62023TJ0070_RES
Gevoegde zaken T‑70/23, T‑84/23 en T‑111/23
(gedeeltelijke publicatie)
Data Protection Commission
tegen
Europees Comité voor gegevensbescherming
Arrest van het Gerecht van 29 januari 2025
„Bescherming van persoonsgegevens – Artikel 65, lid 1, onder a), van verordening (EU) 2016/679 – Bindend besluit waarbij een leidende toezichthoudende autoriteit wordt opgedragen de omvang van het onderzoek uit te breiden en een aanvullend ontwerpbesluit op te stellen – Bevoegdheid van het Europees Comité voor gegevensbescherming”
Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Bevoegdheid van het Europees Comité voor gegevensbescherming (EDPB) – Omvang – Bindend besluit waarbij een leidende toezichthoudende autoriteit wordt opgedragen de omvang van een onderzoek uit te breiden en een aanvullend ontwerpbesluit op te stellen – Daaronder begrepen
[Art. 39 VEU; art. 16, leden 1 en 2, art. 101 en 102 VWEU; Handvest van de grondrechten van de Europese Unie, art. 8, leden 1 en 3; verordening 2016/679 van het Europees Parlement en de Raad, overwegingen 126, 136, en 141, art. 4, punt 24, art. 57, lid 1, a) en f), art. 58, lid 2, art. 60, art. 65, lid 1, a), en leden 2, 3 en 6, en art. 66]
(zie punten 35, 36, 38‑40, 43‑45, 49‑54, 56‑59, 62, 63, 68‑75, 77‑82)
Samenvatting
Het Gerecht (uitgebreide kamer) verwerpt de beroepen van de Data Protection Commission, de Ierse toezichthoudende autoriteit voor de bescherming van persoonsgegevens, tot gedeeltelijke nietigverklaring van bindende besluiten van het Europees Comité voor gegevensbescherming (EDPB). In zijn arrest spreekt het zich voor het eerst uit over de bevoegdheid van het EDPB om een nationale toezichthoudende autoriteit te verplichten haar analyse van een dossier en, in voorkomend geval, haar onderzoek uit te breiden.
Na overleg met de andere betrokken toezichthoudende autoriteiten heeft de Data Protection Commission, als leidende toezichthoudende autoriteit, vastgesteld dat er geen consensus was over de bezwaren tegen haar ontwerpbesluiten betreffende de grensoverschrijdende verwerking van gegevens in verband met het gebruik van het sociale netwerk Facebook, het sociale netwerk Instagram en de berichtendienst WhatsApp. Daarom heeft zij zich tot het EDPB gewend in het kader van het coherentiemechanisme (
1
).
Na onderzoek van de drie dossiers oordeelde het EDPB dat de meeste bezwaren tegen de ontwerpbesluiten relevant en gemotiveerd waren en heeft zij besloten een standpunt in te nemen over de kwesties die deze bezwaren opwierpen.
Zo heeft het op 5 december 2022 bindende besluiten vastgesteld waarbij de Data Protection Commission werd gelast nieuw onderzoek te verrichten naar de gegevensverwerking bij het gebruik van de drie bovengenoemde applicaties en op basis daarvan aanvullende ontwerp-beschikkingen op te stellen.
De Data Protection Commission heeft vervolgens de bevoegdheid van het EDPB betwist om haar bij bindende besluiten dergelijke maatregelen op te leggen.
Beoordeling door het Gerecht
In de eerste plaats verduidelijkt het Gerecht de omvang van de bevoegdheid van het EDPB (
2
) op basis van een letterlijke, contextuele en teleologische analyse van de AVG.
In dit verband merkt het Gerecht om te beginnen op dat het EDPB volgens een letterlijke uitlegging van de relevante bepalingen van de AVG (
3
) bevoegd is om bepalingen zoals de bestreden bepalingen vast te stellen, die de leidende toezichthoudende autoriteit opdragen een nieuw onderzoek in te stellen naar bepaalde aspecten van de betrokken dossiers en vervolgens nieuwe ontwerpbesluiten vast te stellen. Aangezien het bindende besluit van het EDPB betrekking moet hebben op alle aangelegenheden die het onderwerp van relevante en gemotiveerde bezwaren zijn, staan de relevante bepalingen van de AVG er niet aan in de weg dat, wanneer het EDPB instemt met een relevant en gemotiveerd bezwaar dat betrekking heeft op een ontbrekende of ontoereikende analyse in het ontwerpbesluit van een aspect waardoor het onmogelijk is te weten of er sprake is van een inbreuk op die verordening, dit besluit de leidende toezichthoudende autoriteit gelast om dit gebrek aan analyse te verhelpen en het tot dan toe verrichte onderzoek te verdiepen of uit te breiden, indien dit gelet op het dossier waarover het EDPB beschikt noodzakelijk blijkt. Indien naar voren komt dat het dossier ontoereikend is om de vereiste analyse volledig uit te voeren, moet het EDPB de leidende toezichthoudende autoriteit kunnen verplichten tot aanvullend onderzoek.
Vervolgens oordeelt het Gerecht in het kader van de contextuele uitlegging van de relevante bepalingen van de AVG dat de in die verordening neergelegde algemene context van de verplichting tot samenwerking tussen de toezichthoudende autoriteiten die betrokken zijn bij een bepaald dossier bevestigt dat het EDPB bevoegd is om de in geding zijnde maatregelen vast te stellen.
In dit verband wijst het erop dat de procedure van samenwerking tussen de toezichthoudende autoriteiten die betrokken zijn bij een bepaald dossier (
4
), welke procedure kan inhouden dat het coherentiemechanisme van het EDPB in werking treedt, geen „eenrichtingsprocedure” is waarin de fasen elkaar altijd opvolgen in de volgorde van de bepalingen ter zake, zonder mogelijkheid om terug te keren naar een eerdere fase of tijdelijk in dezelfde fase te blijven.
Voorts merkt het Gerecht op dat het onderzoek van de voorwaarden waaronder een verwerking van persoonsgegevens wordt verricht en van de overeenstemming ervan met de AVG niet mag worden beperkt tot wat een klager in zijn klacht naar voren brengt. In het bijzonder impliceert het volledig uitvoeren van de in de AVG genoemde taken van de toezichthoudende autoriteiten – die erin bestaan de toepassing van deze verordening te handhaven en klachten te behandelen in de mate waarin dat gepast is (
5
) – dat het dossier in geschikte mate wordt geanalyseerd in het licht van de klacht die eraan ten grondslag ligt, maar ook in het licht van de andere elementen die deze kunnen aanvullen. Een relevant en gemotiveerd bezwaar heeft volgens de definitie ervan betrekking op aspecten waarvan de analyse wel degelijk onder de twee bovengenoemde taken valt. Dat een relevant en gemotiveerd bezwaar betrekking heeft op de omvang van de analyse en, in voorkomend geval, de omvang van het onderzoek, en dat het EDPB hieraan gevolg geeft, doet dan ook geen afbreuk aan deze taken.
Ten slotte benadrukt het Gerecht dat het onderzoek van de doelstellingen van de AVG eveneens de letterlijke uitlegging van de relevante bepalingen van de AVG bevestigt.
In dit verband herinnert het Gerecht er met name aan dat het mechanisme van samenwerking tussen de toezichthoudende autoriteiten die betrokken zijn bij een bepaald dossier op zijn grenzen botst wanneer deze autoriteiten niet tot een consensus komen. Het is in deze situatie dat de kwestie waarover geen consensus kan worden bereikt door de leidende toezichthoudende autoriteit moet worden voorgelegd aan het coherentiemechanisme, wat leidt tot een bindend besluit van het EDPB. In geval van heropening van een onderzoek moet de bevoegde autoriteit binnen de door de AVG gestelde termijn een definitief besluit nemen over de materiële aspecten die zijn geanalyseerd en beslecht na een bindend besluit van het EDPB. Dit belet de bevoegde autoriteit niet om nader onderzoek te verrichten en aspecten van de zaak te analyseren die nog niet zijn onderzocht.
In de tweede plaats oordeelt het Gerecht dat de voorwaarden voor toekenning van een bevoegdheid aan een orgaan van de Unie niet in de weg staan aan de uitlegging volgens welke het EDPB bevoegd is om een leidende toezichthoudende autoriteit te verplichten haar analyse en, in voorkomend geval, haar onderzoek uit te breiden. De uitoefening van die bevoegdheid wordt namelijk begrensd door verschillende criteria en voorwaarden die de speelruimte ervan beperken. Ten eerste wordt deze bevoegdheid slechts uitgeoefend wanneer duidelijk is vastgesteld dat de analyse van de leidende toezichthoudende autoriteit bij de behandeling van het dossier ontoereikend is en dit belangrijke gevolgen kan hebben, zoals blijkt uit de definitie van een relevant en gemotiveerd bezwaar. Ten tweede vloeit deze bevoegdheid voort uit de collectieve beoordeling door de toezichthoudende autoriteiten waaruit het EDPB bestaat.
Voorts preciseert het Gerecht dat de uitoefening van die bevoegdheid aan rechterlijke toetsing is onderworpen. Meer concreet is de Unierechter, binnen de grenzen van de middelen die voor hem worden aangevoerd, in staat om de materiële rechtmatigheid van de betwiste bepalingen te toetsen in het licht van de omstandigheden van het geval. Hij zou met name in eerste instantie kunnen nagaan of het EDPB, door dergelijke bepalingen vast te stellen, inderdaad gevolg heeft gegeven aan een relevant en gemotiveerd bezwaar van een toezichthoudende autoriteit. In tweede instantie zou hij kunnen nagaan of dergelijke bepalingen waarbij de toezichthoudende autoriteiten instructies worden gegeven, rechtmatig zijn.
In dit verband voegt het Gerecht daaraan toe dat een bindend besluit van het EDPB waarbij een leidende toezichthoudende autoriteit wordt gelast haar analyse en onderzoek uit te breiden, niet afdoet aan haar vermogen om prioriteiten te stellen bij de uitvoering van haar verschillende taken als onafhankelijke autoriteit, wat uitsluitend door de nationale rechter kan worden getoetst. Een dergelijk besluit doet evenmin – meer in het algemeen – afbreuk aan haar onafhankelijkheid (
6
).
(
1
)	Overeenkomstig artikel 60, lid 4, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).
(
2
)	Krachtens artikel 65, lid 1, onder a), AVG.
(
3
)	Artikel 65, lid 1, onder a), AVG, gelezen in samenhang met artikel 4, punt 24, artikel 65, lid 6, en de overwegingen 126 en 136 van deze verordening.
(
4
)	Zoals bedoeld in artikel 60 AVG.
(
5
)	Artikel 57, lid 1, onder a) en f), AVG.
(
6
)	Zoals neergelegd in artikel 39 VEU, artikel 16, lid 2, VWEU en artikel 8, lid 3, van het Handvest van de grondrechten.