3.7.2.De grieven 1 en 2 lenen zich verder voor een gezamenlijke behandeling. Het hof zal hier nader op ingaan, na eerst aandacht te besteden aan het te hanteren beoordelingskader en de door partijen in dat verband betrokken stellingen als hierboven weergegeven.
Minimumharmonisatie of volledige harmonisatie?
3.7.2.1. In het arrest HvJ EG 6 november 2003 (C 101/2001, ECLI:EU:C:2003:596) inzake Bodil Linqvist heeft het Hof van Justitie zich uitgesproken over de vraag of de richtlijn 95 /46/EG van 25 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (hierna de Richtlijn), mede gezien de tekst van considerans onderdeel 8 van de Richtlijn, volledige harmonisatie beoogt:
“95 Zoals met name blijkt uit punt 8 van de considerans van richtlijn 95/46, wil die richtlijn de bescherming van de rechten en vrijheden van personen op het stuk van de verwerking van persoonsgegevens in alle lidstaten op hetzelfde niveau brengen. Punt 10 van de considerans voegt daaraan toe dat de onderlinge aanpassing van de ter zake geldende nationale wetgevingen niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist erop gericht moet zijn een hoog beschermingsniveau in de Gemeenschap te waarborgen.
96De harmonisatie van vorenbedoelde nationale wettelijke regelingen beperkt zich dus niet tot een minimumharmonisatie maar dient in beginsel tot een volledige harmonisatie te leiden.vet, hof DB]
Vanuit die optiek wil richtlijn 95/46 het vrije verkeer van persoonsgegevens verzekeren maar tevens een hoog beschermingsniveau verzekeren van de rechten en belangen van de personen waarop die gegevens betrekking hebben.
97 Richtlijn 95/46 kent de lidstaten op bepaalde gebieden inderdaad een manoeuvreerruimte toe, en machtigt hen bijzondere regelingen voor specifieke situaties te handhaven of in te voeren, zoals uit een groot aantal van haar bepalingen blijkt. Die mogelijkheden dienen echter op de in richtlijn 95/46 voorgeschreven wijze te worden benut overeenkomstig haar doel dat erin bestaat een evenwicht tussen het vrije verkeer van de persoonsgegevens en de bescherming van de persoonlijke levenssfeer te verzekeren.
98 Daarentegen verzet niets zich ertegen dat een lidstaat de draagwijdte van de nationale wettelijke regeling tot omzetting van de bepalingen van richtlijn 95/46uitbreidt tot niet onder de werkingssfeer daarvan vallende gebiedenvet, hof DB]
, voorzover geen enkele andere bepaling van gemeenschapsrecht daaraan in de weg staat.
99 Gelet op die overwegingen, moet op de zevende vraag worden geantwoord, dat de maatregelen van de lidstaten om de bescherming van de persoonsgegevens te waarborgen, moeten stroken met zowel de bepalingen van richtlijn 95/46 als haar doel dat erin bestaat een evenwicht tussen het vrije verkeer van de persoonsgegevens en de bescherming van de persoonlijke levenssfeer te verzekeren. Daarentegen verzet niets zich ertegen dat een lidstaat de draagwijdte van de nationale wettelijke regeling tot omzetting van de bepalingen van richtlijn 95/46 uitbreidt tot niet onder de werkingssfeer daarvan vallende gebieden, voorzover geen enkele andere bepaling van gemeenschapsrecht daaraan in de weg staat.
3.7.2.2. [appellant] kan derhalve in beginsel worden gevolgd in zijn standpunt dat er nog wel enige ruimte bestond (en bestaat) onder de Richtlijn voor enige aanvullende regelgeving (zie ook hierna). Nader zal worden bezien in hoeverre dat ook aan de orde is op door de Richtlijn wel bestreken gebieden, zoals bijvoorbeeld ten aanzien van artikel 35 Wbp dat ertoe strekt artikel 12 van de Richtlijn, als te lezen in samenhang met onder meer artikel 2 Richtlijn, te implementeren ten aanzien van o.m. het ter inzage kunnen verkrijgen van ‘persoonsgegevens’ (als bedoeld in artikel 1 onder a Wbp en artikel 2 Richtlijn).
3.7.2.3. Het hof zal dan ook bij de uitleg van artikel 35 Wbp de door het HvJ gegeven uitleg van artikelen 2 en 12 Richtlijn, als onder meer te vinden in het IND arrest (HvJ 17 juli 2014, C-141/12 en C-372/12; ECLI:EU:C:2014:2081), waar beide partijen naar hebben verwezen, tot uitgangspunt nemen.
Reikwijdte van het IND arrest en nadere nationale en concrete duiding.
3.7.2.4. Het Hof van Justitie EG heeft op 17 juli 2014 (C-141/12 & 372/12, ECLI:EU:C:2014:2081) in twee gevoegde zaken zich uitgelaten omtrent de uitleg van “persoonsgegevens” en de reikwijdte van het inzagerecht van artikel 12 Richtlijn, en wel in een Nederlandse zaak waarin artikel 35 Wbp derhalve eveneens aan de orde was.
Het hof overweegt onder meer:
37 In dit verband dient in herinnering te worden gebracht dat artikel 2, sub a, van richtlijn 95/46 „persoonsgegevens” omschrijft als „iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon”.
38 Het lijdt geen twijfel dat de gegevens betreffende de aanvrager van een verblijfstitel die in een minuut staan, zoals diens naam, geboortedatum, nationaliteit, geslacht, etniciteit, religie en taal, informatie vormen betreffende deze natuurlijke persoon, die in die minuut wordt geïdentificeerd door onder meer zijn naam, en dat die informatie bijgevolg moet worden aangemerkt als „persoonsgegevens” (zie in die zin met name arrest Huber, C 524/06, EU:C:2008:724, punten 31 en 43).
39 De juridische analyse in een minuut kan daarentegen weliswaar persoonsgegevens bevatten, maar vormt op zich niet een dergelijk gegeven in de zin van artikel 2, sub a, van richtlijn 95/46.
40 Zoals in wezen is opgemerkt door de advocaat-generaal in punt 59 van haar conclusie alsmede door de Nederlandse, de Tsjechische en de Franse regering, vormt een dergelijke juridische analyse immers geen informatie over de aanvrager van de verblijfstitel, maar hooguit, voor zover die analyse niet beperkt blijft tot een zuiver abstracte uitlegging van het recht, informatie over de beoordeling en de toepassing van dat recht door de bevoegde autoriteit op de situatie van de aanvrager, waarbij die situatie met name wordt vastgesteld middels de hem betreffende persoonsgegevens waarover die autoriteit beschikt.
41 Die uitlegging van het begrip „persoonsgegevens” in de zin van richtlijn 95/46 volgt niet alleen uit de bewoordingen van artikel 2, sub a, daarvan, maar vindt tevens steun in het doel en de opzet ervan.
42 Volgens artikel 1 ervan beoogt deze richtlijn in verband met de verwerking van persoonsgegevens de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid hun persoonlijke levenssfeer, te beschermen en zo het vrije verkeer van deze gegevens tussen de lidstaten mogelijk te maken.
43 Volgens punt 25 van de considerans van richtlijn 95/46 komen de daarin vervatte beginselen van bescherming van natuurlijke personen enerzijds tot uiting in de verplichtingen die worden opgelegd aan de personen die de die personen betreffende verwerkingen uitvoeren, en anderzijds in het feit dat aan personen wier gegevens het voorwerp van verwerkingen zijn, het recht wordt verleend om daarvan in kennis te worden gesteld, tot die gegevens toegang te krijgen, de rectificatie ervan te verlangen en zelfs om zich in bepaalde omstandigheden tegen verwerking te verzetten.
44 Wat deze in richtlijn 95/46 bedoelde rechten van de betrokkene betreft, moet worden vastgesteld dat de bescherming van het fundamentele recht op eerbiediging van de persoonlijke levenssfeermet name impliceert dat de betrokkene zich ervan kan vergewissen dat zijn persoonsgegevens juist zijn en rechtmatig worden verwerkt.vet, hof DB]
Zoals blijkt uit punt 41 van de considerans van deze richtlijn, moet de betrokkene, teneinde de nodige controles te kunnen verrichten, krachtens artikel 12, sub a, daarvan over het recht beschikken om toegang te verkrijgen tot de hem betreffende gegevens die het voorwerp van een verwerking vormen. Dit recht op toegang is met name noodzakelijk opdat de betrokkene eventueel van de voor de verwerking verantwoordelijke gedaan kan krijgen dat deze zijn gegevens rectificeert, uitwist of afschermt, en bijgevolg het in artikel 12, sub b, van die richtlijn bedoelde recht kan uitoefenen (zie in die zin arrest Rijkeboer, C 553/07, EU:C:2009:293, punten 49 en 51).
45 Anders dan de gegevens betreffende de aanvrager van de verblijfstitel die in de minuut staan en de feitelijke basis kunnen vormen voor de juridische analyse daarin, kan een dergelijke analyse, zoals de Nederlandse en de Franse regering hebben opgemerkt, zelf niet door die aanvrager worden gecontroleerd op de juistheid ervan en worden gerectificeerd uit hoofde van artikel 12, sub b, van richtlijn 95/46.
46 In die omstandigheden zou met de uitbreiding van het recht op inzage van de aanvrager van een verblijfstitel tot die juridische analyse in werkelijkheid niet het doel van deze richtlijn worden gediend, dat erin bestaat de bescherming van het recht op eerbiediging van de persoonlijke levenssfeer van die aanvrager te waarborgen met betrekking tot de verwerking van hem betreffende gegevens, maar het doel dat erin bestaat hem een recht van toegang tot bestuurlijke documenten te verzekeren, waarop richtlijn 95/46 echter niet ziet.
(….) 48 Uit het voorgaande volgt dat op de eerste en de tweede vraag in zaak C 141/12 en op de vijfde vraag in zaak C 372/12 dient te worden geantwoord dat artikel 2, sub a, van richtlijn 95/46 in die zin moet worden uitgelegd dat de gegevens over de aanvrager van een verblijfstitel die in de minuut zijn weergegeven, en in voorkomend geval die welke in de juridische analyse in die minuut zijn weergegeven, „persoonsgegevens” zijn in de zin van deze bepaling, maar dat die analyse als zodanig niet aldus kan worden gekwalificeerd.
(...) 57 Hoewel richtlijn 95/46 de lidstaten aldus verplicht te waarborgen dat iedere betrokkene van de voor de verwerking van persoonsgegevens verantwoordelijke verstrekking kan verkrijgen van alle hem betreffende gegevens van deze aard die deze verantwoordelijke verwerkt,laat zij het aan de lidstaten over om te bepalen welke concrete materiële vorm die verstrekking moet krijgen, mits deze „begrijpelijk” is.[vet, hof DB]
Dat wil zeggen dat de betrokkene daardoor in staat wordt gesteld kennis te nemen van die gegevens en te controleren of zij juist zijn en zijn verwerkt in overeenstemming met deze richtlijn, opdat die betrokkene eventueel de hem bij de artikelen 12, sub b en c, 14, 22 en 23 daarvan verleende rechten kan uitoefenen (zie in die zin arrest Rijkeboer, EU:C:2009:293, punten 51 en 52).
58Voor zover aan de met dat recht op inzage nagestreefde doelstelling volledig kan worden voldaan met een andere vorm van verstrekking, kan de betrokkene dus noch aan artikel 12, sub a, van richtlijn 95/46 noch aan artikel 8, lid 2, van het Handvest het recht ontlenen om een afschrift te verkrijgen van het originele document of bestand waarin die gegevens staan.vet, hof DB]
Teneinde de betrokkene geen toegang te geven tot andere informatie dan de hem betreffende persoonsgegevens, kan hij een afschrift krijgen van het originele document of bestand waarin die andere informatie onleesbaar is gemaakt.”
3.7.2.5. [appellant] heeft zich tijdens de mondelinge behandeling nog uitdrukkelijk beroepen op de conclusie van Advocaat-Generaal Sharpston bij het IND arrest van 12 december 2013 (C-141/12 & 372/12, ECLI:EU:C:2014:2081), meer in het bijzonder de onderdelen 70 tot en met 80.
Bedoelde onderdelen bevatten de navolgende inhoud:
70.
De verwijzende rechter in zaak C-372/12 wijst in dit verband ook op artikel 8, lid 2, van het Handvest. Hoewel artikel 8 van het Handvest werd opgesteld tegen de achtergrond van onder meer richtlijn 95/46, kent het een zelfstandig recht toe op de bescherming van persoonsgegevens.
Het formuleert evenwel geen eigen norm inzake de vorm waarin inzage moet worden gegeven. Gelezen in samenhang met de beginselen van evenredigheid en rechtszekerheid, leg ik artikel 8, lid 2, van het Handvest aldus uit dat inzage niet verder hoeft te gaan dan noodzakelijk is om het doel ervan te bereiken en de betrokkene volledig op de hoogte te brengen van de persoonsgegevens die door deze bepaling worden beschermd. Het vereiste van artikel 12 van richtlijn 95/46 is met deze beginselen in overeenstemming. Ik acht een afzonderlijke bespreking van de vorm van inzage in het licht van artikel 8 van het Handvest derhalve overbodig.
71.
Richtlijn 95/46 verleent geen recht van toegang tot elk document of dossier waarin persoonsgegevens worden vermeld of gebruikt. Evenmin beperkt zij de materiële vorm waarin de persoonsgegevens ten aanzien waarvan zij de toegang waarborgt, moeten worden verstrekt.
72.
De richtlijn bepaalt wel dat de gegevens die worden verwerkt alsmede alle beschikbare informatie over de oorsprong van de gegevens „in begrijpelijke vorm” aan de betrokkene worden verstrekt.
73.
Al naargelang de omstandigheden kan een afschrift nodig noch voldoende zijn.
74.
Richtlijn 95/46 vereist niet dat persoonsgegevens waartoe een recht van toegang bestaat, worden verstrekt in de materiële vorm waarin zij zijn vervat of oorspronkelijk werden vastgelegd. In dat opzicht beschikt elke lidstaat over een ruime beoordelingsvrijheid om op basis van de specifieke omstandigheden van elk geval, de vorm te bepalen waarin hij persoonsgegevens toegankelijk maakt.
75.
Bij die beoordeling dient een lidstaat in het bijzonder rekening te houden met: (i) de materiële vorm(en) waarin die informatie is vervat en aan de betrokkene kan worden verstrekt, (ii) de aard van de persoonsgegevens en (iii) de ratio van het recht van toegang.
76.
Wat betreft het eerste punt: persoonsgegevens kunnen in verschillende vormen zijn vervat. Gegevens die bijvoorbeeld tijdens een gesprek zijn opgenomen en vervolgens opgeslagen, kunnen berusten op een geluidsband of een elektronisch bestand, of zijn uitgeschreven. Wanneer persoonsgegevens zijn ontleend aan een gesprek, schrijft artikel 12 van richtlijn 95/46 derhalve niet voor of die gegevens verstrekt moeten worden in de vorm van de geluidsband, het elektronische bestand, de uitgeschreven versie of van een andere drager. Ongeacht de gekozen vorm dienen de gegevens evenwel beschikbaar te worden gesteld in een stoffelijke vorm die duurzaam is en een volledig samenstel van persoonsgegevens kan bevatten.
77.
Ten tweede garandeert artikel 12 van richtlijn 95/46 de betrokkene toegang tot zijn of haar aan verwerking onderworpen persoonsgegevens, maar niet tot enige andere informatie, bijvoorbeeld die aangaande een andere betrokkene. Daarom moet zowel een overzicht van de persoonsgegevens in (bijvoorbeeld) een afzonderlijk document als een afschrift van de minuut waarin alles wat geen persoonsgegeven is wordt gewist of onleesbaar gemaakt, als geldige vorm worden aangemerkt. Een document dat slechts data en tijden van telefonische oproepen vanaf een mobiel nummer vermeldt, moet echter wellicht volledig worden getoond, omdat het verstrekken van die informatie in een andere vorm niet praktisch of denkbaar is.
78.
Ten derde moeten de verstrekte gegevens het de betrokkene mogelijk maken de inhoud ervan te vernemen en te begrijpen, en zo nodig de rechten uit te oefenen die artikel 12, sub b en c, van richtlijn 95/46 hem verleent, of bijvoorbeeld het recht om zich tegen de verwerking van zijn persoonsgegevens te verzetten (artikel 14) en om zich tot de rechter te wenden wanneer hij schade lijdt (artikelen 22 en 23). De gegevens moeten derhalve een vorm hebben die de betrokkene in staat stelt deze te raadplegen en te begrijpen, zich van de juistheid en de rechtmatigheid van de verwerking te vergewissen, om de rectificatie ervan te verlangen en om zich eventueel tegen (verdere) verwerking te verzetten. De vorm van inzage is zo tevens afhankelijk van de rechten die de betrokkene beoogt uit te oefenen.
79.
Het feit dat persoonsgegevens zijn vervat in een document als een minuut, geeft de betrokkene niet automatisch een recht op die materiële vorm, dat wil zeggen, een afschrift of uittreksel van dat document.
Uitzonderingen en beperkingen (zesde vraag in zaak C-372/12)
80.
Ik heb mij op het standpunt gesteld dat richtlijn 95/46 geen grondslag biedt om toegang tot een juridische analyse in een minuut te verlangen. Hieruit volgt dat het niet nodig is om een weigering tot het verlenen van toegang te rechtvaardigen met een beroep op artikel 13 van de richtlijn.
3.7.2.6. Uit bovengenoemd citaat blijkt dat ook de AG - net zoals het Hof van Justitie - ruimte ziet voor nationale invulling van de vorm waarin persoonsgegevens ter inzage worden verstrekt, mits voldaan wordt aan het gestelde kader (HvJ r.o. 57; AG onderdeel 78). Anders dan door [appellant] betoogd leest het hof in het citaat echter niet dat elk digitaal gegeven of bestand waarin persoonsgegevens voorkomen als zodanig en in totaliteit ook kwalificeert als ‘persoonsgegeven”.
3.7.2.7. Uit het IND arrest blijkt juist dat het HvJ EU een beperkte uitleg geeft aan ‘persoonsgegevens’ waarvan inzage moet worden geboden, zoals door dit hof in zijn arrest van 11 december 2014 (ECLI:NL:GHSHE:2014:5221) als volgt samengevat: “
7.3. Volgens het Hof van Justitie zijn de gegevens over de aanvrager van een verblijfstitel die in de ‘minuut’ zijn weergegeven, en in voorkomend geval die welke in de juridische analyse in die minuut zijn weergegeven, “persoonsgegevens” in de zin van artikel 2, sub a, van de Richtlijn, maar kan die analyse als zodanig niet aldus worden gekwalificeerd (arrest van het Hof van Justitie, punten 38 en 39).