Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
R. NORKUS
van 16 april 2026 (1)
Zaak C‑205/25
Joachim Lindenberg
tegen
Bayerisches Landesamt für Datenschutzaufsicht
[verzoek van het Bayerische Verwaltungsgericht Ansbach (bestuursrechter in eerste aanleg van de deelstaat Beieren, Ansbach, Duitsland) om een prejudiciële beslissing]
„ Prejudiciële verwijzing – Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 15 – Verzoek van de betrokkene om inzage in zijn persoonsgegevens – Artikel 77 – Gegevens in het dossier van een toezichthoudende autoriteit die optreedt in het kader van een klachtenprocedure – Artikel 4, punt 7 – Begrip ‚verwerkingsverantwoordelijke’ – Artikel 23 – Beperkingen van het recht van inzage – Nationale regeling die elke inzage in het dossier uitsluit ”
I.      Inleiding
1.        Het onderhavige verzoek om een prejudiciële beslissing van het Bayerische Verwaltungsgericht Ansbach (bestuursrechter in eerste aanleg van de deelstaat Beieren, Ansbach, Duitsland) krachtens artikel 267 VWEU betreft de uitlegging van artikel 4, punten 7 en 21, en de artikelen 15, 23, en 77 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)(2) (hierna: „AVG”).
2.        Dit verzoek om een prejudiciële beslissing is ingediend in het kader van een geding tussen Joachim Lindenberg, een journalist die is gespecialiseerd in gegevensbescherming, en het Bayerische Landesamt für Datenschutzaufsicht (autoriteit van de deelstaat Beieren die is belast met het toezicht op de gegevensbescherming, Duitsland; hierna: „Landesamt”) over de weigering van deze autoriteit om hem op grond van artikel 15 AVG volledige inzage in zijn dossier te verlenen in het kader van een procedure die is ingeleid naar aanleiding van een klacht die hij tegen een derde had ingediend. Het Landesamt heeft als reden voor deze weigering een Beierse bepaling aangevoerd die uitsluit dat het publiek toegang heeft tot dossiers van de toezichthoudende autoriteiten. Naar aanleiding van het door Lindenberg ingestelde beroep heeft deze autoriteit uiteindelijk elektronisch inzage verleend in het dossier, zonder evenwel te erkennen dat er sprake was van een juridische fout, terwijl verzoeker volhardt in zijn verzoek tot vaststelling van de onrechtmatigheid van de oorspronkelijke weigering. Aangezien de verwijzende rechter van oordeel is dat voor de beslechting van het geding de relevante bepalingen van de AVG moeten worden uitgelegd en de verenigbaarheid van de Beierse wetgeving met het Unierecht moet worden onderzocht, heeft hij de behandeling van de zaak geschorst en het Hof twee prejudiciële vragen gesteld.
3.        Het Hof wordt verzocht zich uit te spreken over de vraag of een toezichthoudende autoriteit op het gebied van gegevensbescherming in het kader van een krachtens artikel 77 AVG ingeleide klachtenprocedure als „verwerkingsverantwoordelijke” kan worden aangemerkt in de zin van artikel 4, punt 7, AVG, en in hoeverre zij verplicht is om te voldoen aan de in artikel 15 AVG vastgelegde verplichtingen inzake inzage. Het Hof wordt met name verzocht om te onderzoeken of het Unierecht zich verzet tegen een nationale regeling op grond waarvan de betrokkenen geen enkel recht op toegang tot het dossier hebben. Deze beoordeling moet worden verricht in het licht van artikel 23 AVG, op grond waarvan het om bepaalde redenen van algemeen belang is toegestaan om de in deze verordening vastgestelde verplichtingen inzake inzage te beperken, en artikel 8, lid 2, van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”), dat waarborgt dat eenieder recht van inzage heeft in de over hem verzamelde gegevens. In dit verband zal het Hof het vereiste van transparantie van het bestuursoptreden en de noodzaak om de doeltreffendheid van onderzoeken op het gebied van gegevensbescherming te waarborgen tegen elkaar moeten afwegen.
II.    Toepasselijke bepalingen
A.      Unierecht
4.        In het kader van de onderhavige zaak zijn de artikelen 8 en 52 van het Handvest, artikel 16 VWEU, artikel 4, punten 1, 2, 7 en 9, en de artikelen 5, 15, 23, 51, 57, 58 en 77 AVG relevant.
B.      Duits recht
5.        Volgens artikel 18 van het Bayerische Datenschutzgesetz (Beierse wet inzake gegevensbescherming; hierna: „BayDSG”) is het Landesamt een toezichthoudende autoriteit voor niet-publieke instanties.
6.        Artikel 20 BayDSG bepaalt:
„(1) 1Eenieder kan een klacht indienen bij de toezichthoudende autoriteiten en aanvoeren dat zijn rechten zijn geschonden bij de verwerking van zijn persoonsgegevens. 2De betrokkene mag geen nadeel ondervinden van het indienen van een klacht bij de toezichthoudende autoriteiten.
(2)      Er bestaat geen recht op informatie of inzage ten aanzien van dossiers en bestanden van de toezichthoudende autoriteiten.”
7.        In de memorie van toelichting bij de wet met betrekking tot artikel 20, lid 2, BayDSG wordt vermeld dat deze bepaling van toepassing is en elk recht van inzage in de zin van artikel 15 AVG uitsluit wanneer een dergelijk recht wordt ingeroepen jegens het Landesamt ten aanzien van diens dossiers en bestanden.
III. Aan het hoofdgeding ten grondslag liggende feiten, procedure in het hoofdgeding en prejudiciële vragen
8.        Lindenberg is journalist en verzorgt een blog waarin het onder meer over gegevensbescherming gaat. Sinds 2021 heeft hij bij het Landesamt verschillende klachtenprocedures ingeleid.
9.        Nadat Lindenberg op 13 mei 2022 bij het Landesamt een klacht inzake gegevensbescherming had ingediend, heeft het Landesamt een prudentiële klachtenprocedure ingeleid tegen een derde. Het Landesamt heeft Lindenberg bij e-mail van 11 oktober 2022 meegedeeld dat is vastgesteld dat de persoon tegen wie de klacht is ingediend, inbreuken op de gegevensbescherming heeft gemaakt. Het Landesamt heeft daaraan toegevoegd dat de persoon tegen wie de klacht was ingediend, na het verstrijken van de termijn om die inbreuken aan te pakken, boetes krijgt opgelegd indien hij nieuwe inbreuken begaat. Per e-mail op diezelfde dag heeft Lindenberg verzocht om mededeling van meer details met betrekking tot de door het Landesamt genomen maatregelen. Aangezien laatstgenoemde dit verzoek niet heeft ingewilligd, heeft Lindenberg per e-mail van 11 oktober 2022 verzocht om volledige informatie op grond van artikel 15, leden 1 en 3, AVG.
10.      Per e-mail en bij besluit van 20 oktober 2022 heeft het Landesamt dat verzoek om inzage uit hoofde van artikel 15, leden 1 en 3, AVG afgewezen. Het Landesamt heeft deze afwijzing gemotiveerd met het argument dat artikel 20, lid 2, BayDSG uitdrukkelijk bepaalt dat er geen recht op informatie of inzage bestaat ten aanzien van dossiers en bestanden van de toezichthoudende autoriteiten.
11.      Lindenberg heeft tegen dit besluit beroep ingesteld bij het Bayerische Verwaltungsgericht Ansbach, met het verzoek het Landesamt te gelasten aan hem een kopie te verstrekken van alle gegevens in het dossier van de op 13 mei 2022 ingeleide klachtenprocedure.
12.      Op 23 februari 2024 heeft het Landesamt elektronisch inzage verleend in het dossier van de prudentiële klachtenprocedure die was ingeleid naar aanleiding van de klacht van Lindenberg, zonder evenwel te erkennen dat daartoe een wettelijke verplichting bestond.
13.      Thans vraagt Lindenberg uitsluitend dat wordt vastgesteld dat het besluit van het Landesamt van 20 oktober 2022, waarbij het verzoek om inzage is afgewezen, onrechtmatig is.
14.      De verwijzende rechter merkt op dat wanneer een klager, zoals Lindenberg, krachtens artikel 77 AVG een klachtenprocedure inleidt bij een toezichthoudende autoriteit voor gegevensbescherming, zoals het Landesamt, deze autoriteit jegens hem optreedt als toezichthoudende autoriteit in de zin van artikel 4, punt 21, AVG. Sommigen, waaronder het Landesamt, zijn van mening dat hierdoor wordt uitgesloten dat de toezichthoudende autoriteit voor gegevensbescherming ten aanzien van de klager „verwerkingsverantwoordelijke” is in de zin van artikel 15 AVG, gelezen in samenhang met artikel 4, punt 7, daarvan, en dat dit van meet af aan in de weg staat aan het recht van inzage van de klager jegens de toezichthoudende autoriteit voor gegevensbescherming met betrekking tot de persoonsgegevens die voortvloeien uit de klachtenprocedure.
15.      De verwijzende rechter gaat daarentegen ervan uit dat een toezichthoudende autoriteit voor gegevensbescherming tegelijkertijd toezichthoudende autoriteit in de zin van artikel 4, punt 21, AVG en verwerkingsverantwoordelijke en wederpartij in de zin van artikel 15, gelezen in samenhang met artikel 4, punt 7, AVG, kan zijn.
16.      De verwijzende rechter is van oordeel dat, indien dit het geval is, de vraag rijst of een volledige uitsluiting van het recht van inzage in dossiers en bestanden van de toezichthoudende autoriteit, zoals bepaald in artikel 20, lid 2, BayDSG, voldoet aan de voorwaarden voor de uitoefening van de bij artikel 23, lid 1, AVG geboden mogelijkheid om beperkingen vast te stellen.
17.      In deze omstandigheden heeft het Bayerische Verwaltungsgericht Ansbach de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1)      Moet artikel 15 [AVG], gelezen in samenhang met artikel 4, punt 7, van die verordening aldus worden uitgelegd dat een toezichthoudende autoriteit in de zin van artikel 4, punt 21, van deze verordening die optreedt naar aanleiding van een door een betrokkene ingeleide klachtenprocedure overeenkomstig artikel 77 van die verordening, tevens ‚verwerkingsverantwoordelijke’ is in de zin van artikel 15 [AVG], gelezen in samenhang met artikel 4, punt 7, van die verordening, en bijgevolg op grond van artikel 15 [AVG] jegens de betrokkene verplicht is om inzage te verlenen?
2)      Indien de eerste vraag bevestigend wordt beantwoord: moet het Unierecht, met name artikel 23 [AVG], aldus worden uitgelegd dat het zich verzet tegen een nationale regeling – zoals het in het hoofdgeding aan de orde zijnde artikel 20, lid 2, [BayDSG] – waarin is bepaald dat er in het algemeen geen recht op informatie of inzage bestaat ten aanzien van dossiers en bestanden van de toezichthoudende autoriteiten in de zin van artikel 4, punt 21, [AVG]?”
IV.    Procedure bij het Hof
18.      De verwijzingsbeslissing van 19 februari 2025 is op 17 maart 2025 ingekomen ter griffie van het Hof.
19.      Het Landesamt, de Bulgaarse en de Letse regering alsook de Europese Commissie hebben schriftelijke opmerkingen ingediend binnen de in artikel 23 van het Statuut van het Hof van Justitie van de Europese Unie vastgestelde termijn.
20.      Ter terechtzitting van 22 januari 2026 hebben de procesgemachtigden van Lindenberg, het Landesamt, de Bulgaarse regering en de Commissie opmerkingen ingediend.
V.      Juridische analyse
A.      Opmerkingen vooraf
21.      De onderhavige zaak werpt een principiële vraag op over de juridische status van de toezichthoudende autoriteiten in het licht van de door de AVG erkende rechten en, in het bijzonder, het door artikel 15 gewaarborgde recht van inzage. Vastgesteld moet worden of een toezichthoudende autoriteit bij het onderzoek van een krachtens artikel 77 AVG ingediende klacht kan worden gekwalificeerd als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG met betrekking tot de in dit verband verwerkte gegevens. Deze kwalificatie is van doorslaggevend belang, aangezien de toepasselijkheid van de verplichtingen inzake inzage die tegen de verwerkingsverantwoordelijke
kunnen worden ingeroepen, hiervan afhangt, en hierbij wordt in bredere zin gekeken naar het evenwicht tussen de bescherming van de individuele rechten en de specifieke kenmerken van de uitoefening van de toezichthoudende taken, die berusten op onafhankelijkheid bij het nemen van beslissingen, vertrouwelijkheid van het onderzoek en doeltreffendheid van de onderzoeksbevoegdheden.
22.      Indien het Hof oordeelt dat een toezichthoudende autoriteit in beginsel gehouden
kan zijn artikel 15 AVG in acht te nemen, rijst er een tweede vraag, van normatieve aard, namelijk of een algemene en volledige uitsluiting van het recht van inzage in administratieve dossiers verenigbaar is met het rechtskader van de Unie. Een dergelijke nationale regeling moet worden onderzocht in het licht van de vereisten van artikel 23 AVG, dat een strikt kader biedt voor de beperkingen die kunnen worden gesteld aan de door deze bepaling gewaarborgde rechten, aangezien deze beperkingen moeten voldoen aan cumulatieve voorwaarden inzake rechtsgrondslag, noodzakelijkheid, evenredigheid en bescherming van de door de Unie erkende doelstellingen van algemeen belang. Bij deze analyse moet ook rekening worden gehouden met de waarborgen die voortvloeien uit het primaire recht, met name die betreffende de eerbiediging van de grondrechten en de doeltreffendheid van de rechtsmiddelen.
23.      De juridische analyse zal dus uit twee opeenvolgende fasen bestaan. Ten eerste dient te worden bepaald of en in hoeverre een toezichthoudende autoriteit in het kader van een klachtenprocedure kan worden gelijkgesteld met een „verwerkingsverantwoordelijke”, zodat zij gebonden is aan de in de AVG vastgestelde verplichtingen inzake inzage.(3) Enkel indien deze vraag bevestigend wordt beantwoord, moet ten tweede worden beoordeeld of een bepaling die algemeen, zonder onderscheid en preventief uitsluit dat er een recht van inzage is in dossiers van de toezichthoudende autoriteiten, verenigbaar is met de geharmoniseerde regeling van de AVG, gelet op de vereisten inzake administratieve transparantie, gegevensbescherming, institutionele onafhankelijkheid en doeltreffendheid van de controlemechanismen, die tegen elkaar moeten worden afgewogen zonder dat een van deze vereisten elke betekenis verliest.(4)
B.      Eerste vraag
1.      Kwalificatie van een toezichthoudende autoriteit als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG
24.      Wat de eventuele kwalificatie van een toezichthoudende autoriteit als „verwerkingsverantwoordelijke” betreft, waarop de eerste prejudiciële vraag betrekking heeft, moet vooraf worden herinnerd aan de juridische definitie van dit begrip, zoals vermeld in artikel 4, punt 7, AVG. Volgens deze bepaling wordt als „verwerkingsverantwoordelijke” beschouwd iedere „natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. In dit verband zij eraan herinnerd dat dit begrip volgens vaste rechtspraak van het Hof ruim moet worden uitgelegd.(5)
25.      In de eerste plaats moet worden vastgesteld dat deze juridische definitie uitdrukkelijk betrekking heeft op „overheidsinstanties”. De bewoordingen zelf van artikel 4, punt 7, AVG sluiten dus geenszins uit dat een toezichthoudende autoriteit als „verwerkingsverantwoordelijke” kan worden aangemerkt. De Uniewetgever heeft bewust ervan afgezien een onderscheid te maken tussen privaatrechtelijke en publiekrechtelijke entiteiten, zoals blijkt uit verschillende overwegingen waarin uitdrukkelijk wordt verwezen naar de verwerking van persoonsgegevens door overheidsinstanties. Daarnaast kan het feit dat een toezichthoudende autoriteit in artikel 4, punt 21, AVG wordt gedefinieerd als een door een lidstaat ingevolge artikel 51 AVG ingestelde onafhankelijke overheidsinstantie, gelet op de ruime en functionele draagwijdte die deze verordening aan het begrip „verwerkingsverantwoordelijke” toekent(6), niet aldus worden uitgelegd dat het eraan in de weg staat dat die autoriteit mogelijk als zodanig wordt gekwalificeerd.
26.      In de tweede plaats zij erop gewezen dat wanneer een dergelijke toezichthoudende autoriteit de haar bij artikel 77 AVG opgedragen taken uitoefent – met name het onderzoek van klachten die betrekking hebben op eventuele inbreuken op de gegevensbeschermingsregels – zij zelf persoonsgegevens moet verwerken. De autoriteit ontvangt deze gegevens niet alleen, maar zij structureert, analyseert, bewaart en gebruikt deze in het kader van de autonome uitoefening van de onderzoeks- en handhavingsbevoegdheden die haar bij de verordening zijn toegekend. Dergelijke bewerkingen vallen mijns inziens binnen de werkingssfeer van artikel 4, punt 2, AVG, waarin het begrip „verwerking” in ruime zin wordt opgevat en los wordt gezien van elke specifieke context, hetgeen alle bewerkingen met betrekking tot gegevens omvat.
27.      Ter onderbouwing van deze analyse zal ik hierna ten eerste ingaan op de wezenlijke kenmerken van de klachtenprocedure van artikel 77 AVG, en ten tweede op de categorieën persoonsgegevens die de toezichthoudende autoriteiten in dat kader regelmatig en concreet moeten verwerken. Deze uiteenzetting zal een beter inzicht geven in de aard en de omvang van de taken die de toezichthoudende autoriteiten uitvoeren wanneer zij een klacht in een dergelijke procedure onderzoeken.
a)      Wezenlijke kenmerken van de „klachtenprocedure” van artikel 77 AVG
28.      De klachtenprocedure(7) van artikel 77 AVG vormt een centraal mechanisme van het systeem van de Unie dat tot doel heeft de bescherming van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te waarborgen. Zij draagt bij aan de operationele uitvoering van het in artikel 8, lid 3, van het Handvest verankerde beginsel dat een onafhankelijke autoriteit erop toeziet dat de regels betreffende de bescherming van gegevens worden nageleefd. Het Hof heeft herhaaldelijk benadrukt dat dit mechanisme voor toezicht niet louter formeel is, maar tot doel heeft de doeltreffende en daadwerkelijke bescherming van de grondrechten te verzekeren.(8)
29.      Artikel 77, lid 1, AVG verleent iedere betrokkene het recht om, zonder specifieke formele vereisten en zonder dat er mogelijk kosten aan verbonden zijn, een klacht in te dienen, met name bij de toezichthoudende autoriteit van de lidstaat waar hij gewoonlijk verblijft, zijn werkplek heeft of waar de beweerde inbreuk is gepleegd. Aangezien dit recht een wezenlijk onderdeel van het bij de verordening ingevoerde beschermingsstelsel vormt, mag het niet aldus worden uitgelegd of toegepast dat de uitoefening ervan praktisch onmogelijk of buitensporig moeilijk wordt gemaakt.(9)
30.      Benadrukt moet worden dat de toezichthoudende autoriteit door de indiening van de klacht niet alleen een algemene onderzoeksbevoegdheid verkrijgt, maar ook feitelijk verplicht is om het dossier volledig, zorgvuldig en onpartijdig te onderzoeken. Uit de rechtspraak van het Hof blijkt namelijk dat elke toezichthoudende autoriteit overeenkomstig artikel 57, lid 1, onder f), AVG verplicht is om op haar grondgebied ingediende klachten te behandelen, de aard ervan te onderzoeken voor zover nodig en deze met de nodige voortvarendheid en zorgvuldigheid te behandelen.(10)
31.      Hieruit volgt dat zij niet mag afzien van de behandeling van een klacht om redenen die enkel verband houden met administratieve efficiëntie of met opportuniteitsoverwegingen. Evenmin mag zij zich ertoe beperken een informele bemiddelende of louter faciliterende rol te spelen. Zij is daarentegen verplicht de gestelde schending feitelijk en rechtens te onderzoeken en, in voorkomend geval, de haar door het Unierecht verleende corrigerende bevoegdheden daadwerkelijk uit te oefenen.(11)
32.      De in artikel 58 AVG opgesomde bevoegdheden moeten volgens de rechtspraak worden uitgelegd in het licht van hun doelstelling, namelijk de volle werking van die verordening te garanderen. Het Hof heeft benadrukt dat de toezichthoudende autoriteiten verplicht zijn om in het geval van een vastgestelde inbreuk „passende en noodzakelijke” corrigerende maatregelen te nemen en gebruik te maken van alle instrumenten waarover zij beschikken. Dit vereiste omvat repressieve maatregelen, aangezien afbreuk kan worden gedaan aan de nuttige werking van de verordening wanneer niet wordt opgetreden.(12)
33.      Artikel 77, lid 2, AVG legt daarnaast de verplichting op dat de klager in kennis wordt gesteld van de voortgang en het resultaat van de procedure. Aan deze verplichting is enkel voldaan indien uit het antwoord blijkt dat de klacht feitelijk en rechtens daadwerkelijk is onderzocht, en dat antwoord de gegevens bevat die nodig zijn voor een doeltreffende rechterlijke toetsing. De procedure kan dus niet enkel leiden tot een louter formeel besluit, maar moet resulteren in een gedetailleerde en naar behoren gemotiveerde beoordeling die door de aangezochte rechter op grond van artikel 78, lid 1, AVG kan worden onderzocht. Elk besluit van een toezichthoudende autoriteit naar aanleiding van een klacht is namelijk onderworpen aan een volledige rechterlijke toetsing.(13)
34.      De procedure van artikel 77 AVG vormt in haar geheel beschouwd geen louter administratieve handeling, maar een door het Unierecht vastgestelde autonome rechtsgang die zowel bijdraagt tot de bescherming van de individuele rechten als tot de objectieve bescherming van de rechtsorde op het gebied van gegevensbescherming. Het Hof erkent dat de toezichthoudende autoriteiten institutionele hoeders zijn van een systeem van structurele bescherming van de grondrechten, waarvan de taak zich niet beperkt tot het passief in ontvangst nemen van klachten, maar inhoudt dat de regels inzake gegevensbescherming actief worden toegepast.
b)      „Verwerking” van persoonsgegevens door een toezichthoudende autoriteit in het kader van een klachtenprocedure
35.      Na de wezenlijke kenmerken van de klachtenprocedure in herinnering te hebben gebracht, moet worden onderzocht in hoeverre de activiteit van een toezichthoudende autoriteit onder „verwerking” in de zin van artikel 4, punt 2, AVG valt. Dit begrip wordt gedefinieerd als „een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”.
36.      In dit verband moet worden benadrukt dat een toezichthoudende autoriteit in het kader van een procedure op grond van artikel 77 AVG niet enkel gegevens ontvangt. Integendeel, zij verricht een geheel van autonome en gestructureerde handelingen die worden uitgevoerd met het oog op de uitoefening van haar wettelijke taak inzake onderzoek en toezicht. De verwerking begint namelijk vanaf de indiening van de klacht, die gegevens bevat over de klager en, naargelang van het geval, de betrokken verwerkingsverantwoordelijke of identificeerbare derden. Deze informatie – die onder het begrip „persoonsgegevens” in de zin van artikel 4, punt 1, AVG valt – wordt vastgelegd, in een dossier opgenomen en opgeslagen in de interne systemen van de toezichthoudende autoriteit, hetgeen reeds materiële en organisatorische handelingen omvat die een „verwerking” vormen.(14)
37.      Deze handelingen behoren tot de bij artikel 57, lid 1, AVG aan de toezichthoudende autoriteiten opgedragen taken, zoals uiteengezet in de onderhavige conclusie. Tot die taken behoren onder andere het onderzoek van klachten [onder f)] en de uitoefening van onderzoeks- en besluitvormingsbevoegdheden [onder h)]. De autoriteiten handelen bij de uitvoering van deze taken binnen een door het Unierecht gewaarborgd kader waarin zij autonoom kunnen functioneren en autonoom beslissingen kunnen nemen, hetgeen concreet tot uitdrukking komt in de wijze waarop klachten worden behandeld en de desbetreffende toezichthoudende bevoegdheden worden uitgeoefend.
38.      Tijdens de procedure onderzoekt de toezichthoudende autoriteit feitelijk en rechtens de gegevens die aan haar zijn voorgelegd. Zij verzamelt, ordent, analyseert en beoordeelt de gegevens in het licht van het normatieve kader dat van toepassing is. Er vinden ook andere verwerkingsactiviteiten plaats wanneer zij de verwerkingsverantwoordelijke – tegen wie een klacht is ingediend en naar wie een onderzoek is ingesteld – om aanvullende informatie vraagt of wanneer zij aanvullende documenten raadpleegt die persoonsgegevens kunnen bevatten. Die informatie wordt vervolgens door de toezichthoudende autoriteit ontvangen, vastgelegd, geanalyseerd en opgeslagen. Wanneer deze gegevens aan eventuele reeds bestaande dossiers of informatie worden gekoppeld, wordt dit ook beschouwd als een „verwerking”.
39.      De aldus verwerkte gegevens worden gebruikt met het oog op de autonome uitoefening van de onderzoeks- en besluitvormingsbevoegdheden van de toezichthoudende autoriteit.(15) Zij dienen ertoe de feiten vast te stellen, deze juridisch te kwalificeren, mogelijke corrigerende maatregelen te beoordelen en, in voorkomend geval, bindende besluiten of bevelen vast te stellen. Zij worden ook gebruikt in het kader van procedurele mededelingen aan de partijen, met name wanneer de klager of de verwerkingsverantwoordelijke wordt geïnformeerd over het resultaat van de procedure.
40.      Uit een en ander volgt dat de toezichthoudende autoriteit niet louter als een „ontvanger” van gegevens in de zin van artikel 4, punt 9, AVG kan worden beschouwd. Aangezien zij autonoom beslist over de wijze waarop deze gegevens worden verzameld, geanalyseerd, geordend en gebruikt voor de uitvoering van de haar wettelijk opgedragen taken, handelt zij als een actor die een „verwerking” verricht in de volle zin van artikel 4, punt 2, AVG. Dit aspect moet nader worden onderzocht in het volgende deel.
2.      Vermogen van de toezichthoudende autoriteit om „het doel van en de middelen voor de verwerking te bepalen”
41.      Om als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG te kunnen worden aangemerkt, moet een toezichthoudende autoriteit ook het doel van en de middelen voor de verwerking van persoonsgegevens kunnen bepalen.
42.      Zoals eerder vermeld is de rol van de toezichthoudende autoriteit in het kader van een klachtenprocedure op grond van artikel 77 AVG niet beperkt tot het louter passief ontvangen van informatie. Zij stelt in feite het doel van de verwerking vast aangezien zij beslist dat de gegevens zullen worden gebruikt om te onderzoeken of mogelijk inbreuk is gemaakt op de gegevensbeschermingsregels, de feiten vast te stellen en, in voorkomend geval, toezichtmaatregelen voor te bereiden en vast te stellen. Deze vaststelling van het doel is niet alleen vooraf bij wet bepaald, maar vereist ook dat de autoriteit per geval autonoom concretiseert wat met name de omvang van het toezicht is, waarop het onderzoek precies betrekking heeft en wat de juridische kwalificatie van de aangevoerde grieven is.(16)
43.      De toezichthoudende autoriteit beslist op essentiële punten ook autonoom over de middelen voor de verwerking. Zij bepaalt welke persoonsgegevens worden verzameld, in welke vorm deze worden vastgesteld, gestructureerd en opgeslagen, volgens welke criteria de dossiers worden samengesteld, de digitale archieven worden georganiseerd of het bewijsmateriaal wordt geïnventariseerd, en welke technische of organisatorische werkwijzen worden ingezet voor de analyse, de verdere verwerking of de interne beschikbaarheid van de gegevens. Ook beslist zij of verzoeken om informatie aan de betrokkene moeten worden gericht, welke aanvullende informatie moet worden opgevraagd, volgens welke methode deze informatie met elkaar in verband zal worden gebracht, en hoe lang die informatie zal worden bewaard. Dit vermogen om te selecteren en organiseren gaat duidelijk verder dan het louter uitvoeren van een ondersteunende of ondergeschikte taak.
44.      De daadwerkelijk uitgevoerde verwerkingen bevestigen deze autonomie bij het nemen van beslissingen. De autoriteit registreert de klacht, opent haar eigen dossiers, slaat de ontvangen en door haar verzamelde gegevens op en ordent ze, beoordeelt deze feitelijk en juridisch, vraagt aanvullende documenten op, legt de onderzoekshandelingen vast en neemt op basis van haar eigen analyse procedurele en materiële besluiten. De verwerking dient dus niet alleen ertoe om een administratief dossier in technische zin te beheren, maar vormt ook de grondslag voor een zelfstandige activiteit op het gebied van onderzoek, beoordeling en besluitvorming, die krachtens het Unierecht uitsluitend aan de toezichthoudende autoriteit is toevertrouwd.
45.      De omstandigheid dat die activiteit verband houdt met de uitoefening van een wettelijke taak, doet de hoedanigheid van „verwerkingsverantwoordelijke” niet teniet. Het Hof heeft herhaaldelijk erop gewezen dat overheidsinstanties als „verwerkingsverantwoordelijke” kunnen worden aangemerkt wanneer zij met betrekking tot de concrete wijze van verwerking beschikken over beslissingsruimte.(17) In dit verband moet worden opgemerkt dat het Landesamt ter terechtzitting zelf heeft erkend dat het bij het vaststellen van zijn taken, ook in het kader van de behandeling van klachten(18), over beoordelingsruimte beschikt, waarbij zijn autonomie tot uiting komt.
46.      Ook kan de autoriteit niet worden gekwalificeerd als „verwerker”, aangezien er geen sprake is van enige ondergeschiktheid met betrekking tot de vaststelling van het doel van en de middelen voor de verwerking, en de autoriteit niet handelt in opdracht van een derde, maar in de uitoefening van haar eigen bevoegdheden. In het bijzonder handelt de toezichthoudende autoriteit geenszins namens de verwerkingsverantwoordelijke tegen wie de klacht is gericht, maar oefent zij het openbaar gezag uit dat haar is toegekend teneinde de naleving van het Unierecht te waarborgen.
47.      De betrokken verwerking is in de regel weliswaar gebaseerd op artikel 6, lid 1, onder e), AVG, gelezen in samenhang met artikel 57, lid 1, onder f) en h), AVG, maar het bestaan van een rechtsgrondslag waarborgt alleen de rechtmatigheid van de verwerking en sluit de hoedanigheid van „verwerkingsverantwoordelijke” niet uit. Integendeel, het feit dat de wet aan de autoriteit de uitvoering van toezichthoudende taken opdraagt, vormt een bevestiging van het feit dat zij de gegevens verwerkt in het kader van haar eigen wettelijke verplichtingen en op de wijze die zij zelf vaststelt. Als „verantwoordelijke” blijft zij dus in beginsel onderworpen aan de algemene verplichtingen van de AVG, met name aan de in artikel 5 genoemde beginselen en aan de in hoofdstuk III opgesomde rechten van personen, voor zover deze rechten niet overeenkomstig artikel 23 AVG rechtsgeldig zijn beperkt door een wettelijke bepaling die voldoende duidelijk en evenredig is.
48.      De onafhankelijkheid van de toezichthoudende autoriteiten, zoals verankerd in artikel 52 AVG en bevestigd in overweging 117 ervan, vereist dat zij voor handelingen die zij met betrekking tot de persoonsgegevens verrichten in het kader van de uitoefening van hun wettelijke taken worden aangemerkt als „verwerkingsverantwoordelijken”. Alleen door zelfstandig de doelen van en de middelen voor de betrokken verwerkingen te bepalen, en de daaruit voortvloeiende verantwoordelijkheid op zich te nemen, kunnen zij hun toezichthoudende en nalevingsbevoegdheden in volledige onafhankelijkheid uitoefenen ten opzichte van de entiteiten waarop zij toezicht houden. Zouden zij in het kader van de behandeling van klachten louter als uitvoerders van door derden omschreven doelen
worden beschouwd, dan zou dit hun institutionele autonomie in gevaar brengen, hen in een afhankelijke positie plaatsen ten opzichte van de onderzochte verantwoordelijken en het in het Unierecht vastgelegde verantwoordelijkheidsvereiste van zijn betekenis ontdoen. De toezichthoudende autoriteit moet dus zelf de verantwoordelijkheid op zich nemen voor de verwerking van persoonsgegevens in de klachtenprocedure, waarbij de in de AVG neergelegde rechten van de betrokkenen onverkort gelden ten aanzien van haar.(19)
49.      Ten slotte zou de betrokkene, indien de toezichthoudende autoriteit in het kader van de behandeling van klachten niet als „verwerkingsverantwoordelijke” zou worden aangemerkt, nauwelijks bescherming genieten ten aanzien van een elementair onderdeel van de verwerking van zijn gegevens. De in de artikelen 12 tot en met 22 AVG vastgelegde rechten van betrokkenen, met name het in artikel 15 genoemde recht van inzage, kunnen namelijk enkel jegens de verwerkingsverantwoordelijke worden uitgeoefend. Zonder deze kwalificatie zou de betrokkene niet kunnen weten welke gegevens de autoriteit in het kader van de klacht verzamelt en verwerkt, en evenmin om rectificatie, wissing of beperking van de verwerking kunnen verzoeken. De autoriteit zou bij de verwerking van gegevens dus ontkomen aan elk vereiste van transparantie en verantwoordelijkheid, terwijl deze autoriteit juist belast is met het waarborgen van de bescherming van de rechten van de betrokkenen. Het ontbreken van een kwalificatie als „verwerkingsverantwoordelijke” zou dus leiden tot een structurele lacune in de bescherming, waardoor de betrokkene, in zijn relatie met de toezichthoudende autoriteit, de fundamentele waarborgen van de AVG zou worden ontzegd.(20)
50.      Hieruit volgt dat een toezichthoudende autoriteit in het kader van de behandeling van klachten die op grond van artikel 77 AVG zijn ingediend, beslist over het doel van en de middelen voor de verwerking, en niet enkel door een derde vastgelegde gegevens ontvangt of beheert. Zij treedt op als een zelfstandige actor die persoonsgegevens verzamelt, ordent, analyseert en gebruikt als grondslag voor besluiten die onder de uitoefening van het openbaar gezag vallen. Zij moet dus worden aangemerkt als „verwerkingsverantwoordelijke” in de zin van de ruime definitie van artikel 4, punt 7, AVG.(21)
51.      Volledigheidshalve moet worden opgemerkt dat het feit dat de Uniewetgever niet uitdrukkelijk heeft voorzien in het geval waarin een toezichthoudende autoriteit in het kader van een klachtenprocedure tegelijkertijd optreedt als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG, geen relevant argument is dat kan afdoen aan een dergelijke kwalificatie. Doorslaggevend is veeleer of deze autoriteit voldoet aan de materiële voorwaarden van die bepaling. Zoals uit de voorgaande analyse blijkt, is dit in casu kennelijk het geval.
52.      In deze context kan het argument van het Landesamt dat sommige bepalingen van de AVG noodzakelijkerwijs veronderstellen dat er een strikt onderscheid is tussen de toezichthoudende autoriteit enerzijds en de „verwerkingsverantwoordelijke” anderzijds, evenmin slagen. Die bepalingen hebben uitsluitend betrekking op de door de Uniewetgever beoogde situatie waarin als uitgangspunt is genomen dat deze twee rollen niet samenvallen. Zij sluiten evenwel niet uit dat een toezichthoudende autoriteit in bepaalde omstandigheden – zoals die in het hoofdgeding – tegelijkertijd kan voldoen aan de voorwaarden om als „verwerkingsverantwoordelijke” te worden aangemerkt.
53.      Voor zover in sommige bepalingen van de AVG wordt gesproken over „medewerking” of „raadpleging” tussen de „verwerkingsverantwoordelijke” en de toezichthoudende autoriteit, met name in de artikelen 31 en 36, kan het eventuele conflict doordat deze rollen elkaar overlappen, worden opgelost door middel van een teleologische uitlegging van deze verordening. Een dergelijke uitlegging impliceert dat de interne procedures van de toezichthoudende autoriteit zodanig worden georganiseerd en gecoördineerd dat de doelstellingen van de betreffende bepalingen daadwerkelijk worden verwezenlijkt.
3.      Bestaan van een recht van inzage van de klager op grond van artikel 15 AVG
54.      Zoals in de onderhavige conclusie is aangegeven, dient de toezichthoudende autoriteit, doordat zij als „verwerkingsverantwoordelijke” wordt aangemerkt, ervoor te zorgen dat de rechten die aan de betrokkenen worden toegekend in hoofdstuk III van de AVG, worden nageleefd. Tot die rechten behoort met name het recht van inzage dat is vastgelegd in artikel 15 van deze verordening.
55.      In het kader van een procedure krachtens artikel 77 AVG heeft de klager in beginsel ook de hoedanigheid van „betrokkene” in de zin van deze verordening. In die hoedanigheid kan hij van de toezichthoudende autoriteit verlangen dat zij bevestigt of persoonsgegevens die op hem betrekking hebben, worden verwerkt. Indien dat het geval is, omvat het recht van inzage ook alle in artikel 15, lid 1, onder a) tot en met h), AVG limitatief opgesomde informatie, waaronder met name de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers, de bewaartermijn en de informatie over de rechten van de betrokkene.
a)      Recht om een „kopie” te verkrijgen op grond van artikel 15, lid 3, AVG
56.      Het recht van inzage omvat onder meer het recht van de betrokkene om krachtens artikel 15, lid 3, AVG een kopie van de gegevens te verkrijgen. Deze bepaling vereist dat de verwerkingsverantwoordelijke de betrokkene een reproductie in begrijpelijke vorm van zijn persoonsgegevens verstrekt, aan de hand waarvan op nauwkeurige wijze inzicht kan worden verkregen in de omvang en de wijze van verwerking ervan. Het doel van dit recht is de betrokkene in staat te stellen na te gaan welke gegevens met betrekking tot hem worden verwerkt, de bron ervan te identificeren, te begrijpen wat de doeleinden ervan zijn en te weten wie de eventuele ontvangers zijn.(22)
57.      Het Hof heeft geoordeeld dat de kopie moet worden verstrekt onder voorwaarden die het mogelijk maken doeltreffend te controleren of de verwerking rechtmatig is, en aan de hand waarvan de andere in de AVG vastgelegde rechten daadwerkelijk kunnen worden uitgeoefend.(23) De term „kopie” verwijst niet naar een document als zodanig, maar naar de persoonsgegevens die het bevat; van belang is dat deze gegevens volledig, duidelijk en op een zodanige wijze worden verstrekt dat de betekenis ervan kan worden weergegeven. Om de doeltreffendheid van dit recht te waarborgen, kan het onontbeerlijk zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer persoonsgegevens bevatten die worden verwerkt, worden gereproduceerd.(24)
58.      De omvang van dat recht blijft evenwel strikt beperkt door de functie ervan. Het strekt zich enkel uit tot de „persoonsgegevens” van de betrokkene en omvat alle informatie die op hem betrekking heeft of aan de hand waarvan hij kan worden geïdentificeerd in de zin van artikel 4, punt 1, AVG. Wanneer het voor een volledig begrip van de gegevens nodig is dat de context wordt geschetst waarin deze gegevens voorkomen, kan de verplichting tot mededeling inhouden dat een passend uittreksel of een weergave waarbij de gegevens in de context zijn geplaatst, wordt verstrekt, voor zover dat nodig is om aan de transparantievereisten te voldoen. Het recht om een kopie te verkrijgen vormt dus een centraal onderdeel van het bij de AVG ingevoerde mechanisme van zelfbeschikking over informatie, aangezien het de betrokkene een substantiële controle over de verwerking van zijn gegevens garandeert en hem in staat stelt na te gaan of die verwerking in overeenstemming is met de vereisten van het Unierecht.
b)      Artikel 15 AVG voorziet niet in een „algemeen recht van inzage in het administratieve dossier”
59.      Dit in artikel 15 AVG vastgelegde recht van inzage, dat kenmerkend is voor de regeling inzake de bescherming van persoonsgegevens, kan evenwel niet worden gelijkgesteld met een algemeen recht van inzage in het administratieve dossier of met een algemeen vereiste van administratieve transparantie. Deze bepaling heeft uitsluitend tot doel de transparantie ten aanzien van verwerkingen te waarborgen teneinde de betrokkene in staat te stellen de rechtmatigheid ervan te controleren en de rechten die eruit voortvloeien daadwerkelijk uit te oefenen, met name het recht op rectificatie, gegevenswissing („recht op vergetelheid”), beperking van de verwerking of het recht van bezwaar.(25) Zij voorziet daarentegen niet in een algemeen recht op toegang tot informatie waarover de overheid beschikt, noch in een recht op inzage van interne documenten, noch, a fortiori, in een recht op openbaarmaking van gegevens die deel uitmaken van het interne beraadslagings- of besluitvormingsproces van de overheidsinstantie. Dit wordt duidelijk wanneer het recht van inzage uit hoofde van artikel 15 AVG wordt vergeleken met andere rechten van inzage die zijn vastgelegd in het Unierecht en in het nationale recht.
60.      Ten eerste hebben artikel 15 en artikel 77, lid 2, AVG verschillende doelstellingen en moeten zij dus strikt van elkaar worden onderscheiden. Artikel 77, lid 2, voorziet in een procedureel recht om te worden geïnformeerd over de voortgang en het resultaat van de behandeling van de klacht, maar verleent geen recht op toegang tot gegevens of documenten op grond van de regeling inzake gegevensbescherming. Terwijl artikel 15 dus beoogt te waarborgen dat de betrokkene de controle over zijn eigen persoonsgegevens heeft, houdt artikel 77, lid 2, verband met het vereiste van procedurele transparantie bij de administratieve behandeling van klachten. Deze bepalingen, die qua voorwerp en draagwijdte autonoom zijn, mogen niet met elkaar worden verward en zijn evenmin onderling inwisselbaar. Het gaat om onafhankelijke juridische regelingen die aan een andere normatieve logica beantwoorden, aan eigen voorwaarden voor de uitoefening ervan zijn onderworpen en niet bedoeld zijn om elkaar te overlappen of elkaars plaats in te nemen.
61.      Ten tweede voorziet artikel 15 AVG uitsluitend in een recht van inzage van persoonsgegevens en niet in een recht op toegang tot het administratieve dossier en evenmin in het recht om documenten te raadplegen die in het bezit zijn van de autoriteit.(26) Het materiële toepassingsgebied van dit artikel beperkt zich tot het verstrekken van persoonsgegevens die worden verwerkt, en heeft geen betrekking op administratieve transparantie en evenmin op toegang tot de interne besluitvormingsprocessen. Het recht op toegang tot het dossier valt dus – behoudens sectorspecifieke bepalingen van het Unierecht – onder de normatieve bevoegdheid van de lidstaten, waarvoor doorgaans wetten inzake de algemene administratieve procedure, bijzondere procedurele regelingen, wetten inzake de vrijheid van informatie en transparantie, of bijzondere beroeps- of sectorspecifieke regels gelden.(27)
62.      Hieruit volgt dat artikel 15 AVG geen recht op het verstrekken van of inzage in het administratieve dossier als zodanig verleent. In het bijzonder strekt het recht van inzage zich niet uit tot interne juridische analyses, adviezen, aantekeningen, dienstmededelingen, voorbereidende documenten, en evenmin, meer in het algemeen, tot gegevens die deel uitmaken van de voorbereiding of interne motivering van het administratieve besluit. Wanneer een document dat in het bezit is van de autoriteit persoonsgegevens van de klager bevat, is de verplichting tot inzage beperkt tot de mededeling van die gegevens als zodanig, en omvat zij niet de verplichting tot verstrekking of volledige reproductie van het document waarin deze gegevens zijn opgenomen. Ten slotte valt informatie waarmee de betrokkene noch direct noch indirect kan worden geïdentificeerd per definitie buiten de materiële werkingssfeer van artikel 15 AVG.
63.      Voorts zij eraan herinnerd dat het in artikel 15 AVG vastgestelde recht van inzage aan bepaalde beperkingen kan worden onderworpen krachtens artikel 23, lid 1, AVG, mits aan de daarin gestelde voorwaarden is voldaan. Op dit aspect heeft de tweede prejudiciële vraag betrekking, waarop ik in het volgende deel zal ingaan.
4.      Tussenconclusie
64.      Gelet op een en ander ben ik van mening dat op de eerste vraag moet worden geantwoord dat artikel 15, gelezen in samenhang met artikel 4, punt 7, AVG, aldus moet worden uitgelegd dat een toezichthoudende autoriteit in de zin van artikel 4, punt 21, AVG, wanneer zij optreedt in het kader van een klachtenprocedure op grond van artikel 77 AVG, ook de hoedanigheid van „verwerkingsverantwoordelijke” in de zin van deze verordening bezit en dus ervoor moet zorgen dat het in artikel 15 van die verordening vastgestelde recht van inzage voor de betrokkene gewaarborgd is.
C.      Tweede vraag
1.      In artikel 23 AVG genoemde beperkingen van het recht van inzage van persoonsgegevens
65.      Met zijn tweede vraag verzoekt de verwijzende rechter om het verband te verduidelijken tussen artikel 23 AVG en een nationale bepaling die, net als artikel 20, lid 2, BayDSG, op algemene wijze elk recht van toegang of inzage bij de toezichthoudende autoriteit op het gebied van gegevensbescherming uitsluit. Het antwoord op deze vraag vereist dat de opzet van de verordening, zoals deze blijkt uit de bewoordingen, het doel en de relevante overwegingen ervan, grondig wordt geanalyseerd, en dat de beginselen die het Hof heeft ontwikkeld met betrekking tot de beperkingen die aan de rechten van de betrokkenen kunnen worden gesteld, worden toegepast.
66.      Artikel 23 AVG bepaalt dat Unierechtelijke of nationale wetgevingsmaatregelen waaraan de verwerkingsverantwoordelijke is onderworpen, onder andere het in artikel 15 AVG gewaarborgde recht van inzage, kunnen beperken, mits een dergelijke beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter verwezenlijking van een van de in de punten a) tot en met j) van die bepaling genoemde legitieme doelstellingen. Artikel 23, lid 1, AVG kan evenwel niet aldus worden uitgelegd dat het de nationale wetgever de bevoegdheid verleent om de bepalingen van de artikelen 12 tot en met 22 van die verordening vrijelijk te vervangen door zijn eigen regeling. Deze bepaling bevat juist een limitatieve opsomming van openingsclausules, op grond waarvan de nationale wetgever om de specifiek genoemde redenen beperkingen kan stellen aan de rechten van de betrokkenen en aan de verplichtingen welke krachtens die artikelen op de verwerkingsverantwoordelijke rusten.(28)
67.      Artikel 23 AVG voert dus een afwijkende regeling in voor de betrokken gebieden, die hoofdzakelijk betrekking hebben op de uitoefening van publieke taken en het nastreven van dwingende redenen van algemeen belang die een beperking van de rechten van de betrokkenen ten opzichte van andere activiteitensectoren kunnen rechtvaardigen. In dit verband moet rekening worden gehouden met overweging 4, eerste en tweede volzin, AVG, die vereist dat de betreffende grondrechten tegen elkaar worden afgewogen en dat de beoogde beperkingen gerechtvaardigd, noodzakelijk en evenredig zijn in het licht van de conflicterende rechten en belangen.
68.      Uit de verwijzingsbeslissing blijkt dat artikel 23 AVG in de memorie van toelichting bij de Beierse wet weliswaar uitdrukkelijk wordt genoemd als rechtsgrondslag voor artikel 20, lid 2, BayDSG, maar dat daarin op geen enkele wijze wordt verwezen naar een van de in die bepaling genoemde doelstellingen. Die memorie van toelichting vermeldt enkel dat deze norm het specifieke vereiste weergeeft met betrekking tot het doel van de informatie die is verkregen in het kader van toezichthoudende activiteiten op het gebied van gegevensbescherming. De verwijzende rechter merkt evenwel op dat die bepaling volgens de opmerkingen van het Landesamt in het kader van het hoofdgeding in werkelijkheid twee hoofddoelstellingen nastreeft, namelijk dat de vertrouwelijkheid van persoonsgegevens van derden wordt beschermd en dat de toezichthoudende autoriteit goed functioneert en onafhankelijk is.
69.      Die elementen zal ik als uitgangspunt nemen voor mijn analyse, overeenkomstig de beginselen die van toepassing zijn op het bij artikel 267 VWEU ingevoerde mechanisme van samenwerking tussen de Unierechter en de nationale rechterlijke instanties, op grond waarvan de uitlegging van het nationale recht uitsluitend tot de bevoegdheid van de verwijzende rechters behoort(29) en het Hof dient uit te gaan van de door hen verstrekte verduidelijkingen met betrekking tot de inhoud en de omvang van dat recht.(30)
2.      Verenigbaarheid van een algemene uitsluiting van het in artikel 15 AVG vastgelegde recht van inzage met artikel 23 AVG
70.      In dit deel van de onderhavige conclusie zal ik onderzoeken of een algemene uitsluiting van het in artikel 15 AVG vastgelegde recht van inzage kan worden gerechtvaardigd in het licht van de bovengenoemde wettelijke doelstellingen. Ik zal ook onderzoeken of een dergelijke regeling voldoet aan de aanvullende vereisten die artikel 23 AVG stelt aan elke beperking van dat recht.
a)      Bestaan van een legitiem doel
1)      Bescherming van de vertrouwelijkheid van persoonsgegevens van derden
71.      De bescherming van de vertrouwelijkheid van persoonsgegevens van derden vormt een legitiem doel in de zin van de AVG, dat in beginsel beperkingen van de aan de betrokkenen verleende rechten kan rechtvaardigen. In dit verband zij erop gewezen dat met betrekking tot het in artikel 15 AVG vastgelegde recht van inzage in overweging 63 van deze verordening staat te lezen dat „[d]at recht [...] geen afbreuk [mag] doen aan de rechten of vrijheden van anderen”. Er wordt dus rekening mee gehouden dat, zoals blijkt uit overweging 4 AVG, het recht op bescherming van persoonsgegevens geen absoluut recht is, aangezien het moet worden beoordeeld in het licht van de functie ervan in de samenleving en het tegen andere grondrechten moet worden afgewogen.(31)
72.      Artikel 23, lid 1, onder i), AVG verwijst uitdrukkelijk naar de bescherming van de „rechten en vrijheden van anderen”, zoals in overweging 73 ervan wordt bevestigd. Wanneer het dus gaat om persoonsgegevens van overheidsfunctionarissen of particulieren, kan de nationale wetgever zich op goede gronden baseren op het feit dat de openbaarmaking ervan de persoonlijkheidsrechten zou ondermijnen en dat er een behoefte aan bescherming bestaat die moet worden afgewogen tegen het recht van inzage van de klager.
2)      Bescherming van de goede werking en de onafhankelijkheid van de toezichthoudende autoriteiten
73.      De bescherming van de goede werking en de onafhankelijkheid van de toezichthoudende autoriteiten op het gebied van het nemen van beslissingen vormt ook een legitieme doelstelling in de zin van artikel 23, lid 1, AVG. De Uniewetgever kent de toezichthoudende autoriteiten namelijk een centrale rol toe binnen het Europese stelsel van gegevensbescherming, zoals blijkt uit, ten eerste, artikel 52, waarin wordt gewaarborgd dat zij volledig onafhankelijk zijn, en, ten tweede, de omvang van de onderzoeksbevoegdheden en de corrigerende bevoegdheden waarin de artikelen 57 en 58 voorzien.(32) In dit verband heeft het Hof in zijn rechtspraak benadrukt dat de goede werking van deze autoriteiten moet worden gewaarborgd, met name door ervoor te zorgen dat deze werking niet wordt belemmerd door kennelijk ongegronde of buitensporige klachten in de zin van artikel 57, lid 4, AVG.(33)
74.      Dientengevolge kan een beperking van het recht van inzage in beginsel gerechtvaardigd zijn overeenkomstig artikel 23, lid 1, onder h), AVG, dat het mogelijk maakt beperkingen vast te stellen wanneer deze noodzakelijk zijn om taken op het gebied van „toezicht” en „inspectie” uit te voeren die verband houden met de uitoefening van het openbaar gezag. Gelet op de parallellen die kunnen worden getrokken, moet voorts rekening worden gehouden met de in artikel 23, lid 1, onder f), AVG genoemde doelstelling, zoals verduidelijkt in overweging 73, om de onafhankelijkheid van de rechterlijke macht en de bescherming van het verloop van gerechtelijke procedures te waarborgen. Toezichthoudende autoriteiten behoren weliswaar niet tot de rechterlijke macht, maar zij spelen, net als overheidsinstanties die belast zijn met de toepassing van het recht, een essentiële rol bij het opsporen en bestraffen van inbreuken op het recht inzake de bescherming van persoonsgegevens. Hieruit volgt dat een analoge toepassing van deze bepaling in ieder geval kan worden overwogen.
3)      Bescherming van de openbare veiligheid
75.      Volledigheidshalve moet worden opgemerkt dat de verwijzingsbeslissing ook de bescherming van de openbare veiligheid in de zin van artikel 23, lid 1, onder c), AVG vermeldt als mogelijke rechtvaardigingsgrond, zonder daarover evenwel nadere informatie te verstrekken. De verwijzende rechter en de Commissie stellen evenwel terecht vast dat een dergelijk beroep ongegrond is. Gelet op de feiten van het hoofdgeding zoals die door de verwijzende rechter zijn uiteengezet, lijkt een dergelijke beperking inderdaad kennelijk niet relevant. Deze rechtvaardigingsgrond zal dientengevolge buiten beschouwing worden gelaten in de hiernavolgende analyse.
b)      Vereisten van het regelgevingskader van de AVG
76.      Enerzijds moet worden geconstateerd dat een nationale regeling als artikel 20, lid 2, BayDSG naar behoren rekening houdt met het belang van de vertrouwelijkheid van de persoonsgegevens van derden, aangezien zij categorisch verbiedt dat deze gegevens worden verstrekt. Daarnaast kan niet worden uitgesloten dat wanneer de toezichthoudende autoriteiten geen medewerking verlenen aan de behandeling van verzoeken om inzage, dit ertoe kan leiden dat personele en materiële middelen worden overgeheveld naar andere werkterreinen, hetgeen in voorkomend geval tot bepaalde efficiëntieverbeteringen kan leiden.
77.      Anderzijds doen dergelijke omstandigheden twijfels rijzen over de verenigbaarheid ervan met het regelgevingskader dat de Uniewetgever bij de vaststelling van de AVG heeft ingesteld, en met name met de algemene opzet van deze verordening, die berust op een evenwicht tussen verschillende belangen: de transparantie van de gegevensverwerking, de bescherming van vertrouwelijkheid wanneer dit noodzakelijk is en de doeltreffende bescherming van deze belangen door de toezichthoudende autoriteiten. Een nationale regeling waaruit niet duidelijk blijkt dat deze belangen tegen elkaar zijn afgewogen, kan dus niet voldoen aan de vereisten van artikel 23, lid 1, AVG. Dit geldt ook wanneer blijkt dat maatregelen kunnen worden overwogen die minder inbreuk maken op de grondrechten, maar even doeltreffend zijn om de nagestreefde doelstellingen te verwezenlijken.(34)
78.      In dit verband zij eraan herinnerd dat in de AVG het in artikel 15 vastgelegde recht van inzage is opgevat als een essentieel onderdeel van het transparantiebeginsel. Dit blijkt duidelijk uit overweging 63, waarin staat te lezen dat de betrokkene „op de hoogte” moet kunnen zijn van de „verwerking” zodat de doeltreffendheid van de rechten die de verordening hem verleent, kan worden gewaarborgd. Het Hof heeft deze opvatting herhaaldelijk bevestigd door erop te wijzen dat het recht van inzage een centrale plaats inneemt in de algemene opzet van de bij de verordening ingevoerde regeling. Een nationale bepaling die de betrokkene dit recht op algemene en ongedifferentieerde wijze ontneemt, tast dus de kern aan van het door de Uniewetgever tot stand gebrachte beschermingsstelsel.
79.      Artikel 23 AVG staat weliswaar toe dat de rechten van betrokkenen, waaronder het recht van inzage, kunnen worden beperkt om redenen van algemeen belang, maar het vereist tegelijkertijd dat dergelijke beperkingen op een voldoende nauwkeurige rechtsgrondslag berusten. In deze grondslag moeten de aard, de reikwijdte en de afbakening van de beperking duidelijk worden omschreven, alsmede de waarborgen die nodig zijn om het risico van misbruik te voorkomen. Overweging 41
van die verordening verduidelijkt in die zin dat elke beperking van een door de verordening gegarandeerd recht „duidelijk en nauwkeurig” en „voorspelbaar” moet zijn voor de betrokkene, die in staat moet zijn om de omvang te bepalen van de beperkingen die aan zijn rechten kunnen worden gesteld.(35) Een nationale bepaling die voorziet in een volledige uitsluiting van het recht van inzage maar niet bepaalt wat het materiële of personele toepassingsgebied is, en evenmin voorziet in beschermingsmaatregelen, kan niet voldoen aan de aldus gestelde voorwaarden.
80.      Voorts wordt in overweging 60
AVG eraan herinnerd dat transparantie een fundamenteel beginsel is van de verwerking van persoonsgegevens, dat ook van toepassing is op het optreden van overheidsinstanties. Ofschoon bepaalde informatie tijdelijk niet kan worden meegedeeld in het kader van een klachtenprocedure, met name teneinde het voorkomen, opsporen of onderzoeken van strafbare feiten niet in gevaar te brengen(36), moet een dergelijk voorbehoud strikt noodzakelijk en evenredig blijven en mag het niet leiden tot een volledige ondermijning van de transparantie ten aanzien van de betrokkene. Een nationale bepaling waarin elke vorm van inzage is uitgesloten, zonder onderscheid te maken tussen persoonsgegevens en interne documenten, is dus in strijd met de opzet van de AVG.
81.      Het Hof heeft in het licht van artikel 52, lid 1 van het Handvest ook geoordeeld dat de beperkingen die aan een grondrecht kunnen worden gesteld niet alleen in overeenstemming moeten zijn met het legaliteitsbeginsel en het evenredigheidsbeginsel, maar ook met het beginsel dat de „wezenlijke inhoud” van het betreffende recht moet worden geëerbiedigd.(37) In overweging 4 AVG wordt bevestigd dat de bescherming van persoonsgegevens een grondrecht is, dat is verankerd in artikel 8 van het Handvest, en dat beperkingen enkel mogen worden opgelegd met inachtneming van het evenredigheidsbeginsel. Het volledig uitsluiten van het recht van inzage leidt er evenwel toe dat de betrokkene de kern van dit recht wordt ontnomen, doordat hij wordt belet om, zelfs op minimale wijze, de verwerkingen die op hem betrekking hebben, te controleren.
82.      In overweging 75
AVG wordt er aanvullend op gewezen dat het ontbreken van of het gebrek aan transparantie op zich een risico vormt dat de rechten en vrijheden van de betrokkenen ernstig kan aantasten. Een regeling die de betrokkene volledig de mogelijkheid ontneemt om kennis te nemen van de verwerkingen die met betrekking tot hem zijn verricht, creëert juist de risicosituatie die de wetgever heeft willen voorkomen.
83.      Hieraan moet worden toegevoegd dat toezichthoudende autoriteiten in overweging 129
AVG worden gedefinieerd als onafhankelijke instanties die belast zijn met het toezicht op de toepassing van die verordening en met de bescherming van de rechten van betrokkenen. Deze taak, en hun positie binnen het door de AVG ingestelde mechanisme voor toezicht, houdt evenwel niet in dat zij zijn vrijgesteld van alle uit deze verordening voortvloeiende verplichtingen. De AVG creëert juist een samenhangend rechtskader waarin de toezichthoudende autoriteiten, terwijl zij hun bevoegdheden uitoefenen, volledig onderworpen blijven aan de daarin vastgestelde regels, met name die betreffende de rechten van de betrokkenen. Een nationale bepaling die volledig uitsluit dat gegevens over de betrokkene worden verstrekt, ondermijnt dit evenwicht en doet afbreuk aan het aan de toezichthoudende autoriteiten opgelegde verantwoordelijkheidsvereiste.
84.      Daarnaast blijkt een absolute uitsluiting van het recht van inzage niet verenigbaar met de door de AVG nagestreefde doelstelling om natuurlijke personen een hoog beschermingsniveau te bieden, zoals overweging 10 ervan in herinnering brengt.(38) Het aldus beoogde beschermingsniveau berust in wezen op transparantie en op de mogelijkheid voor de betrokkene om de hem betreffende verwerkingen te controleren. Het in artikel 15 AVG vastgelegde recht van inzage is in dit verband onmisbaar, aangezien het de basis vormt voor de daadwerkelijke uitoefening van alle andere rechten van de betrokkenen.(39) Een algemene uitsluiting van dit recht zou erop neerkomen dat bepaalde verwerkingen aan elke individuele controle worden onttrokken, en zou aldus de doeltreffendheid van het door de Uniewetgever beoogde hoge beschermingsniveau ondergraven.
85.      Wat betreft het doel om de rechten en vrijheden van derden te beschermen, dat wordt aangevoerd om een beperking van het recht van inzage te rechtvaardigen, zij eraan herinnerd dat het Hof heeft geoordeeld dat de autoriteiten, in geval van een conflict tussen het recht van inzage en de rechten of vrijheden van andere personen, de betrokken belangen tegen elkaar moeten afwegen. Uit overweging 63 AVG volgt uitdrukkelijk dat deze belangenafweging in geen geval kan rechtvaardigen dat het recht van inzage volledig wordt ontzegd.(40) Aangepaste maatregelen, zoals gegevens gedeeltelijk verstrekken, onleesbaar maken of anonimiseren, de identiteit van de melders beschermen, documenten gedifferentieerd verwerken naargelang de categorieën ervan, of gestructureerde, niet-geïndividualiseerde informatie verstrekken, maken het mogelijk de betrokken belangen met elkaar te verenigen zonder het recht van inzage volledig te ontzeggen.
86.      Wat de aangevoerde noodzaak betreft om de onafhankelijke en doeltreffende uitoefening van de taken van de toezichthoudende autoriteiten te waarborgen, blijkt niet duidelijk in welk opzicht de uitoefening van het in artikel 15 AVG vastgelegde recht van inzage deze doelstelling zou kunnen ondergraven. De verwijzende rechter stelt terecht vast dat de onafhankelijkheid van de toezichthoudende autoriteiten geenszins impliceert dat de rechtmatigheid van de door hen verrichte verwerkingen van persoonsgegevens aan de controle van de betrokkene moet worden onttrokken. Het door het Landesamt aangevoerde risico van een eventuele „beïnvloeding” die door de toegang tot informatie in de hand kan worden gewerkt, moet dus worden uitgesloten.
87.      Voorts voorziet artikel 15 AVG, zoals in de onderhavige conclusie is uiteengezet, niet in een algemeen recht van inzage in het dossier(41), zodat de daaruit voortvloeiende administratieve last beperkt zal blijven. Los daarvan zij opgemerkt dat de verordening in artikel 12, lid 5, de toezichthoudende autoriteiten een passend instrument ter beschikking stelt om onrechtmatige of buitensporige verzoeken aan te pakken.(42) Deze toezichthoudende autoriteiten zijn tevens bevoegd verschillende beheersmaatregelen te treffen, zoals tijdelijk geen informatie verstrekken tijdens de procedure, bepaalde interne documenten niet openbaar maken, onderscheid maken tussen verschillende soorten procedures, enkel informatie verstrekken met betrekking tot fasen die reeds afgesloten zijn of organisatorische mechanismen in het leven roepen die garanderen dat de interne processen niet worden verstoord door verzoeken om inzage. Dergelijke maatregelen maken het mogelijk de goede werking van de toezichthoudende autoriteiten te waarborgen zonder evenwel het in artikel 15 AVG vastgelegde recht van inzage volledig uit te sluiten.
88.      Het is ook van belang erop te wijzen dat de doeltreffendheid van de toezichthoudende autoriteiten in beslissende mate afhangt van de vraag of de nodige middelen ter beschikking worden gesteld, te weten de personele, technische en financiële middelen en de bedrijfsruimten en infrastructuur die onontbeerlijk zijn voor het effectief uitvoeren van hun taken en bevoegdheden.(43) Artikel 52, lid 4, AVG verplicht de lidstaten uitdrukkelijk om in deze middelen te voorzien. Vanuit dit oogpunt omvat de kwestie van de doelmatigheid van de toezichthoudende autoriteiten meer dan alleen het aantal verzoeken om inzage dat op artikel 15 AVG is gebaseerd. Wanneer de autoriteiten niet op toereikende wijze van middelen worden voorzien, mag dit er in geen geval toe leiden dat persoonsgegevens minder goed worden beschermd.
89.      Uit de verwijzingsbeslissing blijkt dat artikel 20, lid 2, BayDSG uniek is in de Duitse rechtsorde, aangezien geen enkele andere deelstaat voorziet in een vergelijkbare uitsluiting van het recht van inzage. Dat deze bepaling op zichzelf staat, vormt een ernstige aanwijzing ervoor dat een beperking van die omvang niet als noodzakelijk of evenredig in de zin van artikel 23, lid 1, AVG kan worden beschouwd. Aangezien alle andere toezichthoudende autoriteiten hun taken vervullen zonder toepassing van een bepaling waarbij de rechten van de betrokkenen in het algemeen worden uitgesloten, kan moeilijk worden volgehouden dat een dergelijke maatregel onontbeerlijk is voor de goede werking van de autoriteit of voor de bescherming van de rechten van derden. Een regeling die specifiek geldt voor één deelstaat en die de door de AVG gewaarborgde rechten aanzienlijk sterker beperkt dan de regelingen die in andere delen van het nationale grondgebied zijn vastgesteld, lijkt niet te voldoen aan de uit het Unierecht voortvloeiende vereisten van samenhang, noodzakelijkheid en evenredigheid.
90.      Met betrekking tot de twee aangevoerde doelstellingen – de bescherming van de rechten van derden en de vrijwaring van de goede uitvoering van de taken van de toezichthoudende autoriteiten – moet dus worden vastgesteld dat de beoogde resultaten kunnen worden bereikt met minder beperkende, gedifferentieerde en met het Unierecht strokende maatregelen, waarbij het recht van inzage niet zijn essentie verliest, de ten aanzien van de betrokkene vereiste transparantie niet wordt weggenomen en geen afbreuk wordt gedaan aan de mogelijkheid om de rechtmatigheid van de verrichte verwerkingen te controleren.
91.      Een ander kritisch aspect is gelegen in het feit dat artikel 20, lid 2, BayDSG het niet mogelijk maakt het door de nationale wetgever nagestreefde doel vast te stellen. Zoals blijkt uit de aanwijzingen van de verwijzende rechter, wordt artikel 23 AVG in de voorbereidende stukken enkel als rechtsgrondslag vermeld, zonder dat wordt verwezen naar een van de in die bepaling genoemde doelstellingen. Artikel 23 AVG vereist evenwel dat het doel van de beperking duidelijk uit de bepaling zelf blijkt, hetgeen een noodzakelijke voorwaarde is voor een doeltreffende controle dat de beginselen van noodzakelijkheid en evenredigheid in acht zijn genomen.
92.      Aan dit vereiste van duidelijkheid kan niet worden tegemoetgekomen doordat een partij in de prejudiciële procedure krachtens artikel 267 VWEU achteraf redenen ter rechtvaardiging aanvoert, met name wanneer dit de partij is die baat heeft bij de betreffende beperking. Indien een dergelijke mogelijkheid zou worden aanvaard, zou dit erop neerkomen dat de wil van de wetgever die democratisch verantwoordelijk is, wordt vervangen door een argumentatie die in het kader van een geschil is ontwikkeld, hetgeen onverenigbaar zou zijn met de uit artikel 23, leden 1 en 2, AVG voortvloeiende vereisten van voorspelbaarheid, normatieve transparantie en rechtszekerheid.
93.      In die omstandigheden moet worden geconcludeerd dat een algemene en ongedifferentieerde uitsluiting van het recht van inzage, zoals bepaald in artikel 20, lid 2, BayDSG, niet in overeenstemming is met de vereisten van artikel 23 AVG, aangezien die uitsluiting geen van de door lid 2 van het laatstgenoemde artikel uitdrukkelijk vereiste elementen bevat en niet strookt met de opzet of het doel van de verordening, zoals deze uit de relevante overwegingen voortvloeien. Een dergelijke bepaling is onevenredig, onvoldoende bepaald en kan het recht van inzage zijn wezenlijke inhoud ontnemen.
3.      Tussenconclusie
94.      Om de hierboven uiteengezette redenen dient artikel 23 AVG mijns inziens aldus te worden uitgelegd dat het zich verzet tegen een nationale regeling zoals artikel 20, lid 2, BayDSG, voor zover deze regeling als zodanig uitsluit dat er een recht van inzage op grond van artikel 15 van deze verordening bestaat ten aanzien van de toezichthoudende autoriteit.
VI.    Conclusie
95.      Gelet op een en ander geef ik het Hof in overweging de door het Bayerische Verwaltungsgericht Ansbach gestelde prejudiciële vragen te beantwoorden als volgt:
„1)      Artikel 15, gelezen in samenhang met artikel 4, punt 7, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
een toezichthoudende autoriteit in de zin van artikel 4, punt 21, van deze verordening, wanneer zij optreedt in het kader van een klachtenprocedure op grond van artikel 77 van die verordening, ook de hoedanigheid van ‚verwerkingsverantwoordelijke’ in de zin van deze verordening bezit en dus ervoor moet zorgen dat het in artikel 15 van die verordening vastgestelde recht van inzage voor de betrokkene gewaarborgd is.
2)      Artikel 23 van verordening 2016/679
moet aldus worden uitgelegd dat
het zich verzet tegen een nationale bepaling als artikel 20, lid 2, van de Beierse wet inzake gegevensbescherming, die als zodanig uitsluit dat er een recht van inzage op grond van artikel 15 van deze verordening bestaat ten aanzien van de Beierse gegevensbeschermingsautoriteit.”
1      Oorspronkelijke taal: Frans.
2      PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2 en PB 2021, L 74, blz. 35.
3      Zie de punten 24 e.v. van de onderhavige conclusie.
4      Zie de punten 65 e.v. van de onderhavige conclusie.
5      Zie arrest van 29 juli 2019, Fashion ID (C‑40/17, EU:C:2019:629, punten 65 en 66).
6      Het Hof heeft zelfs geoordeeld dat een natuurlijke persoon of een rechtspersoon die voor eigen doeleinden invloed uitoefent op de verwerking van persoonsgegevens en aldus betrokken is bij de vaststelling van het doel van en de middelen voor de verwerking, als „verwerkingsverantwoordelijke” kan worden beschouwd [zie arrest van 10 juli 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punt 68) en 29 juli 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 68)].
7      De AVG definieert niet uitdrukkelijk wat een „klacht” is, maar de bewoordingen van artikel 77 geven wel een eerste aanwijzing daarvoor. Volgens de richtsnoeren van het Europees Comité voor gegevensbescherming (EDPB) is een klacht een verzoek dat door een geïdentificeerde natuurlijke persoon – of door een organisatie die voldoet aan de voorwaarden van artikel 80 – bij een toezichthoudende autoriteit wordt ingediend omdat hij of zij van mening is dat de verwerking van zijn of haar gegevens inbreuk maakt op de AVG. De EDPB verduidelijkt dat dit begrip niet beperkt is tot inbreuken op de rechten van hoofdstuk III, maar meer in het algemeen betrekking heeft op elke inbreuk op de verordening als gevolg van de verwerking van persoonsgegevens van de klager (EDPB, Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, 15 december 2020, blz. 3).
8      Zie arresten van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden) (C‑26/22 et C‑64/22, EU:C:2023:958, punt 58); 26 september 2024, Land Hessen (Verplichting van de gegevensbeschermingsautoriteit om op te treden) (C‑768/21, EU:C:2024:785, punt 35), en 9 januari 2025, Österreichische Datenschutzbehörde (Buitensporige verzoeken) (C‑416/23, EU:C:2025:3, punt 39).
9      Zie arrest van het EVA-Hof van 10 december 2020, Adpublisher AG/J & K (gevoegde zaken E-11/19 en E-12/19, punt 45).
10      Zie arresten van 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650, punt 63); 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559, punt 107); 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden) (C‑26/22 en C‑64/22, EU:C:2023:958, punt 56), en 26 september 2024, Land Hessen (Verplichting van de gegevensbeschermingsautoriteit om op te treden) (C‑768/21, EU:C:2024:785, punt 32).
11      In dit verband zij gewezen op de conclusie van advocaat-generaal Pikamäe in de gevoegde zaken SCHUFA Holding (Kwijtschelding van restschulden) (C‑26/22 en C‑64/22, EU:C:2023:222, punt 42), waarin hij heeft benadrukt dat de Uniewetgever niet de bedoeling had van de klachtenprocedure een mechanisme te maken dat vergelijkbaar is met een eenvoudige „petitie”. Het beoogde doel was juist een mechanisme in het leven te roepen waarmee de rechten en belangen van klagers doeltreffend kunnen worden gewaarborgd. In het bijzonder blijkt uit de in artikel 57, lid 1, onder f), AVG vermelde verplichtingen die in het kader van de behandeling van die klachten op de toezichthoudende autoriteit rusten en die onder het beginsel van „behoorlijk bestuur” vallen, dat de wetgever van die procedure in wezen „een echte administratieve beroepsprocedure” heeft willen maken.
12      Zie arrest van 26 september 2024, Land Hessen (Verplichting van de gegevensbeschermingsautoriteit om op te treden) (C‑768/21, EU:C:2024:785, punt 42).
13      Zie arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden) (C‑26/22 en C‑64/22, EU:C:2023:958, punt 70) en 26 september 2024, Land Hessen (Verplichting van de gegevensbeschermingsautoriteit om op te treden) (C‑768/21, EU:C:2024:785, punt 49).
14      Het Unierecht voorziet niet in uniforme voorschriften met betrekking tot de concrete behandeling van klachten door toezichthoudende autoriteiten. De administratieve praktijk vertoont bijgevolg bepaalde verschillen tussen de lidstaten. De EDPB streeft er evenwel naar om door middel van richtsnoeren en de ontwikkeling van „beste praktijken” een zekere mate van harmonisatie van de toezichthoudende activiteiten en de procedurele regels te waarborgen, met name wat betreft de ontvankelijkheid of archivering van klachten, de vaststelling van minnelijke schikkingen, enz. (zie in dit verband EDPB, Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, vastgesteld op 15 december 2020).
15      Zoals het EVA-Hof in zijn arrest van 10 december 2020, Adpublisher AG/J & K (gevoegde zaken E-11/19 en E-12/19, punt 60) heeft opgemerkt, is de toezichthoudende autoriteit op grond van artikel 57, lid 1, onder h), AVG bevoegd om ambtshalve onderzoeken in te stellen. In het kader van het onderzoek van een klacht kan de toezichthoudende autoriteit zich dus uitspreken over andere vorderingen of over een ander voorwerp van het geschil dan de klager heeft aangevoerd. De doeltreffendheid van de klachtenprocedure vereist dat de toezichthoudende autoriteit bij de uitoefening van haar onderzoeksbevoegdheden niet wordt beperkt door de wijze waarop de klager de relevante rechtsvragen in zijn klacht heeft geformuleerd.
16      De toezichthoudende autoriteiten lijken klachten te behandelen ofwel op basis van de bepalingen van het nationale recht, ofwel op basis van hun eigen beoordelingsmarge. Er lijken ook verschillen te bestaan met betrekking tot de behandeling van klachten volgens pragmatische criteria of in het kader van een vereenvoudigde procedure (zie in dit verband González Fuster, G. e.a., „The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR”, Access Now, Open Universiteit, 2022, blz. 30).
17      Zie arrest van 11 januari 2024, Belgische Staat (Gegevens verwerkt door een staatsblad) (C‑231/22, EU:C:2024:7, punt 39), en 27 februari 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, punt 49).
18      Op verzoek van het Hof heeft het Landesamt zijn administratieve praktijk ten aanzien van de behandeling van klachten uiteengezet. Het heeft in dit verband verduidelijkt dat de klagers, ook langs elektronische weg, verzoeken kunnen richten tot de bevoegde functionarissen van het Landesamt, en om inzage in het dossier kunnen verzoeken. Uit deze uiteenzetting blijkt duidelijk dat de wijze waarop het Landesamt klachten behandelt, met name wat de verzamelde gegevens, de vastgestelde organisatorische maatregelen en de verrichte onderzoeken betreft, onder de autonomie valt die de AVG het Landesamt
bij de uitoefening van zijn taken verleent.
19      Möhle, J.‑P., „Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht”, Die Öffentliche Verwaltung, 2023, nr. 3, blz. 108, zet uiteen dat alleen degene die daadwerkelijk in staat is invloed uit te oefenen –
dit is degene die in de toekomst inbreuken op de gegevensbeschermingsregels kan voorkomen –
gebonden kan zijn aan de verplichtingen die voortvloeien uit het recht op gegevensbescherming (zoals de informatieplicht, de verantwoordelijkheidsplicht of de samenwerkingsplicht). Het lijdt mijns inziens geen twijfel dat in het kader van een klachtenprocedure alleen de toezichthoudende autoriteit aan deze definitie kan voldoen.
20      Zoals het Hof reeds heeft geoordeeld, is het doel om via een ruime omschrijving van het begrip „verwerkingsverantwoordelijke” juist een doeltreffende en volledige bescherming van de betrokkenen te verzekeren [zie arresten van 13 mei 2014, Google Spain en Google (C‑131/12, EU:C:2014:317, punt 34); 29 juli 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 66), en 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, punt 28)].
21      Zie in die zin Kunert, J., „Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG”, GRUR-Prax, 2025, nr. 9, blz. 324.
22      Zie arrest van 22 juni 2023, Pankki S (C‑579/21, EU:C:2023:501, punt 50).
23      Zie arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF (C‑487/21, EU:C:2023:369, punten 33 en 34).
24      Zie arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF (C‑487/21, EU:C:2023:369, punt 41).
25      Zie arresten van 20 december 2017, Nowak (C‑434/16, EU:C:2017:994, punt 57); 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens) (C‑154/21, EU:C:2023:3, punt 38), en 4 mei 2023, Österreichische Datenschutzbehörde en CRIF (C‑487/21, EU:C:2023:369, punt 35).
26      Zanfir-Fortuna, G., „Article 15. Right of access by the data subject”, in Kuner, C., Bygrave, L. A. en
Docksey, C. (red.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford, 2020, blz. 452, benadrukt dat onderscheid moet worden gemaakt tussen het in artikel 15 AVG vastgelegde recht op inzage van eigen persoonsgegevens en het recht op toegang tot openbare informatie. Deze twee rechten zijn gebaseerd op verschillende normatieve doelstellingen: het eerste recht heeft tot doel transparantie te waarborgen ten aanzien van de persoon van wie de gegevens door een verwerkingsverantwoordelijke worden verzameld en verwerkt (transparantie inter partes), terwijl het tweede recht tot doel heeft transparantie jegens het publiek te waarborgen met betrekking tot informatie die van waarde is of een algemeen belang heeft (transparantie erga omnes).
27      Gumzej, N., „DPA powers toward effective and transparent GDPR enforcement: the case of Croatia”, Juridical Tribune – Review of Comparative and International Law, deel 13, nr. 2 (2023), blz. 210, verwijst naar de geldende wetgeving inzake de vrije toegang tot informatie.
28      Schemmer, F., „Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen”, Zeitschrift für das gesamte Informationsrecht, 2024, nr. 5, blz. 210.
29      Zie arresten van 6 maart 2007, Placanica e.a. (C‑338/04, C‑359/04 en C‑360/04, EU:C:2007:133, punt 34), en 21 juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punt 240).
30      Zie arresten van 25 oktober 2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, punt 10), en 14 november 2024, S. (Wijziging van de samenstelling van de rechtsprekende formatie) (C‑197/23, EU:C:2024:956, punt 43).
31      Zie arresten van 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559, punt 172); 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens) (C‑154/21, EU:C:2023:3, punt 47), en 21 maart 2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, punt 75).
32      Giurgiu, A. en Larsen, T., „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More ‚European’ DPAs as Guardians of Consistency?”, European Data Protection Law Review, nr. 3, 2016, blz. 352, beschouwen de toezichthoudende autoriteiten als de belangrijkste hoeders van de rechten van personen vanwege hun centrale rol bij het toezicht op en de handhaving van de in de AVG vastgestelde regels inzake gegevensbescherming.
Zij benadrukken hoe belangrijk het is dat deze autoriteiten over voldoende personele en financiële middelen beschikken zodat zij hun taken doeltreffend kunnen uitvoeren.
33      Zie arrest van 9 januari 2025, Österreichische Datenschutzbehörde (Buitensporige verzoeken) (C‑416/23, EU:C:2025:3, punt 40).
34      Zie arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punt 85).
35      Arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden) (C‑175/20, EU:C:2022:124, punt 56).
36      Zie in dit verband EDPS, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1), vastgesteld op 13 oktober 2021, punten 65‑67 en 82, waarin tijdelijke beperkingen van de uitoefening van bepaalde rechten van betrokkenen worden aanbevolen om administratieve onderzoeken niet in gevaar te brengen.
37      Zie arresten van 8 april 2014, Digital Rights Ireland e.a. (C‑293/12 en C‑594/12, EU:C:2014:238, punt 38); 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650, punt 94); 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559, punt 174), en 6 oktober 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 121).
38      Het Hof heeft in zijn vaste rechtspraak aan deze doelstelling herinnerd en benadrukt dat de bescherming van persoonsgegevens zowel door artikel 16 VWEU als door artikel 8 van het Handvest wordt gewaarborgd, waardoor dit recht in twee bepalingen van primair Unierecht is vastgelegd (zie arrest van 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punt 43).
39      Zie arrest van 22 juni 2023, Pankki S (C‑579/21, EU:C:2023:501, punten 53 e.v.).
40      Zie arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF (C‑487/21, EU:C:2023:369, punt 44).
41      Zie de punten 59 e.v. van de onderhavige conclusie.
42      Zie arrest van 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens) (C‑154/21, EU:C:2023:3, punt 49). Zoals het Hof heeft benadrukt, staat het aan de verwerkingsverantwoordelijke om aan te tonen dat een verzoek om inzage kennelijk ongegrond of buitensporig is in de zin van artikel 12, lid 5, AVG.
43      Zie in dit verband het Bureau van de Europese Unie voor de grondrechten (FRA), GDPR in practice – Experiences of Data Protection Authorities, Luxemburg, 11 juni 2024, blz. 21, waarin de beschikbaarheid van middelen van de toezichthoudende autoriteiten in de loop der jaren wordt omschreven als „over het algemeen ontoereikend”. Naar aanleiding van de eerste beoordeling door de Commissie van de toepassing van de AVG heeft het Europees Parlement een resolutie aangenomen waarin de lidstaten worden opgeroepen te voldoen aan hun verplichting uit hoofde van artikel 52, lid 4, AVG om voldoende middelen toe te wijzen aan hun toezichthoudende autoriteiten zodat zij hun taken optimaal kunnen uitvoeren en kunnen zorgen voor een gelijk speelveld op Europees niveau voor de toepassing van de AVG.