Uitspraak
201403756/1/A3.
Datum uitspraak: 15 april 2015
AFDELING
BESTUURSRECHTSPRAAK
Verwijzingsuitspraak op het hoger beroep van:
[appellant A] en [appellant B] (hierna: [appellant A] en [appellant B]), wonend te Amsterdam,
appellanten,
tegen de uitspraak van de rechtbank Amsterdam van 26 maart 2014 in zaak nr. 12/3725 in het geding tussen:
[appellant A] en [appellant B]
en
het College bescherming persoonsgegevens (hierna: het Cbp).
Procesverloop
Bij besluit van 21 november 2011 heeft het Cbp het verzoek van [appellant A] en [appellant B] om een onderzoek in te stellen naar en handhavend op te treden tegen overtredingen op grond van de Wet bescherming persoonsgegevens (hierna: de Wbp) afgewezen.
Bij besluit van 14 juni 2012 heeft het Cbp het door [appellant A] en [appellant B] daartegen gemaakte bezwaar gedeeltelijk ongegrond en gedeeltelijk niet-ontvankelijk verklaard.
Bij uitspraak van 26 maart 2014 heeft de rechtbank het door [appellant A] en [appellant B] daartegen ingestelde beroep gegrond verklaard, het besluit van 14 juni 2012 vernietigd voor zover daarbij het bezwaar tegen de onbevoegdheid van het Cbp met betrekking tot het Academisch Medisch Centrum (hierna: het AMC) ongegrond is verklaard en het bezwaar gericht tegen de toepassing van de beleidsregels niet-ontvankelijk is verklaard, bepaald dat de rechtsgevolgen van het vernietigde deel van het besluit in stand blijven en dat de uitspraak in zoverre in de plaats treedt van het vernietigde besluit. Deze uitspraak is aangehecht.
Tegen deze uitspraak hebben [appellant A] en [appellant B] hoger beroep ingesteld.
Het Cbp heeft een verweerschrift ingediend.
De Afdeling heeft de zaak ter zitting behandeld op 14 oktober 2014, waar [appellant A] en [appellant B], bijgestaan door mr. J.H. Tonino, advocaat te Amsterdam, en het Cbp, vertegenwoordigd door mr. A. Harakat, werkzaam bij het Cbp, zijn verschenen.
Na het sluiten van het onderzoek ter zitting heeft de Afdeling het onderzoek met toepassing van artikel 8:68 van Pro de Algemene wet bestuursrecht (hierna: de Awb) heropend.
Overwegingen
Recht van de Europese Unie
1.1. Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995 L 281; hierna: de Privacyrichtlijn):
Artikel 2: In Pro de zin van deze richtlijn wordt verstaan onder:
a) (…)
b) "verwerking van persoonsgegevens", hierna "verwerking" te noemen, elke bewerking of elk deel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
c) (…)
d) "voor de verwerking verantwoordelijke", de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; (…)
e) "verwerker", de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat ten behoeve van de voor de verwerking verantwoordelijke persoonsgegevens verwerkt.
Artikel 4:
1. Elke lidstaat past zijn nationale, ter uitvoering van deze richtlijn vastgestelde bepalingen toe op de verwerking van persoonsgegevens indien:
a) die wordt verricht in het kader van de activiteiten van een vestiging op het grondgebied van de lidstaat van de voor de verwerking verantwoordelijke; wanneer dezelfde verantwoordelijke een vestiging heeft op het grondgebied van verscheidene lidstaten, dient hij de nodige maatregelen te treffen om ervoor te zorgen dat elk van die vestigingen voldoet aan de verplichtingen die worden opgelegd door de toepasselijke nationale wetgeving;
b) (…);
c) de voor de verwerking verantwoordelijke persoon niet is gevestigd op het grondgebied van de Gemeenschap en voor de verwerking van persoonsgegevens gebruik maakt van al dan niet geautomatiseerde middelen die zich op het grondgebied van genoemde lidstaten bevinden, behalve indien deze middelen op het grondgebied van de Europese Gemeenschap slechts voor doorvoer worden gebruikt.
2. In de in lid 1, onder c), bedoelde omstandigheden moet de voor de verwerking verantwoordelijke een op het grondgebied van de betrokken lidstaat gevestigde vertegenwoordiger aanwijzen, onverminderd rechtsvorderingen die tegen de voor de verwerking verantwoordelijke zelf kunnen worden ingesteld.
Artikel 22:
Onverminderd de administratieve voorziening, die met name bij de in artikel 28 bedoelde Pro toezichthoudende autoriteit kan worden getroffen voordat de zaak aanhangig wordt gemaakt voor de rechter, bepalen de lidstaten dat een ieder zich tot de rechter kan wenden wanneer de rechten die hem worden gegarandeerd door het op de betrokken verwerking toepasselijke nationale recht worden geschonden.
Artikel 28:
1. Elke lidstaat bepaalt dat een of meer autoriteiten worden belast met het toezicht op de toepassing op zijn grondgebied van de ter uitvoering van deze richtlijn door de lidstaten vastgestelde bepalingen. Deze autoriteiten vervullen de hun opgedragen taken in volledige onafhankelijkheid.
2. (…).
3. Elke toezichthoudende autoriteit beschikt met name over:
- onderzoeksbevoegdheden (…);
- effectieve bevoegdheden om in te grijpen (…);
- de bevoegdheid om in rechte op te treden in geval van inbreuken op ter uitvoering van deze richtlijn vastgestelde nationale bepalingen, of om die inbreuken onder de aandacht van het gerecht te brengen. Tegen beslissingen van de toezichthoudende autoriteit kan beroep bij de rechter worden aangetekend.
(…)
4. Een ieder kan in eigen persoon of door middel van een vereniging die als zijn vertegenwoordiger optreedt bij elke toezichthoudende autoriteit een verzoek indienen met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van persoonsgegevens. Hij wordt van het gevolg dat daaraan wordt gegeven in kennis gesteld. Een ieder kan meer bepaald bij elke autoriteit een verzoek indienen om de rechtmatigheid van de verwerking te verifiëren, wanneer de krachtens artikel 13 van Pro deze richtlijn vastgestelde nationale bepalingen van toepassing zijn. Hij wordt in ieder geval in kennis gesteld van het feit dat een verificatie heeft plaatsgevonden.
5. (…)
6. Elke toezichthoudende autoriteit is bevoegd, ongeacht welk nationaal recht op de betrokken verwerking van toepassing is, op het grondgebied van haar eigen lidstaat de haar overeenkomstig het derde lid verleende bevoegdheden uit te oefenen.
(…)
Nationaal recht
1.2. Ingevolge artikel 1, aanhef en onder b, van de Wbp wordt in deze wet en de daarop berustende bepalingen verstaan onder verwerking van persoonsgegevens elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens.
Ingevolge dit artikel, aanhef en onder d, wordt in deze wet en de daarop berustende bepalingen verstaan onder verantwoordelijke de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
Ingevolge dit artikel, aanhef en onder e, wordt in deze wet en de daarop berustende bepalingen verstaan onder bewerker degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen.
Ingevolge artikel 4, eerste lid, is deze wet van toepassing op de verwerking van persoonsgegevens in het kader van activiteiten van een vestiging van een verantwoordelijke in Nederland.
Ingevolge het tweede lid is de wet van toepassing op de verwerking van persoonsgegevens door of ten behoeve van een verantwoordelijke die geen vestiging heeft in de Europese Unie (hierna: EU), waarbij gebruik wordt gemaakt van al dan niet geautomatiseerde middelen die zich in Nederland bevinden, tenzij deze middelen slechts worden gebruikt voor de doorvoer van persoonsgegevens.
Ingevolge artikel 27, eerste lid, wordt een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, die voor de verwezenlijking van een doeleinde of van verscheidene samenhangende doeleinden is bestemd, gemeld.
Ingevolge het derde lid, meldt de verantwoordelijke de verwerking alvorens daarmee te beginnen bij het Cbp of bij de functionaris.
Ingevolge artikel 31, eerste lid, onder b, stelt het Cbp voorafgaand aan een verwerking een onderzoek in indien de verantwoordelijke voornemens is gegevens vast te leggen op grond van het gericht verzamelen van informatie door middel van eigen onderzoek zonder de betrokkene daarvan op de hoogte te stellen.
Ingevolge artikel 32, eerste lid, wordt een gegevensverwerking waarop artikel 31, eerste lid, van toepassing is, als zodanig gemeld door de verantwoordelijke bij het Cbp.
Ingevolge artikel 50, eerste lid, kan de rechter, indien de verantwoordelijke of de bewerker handelt in strijd met het bij of krachtens deze wet bepaalde en een ander daardoor schade lijdt of dreigt te lijden, hem op vordering van die ander zodanig gedrag verbieden en hem bevelen maatregelen te treffen tot herstel van de gevolgen van dat gedrag.
Ingevolge artikel 51, eerste lid, is er een Cbp dat tot taak heeft toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij en krachtens de wet bepaalde. Tevens houdt het Cbp toezicht op de verwerking van persoonsgegevens in Nederland, wanneer de verwerking plaatsvindt overeenkomstig het recht van een ander land van de EU.
Ingevolge artikel 60, eerste lid, kan het Cbp ambtshalve op verzoek van een belanghebbende, een onderzoek instellen naar de wijze waarop ten aanzien van gegevensverwerking toepassing wordt gegeven aan het bepaalde bij of krachtens de wet.
Ingevolge artikel 65 is Pro het Cbp bevoegd tot oplegging van een last onder bestuursdwang ter handhaving van bij of krachtens de Wbp gestelde verplichtingen.
Ingevolge artikel 66 kan Pro het Cbp aan de verantwoordelijke een bestuurlijke boete opleggen van ten hoogste € 4500,00 ter zake van overtreding van het bij of krachtens artikel 27, 28 of 79, eerste lid, bepaalde.
Ingevolge artikel 4:81, eerste lid, van de Awb kan een bestuursorgaan beleidsregels vaststellen met betrekking tot een hem toekomende of onder zijn verantwoordelijkheid uitgeoefende, dan wel door hem gedelegeerde bevoegdheid.
Ingevolge artikel 4:84 handelt Pro het bestuursorgaan overeenkomstig de beleidsregel, tenzij dat voor een of meer belanghebbenden gevolgen zou hebben die wegens bijzondere omstandigheden onevenredig zijn in verhouding tot de met de beleidsregel te dienen doelen.
Nationaal beleid
Het Cbp heeft met toepassing van artikel 4:81, eerste lid, van de Awb voor de uitoefening van zijn bevoegdheden om bij overtredingen van de Wbp ingevolge de artikelen 65 en 66 van de Wbp handhavend op te treden beleidsregels vastgesteld in de Beleidsregels handhaving door het Cbp (hierna: de Beleidsregels). Ingevolge artikel 4:84 van Pro de Awb is het Cbp gehouden in beginsel te handelen overeenkomstig deze Beleidsregels, maar kan het in bijzondere gevallen gemotiveerd daarvan afwijken.
Volgens artikel 4.1 van de Beleidsregels geeft het Cbp bij de afweging die ten grondslag ligt aan de inzet van handhavingsinstrumenten naar aanleiding van een bemiddelingsverzoek, handhavingsverzoek en/of klacht alsmede bij het instellen van ambtshalve onderzoek prioriteit aan zaken waarbij het vermoeden heeft van:
a. ernstige overtredingen;
b. structurele overtredingen;
c. overtredingen die veel mensen treffen;
d. overtredingen waarbij het Cbp door de inzet van handhavingsinstrumenten effectief verschil kan maken;
e. overtredingen die vallen binnen de (jaarlijkse) aandachtspunten die door het Cbp zijn gemaakt.
Volgens artikel 4.2 gelden de criteria a tot en met d cumulatief, tenzij zwaarwichtige gronden zich daartegen verzetten.
Beschrijving van de zaak
Feiten
2. [appellant A] was woonachtig en werkzaam in de Verenigde Staten en is daar begin deze eeuw arbeidsongeschikt geraakt. Van de verzekeringsmaatschappij [bedrijf A] ontving hij sindsdien een arbeidsongeschiktheidsuitkering. In 2005 is hij verhuisd naar Amsterdam. Eind 2010 heeft [bedrijf A] zijn uitkering stopgezet. Uit de processtukken van de procedure tegen die beëindiging, is naar voren gekomen dat [appellant A] en zijn levenspartner [appellant B] in opdracht van [bedrijf A] in 2008 vier dagen door [bedrijf B], gevestigd in het Verenigd Koninkrijk, en in 2010 vier dagen door [bedrijf C] in Amsterdam zijn geobserveerd om zodoende gegevens over de persoonlijke omstandigheden van [appellant A] en [appellant B] te verzamelen en door te geven aan [bedrijf A]. [bedrijf B] heeft over haar bevindingen bij brief verslag gedaan en daarbij ook filmopnamen overgelegd. [bedrijf C] heeft een rapport opgesteld met bevindingen en enkele foto’s van de buitenkant en de toegang van het appartement van [appellant A] en [appellant B] toegevoegd. [bedrijf A] heeft de verzamelde gegevens na ontvangst opgeslagen in de Verenigde Staten. [bedrijf A] heeft voorts aan het [bedrijf D]), gevestigd in het Verenigd Koninkrijk, opdracht gegeven informatie te verzamelen, waaronder medische informatie van een arts van het AMC, en aan haar door te sturen.
Verzoek [appellant A] en [appellant B]
[appellant A] en [appellant B] hebben het Cbp verzocht een onderzoek in te stellen naar overtredingen van de Wbp door [bedrijf A] en de door deze maatschappij ingeschakelde particuliere recherchebureaus [bedrijf B] en [bedrijf C] en maatregelen te treffen ter handhaving van de Wbp. Die overtredingen zien volgens [appellant A] en [appellant B] in ieder geval op schending van de meldingsplicht, als bedoeld in artikel 27 en Pro 32 van de Wbp, aan het Cbp voor de verwerking van persoonsgegevens door [bedrijf B], [bedrijf C] en [bedrijf A], op het opvragen van persoonsgegevens door [bedrijf B], [bedrijf C] en [bedrijf D] in opdracht van [bedrijf A] en op de doorgifte van persoonsgegevens door [bedrijf B] en [bedrijf C] aan [bedrijf A]. Voorts hebben zij het Cbp verzocht op te treden tegen de verstrekking van medische gegevens door een arts van het AMC aan het [bedrijf D] en de doorgifte van die gegevens aan [bedrijf A]. Tot slot hebben zij verzocht de mogelijke betrokkenheid te onderzoeken van de Nederlandse vestiging van [bedrijf C] in Amsterdam bij de doorgifte van persoonsgegevens aan [bedrijf A].
Standpunt Cbp
3. Het Cbp heeft zich op het standpunt gesteld dat het niet bevoegd is handhavend op te treden tegen de verwerking van persoonsgegevens door [bedrijf A] omdat [bedrijf A] is gevestigd in de Verenigde Staten en geen gebruik heeft gemaakt van geautomatiseerde middelen die zich in Nederland bevinden. Het Cbp heeft zich evenmin bevoegd geacht handhavend op te treden tegen de doorgifte van persoonsgegevens door [bedrijf B] aan [bedrijf A] en het opvragen door [bedrijf D] van de medische gegevens omdat [bedrijf B] en [bedrijf D] in Engeland gevestigde ondernemingen zijn en op de door hen verrichte verwerkingen het Britse recht van toepassing is.
Het Cbp acht zich bevoegd handhavend op te treden tegen de doorgifte van persoonsgegevens door [bedrijf C] en het acht zich ook bevoegd onderzoek te doen naar de verstrekking van medische gegevens door een arts van het in Amsterdam gevestigde AMC aan [bedrijf D] en de betrokkenheid van de Amsterdamse vestiging van [bedrijf C] bij de doorgifte van persoonsgegevens aan [bedrijf A]. Voor zover bevoegd heeft het Cbp het verzoek om handhaving afgewezen met toepassing van de Beleidsregels omdat geen vermoeden bestaat dat de overtredingen ernstig en structureel zijn, veel mensen treffen en door de inzet van handhavingsinstrumenten een effectief verschil kan worden gemaakt. Het verzoek om een onderzoek in te stellen naar [bedrijf C] Amsterdam heeft het Cbp afgewezen met toepassing van de Beleidsregels omdat geen vermoeden bestaat dat de Wbp is overtreden nu niet is gebleken dat die vestiging particuliere recherchewerkzaamheden uitvoert. In de omstandigheden van het geval heeft het Cbp geen aanleiding gezien om van de Beleidsregels af te wijken.
Aangevallen uitspraak
4. De rechtbank heeft, voor zover van belang voor de beantwoording van de prejudiciële vragen, overwogen dat het Cbp terecht het standpunt heeft ingenomen dat het voor de gedragingen van [bedrijf A], [bedrijf B] en [bedrijf D] niet bevoegd is omdat deze verantwoordelijke instanties niet een vestiging in Nederland hebben die betrokken is geweest bij de verwerking van de persoonsgegevens.
De rechtbank heeft voorts overwogen dat het Cbp met toepassing van de Beleidsregels op goede gronden heeft kunnen besluiten om geen onderzoek in te stellen en niet tot handhaving over te gaan.
Hoger beroep
5. [appellant A] en [appellant B] hebben, voor zover van belang voor de beantwoording van de prejudiciële vragen, aangevoerd dat de rechtbank ten onrechte heeft geoordeeld dat het Cbp niet bevoegd is handhavend op te treden tegen de gedragingen van [bedrijf A], [bedrijf B] en [bedrijf D].
Voorts hebben [appellant A] en [appellant B] aangevoerd dat de rechtbank ten onrechte niet heeft geoordeeld dat de Beleidsregels zo zijn opgesteld dat een individuele klacht nooit zal leiden tot een onderzoek en handhaving en aldus onvoldoende voorziet in de door de Privacyrichtlijn vereiste effectieve rechtsbescherming van individuen.
Behandeling door de Afdeling
Bevoegdheid van het Cbp volgens de Privacyrichtlijn en de Wbp
6. Het Cbp is aangewezen als de autoriteit die is belast met het toezicht op Nederlands grondgebied op de toepassing van de ter uitvoering van de Privacyrichtlijn door de lidstaten vastgestelde bepalingen, als bedoeld in artikel 28, eerste lid, van die richtlijn. Het Cbp is derhalve als toezichthoudende autoriteit bevoegd op het grondgebied van haar eigen lidstaat de haar overeenkomstig het derde lid verleende bevoegdheden uit te oefenen, ongeacht welk nationaal recht op de betrokken verwerking van toepassing is, als bedoeld in artikel 28, zesde lid, van die richtlijn. Artikel 4 van Pro de Privacyrichtlijn bevat bepalingen over het toepasselijke recht. Volgens het eerste lid, onder a, past elke lidstaat zijn nationale, ter uitvoering van deze richtlijn vastgestelde bepalingen toe op de verwerking van persoonsgegevens indien die wordt verricht in het kader van de activiteiten van een vestiging op het grondgebied van de lidstaat van de voor de verwerking verantwoordelijke; wanneer dezelfde verantwoordelijke een vestiging heeft op het grondgebied van verscheidene lidstaten, dient hij de nodige maatregelen te treffen om ervoor te zorgen dat elk van die vestigingen voldoet aan de verplichtingen die worden opgelegd door de toepasselijke nationale wetgeving. Volgens dat lid onder c past elke lidstaat zijn nationale, ter uitvoering van deze richtlijn vastgestelde bepalingen toe op de verwerking van persoonsgegevens indien de voor de verwerking verantwoordelijke persoon niet is gevestigd op het grondgebied van de Unie en voor de verwerking van persoonsgegevens gebruik maakt van al dan niet geautomatiseerde middelen die zich op het grondgebied van genoemde lidstaten bevinden, behalve indien deze middelen op het grondgebied van de Europese Unie slechts voor doorvoer worden gebruikt.
Bovenstaande bepalingen zijn geïmplementeerd in de Wbp. Artikel 4, eerste lid, aanhef en onder c, is geïmplementeerd in artikel 4, tweede lid, van de Wbp. Artikel 28, eerste lid, is geïmplementeerd in artikel 51, eerste lid, van de Wbp. Deze implementatie is naar het oordeel van de Afdeling op volledige en juiste wijze geschied. Op grond van het beginsel van Unietrouw, als bedoeld in artikel 4, derde lid, van het Verdrag betreffende de Europese Unie bestaat de plicht om dit artikel in overeenstemming met de Privacyrichtlijn uit te leggen en rekening te houden met het doel van de Privacyrichtlijn.
6.1. Ingevolge artikel 51, eerste lid, van de Wbp heeft het Cbp tot taak toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij of krachtens de wet bepaalde. Tevens houdt het Cbp toezicht op de verwerking van persoonsgegevens in Nederland, wanneer de verwerking plaatsvindt overeenkomstig het recht van een ander land van de EU. Ingevolge artikel 4, eerste lid, van de Wbp is deze wet van toepassing op de verwerking van persoonsgegevens in het kader van activiteiten van een vestiging van een verantwoordelijke in Nederland. Ingevolge het tweede lid is de wet van toepassing op de verwerking van persoonsgegevens door of ten behoeve van een verantwoordelijke die geen vestiging heeft in de EU, waarbij gebruik wordt gemaakt van al dan niet geautomatiseerde middelen die zich in Nederland bevinden, tenzij deze middelen slechts worden gebruikt voor de doorvoer van persoonsgegevens.
Het vorenstaande betekent naar het oordeel van de Afdeling dat de Wbp van toepassing is en daarmee het Cbp bevoegd is als de verwerking van de persoonsgegevens wordt verricht in het kader van activiteiten van een vestiging van een verantwoordelijke in Nederland en op de verwerking van persoonsgegevens door of ten behoeve van een verantwoordelijke die geen vestiging heeft in de EU, waarbij gebruik wordt gemaakt van al dan niet geautomatiseerde middelen die zich in Nederland bevinden, tenzij deze middelen slechts worden gebruikt voor de doorvoer van persoonsgegevens. Daarnaast moet het Cbp toezichthouden op de verwerking van persoonsgegevens op Nederlands grondgebied, wanneer de verwerking plaatsvindt overeenkomstig het recht van een ander land van de EU.
7. De Afdeling maakt voor de beoordeling van de bevoegdheid van het Cbp onderscheid tussen de verwerkingen van de persoonsgegevens door AMC, [bedrijf C], [bedrijf D], [bedrijf B] onderscheidenlijk [bedrijf A].
Niet in geschil is dat het Cbp bevoegd is voor zover het de verwerking van de persoonsgegevens door het AMC en [bedrijf C] betreft.
De door [bedrijf D] verrichte verwerkingen van de persoonsgegevens hebben plaatsgevonden in of vanuit het grondgebied van het Verenigd Koninkrijk, zodat ingevolge artikel 28, zesde lid, eerste volzin, van de Privacyrichtlijn de op het grondgebied van het Verenigd Koninkrijk bevoegde toezichthoudende autoriteit bevoegd is om in rechte op te treden tegen inbreuken op ter uitvoering van deze richtlijn vastgestelde nationale bepalingen.
[bedrijf B] is een eveneens in het Verenigd Koninkrijk gevestigd recherchebureau. Voor zover [bedrijf B] de verwerkingen van de [appellant A] en [appellant B] betreffende persoonsgegevens heeft uitgevoerd op het grondgebied van het Verenigd Koninkrijk is ingevolge artikel 28, zesde lid, eerste volzin, van de Privacyrichtlijn de op dat grondgebied bevoegde toezichthoudende autoriteit bevoegd om in rechte op te treden tegen inbreuken op ter uitvoering van deze richtlijn vastgestelde nationale bepalingen. Op de door [bedrijf B] op Nederlands grondgebied verrichte verwerkingen zal de Afdeling in overweging 8. en volgende ingaan.
[bedrijf A] is een in de Verenigde Staten gevestigde onderneming. Het opslaan van de door [bedrijf D], [bedrijf B] en [bedrijf C] aan haar doorgegeven persoonsgegevens van [appellant A] en [appellant B] door [bedrijf A] in haar zich in de Verenigde Staten bevindende computersystemen valt naar het voorlopige oordeel van de Afdeling niet onder de bevoegdheid van het Cbp omdat deze verwerkingen niet op Nederlands grondgebied hebben plaatsgevonden.
Aanleiding voor de prejudiciële vragen
8. De Afdeling moet beoordelen of het Cbp bevoegd is te oordelen over de verwerking in Nederland van persoonsgegevens van [appellant A] en [appellant B] door [bedrijf B] in opdracht van [bedrijf A]. Daartoe moet worden onderzocht wie als verantwoordelijke voor de verwerking van de persoonsgegevens moet worden aangemerkt en hoe artikel 4, eerste lid, aanhef en onder a en c, van de Privacyrichtlijn over het toepasselijke recht moet worden uitgelegd.
Op basis van de door partijen ter beschikking gestelde stukken en de feiten zoals geschetst door partijen heeft [bedrijf A], naar het voorlopige oordeel van de Afdeling, in dit geval het doel van de verwerking van de [appellant A] en [appellant B] betreffende persoonsgegevens vastgesteld. [bedrijf A] wilde immers een aantal gegevens over de persoonlijke omstandigheden van [appellant A] en [appellant B] verzamelen om zodoende te verifiëren of [appellant A] voldeed aan de voorwaarden voor het blijven ontvangen van de arbeidsongeschiktheidsuitkering en heeft opdrachten gegeven aan [bedrijf D], [bedrijf B] en [bedrijf C] om die gegevens te verzamelen, vast te leggen, te bewaren, op te vragen en door te zenden. De Afdeling merkt derhalve in dit stadium van het geding in ieder geval [bedrijf A] aan als de voor de verwerking verantwoordelijke en [bedrijf D], [bedrijf B], [bedrijf C] en AMC als verwerker als bedoeld in artikel 2, aanhef en onder d, onderscheidenlijk artikel 2, aanhef en onder e, van de Privacyrichtlijn.
De Afdeling ziet zich voor de vraag gesteld of het Cbp zich terecht op het standpunt heeft gesteld dat het niet bevoegd is de in opdracht van [bedrijf A] door [bedrijf B] als verwerker in Nederland uitgevoerde verwerkingen van de persoonsgegevens van [appellant A] en [appellant B] te onderzoeken en bij geconstateerde overtredingen handhavend op te treden.
Nu de voor de verwerking verantwoordelijke, [bedrijf A], niet is gevestigd en ook geen dochterondernemingen heeft binnen de EU, derhalve geen activiteiten uitoefent in het kader van een vestiging binnen dat gebied, is naar het oordeel van de Afdeling het bepaalde in artikel 4, eerste lid, aanhef en onder a, van de Privacyrichtlijn niet van toepassing. De vraag ligt voor of [bedrijf A] bij het verzamelen van de [appellant A] en [appellant B] betreffende persoonsgegevens gebruik heeft gemaakt van al dan niet geautomatiseerde middelen die zich in Nederland bevinden, als bedoeld in artikel 4, eerste lid, aanhef en onder c, van de Privacyrichtlijn.
8.1. Ingevolge artikel 4 van Pro de Privacyrichtlijn is uitgangspunt voor het toepasselijke recht binnen de EU de plaats waar de verantwoordelijke is gevestigd. Voor een verantwoordelijke die buiten de EU is gevestigd en die met behulp van zich in een lidstaat bevindende middelen gegevens verwerkt, is, ingevolge het eerste lid, aanhef en onder c, de plaats van die middelen bepalend voor het toepasselijke recht, tenzij die middelen slechts worden gebruikt voor de doorvoer van persoonsgegevens.
Uit punt 20 van de bij de Privacyrichtlijn behorende preambule volgt dat met artikel 4, eerste lid, aanhef en onder c, van de Privacyrichtlijn wordt voorkomen dat de vestiging in een derde land van de voor de verwerking verantwoordelijke in de weg staat aan de bescherming waarin de Privacyrichtlijn voorziet. Door te bepalen dat in dit geval de verwerking moet worden geregeld door het recht van de lidstaat waarin de gebruikte middelen zich bevinden, worden de rechten en verplichtingen waarin de Privacyrichtlijn voorziet gewaarborgd en in de praktijk geëerbiedigd. Die doelstelling is volgens punt 2 van de preambule dat de lidstaten in verband met de verwerking van persoonsgegevens een adequate en volledige bescherming van fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer, waarborgen. Het belang van deze doelstelling heeft het Hof van Justitie van de Europese Unie (hierna: het Hof) bevestigd in zijn arrest van 13 mei 2014 in zaak C-131/12, Google Spain, ECLI:EU:C:2014:317, punten 53 tot en met 58. Volgens het Hof brengt deze doelstelling met zich dat artikel 4 van Pro de Privacyrichtlijn niet restrictief mag worden uitgelegd.
De zogenoemde artikel 29 Groep Pro, die is opgericht op grond van artikel 29 van Pro de Privacyrichtlijn en fungeert als onafhankelijk Europees adviesorgaan inzake gegevensbescherming en de persoonlijke levenssfeer, heeft op 16 december 2010, nr. 8/2010, een niet bindend advies uitgebracht over de werkingssfeer van de Privacyrichtlijn. Volgens dit uitgebreide advies wordt met artikel 4, eerste lid, aanhef en onder c, van de Privacyrichtlijn beoogd het recht op de bescherming van persoonsgegevens dat deze richtlijn biedt te waarborgen, zelfs indien de voor de verwerking verantwoordelijke niet is gevestigd op het grondgebied van de EU (bladzijde 21). Voorts behoeft volgens dit advies de werkingssfeer van dit artikel verduidelijking en moet artikel 4 ruim Pro worden uitgelegd gezien de doelstelling van de Privacyrichtlijn om personen te beschermen en juridische leemten in de toepassing van de beginselen voor de gegevensbescherming te voorkomen (bladzijde 22). Onder middelen moeten volgens dit advies (bladzijde 23) mede worden verstaan menselijke en/of technische middelen, zoals enquêtes en onderzoeken. De verzameling van informatie door middel van vragenlijsten valt er onder. Ook de door een buiten de EU voor de verwerking gevestigde verantwoordelijke aan een verwerker uitbestede activiteit die binnen de EU wordt verricht, valt volgens dit advies onder het begrip ‘middelen’. De zinsnede ‘behalve indien deze middelen op het grondgebied van de Europese Gemeenschap slechts voor doorvoer worden gebruikt’ moet, omdat het gaat om een uitzondering op het middelen-criterium, eng worden uitgelegd, aldus het advies (blz. 24).
8.2. Niet bestreden is dat een medewerker van [bedrijf B] een aantal dagen in Nederland is geweest om informatie te verzamelen over [appellant A]. Die medewerker van [bedrijf B] heeft een aantal dagen bij het appartement van [appellant A] en [appellant B] de activiteiten en de uiterlijke gezondheidstoestand van [appellant A] geobserveerd. In zijn schriftelijke verslag van de observaties heeft de medewerker onder meer beschreven dat [appellant A] gedurende de vier dagen tamelijk inactief is geweest en slechts twee maal kort wandelend en fietsend buiten het appartement is gezien. Voorts heeft hij beschreven dat [appellant A] er behalve een wat bleke teint fit en goed uit zag en geen overduidelijke kenmerken van fysieke beperkingen of pijn vertoonde. Zijn observaties heeft de medewerker van [bedrijf B] schriftelijk in een brief aan [bedrijf A] en in filmopnames vastgelegd. Daarbij heeft [bedrijf B] gebruik gemaakt van apparatuur, zoals materiaal om aantekeningen te maken over het geobserveerde en een filmcamera. Gelet op de in verband met de doelstelling van de Privacyrichtlijn ruime uitleg die moet worden gegeven aan het begrip ‘middelen’ en in aanmerking genomen dat ingevolge artikel 2, aanhef en onder b, van de Privacyrichtlijn onder verwerken ook het opvragen en verzamelen van gegevens valt, rijst de vraag of het opdracht geven aan een recherchebureau om middelen in te zetten, zoals [bedrijf A] heeft gedaan, moet worden aangemerkt als het gebruik maken van middelen die zich in Nederland bevonden ten tijde van het verwerken van de persoonsgegevens. Naar het oordeel van de Afdeling geven de bewoordingen van artikel 4, eerste lid, aanhef en onder c, van de Privacyrichtlijn en de gegeven toelichtingen in de preambule en het advies van de artikel 29 Groep Pro geen uitsluitsel over het toepasselijke recht in dit geval. Het Hof heeft over de uitleg van dit artikellid in situaties als de onderhavige nog niet geoordeeld. Dit betekent dat de Afdeling niet kan beoordelen of het Cbp bevoegd is op grond van de Wbp op te treden tegen de in opdracht van [bedrijf A] door [bedrijf B] verrichte verwerkingen van de persoonsgegevens van [appellant A] en [appellant B] in Nederland.
8.3. Gelet op het vorenstaande legt de Afdeling het Hof de volgende vraag voor:
Valt het door een voor de verwerking verantwoordelijke, als bedoeld in artikel 2, aanhef en onder d, van de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995 L 281), buiten de EU opdrachtgeven aan een recherchebureau gevestigd binnen de EU om middelen in te zetten voor de verwerking van persoonsgegevens op het grondgebied van een lidstaat onder het gebruik maken van middelen als bedoeld in artikel 4, eerste lid, aanhef en onder c, van die richtlijn?
Rechtsbescherming: prioriteitstelling bij de inzet van handhavingsinstrumenten in het licht van de verplichtingen uit artikel 28, derde lid, van de Privacyrichtlijn
9. De Privacyrichtlijn heeft als doel de adequate en volledige bescherming van fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid het recht op persoonlijke levenssfeer, te waarborgen. Ter effectuering en naleving van de in de Privacyrichtlijn gegeven rechten bevat artikel 28, derde lid, van de Privacyrichtlijn de verplichting dat elke toezichthoudende autoriteit beschikt over onderzoeksbevoegdheden, effectieve bevoegdheden om in te grijpen en de bevoegdheid om in rechte op te treden in geval van inbreuken op ter uitvoering van deze richtlijn vastgestelde nationale bepalingen. Dat dit ook geldt voor individuele natuurlijke personen volgt uit het bepaalde in het vierde lid van dit artikel, waarin staat dat een ieder in eigen persoon bij elke toezichthoudende autoriteit een verzoek kan indienen met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van persoonsgegevens.
Daarnaast bevat artikel 22 de Pro bepaling dat onverminderd de administratieve voorziening een ieder zich tot de rechter kan wenden wanneer de rechten die hem worden gegarandeerd door het op de betrokken verwerking toepasselijke nationale recht worden geschonden.
De Afdeling leidt uit het vorenstaande af dat de verantwoordelijkheid voor de effectieve rechtsbescherming van een individuele persoon niet alleen bij de toezichthoudende autoriteit ligt maar ook via de civiele rechter kan worden bewerkstelligd.
10. Ingevolge artikel 50, eerste lid, van de Wbp kan de rechter, indien de verantwoordelijke of de bewerker handelt in strijd met het bij of krachtens deze wet bepaalde en een ander daardoor schade lijdt of dreigt te lijden, hem op vordering van die ander zodanig gedrag verbieden en hem bevelen maatregelen te treffen tot herstel van de gevolgen van dat gedrag. De betrokkene kan de civiele vordering aan de kantonrechter voorleggen indien deze niet meer bedraagt dan € 25.000,00 en de civiele procedure zelf voeren, nu bijstand door een advocaat in die gevallen niet is vereist. Indien de civiele vordering hoger is dan dit bedrag moet de betrokkene de procedure voeren voor de rechtbank en is vertegenwoordiging door een advocaat verplicht.
11. De artikelen 60 en volgende van de Wbp voorzien in bestuursrechtelijke voorzieningen ter naleving van die wet. Zoals eerder overwogen heeft het Cbp met toepassing van artikel 4:81, eerste lid, van de Awb voor de uitoefening van zijn bevoegdheden om bij overtredingen van de Wbp ingevolge de artikelen 65 en 66 van de Wbp handhavend op te treden beleidsregels vastgesteld in de Beleidsregels. Ingevolge artikel 4:84 van Pro de Awb is het Cbp gehouden in beginsel te handelen overeenkomstig deze Beleidsregels, maar kan het in bijzondere gevallen gemotiveerd daarvan afwijken.
De Beleidsregels zijn opgesteld omdat het Cbp wegens beperkte menskracht en middelen zich gedwongen ziet prioriteiten te stellen bij de inzet van handhavingsinstrumenten. Die prioritering is voorts ingegeven door overwegingen van effectiviteit. Het Cbp kan een last onder dwangsom opleggen. Een last onder dwangsom is gericht op het door de overtreder beëindigen van een bestaande, nog voortdurende, overtreding en kan niet effectief worden ingezet bij overtredingen die in het verleden hebben plaatsgevonden. De overtreder die niet of niet tijdig aan de last voldoet, wordt ertoe verplicht om een geldsom (de dwangsom) te betalen. Daarnaast kan het Cbp op grond van het nationale recht slechts bij de overtreding van de meldingsplicht een bestuurlijke boete opleggen. De bestuurlijke boete is een bestraffende sanctie die een onvoorwaardelijke verplichting voor de overtreder inhoudt om een geldsom te betalen.
Om te bepalen aan welke overtredingen bij de handhaving prioriteit moeten worden gegeven heeft het Cbp in artikel 4.1 van de Beleidsregels criteria geformuleerd. Volgens artikel 4.2 van de Beleidsregels moet aan deze criteria cumulatief zijn voldaan. Volgens datzelfde artikel is dat alleen anders in het geval zwaarwichtige gronden zich daartegen verzetten.
11.1. Het Cbp heeft het verzoek van [appellant A] en [appellant B] afgewezen met toepassing van de Beleidsregels. Naar het oordeel van de Afdeling heeft het Cbp zich terecht op het standpunt gesteld dat in dit geval niet is voldaan aan de in artikel 4.1 van de Beleidsregels genoemde criteria.
Het Cbp heeft voorts in de omstandigheden van dit geval geen aanleiding gezien toepassing te geven aan de in artikel 4.2 van de Beleidsregels opgenomen afwijkingsmogelijkheid. Het Cbp heeft daarvoor redengevend geacht dat geen signalen van andere betrokkenen zijn ontvangen over mogelijke overtredingen van de Wbp door de ondernemingen waarover [appellant A] en [appellant B] hebben geklaagd en dat het in deze zaak om één individueel geval gaat. In een dergelijk geval hanteert het Cbp als uitgangspunt dat de natuurlijke persoon ingevolge artikel 50 van Pro de Wbp bij de civiele rechter een verbod op de verboden gedraging en herstel van de gevolgen kan vorderen, indien hij schade lijdt of dreigt te lijden. Voorts heeft het Cbp daarbij betrokken dat in dit geval vraagtekens kunnen worden gezet bij het te verwachten effect van de inzet van handhavingsinstrumenten door het Cbp omdat het verzoek van [appellant A] en [appellant B] betrekking heeft op handelen dat in het verleden heeft plaatsgevonden.
Zoals het Cbp ter zitting in hoger beroep heeft betoogd is in bepaalde gevallen wel gebruik gemaakt van de bevoegdheid om over te gaan tot handhaving zonder dat aan alle criteria van artikel 4.1 van de Beleidsregels was voldaan. In alle genoemde gevallen werd echter voldaan aan het criterium dat een grotere groep personen door de overtreding was geraakt.
11.2. Naar het oordeel van de Afdeling laten de bewoordingen van de artikelen 4.1 en 4.2 van de Beleidsregels het Cbp ruimte om in individuele gevallen over te gaan tot een onderzoek en, in het geval een overtreding wordt vastgesteld, tot handhaving. Het Cbp heeft de Beleidsregels tot dusver echter op zodanige wijze toegepast dat de door een individuele natuurlijke persoon ingediende klacht niet door hem in behandeling wordt genomen.
De vraag rijst hoe een zodanige beperking van een effectieve rechtsbescherming in individuele gevallen zich verhoudt tot de verplichtingen die voortvloeien uit artikel 28, derde lid, van de Privacyrichtlijn in samenhang met artikel 28, vierde lid, van die richtlijn.
11.3. De Afdeling stelt vast dat artikel 28, derde lid, van de Privacyrichtlijn een discretionaire ruimte bevat voor de nationale toezichthoudende autoriteiten bij de handhaving van die richtlijn. De Afdeling vraagt zich evenwel af of de grenzen van deze ruimte niet worden overschreden indien in alle gevallen verzoeken om behandeling van een klacht in individuele gevallen worden afgewezen, omdat op deze manier het nuttig effect van het in de Privacyrichtlijn voorziene administratieve toezicht in gevaar komt. Dat er in het nationale recht ook de mogelijkheid is opengesteld om de gestelde overtreding en/of schade buiten de toezichthouder om bij de civiele rechter aan de orde te stellen, doet volgens de Afdeling niet af aan de verplichting van de lidstaten om het resultaat van de Privacyrichtlijn op het vlak van het administratieve toezicht daadwerkelijk te verzekeren. Deze vraag is nog niet aan de orde geweest in de rechtspraak van het Hof.
11.4. Gelet op het vorenstaande legt de Afdeling het Hof de volgende vraag voor:
Laat de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995 L 281), in het bijzonder artikel 28, derde en vierde lid, gelet op de doelstelling van die richtlijn, ruimte aan de nationale autoriteiten om bij handhaving van de in die richtlijn gegeven bescherming van de individuele persoon door de toezichthoudende autoriteit prioriteiten te stellen die ertoe leiden dat handhaving achterwege blijft in het geval slechts een individu of een kleine groep personen over de overtreding van die richtlijn klaagt?
12. De behandeling van het hoger beroep zal worden geschorst totdat het Hof uitspraak heeft gedaan.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
I. verzoekt het Hof van Justitie van de Europese Unie bij wege van prejudiciële beslissing uitspraak te doen op de volgende vragen:
1) Valt het door een voor de verwerking verantwoordelijke, als bedoeld in artikel 2, aanhef en onder d, van de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995 L 281), buiten de EU opdrachtgeven aan een recherchebureau gevestigd binnen de EU om middelen in te zetten voor de verwerking van persoonsgegevens op het grondgebied van een lidstaat onder het gebruik maken van middelen als bedoeld in artikel 4, eerste lid, aanhef en onder c, van die richtlijn?
2) Laat de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995 L 281), in het bijzonder artikel 28, derde en vierde lid, gelet op de doelstelling van die richtlijn, ruimte aan de nationale autoriteiten om bij handhaving van de in die richtlijn gegeven bescherming van de individuele persoon door de toezichthoudende autoriteit prioriteiten te stellen die ertoe leiden dat handhaving achterwege blijft in het geval slechts een individu of een kleine groep personen over de overtreding van die richtlijn klaagt?
II. schorst de behandeling van het hoger beroep tot het Hof van Justitie van de Europese Unie uitspraak heeft gedaan en houdt iedere verdere beslissing aan.
Aldus vastgesteld door mr. C.J. Borman, voorzitter, en mr. N. Verheij en mr. C.M. Wissels, leden, in tegenwoordigheid van mr. S.C. van Tuyll van Serooskerken, griffier.
w.g. Borman w.g. Van Tuyll van Serooskerken
voorzitter griffier
Uitgesproken in het openbaar op 15 april 2015
290.