Op 4 mei 2023 heeft de Advocaat-Generaal Emiliou (“AG”) van het Hof van Justitie van de Europese Unie (“HvJEU”) een conclusie uitgebracht in de zaak C-683/21, waarin onder andere de toepassing van het beboetingssysteem van artikel 83 van de Algemene Verordening Gegevensbescherming (“AVG”) centraal stond.
Achtergrond van de zaak
Het geschil ontstond tussen het Litouwse nationaal centrum voor volksgezondheid (“NVSC”) en de Litouwse gegevensbeschermingsautoriteit over de ontwikkeling van een corona-App door NVSC. De Litouwse Minister van Volksgezondheid gaf in maart 2020 NVSC de opdracht voor de ontwikkeling en aankoop van de App. NVSC schakelde het bedrijf ITSS in om de App te ontwikkelen met de intentie deze in een later stadium te verwerven. De App werd ontwikkeld en voor het publiek beschikbaar gesteld in verschillende App stores, waarbij zowel ITSS als NVSC als verwerkingsverantwoordelijken stonden genoemd. NVSC zou hiervoor nooit officieel goedkeuring of toestemming hebben verleend.
Er werd een aanbestedingsprocedure gestart om de aanschaf van de App door NVSC voort te zetten, maar is bij gebrek aan financiële middelen beëindigd. De App bleef echter wel beschikbaar in de App stores.
Na onderzoek legde de Litouwse gegevensbeschermingsautoriteit administratieve geldboeten op aan NVSC en ITSS, in hun hoedanigheid van gezamenlijke verwerkingsverantwoordelijken, wegens meerdere inbreuken op de AVG. Het NVSC ging tegen deze beslissing in beroep bij de nationale Litouwse rechter, die zes prejudiciële vragen aan het HvJEU voorlegde. In deze blog bespreken we de zesde vraag.
Conclusie van de AG
De zesde vraag, die uitgaat van een situatie tussen een verwerkingsverantwoordelijke en een verwerker, ziet op de voorwaarden van de administratieve boete onder artikel 83 lid 1 AVG. De AG verdeelt de zesde prejudiciële vraag van de Litouwse rechter in twee onderdelen, namelijk of:
- een administratieve geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke en verwerker die de AVG niet opzettelijk of uit nalatigheid hebben geschonden?; en
- of er aan een verwerkingsverantwoordelijke een boete op kan worden gelegd als de onrechtmatige verwerking van persoonsgegevens niet door de verwerkingsverantwoordelijke zelf, maar door de verwerker is verricht?
De AG start de beantwoording van deze vraag met het benoemen van het feit dat dit de eerste keer zal zijn dat het HvJEU uitleg zal geven aan artikel 83 AVG. Vervolgens schetst de AG het beoordelingskader van dit artikel.
Voor de beantwoording van het eerste deel van de vraag wijst de AG erop dat op basis van de wettekst van artikel 83 AVG zou kunnen worden gesteld dat dit artikel op twee manieren kan worden uitgelegd. Maar de AG is van mening dat de uitleg waarin opzet of nalatigheid (d.w.z. schuld) een vereiste voorwaarde is voor het opleggen van een geldboete strookt met de bedoeling van de Uniewetgever.
De AG haalt meerdere redenen aan om tot deze conclusie te komen. Zo benadrukt hij dat deze uitleg in overeenstemming is met het primaire doel van de AVG, namelijk het bieden van een consistent en hoog beschermingsniveau aan natuurlijke personen. Verder is de AG van mening dat het voor toezichthouders zelden moeilijk zou zijn om aan te nemen dat een inbreuk op de AVG zonder enige schuld wordt begaan, zonder dat er op zijn minst sprake is van nalatigheid, aangezien de drempel voor nalatigheid in de praktijk erg laag is. De AG adviseert het HvJEU dan ook om aansluiting te zoeken bij het beboetingssysteem in het mededingingsrecht, dat ook alleen van toepassing is als opzet of nalatigheid is aangetoond.
Volgens de AG kunnen EU-lidstaten hier geen andere uitleg aan geven en hebben zij in dit kader geen beoordelingsvrijheid. Met andere woorden, de EU-lidstaten zijn niet vrij om te bepalen of opzet of schuld een vereiste voorwaarde is voor het opleggen van een geldboete. Dit strookt namelijk niet met de harmonisatie die de AVG beoogt te bereiken tussen de EU-lidstaten. Wel kunnen zij bij nationale wetgeving procedurele voorwaarden stellen aan het opleggen van een geldboete.
Voor de beantwoording van het tweede deel van de vraag is de AG van mening dat de definities van verwerkingsverantwoordelijke (artikel 4 punt 7 AVG) en verwerker (artikel 4 punt 8 AVG) bevestigen dat een geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke, ook al is de onrechtmatige verwerking van persoonsgegevens uitsluitend verricht door de verwerker en heeft de verwerkingsverantwoordelijke niet deelgenomen aan de verwerking. De AG is van mening dat dit mogelijk is zolang de verwerker:
- de persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke,
- handelt binnen het kader van de gegeven opdracht,
- de persoonsgegevens niet voor haar eigen doeleinden gebruikt, en
- het duidelijk is dat partijen niet als gezamenlijke verwerkingsverantwoordelijken hebben gehandeld.
Kortom, de AG komt tot de conclusie dat opzet of nalatigheid moet worden vastgesteld voordat op basis van artikel 83 AVG een geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke of een verwerker. Verder kan een verwerkingsverantwoordelijke worden beboet indien een verwerker, opzettelijk of uit nalatigheid de AVG schendt, ongeacht of de verwerkingsverantwoordelijke zelf de persoonsgegevens heeft verwerkt.
En nu?
Het HvJEU zal nu uitspraak gaan doen over deze kwestie. Deze conclusie van de AG is daarbij niet bindend voor het HvJEU. De conclusie van de AG is slechts een advies voor het HvJEU en het is uiteindelijk aan het HvJEU om een bindende uitspraak te doen. De uitspraak van het HvJEU zal naar verwachting eind dit jaar of het begin 2024 worden gedaan.
Lees de volledige conclusie van de AG via onderstaande knop.
