., te vinden via http://www.europa.eu.int. Deze zaak is eerder kort gesignaleerd in de Kroniek Europese Unie, NJCM-Bulletin 2003, nr. 6, p. 832. 12
Rundfunk verschilt van Lindqvist omdat er sprake is van publieke toezichthoudende activiteiten in plaats van particuliere handelingen. Maar ook ten aanzien van deze activiteiten, die boekhoudkundige controle en openbaarheid van bestuur als doelstelling hebben, kan worden verdedigd dat zij geen link hebben met het vrij verkeer van persoonsgegevens in de interne markt. Dit wordt ook gedaan door Advocaat-generaal Tizzano die bij deze zaak eveneens de conclusie schreef.15 Het is overigens opmerkelijk dat de uitspraak in Österreichiser Rundfunk vooraf gaat aan de uitspraak in Lindqvist. De conclusies van Tizzano verschenen namelijk in omgekeerde volgorde. Het lijkt erop dat het HvJ met de uitspraak in Rundfunk de weg deels al geplaveid wilde hebben voor de verdergaande stap in Lindqvist.16 Het is te betwijfelen of het HvJ de vragen in Lindqvist op dezelfde wijze had kunnen beantwoorden, als de Österreichiser Rundfunk-zaak er niet was geweest. Het lijkt er dan inderdaad op, zoals Tizzano constateert, dat met de door het HvJ gehanteerde reikwijdte de inhoud van de richtlijn daadwerkelijk ondersteuning geeft aan een doelstelling als de harmonisatie van het fundamentele recht op bescherming van persoonsgegevens. Voor een dergelijke doelstelling is in het EG-Verdrag echter geen expliciete rechtsgrondslag aanwezig. Ook impliciet kan deze niet worden afgeleid uit bijvoorbeeld de eerbiediging door de Unie van het recht op respect voor iemands privéleven. Deze weg is immers afgesneden door het HvJ in advies 2/94.17 Met het toepassingbereik na Lindqvist kan de rechtsgeldigheid van richtlijn 95/46 op dat punt dan ook terecht in twijfel worden getrokken. 2. In het antwoord van het HvJ op de vraag of Bodil Lindqvist zich schuldig heeft gemaakt aan de doorgifte van persoonsgegevens aan derde landen worstelt het HvJ met de gedateerdheid van richtlijn 95/46. De richtlijn bepaalt namelijk helemaal niets over Internet of elektronische communicatie. Het HvJ lost de vraag op door te beoordelen of sprake is van het bewust en rechtstreeks doorgeven van persoonsgegevens tussen twee personen. Van het eerste is in casu geen sprake: derden werden door Lindqvist niet actief benaderd met de informatie, het waren juist de derden zelf die actief op zoek moesten naar de informatie. Ook is er geen sprake van het rechtstreeks doorgeven van informatie, aangezien er een hosting provider nodig is om de internetpagina’s toegankelijk te maken. En, zo voegt het HvJ toe, op de handelingen van deze provider ziet de vraag van de nationale rechter niet. Deze laatste opmerking laat nadrukkelijk de vraag open of handelingen van de provider onder de bepalingen van richtlijn 95/46 vallen en of zij met deze bepalingen in overeenstemming zijn. Opgemerkt moet worden dat de Europese wetgever niet blind is geweest voor de technologische ontwikkelingen van de afgelopen acht jaar en de gevolgen daarvan voor bestaande regelgeving. In een aantal richtlijnen zijn regels neergelegd over elektronische communicatie.18 Uit deze richtlijnen valt af te leiden dat (nog) niet is voorzien in een Conclusie Advocaat-Generaal Tizzano van 14 november 2002, Österreichiser Rundfunk, zaak C-465/00, n.n.g., te vinden via http://www.europa.eu.int. 16 Een meerderheid van de rechters in Lindqvist maakte ook deel uit van de rechtsprekende kamer in Österreichiser Rundfunk. 17 HvJ EG 28 maart 1996, advies 2/94, Jur. 1996, p. I-1759. Zie over deze opinie: H.G. Schermers, “Toetreding van de EG tot het EVRM. Het Hof adviseert”, in NJCM-Bulletin 1996, pp. 874-883. 18 Zie richtlijn 97/66/EG van 15 december 1997 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de telecommunicatiesector, Pb. EG 1998, L 24/1, richtlijn 2002/58/EG van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie, Pb. EG 2002, L 201/37 en richtlijn 2002/21/EG van 7 maart 2002 inzake een gemeenschappelijk regelgevingskader voor elektronische communicatienetwerken en -diensten, Pb. EG 2002, L 108/33. 15
specifieke Europese regeling waarin nationale regels over de rol van hosting providers en de bescherming van persoonsgegevens worden geharmoniseerd. De gedateerde richtlijn 95/46 lijkt voor het geval van de hosting provider het relevante toetsingskader. In het specifieke geval van de doorgifte van persoonsgegevens naar derde landen levert richtlijn 95/46 echter geen werkbaar toetsingskader op voor het handelen van providers. De onderbouwing van dit standpunt is te vinden in de Lindqvist-uitspraak van het HvJ. Het HvJ concludeert namelijk terecht dat het niet de bedoeling van de opstellers van richtlijn 95/46 kan zijn geweest om de regels over het doorgeven naar derde landen van toepassing te verklaren op de situatie van Bodil Lindqvist. Het HvJ voegt er een praktisch argument aan toe: mocht artikel 25 van de richtlijn van toepassing worden verklaard, dan zou het daarin neergelegde regime een algemene toepassingsregeling worden voor verrichtingen op Internet. Dat betekent dat ten aanzien van elk land dat toegang heeft tot Internet, verzekerd moet worden dat er sprake is van een passend beschermingsniveau. Dat zou de Commissie een hoop onderhandelingen opleveren, die ongetwijfeld niet alle even makkelijk zullen verlopen. Zie daarvoor alleen al de moeizaam verlopen onderhandelingen over de doorgifte van passagiersgegevens door vliegmaatschappijen aan de Verenigde Staten.19 Deze praktische argumenten van het HvJ gelden ook voor het handelen van de provider. Het komt er feitelijk op neer dat het artikel 25regime niet geschikt is om te worden toegepast op een communicatienetwerk als internet. Stel bijvoorbeeld dat de Commissie er in de onderhandeling met een bepaald derde land niet uitkomt, hoe kan dan praktisch worden voorkomen dat de gegevens niet toegankelijk zijn voor het derde land? Op dit terrein zal nog specifieke regelgeving moeten worden aangenomen. 3. De eventuele spanning tussen de richtlijn en de vrijheid van meningsuiting (artikel 10 EVRM) wordt door het HvJ kort afgedaan door aan te voeren dat de belangenafweging tussen de bescherming van persoonsgegevens en de vrijheid van meningsuiting in de concrete toepassing op nationaal niveau moet worden gezocht. De richtlijn geeft daar volgens het HvJ voldoende vrijheid toe en is daarom als zodanig niet in strijd met de vrijheid van meningsuiting. Het HvJ voegt er aan toe dat nationale autoriteiten en rechterlijke instanties het nationale recht richtlijnconform moeten uitleggen, maar dat zij erop moeten toezien dat de uitleg in overeenstemming is met grondrechten, zoals de vrijheid van meningsuiting, en de algemene beginselen van Gemeenschapsrecht, waaronder het evenredigheidsbeginsel. Deze overwegingen van het HvJ roepen in eerste instantie vragen op naar de tekst van richtlijn 95/46. Laat deze inderdaad zoveel ruimte aan lidstaten om rekening te houden met een botsend grondrecht zoals de vrijheid van meningsuiting? De situatie van Bodil Lindqvist kan als test worden gebruikt. Op basis van de relevante tekst van de richtlijn kon zij verwachten dat zij toestemming aan de betrokkenen had moeten vragen (artikel 7 sub a), dat zij haar handelen aan de nationale toezichthouder had moeten melden (artikel 18 lid 1 en artikel 28) en dat zij een sanctie zou krijgen bij overtreding van de zojuist genoemde vereisten (artikel 24). De ruimte die lidstaten hebben ten aanzien van deze specifieke punten, en waar de afweging met de vrijheid van meningsuiting mogelijk wordt gemaakt, moet wellicht worden gezocht in artikel 7 sub f, artikel 13 lid 1 sub g of in artikel 24. Artikel 7 sub Zie hierover E. Brouwer, “Verstrekken van passagiersgegevens ten behoeve van de grensbewaking: Wie bewaakt de grenzen van de rechtsstaat?”, in: NJB 2003, nr. 30, pp. 1548-1553 en H.R. Kranenborg, “Een dilemma voor Europese vliegmaatschappijen: inbreuk maken op Amerikaans recht of inbreuk maken op Europees recht?”, in: NTER 2003, nr. 6, pp. 162-166.
19
f bepaalt dat verwerking van persoonsgegevens mag plaatsvinden als deze noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke, wat in casu Bodil Lindqvist is. Waarschijnlijk werd bij het opstellen van dit artikel eerder gedacht een het gerechtvaardigde belang van een particulier bedrijf, zoals het belang van een bedrijf om in staat te zijn tot uitoefening van reguliere bedrijfsactiviteiten.20 Maar in het geval van Lindqvist is met goede argumenten aan te voeren dat de vrijheid van meningsuiting hier het gerechtvaardigde belang is van de voor de verwerking verantwoordelijke. Mocht dit zo zijn, dan laat dit artikel de lidstaat een zekere ruimte. Artikel 13 geeft de lidstaten voor een aantal doeleinden de bevoegdheid wettelijke maatregelen te treffen om de reikwijdte van bepaalde opgesomde artikelen uit de richtlijn te beperken. Lid 1 sub g noemt als doel de bescherming van de rechten en vrijheden van anderen dan de betrokkene. Onder de opgesomde artikelen bevinden zich echter niet de artikelen 7 en 18, waardoor deze uitzondering Lindqvist geen soelaas biedt. Artikel 24 bepaalt dat de lidstaten passende maatregelen nemen om de onverkorte toepassing van de richtlijn te garanderen. Ook hierin zou ruimte kunnen schuilen voor de lidstaten om rekening toe houden met andere grondrechten. Het enige wat ten aanzien van de vrijheid van meningsuiting in de richtlijn expliciet wordt bepaald, is dat de lidstaten in uitzonderingen voorzien in geval van de verwerking van persoonsgegevens voor uitsluitend journalistieke of voor artistieke of literaire doeleinden (artikel 9). Deze uitzondering is voor Lindqvist in beginsel echter niet relevant. Geconcludeerd kan worden dat het afhankelijk is van de interpretatie van artikel 7 sub f of de richtlijn de lidstaten ruimte laat om rekening te houden met andere grondrechten. Het kan echter ook zo zijn dat het HvJ zich baseert op een algemene regel dat bij de toepassing en interpretatie van nationaal recht, dat uitvoer geeft aan een richtlijn, rekening moet worden gehouden met door de Gemeenschap erkende grondrechten. Deze gedachte is al terug te vinden in de zaak Johnston21 uit 1986 en sluit bovendien aan bij een meer algemene lijn in recente jurisprudentie van het HvJ, waarin het HvJ uitvoerig aandacht besteedt aan het in overeenstemming met het EVRM interpreteren en toepassen van het Gemeenschapsrecht.22 Een voor Lindqvist relevante vraag in dit verband is hoever het vertrouwen van de EG in de nationale autoriteiten en rechterlijke instanties reikt. Mocht zij van mening zijn dat een onjuiste balans is getroffen, dan zal zij de Commissie moeten overtuigen om op grond van schending van een fundamenteel beginsel van gemeenschapsrecht een inbreukprocedure tegen Zweden te starten. Dat zal de Commissie, gezien de discretionaire bevoegdheid die de nationale autoriteiten en rechters ten aanzien van de belangenafweging krijgen toegedicht, niet snel doen. Een alternatieve rechtsactie voor Lindqvist is de mogelijkheid om een zaak tegen Zweden aanhangig te maken voor het EHRM. 4. Een laatste inhoudelijk punt is het karakter van de harmonisatie waarvan in richtlijn 95/46 gebruik wordt gemaakt. Vlak na de totstandkoming van de richtlijn schreef Verhey in het NJCM-Bulletin dat de richtlijn ‘niet strekt tot volledige harmonisatie’.23 Hij spreekt van een door de richtlijn gecreëerde bandbreedte: ‘er is een minimum en een maximum dat niet door Zie in die zin L.F.M. Verhey, De EG-richtlijn bescherming persoonsgegevens: uitgangspunten en hoofdpunten, in: NJCM-Bulletin 1997, nr. 3, p. 246. 21 HvJ EG 15 mei 1986, Johnston, zaak 222/84, Jur. 1986, p. 1651, r.o. 19. 22 Zie onder andere HvJ EG 22 oktober 2002, Roquette Frères, zaak C-94/00, Jur. 2002, p. I-9011, HvJ EG 23 oktober 2003, RTL Television GmbH, zaak C-245/01, n.n.g. en HvJ EG 12 juni 2003, Schmidberger, zaak C112/00, n.n.g., te vinden via http://www.europa .eu.int. 23 Verhey, supra noot 20, p. 241. 20
de nationale wetgever mag worden overschreden’.24 In Lindqvist bepaalt het HvJ dat de harmonisatie ‘in beginsel tot een volledige harmonisatie’ dient te leiden.25 Toch erkent het HvJ dat lidstaten een zekere ruimte behouden, maar dat deze op de in de richtlijn voorgeschreven wijze dient te worden benut. Ondanks de woorden van het HvJ betreft het hier geen helder voorbeeld van volledige harmonisatie. De lidstaten krijgen behoorlijk wat ruimte voor eigen beleid, bijvoorbeeld in artikel 13 lid 1 sub d en e op strafrechtelijk gebied of ten aanzien van een belangrijk economisch of financieel belang van de lidstaat. In artikel 13 of op een andere plaats in de richtlijn staat verder niet geregeld op welke wijze deze uitzondering moet worden benut. In die zin is de constatering van Verhey nog steeds te verdedigen. Al is er niet zozeer sprake van een bandbreedte waarbinnen lidstaten bevoegd bijven, maar eerder van een soort gatenkaas, waarvan de gaten de bevoegdheid voor de lidstaten open laten en waarvan sommige gaten wel en sommige gaten niet door de hele kaas heen gaan. 5. Tot slot een aantal opmerkingen over de praktische gevolgen van de Lindqvist-uitspraak. Deze zijn namelijk verstrekkend. Het HvJ brengt het niet-economische gebruik van Internet door een particulier ten aanzien van persoonsgegevens onder de reikwijdte van de richtlijn. Dit betekent dat alle nationale wetgevingen van de EU lidstaten die uitvoer geven aan de richtlijn ook deze reikwijdte moeten hebben. Dit heeft weer tot gevolg dat in elke lidstaat aanmelding van dergelijk handelen verplicht is en dat het niet aanmelden moet worden beboet. Dit blijkt uit de richtlijn (artikel 18 en 24) en uit de uitspraak van het HvJ. In rechtsoverweging 88 bepaalt het HvJ immers dat doelmatige sancties moeten worden toegepast op personen die in strijd met de richtlijn persoonsgegevens verwerken. Uit de tekst van de Nederlandse Wet Bescherming Persoonsgegevens (WBP) en de beleidsstukken van het College Bescherming Persoonsgegevens (CBP) blijkt niet expliciet of het op Internet plaatsen van persoonsgegevens door een particulier zonder economisch oogmerk binnen of buiten de werking van de WBP valt.26 Tot op heden is het echter niet de praktijk dat dergelijk handelen op straffe van een bestuurlijke boete moet worden aangemeld. In augustus 2002 achtte het CBP het niet opportuun op te treden in een zaak waarin gegevens van medewerkers van een ‘dierproevencentrum’ onder meer door een anonieme ‘dierenvriend’ op Internet werden geplaatst.27 Het CBP was van mening dat eigen actie van de betrokkene voldoende effectief kon zijn, omdat het mogelijk was om bij de provider van de website melding te maken van misbruik, zoals laster. Gezien dit standpunt lijkt het niet waarschijnlijk dat het CBP tegen het handelen van Bodil Lindqvist was opgetreden. Navraag bij het CBP leert dat het zich nog beraadt op de gevolgen van de uitspraak van het HvJ. Het CBP zal op zoek moeten naar een oplossing waardoor de werkdruk acceptabel blijft. Wellicht is deze oplossing te vinden in het gebruik van de ‘uitzondering’ van de vrijheid van meningsuiting. De uitspraak van het HvJ laat immers een belangenafweging tussen de bescherming van persoonsgegevens en de vrijheid van meningsuiting nadrukkelijk over aan nationale autoriteiten en rechters. De Lindqvist-uitspraak is door Internetgebruikers niet onopgemerkt gebleven. Een simpele zoektocht naar de naam ‘Bodil Lindqvist’ levert een veelheid aan internetpagina’s op Ibidem. Lindqvist, r.o. 96. 26 Zie voor de tekst van de WBP en de beleidsstukken van het CBP de website van het CBP: http://www.cbpweb.nl. 27 CBP 8 augustus 2002, Persoonsgegevens van medewerkers dierproevencentrum op internet, te vinden op de website van het CBP. 24 25
waarop gebruikers inmiddels uitdagend persoonsgegevens van anderen hebben geplaatst. In dat opzicht heeft de uitspraak van het HvJ onverwachts een averechts effect. Het is wachten op een reactie van het CBP.
