62022CC0026
CONCLUSIE VAN ADVOCAAT-GENERAAL
P. PIKAMÄE
van 16 maart 2023 (
1
)
Gevoegde zaken C‑26/22 en C‑64/22
UF (C‑26/22)
AB (C‑64/22)
tegen
Land Hessen,
in tegenwoordigheid van
SCHUFA Holding AG
[verzoek van het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 6, lid 1, eerste alinea, onder f) – Rechtmatigheid van de verwerking – Artikel 17, lid 1, onder d) – Recht op gegevenswissing wanneer de persoonsgegevens onrechtmatig zijn verwerkt – Artikel 40 – Gedragscodes – Artikel 77, lid 1 – Recht om een klacht in te dienen – Artikel 78, lid 1 – Recht op een doeltreffende voorziening in rechte tegen een toezichthoudende autoriteit – Artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie – Door de toezichthoudende autoriteit vastgesteld besluit op een klacht – Omvang van de rechterlijke toetsing van dit besluit – Private kredietinformatiebureaus – Bewaring van gegevens uit een openbaar register – Gerechtvaardigd belang – Bewaartermijn”
I. Inleiding
1.
De onderhavige verzoeken om een prejudiciële beslissing die het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) krachtens artikel 267 VWEU heeft ingediend, betreffen de uitlegging van de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”) en van artikel 6, lid 1, eerste alinea, onder f), artikel 17, lid 1, onder d), artikel 40, artikel 77, lid 1, en artikel 78, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (
2
) (hierna: „AVG”).
2.
Deze verzoeken zijn ingediend in het kader van twee gedingen, een eerste van UF (zaak C‑26/22), en een tweede van AB (zaak C‑64/22), tegen het Land Hessen (deelstaat Hessen, Duitsland), vertegenwoordigd door de Hessische Beauftragte für Datenschutz und Informationsfreiheit (toezichthouder voor gegevensbescherming en vrijheid van informatie, deelstaat Hessen hierna: „HBDI”) betreffende de verzoeken van respectievelijk UF en AB aan de HBDI om een registratie in verband met de kwijtschelding van een restschuld te laten doorhalen bij SCHUFA Holding AG (hierna: „SCHUFA”).
3.
De twee zaken werpen een aantal nieuwe rechtsvragen op die onder meer betrekking hebben op de juridische aard van het besluit van de toezichthoudende autoriteit waarbij een klacht is ingediend, alsook op de omvang van de rechterlijke toetsing waaraan een rechter een dergelijk besluit mag onderwerpen indien daartegen beroep wordt ingesteld. Deze zaken hebben ook betrekking op de vraag of de bewaring van persoonsgegevens uit openbare registers door kredietinformatiebureaus rechtmatig is.
II. Toepasselijke bepalingen
A. Unierecht
1.
Verordening 2015/848
4.
Artikel 79, leden 4 en 5, van verordening (EU) 2015/848 van het Europees Parlement en de Raad van 20 mei 2015 betreffende insolventieprocedures (
3
) luidt als volgt:
„4.   Overeenkomstig richtlijn 95/46/EG [van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31)] zijn de lidstaten verantwoordelijk voor het verzamelen en bewaren van gegevens in nationale databanken en voor besluiten die worden genomen om dergelijke gegevens beschikbaar te stellen in het systeem van onderling gekoppelde insolventieregisters dat via het Europees e‑justitieportaal kan worden geraadpleegd.
5.   In het kader van de informatieverstrekking aan de betrokkenen teneinde deze in staat te stellen hun rechten uit te oefenen, en met name het recht om gegevens te wissen, stellen de lidstaten de betrokkenen in kennis van de toegankelijkheidsperiode die is vastgesteld voor de in de insolventieregisters opgeslagen persoonsgegevens.”
2.
AVG
5.
Artikel 5, lid 1, AVG bepaalt:
„Persoonsgegevens moeten:
[…]
b)
voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; […] (‚doelbinding’);
[…]”
6.
Artikel 6, lid 1, van deze verordening bepaalt:
„De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
[…]
f)
de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen […].
[…]”
7.
Artikel 17, lid 1, AVG luidt:
„De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
[…]
c)
de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
d)
de persoonsgegevens zijn onrechtmatig verwerkt;
[…]”
8.
Artikel 21, lid 1, van deze verordening bepaalt:
„De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.”
9.
Artikel 40 van die verordening luidt als volgt:
„1.   De lidstaten, de toezichthoudende autoriteiten, het [Europees] Comité [voor gegevensbescherming] en de [Europese] Commissie bevorderen de opstelling van gedragscodes die, met inachtneming van de specifieke kenmerken van de diverse gegevensverwerkingssectoren en de specifieke behoeften van kleine, middelgrote en micro-ondernemingen, moeten bijdragen tot de juiste toepassing van deze verordening.
2.   Verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, kunnen gedragscodes opstellen, of die codes wijzigen of uitbreiden, teneinde de toepassing van deze verordening nader toe te lichten, zoals met betrekking tot:
a)
behoorlijke en transparante verwerking;
b)
de gerechtvaardigde belangen die door verwerkingsverantwoordelijken in een specifieke context worden behartigd;
c)
de verzameling van gegevens;
[…]
5.   De in lid 2 van dit artikel bedoelde verenigingen en andere organen die voornemens zijn een gedragscode op te stellen of een bestaande gedragscode te wijzigen of uit te breiden, leggen de ontwerpgedragscode, de wijziging of uitbreiding voor aan de overeenkomstig artikel 51 bevoegde toezichthoudende autoriteit. De toezichthoudende autoriteit brengt advies uit over de vraag of de ontwerpgedragscode, de wijziging of uitbreiding strookt met deze verordening, en keurt deze ontwerpgedragscode, die wijziging of uitbreiding goed indien zij van oordeel is dat de code voldoende passende waarborgen biedt.
[…]”
10.
Artikel 77, lid 1, AVG luidt:
„Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.”
11.
Artikel 78 van deze verordening bepaalt:
„1.   Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.
2.   Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep heeft iedere betrokkene het recht om een doeltreffende voorziening in rechte in te stellen indien de overeenkomstig de artikelen 55 en 56 bevoegde toezichthoudende autoriteit een klacht niet behandelt of de betrokkene niet binnen drie maanden in kennis stelt van de voortgang of het resultaat van de uit hoofde van artikel 77 ingediende klacht.
[…]”
B. Duits recht
12.
§ 9, lid 1, van de Insolvenzordnung (faillissementswet; hierna „InsO”), in de ten tijde van de feiten van de hoofdgedingen geldende versie, bepaalt:
„De openbare bekendmaking vindt plaats door een centrale bekendmaking op het internet in alle deelstaten; zij kan geschieden in de vorm van een uittreksel. Daarbij moet de schuldenaar precies worden aangeduid, en moeten met name zijn adres en zijn bedrijfstak worden vermeld. De bekendmaking wordt geacht te zijn geschied na het verstrijken van twee dagen na de dag van de bekendmaking.”
13.
§ 3, leden 1 en 2, van de Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (regeling betreffende openbare bekendmakingen via het internet in insolventieprocedures; hierna: „InsBekV”) bepaalt:
„(1)   De via een elektronisch informatie- en communicatiesysteem verrichte bekendmaking van gegevens betreffende een insolventieprocedure, met inbegrip van gegevens betreffende de opening daarvan, wordt uiterlijk zes maanden nadat de insolventieprocedure is ingetrokken of nadat de schorsing daarvan definitief is geworden, gewist. Indien de procedure niet wordt geopend, vangt de termijn aan met de opheffing van de bekendgemaakte bewarende maatregelen.
(2)   Lid 1, eerste volzin, is van toepassing op bekendmakingen in de procedure voor kwijtschelding van een restschuld, met inbegrip van de beschikking krachtens § 289 van de faillissementswet, met dien verstande dat de termijn begint te lopen vanaf de datum waarop de beschikking tot verlening van kwijtschelding van de restschuld definitief wordt.”
III. Feiten, hoofdgedingen en prejudiciële vragen
14.
In het kader van de hen betreffende insolventieprocedures is aan UF en AB bij rechterlijke beschikkingen van respectievelijk 17 december 2020 en 23 maart 2021 vervroegde kwijtschelding van een restschuld verleend. Overeenkomstig § 9, lid 1, InsO en § 3, leden 1 en 2, InsBekV is deze informatie officieel op het internet bekendgemaakt en daar na zes maanden gewist.
15.
SCHUFA, een privaat kredietinformatiebureau, registreert de over vervroegde kwijtscheldingen van restschulden bekendgemaakte informatie in haar eigen databanken, maar verwijdert deze pas drie jaar na registratie.
16.
Nadat UF en AB beide contact hadden opgenomen met SCHUFA met het verzoek om de hen betreffende registraties te laten wissen, heeft SCHUFA hun meegedeeld dat bij de uitoefening van haar activiteiten de AVG in acht werd genomen en dat de termijn voor gegevenswissing als bedoeld in § 3, lid 1, InsBekV, voor haar niet gold. UF en AB hebben vervolgens elk een klacht ingediend bij de HBDI als bevoegde toezichthoudende autoriteit.
17.
De HBDI heeft voor beide klachten op respectievelijk 1 maart 2021 en 9 juli 2021 een besluit vastgesteld. Volgens de HBDI mag SCHUFA ongunstige registraties aangaande de kwijtschelding van een restschuld ook na de periode van kwijtschelding van de schuldvordering bewaren.
18.
Zowel UF als AB heeft tegen het besluit van de HBDI beroep ingesteld bij het Verwaltungsgericht Wiesbaden, de verwijzende rechter. Hierin voeren zij aan dat de HBDI in het kader van zijn taken en bevoegdheden verplicht was om jegens SCHUFA maatregelen te nemen teneinde wissing van de hen betreffende gegevens af te dwingen.
19.
Dienaangaande acht de verwijzende rechter het in de eerste plaats noodzakelijk de juridische aard te verduidelijken van het besluit van de toezichthoudende autoriteit op een krachtens artikel 77, lid 1, AVG ingediende klacht. Hij zet uiteen dat, volgens de HBDI, het bij het in artikel 77, lid 1, bedoelde recht is opgezet als een recht om een verzoek in te dienen. Het besluit mag dus slechts in beperkte mate door een rechter worden getoetst, waarbij alleen mag worden nagegaan of de toezichthoudende autoriteit de klacht heeft behandeld en de indiener in kennis heeft gesteld van de voortgang en het resultaat van de klacht. De rechter mag echter niet toetsen of het besluit op de klacht inhoudelijk juist is.
20.
De verwijzende rechter betwijfelt echter of deze analyse in overeenstemming is met de AVG. Volgens hem vereist artikel 78, lid 1, AVG een doeltreffende voorziening in rechte. Gelet op de doelstelling van deze verordening, die erin bestaat om in het kader van de artikelen 7 en 8 van het Handvest te zorgen voor een doeltreffende bescherming van de grondrechten en fundamentele vrijheden van natuurlijke personen, kan de behandeling van het klachtrecht niet restrictief worden uitgelegd. De verwijzende rechter neigt derhalve naar een uitlegging in die zin dat het inhoudelijke besluit van de toezichthoudende autoriteit is onderworpen aan een volledige toetsing door de rechter, evenwel met dien verstande dat deze autoriteit over een beoordelingsmarge beschikt en alleen tot handelen gehouden kan zijn wanneer er geen rechtmatige alternatieven zijn aan te wijzen.
21.
In de tweede plaats heeft de verwijzende rechter twijfels over de rechtmatigheid van de bewaring van gegevens uit openbare registers bij private kredietinformatiebureaus. In dit verband maakt hij duidelijk dat deze kredietinformatiebureaus bij de staat alle registraties uit de openbare registers verkrijgen, in casu het register van schuldenaren en het insolventieregister. Volgens de HBDI dienen deze gegevens ter beoordeling van de kredietwaardigheid en mogen zij net zolang worden bewaard als nodig is voor de doelen waartoe deze bewaring dient. Bij gebreke van een regeling door de nationale wetgever zijn de toezichthoudende autoriteiten en de bond van kredietinformatiebureaus bovendien gedragscodes overeengekomen, die bepalen dat gegevens precies drie jaar na hun opname in het bestand moeten worden doorgehaald.
22.
Volgens de verwijzende rechter rijst daarbij in het licht van de artikelen 7 en 8 van het Handvest de vraag of de registraties uit de openbare registers een-op-een kunnen worden overgebracht naar private registers, zonder dat er sprake is van een concrete aanleiding tot bewaring van die gegevens. Uiteindelijk komt het er immers op neer dat gegevens bewaard blijven, vooral wanneer zij wegens het verstrijken van de bewaartermijn reeds zijn doorgehaald in de nationale registers. SCHUFA is trouwens slechts één van vele kredietinformatiebureaus, zodat gegevens in Duitsland vaak op meerdere manieren worden bewaard, hetgeen een massale inbreuk inhoudt op het grondrecht van artikel 7 van het Handvest.
23.
De verwijzende rechter voegt daaraan toe dat een verwerking en derhalve bewaring van de gegevens alleen is toegestaan wanneer is voldaan aan een van de voorwaarden van artikel 6, lid 1, AVG, met dien verstande dat in casu alleen artikel 6, lid 1, eerste alinea, onder f), AVG daarvoor in aanmerking komt. Het valt evenwel te betwijfelen of een verwerkingsverantwoordelijke zoals SCHUFA een gerechtvaardigd belang heeft in de zin van die bepaling. In ieder geval kan een kredietinformatiebureau met een gerechtvaardigd belang hoe dan ook altijd het openbare register raadplegen, zolang de gegevens daarin worden bewaard.
24.
Bovendien bepaalt de Duitse wetgever in § 3 InsBekV dat de opname van de kwijtschelding van een restschuld in het insolventieregister slechts gedurende een relatief korte termijn van zes maanden wordt bewaard. Deze regeling is gebaseerd op artikel 79, lid 5, van verordening 2015/848, dat bepaalt dat de lidstaten de betrokkenen in kennis stellen van de toegankelijkheidsperiode die is vastgesteld voor hun in de insolventieregisters opgeslagen persoonsgegevens, teneinde hen in staat te stellen hun rechten, en met name hun recht op gegevenswissing, uit te oefenen. Dat recht bestaat echter niet meer bij bewaring in een groot aantal private registers, waarin de gegevens vervolgens ook nog langer worden bewaard.
25.
Zelfs indien wordt aangenomen dat gegevens uit openbare registers rechtmatig kunnen worden bewaard bij private kredietinformatiebureaus, rijst de vraag of de overeenkomstig artikel 40 AVG goedgekeurde gedragscodes, waarin een termijn van drie jaar is vastgesteld voor het doorhalen van de registratie van de kwijtschelding van een restschuld, bij de belangenafweging op grond van artikel 6, lid 1, eerste alinea, onder f), AVG in aanmerking moeten worden genomen.
26.
Daarop heeft het Verwaltungsgericht Wiesbaden de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1)
Moet artikel 77, lid 1, juncto artikel 78, lid 1, [AVG] aldus worden uitgelegd dat het resultaat dat door de toezichthoudende autoriteit aan de betrokkene wordt meegedeeld:
a)
het karakter heeft van een besluit op een petitie, met als gevolg dat de rechterlijke toetsing van een besluit van de toezichthoudende autoriteit op een klacht krachtens artikel 78, lid 1, AVG in beginsel beperkt blijft tot de vraag of de toezichthoudende autoriteit de klacht in behandeling heeft genomen, het voorwerp ervan naar behoren heeft onderzocht en de klager over het resultaat van het onderzoek in kennis heeft gesteld,
dan wel
b)
moet worden opgevat als een door een autoriteit vastgesteld besluit ten gronde, met als gevolg dat een besluit van de toezichthoudende autoriteit op een klacht overeenkomstig artikel 78, lid 1, AVG inhoudelijk volledig door de rechter moet worden getoetst, waarbij die autoriteit in individuele gevallen – bijvoorbeeld wanneer geen sprake meer is van enige beoordelingsruimte – door de rechter ook kan worden verplicht een concrete maatregel in de zin van artikel 58 AVG vast te stellen?
2)
Is de bewaring van gegevens bij een privaat kredietinformatiebureau, waarbij persoonsgegevens uit een openbaar register, zoals ‚nationale databanken’ in de zin van artikel 79, leden 4 en 5, van [verordening 2015/848], zonder concrete aanleiding worden bewaard om in geval van een informatieverzoek te kunnen worden verstrekt, verenigbaar met de artikelen 7 en 8 van het [Handvest]?
3
a)
Zijn private parallelle databanken (met name databanken van een kredietinformatiebureau), die naast de databanken van de overheid worden opgericht en waarin gegevens uit de databanken van de overheid (in casu bekendmakingen inzake insolventie) langer worden bewaard dan in het strikte kader van verordening 2015/848 juncto het nationale recht is geregeld, in beginsel toelaatbaar?
3
b)
Indien de derde vraag, onder a), bevestigend wordt beantwoord, blijkt dan uit het recht op vergetelheid krachtens artikel 17, lid 1, onder d), AVG, dat deze gegevens moeten worden gewist wanneer de in het openbare register vastgestelde verwerkingsperiode is verstreken?
4)
Voor zover artikel 6, lid 1, eerste alinea, onder f), AVG moet worden beschouwd als de enige rechtsgrondslag voor de bewaring bij private kredietinformatiebureaus van gegevens die eveneens in openbare registers worden bewaard, heeft het kredietinformatiebureau dan reeds een gerechtvaardigd belang wanneer het zonder concrete aanleiding gegevens uit het openbare register overneemt teneinde deze op verzoek beschikbaar te kunnen stellen?
5)
Mogen gedragscodes die door de toezichthoudende autoriteiten overeenkomstig artikel 40 AVG zijn goedgekeurd en voorzien in onderzoekstermijnen en termijnen voor gegevenswissing die langer zijn dan de bewaartermijnen van openbare registers, de krachtens artikel 6, lid 1, eerste alinea, onder f), AVG vereiste belangenafweging opschorten?”
IV. Procedure bij het Hof
27.
De verwijzingsbeslissing in zaak C‑26/22, die dateert van 23 december 2021, is ter griffie van het Hof ingekomen op 11 januari 2022. De verwijzingsbeslissing in zaak C‑64/22, die dateert van 31 januari 2022, is ter griffie van het Hof ingekomen op 2 februari 2022.
28.
Bij beslissing van de president van het Hof van 11 februari 2022 zijn deze zaken gevoegd voor de schriftelijke en de mondelinge behandeling en voor het arrest.
29.
Partijen in de hoofdgedingen, SCHUFA, de Duitse en de Portugese regering en de Commissie hebben binnen de termijn van artikel 23 van het Statuut van het Hof van Justitie van de Europese Unie schriftelijke opmerkingen ingediend.
30.
Ter terechtzitting van 26 januari 2023 hebben de procesvertegenwoordigers van partijen in de hoofdgedingen, SCHUFA, alsmede de Commissie hun standpunten mondeling toegelicht.
V. Juridische analyse
A. Opmerkingen vooraf
31.
Aangezien wederzijds vertrouwen de basis vormt van elke contractuele verbintenis in een markteconomie, is het vanuit zakelijk oogpunt in beginsel begrijpelijk dat aanbieders van diensten en goederen hun klanten en de risico’s die inherent zijn aan een dergelijke contractuele verbintenis willen kennen. Kredietinformatiebureaus kunnen bijdragen tot de totstandbrenging van dit wederzijdse vertrouwen door middel van statistische methoden aan de hand waarvan ondernemingen kunnen vaststellen of in een concreet geval aan bepaalde relevante criteria, waaronder de kredietwaardigheid van hun klanten, is voldaan. Op die manier helpen zij ondernemingen om te voldoen aan verschillende Unierechtelijke bepalingen die die ondernemingen voor bepaalde categorieën van contracten, met name kredietovereenkomsten, een dergelijke verplichting opleggen. (
4
) Deze bureaus zijn echter niet de enige die dergelijke diensten verrichten. In het besef dat een zekere transparantie en voorspelbaarheid van financiële transacties moet worden gewaarborgd, eist de Uniewetgever van de lidstaten dat zij een of meer registers opzetten en bijhouden waarin informatie over insolventieprocedures wordt bekendgemaakt.
32.
Bijgevolg bestaan er verschillende databanken naast elkaar: enerzijds „officiële” registers die door de overheid worden beheerd en anderzijds databanken die door private ondernemingen worden beheerd. Dit naast elkaar bestaan van databanken kan leiden tot concurrentie tussen de systemen en zelfs tot juridische conflicten wanneer de wettelijke regelingen waaraan deze registers zijn onderworpen aanzienlijk van elkaar verschillen. Die verschillen in regelgeving kunnen bijzonder problematisch worden indien zij afdoen aan de gegevensbescherming, omdat, ongeacht of het register wordt beheerd door een openbare dan wel door een private entiteit, de gegevens in het register moeten worden beheerd en geregistreerd op een wijze die de belangen van de betrokkenen in acht neemt. Aangezien informatie over de economische situatie van een persoon wordt gekenmerkt door een grote gevoeligheid wat betreft de eerbiediging van het recht op bescherming van persoonsgegevens en de persoonlijke levenssfeer, is grote waakzaamheid geboden.
33.
Met de AVG, die sinds 25 mei 2018 van toepassing is, is een rechtskader gecreëerd dat beoogt rekening te houden met de bovengenoemde belangen in de hele Unie, onder meer door bepaalde voorwaarden te stellen aan de verwerking van persoonsgegevens. Zo vereist artikel 6, lid 1, eerste alinea, onder f), AVG dat de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen. Met andere woorden, de rechtmatigheid van de verwerking moet voortvloeien uit een afweging van de verschillende betrokken belangen, waarbij de door de verwerkingsverantwoordelijke of een derde nagestreefde gerechtvaardigde belangen zwaarder moeten wegen. Het staat aan de toezichthoudende autoriteit, die krachtens artikel 77, lid 1, AVG elke klacht van een betrokkene wegens schending van zijn grondrechten moet behandelen, om na te gaan of aan deze voorwaarden is voldaan. Indien de betrokkene besluit beroep in te stellen tegen de besluiten van de toezichthoudende autoriteit, staat het overeenkomstig artikel 78, lid 1, AVG aan de nationale rechterlijke instanties om een doeltreffende rechterlijke toetsing te verzekeren.
34.
De voorgaande punten van deze conclusie vormen een korte samenvatting van de verschillende juridische aspecten die de verwijzende rechter in zijn verzoeken om een prejudiciële beslissing aan de orde heeft gesteld. De eerste vraag betreft de juridische aard van een besluit van de toezichthoudende autoriteit waarbij een klacht is ingediend, en de omvang van de rechterlijke toetsing waaraan de rechter een dergelijk besluit mag onderwerpen wanneer daartegen beroep is ingesteld. De tweede tot en met de vijfde vraag hebben in wezen betrekking op de rechtmatigheid van de bewaring van persoonsgegevens uit openbare registers bij kredietinformatiebureaus. De prejudiciële vragen zullen hieronder worden onderzocht in de volgorde waarin zij door de verwijzende rechter zijn gesteld.
B. Eerste prejudiciële vraag
35.
Aangezien de eerste vraag betrekking heeft op de twee stappen van het administratief beroep, te weten de klacht bij de toezichthoudende autoriteit en het beroep bij een rechterlijke instantie, die in respectievelijk de artikelen 77 en 78 AVG zijn geregeld, acht ik het zinvol om deze twee stappen kort te beschrijven en daarbij in te gaan op de juridische aspecten waarover de verwijzende rechter twijfels heeft.
36.
Zoals ik in mijn opmerkingen vooraf heb aangegeven, beoogt de AVG de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens te waarborgen, hetgeen zowel in artikel 8, lid 1, van het Handvest als in artikel 16, lid 1, VWEU als een grondrecht wordt erkend. Aangezien elke verwerking van persoonsgegevens gevolgen kan hebben voor het privéleven, moet ook de bescherming worden vermeld die door artikel 7 van het Handvest wordt geboden. (
5
) Zoals blijkt uit artikel 1, lid 2, AVG, gelezen in samenhang met de overwegingen 10, 11 en 13 ervan, vertrouwt de Uniewetgever deze taak toe aan de organen en instanties van de Unie, maar ook aan de bevoegde autoriteiten van de lidstaten, waaronder de toezichthoudende autoriteiten en de nationale rechterlijke instanties. (
6
)
1.
Rol van de toezichthoudende autoriteiten, met inbegrip van de verplichting om klachten te onderzoeken
37.
In dit verband zij opgemerkt dat artikel 8, lid 3, van het Handvest bepaalt dat op de naleving van de regels inzake de bescherming van persoonsgegevens moet worden toegezien door een onafhankelijke autoriteit. Artikel 57, lid 1, onder a), AVG geeft uitvoering aan deze van primair recht afgeleide verplichting, door te bepalen dat elke toezichthoudende autoriteit tot taak heeft de toepassing van deze verordening te monitoren en te handhaven. De behandeling van klachten van een betrokkene maakt deel uit van haar verantwoordelijkheden, zoals uitdrukkelijk blijkt uit artikel 57, lid 1, onder f), AVG.
38.
Het Hof heeft geoordeeld dat op grond van de AVG „elke toezichthoudende autoriteit op haar grondgebied de klachten moet behandelen die eenieder overeenkomstig artikel 77, lid 1, van die verordening het recht heeft in te dienen wanneer hij van oordeel is dat een verwerking van hem betreffende persoonsgegevens schending van die verordening oplevert, en het voorwerp van die klachten voor zover nodig moet onderzoeken”. (
7
) Dienaangaande moet worden opgemerkt dat het Hof heeft benadrukt dat de toezichthoudende autoriteit „een dergelijke klacht met de nodige voortvarendheid en zorgvuldigheid [moet] onderzoeken” om de naleving van de bepalingen van de AVG te waarborgen. Evenzo moet worden opgemerkt dat in overweging 141 AVG wordt verduidelijkt dat „[h]et onderzoek dat naar aanleiding van een klacht wordt uitgevoerd, […] niet verder [gaat] dan in het specifieke geval passend is” (cursivering van mij).
39.
Op basis van al deze elementen ben ik van mening dat op de toezichthoudende autoriteit een dwingende verplichting rust om de klachten te behandelen die door een betrokkene worden ingediend, en hierbij de in het specifieke geval vereiste voortvarendheid en zorgvuldigheid aan de dag te leggen. (
8
) Voor zover elke schending van de AVG in beginsel een inbreuk op de grondrechten kan vormen, lijkt het mij onverenigbaar met de bij deze verordening opgezette regeling om aan de toezichthoudende autoriteit de discretionaire bevoegdheid te geven om klachten al dan niet te behandelen. Een dergelijke benadering zou leiden tot ondermijning van de door de AVG aan haar toevertrouwde cruciale rol om de naleving van de regels inzake de bescherming van persoonsgegevens te handhaven en bijgevolg strijdig zijn met de door de Uniewetgever nagestreefde doeleinden. (
9
) Per slot van rekening mag niet worden vergeten dat die klachten voor de toezichthoudende autoriteit een kostbare bron van informatie vormen, aan de hand waarvan zij inbreuken kan opsporen. (
10
)
40.
Deze uitlegging is des te meer overtuigend daar artikel 57, lid 1, onder f), AVG de toezichthoudende autoriteit onderwerpt aan een aantal eisen bij de behandeling van klachten, te weten dat zij de inhoud van de klacht onderzoekt in de mate waarin dat gepast is en de klager binnen een redelijke termijn in kennis stelt van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is. Daarbij komt nog de in artikel 77, lid 2, AVG bedoelde verplichting om de indiener van de klacht in kennis te stellen van de voortgang en het resultaat ervan, met inbegrip van de mogelijkheid om beroep in rechte in te stellen op grond van artikel 78 AVG. Al deze eisen, die onder het begrip „behoorlijk bestuur” vallen, waaraan in artikel 41 van het Handvest specifiek met betrekking tot de activiteiten van de instellingen en organen van de Unie invulling is gegeven (
11
), beogen de klachtenprocedure te versterken teneinde er een echte administratieve beroepsprocedure van te maken.
41.
Hoewel de toezichthoudende autoriteit borg moet staan voor de naleving van de bepalingen van de AVG en als zodanig de klachten moet behandelen die bij haar worden ingediend, pleiten verschillende elementen voor een uitlegging volgens welke zij bij het onderzoek van deze klachten over een beoordelingsbevoegdheid beschikt, alsook over enige speelruimte bij de keuze van de passende maatregelen om haar taken uit te voeren. Advocaat-generaal Saugmandsgaard Øe heeft namelijk opgemerkt dat artikel 58, lid 1, AVG „de toezichthoudende autoriteiten uitgebreide onderzoeksbevoegdheden [toekent]” en dat zij krachtens artikel 58, lid 2, AVG „over een breed scala aan middelen […] [beschikken] om de [hun] opgedragen taak te kunnen vervullen” en verwijst daarbij naar de talloze in deze bepaling opgesomde bevoegdheden om corrigerende maatregelen te nemen. (
12
) De advocaat-generaal heeft vervolgens gepreciseerd dat hoewel „de toezichthoudende autoriteit de haar opgedragen toezichthoudende taak ten volle [dient] uit te oefenen”, „de keuze van het meest doeltreffende middel, rekening houdend met de omstandigheden […], ter beoordeling van de bevoegde toezichthoudende autoriteit staat”. (
13
) Met deze uitlegging ben ik het volkomen eens.
42.
Uit de gedetailleerde beschrijving van de bevoegdheid van de toezichthoudende autoriteiten om corrigerende maatregelen te nemen blijkt dat de Uniewetgever niet beoogde van de klachtenprocedure een procedure te maken die vergelijkbaar is met die van een petitie. Integendeel, de wetgever lijkt te hebben beoogd een mechanisme in te voeren waarmee de rechten en belangen van klagers doeltreffend kunnen worden beschermd. Niettemin lijkt het mij duidelijk dat deze speelruimte niet aldus mag worden uitgelegd dat de toezichthoudende autoriteit over een onbeperkte bevoegdheid beschikt, waardoor zij willekeurig kan optreden. De toezichthoudende autoriteit moet deze speelruimte daarentegen juist gebruiken met inachtneming van de grenzen die het Unierecht haar oplegt. Ook om die reden kan niet worden uitgesloten dat de toezichthoudende autoriteit zich als bestuursorgaan verplicht ziet een bepaalde maatregel te nemen wegens de bijzondere omstandigheden van het geval, met name wanneer er een ernstig risico bestaat dat de grondrechten van de betrokkene worden geschonden.
43.
Deze uitlegging, die de toezichthoudende autoriteit een zekere speelruimte laat bij de keuze van middelen, vindt steun in artikel 58, lid 4, AVG, dat bepaalt dat „op de uitoefening van de bevoegdheden die uit hoofde van dit artikel aan de toezichthoudende autoriteit worden verleend, […] passende waarborgen van toepassing [zijn], daaronder begrepen [een] doeltreffende voorziening in rechte” (cursivering van mij), overeenkomstig artikel 47 van het Handvest. Artikel 78, leden 1 en 2, AVG kent bovendien aan elke persoon het recht toe om een doeltreffende voorziening in rechte in te stellen tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit of wanneer deze autoriteit zijn klacht niet behandelt.
44.
Dit brengt mij bij de kwestie van de juridische aard van besluiten van de toezichthoudende autoriteit die de verwijzende rechter in zijn verzoeken om een prejudiciële beslissing aan de orde heeft gesteld. In dit verband moet worden verwezen naar overweging 141 AVG waaruit blijkt dat „[i]edere betrokkene […] het recht [dient] te hebben om een klacht in te dienen bij [een] […] toezichthoudende autoriteit […] en een doeltreffende voorziening in rechte in te stellen overeenkomstig artikel 47 van het Handvest indien hij meent dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening of indien de toezichthoudende autoriteit niet optreedt naar aanleiding van een klacht, een klacht gedeeltelijk of geheel verwerpt of afwijst, of indien deze niet optreedt wanneer zulk optreden noodzakelijk is ter bescherming van de rechten van de betrokkene” (cursivering van mij). Deze overweging houdt rekening met het feit dat een besluit van de toezichthoudende autoriteit ongunstig kan zijn voor de betrokkene, met name indien zij concludeert dat de klacht ongegrond is, meent dat er geen inbreuk is gemaakt op de AVG en derhalve geen maatregelen neemt om de situatie die aanleiding was voor de klacht te verhelpen. De Uniewetgever erkent de juridisch bindende werking van een dergelijk besluit en biedt de klager derhalve een beroepsmogelijkheid bij een nationale rechterlijke instantie.
45.
Ook moet worden opgemerkt dat het de toezichthoudende autoriteit niet vrijstaat om niet te reageren, aangezien uit artikel 78, lid 2, AVG volgt dat „iedere betrokkene het recht [heeft] om een doeltreffende voorziening in rechte in te stellen indien de overeenkomstig de artikelen 55 en 56 bevoegde toezichthoudende autoriteit een klacht niet behandelt of de betrokkene niet binnen drie maanden in kennis stelt van de voortgang of het resultaat van de uit hoofde van artikel 77 ingediende klacht”. Deze omstandigheid sluit uit dat de klachtprocedure kan worden gelijkgesteld met een verzoekschrift.
46.
Zoals de verwijzende rechter in zijn verwijzingsbeslissingen heeft uiteengezet, heeft de toezichthoudende autoriteit in casu besluiten vastgesteld die juridisch bindend zijn voor verzoekers in het hoofdgeding. Hij heeft in wezen vastgesteld dat de verwerking van de persoonsgegevens van verzoekers door SCHUFA rechtmatig was op grond van artikel 6, lid 1, onder b) en f), AVG en heeft daarmee impliciet uitgesloten dat er onderzoeks- of corrigerende maatregelen worden genomen.
2.
Omvang van de rechterlijke toetsing van besluiten van de toezichthoudende autoriteit
47.
De doeltreffende voorziening in rechte waarin artikel 78 AVG voorziet, vormt de tweede stap van het administratief beroep als bedoeld in deze verordening. In dit verband moet worden opgemerkt dat zowel de „klacht” bij de toezichthoudende autoriteit als de „voorziening in rechte” wordt opgevat als „rechten” van de betrokkene, hetgeen volstrekt begrijpelijk is wanneer wordt uitgegaan van de gedachte dat de artikelen 77 tot en met 79 van de AVG uitvoering beogen te geven aan het in artikel 47 van het Handvest neergelegde recht op een doeltreffende voorziening in rechte. Zoals ik hierboven (
14
) heb aangegeven, kan dit doel duidelijk worden afgeleid uit artikel 58, lid 4, gelezen in samenhang met artikel 78 AVG, in het licht van overweging 141 van deze verordening. (
15
)
48.
Wat betreft de omvang van de rechterlijke toetsing van door een toezichthoudende autoriteit vastgestelde besluiten, moet worden opgemerkt dat krachtens het beginsel van procedurele autonomie van de lidstaten doorgaans de nationale regels voor administratieve procedures worden toegepast, mits de beginselen van gelijkwaardigheid en doeltreffendheid worden geëerbiedigd. (
16
) Niettemin ben ik van mening dat een voorziening in rechte pas „doeltreffend” kan zijn, in de zin van artikel 47 van het Handvest en artikel 78, lid 1, AVG, indien de bevoegde nationale rechterlijke instantie de bevoegdheid en de verplichting heeft om het door de toezichthoudende autoriteit vastgestelde besluit ten gronde in zijn geheel te toetsen om na te gaan of de toezichthoudende autoriteit de AVG correct heeft toegepast.
49.
Zoals het Hof in zijn rechtspraak heeft opgemerkt, „eerbiedigt een regeling die niet in enige beroepsmogelijkheid voor de justitiabele voorziet om toegang tot de hem betreffende persoonsgegevens te verkrijgen, of rectificatie of verwijdering van die gegevens, de wezenlijke inhoud van het grondrecht op een effectieve voorziening in rechte zoals neergelegd in artikel 47 van het Handvest niet. Artikel 47, eerste alinea, van het Handvest schrijft immers voor dat eenieder wiens door het recht van de Unie gewaarborgde rechten en vrijheden zijn geschonden, recht heeft op een doeltreffende voorziening in rechte, met inachtneming van de in dit artikel gestelde voorwaarden. Dat effectieve rechterlijke toetsing bestaat om de naleving van de bepalingen van Unierecht te verzekeren, is inherent aan het bestaan van een rechtsstaat.” (
17
)
50.
Om de omvang van de rechterlijke toetsing van besluiten van de toezichthoudende autoriteit te bepalen, lijkt het mij relevant om eerst te verwijzen naar overweging 141 AVG, waaruit naar voren komt dat „[h]et onderzoek dat naar aanleiding van een klacht wordt uitgevoerd, […] niet verder [gaat] dan in het specifieke geval passend is en kan worden onderworpen aan rechterlijke toetsing” (cursivering van mij). Vervolgens moet worden gewezen op overweging 143 AVG, waarin staat dat „iedere natuurlijke of rechtspersoon het recht [dient] te hebben om tegen een besluit van een toezichthoudende autoriteit dat ten aanzien van die persoon rechtsgevolgen heeft, voor het bevoegde nationale gerecht een doeltreffende voorziening in rechte in te stellen.Een dergelijk besluit heeft meer bepaald betrekking op de uitoefening van met onderzoek, correctie en toestemming verband houdende bevoegdheden door de toezichthoudende autoriteit, of op de afwijzing van klachten” (cursivering van mij). Mijns inziens moeten deze passages aldus worden begrepen dat de rechterlijke toetsing die de nationale rechter krachtens artikel 78 AVG moet verrichten, volledig moet zijn, dat wil zeggen zich moet uitstrekken tot alle relevante aspecten die vallen onder de beoordelingsbevoegdheid die de toezichthoudende autoriteit in het kader van het onderzoek van het voorwerp van een klacht uitoefent, alsook onder haar beslissingsruimte bij de keuze van onderzoeks- en corrigerende maatregelen.
51.
Het doel van de Uniewetgever om te waarborgen dat ieder besluit van een toezichthoudende autoriteit dat rechtsgevolgen heeft ten aanzien van de betrokkene die bij haar een klacht heeft ingediend volledig door de rechter wordt getoetst, wordt bijzonder duidelijk wanneer wordt gekeken naar een andere passage van overweging 143 AVG, te weten: „Een vordering tegen een toezichthoudende autoriteit dient te worden ingesteld bij de gerechten van de lidstaat waar de toezichthoudende autoriteit is gevestigd, en dient in overeenstemming te zijn met het procesrecht van die lidstaat. Die gerechten dienen volledige rechtsmacht uit te oefenen, waaronder rechtsmacht om alle feitelijke en juridische vraagstukken in verband met het bij hen aanhangige geschil te onderzoeken” (cursivering van mij) (
18
). Mijn inziens voldoet alleen een rechterlijke toetsing van die omvang aan de vereisten van artikel 47 van het Handvest. (
19
)
52.
De argumenten waarmee SCHUFA en de HBDI pleiten voor een beperkte rechterlijke toetsing van besluiten van de toezichthoudende autoriteiten lijken mij daarentegen niet overtuigend. Ten eerste is de „onafhankelijkheid” die krachtens artikel 52 AVG aan de toezichthoudende autoriteit wordt verleend en die uitvoering geeft aan het vereiste van artikel 8, lid 3, van het Handvest, bedoeld om deze autoriteit te beschermen tegen ongepaste inmenging, maar ontslaat haar niet van de verplichting haar taken uit te voeren en haar bevoegdheden uit te oefenen met volledige inachtneming van het Unierecht en haar besluiten aan doeltreffende rechterlijke toetsing te onderwerpen, zoals elke andere nationale autoriteit. Ten tweede sluit het in artikel 79 AVG neergelegde recht op een voorziening in rechte tegen de verwerkingsverantwoordelijke niet uit dat beroep kan worden ingesteld tegen een besluit van de toezichthoudende autoriteit op grond van artikel 78 AVG. Deze beroepsmogelijkheden bestaan autonoom naast elkaar zonder dat de ene beroepsmogelijkheid ondergeschikt is aan de andere, zodat zij tegelijkertijd kunnen worden ingesteld. (
20
) Verzoekers kan dus niet worden verweten dat zij onrechtmatig hebben gehandeld bij de verdediging van hun door de AVG beschermde rechten door voorrang te hebben gegeven aan een bepaalde beroepsmogelijkheid. Derhalve moeten deze argumenten worden afgewezen.
53.
Gelet op het voorgaande moet op de eerste prejudiciële vraag worden geantwoord dat artikel 78, lid 1, AVG aldus moet worden uitgelegd dat uit die bepaling volgt dat een juridisch bindend besluit van een toezichthoudende autoriteit is onderworpen aan een volledige, inhoudelijke rechterlijke toetsing.
C. Tweede tot en met vijfde prejudiciële vraag
54.
De tweede tot en met de vijfde prejudiciële vraag hebben in wezen betrekking op de rechtmatigheid van de bewaring van persoonsgegevens uit openbare registers bij kredietinformatiebureaus. De door de verwijzende rechter gestelde vragen werpen een reeks juridische vraagstukken op in verband met deze praktijk die op gestructureerde wijze zullen moeten worden onderzocht. Ter wille van de duidelijkheid acht ik het passend de vragen per thema te groeperen en ze in die volgorde te behandelen.
55.
Teneinde de verwijzende rechter een nuttig antwoord te geven dat hem in staat stelt het bij hem aanhangige geschil te beslechten, zal het Hof verschillende bepalingen van de AVG moeten uitleggen die, hoewel zij niet uitdrukkelijk in de vragen zijn vermeld, toch relevant lijken. Een dergelijke benadering is mogelijk, aangezien het Hof volgens vaste rechtspraak uit alle door de verwijzende rechter verschafte gegevens, met name uit de motivering van de verwijzingsbeslissing, de normen en beginselen van het Unierecht kan putten die uitlegging behoeven, gelet op het voorwerp van het hoofdgeding. (
21
)
56.
Een dergelijke grondige analyse lijkt mij des te meer noodzakelijk omdat de verwijzende rechter in zijn vragen soms uitsluitend verwijst naar de artikelen 7 en 8 van het Handvest, terwijl het Hof heeft uitgelegd dat deze bepalingen niet afzonderlijk mogen worden toegepast, maar in aanmerking moeten worden genomen in het kader van de in artikel 6, lid 1, onder f), AVG bedoelde afweging. (
22
) Bovendien moet er dienaangaande aan worden herinnerd dat de bepalingen van de AVG de betrokken grondrechten ten uitvoer brengen, zodat de uitlegging van het afgeleide recht logischerwijs het vertrekpunt vormt van elke exegese en dat afgeleide recht moet worden gelezen in het licht van het primaire recht, waarvan het Handvest integraal deel uitmaakt. (
23
) In de onderstaande analyse zal ik dus alle bepalingen meenemen die mij relevant lijken.
1.
Overeenstemming van de praktijk van de kredietinformatiebureaus met de in de AVG neergelegde beginselen voor de verwerking van persoonsgegevens
57.
Hoofdstuk II van de AVG, met als opschrift „Beginselen”, bevat de beginselen inzake de verwerking van persoonsgegevens. Hieronder zal ik onderzoeken of de praktijk van de kredietinformatiebureaus om persoonsgegevens uit openbare registers gedurende drie jaar te bewaren in overeenstemming is met de beginselen die mij in de onderhavige context het meest relevant lijken, te weten de beginselen van rechtmatigheid, doelbinding en minimale gegevensverwerking.
58.
Voor de analyse zal ik mij baseren op de door de verwijzende rechter en SCHUFA verstrekte informatie, waarbij ik echter benadruk dat het aan SCHUFA als verwerkingsverantwoordelijke is om aan te tonen dat de bovengenoemde beginselen zijn geëerbiedigd, overeenkomstig de in artikel 5, lid 2, AVG neergelegde verantwoordingsplicht.
a)
Eerbiediging van het rechtmatigheidsbeginsel [artikel 6, lid 1, eerste alinea, onder f), AVG]
59.
Overeenkomstig artikel 5, lid 1, onder a), AVG moeten persoonsgegevens worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Volgens artikel 6, lid 1, AVG is de verwerking van persoonsgegevens alleen rechtmatig indien aan een van de erin opgesomde voorwaarden is voldaan. Zoals het Hof heeft geoordeeld, is dit een uitputtende en limitatieve lijst van gevallen waarin een verwerking van persoonsgegevens kan worden geacht rechtmatig te zijn. (
24
) De verwijzende rechter wenst in wezen te vernemen of artikel 6, lid 1, eerste alinea, onder f), AVG een particulier kredietinformatiebureau toestaat om uit openbare registers afkomstige persoonsgegevens te bewaren teneinde deze gegevens op verzoek aan een klant ter beschikking te stellen.
60.
Volgens de rechtspraak van het Hof (
25
) worden in artikel 6, lid 1, eerste alinea, onder f), AVG drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de verwerking van persoonsgegevens rechtmatig is, te weten, ten eerste, de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of een derde aan wie de gegevens worden meegedeeld, ten tweede, de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, ten derde, de voorwaarde dat de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen dan dat belang. Het staat weliswaar aan de verwijzende rechter om te beoordelen of aan deze voorwaarden is voldaan, maar het Hof dient hem bij deze beoordeling te begeleiden door de opgeworpen rechtsvragen te verduidelijken.
1) Bestaan van een „gerechtvaardigd belang”
61.
Wat om te beginnen de behartiging van een „gerechtvaardigd belang” betreft, herinner ik eraan dat de AVG en de rechtspraak een breed scala aan belangen als gerechtvaardigd erkennen (
26
), met dien verstande dat het krachtens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om aan te geven welke gerechtvaardigde belangen worden behartigd in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG.
62.
SCHUFA betoogt dat de betrokken gegevensverwerking dient ter behartiging van zeer belangrijke gerechtvaardigde belangen. Meer specifiek verwerken kredietinformatiebureaus gegevens die nodig zijn voor de beoordeling van de kredietwaardigheid van personen of ondernemingen, teneinde deze informatie ter beschikking te kunnen stellen van hun contractpartijen. Dit beschermt ook de economische belangen van ondernemingen die in verband met een krediet overeenkomsten willen afsluiten. Bovendien vormen de vaststelling van de kredietwaardigheid en de verstrekking van informatie over kredietwaardigheid de basis voor het krediet en voor de goede werking van de economie. De activiteit van deze bureaus draagt ook bij tot het vervullen van de commerciële wensen van personen die geïnteresseerd zijn in transacties in verband met krediet, aangezien de informatie een snel en niet-bureaucratisch onderzoek mogelijk maakt.
63.
Mijns inziens bestaat er in beginsel geen enkele objectieve reden om te twijfelen aan de rechtmatigheid van het belang van SCHUFA om haar klanten de hierboven beschreven commerciële dienst te verlenen, en aan het belang van de klanten van SCHUFA om gebruik te maken van haar diensten om de kredietwaardigheid van potentiële handelspartners in de aangegeven zin te beoordelen. Hoewel het verrichten van dit soort diensten inderdaad tot doel heeft een vergoeding te verkrijgen en dus het verdienmodel van private kredietinformatiebureaus vormt, neemt dit niet weg dat deze omstandigheid op zich niet volstaat om in twijfel te trekken dat in casu aan de eerste voorwaarde van artikel 6, lid 1, eerste alinea, onder f), AVG is voldaan.
64.
Dit geldt des te meer wanneer het met de betrokken dienst nagestreefde doel in wezen vergelijkbaar is met het doel dat de Uniewetgever heeft nagestreefd met de vaststelling van artikel 24 van verordening 2015/848, dat de lidstaten verplicht om op hun grondgebied een of meer registers in te voeren en bij te houden waarin gegevens betreffende insolventieprocedures openbaar worden gemaakt. Zoals uit overweging 76 van die verordening volgt, hebben deze openbare registers ten doel „de informatievoorziening aan de desbetreffende schuldeisers en rechters te verbeteren en te voorkomen dat parallelle insolventieprocedures worden geopend”. Het lijkt mij dat de door SCHUFA aangeboden dienst geen ander doel heeft. De vraag of het bestaan van parallelle systemen kan leiden tot juridische conflicten zal hieronder worden onderzocht. In dit stadium van de analyse volstaat het vast te stellen dat, gelet op deze overeenstemming tussen de nagestreefde doelen, de door SCHUFA verrichte gegevensverwerking dient voor de behartiging van een gerechtvaardigd belang in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG.
2) „Noodzaak” van de verwerking voor de behartiging van het gerechtvaardigde belang
65.
Wat betreft de voorwaarde inzake de noodzaak van de verwerking van persoonsgegevens voor de verwezenlijking van het nagestreefde gerechtvaardigde belang, moeten volgens de rechtspraak van het Hof afwijkingen en beperkingen van het beginsel van de bescherming van persoonsgegevens beperkt blijven tot hetgeen strikt noodzakelijk is. (
27
) Derhalve moet er, bij gebreke van alternatieven die de bescherming van persoonsgegevens beter in acht nemen, een nauw verband bestaan tussen de verwerking en het nagestreefde belang, aangezien het niet volstaat dat de verwerking louter nuttig is voor de verwerkingsverantwoordelijke.
66.
In casu moet worden aangetoond dat het overnemen van persoonsgegevens inzake kredietwaardigheid uit openbare registers en de private bewaring ervan voor SCHUFA de enige mogelijkheid vormen om haar klanten die specifieke informatie te verstrekken voor commerciële doeleinden. Het valt niet uit te sluiten dat SCHUFA deze commerciële dienst ook kan aanbieden en informatie over de kredietwaardigheid van personen kan verstrekken op basis van andere beschikbare gegevens. Het staat aan de verwijzende rechter om na te gaan of SCHUFA op die manier deze commerciële dienst nog steeds op een nuttige manier aan haar klanten kan aanbieden.
67.
SCHUFA is van mening dat de gegevensverwerking noodzakelijk is. Volgens SCHUFA is het onmogelijk tijdig informatie te verstrekken wanneer een kredietinformatiebureau de gegevens pas begint te verzamelen nadat het een concreet verzoek heeft ontvangen. SCHUFA meent dat het feit dat de gegevens gedurende een bepaalde periode (ook) voor het publiek toegankelijk zijn, niet afdoet doet aan de gerechtvaardigde belangen van kredietinformatiebureaus, noch aan de noodzaak van de verwerking.
68.
Indien de bewaring van persoonsgegevens uit openbare registers niet noodzakelijk is om SCHUFA in staat te stellen haar commerciële dienst aan haar klanten aan te bieden, kan deze verwerking niet rechtmatig zijn in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG. Indien echter aan de tweede voorwaarde van deze bepaling is voldaan, moet de verwijzende rechter nog steeds de derde en laatste cumulatieve voorwaarde van deze bepaling onderzoeken.
3) Afweging van de verschillende in het geding zijnde belangen
69.
Wat ten slotte de afweging betreft van de belangen van de verwerkingsverantwoordelijke enerzijds tegen de belangen of de grondrechten en fundamentele vrijheden van de betrokkene anderzijds, is het volgens de rechtspraak van het Hof de taak van de verwijzende rechter om de in het geding zijnde belangen te wegen. (
28
) Dienaangaande bevatten de richtsnoeren van de voormalige Groep gegevensbescherming artikel 29, thans het Europees Comité voor gegevensbescherming, waarvan de taken zijn vastgesteld in artikel 70 AVG, de onderstaande criteria die bij die belangenafweging moeten worden meegewogen: i) beoordeling van het gerechtvaardigde belang van de verwerkingsverantwoordelijke; ii) gevolgen voor de betrokkenen; iii) voorlopige balans, en iv) aanvullende waarborgen toegepast door de verwerkingsverantwoordelijke ter voorkoming van ongewenste gevolgen voor de betrokkenen. (
29
) Met het oog op een gedetailleerde en logische analyse stel ik voor om deze criteria toe te passen op de hoofdgedingen. Een dergelijke benadering zal bovendien bijdragen aan een meer consistente toepassing van de AVG, in overeenstemming met de door de Uniewetgever nagestreefde doeleinden.
i) Beoordeling van het „gerechtvaardigde belang” van de verwerkingsverantwoordelijke
70.
Wat het eerste criterium betreft, moet worden vastgesteld dat het belang van zowel SCHUFA als haar klanten zuiver economisch van aard is. Private kredietinformatiebureaus slaan uit openbare registers overgenomen persoonsgegevens op om hun klanten een dienst aan te bieden die erin bestaat informatie te verstrekken over de kredietwaardigheid van de betrokkene aan de hand van onder meer die gegevens. Zoals ik hierboven (
30
) heb uiteengezet, lijkt een dergelijk belang in het kader van deze analyse gerechtvaardigd.
ii) Gevolgen van de verwerking voor de betrokkenen
71.
Wat het tweede criterium betreft, te weten de gevolgen van de verwerking voor de betrokkene, lijkt de termijn voor gegevenswissing de relevante factor te zijn. Hoe langer gegevens worden bewaard in databanken van private kredietinformatiebureaus, hoe groter de gevolgen voor de betrokkene. In casu zijn de persoonsgegevens van verzoekers in het hoofdgeding in het openbaar register verwerkt om „de informatievoorziening aan de desbetreffende schuldeisers en rechters te verbeteren en te voorkomen dat parallelle insolventieprocedures worden geopend”, zoals vereist in overweging 76 van verordening 2015/848. Bij de afweging van de verschillende belangen was de Duitse wetgever van mening dat de periode waarin de bekendmaking van gegevens over een insolventieprocedure in dergelijke openbare registers noodzakelijk was om dat doel te bereiken, zes maanden bedroeg. De bewaring van persoonsgegevens na deze periode van zes maanden lijkt derhalve a priori aanzienlijke negatieve gevolgen te hebben voor de betrokkene.
72.
Uit de rechtspraak van het Hof blijkt dat er andere factoren zijn waarmee in het kader van de analyse rekening moet worden gehouden, te weten de wijze waarop toegang tot de databanken kan worden verkregen en de faciliteiten die worden geboden om persoonsgegevens te verspreiden. (
31
) Kortom, hoe gemakkelijker de informatie toegankelijk is voor het publiek, hoe groter de inmenging in de grondrechten van de betrokkene. Dit geldt in het bijzonder wanneer een groot aantal personen toegang heeft tot deze gegevens. (
32
) Los van het feit dat de gegevens reeds gedurende deze zes maanden beschikbaar zijn in openbare registers, lijkt het mij duidelijk dat het feit dat zij tegelijkertijd worden bewaard en beschikbaar zijn in databanken van private kredietinformatiebureaus, extra gevolgen heeft voor het privéleven van het individu, bovenop de negatieve gevolgen van de beschikbaarheid van deze gegevens in openbare registers.
73.
Een bijkomende factor waarmee bij de analyse rekening moet worden gehouden, is de eventuele gevoelige aard van de gegevens. (
33
) In het algemeen kan worden aangenomen dat hoe gevoeliger de persoonsgegevens zijn, hoe groter de gevolgen voor de betrokkene. Dienaangaande moet worden opgemerkt dat het Hof reeds heeft geoordeeld dat persoonsgegevens betreffende de terugvordering van schulden daadwerkelijk gevoelige gegevens zijn voor het privéleven van de betrokkene. (
34
) De terbeschikkingstelling van dit soort gegevens aan een in beginsel onbeperkt aantal personen moet dus worden beschouwd als een aanzienlijke inmenging in de grondrechten van die betrokkene. (
35
)
74.
Tot slot lijkt het mij dat ook absoluut rekening moet worden gehouden met de factor tijd. Zelfs een rechtmatige verwerking van gegevens voldoet namelijk na verloop van tijd mogelijk niet meer aan de AVG wanneer de gegevens niet of niet meer relevant of bovenmatig zijn in het licht van de doeleinden waarvoor zij oorspronkelijk zijn verzameld. In dit verband vraag ik mij serieus af hoe de bewaring van persoonsgegevens gedurende drie jaar kan worden gerechtvaardigd, terwijl de nationale wetgever een bewaartermijn van zes maanden, dus een veel kortere termijn, meer dan voldoende acht om rekening te houden met de commerciële belangen van de marktdeelnemers. Ik moet vaststellen dat SCHUFA deze vraag niet duidelijk en overtuigend heeft kunnen beantwoorden (
36
), hoewel zij op grond van artikel 5, lid 2, AVG dient aan te tonen dat de beginselen betreffende de verwerking van persoonsgegevens zijn nageleefd. (
37
)
iii) Voorlopige balans
75.
Een beoordeling van alle in de voorgaande punten genoemde elementen brengt mij tot de slotsom dat de aanzienlijke negatieve gevolgen die de bewaring van de gegevens voor de betrokkene zal hebben na de bewaartermijn van zes maanden, zwaarder lijken te wegen dan het commerciële belang van de private onderneming en haar klanten om de gegevens na die termijn te bewaren. In dit kader moet worden benadrukt dat de kwijtschelding van een restschuld bedoeld is om de begunstigde ervan in staat te stellen opnieuw deel te nemen aan het economische leven. (
38
) Verzoekers in de hoofdgedingen en de Commissie hebben ter terechtzitting ook op dit aspect gewezen. Dit doel wordt doorkruist wanneer private kredietinformatiebureaus persoonsgegevens in hun databanken mogen bewaren nadat deze gegevens uit het openbaar register zijn verwijderd.
iv) Aanvullende waarborgen
76.
Wat ten slotte de aanvullende waarborgen betreft die de verwerkingsverantwoordelijke eventueel heeft getroffen om ongerechtvaardigde gevolgen voor de betrokkenen te voorkomen, wijst niets in de verwijzingsbeslissingen of in de opmerkingen van SCHUFA op het bestaan van dergelijke waarborgen.
4) Tussenconclusie
77.
Gelet op het voorgaande ben ik van mening dat de bewaring van gegevens door een privaat kredietinformatiebureau niet langer rechtmatig kan zijn krachtens artikel 6, lid 1, eerste alinea, onder f), AVG vanaf het tijdstip dat de persoonsgegevens in verband met een insolventieprocedure uit de openbare registers zijn verwijderd.
78.
Wat betreft de termijn van zes maanden waarin de persoonsgegevens ook in openbare registers beschikbaar zijn, staat het aan de verwijzende rechter om de belangen en de gevolgen voor de betrokkene af te wegen teneinde vast te stellen of de parallelle bewaring van deze gegevens door private kredietinformatiebureaus in de zin van artikel 6, lid 1, onder f), AVG rechtmatig is.
b)
Eerbiediging van de beginselen van doelbinding en minimale gegevensverwerking [artikel 5, lid 1, onder b) en c), AVG]
79.
Overeenkomstig het beginsel van doelbinding van artikel 5, lid 1, onder b), AVG moet ervoor worden gezorgd dat persoonsgegevens die voor welbepaalde doeleinden worden verzameld, vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt. In casu zijn de gegevens in verband met een insolventieprocedure en een kwijtschelding van een restschuld door overheidsinstanties verwerkt om te voldoen aan wettelijke verplichtingen.
80.
Wat het latere gebruik van de gegevens door een private onderneming betreft, moet echter tegen de achtergrond van de AVG en met toepassing van de criteria van artikel 6, lid 4, van deze verordening worden onderzocht of het voorgenomen doeleinde verenigbaar is met het oorspronkelijke doeleinde. In casu zijn de onder a), b) en d), van deze bepaling genoemde criteria bijzonder relevant. Die criteria zijn: i) het verband tussen het oorspronkelijke en het latere doeleinde; ii) het kader waarin de gegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft, en iii) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkene.
81.
Ten eerste lijkt het verband tussen de doeleinden zwak, al was het maar omdat het oorspronkelijke doeleinde bij wet is vastgelegd, meer concreet door het Unierecht, dat de lidstaten verplicht registers in te voeren en bij te houden (
39
), en de verwerkingsverantwoordelijke een overheidsinstantie is die handelt in het kader van de haar bij wet opgedragen taken, terwijl het latere doeleinde door een private entiteit wordt nagestreefd in het kader van een commerciële activiteit die erin bestaat economische informatie over personen te verstrekken.
82.
Ten tweede moet wat betreft het kader waarin de gegevens zijn verzameld, worden opgemerkt dat er geen enkele band bestaat tussen de verwerkingsverantwoordelijke en de betrokkene, aangezien de gegevens indirect worden verzameld via registers en de betrokkene dus niet weet dat zijn gegevens later kunnen worden gebruikt, noch door wie of voor welk doel. Dit aspect lijkt mij bijzonder ernstig vanuit het oogpunt van gegevensbescherming, omdat, in het algemeen, niemand redelijkerwijs kan verwachten dat zijn persoonsgegevens verder zullen worden verwerkt. (
40
) Dat bij wet is voorzien in een bepaalde termijn waarin de gegevens in de openbare registers worden bewaard, schept redelijkerwijs de verwachting dat de betrokken gegevens na afloop van die termijn zullen worden verwijderd.
83.
Wat ten derde de mogelijke gevolgen van de verdere verwerking van de gegevens voor de betrokkenen betreft, moet worden onderstreept dat de informatie over insolventieprocedures altijd zal worden gebruikt als een negatieve factor bij een toekomstige beoordeling van de kredietwaardigheid en de betalingscapaciteit van de betrokken natuurlijke persoon, hetgeen aanzienlijke gevolgen heeft voor de rechten van die persoon. Een verkeerd beeld van zijn economische situatie kan nadelige gevolgen hebben voor de betrokkene, omdat hij het daardoor aanzienlijk moeilijker krijgt om zijn vrijheden uit te oefenen en zelfs gestigmatiseerd wordt in de samenleving. Voor zover de betrokkene ermee te maken kan krijgen dat hem goederen en diensten kunnen worden ontzegd, kan hij het slachtoffer worden van ongerechtvaardigde discriminatie.
84.
Gelet op deze drie criteria, waaraan moet zijn voldaan voor overeenstemming van het gebruik van de persoonsgegevens met het oorspronkelijke doel, zoals artikel 6, lid 4, AVG verlangt, lijkt het twijfelachtig dat het verdere gebruik van die gegevens in overeenstemming kan zijn met dat doel.
85.
Bovendien moet worden opgemerkt dat de nationale wetgever, door een maximumtermijn van zes maanden vast te stellen waarbinnen de insolvabiliteit en de rechterlijke beslissing tot kwijtschelding van de restschuld worden gepubliceerd indien aan de wettelijke voorwaarden is voldaan, reeds rekening heeft gehouden met de behartiging van het openbaar belang en de belangen van de schuldeisers heeft afgewogen tegen de belangen en de rechten van insolvente personen. (
41
) De verwerking van persoonsgegevens door private ondernemingen gedurende een periode die zesmaal langer is dan de bij wet bepaalde periode voor de openbare registers, lijkt buitensporig en benadeelt de betrokkene de facto, terwijl de wet duidelijk niet iets dergelijks beoogt. Zoals ik reeds heb opgemerkt, is de kwijtschelding van een restschuld bedoeld om de begunstigde ervan in staat te stellen opnieuw deel te nemen aan het economische leven. Dit doel wordt doorkruist wanneer private kredietinformatiebureaus persoonsgegevens in hun databanken mogen bewaren nadat deze gegevens uit het openbaar register zijn verwijderd. (
42
) Bij gebreke van enig bewijs van het tegendeel valt te vrezen dat de voorwaarden voor toegang tot de databank kunnen zijn vastgesteld met de bedoeling om de nationale wetgeving te omzeilen, die door de lidstaat is vastgesteld om te voldoen aan de hem door het Unierecht opgelegde verplichtingen. (
43
)
86.
Voorts lijkt het onevenredig om een vroegere en juridisch uitgemaakte situatie, zoals de kwijtschelding van een restschuld, bij toekomstige beoordelingen „opnieuw te gebruiken” in plaats van gebruik te maken van factoren die zijn bijgewerkt tot het moment van de risicoanalyse om een meer nauwkeurige en objectieve beoordeling van de economische situatie van de betrokkene te waarborgen. Men kan zich immers afvragen wat de waarde is van informatie over de economische situatie van een persoon die meerdere jaren oud is. Persoonsgegevens die verband houden met een bepaalde omstandigheid van enige tijd geleden zullen nauwelijks betrouwbare informatie over de huidige economische situatie van de betrokkene opleveren. De Duitse wetgever lijkt dit probleem te hebben onderkend en de juiste conclusies te hebben getrokken door te kiezen voor een aanzienlijk kortere bewaartermijn.
87.
Tot slot lijkt de handelwijze van kredietinformatiebureaus mij in strijd met het in artikel 5, lid 1, onder c), AVG neergelegde beginsel van minimale gegevensverwerking, op grond waarvan persoonsgegevens toereikend en ter zake dienend moeten zijn en beperkt moeten blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. In dit verband rijst inderdaad de vraag wat de zin is van het beschikbaar stellen van persoonsgegevens die reeds toegankelijk zijn voor het publiek in door de lidstaten ingevoerde registers. Een dergelijke activiteit kan mijns inziens eerder leiden tot een verspreiding van gevoelige informatie die niet absoluut noodzakelijk is om de commerciële belangen van de marktdeelnemers te behartigen. (
44
)
88.
Om de hierboven uiteengezette redenen ben ik van mening dat de bewaring van dergelijke gegevens door een privaat kredietinformatiebureau geen praktijk is die in overeenstemming is met de in artikel 5, lid 1, respectievelijk onder b) en c), AVG neergelegde beginselen van doelbinding en minimale gegevensverwerking.
c)
Tussenconclusie
89.
Op grond van bovenstaande analyse kom ik tot de conclusie dat de praktijk van kredietinformatiebureaus om persoonsgegevens uit openbare registers gedurende drie jaar te bewaren, niet in overeenstemming is met de in de AVG neergelegde beginselen voor de verwerking van persoonsgegevens. Er zij evenwel op gewezen dat deze conclusie is gebaseerd op een beoordeling van de feiten, die uiteindelijk toekomt aan de verwijzende rechter die het geschil moet beslechten.
2.
Uitoefening van het recht op gegevenswissing (artikel 17, lid 1, AVG)
90.
De verwijzende rechter wenst eveneens te vernemen of het in artikel 17 AVG neergelegde „recht op vergetelheid” inhoudt dat de persoonsgegevens worden gewist uit databanken van een privaat kredietinformatiebureau die naast de openbare registers bestaan en dezelfde gegevens bevatten. De verwijzende rechter maakt een onderscheid tussen de periode waarin de persoonsgegevens ook in het openbare register beschikbaar zijn en de periode waarin die gegevens daar niet meer beschikbaar zijn.
91.
Krachtens artikel 17, lid 1, onder d), AVG heeft de betrokkene het absolute recht om hem betreffende persoonsgegevens te laten wissen wanneer deze onrechtmatig zijn verwerkt. (
45
) Indien de verwijzende rechter, gelet op de conclusie waartoe ik in het kader van mijn analyse ben gekomen (
46
), dus oordeelt dat SCHUFA de persoonsgegevens van verzoekers niet rechtmatig kon verwerken in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG, is deze verwerking derhalve onrechtmatig indien aan geen enkele van de andere voorwaarden van artikel 6, lid 1, AVG is voldaan. In dat geval is SCHUFA verplicht de persoonsgegevens van verzoekers te wissen en hebben verzoekers recht op gegevenswissing, ongeacht of zij hun verzoek om de gegevens te wissen vóór of na de verwijdering van die gegevens uit het openbaar register indienen. Een dergelijk resultaat lijkt ook in overeenstemming te zijn met de vereisten van artikel 5, lid 1, onder e), AVG, dat bepaalt dat persoonsgegevens worden „bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is” (cursivering van mij).
92.
In dit verband wil ik de aandacht vestigen op artikel 79, lid 5, van verordening 2015/848, dat het belang onderstreept dat de Uniewetgever heeft toegekend aan het recht op gegevenswissing, met name wanneer autoriteiten bijzonder gevoelige persoonsgegevens verwerken, zoals gegevens over de kredietwaardigheid van de betrokkenen. Deze bepaling luidt: „In het kader van de informatieverstrekking aan de betrokkenen teneinde deze in staat te stellen hun rechten uit te oefenen, en met name het recht om gegevens te wissen, stellen de lidstaten de betrokkenen in kennis van de toegankelijkheidsperiode die is vastgesteld voor de in de insolventieregisters opgeslagen persoonsgegevens” (cursivering van mij). De Uniewetgever heeft duidelijk erkend dat dergelijke gegevens moeten worden gewist wanneer de bewaring ervan niet langer gerechtvaardigd is.
93.
Hoewel de verzoeken om een prejudiciële beslissing enkel betrekking hebben op de uitlegging van artikel 17, lid 1, onder d), AVG, ben ik van mening dat artikel 17, lid 1, onder c), AVG ook relevant kan zijn voor het in deze zaken te wijzen arrest, met name ingeval de verwijzende rechter, anders dan ik op basis van de beschikbare informatie heb geconcludeerd, oordeelt dat SCHUFA de persoonsgegevens van verzoekers rechtmatig heeft kunnen verwerken in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG. Deze bepaling voorziet in het recht om persoonsgegevens te laten wissen wanneer de betrokkene overeenkomstig artikel 21, lid 1, AVG bezwaar maakt tegen de verwerking en er geen dwingende gerechtvaardigde gronden voor de verwerking zijn. Deze bewoordingen impliceren dat elke „dwingende gerechtvaardigde grond voor de verwerking” een uitzondering vormt op het recht van de betrokkene om bezwaar te maken tegen de verwerking en zijn persoonsgegevens te laten wissen. Bijgevolg wordt de betrokkene geacht het recht te hebben om bezwaar te maken tegen de verwerking en zijn persoonsgegevens te laten wissen, tenzij er dwingende gerechtvaardigde gronden zijn. (
47
)
94.
Ik ben van mening dat er, in het belang van een doeltreffende bescherming van persoonsgegevens, geen significante belemmeringen zouden mogen zijn voor de uitoefening van het recht op gegevenswissing, met name wanneer er op de markt meerdere kredietinformatiebureaus zijn die gegevens parallel aan een openbaar register bewaren. Indien de uitoefening van dit recht door een strikte uitlegging van artikel 17, lid 1, AVG buitensporig zou worden bemoeilijkt, bestaat het risico dat de bescherming die de AVG beoogt te bieden door concurrenten wordt omzeild. Er dient aan te worden herinnerd dat de Uniewetgever tot doel had te zorgen „voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens” (cursivering van mij), zoals uit overweging 10 AVG naar voren komt. Daarom moet de betrokkene zijn rechten kunnen doen gelden tegen alle ondernemingen die deze regels overtreden. Aangezien SCHUFA slechts een van de vele grote kredietinformatiebureaus is in Duitsland, zal moeten worden vastgesteld of de bewaring van persoonsgegevens parallel aan het openbaar register, bij dit soort ondernemingen een wijdverbreide praktijk vormt.
95.
In dit stadium van de analyse moet derhalve worden vastgesteld dat verzoekers zich in beginsel kunnen beroepen op een recht op gegevenswissing op grond van artikel 17, lid 1, AVG. De uitkomst zou alleen anders zijn indien een privaat kredietinformatiebureau „dwingende gerechtvaardigde gronden voor de verwerking [kan aanvoeren] die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene” in de zin van artikel 21, lid 1, AVG. Aangezien uit de beschikbare informatie niet valt op te maken welke dwingende gronden zich in het hoofdgeding zouden kunnen voordoen, staat het aan de verwijzende rechter om de feiten vast te stellen en in voorkomend geval de betrokken belangen tegen elkaar af te wegen.
96.
Gelet op het voorgaande moet artikel 17, lid 1, onder d), AVG aldus worden uitgelegd dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen wanneer die gegevens onrechtmatig zijn verwerkt overeenkomstig artikel 6, lid 1, van deze verordening. Artikel 17, lid 1, onder c), AVG moet aldus worden uitgelegd dat de betrokkene in beginsel het recht heeft om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen wanneer hij bezwaar maakt tegen de verwerking overeenkomstig artikel 21, lid 1, AVG. Het staat aan de verwijzende rechter om na te gaan of er bij wijze van uitzondering dwingende gerechtvaardigde gronden voor de verwerking bestaan.
3.
Gebruik van een gedragscode in de zin van artikel 40 AVG teneinde te voorzien in onderzoekstermijnen en termijnen voor gegevenswissing die langer zijn dan de bewaartermijnen van openbare registers
97.
De verwijzende rechter wenst eveneens te vernemen of het verenigbaar is met het Unierecht dat in een gedragscode in de zin van artikel 40 AVG wordt voorzien in onderzoekstermijnen en termijnen voor gegevenswissing die langer zijn dan de bewaartermijnen van openbare registers zonder dat de krachtens artikel 6, lid 1, eerste alinea, onder f), AVG vereiste belangenafweging hoeft te worden uitgevoerd.
98.
In dit verband moet om te beginnen worden opgemerkt dat er volgens de verwijzende rechter thans geen enkele nationale regeling bestaat waarin termijnen voor gegevenswissing voor databanken van kredietinformatiebureaus zijn vastgesteld. De belanghebbenden lijken evenwel de door de toezichthoudende autoriteiten met de bond van kredietinformatiebureaus overeengekomen gedragscode te zien als een soort „rechtsgrond” die de hierboven beschreven praktijk rechtvaardigt. Een dergelijke opvatting lijkt mij om de volgende redenen rechtens vatbaar voor kritiek.
99.
Juridisch gezien vormt een dergelijke gedragscode slechts een vrijwillige verbintenis van degenen die deze hebben opgesteld en goedgekeurd, dat wil zeggen van de bovengenoemde bond en zijn leden. Ook het feit dat die gedragscode is goedgekeurd door een toezichthoudende autoriteit betekent alleen dat zij zich als bestuursorgaan gebonden acht aan die gedragscode. Het lijkt mij echter duidelijk dat de gedragscode niet bindend is voor derden overeenkomstig het rechtsbeginsel „pacta tertiis nec nocent nec prosunt”. Anders zou deze niet alleen gevolgen hebben voor de natuurlijke personen wier gegevens worden verwerkt, maar ook voor de kredietinformatiebureaus die niet aan de opstelling ervan hebben meegewerkt.
100.
Een gedragscode heeft per definitie geen normatieve waarde in een rechtsorde, maar beoogt veeleer de bepalingen van een normatieve handeling nader toe te lichten teneinde de toepassing ervan te vergemakkelijken. Deze uitlegging vindt steun in artikel 40, leden 1 en 2, AVG, waaruit blijkt dat de gedragscodes die moeten worden opgesteld door verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, bedoeld zijn om enerzijds „[bij te dragen] tot de juiste toepassing van deze verordening” en anderzijds „de toepassing van deze verordening nader toe te lichten” (cursivering van mij). Aangezien de betrokken gedragscode enkel tot doel heeft de juiste toepassing van de AVG in een bepaalde sector te waarborgen, kan deze gedragscode op zich dus niet de rechtsgrondslag vormen die een verwerking van persoonsgegevens rechtvaardigt. (
48
)
101.
De rechtsgrondslag voor een dergelijke verwerking kan alleen worden gevonden in artikel 6 AVG of, in geval van een toepasselijke openingsbepaling, in het nationale recht. Zoals ik eerder in deze conclusie heb aangegeven, bevat artikel 6 AVG een uitputtende en limitatieve lijst van gevallen waarin de verwerking van persoonsgegevens kan worden geacht rechtmatig te zijn. (
49
) Bijgevolg kunnen de regels van de gedragscode niet tot gevolg hebben dat deze lijst wordt uitgebreid zonder dat daardoor inbreuk wordt gemaakt op het Unierecht.
102.
Dat is mijns inziens nu juist het geval wanneer, zoals in casu, deze regels kredietinformatiebureaus verplichten om de gegevens van de betrokkenen gedurende drie jaar te bewaren, dat wil zeggen voor een langere periode die niet kan worden gerechtvaardigd in het licht van de in de AVG neergelegde beginselen voor de verwerking van persoonsgegevens. Meer in het bijzonder kan het bewaren van die gegevens, zoals ik in mijn analyse heb aangetoond, niet rechtmatig worden geacht in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG voor de periode na de verwijdering van persoonsgegevens uit de openbare registers. (
50
)
103.
In dit stadium van de analyse moet dus worden vastgesteld dat gedragscodes die tot een andere uitkomst leiden dan die welke op grond van artikel 6, lid 1, onder f), AVG zou zijn verkregen, niet kunnen worden meegewogen bij de belangenafweging op grond van die bepaling. In hun hoedanigheid van „verwerkingsverantwoordelijken” in de zin van artikel 4, punt 7, AVG kunnen kredietinformatiebureaus zich niet verschuilen achter de regels van een gedragscode die zij zelf hebben opgesteld om zich te onttrekken aan hun verplichtingen die voortvloeien uit deze verordening.
104.
Gelet op het voorgaande ben ik van mening dat artikel 40, leden 2 en 5, AVG aldus moet worden uitgelegd dat gedragscodes die overeenkomstig deze bepalingen zijn opgesteld en eventueel zijn goedgekeurd door de toezichthoudende autoriteit, niet op juridisch bindende wijze de voorwaarden voor een rechtmatige verwerking van persoonsgegevens kunnen vaststellen die afwijken van de voorwaarden van artikel 6, lid 1, AVG.
VI. Conclusie
105.
Gelet op het voorgaande geef ik het Hof in overweging de prejudiciële vragen van het Verwaltungsgericht Wiesbaden te beantwoorden als volgt:
„1)
Artikel 78, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
uit deze bepaling volgt dat een juridisch bindend besluit van een toezichthoudende autoriteit is onderworpen aan een volledige, inhoudelijke rechterlijke toetsing.
2)
Artikel 6, lid 1, onder f), van verordening 2016/679
moet aldus worden uitgelegd dat
het zich ertegen verzet dat een privaat kredietinformatiebureau persoonsgegevens uit openbare registers, zoals ‚nationale databanken’ in de zin van artikel 79, leden 4 en 5, van verordening (EU) 2015/848 van het Europees Parlement en de Raad van 20 mei 2015 betreffende insolventieprocedures, bewaart gedurende een termijn die langer duurt dan de bewaartermijn van het openbaar register. Het staat aan de verwijzende rechter om na te gaan of de bewaring van de gegevens gedurende de voor het openbare register toegestane termijn voldoet aan de voorwaarden van artikel 6, lid 1, eerste alinea, onder f), van verordening 2016/679.
3)
Artikel 17, lid 1, onder d), van verordening 2016/679
moet aldus worden uitgelegd dat
de betrokkene het recht heeft om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen wanneer die gegevens onrechtmatig zijn verwerkt overeenkomstig artikel 6, lid 1, van deze verordening.
Artikel 17, lid 1, onder d), van verordening 2016/679
moet aldus worden uitgelegd dat
de betrokkene in beginsel het recht heeft om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen wanneer hij bezwaar maakt tegen de verwerking overeenkomstig artikel 21, lid 1, van deze verordening. Het staat aan de verwijzende rechter om na te gaan of er bij wijze van uitzondering dwingende gerechtvaardigde gronden voor de verwerking bestaan.
4)
Artikel 40, leden 2 en 5, van verordening 2016/679
moet aldus worden uitgelegd dat
gedragscodes die overeenkomstig deze bepalingen zijn opgesteld en eventueel zijn goedgekeurd door de toezichthoudende autoriteit, niet op juridisch bindende wijze de voorwaarden voor een rechtmatige verwerking van persoonsgegevens kunnen vaststellen die afwijken van de voorwaarden van artikel 6, lid 1, van deze verordening.”
(
1
)	Oorspronkelijke taal: Frans.
(
2
)	PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2.
(
3
)	PB 2015, L 141, blz. 19.
(
4
)	Het gaat hier concreet om de artikelen 18 en 21 van richtlijn 2014/17/EU van het Europees Parlement en de Raad van 4 februari 2014 inzake kredietovereenkomsten voor consumenten met betrekking tot voor bewoning bestemde onroerende goederen en tot wijziging van de richtlijnen 2008/48/EG en 2013/36/EU en verordening (EU) nr. 1093/2010 (PB 2014, L 60, blz. 34), en de artikelen 8 en 9 van richtlijn 2008/48/EG van het Europees Parlement en de Raad van 23 april 2008 inzake kredietovereenkomsten voor consumenten en tot intrekking van richtlijn 87/102/EEG van de Raad (PB 2008, L 133, blz. 66).
(
5
)	Zie conclusie van advocaat-generaal Szpunar in de zaak Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2020:1054, punt 48).
(
6
)	Arrest van 15 juni 2021, Facebook Ireland e.a. (C‑645/19
EU:C:2021:483, punten 44 en 45).
(
7
)	Arrest van 15 juni 2021, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559, punt 109).
(
8
)	Zie in die zin Kotschy, W., „Article 77. Right to lodge a complaint with a supervisory authority”, The EU General Data Protection Regulation (GDPR) Kuner, C., Bygrave, L. A., Docksey, C. (red.), Oxford 2020, blz. 1123.
(
9
)	Zie in die zin Härting, N., Flisek, C., Thiess, L., „DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht”, Computer und Recht, 5/2018, blz. 299, waarin eraan wordt herinnerd dat de toezichthoudende autoriteit overeenkomstig artikel 57, lid 1, onder a), AVG belast is met de taak om de toepassing van de AVG te monitoren en te handhaven in het belang van de betrokkenen. Volgens de auteurs mag zij niet werkeloos blijven toekijken wanneer de rechten van een burger worden geschonden door de verwerking van persoonsgegevens. Integendeel: de toezichthoudende autoriteit is juist verplicht de situatie te verhelpen en gebruik te maken van de bevoegdheden waarover zij op grond van artikel 58, lid 2, AVG beschikt.
(
10
)	Zie in die zin Hijmans, H., „Article 55. Tasks”, The EU General Data Protection Regulation (GDPR), Kuner, C., Bygrave, L. A., Docksey, C. (red.), Oxford 2020, blz. 934 en 936.
(
11
)	Zie voor een gedetailleerde uiteenzetting van het begrip „behoorlijk bestuur” in het bestuursrecht van de Unie mijn conclusie in de zaak Parlement/UZ (C‑894/19 P, EU:C:2021:497, punt 68).
(
12
)	Conclusie van advocaat-generaal Saugmandsgaard Øe in de zaak Facebook Ireland en Schrems (C‑311/18, EU:C:2019:1145, punten 146 en 147).
(
13
)	Conclusie van advocaat-generaal Saugmandsgaard Øe in de zaak Facebook Ireland en Schrems (C‑311/18, EU:C:2019:1145, punt 148).
(
14
)	Zie de punten 43 en 44van deze conclusie.
(
15
)	Zie arrest van het EVA-Hof van 10 december 2020 in gevoegde zaken E-11/19 en E-12/19, Adpublisher AG/J en K, punt 58, waarin dit hof opmerkt dat artikel 58, lid 4, en artikel 78 AVG „uitdrukking geven aan het recht op een doeltreffende voorziening in rechte”.
(
16
)	Arrest van 7 september 2021, Klaipėdos regiono atliekų tvarkymo centras (C‑927/19, EU:C:2021:700, punt 146).
(
17
)	Arrest van 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650, punt 95).
(
18
)	Zie arrest van 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, punt 41).
(
19
)	Zie in die zin Kotschy, W., „Article 77. Right to lodge a complaint with a supervisory authority”, The EU General Data Protection Regulation (GDPR), Kuner, C., Bygrave, L. A., Docksey, C. (red.), Oxford 2020, blz. 1127‑1130.
(
20
)	Zie conclusie van advocaat-generaal Richard de la Tour in de zaak Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21
EU:C:2022:661, punten 43 e.v.).
(
21
)	Arresten van 11 november 2020, DenizBank (C‑287/19, EU:C:2020:897, punt 59), en 24 februari 2022, Glavna direktsia Pozharna bezopasnost i zashtita na naselenieto (C‑262/20, EU:C:2022:117, punt 33).
(
22
)	Arrest van 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punt 32).
(
23
)	Arrest van 26 april 2022, Polen/Parlement en Raad (C‑401/19, EU:C:2022:297, punt 47).
(
24
)	Arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2021:504, punt 99), en 1 augustus 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punt 67).
(
25
)	Arrest van 17 juni 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, punt 106).
(
26
)	Zie in dit verband conclusie van advocaat-generaal Rantos in de zaak Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk) (C‑252/21, EU:C:2022:704, punt 60).
(
27
)	Zie arresten van 4 mei 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punt 30), en 17 juni 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, punt 110).
(
28
)	Zie arresten van 4 mei 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punt 31), en 17 juni 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, punt 111).
(
29
)	Advies 06/2014 over het begrip „gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke” in artikel 7 van richtlijn 95/46, WP217 van 9 april 2014, III.3.4 („Sleutelfactoren die moeten worden meegewogen bij de belangenafweging”).
(
30
)	Zie de punten 61‑63 van deze conclusie.
(
31
)	Arresten van 13 mei 2014, Google Spain en Google (C‑131/12, EU:C:2014:317, punten 86 en 87), en 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punt 57).
(
32
)	Arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punt 92).
(
33
)	Arrest van 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punt 57).
(
34
)	Arrest van 13 mei 2014, Google Spain en Google (C‑131/12, EU:C:2014:317, punt 98).
(
35
)	Zie arrest van 22 november 2022, Luxembourg Business Registers (C‑37/20 en C‑601/20, EU:C:2022:912, punten 39‑42), waarin het Hof heeft geoordeeld dat het beschikbaar stellen aan de leden van de bevolking van informatie die betrekking heeft op de identiteit van de uiteindelijk begunstigden van vennootschappen en andere juridische entiteiten, een schending vormt van de in de artikelen 7 en 8 van het Handvest verankerde grondrechten. In zijn redenering heeft het Hof rekening gehouden met de gevoelige aard van de betrokken persoonsgegevens en met het feit dat de informatie toegankelijk was voor een potentieel onbeperkt aantal personen.
(
36
)	Ter terechtzitting heeft SCHUFA verwezen naar het feit dat sommigen opnieuw insolvent worden, hetgeen volgens haar een bewaartermijn van drie jaar rechtvaardigt.
(
37
)	In Gutowski, M., „OLG Schleswig: Eintragung erfolgter Restschuldbefreiung in Datenbanken von Auskunfteien über die Löschungsfrist für das Insolvenzbekanntmachungsportal hinaus”, Neue Zeitschrift für Insolvenz- und Sanierungsrecht, 18/2021, blz. 799, wordt betwijfeld of het voor het vaststellen van de economische situatie van een persoon nuttig is om voor de bewaring van zijn persoonsgegevens een termijn van drie jaar vast te stellen.
(
38
)	Zie in die zin Heyer, H.‑U., „Schein-Datenschutz”, Zeitschrift für Verbraucher-, Privat- und Nachlassinsolvenz, 2019, blz. 46.
(
39
)	Zie punt 31 van deze conclusie.
(
40
)	Arrest van 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punt 58).
(
41
)	Het door SCHUFA ter terechtzitting aangevoerde argument dat de Duitse wetgever niets heeft gedaan om de door deze private onderneming toegepaste termijn van drie jaar te verkorten, lijkt deze vaststelling niet te weerleggen. Er kunnen namelijk verschillende redenen zijn waarom een lidstaat de problemen in verband met parallelle databanken nog niet heeft aangepakt. De door de verwijzende rechter ingediende verzoeken om een prejudiciële beslissing hebben juist tot doel hier antwoorden op te krijgen teneinde een situatie te creëren die voldoet aan de eisen van de AVG.
(
42
)	Zie punt 75 van deze conclusie.
(
43
)	Ehmann, E., „Bundesdatenschutzgesetz”, Simitis, S., Hornung, G., Spiecker, I. (red.), Datenschutzrecht – DSGVO mit BDSG, 8e druk, Baden-Baden, 2014, § 29, punt 192, is van mening dat er geen rechtmatig belang meer is bij de verspreiding van persoonsgegevens via een databank die wordt beheerd door een particuliere onderneming, wanneer een in de nationale wetgeving gestelde termijn voor bekendmaking ervan in een openbaar register is verstreken, omdat anders het wettelijke doel wordt doorkruist.
(
44
)	Zie arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punt 93), waaruit blijkt dat de voorwaarde die verband houdt met de „noodzakelijkheid van de verwerking”, moet worden onderzocht in samenhang met het beginsel van „minimale gegevensverwerking”.
(
45
)	Dix, A., Datenschutzrecht - DSGVO mit BDSG, Simitis, S., Hornung, G., Spiecker, I. (red.), Baden-Baden, 2018, artikel 17, punt 14.
(
46
)	Zie punt 77 van deze conclusie.
(
47
)	Kranenborg, H., „Article 17. Right to erasure (‚right to be forgotten’)”, The EU General Data Protection Regulation (GDPR), Kuner, C., Bygrave, L. A., Docksey, C. (red.), Oxford, 2020, blz. 481, zet uiteen dat artikel 21, lid 1, AVG tot gevolg heeft dat de bewijslast aldus wordt omgekeerd dat de verwerkingsverantwoordelijke van de gegevens, en niet de betrokkene, moet aantonen dat er dwingende gerechtvaardigde gronden voor de verwerking zijn. Indien de verwerkingsverantwoordelijke daar niet in slaagt, moeten de betrokken gegevens worden gewist.
(
48
)	Het is belangrijk erop te wijzen dat in de betrokken gedragscode [„Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien” (gedragscode voor de onderzoekstermijnen en termijnen voor wissing van persoonsgegevens door de Duitse kredietinformatiebureaus) van 25 mei 2018] is vermeld dat de regels ervan „geen enkele regeling bevatten inzake de materiële rechtvaardiging van de bewaring van persoonsgegevens”. Uit die gedragscode blijkt eveneens dat „de regeling van de termijnen voor bewaring en gegevenswissing de rechtmatigheid van de bewaring ervan niet aantoont. De volgende termijnen voor doorhaling en bewaring zijn van toepassing, ongeacht of de onderliggende gegevens op wettelijke grondslag of op basis van toestemming zijn verzameld en worden bewaard” (cursivering van mij). Hieruit blijkt volgens mij dat de opstellers van die gedragscode zich ervan bewust moeten zijn geweest dat de gedragscode geen rechtsgrondslag vormt die de verwerking van gegevens kan rechtvaardigen.
(
49
)	Zie punt 59 van deze conclusie.
(
50
)	Zie punt 77 van deze conclusie.