62023CC0169
CONCLUSIE VAN ADVOCAAT-GENERAAL
MEDINA
van 6 juni 2024 (
1
)
Zaak C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
tegen
UC
[verzoek om een prejudiciële beslissing van de Kúria (hoogste rechterlijke instantie, Hongarije)]
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Verwerking van gegevens voor de afgifte van een COVID-19-certificaat – Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen – Artikel 14, lid 1 – Afwijkingen van de informatieverplichting – Uitdrukkelijk bij Unie- of lidstatelijk recht voorgeschreven verkrijging of verstrekking – Passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen – Artikel 14, lid 5, onder c) – Recht om een klacht in te dienen bij een toezichthoudende autoriteit – Artikel 77”
I. Inleiding
1.
Een van de belangrijkste verplichtingen van de verwerkingsverantwoordelijke is de verplichting om informatie te verstrekken aan de betrokkene. In zijn conclusie in de zaak Bara e.a. heeft advocaat-generaal Cruz Villalón dit welsprekend uitgedrukt door te stellen dat door de verplichting om informatie te verstrekken aan de betrokkene „de transparantie van elke verwerking wordt gewaarborgd”. (
2
) De informatieverplichting stemt overeen met een fundamenteel recht van de betrokkene om informatie te ontvangen over de verwerking van zijn of haar gegevens. In de rechtsleer (
3
) wordt opgemerkt dat het recht op informatie „exemplarisch is” voor het transparantiebeginsel en „het middelpunt vormt” van alle andere rechten. Uitgebreide informatieverplichtingen stellen de betrokkene in staat om andere belangrijke rechten uit te oefenen die door verordening (EU) 2016/679 (
4
) worden erkend.
2.
Deze zaak is ingeleid naar aanleiding van de afgifte van COVID-19-certificaten. In het kader van deze zaak wordt het Hof voor het eerst gevraagd om een belangrijke afwijking van de in artikel 14, lid 5, onder c), van de AVG neergelegde informatieverplichting voor de verwerkingsverantwoordelijke uit te leggen. De desbetreffende afwijking zal worden geanalyseerd in het licht van de bevoegdheden van de toezichthoudende autoriteit in de context van een klacht ingediend door de betrokkene.
II. Toepasselijke bepalingen
A.
Unierecht
3.
Artikel 14 AVG heeft als opschrift „Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen” en bepaalt in de leden 1, 2 en 5:
„1.   Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie:
a)
de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b)
in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
c)
de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor de verwerking;
d)
de betrokken categorieën van persoonsgegevens;
e)
in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
f)
in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een ontvanger in een derde land of aan een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; [...].
2.   Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen:
a)
de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
b)
de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
c)
dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van persoonsgegevens of om beperking van de hem betreffende verwerking, alsmede het recht tegen verwerking van bezwaar te maken en het recht op gegevensoverdraagbaarheid;
d)
wanneer verwerking op artikel 6, lid 1, punt a) of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
e)
dat de betrokkene het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit;
f)
de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn van openbare bronnen;
g)
het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
[...]
5.   De leden 1 tot en met 4 zijn niet van toepassing indien en voor zover:
[...]
c)
het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen;
[...]”
4.
Artikel 32 AVG, met als opschrift „Beveiliging van de verwerking”, bepaalt in lid 1:
„Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, [...].”
5.
Artikel 77 AVG („Recht om een klacht in te dienen bij een toezichthoudende autoriteit”) bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.”
B.
Hongaars recht
6.
§ 2, lid 1, onder a) tot en met g), van a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12) Korm. rendelet (regeringsbesluit 60/2021 van 12 februari 2021 betreffende het immuniteitscertificaat; hierna: „regeringsbesluit 60/2021”), in de versie die van toepassing is op het hoofdgeding, bepaalt:
„Het immuniteitscertificaat bevat de volgende vermeldingen:
a)
de naam van de betrokkene;
b)
het paspoortnummer van de betrokkene, indien de betrokkene daarover beschikt;
c)
het nummer van de identiteitskaart van de betrokkene, indien de betrokkene daarover beschikt;
d)
het volgnummer van het immuniteitscertificaat;
e)
indien het een vaccinatiecertificaat betreft, de datum van de vaccinatie;
f)
indien het een herstelcertificaat betreft, de geldigheidsduur van het herstelcertificaat;
g)
een met behulp van IT-instrumenten optisch leesbare opslagcode gegenereerd uit de onder a) tot en met f) genoemde gegevens;
[...]”
7.
Overeenkomstig § 2, leden 6 en 7, van regeringsbesluit 60/2021, moest het immuniteitscertificaat door de Budapest Főváros Kormányhivatala (overheidsdienst voor de hoofdstad Boedapest, Hongarije; hierna: „overheidsdienst voor Boedapest”) ambtshalve of op verzoek worden afgegeven aan de houder die een natuurlijke persoon is.
8.
§ 3, lid 3, van regeringsbesluit 60/2021 bepaalt:
„In de in § 2, lid 6, onder c) en d), bedoelde gevallen ontvangt de [overheidsdienst voor Boedapest] via automatische informatieoverdracht, zo nodig door tussenkomst van de betreffende afdeling van de összerendelési nyilvántartás [(Bureau voor de elektronische organisatie van identificatiegegevens, Hongarije)],
a)
van de exploitant van het [Elektronikus Egészségügyi Szolgáltatási Tér (EESZT) (onlineplatform voor dienstverlening op het gebied van de gezondheidszorg)] het sociaalverzekeringsnummer van de betrokkene, de in § 2, lid 1, onder e) en g), en de in de eerste alinea genoemde gegevens;
b)
van het orgaan dat het register van persoons- en adresgegevens beheert de naam, het paspoortnummer, het identiteitsbewijsnummer en het adres van de betrokkene door middel van automatische informatieoverdracht, of, indien nodig, via de aan de geharmoniseerde registratie verbonden dienst.”
III. Hoofdgeding en prejudiciële vragen
9.
UC, een natuurlijke persoon, ontving van de overheidsdienst voor Boedapest een immuniteitscertificaat dat bevestigde dat hij tegen COVID-19 gevaccineerd was.
10.
Op 30 april 2021 heeft UC op basis van artikel 77, lid 1, AVG een klacht ingediend bij de Nemzeti Adatvédelmi és Információszabadság Hatóság (nationale autoriteit voor gegevensbescherming en vrijheid van informatie, Hongarije; hierna: „Hongaarse toezichthoudende autoriteit”). UC heeft deze autoriteit verzocht om de overheidsdienst voor Boedapest te gelasten zijn verwerkingen in overeenstemming te brengen met de bepalingen van de AVG. In zijn klacht heeft UC onder meer aangevoerd dat de overheidsdienst voor Boedapest geen privacymededeling betreffende de verwerking van gegevens in verband met de afgifte van de immuniteitscertificaten had opgesteld en gepubliceerd en dat er onvoldoende informatie beschikbaar was over het doel van en de rechtsgrond voor de gegevensverwerking, over de rechten van betrokkenen en over hoe deze rechten konden worden uitgeoefend.
11.
In de procedure die naar aanleiding van de ingediende klacht is ingeleid, heeft de overheidsdienst voor Boedapest verklaard zijn taken in verband met de afgifte van immuniteitscertificaten overeenkomstig § 2 van regeringsbesluit 60/2021 te hebben uitgevoerd. Voorts stelde deze dienst dat de rechtsgrond voor de verwerking artikel 6, lid 1, onder e), AVG, en in geval van de verwerking van bijzondere categorieën van persoonsgegevens artikel 9, lid 2, onder i), AVG was.
12.
Bovendien heeft de overheidsdienst voor Boedapest verklaard dat hij de verwerkte gegevens overeenkomstig § 3, leden 2 en 3, van regeringsbesluit 60/2021 via automatische informatieoverdracht had ontvangen van de exploitant van het onlineplatform voor dienstverlening op het gebied van de gezondheidszorg en van het orgaan dat het register van persoons- en adresgegevens beheert. De overheidsdienst stelde uit hoofde van artikel 14, lid 5, onder c), AVG niet verplicht te zijn om informatie over de verwerking te verstrekken. Niettemin heeft deze dienst een privacymededeling opgesteld over de desbetreffende verwerking en deze mededeling op zijn website gepubliceerd.
13.
Bij besluit van 15 november 2021 heeft de Hongaarse toezichthoudende autoriteit de klacht afgewezen op grond dat de overheidsdienst voor Boedapest niet verplicht was informatie te verstrekken, aangezien op de verwerking de afwijking van artikel 14, lid 5, onder c), AVG van toepassing was. Meer in het bijzonder heeft deze toezichthoudende autoriteit geoordeeld dat regeringsbesluit 60/2021 de rechtsgrond voor de verwerking vormde en dat de overheidsdienst voor Boedapest de gegevens niet van de betrokkenen zelf had verkregen. Bovendien heeft zij verklaard dat § 3, lid 1, van regeringsbesluit 60/2021 de overheidsdienst voor Boedapest uitdrukkelijk heeft opgedragen de gegevens te verzamelen. Het feit dat de overheidsdienst voor Boedapest informatie over de verwerking van gegevens op zijn website heeft gepubliceerd, hoewel hij daartoe niet wettelijk verplicht was, werd als een goede praktijk beschouwd.
14.
De Hongaarse toezichthoudende autoriteit heeft het vraagstuk van de in artikel 14, lid 5, onder c), AVG genoemde passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen ambtshalve onderzocht en vastgesteld dat §§ 2 en 3, en §§ 5 tot en met 7, van regeringsbesluit 60/2021 als dergelijke maatregelen moeten worden beschouwd.
15.
UC heeft de beslissing van de Hongaarse toezichthoudende autoriteit aangevochten bij de Fővárosi Törvényszék (rechter voor de agglomeratie Boedapest, Hongarije). Deze rechter heeft het beroep gegrond verklaard, het besluit van de Hongaarse toezichthoudende autoriteit nietig verklaard en haar gelast een nieuwe procedure te starten.
16.
In de motivering van zijn vonnis heeft de Fővárosi Törvényszék verklaard dat de in artikel 14, lid 5, onder c), AVG vastgestelde afwijking geen toepassing kon vinden, aangezien sommige gegevens in verband met de immuniteitscertificaten niet werden verkregen van een ander orgaan, maar door de verwerkingsverantwoordelijke werden gegenereerd. Deze gegevens zijn onder meer het volgnummer van het immuniteitscertificaat, de geldigheidsduur van het certificaat, de QR-code die op het certificaat is vermeld, en de streepjescode en overige alfanumerieke codes die de verwerkingsverantwoordelijke tijdens zijn procedure heeft gegenereerd.
17.
De Hongaarse toezichthoudende autoriteit heeft tegen dit onherroepelijke vonnis van de Fővárosi Törvényszék voor de Kúria (hoogste rechterlijke instantie, Hongarije) een buitengewoon rechtsmiddel (herzieningsverzoek) ingesteld.
18.
Wat de toepassing van de afwijking van artikel 14, lid 5, onder c), AVG betreft, is de verwijzende rechter van mening dat deze afwijking van toepassing is op alle vormen van gegevensverwerking die betrekking hebben op andere dan overeenkomstig artikel 13 AVG bij de betrokkene verzamelde gegevens, met inbegrip van door de verwerkingsverantwoordelijke verwerkte gegevens.
19.
Indien deze uitlegging van artikel 14, lid 5, onder c), AVG wordt gevolgd, twijfelt de verwijzende rechter aan de omvang van de bevoegdheden tot het nemen van corrigerende maatregelen van de nationale toezichthoudende autoriteiten in het kader van een krachtens artikel 77, lid 1, AVG ingediende klacht. Meer in het bijzonder betwijfelt de verwijzende rechter of de toezichthoudende autoriteit in het kader van een dergelijke klacht bevoegd is om de kwestie van de in het nationale recht vastgestelde passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene, waarnaar artikel 14, lid 5, onder c), AVG verwijst, te onderzoeken.
20.
Indien zou worden geoordeeld dat de toezichthoudende autoriteit deze bevoegdheid heeft, heeft de verwijzende rechter twijfels over de precieze betekenis van het begrip „passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen”. In dit verband merkt hij op dat zou kunnen worden geoordeeld dat „passende maatregelen” enerzijds de omzetting in nationaal recht van de in artikel 14, lid 1, onder a) tot en met f), AVG opgesomde elementen inhouden. Anderzijds zouden deze maatregelen het recht kunnen inhouden om een onderzoek te vragen naar de beveiliging van de verwerking, geregeld in artikel 32 AVG. Een dergelijke interpretatie van „passende maatregelen” zou echter het risico met zich meebrengen dat de wetgeving wordt overladen met technische bepalingen, hetgeen in strijd is met de eis dat wetgevingshandelingen begrijpelijk en duidelijk moeten zijn. Naleving van de maatregelen inzake gegevensbeveiliging zou ook een voldoende waarborg kunnen zijn, ook als deze maatregelen niet specifiek zijn omgezet.
21.
In deze context heeft de Kúria de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1)
Moet artikel 14, lid 5, onder c), [AVG], gelezen in samenhang met artikel 14, lid 1, en overweging 62 AVG, aldus worden uitgelegd dat de uitzondering van artikel 14, lid 5, onder c), AVG niet van toepassing is op gegevens die door de verwerkingsverantwoordelijke in het kader van de eigen procedure worden gegenereerd, maar uitsluitend op gegevens die de verwerkingsverantwoordelijke uitdrukkelijk van derden heeft verkregen?
2)
Indien artikel 14, lid 5, onder c), AVG ook van toepassing is op gegevens die door de verwerkingsverantwoordelijke in het kader van de eigen procedure worden gegenereerd, moet artikel 77, lid 1, AVG, dat het recht regelt om een klacht in te dienen bij een toezichthoudende autoriteit, dan aldus worden uitgelegd dat de natuurlijke persoon die stelt dat de informatieplicht niet is nagekomen, in het kader van de uitoefening van zijn recht om een klacht in te dienen ook kan laten onderzoeken of het in artikel 14, lid 5, onder c), AVG bedoelde lidstatelijke recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen?
3)
Indien de tweede vraag bevestigend wordt beantwoord, kan artikel 14, lid 5, onder c), AVG dan aldus worden uitgelegd dat de daarin genoemde passende maatregelen inhouden dat de wetgever van de lidstaat geacht wordt de in artikel 32 AVG bedoelde maatregelen met het oog op de beveiliging van de verwerking (wettelijk) vast te leggen?”
22.
UC, de Hongaarse toezichthoudende autoriteit, de Hongaarse regering en de Commissie hebben schriftelijke opmerkingen ingediend. Overeenkomstig artikel 23 van het Statuut van het Hof van Justitie van de Europese Unie heeft het Hof aan partijen en belanghebbenden schriftelijk te beantwoorden vragen toegestuurd, waarop UC, de Tsjechische regering, de Hongaarse regering en de Commissie hebben geantwoord.
IV. Analyse
A.
Opmerkingen vooraf over de informatieverplichting en de afwijking van artikel 14, lid 5, onder c), AVG
23.
Het verstrekken van informatie aan betrokkenen is een centraal element van het in artikel 5, lid 1, onder a), AVG neergelegde transparantiebeginsel. Transparantie „stelt betrokkenen in staat om verwerkingsverantwoordelijken en verwerkers verantwoording te laten afleggen”, aangezien transparantie de mogelijkheid van betrokkenen om controle over hun gegevens uit te oefenen, vergroot. (
5
) Zoals in het arrest Bara e.a. wordt gesteld, is „de vereiste van informatieverstrekking aan de betrokkenen op wie de verwerking van hun persoonsgegevens betrekking heeft des te belangrijker, aangezien het een voorwaarde is voor de uitoefening door die betrokkenen van het recht van toegang tot en rectificatie van de verwerkte gegevens”. (
6
) De belangrijkste bepalingen in dit verband zijn de artikelen 12, 13 en 14 AVG.
24.
Overeenkomstig artikel 12, lid 1, AVG moet de verwerkingsverantwoordelijke passende maatregelen nemen om de in de artikelen 13 en 14 bedoelde informatie te verstrekken „in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal”. Meestal wordt de informatie meegedeeld in een privacybeleid, privacymededeling of privacyverklaring. (
7
)
25.
De inhoud en de reikwijdte van de informatieverplichting worden uiteengezet in de artikelen 13 en 14 AVG. Artikel 13 regelt de informatie die moet worden verstrekt wanneer persoonsgegevens bij de betrokkene worden verzameld (directe verzameling), terwijl artikel 14 de informatie regelt die moet worden verstrekt wanneer persoonsgegevens niet van de betrokkene zijn verkregen (indirecte verzameling). (
8
) Tussen de informatie die op grond van deze twee bepalingen moet worden verstrekt, is er aanzienlijke overlapping. (
9
)
26.
Wat de indirecte verzameling van gegevens betreft, bepaalt artikel 14, lid 1, AVG dat in de „standaardinformatiecatalogus” (
10
) informatie over de identiteit van de verwerkingsverantwoordelijke, de verwerkingsdoeleinden, de ontvangers van de gegevens en de mogelijke doorgifte van gegevens aan een ontvanger in een derde land worden opgenomen. Tot de in artikel 14, lid 2, AVG uitdrukkelijk vermelde informatie die een behoorlijke en transparante verwerking moet waarborgen, behoort de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, de gerechtvaardigde belangen van de verwerkingsverantwoordelijke (
11
) of dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van persoonsgegevens.
27.
Er bestaan vier afwijkingen van de verplichting van de verwerkingsverantwoordelijke om informatie te verstrekken in geval van indirecte verzameling op grond van artikel 14 AVG, die zijn opgenomen in lid 5 van dat artikel. De voor het hoofdgeding relevante afwijking is die van artikel 14, lid 5, onder c), die een „open clausule” bevat. (
12
) De verwerkingsverantwoordelijke is vrijgesteld van het verstrekken van informatie indien en voor zover „het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen”.
28.
In de Engelse taalversie van artikel 14, lid 5, onder c), AVG wordt, net als in andere taalversies (
13
), niet uitdrukkelijk verwezen naar het voorwerp van de handeling van het „verkrijgen of verstrekken”. In een aantal andere taalversies wordt uitdrukkelijk verwezen naar het verkrijgen of verstrekken van „gegevens”. (
14
) Blijkbaar verwijst alleen de Franse versie naar het verkrijgen of verstrekken van „informatie”. (
15
)
29.
Aangezien alle taalversies van een handeling van de Unie in beginsel dezelfde inhoud moeten hebben, moet de betrokken bepaling in geval van verschillen tussen de taalversies worden uitgelegd met inachtneming van de algemene opzet en de doelstelling van de regeling waarvan zij een onderdeel vormt. (
16
)
30.
In dit verband blijkt uit de algemene opzet van de regeling waarvan artikel 14, lid 5, onder c), AVG een onderdeel vormt dat het verkrijgen of verstrekken betrekking heeft op persoonsgegevens (in tegenstelling tot informatie). Uit de titel van artikel 14 volgt al dat de informatie wordt „verstrekt”, terwijl de handeling van het verkrijgen betrekking heeft op „persoonsgegevens”. Deze uitlegging wordt bevestigd door overweging 61, waarin wordt verwezen naar „persoonsgegevens” die uit een andere bron zijn verkregen, en door overweging 62, waarin wordt verwezen naar de registratie of mededeling van de „persoonsgegevens”. Bovendien moet – indien rekening wordt gehouden met de brede betekenis van het begrip „verwerking” zoals vastgesteld in artikel 4, punt 2, AVG, dat wil zeggen een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens (
17
) – het „verkrijgen of verstrekken” worden aangemerkt als een verwerking van persoonsgegevens.
31.
Wat betreft het doel van de regeling waarvan artikel 14, lid 5, onder c), een onderdeel vormt, lijkt de onderliggende veronderstelling van de desbetreffende afwijking te zijn dat het Unie- of lidstatelijk recht ter vervanging dient van de verplichting die normaliter op de verwerkingsverantwoordelijke rust om informatie te verstrekken over het verkrijgen of verstrekken van gegevens. (
18
) Krachtens het relevante recht hebben betrokkenen reeds voldoende kennis met betrekking tot het verkrijgen of verstrekken van gegevens. (
19
) Dergelijk recht waaraan de verwerkingsverantwoordelijke is onderworpen, moet uitdrukkelijk betrekking hebben op het verkrijgen of verstrekken van gegevens en het verkrijgen of verstrekken in kwestie moet voor de verwerkingsverantwoordelijke verplicht zijn. (
20
)
32.
Uit het bovenstaande volgt dus duidelijk dat de afwijking inzake het verkrijgen of verstrekken betrekking heeft op persoonsgegevens.
33.
In het licht van deze opmerkingen zal ik de afwijking van artikel 14, lid 5, onder c), AVG verder onderzoeken in het kader van de analyse van de prejudiciële vragen.
B.
Eerste vraag
34.
Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 14, lid 5, onder c), AVG aldus moet worden uitgelegd dat de afwijking van de verplichting van de verwerkingsverantwoordelijke om informatie te verstrekken aan de betrokkene alleen geldt voor gegevens die de verwerkingsverantwoordelijke uitdrukkelijk van derden heeft verkregen, en niet voor gegevens die de verwerkingsverantwoordelijke in het kader van de eigen procedure heeft gegenereerd.
35.
Deze vraag vloeit voort uit het feit dat in het hoofdgeding bepaalde gegevens in de COVID-19-certificaten niet door een andere organisatie werden verkregen, maar door de overheidsdienst voor Boedapest werden gegenereerd. (
21
)
36.
Derhalve moet worden nagegaan of het begrip „verkrijgen” in artikel 14, lid 5, onder c), AVG gegevens uitsluit die door de verwerkingsverantwoordelijke worden gegenereerd.
37.
Voor de beantwoording van deze vraag moet er vooraf aan worden herinnerd dat bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met de context ervan en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt. (
22
)
38.
Wat de bewoording van artikel 14, lid 5, onder c), AVG betreft, stelt die bepaling geen beperking met betrekking tot een specifiek type verwerking of de exacte methode waarmee de verwerkingsverantwoordelijke de gegevens verkrijgt. De gegevens kunnen worden verkregen via een technische procedure, zoals het genereren van de gegevens door de verwerkingsverantwoordelijke.
39.
De ruime uitlegging van het begrip „verkrijgen” wordt bevestigd door overweging 62 AVG. In die overweging wordt het begrip „registratie” van de gegevens gebruikt, een handeling die, zoals de verwijzende rechter heeft opgemerkt, verwijst naar een breder scala aan verwerkingen die door de verwerkingsverantwoordelijke kunnen worden verricht. Artikel 14, lid 5, onder c), kan derhalve niet aldus worden uitgelegd dat deze bepaling alleen van toepassing is op gegevens die van een andere entiteit zijn verkregen en niet op gegevens die door de verwerkingsverantwoordelijke zijn gegenereerd.
40.
Die uitlegging van artikel 14, lid 5, onder c), AVG wordt ook bevestigd door de context van die bepaling en door de doelstellingen en het oogmerk ervan.
41.
In dit verband zij opgemerkt dat de afwijkingen van artikel 14, lid 5, betrekking hebben op de leden 1 tot en met 4 van dat artikel. De materiële werkingssfeer van artikel 14 (waarvan de afwijking een onderdeel is) wordt in vergelijking met artikel 13 op een negatieve manier gedefinieerd. Artikel 13 regelt de informatie die moet worden verstrekt wanneer persoonsgegevens bij de betrokkene worden verzameld, terwijl artikel 14 de verstrekking van informatie regelt wanneer persoonsgegevens niet van de betrokkene zijn verkregen. Uit de tweedeling tussen directe en indirecte verzameling van gegevens volgt dat alle gevallen waarin de gegevens niet worden verkregen van de betrokkene, onder het materiële toepassingsgebied van artikel 14 vallen. Het is irrelevant of de gegevens worden gegenereerd door de verwerkingsverantwoordelijke voor zover ze niet worden verkregen van de betrokkene. De brede materiële werkingssfeer van artikel 14 wordt ook bevestigd door overweging 61, waarin wordt verwezen naar gegevens die „uit een andere bron zijn verkregen”, dat wil zeggen een andere bron dan de betrokkene.
42.
Bovendien vormen de regels van de artikelen 13 en 14 AVG, zoals de Commissie en de Hongaarse toezichthoudende autoriteit hebben opgemerkt, in wezen een alomvattend systeem dat de verstrekking van informatie aan de betrokkene in alle mogelijke situaties regelt. Indien het begrip „verkrijgen” in artikel 14, lid 5, onder c), AVG aldus zou worden uitgelegd dat het niet van toepassing is op door de verwerkingsverantwoordelijke gegenereerde gegevens, zou die bepaling een restrictievere werkingssfeer hebben dan artikel 14, waarvan zij deel uitmaakt.
43.
Wat het specifieke doel van de desbetreffende afwijking betreft, is – zoals aangegeven in de opmerkingen vooraf bij deze conclusie – de vrijstelling van de verwerkingsverantwoordelijke van de informatieverplichting gebaseerd op de veronderstelling dat de wet in de plaats komt van de verplichting die normaliter op de verwerkingsverantwoordelijke rust om informatie te verstrekken. (
23
) De afwijking van artikel 14, lid 5, onder c), laat de lidstaten een beoordelingsmarge om te voorzien in een andere weg om de betrokkene te informeren en een behoorlijke en transparante verwerking te waarborgen dan via de informatie die door de verwerkingsverantwoordelijke op individuele basis wordt verstrekt. Deze andere juridische weg moet wel tot hetzelfde resultaat leiden. De wet die in de plaats komt van de aan de verwerkingsverantwoordelijke opgelegde informatieverplichting moet de betrokkene in staat stellen controle over zijn gegevens uit te oefenen en zijn rechten op grond van de AVG uit te oefenen. (
24
)
44.
Artikel 14, lid 5, onder c), aldus uitleggen dat het genereren van gegevens door de verwerkingsverantwoordelijke wordt uitgesloten van het toepassingsgebied ervan, zou de aan de lidstaten gelaten beoordelingsmarge beperken op basis van een grond die niet relevant lijkt voor de bescherming van de gerechtvaardigde belangen van de betrokkene.
45.
Een andere uitlegging – waarbij een uitzondering op de afwijking van artikel 14, lid 5, onder c), zou worden ingevoerd indien de gegevens worden gegenereerd door de verwerkingsverantwoordelijke – zou bovendien het risico met zich meebrengen dat de situatie voor betrokkene nog complexer wordt. De betrokkene moet kunnen weten uit welke bron hij informatie verkrijgt over de verwerking van zijn gegevens wanneer deze gegevens niet bij de betrokkene zelf worden verzameld. Het relevante recht moet de verwerking in al deze situaties voor de betrokkene voorspelbaar maken. (
25
)
46.
Uit het voorgaande volgt dat artikel 14, lid 5, onder c), AVG aldus moet worden uitgelegd dat de afwijking van de op de verwerkingsverantwoordelijke rustende verplichting om informatie te verstrekken aan de betrokkene van toepassing is op alle gegevens die de verwerkingsverantwoordelijke niet van de betrokkene heeft verkregen. Het is in dat verband niet relevant of de gegevens uitdrukkelijk van een andere entiteit zijn verkregen of dat de gegevens door de verwerkingsverantwoordelijke in het kader van de eigen procedure zijn gegenereerd.
C.
Tweede vraag
47.
Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 77, lid 1, AVG aldus moet worden uitgelegd dat de toezichthoudende autoriteit in het kader van een klachtenprocedure bevoegd is om te onderzoeken of het lidstatelijk recht, waaraan de verwerkingsverantwoordelijke is onderworpen, voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen, met het oog op de toepassing van de in artikel 14, lid 5, onder c), van de verordening neergelegde afwijking.
48.
In dit verband moet er ten eerste aan worden herinnerd dat volgens artikel 77, lid 1, AVG iedere betrokkene het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op die verordening. (
26
)
49.
Ten tweede heeft volgens artikel 55, lid 1, AVG elke toezichthoudende autoriteit de competentie om op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend. (
27
) Bovendien zijn de nationale toezichthoudende autoriteiten volgens artikel 57, lid 1, onder a), AVG verantwoordelijk voor het monitoren en handhaven van de toepassing van die verordening.
50.
De in de twee bovenstaande punten aangehaalde bepalingen onttrekken de voorwaarden voor de toepassing van de afwijking van artikel 14, lid 5, onder c), AVG niet aan de bevoegdheidssfeer van de nationale toezichthoudende autoriteiten.
51.
Zoals de Hongaarse regering en de Commissie hebben aangevoerd, zijn de toezichthoudende autoriteiten derhalve in wezen bevoegd om in het kader van een klacht op grond van artikel 77, lid 1, AVG na te gaan of aan alle voorwaarden van artikel 14, lid 5, onder c), is voldaan. Zoals volgt uit de eerste zin van artikel 14, lid 5, zijn alle afwijkingen waarin het artikel voorziet van toepassing „indien en voor zover” aan de daarin gestelde voorwaarden is voldaan.
52.
In dat verband moeten de toezichthoudende autoriteiten de bevoegdheid hebben om meer in het bijzonder eerst te onderzoeken of de wet rechtstreeks tot de verwerkingsverantwoordelijke is gericht en of het verkrijgen of verstrekken voor de verwerkingsverantwoordelijke verplicht is. (
28
) Ten tweede moeten de toezichthoudende autoriteiten kunnen onderzoeken of het recht waarop de verwerkingsverantwoordelijke zich beroept, voorziet in „passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen” en of de verwerkingsverantwoordelijke kan aantonen dat het verkrijgen of verstrekken van persoonsgegevens aan die maatregelen voldoet. (
29
)
53.
De Hongaarse toezichthoudende autoriteit betoogt dat de toetsing van de vraag of het nationale recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen, haar taken en bevoegdheden krachtens respectievelijk de artikelen 57 en 58 AVG te buiten zou gaan. De autoriteit is van mening dat deze bepalingen geen bevoegdheden tot het nemen van corrigerende maatregelen toekennen aan de toezichthoudende autoriteiten en dat het niet mogelijk is dergelijke bevoegdheden uit te oefenen ten aanzien van een verwerkingsverantwoordelijke die enkel het nationale recht heeft nageleefd.
54.
Dienaangaande moet erop worden gewezen dat, zoals de Commissie terecht opmerkt, het onderzoek door een nationale toezichthoudende autoriteit van de vraag of aan alle vereisten voor de toepassing van de afwijking van artikel 14, lid 5, onder c), is voldaan, geen onderzoek inhoudt van de geldigheid van het nationale recht. De toezichthoudende autoriteit onderzoekt alleen de vraag of de verwerkingsverantwoordelijke ten aanzien van een bepaalde betrokkene zich in een bepaalde situatie kan beroepen op de afwijking.
55.
Het is daarom de taak van de nationale toezichthoudende autoriteit om onderzoek te doen naar het verzoek waarmee een betrokkene vordert de verwerkingsverantwoordelijke niet vrij te stellen van het verstrekken van informatie omdat het relevante recht niet voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen.
56.
Indien de nationale toezichthoudende autoriteit tot de conclusie komt dat het verzoek ongegrond is, moet – zoals blijkt uit artikel 78 AVG – de persoon die het verzoek heeft ingediend en die deze conclusie betwist, toegang hebben tot rechtsmiddelen die hem of haar in staat stellen een dergelijke beslissing aan te vechten voor de nationale rechter.
57.
Als de nationale toezichthoudende autoriteit van mening is dat het verzoek gegrond is en dat niet aan de voorwaarden voor de afwijking is voldaan, heeft zij de bevoegdheid, zoals de Hongaarse regering en de Commissie in wezen hebben betoogd, om de verwerkingsverantwoordelijke te gelasten aan het verzoek van de betrokkene te voldoen. In die situatie moet de verwerkingsverantwoordelijke de informatie overeenkomstig artikel 14, leden 1 tot en met 4, verstrekken.
58.
In antwoord op de schriftelijke vragen van het Hof heeft de Tsjechische regering aangevoerd dat het niet mogelijk is te onderzoeken of de maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene passend zijn wanneer het nationale recht met betrekking tot een specifieke situatie gericht voorziet in een uitzondering op de informatieverplichting. Onder verwijzing naar het arrest Schrems (
30
) merkt deze regering in wezen op dat het onderzoek van de verenigbaarheid van een rechtsbron met een andere rechtsbron tot de uitsluitende bevoegdheid van de rechter behoort en niet tot die van een bestuursorgaan.
59.
In dit verband moet eraan worden herinnerd dat een van de belangrijkste vragen die in de zaak Schrems aan de orde werd gesteld, betrekking had op de bevoegdheden van nationale toezichthoudende autoriteiten om het verzoek van een persoon betreffende de bescherming van zijn rechten en vrijheden te onderzoeken in het licht van een besluit van de Commissie waarin wordt vastgesteld dat een derde land een passend beschermingsniveau waarborgt. (
31
) Het Hof heeft in essentie geoordeeld dat wanneer de nationale toezichthoudende autoriteiten een dergelijk verzoek onderzoeken, zij niet bevoegd zijn om zelf de ongeldigheid van een dergelijk besluit vast te stellen. (
32
) Wanneer de nationale toezichthoudende autoriteit van mening is dat de bezwaren van de persoon die een klacht heeft ingediend, gegrond zijn, moet deze autoriteit in rechte kunnen optreden. (
33
)
60.
Het arrest in de zaak Schrems lijkt echter niet rechtstreeks relevant voor het vraagstuk van de bevoegdheden van de toezichthoudende autoriteiten met betrekking tot het onderzoek van de afwijking van artikel 14, lid 5, onder c), AVG. Vooraf moet worden opgemerkt dat de toezichthoudende autoriteit zich in het kader van dat onderzoek niet bemoeit met de wettelijke verplichting van de verwerkingsverantwoordelijke om de persoonsgegevens te verkrijgen of te verstrekken. Met andere woorden, de toezichthoudende autoriteit beveelt de verwerkingsverantwoordelijke niet zich te onthouden van de toepassing van een wettelijke verplichting tot verkrijging of verstrekking waaraan de verwerkingsverantwoordelijke gebonden blijft. Zoals de Commissie en de Hongaarse regering hebben betoogd, bestaat de bevoegdheid van de nationale toezichthoudende autoriteit er in een dergelijke situatie in wezen in om de verwerkingsverantwoordelijke te gelasten in zijn privacymededeling de nodige informatie te verstrekken (
34
) indien niet aan de voorwaarden van de betrokken afwijking is voldaan. Een dergelijk bevel doet, zoals hierboven is uiteengezet, geen afbreuk aan de geldigheid van de wettelijke maatregel waaraan de verwerkingsverantwoordelijke is onderworpen.
61.
De bevoegdheid van de toezichthoudende autoriteit om de verwerkingsverantwoordelijke te gelasten informatie te verstrekken, doet geen afbreuk aan de bevoegdheid van deze autoriteit om, indien zij van mening is dat de betreffende wettelijke maatregel ongeldig is, een daartoe in het nationale recht vastgestelde gerechtelijke procedure in te leiden op grond van artikel 58, lid 5, AVG.
62.
Tot slot heeft de toezichthoudende autoriteit op een meer systemisch niveau, zoals alle belanghebbenden hebben aangevoerd, de bevoegdheid om de wetgever of de uitvoerende macht te adviseren om de betreffende wettelijke maatregel te wijzigen als zij van mening is dat deze niet voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen. In dat verband zij opgemerkt dat de toezichthoudende autoriteiten krachtens artikel 57, lid 1, onder c), AVG tot taak hebben het nationale parlement en de regering en andere instellingen en organen te adviseren. Zij hebben tevens de in artikel 58, lid 3, onder b), AVG vastgestelde adviesbevoegdheden.
63.
Uit het bovenstaande volgt dat artikel 77, lid 1, AVG aldus moet worden uitgelegd dat de toezichthoudende autoriteit in het kader van een klachtenprocedure bevoegd is om te onderzoeken of aan alle voorwaarden van artikel 14, lid 5, onder c), van die verordening is voldaan. Meer in het bijzonder is zij bevoegd om te onderzoeken of het lidstatelijk recht waaraan de verwerkingsverantwoordelijke is onderworpen, voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen.
D.
Derde vraag
64.
Met zijn derde vraag wenst de verwijzende rechter in wezen te vernemen of artikel 14, lid 5, onder c), AVG aldus moet worden uitgelegd dat de in die bepaling bedoelde „passende maatregelen” de nationale wetgever ertoe verplichten de in artikel 32 van deze verordening bedoelde maatregelen inzake gegevensbeveiliging om te zetten.
65.
In dit verband moet er enerzijds aan worden herinnerd dat de toepasselijkheid van de afwijking van de informatieverplichting overeenkomstig artikel 14, lid 5, onder c), AVG afhankelijk is van het treffen van „passende maatregelen” om de rechtvaardige belangen van de betrokkene te beschermen. Anderzijds volgt uit artikel 32 AVG dat de verwerkingsverantwoordelijke en de verwerker „passende technische en organisatorische maatregelen” moeten treffen om de beveiliging van de verwerking te waarborgen.
66.
De artikelen 14 en 32 hebben echter, zoals de Commissie betoogt, een verschillende werkingssfeer. De reikwijdte van de „passende maatregelen” moet worden onderzocht in de context van artikel 14 AVG. Het is derhalve niet mogelijk om ter vaststelling van een van de toepassingsvoorwaarden van de afwijking van artikel 14, lid 5, onder c), het in een andere bepaling opgenomen begrip „passende technische en organisatorische maatregelen” te gebruiken. Bovendien lijkt het in de context van artikel 32 AVG niet relevant of het de verwerkingsverantwoordelijke is die informatie verstrekt, of dat het verkrijgen of verstrekken van informatie in de wet is vastgelegd. Bijgevolg moet het voorwerp van het door de toezichthoudende autoriteit verrichte onderzoek worden afgebakend door het toepassingsgebied van artikel 14.
67.
De precieze inhoud van de „passende maatregelen” wordt in artikel 14, lid 5, onder c), niet nader uitgewerkt. De bepaling is ruim genoeg om elke maatregel te dekken die de wetgever noodzakelijk en passend acht. Het begrip „passende maatregelen” moet, zoals de Commissie aanvoert, in wezen worden uitgelegd in het licht van het transparantiebeginsel, welk beginsel is vastgesteld in artikel 5, lid 1, onder a), AVG. In dat verband is het belangrijk voor ogen te houden dat het desbetreffende recht, zoals aangegeven in de opmerkingen vooraf van deze conclusie (
35
), „ter vervanging” dient van de informatieverplichting die normaliter op de verwerkingsverantwoordelijke rust. Het is aan de wetgever om de passende maatregelen te bepalen, afhankelijk van bijvoorbeeld de categorie van verkregen gegevens en de context waarin de verwerking plaatsvindt.
68.
De Tsjechische regering heeft in haar antwoord op de vraag van het Hof gesteld dat de reikwijdte van de passende maatregelen ruimer is dan de lijst van informatie-elementen vastgesteld in artikel 14, leden 1, 2 en 4, AVG.
69.
Ik ben het ermee eens dat de vraag of de maatregelen passend zijn, niet uitsluitend kan worden beoordeeld door middel van een „mechanische” vergelijking met de door de AVG geharmoniseerde informatieverplichtingen van de verwerkingsverantwoordelijke. Het lijkt zinloos om te voorzien in een open clausule in artikel 14, lid 5, onder c), AVG (
36
), en tegelijkertijd exact dezelfde verplichtingen op te leggen, zonder een beoordelingsmarge te laten aan de wetgever. Dit gezegd zijnde, moet het relevante recht een behoorlijke en transparante verwerking waarborgen die gelijkwaardig is aan de verwerking die wordt gewaarborgd door de leden 1 tot en met 4 van artikel 14. (
37
) Om de betrokkene in staat te stellen een inschatting te maken van het risico dat verbonden is aan het verkrijgen van de gegevens en de verwerking ervan (
38
), moet het door een eenvoudige lezing van de relevante wettelijke bepaling duidelijk zijn wie de gegevens verwerkt, om welke reden en op welke manier. (
39
) Zoals ik hierboven al aangaf (
40
), moeten de verschillende juridische wegen tot hetzelfde resultaat leiden, namelijk de betrokkene in staat stellen controle over zijn gegevens uit te oefenen en zijn rechten op grond van de AVG uit te oefenen.
70.
De specifieke rechtsgrond voor de verwerking is ook van invloed op de vaststelling wat de „passende maatregelen” zijn voor de specifieke omstandigheden van de verwerking. In dit verband zij opgemerkt dat uit artikel 6, lid 1, onder c) en e), AVG volgt dat de verwerking rechtmatig is indien en voor zover de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust en wanneer de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang. Met betrekking tot een dergelijke verwerking kunnen de lidstaten overeenkomstig artikel 6, lid 2, AVG specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van de AVG met betrekking tot de verwerking worden toegepast door een nadere omschrijving te geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen. (
41
) Wanneer verwerking noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid, moet het lidstatelijk recht (of Unierecht) volgens artikel 9, lid 2, onder i), AVG voorzien in passende en specifieke maatregelen ter bescherming van de rechten en vrijheden van de betrokkene.
71.
In het hoofdgeding is het verkrijgen van de gegevens opgelegd bij regeringsbesluit 60/2021, dat, zoals uit het dossier blijkt, is vastgesteld op basis van artikel 6, lid 1, onder c) en e), en artikel 9, lid 2, onder i), AVG. De Hongaarse regering betoogt dat regeringsbesluit 60/2021 – naast de algemene waarborgen die gelden op grond van het rechtskader dat is vastgesteld om de rechtmatigheid van de verwerking te waarborgen – voorzag in aanvullende waarborgen. In dat verband heeft die regering verklaard dat een van die waarborgen bestaat in het feit dat de door dat regeringsbesluit aangewezen onderaannemers eigendom zijn van de staat en zich moeten houden aan het wetgevingskader met betrekking tot gegevensbeveiliging dat geldt voor overheidsorganen en de lokale overheid. Het staat aan de verwijzende rechter om in het licht van bovenstaande overwegingen deze verklaringen te onderzoeken en te bepalen of het nationale recht passende maatregelen biedt.
72.
In het licht van het bovenstaande ben ik van mening dat artikel 14, lid 5, onder c), AVG aldus moet worden uitgelegd dat de in die bepaling bedoelde „passende maatregelen” de nationale wetgever niet verplichten de in artikel 32 van die verordening bedoelde maatregelen inzake gegevensbeveiliging om te zetten.
V. Conclusie
73.
Gelet op een en ander geef ik het Hof in overweging om de prejudiciële vragen van de Kúria te beantwoorden als volgt:
„1)
Artikel 14, lid 5, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat de afwijking van de op de verwerkingsverantwoordelijke rustende verplichting om informatie te verstrekken aan de betrokkene van toepassing is op alle gegevens die de verwerkingsverantwoordelijke niet van de betrokkene heeft verkregen. Het is in dat verband niet relevant of de gegevens uitdrukkelijk van een andere entiteit zijn verkregen of dat de gegevens door de verwerkingsverantwoordelijke in het kader van de eigen procedure zijn gegenereerd.
2)
Artikel 77, lid 1, van verordening 2016/679
moet aldus worden uitgelegd dat de toezichthoudende autoriteit in het kader van een klachtenprocedure bevoegd is om te onderzoeken of aan alle voorwaarden van artikel 14, lid 5, onder c), van die verordening is voldaan. Meer in het bijzonder is zij bevoegd om te onderzoeken of het lidstatelijk recht waaraan de verwerkingsverantwoordelijke is onderworpen, voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen.
3)
Artikel 14, lid 5, onder c), van verordening 2016/679
moet aldus worden uitgelegd dat de in die bepaling bedoelde ‚passende maatregelen’ de nationale wetgever niet verplichten de in artikel 32 van die verordening bedoelde maatregelen inzake gegevensbeveiliging om te zetten.”
(
1
)	Oorspronkelijke taal: Engels.
(
i
)	Dit is een fictieve naam, die niet overeenkomt met de werkelijke naam van enige partij in de procedure.
(
2
)	Conclusie van advocaat-generaal Cruz Villalón in de zaak Bara e.a. (C‑201/14, EU:C:2015:461, punt 74). Cursivering van mij.
(
3
)	Vrabec, U. H., Data Subject Rights under the GDPR, Oxford University Press, Oxford, 2021, blz. 64.
(
4
)	Verordening van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2; hierna: „AVG”).
(
5
)	Zie Groep gegevensbescherming artikel 29, Richtsnoeren inzake transparantie overeenkomstig [de AVG], goedgekeurd op 29 november 2017, 17/EN WP260 rev. 01 (hierna: „transparantierichtsnoeren”), punt 4. Deze werkgroep werd vervolgens vervangen door het Europees Comité voor gegevensbescherming (EDPB). De transparantierichtsnoeren blijven echter geldig. Zie ook EDPB, Richtsnoeren 3/2020 inzake de verwerking van gezondheidsgegevens voor wetenschappelijk onderzoek in het kader van de COVID-19-uitbraak, vastgesteld op 21 april 2020, punt 5.1.2.4.
(
6
)	Arrest van 1 oktober 2015, Bara e.a. (C‑201/14, EU:C:2015:638, punt 33), waarin wordt verwezen naar de conclusie van advocaat-generaal Cruz Villalón in die zaak.
(
7
)	Transparantierichtsnoeren, punt 24. Zie ook Vrabec, U. H., Data Subject Rights under the GDPR, op. cit. in voetnoot 3, blz. 84.
(
8
)	Zie Zanfir-Fortuna, G., „Article 14. Information to be provided where personal data have not been obtained from the data subject”, in Kuner, C., Bygrave, L. A., en Docksey, C. (red.), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oxford, 2020, blz. 435‑448, op blz. 436.
(
9
)	Ibidem, blz. 444.
(
10
)	Vrabec, U. H., Data Subject Rights under the GDPR, op. cit. in voetnoot 3, blz. 68.
(
11
)	Wanneer de verwerking is gebaseerd op artikel 6, lid 1, onder f), AVG.
(
12
)	Aangezien deze bepaling een open clausule bevat, biedt zij de lidstaten de mogelijkheid om strengere of afwijkende nationale regels vast te stellen en laat zij hun een beoordelingsmarge met betrekking tot de wijze waarop de desbetreffende bepaling kan worden toegepast (zie in die zin arrest van 30 maart 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punt 51). Zie Knyrim, R., „IV. Ausnahme von der Informationspflicht”, in Ehmann, E., en Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, München, 2e druk, 2018, artikel 14, punten 42‑48, in punt 47.
(
13
)	Namelijk de Bulgaarse, Deense, Duitse, Griekse, Spaanse, Italiaanse, Letse, Poolse, Slowaakse en Zweedse taalversie.
(
14
)	Dit geldt met name voor de Estse (isikuandmed), de Litouwse (duomenų), de Hongaarse (adat), de Nederlandse (gegevens), de Portugese (dados), de Roemeense (datelor) en de Finse (tietojen) taalversie.
(
15
)	In de Franstalige rechtsleer wordt opgemerkt dat de Franse taalversie données (gegevens) had moeten vermelden in plaats van informations (informatie), zoals het geval was in de voorganger van artikel 14, lid 5, onder c), AVG, namelijk artikel 11, lid 2, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31) [zie de Terwangne, C., en Rosier, K., „Section 1. – Droit d’être informée de l’existence de traitements la concernant”, in Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Brussel, 1e druk, 2018, blz. 409‑432, voetnoot 132].
(
16
)	Zie in die zin arrest van 21 maart 2024, Cobult (C‑76/23, EU:C:2024:253, punt 25 en aldaar aangehaalde rechtspraak).
(
17
)	Zie in die zin ook arrest van 5 oktober 2023, Ministerstvo zdravotnictví (Mobiele applicatie COVID-19) (C‑659/22, EU:C:2023:745, punt 27).
(
18
)	Ebner, K., „6. Ausschluss der Informationspflicht”, Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Baden-Baden, 2022, blz. 272‑298, op blz. 280. De auteur merkt (op blz. 281) eveneens op dat het vrijstellen van de verwerkingsverantwoordelijke van het verstrekken van informatie in de situatie van artikel 14, lid 5, onder c), een manier is om het risico van „informatievermoeidheid” of „een overaanbod aan informatie” te vermijden; Dix, A., „DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)”, in Simitis, S., Hornung, G., en Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, München, 2019, punten 27 en 28, in punt 27, waarin het relevante recht een „afdoende vervanging” (hinreichendes Surrogat) wordt genoemd voor de vereiste informatie die door de verwerkingsverantwoordelijke wordt verstrekt.
(
19
)	Dix, A., op. cit. in voetnoot 18.
(
20
)	Transparantierichtsnoeren, punt 66. Bijgevolg moeten verwerkingsverantwoordelijken kunnen aantonen hoe de wet in kwestie op hen van toepassing is en hen verplicht de desbetreffende persoonsgegevens te verkrijgen of te verstrekken.
(
21
)	Zie punt 16 van deze conclusie.
(
22
)	Arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden) (C‑26/22 en C‑64/22, EU:C:2023:958, punt 48 en aldaar aangehaalde rechtspraak).
(
23
)	Zie punt 31.
(
24
)	Zie punt 23.
(
25
)	Dix, A., in Simitis, S., Hornung, G., en Spiecker, I., op. cit. in voetnoot 18, en Ebner, K., „6. Ausschluss der Informationspflicht”, op. cit. in voetnoot 18, blz. 281.
(
26
)	Arrest van 16 januari 2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, punt 61).
(
27
)	Ibidem.
(
28
)	Transparantierichtsnoeren, punt 66.
(
29
)	Ibidem.
(
30
)	Arrest van 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650, punt 65).
(
31
)	Vastgesteld overeenkomstig artikel 25, lid 6, van richtlijn 95/46.
(
32
)	Zie in die zin arrest van 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650, punt 62).
(
33
)	Ibidem, punt 65.
(
34
)	Dit laat eventuele beperkingen op het recht op informatie onverlet die door de wetgeving van de Unie of een lidstaat kunnen worden opgelegd op basis van een van de gronden van artikel 23 AVG.
(
35
)	Punt 31 van deze conclusie.
(
36
)	Zie punt 27 van deze conclusie.
(
37
)	Zie in die zin Ebner, K., „6. Ausschluss der Informationspflicht”, op. cit. in voetnoot 18, blz. 281, die naar een vergelijkbaar beschermingsniveau (vergleichbares Schutzniveau) verwijst; Mester, B.‑A., „DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)”, in Taeger, J., en Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022, punt 26; Paal, B., en Hennemann, M., „DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)”, in Paal, B., en Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, München, 2021, punt 42.
(
38
)	Mester, B.‑A., in Taeger, J., en Gabel, D., op. cit. in voetnoot 37.
(
39
)	Ebner, K., „6. Ausschluss der Informationspflicht”, op. cit. in voetnoot 18, blz. 281.
(
40
)	Punt 43 van deze conclusie.
(
41
)	Deze specifieke bepalingen kunnen de in artikel 6, lid 3, AVG opgenomen elementen omvatten, zoals: de algemene voorwaarden inzake de rechtmatigheid van verwerking; de typen verwerkte gegevens; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden, en de verwerkingsactiviteiten en ‑procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX AVG.