Mgr. L. H. tegen Ministerstvo zdravotnictví

• 1.

  Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 4, punt 1, en artikel 6, lid 1, onder c) en e), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).

• 2.

  Dit verzoek is ingediend in het kader van een geding tussen L. H. en het Ministerstvo zdravotnictví (ministerie van Volksgezondheid, Tsjechië) in verband met een besluit van laatstgenoemde om bepaalde gegevens betreffende vertegenwoordigers van rechtspersonen die vermeld staan op overeenkomsten voor de aankoop van screeningtests voor COVID‑19 en op de certificaten voor deze tests, niet mee te delen aan L. H.

 Unierecht

• 3.

  De overwegingen 1, 4, 10, 14 en 154 AVG luiden:

  „(1)      De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (het ‚Handvest’) en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van zijn persoonsgegevens.

  [...]

  (4)      De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie‑ en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid.

  [...]

  (10)      Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. Met het oog op de verwerking van persoonsgegevens voor het vervullen van een wettelijke verplichting, voor het vervullen van een taak van algemeen belang of bij de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, moet de lidstaten worden toegestaan nationale bepalingen te handhaven of in te voeren ter nadere precisering van de wijze waarop de regels van deze verordening moeten worden toegepast. [...] In zoverre staat deze verordening niet in de weg aan lidstatelijk recht waarin specifieke situaties op het gebied van gegevensverwerking nader worden omschreven, meer bepaald door nauwkeuriger te bepalen in welke gevallen verwerking van persoonsgegevens rechtmatig geschiedt.

  [...]

  (14)      De bescherming die door deze verordening wordt geboden, heeft betrekking op natuurlijke personen, ongeacht hun nationaliteit of verblijfplaats, in verband met de verwerking van hun persoonsgegevens. Deze verordening heeft geen betrekking op de verwerking van gegevens over rechtspersonen en met name als rechtspersonen gevestigde ondernemingen, zoals de naam en de rechtsvorm van de rechtspersoon en de contactgegevens van de rechtspersoon.

  [...]

  (154)      Deze verordening biedt de mogelijkheid om bij de toepassing daarvan rekening te houden met het beginsel [van] recht van toegang van het publiek tot officiële documenten. De toegang van het publiek tot officiële documenten kan als een algemeen belang worden beschouwd. Persoonsgegevens in documenten die in het bezit zijn van een overheidsinstantie of overheidsorgaan, moeten door die instantie of dat orgaan kunnen worden vrijgegeven, indien in het Unierecht of het lidstatelijke recht dat op de overheidsinstantie of het overheidsorgaan van toepassing is, in de vrijgave van die gegevens wordt voorzien. Die wetgeving moet de toegang van het publiek tot officiële documenten en het hergebruik van overheidsinformatie verzoenen met het recht op bescherming van persoonsgegevens, en mag derhalve voorzien in de noodzakelijke afstemming op het recht op de bescherming van persoonsgegevens krachtens deze verordening. De verwijzing naar overheidsinstanties en -organen in die context moet alle autoriteiten en andere organen die onder het lidstatelijke recht inzake de toegang van het publiek tot documenten vallen, omvatten. [...]”

• 4.

  Artikel 1 AVG, met als opschrift „Onderwerp en doelstellingen”, bepaalt in lid 2:

  „Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.”

• 5.

  Artikel 4 AVG, met het opschrift „Definities”, bepaalt:

  „Voor de toepassing van deze verordening wordt verstaan onder:

  1)      ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

  2)      ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

  [...]”

• 6.

  Artikel 5 AVG, met het opschrift „Beginselen inzake verwerking van persoonsgegevens”, luidt als volgt:

  „1.      Persoonsgegevens moeten:

  a)      worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);

  [...]”

• 7.

  Artikel 6 AVG, „Rechtmatigheid van de verwerking”, luidt:

  „1.      De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

  a)      de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

  b)      de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;

  c)      de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

  d)      de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;

  e)      de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

  f)      de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

  [...]

  2.      De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.

  3.      De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:

  a)      Unierecht; of

  b)      lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.

  Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.

  [...]”

• 8.

  Artikel 86 AVG, met als opschrift „Verwerking en recht van toegang van het publiek tot officiële documenten”, maakt deel uit van hoofdstuk IX van deze verordening, dat bepalingen bevat over specifieke situaties op het gebied van gegevensverwerking. Deze bepaling luidt:

  „Persoonsgegevens in officiële documenten die voor de uitvoering van een taak van algemeen belang in het bezit zijn van een overheidsinstantie, een overheidsorgaan of een particulier orgaan, mogen door de instantie of het orgaan in kwestie worden bekendgemaakt in overeenstemming met het Unierecht of het lidstatelijke recht dat op de overheidsinstantie of het orgaan van toepassing is, teneinde het recht van toegang van het publiek tot officiële documenten in overeenstemming te brengen met het recht op bescherming van persoonsgegevens uit hoofde van deze verordening.”

 Tsjechisch recht

• 9.

  Zákon č. 106/1999 Sb., o svobodném přístupu k informacím (wet nr. 106/1999 inzake de vrije toegang tot informatie) voorziet in de verplichting voor overheidsinstanties om informatie te verstrekken aan de natuurlijke of rechtspersoon die daarom verzoekt.

• 10.

  § 8a, lid 1, van deze wet bepaalt dat de informatieplichtige informatie over de persoonlijkheid, de persoonlijke levenssfeer, het privéleven van een natuurlijke persoon en persoonsgegevens enkel volgens de voor de bescherming van die informatie geldende regeling kan verstrekken.

 Hoofdgeding en prejudiciële vragen

• 11.

  L. H. heeft bij het ministerie van Volksgezondheid een verzoek ingediend om informatie te verkrijgen over de identificatie van personen die overeenkomsten hadden ondertekend die door dit ministerie waren gesloten voor de aankoop van screeningtests voor COVID‑19, alsmede certificaten voor die tests die aangaven dat zij mochten worden gebruikt op het grondgebied van de Unie.

• 12.

  Dat ministerie heeft het verzoek van L. H. gedeeltelijk ingewilligd en heeft hem de certificaten voor die tests doen toekomen, waarbij het de informatie omtrent de natuurlijke personen die deze certificaten namens de betrokken rechtspersonen hadden ondertekend, onleesbaar had gemaakt, met inbegrip van de voor‑ en achternaam, handtekening en functie van die natuurlijke personen, alsmede, in een aantal gevallen, het e‑mailadres, het telefoonnummer en de website van die rechtspersonen. Deze informatie werd onleesbaar gemaakt om de persoonsgegevens van de op deze certificaten vermelde natuurlijke personen te beschermen overeenkomstig de voorschriften van de AVG.

• 13.

  L. H. heeft bij de Městský soud v Praze (rechter voor de stad Praag, Tsjechië) beroep ingesteld met het oog op de nietigverklaring van dat besluit van het ministerie van Volksgezondheid, voor zover genoemde gegevens onleesbaar waren gemaakt. Deze rechter heeft dit beroep ingewilligd omdat het ministerie niet principieel had kunnen weigeren om gegevens te verstrekken die persoonsgegevens vormden zonder vooraf de betrokkenen te hebben geïnformeerd of hun mening te hebben gevraagd over dat verzoek om verstrekking van deze gegevens, zoals de relevante nationale rechtspraak dit aangeeft. Volgens deze rechter heeft het ministerie van Volksgezondheid namelijk, door aldus te handelen, ten eerste nagelaten de betrokkenen als „deelnemers aan de procedure” in de zin van het nationale recht te erkennen, en ten tweede er zich niet rechtens genoegzaam van vergewist dat aan geen enkele van de in artikel 6, lid 1, AVG bedoelde rechtmatigheidsvoorwaarden was voldaan.

• 14.

  Het ministerie van Volksgezondheid heeft tegen de beslissing van de Městský soud v Praze cassatieberoep ingesteld bij de Nejvyšší správní soud (hoogste bestuursrechter, Tsjechië), de verwijzende rechter. Volgens dit ministerie kan het feit dat de betrokken natuurlijke personen niet in kennis zijn gesteld van het verzoek om verstrekking van de betrokken gegevens, geen procedurefout vormen. Het ministerie voert aan dat deze personen hun activiteiten uitoefenen vanuit China en het Verenigd Koninkrijk, alwaar de rechtspersonen zijn ingeschreven die de certificaten hebben afgegeven, en dat het de woonplaats van die personen niet kent. Het is voor dat ministerie dan ook onmogelijk om die personen daarover te informeren en te raadplegen.

• 15.

  In deze context vraagt de verwijzende rechter zich in de eerste plaats af of de in het hoofdgeding aan de orde zijnde gegevens „persoonsgegevens” in de zin van artikel 4, punt 1, AVG zijn. In het licht van overweging 14 van die verordening is hij eerder geneigd aan te nemen dat dergelijke informatie gegevens betreffende een rechtspersoon vormen die niet binnen de werkingssfeer van die verordening vallen. De verwijzende rechter merkt evenwel op dat de rechtspraak van het Hof de voorkeur geeft aan een ruime uitlegging van het begrip „persoonsgegevens”, waaruit zou blijken dat informatie over identificeerbare natuurlijke personen, die met name afkomstig is uit een handelsregister, onder dit begrip valt.

• 16.

  Voor het geval dat het Hof zou oordelen dat de in het hoofdgeding aan de orde zijnde gegevens persoonsgegevens zijn, vraagt de verwijzende rechter zich in de tweede plaats af of de relevante nationale rechtspraak op grond waarvan de verwerkingsverantwoordelijke bij wie een verzoek om verstrekking van die gegevens is ingediend, verplicht is om de betrokkene te informeren en te raadplegen alvorens die gegevens aan de verzoeker mee te delen, verenigbaar is met het Unierecht. De verwijzende rechter verklaart voorts nader dat deze verplichting ook geldt in situaties waarin op grond van de AVG als zodanig geen toestemming van de betrokkene is vereist, namelijk in andere situaties dan die waarnaar wordt verwezen in artikel 6, lid 1, onder a), AVG. Die verplichting gaat dus verder dan de vereisten van de AVG en maakt de toegang tot de betrokken gegevens dan ook mogelijkerwijs moeilijker dan in andere lidstaten. Gelet op de werkingssfeer van de AVG zou het bovendien moeilijk of zelfs onmogelijk zijn om systematisch de verplichting tot informatieverstrekking en voorafgaande raadpleging na te leven, met name wanneer het gaat om bestanden met betrekking tot grote aantallen personen die in verschillende landen zijn gevestigd.

• 17.

  Daarop heeft de Nejvyšší správní soud de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

  „1)      Vormt het verstrekken van de voor‑ en achternaam, de handtekening en de contactgegevens van een natuurlijke persoon die bestuurder of bevoegde vertegenwoordiger is van een rechtspersoon, met het uitsluitende doel (de persoon die bevoegd is om op te treden namens) die rechtspersoon te identificeren, een verwerking van ‚persoonsgegevens’ van een natuurlijke persoon in de zin van artikel 4, punt 1, AVG en valt dit bijgevolg binnen de werkingssfeer van die verordening?

  2)      Kan het nationale recht, met inbegrip van de vaste rechtspraak van de rechterlijke instanties, de toepassing door een bestuurlijke autoriteit van een verordening van de Unie met rechtstreekse werking, inzonderheid van artikel 6, lid 1, onder c) of, in voorkomend geval, onder e), AVG, afhankelijk stellen van de vervulling van verdere voorwaarden die niet voortvloeien uit de bewoordingen van de verordening zelf maar die het niveau van bescherming van de betrokkene feitelijk verhogen, meer bepaald van de voorwaarde dat de bestuurlijke autoriteit de betrokkene er vooraf van in kennis stelt dat om verstrekking van zijn persoonsgegevens aan een derde is verzocht?”

 Eerste vraag

• 18.

  Met zijn eerste vraag wenst de verwijzende rechter in essentie te vernemen of artikel 4, punten 1 en 2, AVG aldus moet worden uitgelegd dat de verstrekking van de voor‑ en achternaam, de handtekening en de contactgegevens van een natuurlijke persoon die een rechtspersoon vertegenwoordigt een verwerking van persoonsgegevens vormt, ook al worden deze gegevens alleen maar verstrekt om de natuurlijke persoon te kunnen identificeren die gemachtigd is om in naam van de rechtspersoon te handelen.

• 19.

  Vooraf zij opgemerkt dat volgens de aanwijzingen van de verwijzende rechter de rechtspersonen die de in het hoofdgeding aan de orde zijnde certificaten hebben afgegeven, zijn gevestigd in derde landen, namelijk China en het Verenigd Koninkrijk. Hoewel dergelijke rechtspersonen onder bepaalde voorwaarden kunnen worden onderworpen aan de openbaarmakingsregels van richtlijn (EU) 2017/1132 van het Europees Parlement en de Raad van 14 juni 2017 aangaande bepaalde aspecten van het vennootschapsrecht (PB 2017, L 169, blz. 46), met name wat betreft de verplichte openbaarmaking van de identiteit van de personen die bevoegd zijn deze rechtspersonen te verbinden jegens derden, wijst niets in het dossier waarover het Hof beschikt erop dat deze richtlijn in de onderhavige zaak relevant is.

• 20.

  Na deze inleidende opmerking zij eraan herinnerd dat volgens artikel 4, punt 1, AVG onder „persoonsgegevens” wordt verstaan „alle informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon”. Als „identificeerbaar” in de zin van deze bepaling wordt beschouwd „een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”.

• 21.

  Volgens vaste rechtspraak wijst het gebruik van de woorden „alle informatie” in de definitie van het begrip „persoonsgegevens” in deze bepaling op de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, dat zich potentieel uitstrekt tot elk soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene „betreft”. Informatie heeft betrekking op een geïdentificeerde of identificeerbare persoon wanneer die informatie wegens haar inhoud, doel of gevolg gelieerd is aan een identificeerbare persoon (arresten van 7 maart 2024, IAB Europe, C‑604/22, EU:C:2024:214, punten 36 en 37, en 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punten 130 en 131 en aldaar aangehaalde rechtspraak).

• 22.

  De informatie over de identiteit van de geïdentificeerde of identificeerbare natuurlijke personen die, als orgaan waarin de wet voorziet of als leden van een dergelijk orgaan, de bevoegdheid hebben de vennootschap ten opzichte van derden te verbinden, vormen dus „persoonsgegevens” in de zin van artikel 4, punt 1, AVG. De omstandigheid dat deze informatie behoort tot een professionele context doet niet af aan de kwalificatie ervan als persoonsgegevens (zie naar analogie arrest van 9 maart 2017, Manni, C‑398/15, EU:C:2017:197, punten 32 en 34 en aldaar aangehaalde rechtspraak).

• 23.

  Zoals de Commissie heeft opgemerkt, laat overweging 14 van de AVG die uitlegging onverlet. De tweede volzin van die overweging verwijst immers onder meer naar de „naam” en de „contactgegevens” van de rechtspersoon, en niet naar de natuurlijke personen die in naam of voor rekening van een rechtspersoon handelen.

• 24.

  In casu moet worden vastgesteld dat de voor‑ en achternaam van een geïdentificeerde of identificeerbare natuurlijke persoon persoonsgegevens in de zin van artikel 4, punt 1, AVG vormen. Hetzelfde geldt voor de handtekening van een dergelijke natuurlijke persoon (zie in die zin arrest van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 136).

• 25.

  Met betrekking tot de andere in het hoofdgeding aan de orde zijnde contactgegevens staat het aan de verwijzende rechter om, gelet op de in punt 21 van het onderhavige arrest in herinnering gebrachte rechtspraak, na te gaan of deze contactgegevens betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon.

• 26.

  Wat het begrip „verwerking” in de zin van artikel 4, punt 2, AVG betreft, moet „verwerking” worden begrepen als „een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”.

• 27.

  Derhalve blijkt uit de uitdrukking „een bewerking” dat de wetgever aan het begrip „verwerking” een ruime strekking heeft willen geven, hetgeen steun vindt in het feit dat de in die bepaling opgesomde bewerkingen, waaronder het verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, die al dan niet geautomatiseerd kunnen zijn, niet uitputtend zijn, wat blijkt uit de uitdrukking „zoals” (zie in die zin arrest van 7 maart 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, punten 29 en 30 en aldaar aangehaalde rechtspraak).

• 28.

  Hoe dan ook blijkt uit de bewoordingen van artikel 4, punt 2, AVG geenszins dat de Uniewetgever de kwalificatie als „verwerking” heeft willen voorbehouden aan die verrichtingen naargelang van het doel ervan.

• 29.

  Deze uitlegging wordt bevestigd door het doel van de AVG – zoals dat blijkt uit artikel 1 en de overwegingen 1 en 10 ervan – met name het waarborgen van een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen, in het bijzonder van hun in artikel 8, lid 1, van het Handvest en artikel 16, lid 1, VWEU erkende recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens (zie in die zin arrest van 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punt 21 en aldaar aangehaalde rechtspraak).

• 30.

  In het onderhavige geval valt de verstrekking van gegevens zoals de voor‑ en achternaam, de handtekening en de contactgegevens van een natuurlijke persoon die een rechtspersoon vertegenwoordigt, onder het begrip „verwerking” in de zin van artikel 4, punt 2, AVG. Zoals blijkt uit de punten 27 tot en met 29 van dit arrest, is de omstandigheid dat de verstrekking van dergelijke gegevens uitsluitend tot doel heeft de identificatie mogelijk te maken van een natuurlijke persoon die bevoegd is om namens een rechtspersoon op te treden, irrelevant voor de kwalificatie als „verwerking” in de zin van die bepaling.

• 31.

  Gelet op een en ander dient op de eerste vraag te worden geantwoord dat artikel 4, punten 1 en 2, AVG aldus moet worden uitgelegd dat de verstrekking van de voor‑ en achternaam, de handtekening en de contactgegevens van een natuurlijke persoon die een rechtspersoon vertegenwoordigt, een verwerking van persoonsgegevens vormt. De omstandigheid dat deze verstrekking uitsluitend wordt verricht om de identificatie mogelijk te maken van de natuurlijke persoon die bevoegd is om namens deze rechtspersoon op te treden, is in dit verband irrelevant.

 Tweede vraag

• 32.

  Met zijn tweede vraag wenst de verwijzende rechter in essentie te vernemen of artikel 6, lid 1, onder c) en e), AVG aldus moet worden uitgelegd dat het zich verzet tegen nationale rechtspraak op grond waarvan een verwerkingsverantwoordelijke, die een overheidsinstantie is die tot taak heeft het recht van toegang van het publiek tot officiële documenten te verzoenen met het recht op bescherming van persoonsgegevens, de betrokken natuurlijke persoon moet informeren en raadplegen alvorens officiële documenten met dergelijke gegevens te verstrekken.

• 33.

  Overeenkomstig het in punt 29 van het onderhavige arrest in herinnering gebrachte doel van de AVG moet elke verwerking van persoonsgegevens met name in overeenstemming zijn met de beginselen inzake de verwerking van dergelijke gegevens die zijn opgenomen in artikel 5 van deze verordening, en moet zij voldoen aan de in artikel 6 van deze verordening opgesomde rechtmatigheidsvoorwaarden (zie in die zin arrest van 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punt 22 en aldaar aangehaalde rechtspraak).

• 34.

  Dienaangaande bepaalt artikel 5, lid 1, onder a), AVG dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is.

• 35.

  Artikel 6, lid 1, onder c), AVG bepaalt dat de verwerking rechtmatig kan zijn indien en voor zover zij noodzakelijk is om een op de verwerkingsverantwoordelijke rustende wettelijke verplichting na te komen. Volgens artikel 6, lid 1, eerste alinea, onder e), van deze verordening is een dergelijke verwerking ook rechtmatig als zij noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.

• 36.

  Overeenkomstig artikel 6, lid 2, AVG kunnen de lidstaten specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, onder c) en e), van dat artikel worden toegepast. Hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX van de AVG.

• 37.

  Artikel 6, lid 3, AVG bepaalt dat de grondslag voor de in artikel 6, lid 1, onder c) en e), bedoelde verwerking, naargelang van het geval, moet worden vastgesteld bij Unierecht of het lidstatelijke recht dat op de verwerkingsverantwoordelijke van toepassing is. De relevante rechtsgrond moet beantwoorden aan een doelstelling van algemeen belang en evenredig zijn met het nagestreefde gerechtvaardigde doel. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van de AVG aan te passen, zoals onder meer algemene voorwaarden inzake de rechtmatigheid van de verwerking door de verwerkingsverantwoordelijke of van de verwerkingen en verwerkingsprocedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX van de AVG.

• 38.

  Bovendien bepaalt artikel 86 AVG, dat deel uitmaakt van hoofdstuk IX van deze verordening, met betrekking tot de toegang van het publiek tot officiële documenten dat persoonsgegevens in officiële documenten die door een overheidsinstantie of een publiek of particulier orgaan voor de uitvoering van een taak van algemeen belang worden bijgehouden, door die instantie of dat orgaan worden bekendgemaakt in overeenstemming met het Unierecht of het lidstatelijke recht teneinde de openbare toegang tot officiële documenten in overeenstemming te brengen met het recht op bescherming van persoonsgegevens.

• 39.

  Dit artikel moet worden gelezen in het licht van, ten eerste, overweging 4 AVG, waarin met name staat dat het recht op bescherming van persoonsgegevens geen absoluut recht is, ten tweede, overweging 154 van deze verordening, waaruit onder meer blijkt dat de toegang van het publiek tot officiële documenten als een algemeen belang kan worden beschouwd, en ten derde, de rechtspraak volgens welke het transparantiebeginsel zoals dat voortvloeit uit de artikelen 1 en 10 VEU en artikel 15 VWEU een betere deelneming van de burgers aan het besluitvormingsproces mogelijk maakt en een grotere legitimiteit en meer doelmatigheid en verantwoordelijkheid van de administratie waarborgt ten opzichte van de burgers binnen een democratisch systeem (arrest van 22 november 2022, Luxembourg Business Registers, C‑37/20 en C‑601/20, EU:C:2022:912, punt 60 en aldaar aangehaalde rechtspraak).

• 40.

  Uit overweging 10 AVG volgt weliswaar dat de lidstaten nationale bepalingen mogen handhaven of invoeren ter nadere precisering van de wijze waarop de regels van deze verordening moeten worden toegepast, maar dit neemt niet weg dat zij hun beoordelingsmarge moeten aanwenden onder de voorwaarden en binnen de beperkingen van die verordening en dus een wettelijke regeling moeten invoeren die geen afbreuk doet aan de inhoud ervan (zie in die zin arrest van 30 maart 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punt 59 en aldaar aangehaalde rechtspraak).

• 41.

  Bovendien moeten de lidstaten zich er overeenkomstig het evenredigheidsbeginsel van vergewissen dat de praktische gevolgen, met name van organisatorische aard, die voortvloeien uit de door hen gestelde aanvullende eisen, niet buitensporig zijn (zie in die zin arrest van 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punt 67).

• 42.

  In casu kan de in het hoofdgeding aan de orde zijnde verwerking zowel onder punt c) als onder punt e) van artikel 6, lid 1, AVG vallen, aangezien zij bij wet nr. 106/1999 aan de verwerkingsverantwoordelijke is opgelegd in het kader van de vervulling van een taak van algemeen belang die erin bestaat de toegang van het publiek tot officiële documenten te waarborgen. In dit verband staat vast dat deze wet de overheidsinstanties verplicht om informatie, met inbegrip van officiële documenten, mee te delen aan de personen die daarom verzoeken.

• 43.

  Wanneer de gevraagde informatie persoonsgegevens bevat, bepaalt deze wet evenwel dat deze gegevens alleen mogen worden verstrekt met inachtneming van de regelgeving strekkende tot bescherming ervan, daaronder begrepen, zoals de verwijzende rechter opmerkt, de AVG. Uit de verwijzingsbeslissing blijkt dat de rechtspraak van de verwijzende rechter aanvullende verplichtingen oplegt naast die waarin deze verordening uitdrukkelijk voorziet. Zij verplicht de overheidsinstanties namelijk om de betrokkene te informeren en te raadplegen alvorens die gegevens te verstrekken.

• 44.

  Aangaande de vraag of nationale rechtspraak als die in het hoofdgeding verenigbaar is met de AVG, moet worden vastgesteld dat de lidstaten op grond van de in de punten 36 en 37 van het onderhavige arrest genoemde bepalingen specifieke bepalingen mogen invoeren om een rechtmatige en behoorlijke verwerking te waarborgen in specifieke verwerkingssituaties, zoals de situatie waarnaar wordt verwezen in artikel 86 AVG. In zoverre kan een dergelijke rechtspraak deel uitmaken van de rechtsgrond van de verwerking in de zin van artikel 6, lid 3, AVG.

• 45.

  Bijgevolg verzet artikel 6, lid 1, onder c) en e), AVG zich in beginsel niet tegen nationale rechtspraak die voorziet in de verplichting om de betrokkene te informeren en te raadplegen voordat aan iemand persoonsgegevens over hem worden verstrekt. Een dergelijke verplichting kan voor deze persoon immers een rechtmatige, eerlijke en transparante verwerking in de zin van artikel 5, lid 1, onder a), AVG waarborgen, doordat zij hem in staat stelt zijn standpunt over de verstrekking kenbaar te maken. Deze verplichting draagt aldus bij tot de verwezenlijking van de in punt 29 van het onderhavige arrest in herinnering gebrachte doelstelling, maar biedt de overheidsinstantie tegelijkertijd de mogelijkheid om met volledige kennis van zaken de toegang van het publiek tot officiële documenten in overeenstemming te brengen met het recht op bescherming van persoonsgegevens, zoals artikel 86 AVG dat vereist.

• 46.

  Gelet op de in de punten 40 en 41 van het onderhavige arrest in herinnering gebrachte rechtspraak zou een absolute toepassing van die verplichting echter kunnen leiden tot een onevenredige beperking van het recht van toegang van het publiek tot officiële documenten. Het is immers denkbaar dat het informeren en/of raadplegen van de betrokkene om verschillende redenen onmogelijk blijkt of onevenredig veel moeite kost. In een dergelijke context zou het argument dat het praktisch onmogelijk is om deze persoon te informeren en te raadplegen, ter rechtvaardiging van een systematische weigering om informatie over die persoon te verstrekken, ertoe leiden dat elke poging om de aan de orde zijnde belangen met elkaar in overeenstemming te brengen wordt uitgesloten, terwijl artikel 86 AVG dat uitdrukkelijk verlangt.

• 47.

  Onder voorbehoud van verificatie door de verwijzende rechter lijkt het ministerie van Volksgezondheid zijn besluit om niet alle gevraagde informatie mee te delen in dit geval alleen op deze praktische onmogelijkheid te hebben gebaseerd, zonder enige poging te hebben ondernomen om de belangen met elkaar in overeenstemming te brengen.

• 48.

  Gelet op een en ander dient op de tweede vraag te worden geantwoord dat artikel 6, lid 1, onder c) en e), AVG, gelezen in samenhang met artikel 86 van deze verordening, aldus moet worden uitgelegd dat het zich niet verzet tegen nationale rechtspraak op grond waarvan een verwerkingsverantwoordelijke, die een overheidsinstantie is die tot taak heeft het recht van toegang van het publiek tot officiële documenten in overeenstemming te brengen met het recht op bescherming van persoonsgegevens, de betrokken natuurlijke persoon moet informeren en raadplegen alvorens officiële documenten met dergelijke gegevens te verstrekken, mits de toepassing van deze verplichting noch onmogelijk is, noch onevenredige inspanningen vereist, en dus niet ertoe leidt dat het recht van het publiek op toegang tot dergelijke documenten op onevenredige wijze wordt beperkt.

 Kosten

• 49.

  Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

  Het Hof (Eerste kamer) verklaart voor recht:

  1)      Artikel 4, punten 1 en 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

  moet aldus worden uitgelegd dat

  de verstrekking van de voor‑ en achternaam, de handtekening en de contactgegevens van een natuurlijke persoon die een rechtspersoon vertegenwoordigt, een verwerking van persoonsgegevens vormt. De omstandigheid dat deze verstrekking uitsluitend wordt verricht om de identificatie mogelijk te maken van de natuurlijke persoon die bevoegd is om namens deze rechtspersoon op te treden, is in dit verband irrelevant.

  2)      Artikel 6, lid 1, onder c) en e), van verordening 2016/679, gelezen in samenhang met artikel 86 van deze verordening,

  moet aldus worden uitgelegd dat

  het zich niet verzet tegen nationale rechtspraak op grond waarvan een verwerkingsverantwoordelijke, die een overheidsinstantie is die tot taak heeft het recht van toegang van het publiek tot officiële documenten in overeenstemming te brengen met het recht op bescherming van persoonsgegevens, de betrokken natuurlijke persoon moet informeren en raadplegen alvorens officiële documenten met dergelijke gegevens te verstrekken, mits de toepassing van deze verplichting noch onmogelijk is, noch onevenredige inspanningen vereist, en dus niet ertoe leidt dat het recht van het publiek op toegang tot dergelijke documenten op onevenredige wijze wordt beperkt.

  ondertekeningen

  *      Procestaal: Tsjechisch.