Mondeling overdragen persoonsgegevens; AVG van toepassing of toch niet?

Op 7 maart 2024 heeft het Hof van Justitie van de Europese Unie (‘HvJ’) zich uitgelaten over de vraag of de mondelinge overdracht van persoonsgegevens onder het toepassingsbereik van de Algemene Verordening Gegevensbescherming (‘AVG’) valt. Endemol Shine Finland (‘Endemol’) verzocht een rechter mondeling informatie te vertrekken om zo de strafrechtelijke antecedenten van een persoon na te trekken. De rechter in kwestie weigerde dit wegens het ontbreken van een grondslag en stelde prejudiciële vragen over de toepasselijkheid van de AVG. Het HvJ oordeelde uiteindelijk dat de AVG óók van toepassing kan zijn op het mondeling overdragen van persoonsgegevens.

Achtergrond

Endemol verzocht de rechter in eerste aanleg van Zuid-Savo, Finland, mondeling om informatie over mogelijkerwijs aanhangige of afgesloten strafzaken tegen een natuurlijk persoon die deelneemt aan een door Endemol georganiseerde televisieprogramma om zo strafrechtelijke antecedenten van deze persoon na te gaan.

De rechter wees het verzoek van Endemol af omdat het opvolgen van het verzoek van Endemol onder het materieel toepassingsbereik van de AVG zou vallen. Een grondslag om de verzochte informatie te verstrekken ontbrak volgens de rechter.

Endemol ging vervolgens in hoger beroep omdat volgens haar geen sprake was van een verwerking van persoonsgegevens en daarom de AVG niet van toepassing is.

Prejudiciële vragen

De rechter stelde vervolgens drie prejudiciële vragen aan het HvJ. De meest in het oog springende vraag wordt in dit artikel behandeld: “Vormt het mondeling verstrekken van persoonsgegevens een verwerking van persoonsgegevens in de zin van de AVG?”

Het HvJ beantwoordt deze vraag als volgt.  

Is het mondeling overdragen van informatie een verwerking?

De eerste vraag is of het mondeling overdragen van informatie een verwerking is volgens de AVG. Dit is van belang omdat de AVG enkel van toepassing is op verwerkingen van persoonsgegevens.

Art. 4 van de AVG definieert het begrip “verwerking” als “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”

Volgens het HvJ wijst het woord “bewerking” in de definitie van “verwerking” op een ruime uitleg van verwerking. Het doel van de AVG, namelijk een hoog niveau van bescherming van de fundamentele vrijheden en grondrechten van natuurlijke personen, onderstreept dit. Een “bewerking” kan geautomatiseerd zijn of niet. Aan een niet geautomatiseerde verwerking, waar in deze zaak sprake van is, worden geen nadere voorwaarden gesteld. Dit betekent dat een mondelinge verstrekking van informatie onder de definitie “verwerking” valt. De mogelijkheid om de AVG te omzeilen door mondeling in plaats van schriftelijk persoonsgegevens te verstrekken zou het doel van de AVG immers tenietdoen.

Valt het mondeling overdragen van informatie onder het materieel toepassingsbereik van de AVG?

De logische vervolgvraag is vervolgens of deze verwerking onder het materiële toepassingsgebied van de AVG valt. Het materiële toepassingsbereik is te vinden in art. 2 van de AVG. De afbakening van de werkingssfeer van de AVG is voor wat betreft de handmatige verwerking als volgt: “Deze verordening is van toepassing […] alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.”

De vraag of het mondeling verstrekken van persoonsgegevens onder het materieel toepassingsgebied van de AVG valt is dus afhankelijk van de vraag of de informatie die het betreft in een bestand is opgenomen of bestemd is om daarin te worden opgenomen.

Volgens art. 4 van de AVG omvat de definitie “bestand” elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid. Het HvJ brengt vervolgens nogmaals in herinnering dat om het doel van de AVG te bereiken, ook de definitie “bestand” ruim moet worden uitgelegd, namelijk “elk gestructureerd geheel van persoonsgegevens”. De wijze waarop een bestand moet zijn gestructureerd alsook de vorm is niet terug te vinden in de AVG. De persoonsgegevens moeten volgens het HvJ gemakkelijk kunnen worden teruggevonden.

De informatie - in deze kwestie - is opgenomen in een bestand met persoonsgegevens dat door een rechterlijke instantie wordt bijgehouden. Denk aan een systeem met een zoekfunctie zodat de informatie kan worden opgezocht. De informatie wordt – bij een mondeling verzoek - vervolgens voorgelezen uit het digitale systeem. Zo komt de mondelinge overdracht tot stand. Het HvJ concludeert op basis van het voorgaande dat deze mondelinge overdracht van informatie onder het materieel toepassingsbereik van de AVG valt.

Conclusie

Als is voldaan aan een tweetal elementen, rechtvaardigt dat volgens het HvJ dat ook een mondelinge overdracht van persoonsgegevens onder het toepassingsbereik van de AVG valt.  Ten eerste moet de mondelinge overdracht een verwerking zijn in de zin van de AVG. Door de ruime uitleg van de definitie “verwerking” is daar al snel sprake van. Ten tweede moet de mondeling overdracht onder het materieel toepassingsbereik van de AVG vallen. Daar is bij een niet geautomatiseerde verwerking sprake van als het informatie betreft die in een bestand is opgenomen of bestemd is om daarin te worden opgenomen.  

Persoonlijke noot

De uitspraak van het HvJ is in lijn met overweging 15 van de AVG:  “Om te voorkomen dat een ernstig risico op omzeiling zou ontstaan, dient de bescherming van natuurlijke personen technologieneutraal te zijn en mag zij niet afhankelijk zijn van de gebruikte technologieën. De bescherming van natuurlijke personen dient te gelden bij zowel geautomatiseerde verwerking van persoonsgegevens als handmatige verwerking daarvan indien de persoonsgegevens zijn opgeslagen of bedoeld zijn om te worden opgeslagen in een bestand […]”. De bescherming van de persoonsgegevens wordt hiermee niet afhankelijk gemaakt van de wijze waarop de overdracht (mondeling of schriftelijk) plaatsvindt maar van – simpel gezegd – waar de persoonsgegevens vandaan komen (herkomst) of de (beoogde) bestemming van de persoonsgegevens. Die gedachtegang van het HvJ is mijns inziens volkomen logisch gelet op de beoogde doelstelling van de AVG. 

Meer informatie of vragen?

Wilt u meer informatie over dit onderwerp? Neemt u dan gerust contact op met onze advocaat Lisanne Wigboldus. Zij is per e-mail bereikbaar via lisanne.wigboldus@pellicaan.nl of telefonisch via 088 627 22 20.

Bronvermelding

Lisanne Wigboldus is auteur voor Sdu. Dit artikel is gepubliceerd in Sdu OpMaat algemeen, OpMaat privacyrecht basis en OpMaat Privacyrecht Plus.