62021CC0683
CONCLUSIE VAN ADVOCAAT-GENERAAL
N. EMILIOU
van 4 mei 2023 (
1
)
Zaak C‑683/21
Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
tegen
Valstybinė duomenų apsaugos inspekcija,
in tegenwoordigheid van:
„‚IT sprendimai sėkmei” UAB,
Lietuvos Respublikos sveikatos apsaugos ministerija
[verzoek van de Vilniaus apygardos administracinis teismas (bestuursrechter in eerste aanleg Vilnius, Litouwen) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 4, punt 7 – Begrip ‚verwerkingsverantwoordelijke’ – Ontwikkeling van een mobiele applicatie in het kader van de COVID-19-pandemie – Verantwoordelijkheid van de overheidsinstantie die belast is met het organiseren van de aanbestedingsprocedure voor de verwerving van de mobiele applicatie – Artikel 4, punt 2 – Begrip ‚verwerking’ – Gebruik van persoonsgegevens in de testfase van een mobiele applicatie – Artikel 26, lid 1 – Gezamenlijke verwerkingsverantwoordelijkheid – Artikel 83 – Oplegging van administratieve geldboeten – Voorwaarden – Vereiste dat de inbreuk opzettelijk of uit nalatigheid is begaan – Verantwoordelijkheid van de verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens door een verwerker”
I. Inleiding
1.
Onder welke voorwaarden kunnen, in een wereld waarin persoonsgegevens een troef bij onderhandelingen zijn geworden en door bedrijven als nieuwe goudmijn zijn ontdekt, administratieve boeten worden opgelegd aan verwerkingsverantwoordelijken of verwerkers wegens inbreuken op de gegevensbeschermingsregels van verordening (EU) 2016/679 (
2
)? Meer in het bijzonder: moet er een „schuldbestanddeel” zijn vervuld voordat hun een dergelijke boete kan worden opgelegd? Dit is de kern van de vragen die de Vilniaus apygardos administracinis teismas (bestuursrechter in eerste aanleg Vilnius, Litouwen) in casu stelt.
2.
Het bij deze rechterlijke instantie aanhangige geding tussen het Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos (nationaal centrum voor volksgezondheid van het ministerie van Volksgezondheid, Litouwen; hierna: „NVSC”) en de Valstybinė duomenų apsaugos inspekcija (nationale toezichthouder voor gegevensbescherming, Litouwen; hierna: „toezichthouder”), betreft in wezen de rol van het NVSC bij de ontwikkeling en het openbaar beschikbaar maken van een mobiele applicatie die in april en mei 2020 persoonsgegevens heeft verzameld van mensen die in aanraking waren gekomen met patiënten die besmet waren met het COVID-19-virus.
3.
In die context biedt deze zaak het Hof de gelegenheid om de begrippen „verwerkingsverantwoordelijke”, „gezamenlijke verwerkingsverantwoordelijken” en „verwerking”, die respectievelijk worden gedefinieerd in artikel 4, punt 7, artikel 26, lid 1, en artikel 4, punt 2, AVG, nader te verduidelijken, en om voor het eerst in te gaan op de vraag of overeenkomstig artikel 83 van deze verordening een administratieve geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke die noch opzettelijk, noch uit nalatigheid inbreuk heeft gemaakt op de regels van de AVG. Deze vraag dwingt het Hof te verduidelijken of op grond van deze bepaling, op basis van objectieve aansprakelijkheid, geldboeten kunnen worden opgelegd terwijl iedere schuld ontbreekt.
II. Toepasselijke bepalingen
A.
Unierecht
4.
Overweging 148 AVG luidt:
„Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening […]. Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.”
5.
In overweging 150 van die verordening staat te lezen:
„Teneinde de administratieve straffen tegen inbreuken op deze verordening te versterken en te harmoniseren dient iedere toezichthoudende autoriteit bevoegd te zijn om administratieve geldboeten op te leggen. In deze verordening dienen inbreuken te worden benoemd, evenals maxima en criteria voor de vaststelling van de daaraan verbonden administratieve geldboeten, die per afzonderlijk geval dienen te worden bepaald door de bevoegde toezichthoudende autoriteit, rekening houdend met alle relevante omstandigheden van de specifieke situatie, met inachtneming van met name de aard, de ernst en de duur van de inbreuk en van de gevolgen ervan en de maatregelen die zijn genomen om naleving van de verplichtingen uit hoofde van deze verordening te waarborgen en de gevolgen van de inbreuk te voorkomen of te beperken. […] Het opleggen van een administratieve geldboete of het geven van een waarschuwing heeft geen gevolgen voor de uitoefening van andere bevoegdheden van de toezichthoudende autoriteiten of voor het toepassen van andere sancties uit hoofde van deze verordening.”
6.
In artikel 4, punt 7, AVG wordt het begrip „verwerkingsverantwoordelijke” gedefinieerd als „een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt […]”.
7.
Artikel 26 van deze verordening, met het opschrift „Gezamenlijke verwerkingsverantwoordelijken”, bepaalt in de eerste volzin van lid 1 het volgende:
„Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken.”
8.
Artikel 83 van deze verordening, met het opschrift „Algemene voorwaarden voor het opleggen van administratieve geldboeten” bepaalt het volgende:
„1.   Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.
2.   Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:
a)
de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
b)
de opzettelijke of nalatige aard van de inbreuk;
[…]
k)
elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.
3.   Indien een verwerkingsverantwoordelijke of een verwerker opzettelijk of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening, is de totale geldboete niet hoger dan die voor de zwaarste inbreuk.
[…]”
B.
Litouws recht
9.
Artikel 72, lid 2, van de Viešųjų pirkimų įstatymas (wet inzake overheidsopdrachten) bepaalt:
„De aanbestedende dienst voert een onderhandelingsprocedure zonder bekendmaking van de aankondiging van een opdracht uit in onderstaande stappen:
1)
schriftelijke uitnodiging aan de uitgekozen ondernemers om een inschrijving in te dienen;
2)
toetsing of er sprake is van in de aanbestedingsdocumenten bepaalde gronden voor uitsluiting van ondernemers, toetsing of de ondernemers voldoen aan de opgelegde geschiktheidseisen en, indien van toepassing, aan de vereiste kwaliteitsborging en/of milieukwaliteitsnormen;
3)
het voeren van onderhandelingen met de inschrijvers in overeenstemming met de procedure krachtens artikel 66 van deze wet en het verzoek aan hen om de definitieve inschrijving in te dienen. De aanbestedende dienst is niet gehouden te verzoeken om indiening van een definitieve inschrijving in het geval er één uiteindelijke ondernemer deelneemt aan een onderhandelingsprocedure zonder bekendmaking van een aankondiging van een opdracht;
4)
beoordeling van de definitieve inschrijvingen en vaststelling van de succesvolle gegadigde.”
III. Feiten, nationale procedure en prejudiciële vragen
10.
Teneinde het hoofd te bieden aan de situatie die was ontstaan door de verspreiding van het COVID-19-virus, heeft de minister van Volksgezondheid van de Republiek Litouwen (hierna: „minister van Volksgezondheid”) bij besluit van 24 maart 2020 de directeur van het NVSC opdracht gegeven om de ontwikkeling en verwerving van de mobiele applicatie KARANTINAS te organiseren. Die mobiele applicatie was ontworpen voor het verzamelen en controleren van persoonsgegevens van personen die in aanraking waren gekomen met patiënten die besmet waren met het COVID-19-virus. (
3
)
11.
Op 27 maart 2020 heeft een persoon die beweerde het NVSC te vertegenwoordigen, het bedrijf „IT sprendimai sėkmei” UAB (hierna: „ITSS”) meegedeeld dat het was uitgekozen als de ontwikkelaar van KARANTINAS. Tussen ITSS en deze persoon, alsook tussen ITSS en een aantal werknemers en de directeur van het NVSC zijn er e-mails over de ontwikkeling van die mobiele applicatie uitgewisseld. In dit stadium is ook een geheimhoudingsovereenkomst opgesteld, waarin zowel ITSS als het NVSC als verwerkingsverantwoordelijken wordt genoemd.
12.
De uiteindelijk ontwikkelde mobiele applicatie is op 4 april 2020 in de Google Play Store en op 6 april 2020 in de Apple App Store als download aan het publiek beschikbaar gesteld. In de voor het publiek beschikbare versie van KARANTINAS werd zowel ITSS als het NVSC genoemd als verwerkingsverantwoordelijke. Op dat moment was deze mobiele applicatie nog niet door het NVSC verworven.
13.
Bij besluit van 10 april 2020 heeft de minister van Volksgezondheid de directeur van het NVSC opgedragen om de verwerving van KARANTINAS door te zetten middels een onderhandelingsprocedure zonder bekendmaking van een aankondiging van een opdracht, overeenkomstig artikel 72, lid 2, van de wet inzake overheidsopdrachten.
14.
Deze procedure is gestart, maar door het NVSC beëindigd omdat het de benodigde financiële middelen niet had ontvangen. Bijgevolg is er geen overheidsopdracht voor de aankoop gegund. KARANTINAS bleef echter als download beschikbaar voor het publiek.
15.
Op 15 mei 2020 heeft het NVSC ITSS verzocht om in de mobiele applicatie geen gegevens van het NVSC te vermelden en niet naar het NVSC te verwijzen. Op 18 mei 2020 heeft de toezichthouder een onderzoek ingesteld naar zowel ITSS als het NVSC wegens inbreuk op de regels van de AVG. De activiteiten van KARANTINAS zijn op 26 mei 2020 op verzoek van de toezichthouder opgeschort. Volgens ITSS hebben tussen 4 april en 26 mei 2020 3802 gebruikers hun persoonsgegevens via de applicatie verstrekt.
16.
Bij besluit van 24 februari 2021 heeft de toezichthouder administratieve geldboeten opgelegd aan het NVSC en aan ITSS, in hun hoedanigheid van gezamenlijke verwerkingsverantwoordelijken, wegens inbreuk op de artikelen 5, 13, 24, 32 en 35 AVG. (
4
)
17.
Het NVSC is tegen dit besluit opgekomen bij de Vilniaus apygardos administracinis teismas. Deze rechter vraagt zich in wezen af of het begrip „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG ruim moet worden uitgelegd, zodat het elke natuurlijke persoon, rechtspersoon en instantie zoals het NVSC omvat die niet de ontwikkelaar van een mobiele applicatie is, maar die met het oog op de verwerving van een dergelijke mobiele applicatie via een aanbestedingsprocedure „het doel van en de middelen voor de verwerking van persoonsgegevens” heeft vastgesteld, dan wel of dit begrip strikter moet worden uitgelegd, met inachtneming van de openbare aanbesteding en de uitkomst daarvan.
18.
Hij vraagt zich met name af of in dit verband het feit relevant is dat de aanbestedingsprocedure uiteindelijk is afgebroken en KARANTINAS nooit door het NVSC is verworven. Daarnaast vraagt hij zich af of het feit dat het NVSC niet officieel goedkeuring of toestemming heeft verleend voor het beschikbaar stellen aan het publiek van deze mobiele applicatie, van invloed is op deze beoordeling.
19.
Voorts wenst hij te vernemen wat de verhouding is tussen het NVSC en ITSS. Hij vraagt zich in dit verband af in welke omstandigheden deze entiteit en deze vennootschap als „gezamenlijke verwerkingsverantwoordelijken” in de zin van artikel 4, punt 7, en artikel 26, lid 1, AVG moeten worden beschouwd. Indien het NVSC en ITSS niet als „gezamenlijke verwerkingsverantwoordelijken”, maar (respectievelijk) als „verwerkingsverantwoordelijke” en „verwerker” (
5
) in de zin van de AVG moeten worden beschouwd, wenst hij subsidiair te vernemen wanneer de handelingen van ITSS tot aansprakelijkheid van het NVSC kunnen leiden. Hij vraagt zich in dit verband af of artikel 83 AVG aldus moet worden uitgelegd dat een administratieve geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke als het NVSC, die noch opzettelijk, noch uit nalatigheid inbreuk heeft gemaakt op deze verordening.
20.
Tegen deze achtergrond heeft de Vilniaus apygardos administracinis teismas de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1)
Kan het begrip ‚verwerkingsverantwoordelijke’ bedoeld in artikel 4, punt 7, AVG, aldus worden uitgelegd dat een persoon die voornemens is een instrument voor gegevensverzameling (mobiele applicatie) te verwerven middels een overheidsopdracht, ook als een verwerkingsverantwoordelijke moet worden aangemerkt, ongeacht het feit dat er geen overheidsopdracht is geplaatst en dat het ontwikkelde product (mobiele applicatie), ter verwerving waarvan gebruik is gemaakt van een procedure voor het plaatsen van een overheidsopdracht, niet is overgedragen?
2)
Kan het begrip ‚verwerkingsverantwoordelijke’ bedoeld in artikel 4, punt 7, AVG, aldus worden uitgelegd dat een aanbestedende dienst ook dient te worden aangemerkt als verwerkingsverantwoordelijke in het geval deze dienst het eigendomsrecht van het ontwikkelde IT-product niet heeft verworven en niet in bezit heeft genomen, maar de eindversie van de ontwikkelde applicatie links of interfaces bevat naar dat openbaar lichaam en/of het privacybeleid, dat niet officieel door het betreffende openbaar lichaam is goedgekeurd of erkend, met dien verstande dat dat openbaar lichaam zelf een verwerkingsverantwoordelijke is?
3)
Kan het begrip ‚verwerkingsverantwoordelijke’ bedoeld in artikel 4, punt 7, AVG, aldus worden uitgelegd dat een persoon die geen daadwerkelijke gegevensverwerkingsactiviteiten zoals omschreven in artikel 4, punt 2, AVG heeft verricht en/of geen duidelijke toestemming/goedkeuring voor de verrichting van dergelijke activiteiten heeft verleend, ook dient te worden aangemerkt als verwerkingsverantwoordelijke? Is het voor de uitlegging van het begrip ‚verwerkingsverantwoordelijke’ van belang dat het IT-product dat is gebruikt voor de verwerking van persoonsgegevens, is ontwikkeld volgens een instructie die door de aanbestedende dienst is geformuleerd?
4)
Indien de vaststelling van daadwerkelijke gegevensverwerkingsactiviteiten van belang is voor de uitlegging van het begrip ‚verwerkingsverantwoordelijke’, dient het begrip ‚verwerking’ van persoonsgegevens bedoeld in artikel 4, punt 2, AVG dan aldus te worden uitgelegd dat het mede geldt voor situaties waarin kopieën van persoonsgegevens zijn gebruikt voor het testen van IT-systemen tijdens de procedure voor de verwerving van een mobiele applicatie?
5)
Kan de gezamenlijke verantwoordelijkheid voor de verwerking van gegevens overeenkomstig artikel 4, punt 7, en artikel 26, lid 1, AVG uitsluitend aldus worden uitgelegd dat hiervoor sprake moet zijn van doelbewust op elkaar afgestemde handelingen om het doeleinde en de middelen van gegevensverwerking vast te stellen, of kan dat begrip ook in die zin worden uitgelegd dat de gezamenlijke verantwoordelijkheid ook geldt in situaties waarin er geen duidelijke ‚regeling’ bestaat over het doel van en de middelen voor gegevensverwerking en/of de entiteiten hun handelingen niet op elkaar hebben afgestemd? Zijn de omstandigheden die betrekking hebben op de ontwikkelingsfase van het middel van verwerking van persoonsgegevens (IT-applicatie) waarin persoonsgegevens zijn verwerkt en het doel van de ontwikkeling van de applicatie juridisch van belang voor de uitlegging van het begrip gezamenlijke verantwoordelijkheid voor de verwerking van gegevens? Kan een ‚regeling’ tussen de gezamenlijke verwerkingsverantwoordelijken uitsluitend worden uitgelegd als een duidelijke en omschreven vaststelling van voorwaarden betreffende de gezamenlijke verantwoordelijkheid voor de verwerking van gegevens?
6)
Dient het bepaalde in artikel 83, lid 1, AVG, op grond waarvan ‚administratieve boeten doeltreffend, evenredig en afschrikkend zijn’, aldus te worden uitgelegd dat het ook geldt voor gevallen waarin de aansprakelijkheid komt te liggen bij de ‚verwerkingsverantwoordelijke’ wanneer de ontwikkelaar, tijdens het proces ter ontwikkeling van een IT-product, ook handelingen ter verwerking van persoonsgegevens verricht, en leiden de onrechtmatige handelingen ter verwerking van persoonsgegevens die door de verwerker worden verricht altijd automatisch tot juridische aansprakelijkheid van de ‚verwerkingsverantwoordelijke’? Dient die bepaling aldus uitgelegd te worden dat zij ook gevallen van risicoaansprakelijkheid van de verwerkingsverantwoordelijke omvat?
21.
Het verzoek om een prejudiciële beslissing van 22 oktober 2021 is bij de griffie van het Hof ingekomen op 12 november 2021. Het NVSC, de toezichthouder, de Litouwse regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend.
22.
De Litouwse en de Nederlandse regering, de Commissie en de Raad waren vertegenwoordigd ter terechtzitting van 17 januari 2023.
IV. Analyse
23.
Tijdens de COVID-19-pandemie zijn in vele lidstaten mobiele applicaties met een functie voor de „track and trace” van personen die met het virus waren besmet en/of met een door het virus besmette persoon in aanraking waren gekomen, als download aan het publiek beschikbaar gesteld. Dergelijke mobiele applicaties werden ontwikkeld in een poging de noodsituatie het hoofd te bieden, vaak onder deelname van verschillende publieke en private entiteiten (zoals ministeries en andere overheidsorganen, alsook particuliere ondernemingen). Gebruikers moesten hun persoonsgegevens in die mobiele applicaties uploaden, met name gegevens over hun gezondheid. (
6
)
24.
Het hoofdgeding betreft nu juist een dergelijke mobiele applicatie, namelijk KARANTINAS, die op initiatief van het NVSC (een overheidsinstantie) en na een besluit van de minister van Volksgezondheid is ontwikkeld door ITSS (een private vennootschap). Uit de gegevens in het dossier en de ter terechtzitting verstrekte informatie wordt niet duidelijk of eventueel, en zo ja welke, andere Litouwse overheidsinstanties bij de ontwikkeling van de applicatie betrokken waren. (
7
) Ook bestaat enige twijfel over de vraag of het NVSC ermee heeft ingestemd dat KARANTINAS in de periode waarin de verwerking van persoonsgegevens plaatsvond (april en mei 2020) aan het publiek beschikbaar is gesteld. In de prejudiciële vragen aan het Hof heeft de Vilniaus apygardos administracinis teismas evenwel de volgende omstandigheden als relevant aangemerkt:
–
Het NVSC was voornemens KARANTINAS overeenkomstig artikel 72, lid 2, van de wet inzake overheidsopdrachten te verwerven, maar de procedure is nooit afgerond en de verwerving heeft nooit plaatsgevonden. De eigendom van KARANTINAS is dus nooit van ITSS overgegaan op het NVSC;
–
In het privacybeleid van KARANTINAS, dat aan het publiek ter beschikking is gesteld, werd het NVSC genoemd als verwerkingsverantwoordelijke. In de laatste versie van de applicatie, die echter nooit officieel door die entiteit is goedgekeurd, werd ook verwezen naar het NVSC;
–
Het NVSC heeft zelf nooit persoonsgegevens verwerkt en heeft evenmin formeel toestemming gegeven voor de verrichte verwerkingshandelingen, maar heeft wel instructies gegeven met betrekking tot de ontwikkeling van KARANTINAS, welke instructies door ITSS zijn opgevolgd, en
–
ITSS en het NVSC hebben geen formele regeling getroffen over de doeleinden en de middelen van de verwerking van persoonsgegevens die heeft plaatsgevonden.
25.
In deze context hebben de prejudiciële vragen aan het Hof betrekking op de uitlegging van verschillende bepalingen van de AVG. De eerste drie vragen en de vijfde vraag verlangen uitlegging van het begrip „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, van deze verordening en vereisen verduidelijking van de omstandigheden waaronder twee of meer entiteiten kunnen worden beschouwd als „gezamenlijke verwerkingsverantwoordelijken” in de zin van deze bepaling, en van artikel 26, lid 1, van deze verordening. Eerst zal ik deze vragen samen behandelen (A), alvorens in te gaan op de vierde vraag, die betrekking heeft op het begrip „verwerking” in de zin van artikel 4, punt 2, AVG, en de toepassing ervan in het kader van de testfase van een mobiele applicatie (B). (
8
) Vervolgens zal ik mij over de kernvraag van de onderhavige zaak buigen, namelijk de zesde vraag, die transversaal van aard is omdat zij betrekking heeft op de voorwaarden waaronder aan verwerkingsverantwoordelijken krachtens artikel 83 AVG administratieve geldboeten kunnen worden opgelegd (C).
A.
Begrip „verwerkingsverantwoordelijke” en situaties van gezamenlijke verwerkingsverantwoordelijkheid (de eerste tot en met de derde vraag en de vijfde vraag)
26.
In de eerste drie vragen vraagt de verwijzende rechter zich in wezen af of een entiteit als het NVSC in het licht van de in punt 24 van deze conclusie beschreven omstandigheden moet worden beschouwd als een „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG. Voorts wenst hij met zijn vijfde vraag te vernemen of in dergelijke omstandigheden twee entiteiten als het NVSC en ITSS als „gezamenlijke verwerkingsverantwoordelijken” moeten worden beschouwd in de zin van deze bepaling en artikel 26, lid 1, van die verordening, ook al hebben zij geen formele regeling getroffen over het doel van en de middelen voor de verwerking en/of lijken zij hun handelingen niet anderszins op elkaar te hebben afgestemd.
1. Wat is een verwerkingsverantwoordelijke (de eerste tot en met de derde vraag)?
27.
Ik herinner eraan dat volgens artikel 4, punt 7, AVG een „verwerkingsverantwoordelijke” wordt gedefinieerd als de persoon of entiteit die, „alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. Eenvoudig gezegd hoeft een verwerkingsverantwoordelijke zelf geen persoonsgegevens te verwerken, maar moet hij het „hoe en waarom” van de desbetreffende verwerkingsactiviteiten bepalen. (
9
) Het Hof heeft erop gewezen dat slechts aan dit criterium kan worden voldaan wanneer een persoon of entiteit daadwerkelijk „invloed uitoefent op de verwerking van persoonsgegevens”. (
10
) Het is echter niet noodzakelijk dat het doel van en de middelen voor de verwerking worden vastgesteld bij wege van schriftelijke richtsnoeren of instructies van de verwerkingsverantwoordelijke. (
11
) Artikel 4, punt 7, AVG vereist immers veeleer een feitelijke dan een formele analyse.
28.
In dit verband heeft het Europees Comité voor gegevensbescherming (EDPB) gesteld dat het ook mogelijk is om verwerkingsverantwoordelijke te zijn ongeacht de wettelijke toekenning van een specifieke bevoegdheid of een specifiek recht. Het vermogen om het doel van en de middelen voor de verwerking te bepalen is namelijk vooral afhankelijk van de invloed die wordt uitgeoefend, hetgeen kan worden afgeleid uit de feitelijke omstandigheden. Een entiteit die feitelijk in staat is om het doel van en de middelen voor de verwerking te bepalen wordt aldus als „verwerkingsverantwoordelijke” beschouwd, ongeacht of zij formeel als zodanig is aangewezen (bij wet, bij overeenkomst of anderszins). (
12
)
29.
Na deze verduidelijkingen wijs ik erop dat een aantal van de door de verwijzende rechter in de eerste drie vragen beschreven omstandigheden enkel formeel van aard is, bijvoorbeeld het feit dat het NVSC juridisch gezien geen eigenaar van KARANTINAS is, dat de procedure voor de verwerving van deze mobiele applicatie nooit is afgerond, of dat het NVSC niet officieel toestemming heeft gegeven voor de terbeschikkingstelling van de applicatie aan het grote publiek en de laatste versie van de applicatie niet heeft goedgekeurd. Mijns inziens kan geen van deze omstandigheden op zichzelf beschouwd in de weg staan aan de vaststelling dat het NVSC in het kader van het hoofdgeding heeft gehandeld als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG. Zij volstaan immers niet om de conclusie te weerleggen dat het NVSC feitelijk in staat was het doel van en de middelen voor de verrichte verwerking van persoonsgegevens te bepalen. Het feit dat het NVSC als verwerkingsverantwoordelijke is vermeld in het privacybeleid van de versie van KARANTINAS die als download aan het publiek beschikbaar is gesteld en dat in die versie van de mobiele applicatie naar die entiteit werd verwezen, lijkt mij dus relevant, maar niet doorslaggevend als het gaat om de invloed die deze entiteit feitelijk heeft uitgeoefend.
30.
Het aan de verwijzende rechter voorgelegde bewijs, waaruit blijkt dat het NVSC heeft beslist welk soort persoonsgegevens van welke betrokkenen door KARANTINAS moest worden verzameld en/of andere belangrijke aspecten van de verwerking heeft bepaald, volstaat mijns inziens daarentegen om vast te stellen dat deze entiteit de „middelen” van de verwerking heeft bepaald. Voorts ben ik van mening dat het feit dat KARANTINAS is gemaakt om het door het NVSC geformuleerde doel te bereiken, namelijk het hoofd bieden aan de COVID-19-pandemie, en dat ITSS de werking van de applicatie regelmatig overeenkomstig de door deze entiteit verstrekte instructies heeft aangepast om aan de door het NVSC vastgestelde behoeften te voldoen, volstaat om tot de conclusie te komen dat die entiteit het „doel” van die verwerking heeft bepaald.
31.
Dit gezegd hebbende, ben ik van mening dat de verwijzende rechter, om te bepalen of een entiteit als het NVSC kan worden beschouwd als een „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG, ook moet nagaan of, ondanks de invloed die het NVSC in de ontwikkelingsfase van KARANTINAS heeft uitgeoefend, de beslissing om deze mobiele applicatie beschikbaar te stellen aan het publiek en dus om over te gaan tot de verwerking van persoonsgegevens, feitelijk is genomen met de (uitdrukkelijke of stilzwijgende) toestemming van die entiteit (ongeacht het feit dat deze toestemming niet officieel of formeel is verleend).
32.
Uit de definitie van het begrip „verwerkingsverantwoordelijke” in artikel 4, punt 7, AVG blijkt immers dat de door een verwerkingsverantwoordelijke uitgeoefende invloed betrekking moet hebben op de verwerking van persoonsgegevens zelf, niet alleen op een voorafgaande stap. Een natuurlijke of rechtspersoon wordt geen „verwerkingsverantwoordelijke” door het loutere feit dat hij het initiatief neemt tot de ontwikkeling van een mobiele applicatie of de criteria voor die applicatie (of een ander instrument voor de verzameling van persoonsgegevens) formuleert. Zijn handelingen moeten feitelijk verband houden met de verwerking van persoonsgegevens en hij moet derhalve uitdrukkelijk of stilzwijgend hebben ingestemd met het gebruik van het betrokken instrument voor deze verwerking.
33.
Het Hof heeft dit vereiste benadrukt in zijn arrest in de zaak Fashion ID (
13
), waarin het uitdrukkelijk heeft verklaard dat de aansprakelijkheid van een verwerkingsverantwoordelijke beperkt is tot de bewerking of het geheel van bewerkingen op het gebied van de verwerking van persoonsgegevens waarvan, respectievelijk waarvoor hij daadwerkelijk het doel en de middelen vaststelt. (
14
) Hieruit volgt dat de vaststelling van de doelen en middelen rechtstreeks verband moet houden met de relevante bewerking of het geheel van bewerkingen waarbij persoonsgegevens worden verwerkt.
34.
Mijns inziens volgt uit deze vaststellingen dat een entiteit, zoals het NVSC, die het initiatief neemt tot de ontwikkeling van een mobiele applicatie, alleen als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG kan worden beschouwd wanneer er voldoende elementen van feitelijke, en niet zozeer van formele aard zijn waaruit de nationale rechterlijke instanties kunnen concluderen dat een dergelijke entiteit daadwerkelijk invloed heeft uitgeoefend wat zowel het „doel van als de middelen voor” die verwerking betreft, en feitelijk toestemming heeft gegeven voor de terbeschikkingstelling van de mobiele applicatie aan het publiek en bijgevolg voor de verwerking van de persoonsgegevens.
2. Wanneer kunnen twee entiteiten als gezamenlijke verwerkingsverantwoordelijken worden beschouwd (vijfde vraag)?
35.
De vijfde vraag betreft de voorwaarden waaraan moet zijn voldaan om twee (of meer) entiteiten als gezamenlijke verwerkingsverantwoordelijken te kunnen beschouwen. Ik begrijp dat de verwijzende rechter nadere uitlegging van dit begrip wenst omdat hij vermoedt dat het NVSC en ITSS in de situatie die in het hoofdgeding aan de orde is als „gezamenlijke verwerkingsverantwoordelijken” kunnen worden beschouwd, en als zodanig hoofdelijk aansprakelijk kunnen worden gesteld voor de veroorzaakte schade (
15
) en/of gezamenlijk kunnen worden beboet voor inbreuken op de gegevensbeschermingsregels die zijn begaan toen KARANTINAS als download aan het publiek beschikbaar werd gesteld. Ik wijs er in dit verband op dat, zoals ik in punt 16 van deze conclusie heb aangegeven, deze entiteit en deze onderneming in feite beide door de toezichthouder verantwoordelijk zijn bevonden en beboet overeenkomstig artikel 83 AVG voor de inbreuken die zij in hun hoedanigheid van gezamenlijke verwerkingsverantwoordelijken hebben gepleegd.
36.
Volgens artikel 26, lid 1, AVG is er sprake van „gezamenlijke verwerkingsverantwoordelijken” wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen. Elke van de gezamenlijke verwerkingsverantwoordelijken moet derhalve afzonderlijk voldoen aan de in de definitie van „verwerkingsverantwoordelijke” van artikel 4, punt 7, van die verordening opgesomde criteria. (
16
) Bovendien moeten de gezamenlijke verwerkingsverantwoordelijken een bepaalde onderlinge betrekking hebben, aangezien zij hun invloed op de verwerking gezamenlijk moeten uitoefenen.
37.
Het Hof heeft aangegeven dat het bestaan van gezamenlijke verwerkingsverantwoordelijkheid zich niet noodzakelijkerwijs uit in een gelijkwaardige verantwoordelijkheid of deelname van de verschillende personen of entiteiten die betrokken zijn bij de verwerking. Gezamenlijke verwerkingsverantwoordelijken kunnen juist in verschillende stadia bij de verwerking betrokken zijn, zodat het niveau van verantwoordelijkheid van elk van hen moet worden beoordeeld in het licht van alle relevante omstandigheden van elk concreet geval. (
17
) Bovendien vooronderstelt de omstandigheid dat meerdere entiteiten verantwoordelijk zijn voor eenzelfde verwerking, niet dat ieder van hen toegang heeft tot de betrokken persoonsgegevens. (
18
) Van belang is echter dat zij gezamenlijk deelnemen aan de vaststelling van „het doel van en de middelen voor” de verwerking.
38.
In dit verband wijs ik erop dat, zoals in de richtsnoeren 07/2020 staat, deze gezamenlijke deelname in verschillende vormen kan voorkomen. Zij kan het resultaat zijn van een gezamenlijk besluit van twee of meer entiteiten of louter resulteren uit convergerende besluiten van die entiteiten. Wanneer dit laatste het geval is, is het enkel van belang dat de besluiten elkaar aanvullen en noodzakelijk zijn om de verwerking op zodanige wijze te laten plaatsvinden dat zij een tastbaar effect hebben op de vaststelling van het doel van en de middelen voor de verwerking – hetgeen in wezen betekent dat de verwerking niet mogelijk zou zijn zonder de deelname van beide partijen. (
19
)
39.
In deze context vraagt de verwijzende rechter zich af of het feit dat twee verwerkingsverantwoordelijken geen formele regeling hebben getroffen over het doel van en de middelen voor de verwerking en/of hun handelingen niet anderszins op elkaar lijken te hebben afgestemd, eraan in de weg staat dat zij als „gezamenlijke verwerkingsverantwoordelijken” worden beschouwd.
40.
Ik begrijp dat de twijfels van de verwijzende rechter op dit punt voortvloeien uit het feit dat de gezamenlijke verwerkingsverantwoordelijken krachtens artikel 26, lid 1, AVG hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening op transparante wijze vast dienen te stellen door middel van een onderlinge regeling. Bovendien is het volgens overweging 79 van deze verordening noodzakelijk dat „de […] verantwoordelijkheden op duidelijke wijze worden toegewezen”, ook wanneer de verwerkingsverantwoordelijke de doeleinden en de middelen voor de verwerking samen met andere verwerkingsverantwoordelijken vaststelt. Ik ben niettemin van mening dat deze verplichtingen en vereisten uitsluitend gelden voor gezamenlijke verwerkingsverantwoordelijken wanneer zij als zodanig kunnen worden beschouwd. Het zijn geen criteria waaraan moet zijn voldaan om als zodanig te kunnen worden aangemerkt.
41.
Zoals ik in punt 36 van deze conclusie heb aangegeven, is er sprake van gezamenlijke verwerkingsverantwoordelijkheid wanneer slechts twee objectieve voorwaarden zijn vervuld. Ten eerste moet elke gezamenlijke verwerkingsverantwoordelijke voldoen aan de criteria die in de definitie van „verwerkingsverantwoordelijke” in artikel 4, punt 7, AVG zijn opgesomd. Het procesdossier bevat onvoldoende informatie om te kunnen bepalen of ITSS in de in het hoofdgeding aan de orde zijnde situatie moet worden aangemerkt als „verwerkingsverantwoordelijke” in de zin van deze bepaling. In het licht van de vaststellingen die ik in het vorige onderdeel heb gedaan en onder voorbehoud van de door de verwijzende rechter te verrichten verificaties, lijkt het mij echter dat ten minste het NVSC – en mogelijk zowel deze entiteit als ITSS – voldoet aan de voorwaarden om als „verwerkingsverantwoordelijke” in de zin van diezelfde bepaling te worden beschouwd. Ten tweede moet de invloed van de verwerkingsverantwoordelijken op de verwerking gezamenlijk worden uitgeoefend (hetgeen betekent dat deze invloed moet worden uitgeoefend in overeenstemming met de juridische criteria en de rechtspraak die ik in de punten 37 en 38 van deze conclusie in herinnering heb gebracht). Ik heb dienaangaande uiteengezet dat gezamenlijke deelname aan de verwerking in verschillende vormen kan voorkomen en niet eens hoeft voort te vloeien uit een gezamenlijk besluit van de betrokken partijen. Hieruit volgt mijns inziens dat de materiële en functionele benadering die vereist is om vast te stellen of een persoon of entiteit moet worden beschouwd als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG, ook voor gezamenlijke verwerkingsverantwoordelijkheid geldt. (
20
)
42.
Gelet op deze elementen ben ik ten eerste van mening dat door het enkele feit dat twee of meer verwerkingsverantwoordelijken, zoals het NVSC en ITSS, geen overeenkomst hebben gesloten of geen regeling hebben getroffen, of zelfs geen gezamenlijk besluit hebben genomen, niet automatisch kan worden uitgesloten dat zij „gezamenlijke verwerkingsverantwoordelijken” zijn in de zin van artikel 4, punt 7, AVG, gelezen in samenhang met artikel 26, lid 1, van die verordening. Dienaangaande voeg ik hieraan toe dat het EDPB heeft gesteld dat contractuele regelingen weliswaar nuttig kunnen zijn voor de beoordeling van gezamenlijke verwerkingsverantwoordelijkheid, maar dat zij altijd dienen te worden getoetst aan de feitelijke omstandigheden van de relatie tussen de partijen. (
21
)
43.
In de tweede plaats lijkt het mij ook dat het enkele gegeven dat het NVSC en ITSS – afgezien van het feit dat zij niet zijn gekomen tot een overeenkomst, een regeling of een gezamenlijk besluit – hun handelingen niet op elkaar lijken te hebben afgestemd en ook niet op een andere wijze lijken te hebben samengewerkt, niet betekent dat zij niet als „gezamenlijke verwerkingsverantwoordelijken” kunnen worden beschouwd. Zelfs al zou er wel sprake zijn van een dergelijke afstemming of samenwerking, dan is dit niet van belang voor de vraag of de betrekking tussen deze twee entiteiten neerkomt op gezamenlijke verwerkingsverantwoordelijkheid of niet. Men kan zich immers gemakkelijk voorstellen dat er sprake kan zijn van samenwerking of afstemming tussen twee of meer entiteiten zonder dat zij gezamenlijke verwerkingsverantwoordelijken zijn. Twee afzonderlijke verwerkingsverantwoordelijken kunnen bijvoorbeeld hun handelingen afstemmen of samenwerken met de bedoeling om persoonsgegevens aan elkaar door te geven. Dit zou hen echter niet tot „gezamenlijke verwerkingsverantwoordelijken” maken in de zin van artikel 4, punt 7, en artikel 26, lid 1, AVG. (
22
) Zoals ik hierboven in punt 38 heb uitgelegd, gaat het erom dat de verwerking niet mogelijk zou zijn zonder de deelname van beide partijen, omdat zij beide een concrete invloed hebben op de vaststelling van het doel van en de middelen voor die verwerking.
3. Conclusie over de uitlegging van het begrip „verwerkingsverantwoordelijke” en situaties van gezamenlijke verwerkingsverantwoordelijkheid
44.
Gelet op het voorgaande komt het mij enerzijds voor dat een entiteit als het NVSC, onder voorbehoud van de door de verwijzende rechter te verrichten verificaties, voldoet aan de voorwaarden van artikel 4, punt 7, AVG om te worden aangemerkt als „verwerkingsverantwoordelijke”. Anderzijds hangt het antwoord op de vraag of het NVSC en ITSS – in aansluiting op de criteria die ik in het vorige onderdeel heb uiteengezet – als „gezamenlijke verwerkingsverantwoordelijken” kunnen worden beschouwd, dan wel kunnen worden gekwalificeerd als respectievelijk „verwerkingsverantwoordelijke” en „verwerker”, af van de aard van hun betrekking, die door de verwijzende rechter moet worden beoordeeld.
45.
Ik voeg hieraan toe dat de aard van de betrekking tussen het NVSC en ITSS (namelijk of zij „gezamenlijke verwerkingsverantwoordelijken” of respectievelijk „verwerkingsverantwoordelijke” en „verwerker” zijn) relevant is voor de zesde vraag. Bij de bespreking van de door de zesde vraag opgeworpen kwesties zal ik derhalve terugkomen op mijn bevindingen met betrekking tot de vijfde vraag.
B.
Begrip „verwerking” (vierde vraag)
46.
Met zijn vierde vraag wenst de verwijzende rechter in wezen te vernemen of de definitie van „verwerking” in artikel 4, punt 2, AVG betrekking heeft op een situatie waarin persoonsgegevens worden gebruikt in de testfase van een mobiele applicatie. (
23
) Uit het verzoek om een prejudiciële beslissing begrijp ik dat KARANTINAS een testfase heeft doorlopen voordat deze applicatie als download aan het publiek beschikbaar is gesteld. Ik leid hieruit af dat de vierde vraag betrekking heeft op een situatie die anders is dan de situaties die de kern vormen van de andere prejudiciële vragen die aan het Hof zijn voorgelegd, die alle betrekking hebben op de verwerking van persoonsgegevens na afloop van de testfase, toen KARANTINAS aan het publiek ter beschikking was gesteld. Meer bepaald wenst de verwijzende rechter te vernemen of het gebruik van persoonsgegevens tijdens deze testfase kan worden aangemerkt als „verwerking” in de zin van artikel 4, punt 2, AVG en als zodanig tot aansprakelijkheid van de betrokken verwerkingsverantwoordelijken en/of verwerkers zou kunnen leiden.
47.
In artikel 4, punt 2, AVG wordt „verwerking” gedefinieerd als „een (
24
) bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés […]”.
48.
Uit deze bewoordingen (met name het gebruik van het onbepaalde lidwoord „een” en van algemene termen als „bewerking” en „geheel van bewerkingen”) maak ik op dat deze bepaling ruim moet worden opgevat, zodat zij betrekking heeft op zo veel mogelijk situaties waarin persoonsgegevens worden gebruikt. Deze uitlegging wordt bevestigd door de niet-limitatieve opsomming van dergelijke situaties in deze bepaling, aangezien daarin een verscheidenheid aan bewerkingen is opgenomen. (
25
)
49.
Bovendien blijkt uit het voorgaande dat de definitie van „verwerkingsverantwoordelijke” in artikel 4, punt 7, AVG nauw verband houdt met de doeleinden van de verwerking van persoonsgegevens (de redenen „waarom” de persoonsgegevens worden verzameld), maar dat dit niet opgaat voor de definitie in artikel 4, punt 2. Als zodanig zijn de redenen waarom een bewerking of een geheel van bewerkingen wordt verricht in beginsel niet relevant voor de vraag of zij als „verwerking” in de zin van die bepaling moeten worden aangemerkt. Hieruit volgt mijns inziens dat het voor de vraag of de betrokken bewerking als „verwerking” moet worden aangemerkt niet van belang is of persoonsgegevens worden verzameld om de IT-systemen voor een mobiele applicatie te testen dan wel voor een ander doel.
50.
In dit verband merk ik nog op dat het „gebruiken” van persoonsgegevens (zonder verdere toevoegingen en dus ongeacht het doel van het gebruik) wordt genoemd als een van de bewerkingen of gehelen van bewerkingen die „verwerking” vormen. (
26
) Bovendien voorziet artikel 4, punt 2, AVG niet in een uitdrukkelijke uitzondering, afwijking of uitsluiting voor bewerkingen waarbij persoonsgegevens worden gebruikt om IT-systemen te testen. Hieruit volgt dat niets eraan in de weg staat dat het gebruik van persoonsgegevens voor dergelijke tests als „verwerking” in de zin van deze bepaling wordt beschouwd, eerder integendeel.
51.
In het licht van deze elementen ben ik van mening dat de definitie van „verwerking” van artikel 4, punt 2, AVG ziet op situaties waarin persoonsgegevens worden gebruikt in de testfase van een mobiele applicatie.
52.
Het enkele feit dat de persoonsgegevens die zijn verstrekt om de IT-systemen voor een mobiele applicatie te testen, eventueel zijn gepseudonimiseerd, doet aan mijn conclusie dienaangaande niets af. (
27
) De enige omstandigheid waarin de AVG niet van toepassing zou zijn is in het geval dat informatie die in de mobiele applicatie wordt ingegeven uitsluitend bestaat uit anonieme informatie die „geen betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon” of uit persoonsgegevens die „zodanig anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is”. Uit de informatie in het procesdossier maak ik evenwel op dat de gegevens die in het hoofdgeding voor de testfase zijn gebruikt, niet uit dergelijke geanonimiseerde gegevens lijken te hebben bestaan. (
28
)
53.
Gelet op een en ander ben ik van mening dat de definitie van „verwerking” van artikel 4, punt 2, AVG ziet op een situatie waarin persoonsgegevens worden gebruikt tijdens de testfase van een mobiele applicatie, tenzij deze gegevens anoniem zijn gemaakt op een manier dat de betrokkene niet of niet meer identificeerbaar is. Voor de vraag of de betrokken bewerking als „verwerking” moet worden aangemerkt is het op zichzelf beschouwd niet van belang of persoonsgegevens worden verzameld om de IT-systemen voor een mobiele applicatie te testen of voor een ander doel. (
29
)
54.
Na deze verduidelijkingen zal ik mij nu buigen over de kernvraag van de onderhavige zaak, die ziet op de voorwaarden waaronder op grond van artikel 83 AVG een administratieve geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke of een verwerker.
C.
Administratieve geldboeten uit hoofde van artikel 83 AVG (vraag 6)
55.
Vóór de vaststelling van de AVG stonden de sancties voor inbreuken op de gegevensbeschermingsregels grotendeels ter beoordeling van de lidstaten, overeenkomstig hun autonomie ten aanzien van de procedure en de openstaande rechtsmiddelen. (
30
) Administratieve geldboeten, die bij artikel 83 AVG zijn ingevoerd, vormen dus een relatief nieuwe „ontwikkeling” van de Uniewetgeving inzake gegevensbescherming. Zij zijn door de Groep gegevensbescherming artikel 29 omschreven als een „centraal element in de nieuwe handhavingsregeling” (
31
). Het Hof heeft nog geen uitlegging gegeven aan deze bepaling, maar zij is reeds door toezichthoudende autoriteiten toegepast, soms om verwerkingsverantwoordelijken of verwerkers zware geldboeten op te leggen. (
32
)
56.
Artikel 83 AVG voorziet in een tweetraps-sanctiesysteem, dat gebaseerd is op de specifieke aard van de bepaling waarop inbreuk is gemaakt. De eerste trap, die is omschreven in artikel 83, lid 4, van die verordening, is van toepassing op situaties waarin een verwerkingsverantwoordelijke of een verwerker inbreuk maakt op de algemene verplichtingen die op hem rusten, alsook op bepaalde specifieke verplichtingen, terwijl de tweede trap blijkens artikel 83, lid 5, AVG uitsluitend betrekking heeft op ernstiger inbreuken, zoals met name inbreuken op de basisbeginselen inzake verwerking, de rechten van de betrokkenen en de regels betreffende de doorgiften van persoonsgegevens aan een ontvanger in een derde land of een internationale organisatie.
57.
Voor beide trappen moeten de bevoegde nationale autoriteiten, na te hebben vastgesteld dat inbreuk is gemaakt op een specifieke bepaling van de AVG, twee beoordelingen verrichten. Eerst moeten zij bepalen of een geldboete moet worden opgelegd en vervolgens moeten zij in voorkomend geval de hoogte van de boete vaststellen. Deze beoordelingen moeten voor elk concreet geval en in het licht van verschillende in artikel 83, lid 2, AVG opgesomde factoren worden verricht. Een van deze factoren is de „opzettelijke of nalatige aard van de inbreuk” [artikel 83, lid 2, onder b)].
58.
Met zijn zesde vraag wenst de verwijzende rechter in wezen te vernemen of een administratieve geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke wanneer deze de inbreuk op de gegevensbeschermingsregels niet opzettelijk of uit nalatigheid heeft begaan en de onrechtmatige verwerking van persoonsgegevens niet door de verwerkingsverantwoordelijke zelf, maar door een verwerker is verricht. Terugkomend op mijn bovengenoemde bevindingen met betrekking tot de vijfde vraag, lijkt het mij dat de zesde vraag wordt gesteld voor het geval dat het NVSC en ITSS in het hoofdgeding niet kunnen worden beschouwd als „gezamenlijke verwerkingsverantwoordelijken” in de zin van artikel 4, punt 7, AVG, gelezen in samenhang met artikel 26, lid 1, van die verordening, en respectievelijk moeten worden beschouwd als „verwerkingsverantwoordelijke” en „verwerker”. In dit specifieke kader wenst de verwijzende rechter verduidelijking over de omstandigheden waaronder het NVSC op grond van artikel 83 AVG kan worden beboet.
59.
Ik merk evenwel op dat in de zesde vraag alleen artikel 83, lid 1, AVG als relevante bepaling wordt genoemd. Mijns inziens impliceren de met deze vraag opgeworpen kwesties echter dat artikel 83 van deze verordening in zijn geheel moet worden beschouwd en dat, zoals ik in punt 57 van deze conclusie heb uiteengezet, met name artikel 83, lid 2, onder b), ervan in aanmerking moet worden genomen, aangezien die bepaling het heeft over de „opzettelijke of nalatige aard van de inbreuk”. Ik zal de zesde vraag dus behandelen alsof zij betrekking heeft op de uitlegging van artikel 83 AVG in zijn geheel, en niet alleen die van artikel 83, lid 1, van die verordening.
60.
Volgens mij bestaat deze vraag uit twee onderdelen. In de eerste plaats moet het Hof vaststellen of het op grond van artikel 83 AVG in het algemeen mogelijk is om administratieve geldboeten op te leggen aan verwerkingsverantwoordelijken en verwerkers zonder dat er sprake is van enige subjectieve opzet (element van geestesgesteldheid – schuld). De verwijzende rechter wenst in wezen te vernemen of het NVSC kan worden beboet op de enkele grond dat het inbreuk heeft gemaakt op de hem als verwerkingsverantwoordelijke opgelegde verplichtingen (objectieve aansprakelijkheid), dan wel of een schuldelement bij het begaan van de betrokken inbreuk(en) is vereist. In de tweede plaats moet worden verduidelijkt of het feit dat de onrechtmatige verwerking van persoonsgegevens niet door de verwerkingsverantwoordelijke zelf, maar door een verwerker is verricht, op enigerlei wijze afbreuk doet aan de mogelijkheid voor de toezichthoudende autoriteiten om de verwerkingsverantwoordelijke een geldboete op te leggen.
61.
Ik zal achtereenvolgens ingaan op elk van deze twee aspecten.
1. Eerste aspect: de noodzaak om schuld vast te stellen
62.
Artikel 83 AVG vereist dat elke administratieve geldboete die wegens een inbreuk op de gegevensbeschermingsregels wordt opgelegd, „doeltreffend, evenredig en afschrikkend” is. Dit blijkt uit het eerste lid van deze bepaling. In dit lid wordt echter niet gepreciseerd of een dergelijke geldboete slechts kan worden opgelegd wanneer schuld is aangetoond, dat wil zeggen of „schuld” een voorafgaande voorwaarde is voor het opleggen van enige administratieve geldboete.
63.
In lid 2, onder b), van deze bepaling wordt daarentegen de „opzettelijke of nalatige aard van de inbreuk” genoemd als een van de elementen (
33
) waarmee de toezichthoudende autoriteiten voor elk concreet geval „naar behoren rekening” dienen te houden. Uit artikel 83, lid 2, onder k), AVG blijkt dat deze elementen moeten worden opgevat als „verzwarende of verzachtende factor[en]” en dat de opsomming niet limitatief is.
64.
In deze context zijn er volgens mij twee opvattingen van artikel 83 AVG mogelijk.
65.
Enerzijds zou kunnen worden gesteld dat, hoewel bij het besluit om een geldboete op te leggen en de bepaling van de hoogte daarvan rekening moet worden gehouden met de mate van schuld (zodat bijvoorbeeld in beginsel een hogere boete moet worden opgelegd indien de inbreuk het gevolg is van opzettelijk gedrag en, omgekeerd, nalatig gedrag tot een lagere boete moet leiden), niets eraan in de weg staat dat een geldboete ook kan worden opgelegd wanneer er geen sprake is van schuld, zolang de verwerker van de gegevens of de verwerkingsverantwoordelijke kan worden geacht verantwoordelijk te zijn voor de inbreuk. Deze uitlegging zou worden ondersteund door een lezing van artikel 83, lid 2, onder b) en k), in die zin dat deze bepalingen, door het noemen van verschillende soorten schuld (opzet of nalatigheid) als „verzwarende of verzachtende factor[en]”, zouden kunnen impliceren dat schuld, in het algemeen, geen voorwaarde is om een geldboete te kunnen opleggen.
66.
Anderzijds kan ook worden betoogd, zoals de Commissie in casu doet, dat, om een geldboete te kunnen opleggen, op zijn minst moet zijn vastgesteld dat de persoon of entiteit die de inbreuk heeft begaan, nalatig is geweest. Voor deze benadering pleit een andere, voorzichtigere lezing van artikel 83, lid 2, onder b) en k), AVG, namelijk dat deze bepalingen de toezichthoudende autoriteiten verplichten onderscheid te maken tussen een verzachtende factor (nalatigheid) en een verzwarende factor (opzet), maar niet inhouden dat zonder enige schuld een geldboete kan worden opgelegd.
67.
De Commissie had uitdrukkelijk voor deze uitlegging gekozen in haar aanvankelijke voorstel dat tot de vaststelling van de AVG heeft geleid (
34
), waarin zij suggereerde om een drietraps-beboetingssysteem op te zetten. Volgens dit voorstel van de Commissie konden in elke trap geldboeten slechts worden opgelegd aan „eenieder die opzettelijk of uit nalatigheid” (
35
) een of meer van de vermeende inbreuken had gepleegd. De Commissie zag het bestaan van schuld dus duidelijk als een voorwaarde om een dergelijke geldboete te kunnen opleggen. (
36
)
68.
Hoewel ik denk dat beide benaderingen op basis van een tekstuele uitlegging van artikel 83, lid 2, AVG kunnen worden verdedigd, aangezien in beide de „opzettelijke of nalatige aard van de inbreuk” als een „verzwarende” dan wel „verzachtende” factor wordt opgevat, ben ik van mening dat alleen de tweede benadering strookt met de bedoeling van de Uniewetgever. Ik kom om meerdere redenen tot deze slotsom.
a) Waarom er sprake moet zijn van schuld
69.
In de eerste plaats valt mij op dat een aantal van de in artikel 83, lid 2, AVG opgesomde factoren geformuleerd is in specifieke bewoordingen waaruit kan worden afgeleid dat deze factoren mogelijk niet in alle gevallen van toepassing zijn, maar slechts in sommige. Zo begint de Engelse taalversie van artikel 83, lid 2, onder c), e) en k), telkens met het woord any, waarmee wordt gesuggereerd dat de toezichthoudende autoriteiten weliswaar altijd in aanmerking moeten nemen of schadebeperkende maatregelen zijn getroffen en of er sprake is van eerdere inbreuken of van andere relevante verzwarende of verzachtende factoren, maar dat zich in feite situaties kunnen voordoen waarin dezelfde elementen eenvoudigweg ontbreken, en de bevoegde gegevensbeschermingsautoriteit desondanks toch kan besluiten een geldboete op te leggen (of, omgekeerd, geen geldboete op te leggen). In dezelfde geest merk ik op dat ook artikel 83, lid 2, onder i), AVG niet systematisch is geformuleerd, aangezien het vereist dat wordt onderzocht of de verwerkingsverantwoordelijke dan wel de verwerker de in artikel 58, lid 2, genoemde maatregelen heeft nageleefd, maar uitsluitend„voor zover [dergelijke maatregelen] eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie […] zijn genomen”.
70.
In artikel 83, lid 2, onder b), wordt daarentegen gesproken van „de opzettelijke of nalatige aard van de inbreuk”. (
37
) Dit lijkt mij dan ook een van de factoren die aanwezig moet zijn en die als het ware in alle gevallen „aangevinkt” moet zijn om een geldboete te kunnen opleggen, net als „de aard, de ernst en de duur van de inbreuk” [artikel 83, lid 2, onder a)], „de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft” [artikel 83, lid 2, onder g)] en „de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk” [artikel 83, lid 2, onder h)]. Ook deze andere factoren moeten volgens mij altijd „aanwezig” zijn: zo kunnen „de aard, de ernst en de duur van de inbreuk” van geval tot geval sterk verschillen (en dus ofwel een reden „voor”, ofwel een reden „tegen” het opleggen van een geldboete vormen). Toch zal er in alle gevallen rekening moeten worden gehouden met de aard, een zekere mate van ernst en een bepaalde duur van de inbreuk. Naar mijn mening vormt dit een eerste aanwijzing dat het bij de introductie van administratieve geldboeten bij artikel 83 AVG de bedoeling was dat deze alleen kunnen worden opgelegd in situaties waarin de beweerde inbreuk opzettelijk of uit nalatigheid is gepleegd. (
38
)
71.
In de tweede plaats valt mij op dat artikel 83, lid 2, AVG weliswaar niet uitdrukkelijk bepaalt dat de inbreuk „opzettelijk of uit nalatigheid” moet zijn gepleegd, maar dit wel het geval is in lid 3 van deze bepaling, dat een algemene regel bevat die de cumulatie van administratieve geldboeten uitsluit. In dit lid wordt uitsluitend de situatie genoemd waarin de betrokken inbreuk(en) „opzettelijk of uit nalatigheid” is (zijn) gepleegd.
72.
Mijns inziens volgt hieruit logischerwijze dat artikel 83, lid 2, AVG aldus moet worden uitgelegd dat uitsluitend wanneer de beweerde inbreuk opzettelijk of uit nalatigheid is gepleegd, een geldboete kan worden opgelegd. Indien de leden 2 en 3 van artikel 83 AVG elk een andere werkingssfeer hadden, zou het immers mogelijk zijn cumulatieve geldboeten op te leggen voor minder ernstige inbreuken (dat wil zeggen zonder enige schuld gepleegde inbreuken), aangezien deze inbreuken nog steeds zouden kunnen worden bestraft met een geldboete overeenkomstig de eerste van deze bepalingen (artikel 83, lid 2), maar niet onder de tweede zouden vallen (artikel 83, lid 3). Voor uit nalatigheid of opzettelijk begane inbreuken zou dit echter niet mogelijk zijn, aangezien al deze inbreuken onder de in artikel 83, lid 3, van die verordening vervatte anticumulatieregel zouden vallen. Een dergelijke uitkomst zou duidelijk indruisen tegen het basisbeginsel van de bij de AVG ingevoerde sanctieregeling, namelijk dat ernstige inbreuken in beginsel strenger moeten worden bestraft dan minder ernstige, en niet andersom.
73.
In de derde plaats wijs ik erop dat de geldboeten die overeenkomstig artikel 83 AVG worden opgelegd, een zware straf kunnen zijn. In de eerste trap, die in artikel 83, lid 4, van deze verordening is beschreven, kunnen namelijk geldboeten worden opgelegd tot 10000000 EUR of, voor een onderneming, tot 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt. De tweede trap voorziet in geldboeten tot 20000000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar (ook hier: indien dit een hoger bedrag vertegenwoordigt).
74.
Dientengevolge lijkt het mij dat geldboeten die overeenkomstig artikel 83 AVG worden opgelegd, een repressief doel nastreven, althans in bepaalde situaties (
39
), en zo zwaar zijn dat zij als strafrechtelijk van aard kunnen worden beschouwd (
40
), zodat zij binnen de werkingssfeer van artikel 49 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”) vallen. (
41
)
75.
In het licht van deze elementen en met name van de strafrechtelijke aard van de overeenkomstig artikel 83 AVG opgelegde geldboeten is het verleidelijk te beweren dat het onverenigbaar is met het vereiste van lid 1 van die bepaling dat geldboeten niet alleen „doeltreffend” en „afschrikkend”, maar ook „evenredig” moeten zijn, om geldboeten op te leggen zonder dat er sprake is van schuld. Met andere woorden, het zou onevenredig zijn om geldboeten op te leggen in gevallen waarin zelfs geen nalatigheid is aangetoond. Ik denk dat dit argument evenwel moeilijk vol te houden is, aangezien het Hof reeds heeft geoordeeld dat een sanctiestelsel op basis van objectieve aansprakelijkheid, zelfs als het een strafrechtelijk karakter heeft, op zichzelf beschouwd niet onevenredig is aan de nagestreefde doelstellingen, wanneer dit stelsel voor de betrokkenen een stimulans kan vormen om een verordening na te leven en de nagestreefde doelstellingen een algemeen belang vertegenwoordigen dat de invoering van een dergelijk stelsel kan rechtvaardigen. (
42
) Bovendien heeft het Europese Hof voor de Rechten van de Mens (EHRM) met betrekking tot artikel 7 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) (dat correspondeert met artikel 49 van het Handvest) (
43
) geoordeeld dat voor een bestraffing overeenkomstig deze bepaling in het algemeen weliswaar is vereist dat er een logisch verband bestaat op grond waarvan een element van aansprakelijkheid kan worden gevonden in het gedrag van degene die het strafbare feit materieel heeft begaan, maar dat ondanks dit vereiste bepaalde vormen van objectieve aansprakelijkheid kunnen bestaan. (
44
)
76.
Dat gezegd hebbende, maak ik uit deze rechtspraak op dat in de regel opzet vereist is om een strafrechtelijke sanctie te kunnen opleggen, en dat objectieve aansprakelijkheid, voor zover deze gelet op de met de verordening nagestreefde doelstellingen moet worden gerechtvaardigd, aldus een soort uitzondering op deze algemene regel vormt.
77.
Als ik de AVG in haar geheel beschouw, komt het mij voor dat de Uniewetgever in administratieve geldboeten heeft voorzien als slechts een van de mogelijkheden van dit rechtsinstrument om daadwerkelijke naleving te waarborgen. Geldboeten moeten immers worden opgelegd „naast of in plaats van” de andere maatregelen die zijn opgesomd in artikel 58, lid 2, van deze verordening, waarbij aan de toezichthoudende autoriteiten een reeks bevoegdheden tot het nemen van corrigerende maatregelen worden toegekend (zoals de bevoegdheid om te waarschuwen, te berispen en te gelasten). (
45
) Bovendien kunnen de toezichthoudende autoriteiten in situaties waarin geen administratieve geldboete krachtens artikel 83 AVG wordt opgelegd, op grond van artikel 84 AVG andere sancties opleggen. (
46
)
78.
Volgens mij blijkt uit deze bepalingen dat de Uniewetgever bij de vaststelling van deze verordening niet heeft gewild dat elke inbreuk op de gegevensbeschermingsregels met een administratieve geldboete wordt bestraft. Hij wilde veeleer in een flexibel en gedifferentieerd sanctiestelsel voorzien. Overweging 148 AVG bevestigt dit, want daarin staat dat de toezichthoudende autoriteiten kunnen afzien van het opleggen van een administratieve geldboete en in plaats daarvan kunnen kiezen voor een berisping indien het gaat om „een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon”. In dit verband ben ik van mening dat het beperken van de toepassing van artikel 83 AVG tot situaties waarin op zijn minst nalatigheid is vastgesteld strookt met deze doelstellingen en met de overkoepelende logica van deze verschillende bepalingen, op grond waarvan het opleggen van geldboeten moet worden voorbehouden aan bepaalde soorten inbreuken.
79.
Voorts lijkt mij dat de Uniewetgever, telkens wanneer hij zijn voornemen heeft uitgedrukt om in de AVG objectieve aansprakelijkheid te introduceren, daarvoor specifieke bewoordingen heeft gebruikt die ontbreken in artikel 83 AVG. Zo heeft de Uniewetgever met betrekking tot civielrechtelijke aansprakelijkheid (dat wil zeggen de aansprakelijkheid van verwerkingsverantwoordelijken en verwerkers jegens betrokkenen) – het voorwerp van artikel 82 AVG – bepaald dat verwerkingsverantwoordelijken en verwerkers de strikte verplichting hebben om schade te vergoeden die zij aan betrokkenen hebben berokkend, tenzij zij kunnen aantonen op geen enkele wijze verantwoordelijk te zijn voor het schadeveroorzakende feit. (
47
)„Schuld”, als bestanddeel, speelt geen rol in de context van de toepassing van die bepaling. Artikel 83 van deze verordening daarentegen bevat geen soortgelijke formulering als artikel 84 AVG. Dit bevestigt mijns inziens dat de Uniewetgever met deze bepaling niet heeft beoogd een beboetingssysteem op basis van objectieve aansprakelijkheid in te voeren.
80.
Ten vierde – en misschien wel het belangrijkst – ben ik van mening dat de drempel voor een inbreuk uit nalatigheid op de AVG, in de zin van artikel 83, lid 2, onder b), van deze verordening, in de praktijk hoe dan ook zo laag is dat situaties waarin het onmogelijk is een geldboete op te leggen om de enkele reden dat dat bestanddeel niet is vervuld, moeilijk denkbaar zijn. Volgens mij vormt het enkele feit dat opzet of nalatigheid moet worden aangetoond voordat overeenkomstig artikel 83 van die verordening een geldboete kan worden opgelegd, geen gevaar voor de doelstelling van de Uniewetgever om een doeltreffende handhaving van de daarin opgenomen gegevensbeschermingsregels te waarborgen, eerder integendeel.
81.
Volgens sommigen staat in dat verband alleen al het stilzitten in een situatie waarin de verwerkingsverantwoordelijke of de verwerker louter twijfelt aan de rechtmatigheid van de verrichte verwerking reeds gelijk aan een bewuste aanvaarding van een mogelijke inbreuk op de AVG en bijgevolg aan grove nalatigheid. (
48
) Voorts heeft de Groep gegevensbescherming artikel 29 aangegeven dat een inbreuk uit nalatigheid in veel opzichten neerkomt op een „onopzettelijke” inbreuk, aangezien een dergelijke inbreuk volgens haar kan bestaan wanneer er geen sprake is van opzet om de inbreuk te veroorzaken en de verwerkingsverantwoordelijke of de verwerker slechts zijn zorgplicht heeft geschonden. (
49
) Zij heeft in het bijzonder vermeld dat zelfs eenvoudige „menselijke fouten” (
50
) op nalatigheid kunnen wijzen.
82.
Ik kom tot twee conclusies. Ten eerste is de grens tussen een zuiver onopzettelijke inbreuk zonder schuld en een inbreuk uit nalatigheid in feite zeer dun. Ik denk dat het voor de toezichthoudende autoriteiten zelden moeilijk zal zijn om voldoende elementen te vinden voor een vaststelling dat de vermeende inbreuk op zijn minst uit nalatigheid is gepleegd. Ik verwijs in dit verband naar de literatuur, waarin is geschreven dat het „gelet op de thans talrijke bewustmakingsacties […] ter waarborging van de naleving van de AVG […] nauwelijks voorstelbaar [is] […] dat inbreuk op de AVG wordt gemaakt zonder dat er op zijn minst sprake is van nalatigheid” (
51
). Ik ben het daar volledig mee eens en herinner eraan dat de AVG specifiek tot doel heeft te waarborgen dat verwerkingsverantwoordelijken en verwerkers bekend zijn met de gegevensbeschermingsregels, hetgeen het mijns inziens nog moeilijker maakt om aan te nemen dat een inbreuk zonder enige schuld (zelfs zonder nalatigheid) kan plaatsvinden. (
52
)
83.
Ten tweede lijkt deze uitkomst volledig in overeenstemming met de primaire doelstelling van de AVG, namelijk om in de Unie een consistent en hoog beschermingsniveau te bieden aan natuurlijke personen. (
53
) Geldboeten hebben immers een afschrikkende werking. (
54
) Doordat zij de verwerkingsverantwoordelijken en verwerkers ertoe aanzetten de AVG na te leven, dragen zij in het algemeen bij tot een sterkere bescherming van betrokkenen en vervullen zij aldus een belangrijke rol bij het waarborgen van de eerbiediging van hun rechten. (
55
) Bijgevolg kan mijns inziens niet aan het element „schuld” worden voorbijgegaan, maar is de voor het toepassen van artikel 83 van die verordening vereiste mate van schuld laag genoeg om de betrokkenen een passend beschermingsniveau te bieden.
84.
Daarnaast wil ik benadrukken dat deze benadering die ik aan het Hof in overweging geef tevens bevestigt dat het bij deze bepaling ingevoerde beboetingssysteem overeenstemt met het systeem van artikel 23, lid 1, van verordening (EG) nr. 1/2003 (
56
) voor inbreuken op het mededingingsrecht, dat ook alleen van toepassing is indien opzet of nalatigheid is aangetoond. Het feit dat de bewoordingen van artikel 83 AVG zijn ingegeven door dit andere beboetingssysteem wordt bevestigd door overweging 150 ervan, waarin staat dat „[w]anneer de administratieve geldboeten worden opgelegd aan een onderneming, […] een onderneming in die context [moet] worden gezien als een onderneming overeenkomstig de artikelen 101 en 102 van het VWEU”, alsook door andere overeenkomsten tussen deze twee beboetingssystemen, zoals het feit dat de hoogte van de geldboeten voor ondernemingen in beide systemen kan worden gebaseerd op hun omzet. Opgemerkt zij ook dat verschillende van de in artikel 83, lid 2, AVG opgesomde factoren een afspiegeling vormen van de factoren die relevant zijn voor de vaststelling van het bedrag van een geldboete wegens schending van het mededingingsrecht. (
57
)
85.
Nu ik de redenen heb uiteengezet waarom ik van mening ben dat schuld moet worden vastgesteld voordat op grond van artikel 83, lid 2, AVG een geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke of een verwerker, rest mij nog enkele woorden te wijden aan de redenering van de Raad en de Litouwse regering. Volgens deze partijen is het aan de lidstaten om te bepalen of er sprake moet zijn van schuld voordat een administratieve geldboete kan worden opgelegd.
86.
Ik deel dit standpunt eenvoudigweg niet.
b) Waarom de lidstaten geen enkele beoordelingsmarge hebben met betrekking tot de vraag of er sprake moet zijn van schuld
87.
Mij is duidelijk dat een van de hoofddoelstellingen van de AVG, en in het bijzonder van artikel 83 daarvan, erin bestaat een verdere harmonisatie binnen de Unie te bereiken, met name wat het opleggen van geldboeten betreft. (
58
) Ik ben dan ook, anders dan de Raad en de Litouwse regering, van mening dat de Uniewetgever de lidstaten geen beoordelingsruimte heeft willen laten met betrekking tot de vraag of er sprake moet zijn van schuld.
88.
Wel is het zo dat bij nationale wetgeving kan worden voorzien in aanvullende eisen aan de procedure die de toezichthoudende autoriteiten bij het opleggen van een geldboete moeten volgen (bijvoorbeeld met betrekking tot de kennisgeving van de boete en termijnen voor opmerkingen, beroep, tenuitvoerlegging en betaling). (
59
) Dit blijkt uit artikel 83, lid 8, AVG, waarin is bepaald dat de uitoefening door de toezichthoudende autoriteiten van hun beboetingsbevoegdheden onderworpen moet zijn aan „passende procedurele waarborgen” in de nationale wetgeving, waarbij de eerbiediging van het Unierecht (en met name van het recht op een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling) moet zijn gewaarborgd.
89.
Deze beoordelingsruimte kan zich echter niet uitstrekken tot de materiële vereisten voor de oplegging van een geldboete, zoals de mate van schuld. Deze conclusie vloeit mijns inziens rechtstreeks voort uit verschillende overwegingen van deze verordening (
60
), die erop wijzen dat de Uniewetgever met het bij artikel 83 AVG ingevoerde systeem van administratieve geldboeten heeft beoogd tot coherente resultaten op het gehele grondgebied van de Unie te komen.
90.
Ten overvloede voeg ik hieraan toe dat, aangezien geldboeten een grote invloed hebben op de mededinging tussen ondernemingen en aanzienlijke gevolgen hebben voor de markt, een coherente toepassing van artikel 83 AVG mijns inziens van essentieel belang is, omdat de geldboeten anders feitelijk verstorend kunnen werken voor de mededinging tussen ondernemingen. (
61
)
2. Tweede aspect: kan een geldboete worden opgelegd aan een verwerkingsverantwoordelijke wegens een inbreuk die is gepleegd in een context waarin de onrechtmatige verwerking niet door hemzelf, maar door een verwerker is verricht?
91.
Met het tweede onderdeel van de zesde vraag wenst de verwijzende rechter in wezen te vernemen of overeenkomstig artikel 83 AVG een geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke in een context waarin de onrechtmatige verwerking van persoonsgegevens niet door de verwerkingsverantwoordelijke zelf, maar door een verwerker (in casu ITSS) is verricht.
92.
Volgens mij moet deze vraag bevestigend worden beantwoord.
93.
In dit verband herinner ik eraan dat, zoals ik in punt 27 van deze conclusie heb aangegeven, de verwerkingsverantwoordelijke de persoonsgegevens niet zelf hoeft te verwerken, als hij maar het „hoe en waarom” van de desbetreffende verwerkingsactiviteiten bepaalt. Voorts wijs ik erop dat een „verwerker” in artikel 4, punt 8, AVG wordt gedefinieerd als „een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt” (
62
).
94.
Deze definities bevestigen naar mijn mening dat een verwerkingsverantwoordelijke in het kader van de toepassing van de AVG aansprakelijk kan worden gesteld en dus op grond van artikel 83 van die verordening kan worden beboet in een situatie waarin persoonsgegevens onrechtmatig worden verwerkt en die onrechtmatige verwerking niet door de verwerkingsverantwoordelijke zelf, maar door een verwerker wordt verricht. Dit is mogelijk zolang een dergelijke verwerker persoonsgegevens namens de verwerkingsverantwoordelijke verwerkt.
95.
Dat is het geval zolang de verwerker handelt binnen het kader van de hem door de verwerkingsverantwoordelijke verstrekte opdracht en hij de gegevens verwerkt overeenkomstig de rechtmatige instructies die hij van de verwerkingsverantwoordelijke heeft ontvangen. (
63
) Indien de verwerker echter buiten het kader van die opdracht treedt en de gegevens die hij als verwerker heeft ontvangen voor zijn eigen doeleinden gebruikt, en het duidelijk is dat de partijen geen „gezamenlijke verwerkingsverantwoordelijken” in de zin van artikel 4, punt 7, en artikel 21, lid 6, AVG zijn, kan de verwerkingsverantwoordelijke mijns inziens niet op grond van artikel 83 van deze verordening worden beboet wegens de onrechtmatige verwerking die heeft plaatsgevonden. (
64
)
96.
Hieruit volgt dat in een zaak als die in het hoofdgeding op grond van artikel 83 AVG een geldboete aan het NVSC kan worden opgelegd, ook al is de onrechtmatige verwerking van de persoonsgegevens uitsluitend door ITSS verricht en heeft het NVSC niet deelgenomen aan de verwerking. Dit is mogelijk zolang die onderneming kan worden geacht namens het NVSC persoonsgegevens te hebben verwerkt, hetgeen niet het geval zal zijn indien ITSS buiten of in strijd met de rechtmatige instructies van het NVSC heeft gehandeld en persoonsgegevens voor haar eigen doeleinden heeft gebruikt, en het duidelijk is dat het NVSC en ITSS niet als gezamenlijke verwerkingsverantwoordelijken hebben gehandeld.
V. Conclusie
97.
Gelet op een en ander geef ik het Hof in overweging de prejudiciële vragen van de Vilniaus apygardos administracinis teismas te beantwoorden als volgt:
„1)
Artikel 4, punt 7, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
een entiteit die het initiatief neemt tot de ontwikkeling van een mobiele applicatie slechts als ‚verwerkingsverantwoordelijke’ in de zin van deze bepaling kan worden beschouwd wanneer er voldoende elementen van feitelijke, en niet zozeer van formele aard zijn waaruit de nationale rechterlijke instanties kunnen concluderen dat een dergelijke entiteit daadwerkelijk invloed heeft uitgeoefend wat zowel het doel van als de middelen voor die verwerking betreft, en feitelijk toestemming heeft gegeven voor de terbeschikkingstelling van de mobiele applicatie aan het publiek en bijgevolg voor de verwerking van de persoonsgegevens.
2)
Deze bepaling, gelezen in samenhang met artikel 26, lid 1, van verordening 2016/679,
moet aldus worden uitgelegd dat
twee of meer verwerkingsverantwoordelijken als ‚gezamenlijke verwerkingsverantwoordelijken’ kunnen worden beschouwd wanneer aan twee voorwaarden is voldaan: in de eerste plaats moet elke van de gezamenlijke verwerkingsverantwoordelijken afzonderlijk voldoen aan de in de definitie van ‚verwerkingsverantwoordelijke’ van artikel 4, punt 7, van die verordening opgesomde criteria, en in de tweede plaats moeten de verwerkingsverantwoordelijken hun invloed op het doel van en de middelen voor de verwerking gezamenlijk uitoefenen. Daarnaast kan op grond van het loutere feit dat de verwerkingsverantwoordelijken geen overeenkomst hebben gesloten of zelfs niets hebben afgestemd, niet worden uitgesloten dat de verwerkingsverantwoordelijken ‚gezamenlijke verwerkingsverantwoordelijken’ in de zin van deze bepalingen zijn.
3)
Artikel 4, punt 2, van verordening 2016/679
moet aldus worden uitgelegd dat
het begrip ‚verwerking’ ziet op een situatie waarin persoonsgegevens worden gebruikt tijdens de testfase van een mobiele applicatie, tenzij deze gegevens zodanig anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is. Voor de vraag of de betrokken bewerking als ‚verwerking’ moet worden aangemerkt is het op zichzelf beschouwd niet van belang of persoonsgegevens worden verzameld om de IT-systemen voor een mobiele applicatie te testen of voor een ander doel.
4)
Artikel 83 van verordening 2016/679
moet aldus worden uitgelegd dat
een geldboete uitsluitend kan worden opgelegd ter bestraffing van een inbreuk op de regels van die verordening die ‚opzettelijk of uit nalatigheid’ is gepleegd. Daarnaast kan een verwerkingsverantwoordelijke ook worden beboet wanneer de onrechtmatige verwerking door een verwerker wordt verricht. Dit is mogelijk zolang vaststaat dat de verwerker namens de verwerkingsverantwoordelijke handelt. Indien de verwerker de persoonsgegevens echter buiten of in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke verwerkt en de ontvangen persoonsgegevens voor zijn eigen doeleinden gebruikt, en duidelijk is dat de partijen geen ‚gezamenlijke verwerkingsverantwoordelijken’ in de zin van artikel 4, punt 7, en artikel 21, lid 6, van verordening 2016/679 zijn, kan de verwerkingsverantwoordelijke niet op grond van artikel 83 van deze verordening worden beboet wegens de onrechtmatige verwerking die heeft plaatsgevonden.”
(
1
)	Oorspronkelijke taal: Engels.
(
2
)	Verordening van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).
(
3
)	KARANTINAS verzamelde onder meer de volgende persoonsgegevens van haar gebruikers: identiteitsnummer, geografische coördinaten, land, stad, gemeente, woonadres, voornaam, achternaam, persoonlijk identificatienummer, telefoonnummer, of de persoon in kwestie in zelfisolatie diende te gaan, of hij zich had geregistreerd, enzovoorts. Deze gegevens zijn niet alleen in Litouwen, maar ook in het buitenland verzameld.
(
4
)	In artikel 5 AVG worden de algemene beginselen opgesomd waarvan verwerkingsverantwoordelijken de eerbiediging moeten waarborgen wanneer persoonsgegevens worden verwerkt. In artikel 13 AVG wordt de informatie opgesomd die verwerkingsverantwoordelijken aan betrokkenen moeten verstrekken wanneer bij hen persoonsgegevens worden verzameld. Artikel 24 van die verordening bepaalt dat verwerkingsverantwoordelijken onder meer passende technische en organisatorische maatregelen moeten treffen om te waarborgen (en te kunnen aantonen) dat de verwerking in overeenstemming met de toepasselijke gegevensbeschermingsregels wordt uitgevoerd. Artikel 32 AVG betreft de beveiliging van de verwerking en schept dienaangaande verplichtingen voor zowel verwerkingsverantwoordelijken als verwerkers, terwijl artikel 35 van die verordening de verplichting van verwerkingsverantwoordelijken betreft om vóór bepaalde soorten verwerking een gegevensbeschermingseffectbeoordeling uit te voeren.
(
5
)	Volgens artikel 29 AVG „[verwerkt] [d]e verwerker en eenieder die onder het gezag van de verwerkingsverantwoordelijke of van de verwerker handelt en toegang heeft tot persoonsgegevens, […] deze uitsluitend in opdracht van de verwerkingsverantwoordelijke, tenzij hij Unierechtelijk of lidstaatrechtelijk tot de verwerking gehouden is”.
(
6
)	Ik wijs erop dat persoonsgegevens over gezondheid een „bijzondere categorie van persoonsgegevens” vormen, waarvan de verwerking op grond van artikel 9 AVG verboden is, tenzij aan een van de in lid 2 van deze bepaling genoemde voorwaarden is voldaan (bijvoorbeeld dat de verwerking noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid [onder i)] of voor doeleinden van preventieve of arbeidsgeneeskunde [onder h)]). Ik merk evenwel op dat de vragen die in de onderhavige zaak aan het Hof zijn voorgelegd niet de rechtmatigheid van een dergelijke verwerking betreffen, maar veeleer de voorwaarden waaronder een entiteit als het NVSC aansprakelijk kan worden gesteld voor de inbreuken van de ontwikkelaar van een dergelijke mobiele applicatie (in casu ITSS).
(
7
)	Uit de in het procesdossier en de ter terechtzitting verstrekte informatie blijkt niet of de stad Vilnius heeft deelgenomen aan de ontwikkeling van KARANTINAS.
(
8
)	Zoals ik hieronder in punt 46 zal uiteenzetten, begrijp ik uit het verzoek om een prejudiciële beslissing dat KARANTINAS een testfase heeft doorlopen voordat deze applicatie als download aan het publiek beschikbaar werd gesteld. Voor zover ik begrijp, heeft de vierde vraag aldus betrekking op het gebruik van persoonsgegevens dat tijdens die testfase heeft plaatsgevonden, in tegenstelling tot het gebruik in een later stadium, toen KARANTINAS als download aan het publiek beschikbaar was gesteld.
(
9
)	Zie Rücker, D., en Kugler, T., New European General Data Protection Regulation, A Practitioner’s Guide, C.H. Beck, Hart en Nomos, Oxford, 2018, blz. 27. Volgens de auteurs is het belangrijkste kenmerk van een verwerkingsverantwoordelijke dat hij bepaalt welke resultaten moeten worden bereikt, en niet zozeer de middelen of het „hoe” van de verwerking, die – althans wat de niet-essentiële elementen daarvan betreft – kunnen worden gedelegeerd aan een verwerker zonder de hoedanigheid van verwerkingsverantwoordelijke te verliezen.
(
10
)	Zie arrest van 10 juli 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punt 68). Dit arrest betrof de uitlegging van het begrip „voor de verwerking verantwoordelijke” in de zin van artikel 2, onder d), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31). Hoewel deze richtlijn niet meer van kracht is en is vervangen door de AVG, blijft de door het Hof aan deze bepaling gegeven uitlegging relevant in het kader van de toepassing van de AVG, aangezien de definitie van dit begrip in beide instrumenten, afgezien van kleine formele wijzigingen, gelijk is gebleven. Ik zal dus verwijzen naar arresten die betrekking hebben op het ene of het andere instrument zonder onderscheid te maken.
(
11
)	Ibidem, punt 67.
(
12
)	Zie richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG van het EDPB, versie 2.0, vastgesteld op 7 juli 2021 (hierna: „richtsnoeren 07/2020”; beschikbaar in het Nederlands onder: https://edpb.europa.eu/system/files/2022-02/eppb_guidelines_202007_controllerprocessor_final_nl.pdf), blz. 3 en punten 21 en 25‑27.
(
13
)	Arrest van 29 juli 2019 (C‑40/17, EU:C:2019:629, punt 85).
(
14
)	Zie ook richtsnoeren 07/2020, punt 42.
(
15
)	Zie artikel 26, lid 3, AVG, volgens hetwelk „de betrokkene zijn rechten uit hoofde van [de AVG] met betrekking tot en jegens ieder van de verwerkingsverantwoordelijken [kan] uitoefenen”. Zie ook artikel 82, leden 4 en 5, van die verordening.
(
16
)	Zie dienaangaande arrest van 29 juli 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 67 en aldaar aangehaalde rechtspraak).
(
17
)	Zie in die zin arrest van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, punt 43).
(
18
)	Zie arrest van 10 juli 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punt 69 en aldaar aangehaalde rechtspraak).
(
19
)	Zie richtsnoeren 07/2020, blz. 3 en punten 54 en 55.
(
20
)	Het zou immers enigszins tegenstrijdig zijn als formele vereisten terzijde kunnen worden geschoven om een persoon of entiteit als „verwerkingsverantwoordelijke” te kwalificeren, maar niet om diezelfde entiteit en een andere entiteit als „gezamenlijke verwerkingsverantwoordelijken” aan te merken.
(
21
)	Zie richtsnoeren 07/2020, punt 52.
(
22
)	Zie dienaangaande richtsnoeren 07/2020, punt 69.
(
23
)	Ik wijs erop dat de verwijzende rechter in zijn vierde vraag spreekt over het gebruik van „kopieën van persoonsgegevens”, en niet van „persoonsgegevens”. Ik moet toegeven dat het mij niet duidelijk is wat deze rechter bedoelt met de bewoordingen „kopieën van persoonsgegevens”, aangezien persoonsgegevens in een immateriële vorm kunnen bestaan, en artikel 4, punt 1, AVG duidelijk maakt dat het begrip „persoonsgegevens” in die bepaling wordt gedefinieerd als „alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon” (cursivering van mij), zonder enig vereiste dat de persoonsgegevens worden „gekopieerd” of overgeschreven op een specifieke houder of specifiek medium. Mijns inziens is het fysieke voorwerp (bijvoorbeeld papier), of overigens zelfs het elektronische bestand waarop de persoonsgegevens beschikbaar zijn, niet relevant voor de vraag of een specifiek geheel van bewerkingen op het gebied van persoonsgegevens kan worden aangemerkt als „verwerking” in de zin van artikel 4, punt 2, van die verordening. In mijn antwoord op de vierde vraag zal ik dus het woord „persoonsgegevens” gebruiken, en niet de bewoordingen „kopieën van persoonsgegevens”.
(
24
)	Cursivering van mij.
(
25
)	Volgens artikel 4, punt 2, AVG omvat „verwerking” bewerkingen als „het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”.
(
26
)	Zie vorige voetnoot.
(
27
)	„Persoonsgegevens” in de zin van artikel 4, punt 1, AVG, gelezen in het licht van overweging 26 ervan, omvatten namelijk persoonsgegevens die zijn gepseudonimiseerd, maar die door het gebruik van aanvullende gegevens aan een natuurlijke persoon kunnen worden gekoppeld.
(
28
)	In het verzoek om een prejudiciële beslissing vermeldt de verwijzende rechter dat mogelijk een deel van de persoonsgegevens die voor de testfase zijn gebruikt, maar niet alle, „onechte” gegevens waren. Hij preciseert echter niet wat hij onder dit begrip verstaat. Ik wil hierbij slechts opmerken dat volgens mij zowel „echte” als „onechte” gegevens „persoonsgegevens” in de zin van artikel 4, punt 1, AVG kunnen zijn. Zoals ik heb aangegeven, gaat het erom dat de informatie betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon. Bij gegevens die volledig verzonnen zijn, zodat zij niet kunnen worden geacht betrekking te hebben op een geïdentificeerde of identificeerbare persoon, gaat het naar mijn mening niet om „persoonsgegevens” en is de AVG niet van toepassing op de verwerking van die gegevens. Deze verordening is echter nog steeds van toepassing op de andere, „niet-onechte” gegevens die tijdens de testfase zijn verzameld.
(
29
)	Ik wil erop wijzen dat het gebruik van persoonsgegevens voor het testen van IT-systemen voor een mobiele applicatie een andere „verwerking” is dan het als download beschikbaar stellen van die mobiele applicatie aan het publiek. Er is dan ook een afzonderlijke beoordeling vereist van de vraag wie een „verwerkingsverantwoordelijke”, een „verwerker” of een „gezamenlijke verwerkingsverantwoordelijke” is.
(
30
)	Zie artikel 24 van richtlijn 95/46.
(
31
)	Zie „richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van [de AVG]” van de Groep gegevensbescherming artikel 29, goedgekeurd op 3 oktober 2017 (blz. 4). Deze Groep is nadien vervangen door het Europees Comité voor gegevensbescherming (EDPB), maar haar richtsnoeren voor de toepassing van administratieve geldboeten gelden nog steeds.
(
32
)	Zie bijvoorbeeld de miljoenenboete die de Franse autoriteit voor gegevensbescherming in januari 2019 aan Google heeft opgelegd (https://edpb.europa.eu/news/national-news/2019/cnils-restricted-committee-imposes-financial-penalty-50-million-euros_en).
(
33
)	In het bijzonder artikel 83, lid 2, onder b), AVG. De andere elementen die in artikel 83, lid 2, onder a)‑k), worden opgesomd, houden ofwel verband met de inbreuk zelf [bijvoorbeeld de aard, de ernst en de duur ervan (a) of de categorieën van persoonsgegevens die zijn geraakt (g)], ofwel met de verwerkingsverantwoordelijke of de verwerker aan wie de geldboete zou worden opgelegd [namelijk de mate waarin deze verantwoordelijk is (d), zijn gedrag vooraf, zoals eerdere relevante inbreuken (e) en maatregelen die eerder tegen hem zijn genomen (i), en zijn gedrag achteraf, waaronder of hij de inbreuk heeft gemeld (h), de maatregelen die hij heeft genomen om de schade te beperken (c) en de mate waarin hij met de toezichthoudende autoriteit heeft samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken (f)]. Voorts moet naar behoren rekening worden gehouden met „elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien” (k).
(
34
)	Voorstel voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming), COM(2012) 11 final (hierna: „aanvankelijk voorstel van de Commissie voor de vaststelling van een verordening”).
(
35
)	Zie artikel 79, leden 4, 5 en 6, van het aanvankelijke voorstel van de Commissie voor de vaststelling van een verordening. Overigens was „het feit of de inbreuk opzettelijk of uit nalatigheid is gepleegd” ook een van de in artikel 79, lid 2, van dat voorstel opgesomde factoren waarmee rekening moest worden gehouden bij de vaststelling van het bedrag van de geldboete; cursivering van mij.
(
36
)	Deze formulering is later gewijzigd en de bewoordingen „opzettelijk of uit nalatigheid” komen niet meer voor in de bepalingen waarin de twee trappen van het bij de AVG ingevoerde beboetingssysteem zijn omschreven.
(
37
)	Cursivering van mij.
(
38
)	Hetzelfde kan ook bij andere taalversies van artikel 83, lid 2, AVG, worden vastgesteld, met name bij de Tsjechische, de Griekse, de Spaanse, de Franse en de Italiaanse taalversie. Ik merk echter op dat, in de Italiaanse taalversie, met betrekking tot artikel 83, lid 2, onder c), van die verordening, dat ziet op de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken, het woord le (specifiek) wordt gebruikt, in plaats van het woord eventuali (willekeurig).
(
39
)	Volgens de Groep gegevensbescherming artikel 29 zijn administratieve geldboeten „corrigerende maatregelen” die „ofwel het herstellen van de naleving van de [regel], ofwel het bestraffen van [het] onrechtmatige gedrag (of beide)” ten doel hebben (cursivering van mij) [zie richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van [de AVG] van de Groep gegevensbescherming artikel 29, goedgekeurd op 3 oktober 2017 (blz. 6)].
(
40
)	Zie naar analogie arrest van 2 februari 2021, Consob (C‑481/19, EU:C:2021:84, punt 43). Ik herinner eraan dat drie criteria relevant zijn voor de beoordeling of sancties een strafrechtelijk karakter hebben: het eerste criterium is de juridische kwalificatie van de inbreuk in het nationale recht, het tweede de aard van de inbreuk en het derde de zwaarte van de sanctie die aan de betrokkene kan worden opgelegd (zie punt 42 van dat arrest en arrest van 5 juni 2012, Bonda, C‑489/10, EU:C:2012:319, punt 37; zie ook EHRM, 8 juni 1976, Engel e.a. tegen Nederland, CE:ECHR:1976:0608JUD000510071, § 82). Om een geldboete als strafrechtelijk te kunnen aanmerken, hoeft niet aan alle criteria te zijn voldaan (zie in dit verband conclusie van advocaat-generaal Bot in de zaak ThyssenKrupp Nirosta/Commissie (C‑352/09 P, EU:C:2010:635, punt 50 en aldaar aangehaalde rechtspraak).
(
41
)	Artikel 49 van het Handvest heeft als opschrift „Legaliteitsbeginsel en evenredigheidsbeginsel inzake delicten en straffen” en bepaalt in lid 3 dat „[d]e zwaarte van de straf […] niet onevenredig [mag] zijn aan het strafbare feit.
(
42
)	Zie arresten van 9 februari 2012, Urbán (C‑210/10, EU:C:2012:64, punt 48); 13 november 2014, Reindl (C‑443/13, EU:C:2014:2370, punt 42); 20 december 2017, Global Starnet (C‑322/16, EU:C:2017:985, punt 63), en 22 maart 2017, Euro-Team en Spirál-Gép (C‑497/15 en C‑498/15, EU:C:2017:229, punten 53 en 54). Deze arresten illustreren dat deze rechtspraak op verschillende gebieden van het Unierecht is toegepast.
(
43
)	Zie de toelichtingen bij het Handvest van de grondrechten (PB 2007, C 303, blz. 17). Krachtens artikel 52, lid 3, van het Handvest mag het beschermingsniveau van artikel 49 van het Handvest niet lager zijn dan het door artikel 7 EVRM geboden beschermingsniveau.
(
44
)	Zie EHRM (Grote kamer), 28 juni 2018, G.I.E.M. s.r.l. e.a. tegen Italië (CE:ECHR:2018:0628JUD000182806, §§ 242‑243).
(
45
)	Zie artikel 58, lid 2, onder i), en artikel 83, lid 2, AVG.
(
46
)	Artikel 84, lid 1, AVG bepaalt dat „[d]e lidstaten […] de regels inzake andere sancties vast[stellen] die van toepassing zijn op inbreuken […], in het bijzonder op inbreuken die niet aan administratieve geldboeten onderworpen zijn overeenkomstig artikel 83, en […] alle nodige maatregelen [treffen] om ervoor te zorgen dat zij worden toegepast”. In overweging 152 is uiteengezet dat artikel 84 van toepassing is wanneer de AVG „niet voorziet in een harmonisering van de administratieve straffen of indien nodig in andere gevallen, bijvoorbeeld bij ernstige inbreuken op deze verordening”.
(
47
)	Zie dienaangaande Chamberlain, J., en Reichel, J., „The relationship between Damages and Administrative Fines in the EU General Data Protection Regulation”, deel 89, nr. 4, Mississippi Law Journal, 2020, blz. 677 en 679.
(
48
)	Zie Nemitz, P., „Fines under the GDPR” in Leenes, R., van Brakel, R., Gutwirth, S., en De Hert, P., Data Protection and Privacy: The Internet of Bodies, Hart Publishing, Oxford, 2019, blz. 241.
(
49
)	Daarentegen heeft zij het begrip „opzet” zo gedefinieerd dat dit zowel kennis als moedwil met betrekking tot de kenmerken van een strafbaar feit omvat [zie richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van [de AVG] van de Groep gegevensbescherming artikel 29, goedgekeurd op 3 oktober 2017 (blz. 12)].
(
50
)	Ibidem. Andere genoemde omstandigheden zijn bijvoorbeeld het loutere niet lezen en naleven van bestaande beleidsregels, het niet controleren van persoonsgegevens in gepubliceerde informatie, het niet tijdig toepassen van technische updates en het niet goedkeuren van beleidsregels.
(
51
)	Zie Nemitz, P., „Fines under the GDPR” in Leenes, R., van Brakel, R., Gutwirth, S., en De Hert, P., Data Protection and Privacy: The Internet of Bodies, Hart Publishing, 2019, blz. 240.
(
52
)	Zie overwegingen 122 en 132 AVG.
(
53
)	Zie met name overweging 1 AVG, waarin onder verwijzing naar artikel 8, lid 1, van het Handvest en artikel 16, lid 1, VWEU in herinnering wordt gebracht dat de bescherming van persoonsgegevens een grondrecht is. Zie ook de overwegingen 10, 11 en 13 AVG, en arrest van 24 september 2019, Google (Territoriale werkingssfeer van de verwijdering van links) (C‑507/17, EU:C:2019:772, punt 54).
(
54
)	Zie overweging 148 AVG.
(
55
)	Zie Chamberlain, J., en Reichel, J., „The relationship between Damages and Administrative Fines in the EU General Data Protection Regulation”, deel 89, nr. 4, Mississippi Law Journal, 2020, blz. 685.
(
56
)	Verordening van de Raad van 16 december 2002 betreffende de uitvoering van de mededingingsregels van de artikelen 101 en 102 VWEU (PB 2003, L 1, blz. 1).
(
57
)	Zie arrest van 8 december 2011, Chalkor/Commissie (C‑386/10 P, EU:C:2011:815, punten 56 en 57 en aldaar aangehaalde rechtspraak). Dienaangaande wijs ik erop dat opzet of nalatigheid weliswaar moet worden vastgesteld voordat een geldboete wegens schending van de mededingingsregels wordt opgelegd, maar dat ook hiervoor de drempel in de praktijk zeer laag is. Het Hof heeft namelijk geoordeeld dat aan deze voorwaarde is voldaan wanneer de betrokken onderneming niet onkundig kan zijn van het mededingingsverstorende karakter van haar gedrag, ongeacht of zij zich ervan bewust was de mededingingsregels te schenden [zie arrest van 10 juli 2014, Telefónica en Telefónica de España/Commissie (C‑295/12 P, EU:C:2014:2062, punt 156 en aldaar aangehaalde rechtspraak)].
(
58
)	Zie bijvoorbeeld overweging 9 AVG, waarin is aangegeven dat uiteenlopende niveaus van bescherming van de rechten en vrijheden van natuurlijke personen tussen de lidstaten „het vrije verkeer van persoonsgegevens binnen de Unie in de weg [staan]” en „een belemmering vormen voor de uitoefening van economische activiteiten op Unieniveau”.
(
59
)	Zie overweging 129 („[d]it dient bijkomende voorschriften overeenkomstig het lidstatelijke procesrecht niet uit te sluiten” (cursivering van mij), en overweging 150 AVG. Zie hierover ook richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van [de AVG] van de Groep gegevensbescherming artikel 29, goedgekeurd op 3 oktober 2017 (blz. 6).
(
60
)	Hierbij valt mij op dat in overweging 10 AVG staat dat „het niveau van bescherming […] in alle lidstaten gelijkwaardig [dient] te zijn”, terwijl volgens de overwegingen 11, 13 en 129 van dit instrument „gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming en vergelijkbare sancties voor overtredingen in de lidstaten” vereist zijn. In overweging 152 staat dan weer dat de lidstaten slechts een systeem dat voor dergelijke straffen zorgt, hoeven toe te passen voor zover dit instrument niet in een harmonisering van de administratieve straffen voorziet (of wanneer dit anderszins noodzakelijk is) (zie ook overweging 150 AVG).
(
61
)	Zie dienaangaande Voss, W. G., en Bouthinon-Dumas, H., „EU General Data Protection Regulation Sanctions in Theory and in Practice”, deel 37, Santa Clara High Tech, 2020, blz. 44.
(
62
)	Cursivering van mij.
(
63
)	Volgens artikel 29 AVG „[verwerkt] [d]e verwerker en eenieder die onder het gezag van de verwerkingsverantwoordelijke of van de verwerker handelt en toegang heeft tot persoonsgegevens, […] deze uitsluitend in opdracht van de verwerkingsverantwoordelijke, tenzij hij Unierechtelijk of lidstaatrechtelijk tot de verwerking gehouden is”.
(
64
)	Volgens artikel 28, lid 10, AVG, wordt de verwerker met betrekking tot de verwerking van dergelijke gegevens als verwerkingsverantwoordelijke beschouwd. Zie hierover ook Rücker, D., en Kugler, T., New European General Data Protection Regulation, A Practitioner’s Guide, C.H. Beck, Hart en Nomos, Oxford, 2018, blz. 30.