Voorlopige editie

ARREST VAN HET GERECHT (Achtste kamer – uitgebreid)

27 april 2022 ( )

„Volksgezondheid – Vereiste om voor de toegang tot de gebouwen van het Parlement een geldig digitaal EU-COVID-19-certificaat te tonen – Rechtsgrondslag – Vrijheid en onafhankelijkheid van de leden van het Parlement – Verplichting tot waarborging van de gezondheid van het personeel van de Unie – Parlementaire immuniteit – Verwerking van persoonsgegevens – Recht op eerbiediging van het privéleven – Recht op lichamelijke integriteit – Recht op veiligheid – Gelijke behandeling – Evenredigheid”

In de gevoegde zaken T‑710/21, T‑722/21 en T‑723/21,

Robert Roos en de overige verzoekende partijen wier namen zijn opgenomen in de bijlage( ), vertegenwoordigd door P. de Bandt, M. Gherghinaru, L. Panepinto en V. Heinen, advocaten,

verzoekers,

tegen

Europees Parlement, vertegenwoordigd door S. Alves en A.‑M. Dumbrăvan als gemachtigden,

verweerder,

wijst

HET GERECHT (Achtste kamer – uitgebreid),

samengesteld als volgt: S. Papasavvas, president, J. Svenningsen, president, R. Barents, C. Mac Eochaidh en T. Pynnä (rapporteur), rechters,

griffier: H. Eriksson, administrateur,

gezien de stukken,

na de terechtzitting op 15 maart 2022,

het navolgende

Arrest

1 Met hun beroepen krachtens artikel 263 VWEU vorderen verzoekers, allen voor de zittingsperiode 2019‑2024 in het Europees Parlement gekozen leden, nietigverklaring van het besluit van het Bureau van het Parlement van 27 oktober 2021 over uitzonderlijke gezondheids- en veiligheidsvoorschriften voor de toegang tot de gebouwen van het Parlement in de drie werklocaties (hierna: „bestreden besluit”).

I. Voorgeschiedenis van het geding

2 In het kader van de gezondheidscrisis als gevolg van de COVID-19-pandemie heeft de Europese wetgever op voorstel van de Europese Commissie de volgende verordeningen vastgesteld: verordening (EU) 2021/953 van het Europees Parlement en de Raad van 14 juni 2021 betreffende een kader voor de afgifte, verificatie en aanvaarding van interoperabele COVID-19-vaccinatie-, test- en herstelcertificaten (digitaal EU-COVID-certificaat) teneinde het vrije verkeer tijdens de COVID-19-pandemie te faciliteren (PB 2021, L 211, blz. 1) en verordening (EU) 2021/954 van het Europees Parlement en de Raad van 14 juni 2021 betreffende een kader voor de afgifte, verificatie en aanvaarding van interoperabele COVID-19-vaccinatie-, test- en herstelcertificaten (digitaal EU-COVID-certificaat) ten aanzien van onderdanen van derde landen die legaal op het grondgebied van de lidstaten verblijven of wonen tijdens de COVID-19-pandemie (PB 2021, L 211, blz. 24).

3 Op basis van die verordeningen heeft een aantal lidstaten besloten nationale toepassingen van het digitale COVID-certificaat van de Europese Unie (hierna: „COVID-certificaat”) in te voeren en het gebruik ervan uit te breiden, met name tot de toegang tot bepaalde evenementen, gebouwen of vervoer, teneinde de verspreiding van het SARS-CoV-2-virus te beperken en de volksgezondheid te beschermen. Dit is met name het geval voor de drie lidstaten waar de zetels van het Parlement zich bevinden, namelijk België, Frankrijk en Luxemburg.

4 Sinds het begin van de gezondheidscrisis in maart 2020 heeft de voorzitter van het Parlement diverse maatregelen vastgesteld om de gezondheid van de leden, het personeel en de andere in zijn gebouwen aanwezige personen te beschermen en er tegelijkertijd voor te zorgen dat het Parlement zijn in de Verdragen vastgelegde essentiële taken kan vervullen.

5 Die tijdelijke maatregelen werden regelmatig verlengd of gewijzigd. Afhankelijk van met name de ontwikkeling van de epidemiologische situatie konden bepaalde maatregelen worden versoepeld of versterkt. Sinds het voorjaar van 2020 omvatten die maatregelen met name het dragen van een masker en temperatuurcontrole. Tot het najaar van 2021 behelsden zij tevens een verbod op vele soorten evenementen alsook op individuele of groepsbezoeken. De plenaire vergaderingen zijn tussen maart 2020 en mei 2021 in Brussel gehouden.

6 Voorts heeft de secretaris-generaal van het Parlement in reactie op de COVID-19-pandemie een uitzonderlijke regeling van volledig telewerken ingevoerd met ingang van 16 maart 2020. Die regeling werd aangepast aan de ontwikkeling van de pandemie en met ingang van 1 september 2021 vervangen door het besluit van de secretaris-generaal van 16 juli 2021 over telewerken, volgens hetwelk telewerken voortaan een vrije keuze was en fysieke aanwezigheid daarentegen de normale manier van werken moest zijn overeenkomstig artikel 20 van het Statuut van de ambtenaren van de Europese Unie (hierna: „Statuut”).

7 Op 25 maart 2021 heeft het Parlement in nauwe samenwerking met de Brusselse autoriteiten een COVID-19-vaccinatiecentrum in zijn gebouwen te Brussel geopend, teneinde de vaccinatie van met name de leden van het Parlement en zijn personeel te vergemakkelijken zonder dat zij zich in voorkomend geval naar hun land van herkomst hoefden te begeven. Bovendien heeft het Parlement sinds het begin van de pandemie in maart 2020 tijdelijke uitzonderingsprocedures ingesteld om leden van het Parlement in staat te stellen op afstand deel te nemen aan debatten en stemmingen.

8 Op 2 september 2021 heeft de voorzitter van het Parlement een besluit vastgesteld houdende veiligheidsmaatregelen om de verspreiding van COVID‑19 tegen te gaan. Ingevolge dit besluit hebben bezoekers, plaatselijke medewerkers, externe sprekers en belangenvertegenwoordigers slechts toegang tot de gebouwen van het Parlement op vertoon van een COVID-certificaat of een gelijkwaardig certificaat. Dit besluit voorziet voorts in de verplichting om in het Parlement een masker te dragen en sociale afstand te bewaren, alsook in een verbod om het Parlement te betreden voor elke persoon wiens temperatuur meer dan 37,7 °C bedraagt, die niest of hoest, die positief is bevonden op COVID-19 of die in contact is geweest met iemand die positief is bevonden op COVID-19.

9 Op dezelfde dag heeft de voorzitter van het Parlement een besluit vastgesteld houdende buitengewone maatregelen om het Parlement in staat te stellen de continuïteit van zijn werkzaamheden te verzekeren en de bij de Verdragen aan deze instelling toegekende prerogatieven uit te oefenen. Dit besluit voorziet met name in de hervatting van bepaalde parlementaire werkzaamheden, zoals missies en delegaties, alsmede in de verplichting om tijdens parlementaire debatten sociale afstand te bewaren en een masker te dragen.

10 Op 30 september 2021 heeft de voorzitter van het Parlement twee besluiten vastgesteld waarbij de toepassing van de bij de besluiten van 2 september 2021 genomen maatregelen is verlengd tot 17 oktober 2021.

11 Op 14 oktober 2021 heeft de voorzitter van het Parlement een nieuw besluit vastgesteld houdende veiligheidsmaatregelen om de verspreiding van het virus tegen te gaan. Dit besluit voorziet in beperkingen voor de organisatie van een groot aantal evenementen in en bezoeken aan de gebouwen van het Parlement, schrijft temperatuurmeting aan de ingangen van de gebouwen, sociale afstand en het dragen van gezichtsmaskers tijdens parlementaire debatten voor, en verplicht bezoekers, plaatselijke medewerkers, externe sprekers en belangenvertegenwoordigers tot het tonen van een COVID-certificaat om toegang te krijgen tot de gebouwen van het Parlement, een en ander telkens voor de periode van 18 oktober tot en met 2 november 2021..

12 Op dezelfde dag heeft de voorzitter van het Parlement een nieuw besluit vastgesteld houdende buitengewone maatregelen om het Parlement in staat te stellen de continuïteit van zijn werkzaamheden te verzekeren en de aan deze instelling bij de Verdragen toegekende prerogatieven uit te oefenen, waarbij voor een periode van 18 oktober tot en met 2 november 2021 wordt voorzien in een regeling van deelneming op afstand voor het organiseren van zittingen, commissies en interparlementaire delegaties, het beleggen van vergaderingen van bepaalde organen, het uitoefenen van het stemrecht, enzovoort.

13 Ondanks de ingevoerde afstandsmaatregelen en de genomen sanitaire voorzorgen en ondanks de geschatte vaccinatiegraad van meer dan 80 % van het personeel, is vanaf september 2021 een toenemend aantal gevallen van overdracht binnen het Parlement vastgesteld.

14 Het Bureau van het Parlement (hierna: „Bureau”) heeft daarom op 27 oktober 2021 het bestreden besluit vastgesteld. Krachtens dit besluit is voor een periode van 3 november 2021 tot en met 31 januari 2022 en in de drie werklocaties van het Parlement eenieder die toegang wenst tot de gebouwen van het Parlement verplicht om een geldig COVID-certificaat te tonen.

15 In overweging 11 van het bestreden besluit wordt gespecificeerd dat met die maatregelen een tweeledig doel wordt nagestreefd, omdat zij enerzijds moeten garanderen dat de instelling voldoet aan haar uit de Verdragen voortvloeiende wettelijke verplichting om terug te keren naar de normale organisatie, en anderzijds voldoende waarborgen moeten bieden voor de bescherming van het leven en de gezondheid van alle personen die in de gebouwen van het Parlement aanwezig zijn.

16 Overeenkomstig artikel 3, lid 1, van verordening 2021/953 maakt het kader voor het COVID-certificaat de afgifte, de grensoverschrijdende verificatie en de aanvaarding van de volgende certificaten mogelijk:

– een certificaat met de bevestiging dat aan de houder ervan een COVID-19-vaccin is toegediend in de lidstaat die het certificaat afgeeft (hierna: „vaccinatiecertificaat”);

– een certificaat met de bevestiging dat de houder ervan een moleculaire nucleïnezuuramplificatietest (hierna: „PCR-test”) of snelle antigeentest (hierna: „RAT-test”) heeft ondergaan als opgenomen in de op basis van de aanbeveling van de Raad van de Europese Unie van 21 januari 2021 opgestelde gemeenschappelijke en bijgewerkte lijst van COVID-19-RAT-tests, die is uitgevoerd door gezondheidswerkers of gekwalificeerd testpersoneel in de lidstaat die het certificaat afgeeft, en die het type test, de datum van uitvoering van de test en het resultaat van de test vermeldt (hierna: „testcertificaat”);

– een certificaat met de bevestiging dat de houder ervan is hersteld van een SARS-CoV-2-infectie na een positief resultaat van een PCR-test die is uitgevoerd door gezondheidswerkers of gekwalificeerd testpersoneel (hierna: „herstelcertificaat”).

II. Conclusies van partijen

17 Verzoekers verzoeken het Gerecht:

– het bestreden besluit nietig te verklaren;

– het Parlement te verwijzen in de kosten, met inbegrip van die betreffende de kortgedingprocedure.

18 Het Parlement verzoekt het Gerecht:

– de beroepen niet-ontvankelijk, of subsidiair ongegrond, te verklaren;

– verzoekers te verwijzen in de kosten, met inbegrip van die betreffende de kortgedingprocedure.

III. In rechte

A. Ontvankelijkheid van de beroepen

1. Verzoekers’ procesbelang

19 Bij wege van maatregel tot organisatie van de procesgang en ter terechtzitting zijn partijen verzocht te verduidelijken of verzoekers nog een belang hadden om tegen het bestreden besluit op te komen, aangezien het slechts van toepassing was tot en met 31 januari 2022.

20 Dienaangaande zij eraan herinnerd dat volgens vaste rechtspraak het procesbelang van een verzoeker, gelet op het voorwerp van het beroep, op straffe van niet-ontvankelijkheid moet bestaan in het stadium van de instelling van het beroep. Dit voorwerp van het geding moet, net zoals het procesbelang, op straffe van afdoening zonder beslissing blijven bestaan tot aan de rechterlijke beslissing, hetgeen onderstelt dat de uitkomst van het beroep een voordeel kan verschaffen aan de partij die het heeft ingesteld (zie arrest van 21 januari 2021, Leino-Sandberg/Parlement, C‑761/18 P, EU:C:2021:52, punt 32 en aldaar aangehaalde rechtspraak).

21 Voorts volgt uit de rechtspraak dat de verzoeker een belang kan behouden bij de nietigverklaring van een handeling van een instelling van de Europese Unie om te voorkomen dat de onwettigheid die aan die handeling zou kleven, zich in de toekomst weer voordoet (arrest van 7 juni 2007, Wunenburger/Commissie, C‑362/05 P, EU:C:2007:322, punt 50).

22 Volgens de rechtspraak kan dit procesbelang alleen bestaan indien de gestelde onwettigheid zich in de toekomst kan herhalen, onafhankelijk van de omstandigheden van de zaak die aanleiding hebben gegeven tot het door de verzoeker ingestelde beroep (arrest van 7 juni 2007, Wunenburger/Commissie, C‑362/05 P, EU:C:2007:322, punt 52).

23 In casu kan, zoals verzoekers ter terechtzitting hebben betoogd, niet worden uitgesloten dat de door hen aangevoerde onwettigheden zich in de toekomst zullen herhalen, onafhankelijk van de omstandigheden van de zaak die aanleiding heeft gegeven tot de door hen ingestelde beroepen.

24 Met hun beroepen voeren verzoekers immers verschillende onwettigheden aan, met name het ontbreken van een passende rechtsgrondslag voor het bestreden besluit, schending van hun voorrechten en immuniteiten en van hun vrijheid en onafhankelijkheid, alsmede schending van hun recht op eerbiediging van het privéleven, welke onwettigheden zich in het kader van soortgelijke besluiten kunnen herhalen, onafhankelijk van de omstandigheden die aanleiding hebben gegeven tot de onderhavige beroepen.

25 Zoals het Parlement ter terechtzitting heeft aangegeven, is het bestreden besluit bovendien in eerste instantie verlengd tot 13 maart 2022 bij besluit van het Bureau van 26 januari 2022 en in tweede instantie tot 10 april 2022 bij besluit van het Bureau van 7 maart 2022. Het valt dus niet uit te sluiten dat het bestreden besluit verder wordt verlengd of dat nogmaals een soortgelijk besluit wordt vastgesteld.

26 Verzoekers behouden derhalve een belang om nietigverklaring van het bestreden besluit te vorderen.

2. Verzoekers’ procesbevoegdheid

27 Het Parlement betwist de ontvankelijkheid van het beroep op grond dat verzoekers zijns inziens geen procesbevoegdheid hebben in de zin van artikel 263, vierde alinea, VWEU.

28 Het herinnert eraan dat in artikel 263, vierde alinea, VWEU drie gevallen worden genoemd waarin een persoon procesbevoegd kan zijn, namelijk ten eerste wanneer de betrokken handeling tot hem is gericht, ten tweede wanneer de betrokken handeling hem rechtstreeks en individueel raakt en ten derde wanneer de betrokken handeling een regelgevingshandeling betreft die hem rechtstreeks raakt en die geen uitvoeringsmaatregelen met zich meebrengt. Volgens het Parlement beantwoordt evenwel geen enkel van deze gevallen aan het onderhavige geval.

29 Verzoekers betwisten dat betoog.

30 In herinnering moet worden gebracht dat artikel 263, vierde alinea, VWEU bepaalt dat „[i]edere natuurlijke of rechtspersoon [...] onder de in de eerste en tweede alinea vastgestelde voorwaarden beroep [kan] instellen tegen handelingen die tot hem gericht zijn of die hem rechtstreeks en individueel raken, alsmede tegen regelgevingshandelingen die hem rechtstreeks raken en die geen uitvoeringsmaatregelen met zich meebrengen”.

31 In de eerste plaats moet worden opgemerkt dat, zoals het Parlement aanvoert, het bestreden besluit niet kan worden geacht tot verzoekers te zijn gericht als bedoeld in die bepaling. Dat besluit is namelijk niet tot hen persoonlijk gericht en is overeenkomstig artikel 2 ervan van toepassing op „alle personen die de gebouwen van het Parlement in zijn drie werklocaties wensen te betreden, met inbegrip van leden, ambtenaren, geaccrediteerde parlementaire medewerkers en andere personeelsleden van het Parlement”.

32 Er zij aan herinnerd dat het in die bepaling bedoelde begrip „persoon tot wie de handeling is gericht” in formele zin moet worden opgevat als betrekking hebbend op de persoon die in die handeling als geadresseerde ervan wordt aangewezen. Het feit dat de inhoud van een handeling betrekking kan hebben op een andere persoon dan degene tot wie die handeling formeel is gericht, kan deze persoon, indien hij met name aantoont dat die handeling, gelet op die inhoud, hem rechtstreeks raakt, weliswaar procesbevoegd maken, maar niet als degene tot wie die handeling is gericht. Bovendien volstaat het feit dat verzoekers een afschrift van het bestreden besluit hebben ontvangen niet om hen als adressaten van dat besluit te beschouwen (zie in die zin arrest van 21 januari 2016, SACBO/Commissie en INEA, C‑281/14 P, niet gepubliceerd, EU:C:2016:46, punt 34).

33 In de tweede plaats erop worden gewezen dat de ontvankelijkheid van een beroep dat wordt ingesteld door een natuurlijke of rechtspersoon tegen een handeling die niet tot hem is gericht, overeenkomstig artikel 263, vierde alinea, VWEU afhankelijk is van de voorwaarde dat hij procesbevoegdheid heeft, wat in twee situaties het geval is. Ten eerste kan hij een dergelijk beroep instellen indien deze handeling hem rechtstreeks en individueel raakt. Ten tweede kan hij beroep instellen tegen een regelgevingshandeling die geen uitvoeringsmaatregelen met zich meebrengt, indien deze hem rechtstreeks raakt (zie arrest van 15 juli 2021, Deutsche Lufthansa/Commissie, C‑453/19 P, EU:C:2021:608, punt 31 en aldaar aangehaalde rechtspraak).

34 Het Gerecht acht het aangewezen om eerst te onderzoeken of verzoekers procesbevoegd zijn uit hoofde van het tweede geval waarnaar wordt verwezen in punt 33 hierboven.

35 Dienaangaande moet ten eerste erop worden gewezen dat het begrip „regelgevingshandeling”, in de zin van artikel 263, vierde alinea, laatste zinsnede, VWEU, alle niet-wetgevingshandelingen van algemene strekking omvat (arrest van 6 november 2018, Scuola Elementare Maria Montessori/Commissie, Commissie/Scuola Elementare Maria Montessori en Commissie/Ferracci, C‑622/16 P–C‑624/16 P, EU:C:2018:873, punt 28). Volgens de rechtspraak heeft een handeling een algemene strekking, indien zij van toepassing is op objectief bepaalde situaties en rechtsgevolgen heeft voor algemeen en abstract aangewezen categorieën van personen (zie arrest van 31 mei 2001, Sadam Zuccherifici e.a./Raad, C‑41/99 P, EU:C:2001:302, punt 24 en aldaar aangehaalde rechtspraak).

36 In casu moet worden vastgesteld dat het bestreden besluit weliswaar is vastgesteld in de vorm van een besluit, maar in feite een regelgevingshandeling van algemene strekking is, aangezien het van toepassing is op objectief bepaalde situaties en rechtsgevolgen heeft voor algemeen en abstract aangewezen categorieën van personen, hetgeen door het Parlement niet wordt betwist.

37 Ten tweede moet worden herinnerd aan de vaste rechtspraak dat ter vervulling van de in artikel 263, vierde alinea, VWEU gestelde voorwaarde dat een natuurlijke of rechtspersoon rechtstreeks wordt geraakt door het besluit waartegen beroep is ingesteld, aan twee cumulatieve criteria moet zijn voldaan. De bestreden maatregel moet namelijk rechtstreeks gevolgen hebben voor de rechtspositie van de particulier en daarnaast mag hij aan degenen tot wie hij is gericht en die met de uitvoering ervan zijn belast, geen enkele beoordelingsbevoegdheid laten, omdat de uitvoering zuiver automatisch geschiedt en alleen uit de regelgeving van de Unie voortvloeit zonder de toepassing van andere uitvoeringsbepalingen (zie arrest van 6 november 2018, Scuola Elementare Maria Montessori/Commissie, Commissie/Scuola Elementare Maria Montessori en Commissie/Ferracci, C‑622/16 P–C‑624/16 P, EU:C:2018:873, punt 42 en aldaar aangehaalde rechtspraak).

38 In casu brengt het bestreden besluit, zoals verzoekers aanvoeren, rechtstreekse en bindende rechtsgevolgen voor hen teweeg, aangezien zij, sinds de inwerkingtreding ervan op 3 november 2021, voor de uitoefening van hun taken als leden van het Parlement en de deelname aan de werkzaamheden ervan, de gebouwen van het Parlement slechts kunnen betreden op vertoon van een geldig COVID-certificaat.

39 Het Parlement heeft in dit verband weliswaar besloten om met ingang van 22 november 2021 opnieuw een regeling van verplicht telewerk in te voeren ten belope van maximaal gemiddeld drie dagen per week op maandbasis voor alle personeelsleden, voor zover dit verenigbaar is met de uitoefening van hun taken, en om de leden van het Parlement in staat te stellen op afstand deel te nemen aan de debatten en stemmingen in de plenaire vergadering en de commissies, maar het bestreden besluit en de verplichting om voor de toegang tot de gebouwen van het Parlement een geldig COVID-certificaat te tonen, bleven gedurende deze gehele periode van kracht, zoals het Parlement ter terechtzitting heeft bevestigd.

40 Voorts staat vast dat degenen tot wie het bestreden besluit is gericht en die met de uitvoering ervan zijn belast, met name de met de controle op het tonen van een geldig COVID-certificaat belaste beveiligingsagenten van het Parlement, over geen enkele beoordelingsbevoegdheid beschikken. De uitvoering ervan geschiedt zuiver automatisch en vereist geen andere uitvoeringsbepalingen.

41 Bijgevolg moet worden vastgesteld dat verzoekers door het bestreden besluit rechtstreeks worden geraakt.

42 Ten derde dient eraan te worden herinnerd dat de woorden „die geen uitvoeringsmaatregelen met zich meebrengen” in de zin van artikel 263, vierde alinea, laatste zinsnede, VWEU, volgens vaste rechtspraak moeten worden uitgelegd in het licht van het doel van deze bepaling, die, zoals uit de ontstaansgeschiedenis ervan blijkt, beoogt te vermijden dat een particulier gedwongen is om het recht te schenden om toegang tot de rechter te krijgen. Wanneer een regelgevingshandeling rechtstreekse gevolgen heeft voor de rechtspositie van een natuurlijke of rechtspersoon, zonder dat daarvoor enige uitvoeringsmaatregel vereist is, loopt deze het risico verstoken te blijven van een effectieve rechterlijke bescherming indien hij niet rechtstreeks beroep zou kunnen instellen bij de rechter van de Unie om de rechtmatigheid van deze regelgevingshandeling te betwisten. Bij ontbreken van uitvoeringsmaatregelen zou een natuurlijke persoon of een rechtspersoon immers, ook al zou hij door de betrokken handeling rechtstreeks worden geraakt, de bepalingen ervan eerst moeten schenden voordat hij deze handeling door de rechter zou kunnen laten toetsen, door de onrechtmatigheid ervan aan te voeren in het kader van de procedures die voor de nationale rechterlijke instanties tegen hem zouden worden ingesteld (zie arrest van 6 november 2018, Scuola Elementare Maria Montessori/Commissie, Commissie/Scuola Elementare Maria Montessori en Commissie/Ferracci, C‑622/16 P–C‑624/16 P, EU:C:2018:873, punt 58 en aldaar aangehaalde rechtspraak).

43 Wanneer een regelgevingshandeling daarentegen uitvoeringsmaatregelen met zich meebrengt, wordt het rechterlijk toezicht op de eerbiediging van de rechtsorde van de Unie verzekerd, ongeacht of deze maatregelen zijn genomen door de Unie of door de lidstaten. Natuurlijke personen of rechtspersonen die wegens de ontvankelijkheidsvoorwaarden van artikel 263, vierde alinea, VWEU een regelgevingshandeling van de Unie niet rechtstreeks voor de Unierechter kunnen aanvechten, kunnen zich tegen de toepassing van deze handeling verweren door beroep in te stellen tegen de uitvoeringsmaatregelen die deze handeling met zich meebrengt (zie arrest van 6 november 2018, Scuola Elementare Maria Montessori/Commissie, Commissie/Scuola Elementare Maria Montessori en Commissie/Ferracci, C‑622/16 P–C‑624/16 P, EU:C:2018:873, punt 59 en aldaar aangehaalde rechtspraak).

44 Wanneer de uitvoering van een dergelijke handeling berust bij de instellingen, organen of instanties van de Unie, kunnen natuurlijke personen of rechtspersonen onder de voorwaarden van artikel 263, vierde alinea, VWEU bij de Unierechter rechtstreeks beroep instellen tegen de uitvoeringsmaatregelen en op grond van artikel 277 VWEU tot staving van dat beroep de onrechtmatigheid van de betrokken basishandeling aanvoeren (zie arrest van 6 november 2018, Scuola Elementare Maria Montessori/Commissie, Commissie/Scuola Elementare Maria Montessori en Commissie/Ferracci, C‑622/16 P–C‑624/16 P, EU:C:2018:873, punt 60 en aldaar aangehaalde rechtspraak).

45 Het Hof heeft bovendien bij herhaling geoordeeld dat voor de vraag of een regelgevingshandeling uitvoeringsmaatregelen met zich meebrengt, de positie van de persoon die aanspraak maakt op het recht om beroep in te stellen op grond van artikel 263, vierde alinea, laatste zinsnede, VWEU in de beschouwing moet worden betrokken. Het is dus irrelevant of de betrokken handeling uitvoeringsmaatregelen met zich meebrengt voor andere justitiabelen (zie arrest van 6 november 2018, Scuola Elementare Maria Montessori/Commissie, Commissie/Scuola Elementare Maria Montessori en Commissie/Ferracci, C‑622/16 P–C‑624/16 P, EU:C:2018:873, punt 61 en aldaar aangehaalde rechtspraak).

46 Uit de rechtspraak volgt dus ten eerste dat het begrip „uitvoeringsmaatregelen” impliceert dat een handeling wordt vastgesteld hetzij door de instellingen, organen of instanties van de Unie, hetzij door de lidstaten, die vatbaar is voor rechterlijke toetsing (zie in die zin arrest van 28 oktober 2020, Associazione GranoSalus/Commissie, C‑313/19 P, niet gepubliceerd, EU:C:2020:869, punt 37) en ten tweede dat de rechtsgevolgen van de bestreden handeling ten aanzien van de verzoekers slechts zullen intreden door middel van die uitvoeringsmaatregelen (zie in die zin arresten van 13 maart 2018, European Union Copper Task Force/Commissie, C‑384/16 P, EU:C:2018:176, punt 50; 13 maart 2018, Industrias Químicas del Vallés/Commissie, C‑244/16 P, EU:C:2018:177, punt 57, en 6 november 2018, Scuola Elementare Maria Montessori/Commissie, Commissie/Scuola Elementare Maria Montessori en Commissie/Ferracci, C‑622/16 P–C‑624/16 P, EU:C:2018:873, punt 64).

47 Volgens het Parlement volgt uit artikel 3 van het bestreden besluit dat de toegang tot de gebouwen van het Parlement wordt verleend of geweigerd na een controle door de beveiligingsdiensten van het Parlement. In het kader van die controle wordt niet alleen het bezit van een COVID-certificaat geverifieerd, maar in voorkomend geval ook het feit dat de betrokkene in aanmerking komt voor een door de secretaris-generaal krachtens artikel 5, lid 2, van het bestreden besluit toegestane afwijking. Ten aanzien van verzoekers treden de gevolgen van het bestreden besluit dus pas in na de door de beveiligingsdiensten van het Parlement verrichte controle.

48 Evenwel dient te worden vastgesteld dat, anders dan het Parlement stelt, de rechtsgevolgen van het bestreden besluit ten aanzien van verzoekers zijn ingetreden vanaf de inwerkingtreding van dat besluit, zonder dat daarvoor aanvullende uitvoeringsmaatregelen nodig waren, aangezien vanaf die datum verzoekers over een geldig COVID-certificaat dienden te beschikken om toegang tot de gebouwen van het Parlement te krijgen.

49 Bovendien moet worden vastgesteld dat de met de controle op de uitvoering van het bestreden besluit belaste beveiligingsagenten van het Parlement geen enkele handeling verrichten die vatbaar is voor rechterlijke toetsing, maar zich ertoe beperken om door middel van de CovidScanBE-app of CovidCheck.lu na te gaan of een persoon die zich toegang tot de gebouwen van het Parlement wil verschaffen, al dan niet over een geldig COVID-certificaat beschikt.

50 Ter terechtzitting heeft het Parlement niettemin betoogd dat personen aan wie de toegang tot zijn gebouwen wordt geweigerd omdat zij niet over een geldig COVID-certificaat beschikken, op verzoek een document kunnen verkrijgen waarin de weigering van toegang tot de gebouwen van het Parlement wordt bevestigd, hetgeen een maatregel ter uitvoering van het bestreden besluit zou vormen.

51 Opgemerkt zij evenwel dat het gekunsteld zou zijn om van verzoekers te verlangen dat zij, ook al beschikken zij niet over een geldig COVID-certificaat, verzoeken om toegang tot de gebouwen van het Parlement teneinde een dergelijk document te ontvangen waarin wordt vastgesteld dat zij niet voldoen aan de voorwaarden van het bestreden besluit, om vervolgens die handeling bij het Gerecht te kunnen betwisten en zich ter ondersteuning van hun beroep krachtens artikel 277 VWEU op de onrechtmatigheid van het bestreden besluit te kunnen beroepen (zie, in die zin en naar analogie arresten van 6 november 2018, Scuola Elementare Maria Montessori/Commissie, Commissie/Scuola Elementare Maria Montessori en Commissie/Ferracci, C‑622/16 P–C‑624/16 P, EU:C:2018:873, punt 66; 14 januari 2016, Doux/Commissie, T‑434/13, niet gepubliceerd, EU:T:2016:7, punten 59‑64, en 13 september 2018, Gazprom Neft/Raad, T‑735/14 en T‑799/14, EU:T:2018:548, punt 102).

52 Evenzo dient het argument van het Parlement te worden afgewezen dat verzoekers overeenkomstig artikel 5, lid 2, van het bestreden besluit bij de secretaris-generaal van het Parlement een verzoek tot afwijking kunnen indienen en vervolgens een eventuele weigering om een dergelijke afwijking toe te staan, kunnen betwisten. Zoals het Parlement ter terechtzitting heeft bevestigd, worden dergelijke afwijkingen immers alleen toegestaan om zeer specifieke legitieme redenen, zoals vaccinatie in een derde land, en worden zij nooit op discretionaire wijze toegestaan aan personen die zonder een goede reden niet over een geldig COVID-certificaat beschikken.

53 Afgezien van het feit dat het gekunsteld zou zijn om van verzoekers te verlangen dat zij dergelijke verzoeken tot afwijking indienen, moet worden vastgesteld dat zij in casu nooit dergelijke verzoeken hebben ingediend, zodat dergelijke mogelijke uitvoeringsmaatregelen, gelet op de in punt 44 hierboven aangehaalde rechtspraak, in ieder geval hoe dan ook irrelevant zijn.

54 Ten slotte kan het Parlement zich niet beroepen op het arrest van 20 november 2017, Petrov e.a./Parlement (T‑452/15, EU:T:2017:822), om aan te voeren dat een eventuele weigering om toegang tot de gebouwen van het Parlement te verlenen in casu een handeling vormt die door de betrokkene kan worden aangevochten bij de Unierechter. In die zaak kwamen de verzoekende partijen, derdelanders, immers op tegen het besluit waarbij hun de accreditatie was geweigerd die zij nodig hadden om toegang te krijgen tot de gebouwen van het Parlement. Anders dan verzoekers in de onderhavige zaak hadden die verzoekende partijen zonder dit besluit dus geen permanent recht van toegang tot de gebouwen van het Parlement. Bovendien betrof het betrokken besluit in die zaak een uitdrukkelijk besluit tot weigering van toegang, van individuele strekking, en niet, zoals in de onderhavige zaak, een loutere controlemaatregel van de beveiligingsagenten van het Parlement die belast waren met de uitvoering van een voorafgaand besluit, van algemene strekking, dat de toegang tot de gebouwen van het Parlement regelt.

55 Gelet op een en ander kan het bestreden besluit dus niet worden geacht ten aanzien van verzoekers uitvoeringsmaatregelen mee te brengen in de zin van artikel 263, vierde alinea, VWEU.

56 Aangezien het bestreden besluit een regelgevingshandeling is die verzoekers rechtstreeks raakt en geen uitvoeringsmaatregelen ten aanzien van hen met zich meebrengt, moet bijgevolg worden vastgesteld dat zij procesbevoegd zijn uit hoofde van het derde geval bedoeld in artikel 263, vierde alinea, VWEU.

B. Ontvankelijkheid van de verzoeken om aanpassing van de verzoekschriften

57 Het Parlement heeft ter terechtzitting aangegeven dat het bestreden besluit in eerste instantie was verlengd tot 13 maart 2022 bij besluit van het Bureau van 26 januari 2022 en in tweede instantie tot 10 april 2022 bij besluit van het Bureau van 7 maart 2022. Het Parlement heeft eveneens gepreciseerd dat deze nieuwe besluiten waren gebaseerd op een geactualiseerde beoordeling van de gezondheidssituatie en de beschikbare wetenschappelijke inzichten.

58 Gevraagd naar de gevolgen van deze nieuwe besluiten voor het onderhavige beroep, hebben verzoekers ter terechtzitting aangevoerd dat zij de conclusies van hun verzoekschriften wilden aanpassen om rekening te houden met deze nieuwe elementen.

59 Evenwel moet worden opgemerkt dat volgens artikel 86, leden 1 en 2, van het Reglement voor de procesvoering van het Gerecht de aanpassing van het verzoekschrift bij afzonderlijke akte moet worden gedaan vóór de sluiting van de mondelinge behandeling of vóór de beslissing van het Gerecht om zonder mondelinge behandeling uitspraak te doen.

60 Dit vereiste beoogt met name de eerbiediging van de procedure op tegenspraak en van de rechten van de verdediging te waarborgen door de verweerder in staat te stellen te reageren op de aangepaste middelen of argumenten van de verzoeker, voor zover zij nieuwe elementen omvatten (zie in die zin arresten van 24 januari 2019, Haswani/Raad, C‑313/17 P, EU:C:2019:57, punten 36‑40; 9 november 2017, HX/Raad, C‑423/16 P, EU:C:2017:848, punt 23, en 30 november 2016, Rotenberg/Raad, T‑720/14, EU:T:2016:689, punt 139).

61 Bovendien zij erop gewezen dat verzoekers en hun vertegenwoordigers zeker vóór de terechtzitting kennis hebben genomen van de nieuwe besluiten van het Bureau, zodat zij, indien zij ook de wettigheid van die besluiten hadden willen betwisten, de nodige zorgvuldigheid aan de dag hadden moeten leggen door hetzij nieuwe beroepen in te stellen op grond van artikel 263 VWEU, hetzij hun verzoekschriften aan te passen overeenkomstig de vereisten van artikel 86 van het Reglement voor de procesvoering.

62 Aangezien verzoekers hebben nagelaten vóór de sluiting van de mondelinge behandeling bij afzonderlijke akte verzoeken in te dienen om de verzoekschriften aan te passen, moeten de desbetreffende ter terechtzitting mondeling geformuleerde verzoeken derhalve niet-ontvankelijk worden verklaard.

C. Ten gronde

63 In hun beroep voeren verzoekers de volgende vier afzonderlijke middelen aan: 1) het bestreden besluit heeft geen geldige rechtsgrondslag om gevolgen teweeg te brengen voor de leden van het Parlement; 2) het bestreden besluit is strijdig met de beginselen van vrijheid en onafhankelijkheid van de leden van het Parlement en met de hun bij het Verdrag toegekende immuniteiten; 3) de algemene beginselen betreffende de verwerking van persoonsgegevens zijn geschonden, en 4) er is sprake van een ongerechtvaardigde inbreuk op het recht op eerbiediging van het privéleven en bescherming van persoonsgegevens, het recht op lichamelijke integriteit, het recht op vrijheid en veiligheid en het recht op gelijkheid voor de wet en non-discriminatie.

1. Eerste middel: het bestreden besluit heeft geen geldige rechtsgrondslag om gevolgen teweeg te brengen voor de leden van het Parlement

64 Verzoekers betogen dat artikel 25 van het Reglement van het Parlement geen geldige rechtsgrondslag vormt voor het bestreden besluit om gevolgen voor hen teweeg te kunnen brengen. Zij wijzen er namelijk op dat lid 2 van die bepaling, dat volgens hen als enige relevant kan zijn, het Bureau slechts algemene bevoegdheden verleent inzake de interne organisatie van het Parlement, die niet de vaststelling kunnen rechtvaardigen van maatregelen die zo strikt zijn als die in het bestreden besluit.

65 Voorts betogen verzoekers dat artikel 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”) een „wet” vereist om de wezenlijke elementen van de verwerking van persoonsgegevens vast te stellen. Volgens hen staat het evenwel vast dat een besluit van het Bureau geen wet is in de zin van die bepaling. Een andere uitlegging zou tot gevolg hebben dat op het niveau van de instellingen van de Unie minder bescherming wordt geboden dan op het niveau van de lidstaten, die voor de verwerking van persoonsgegevens vereisen dat een wettelijke bepaling wordt vastgesteld nadat een parlementair debat heeft plaatsgevonden.

66 Volgens verzoekers kan artikel 25, lid 2, van het Reglement van het Parlement hoe dan ook niet dienen als grondslag voor de vaststelling van maatregelen die in strijd zijn met besluit 2005/684/EG, Euratom van het Europees Parlement van 28 september 2005 houdende aanneming van het Statuut van de leden van het Europees Parlement (PB 2005, L 262, blz. 1; hierna „Statuut van de leden”) of met Protocol nr. 7 betreffende de voorrechten en immuniteiten van de Europese Unie (PB 2010, C 83, blz. 266; hierna: „Protocol nr. 7”).

67 Het Parlement betwist verzoekers’ argumenten.

68 In de eerste plaats zij eraan herinnerd dat artikel 232 VWEU bepaalt dat het Parlement zijn Reglement van orde vaststelt bij meerderheid van stemmen van zijn leden.

69 In casu staat vast dat het bestreden besluit met name is vastgesteld op basis van artikel 25, lid 2, van het Reglement van het Parlement. Die bepaling verleent het Bureau de bevoegdheid om financiële, organisatorische en administratieve beslissingen te nemen over aangelegenheden die de interne organisatie van het Parlement, zijn secretariaat en zijn organen betreffen.

70 Samen met het Parlement moet worden vastgesteld dat het bestreden besluit, dat ertoe strekt de toegang tot de gebouwen van het Parlement te beperken tot personen met een geldig COVID-certificaat, wel degelijk betrekking heeft op aangelegenheden van interne organisatie van het Parlement in de zin van artikel 25, lid 2, van zijn Reglement.

71 Uit de interne organisatiebevoegdheid van het Parlement vloeit immers voort dat het gerechtigd is de passende maatregelen te nemen om zijn goede werking en het goede verloop van zijn procedures te verzekeren (arresten van 10 februari 1983, Luxemburg/Parlement, 230/81, EU:C:1983:32, punt 38; 10 juli 1986, Wybot, 149/85, EU:C:1986:310, punt 16, en 2 oktober 2001, Martinez e.a./Parlement, T‑222/99, T‑327/99 en T‑329/99, EU:T:2001:242, punt 144).

72 Zoals het Parlement betoogt, vormt het bestreden besluit een dergelijke maatregel, aangezien het volgens overweging 2 ervan tot doel heeft de terugkeer naar een werkregeling met fysieke aanwezigheid mogelijk te maken, teneinde de continuïteit van zijn werkzaamheden volgens de normale uit de Verdragen voortvloeiende procedures te verzekeren, de volledige toepassing te waarborgen van alle normale procedures waarin zijn Reglement voorziet, en zijn volledige en onbeperkte rol als democratisch verkozen instelling van de Unie, die de burgers rechtstreeks op het niveau van de Unie vertegenwoordigt, te herstellen.

73 De in punt 71 hierboven vermelde interne organisatiebevoegdheid van het Parlement wordt ook erkend in de zetelovereenkomsten tussen de instellingen van de Unie en de lidstaten waar hun gebouwen zijn ondergebracht. Zo bepaalt de op 31 december 2004 ondertekende beveiligingsovereenkomst tussen het Parlement, de Raad van de Europese Unie, de Commissie, het Europees Economisch en Sociaal Comité, het Comité van de Regio’s en de Europese Investeringsbank enerzijds en de Belgische regering anderzijds dat de instellingen verantwoordelijk zijn voor de beveiliging en de handhaving van de orde in al haar aspecten binnen de gebouwen die zij betrekken, alsmede voor het verlenen van toegang tot die gebouwen en de controles daarop. Evenzo bepaalt de overeenkomst tussen het Parlement en het Groothertogdom Luxemburg van 2 december 1983 dat het Parlement verantwoordelijk is voor de beveiliging in zijn gebouwen en lokalen en dat het daartoe reglementen van orde vaststelt. Wat ten slotte de gebouwen van het Parlement te Straatsburg (Frankrijk) betreft, wordt in de administratieve overeenkomst tussen het Parlement en de Franse autoriteiten van 25 juni 1998 inzake de beveiliging van de gebouwen van het Parlement te Straatsburg eveneens erkend dat het Parlement de exclusieve verantwoordelijkheid draagt voor het verlenen van toegang tot zijn gebouwen en de controles daarop.

74 Voorts zij erop gewezen dat het bestreden besluit neerkomt op een beperking van het recht van permanente toegang van de leden tot de gebouwen van het Parlement, dat is neergelegd in artikel 1, lid 1, van het besluit van het Bureau van 3 mei 2004 tot vaststelling van de toegangsregeling. Aangezien laatstgenoemd besluit door het Bureau is vastgesteld op basis van met name artikel 22 van het Reglement van het Parlement in zijn vroegere versie, dat overeenkomt met artikel 25 van het thans geldende Reglement, is het overeenkomstig het beginsel van het parallellisme van de vormen logisch dat het bestreden besluit door datzelfde orgaan is vastgesteld op basis van dezelfde rechtsgrondslag (zie arrest van 18 oktober 2018, ArcelorMittal Tubular Products Ostrava e.a./Commissie, T‑364/16, EU:T:2018:696, punt 69 en aldaar aangehaalde rechtspraak).

75 In de tweede plaats en zonder dat uitspraak behoeft te worden gedaan over de vraag of het ter zake dienend is, moet verzoekers’ argument worden onderzocht dat het bestreden besluit geen „wet” is in de zin van artikel 8 van het Handvest, op grond waarvan de wezenlijke elementen van de verwerking van verzoekers’ persoonsgegevens kunnen worden vastgesteld.

76 In herinnering zij gebracht dat overeenkomstig artikel 8 van het Handvest „[e]enieder [...] recht [heeft] op bescherming van zijn persoonsgegevens” en dat „[d]eze gegevens [...] eerlijk [moeten] worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet”.

77 Artikel 52, lid 1, van het Handvest bepaalt voorts dat „[b]eperkingen op de uitoefening van de in dit Handvest erkende rechten en vrijheden [...] bij wet [moeten] worden gesteld en de wezenlijke inhoud van die rechten en vrijheden [moeten] eerbiedigen”.

78 Artikel 52, lid 3, van het Handvest bepaalt bovendien dat „[v]oor zover dit Handvest rechten bevat die corresponderen met rechten welke zijn gegarandeerd door het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden, [...] de inhoud en reikwijdte ervan dezelfde [zijn] als die welke er door genoemd verdrag aan worden toegekend. Deze bepaling verhindert niet dat het recht van de Unie een ruimere bescherming biedt”.

79 Artikel 8 van het op 4 november 1950 te Rome ondertekende Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: „EVRM”) bepaalt dat „[e]enieder [...] recht [heeft] op respect van zijn privéleven” en dat „[g]een inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen”. Bij de uitlegging van artikel 8 van het Handvest dient artikel 8 EVRM dus als minimumbeschermingsniveau in aanmerking te worden genomen, aangezien die twee bepalingen gelijkwaardige rechten bevatten (zie in die zin arrest van 8 april 2014, Digital Rights Ireland e.a., C‑293/12 en C‑594/12, EU:C:2014:238, punt 54).

80 Volgens de rechtspraak van het Hof en die van het Europees Hof voor de Rechten van de Mens (hierna: „EHRM”) impliceert het vereiste dat inmenging in de uitoefening van de grondrechten „bij wet wordt gesteld” of „bij de wet is voorzien” als bedoeld in artikel 52, lid 1, van het Handvest respectievelijk artikel 8, lid 2, EVRM, niet alleen dat de maatregel die inmenging inhoudt, een wettelijke grondslag in intern recht moet hebben, maar ook dat die wettelijke grondslag moet beantwoorden aan bepaalde kwaliteiten van toegankelijkheid en voorzienbaarheid teneinde het risico van willekeur uit te sluiten (zie in die zin arrest van 15 maart 2017, Al Chodor, C‑528/15, EU:C:2017:213, punt 38; EHRM, 26 april 1979, Sunday Times tegen Verenigd Koninkrijk, CE:ECHR:1979:0426JUD000653874, § 49, en 4 december 2015, Roman Zakharov tegen Rusland, CE:ECHR:2015:1204JUD004714306, § 228).

81 Voorts volgt uit de rechtspraak van het EHRM dat het begrip „wet” in de uitdrukking „bij de wet is voorzien”, dat met name voorkomt in artikel 8, lid 2, EVRM, dient te worden opgevat in zijn materiële en niet in zijn formele betekenis. Het omvat dus zowel geschreven als ongeschreven recht en is niet beperkt tot wetgeving, maar omvat eveneens rechtshandelingen en -instrumenten van lagere rang. „Wet” is met andere woorden de geldende tekst zoals uitgelegd door de bevoegde rechterlijke instanties (zie in die zin EHRM, 26 april 1979, Sunday Times tegen Verenigd Koninkrijk, CE:ECHR:1979:0426JUD000653874, § 47, en 8 april 2021, Vavřička e.a. tegen Tsjechië, CE:ECHR:2021:0408JUD004762113, § 269).

82 Het feit dat het bij het bestreden besluit niet gaat om een norm van wetgevende aard die is vastgesteld na een parlementair debat, volstaat dus niet om aan te nemen dat het geen „wet” is in de zin van artikel 8 van het Handvest, uitgelegd in het licht van artikel 8 EVRM.

83 Het is waar dat uit de rechtspraak van het EHRM eveneens blijkt dat het nationale recht ter voldoening aan de kwaliteitsvereisten van de wet een zekere bescherming moet bieden tegen willekeurige inbreuken van overheidswege op de door het EVRM gewaarborgde rechten, en dat de wet met betrekking tot aangelegenheden die de grondrechten raken, in strijd zou zijn met de rechtsstaat, een van de in het EVRM verankerde fundamentele beginselen van een democratische samenleving, wanneer er geen grenzen zouden worden gesteld aan de beoordelingsbevoegdheid van de uitvoerende macht. Bijgevolg moet de wet de omvang en de wijze van uitoefening van een dergelijke bevoegdheid voldoende duidelijk definiëren [zie EHRM, 15 maart 2022, Communauté genevoise d’action syndicale (CGAS) tegen Zwitserland, CE:ECHR:2022:0315JUD002188120, § 78 en aldaar aangehaalde rechtspraak].

84 Aangezien het bestreden besluit zelf een „wet” vormt in de zin van artikel 8 van het Handvest, uitgelegd in het licht van artikel 8 EVRM, kan evenwel in casu niet worden aangenomen dat het Parlement een uitdrukkelijke machtiging van de Uniewetgever nodig had om dergelijke maatregelen, die hun grondslag vinden in artikel 232 VWEU en artikel 25, lid 2, van het Reglement van het Parlement, te kunnen vaststellen.

85 Zoals het Parlement betoogt, voldoet het bestreden besluit in casu bovendien aan de criteria van toegankelijkheid en voorzienbaarheid, die zijn vereist om het risico van willekeur uit te sluiten.

86 In dat verband moet erop worden gewezen dat het bestreden besluit duidelijke en precieze regels betreffende de draagwijdte en de toepassing van de betrokken maatregel bevat en met name de betrokkenen voldoende waarborgen biedt, zodat hun persoonsgegevens doeltreffend kunnen worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik van deze gegevens (zie in die zin en naar analogie arrest van 8 april 2014, Digital Rights Ireland e.a., C‑293/12 en C‑594/12, EU:C:2014:238, punt 54 en aldaar aangehaalde rechtspraak).

87 Zo volgt uit de overwegingen 22 tot en met 25 en artikel 4 van het bestreden besluit dat personen wier persoonsgegevens het Parlement op basis van dat besluit verwerkt, worden beschermd in overeenstemming met verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van verordening (EG) nr. 45/2001 en besluit nr. 1247/2002/EG (PB 2018, L 295, blz. 39).

88 Ten slotte dient er, zoals ook het Parlement dit doet, op te worden gewezen dat verzoekers’ argument dat artikel 25, lid 2, van het Reglement van het Parlement niet kan dienen als grondslag voor de vaststelling van maatregelen die in strijd zijn met het Statuut van de leden of Protocol nr. 7, geen betrekking heeft op de vraag naar de juiste rechtsgrondslag van het bestreden besluit, maar veeleer op de vraag naar de wettigheid van dat besluit in het licht van die bepalingen, welke vraag hieronder in het kader van het tweede middel zal worden onderzocht.

89 Gelet op voorgaande overwegingen moet worden vastgesteld dat artikel 25, lid 2, van het Reglement van het Parlement een geldige rechtsgrondslag vormde voor de vaststelling van het bestreden besluit.

90 Het eerste middel moet dus ongegrond worden verklaard.

2. Tweede middel: schending van de beginselen van vrijheid en onafhankelijkheid van de leden van het Parlement en schending van de hun bij het Verdrag toegekende immuniteiten

91 Verzoekers’ tweede middel bestaat uit twee onderdelen: 1) schending van artikel 2 van het Statuut van de leden, waarin de beginselen van vrijheid en onafhankelijkheid van de leden van het Parlement zijn neergelegd, en 2) schending van de immuniteiten die met name bij Protocol nr. 7 aan die leden zijn toegekend.

a) Eerste onderdeel: het bestreden besluit is in strijd met de beginselen van vrijheid en onafhankelijkheid van de leden van het Parlement

92 Volgens verzoekers is het bestreden besluit zeer bezwarend en doet het ernstig afbreuk aan het in artikel 2 van het Statuut van de leden neergelegde beginsel van vrije en onafhankelijke uitoefening van het mandaat van lid van het Parlement, aangezien de leden als gevolg van dat besluit verhinderd zouden kunnen worden om zitting te nemen en hun vertegenwoordigende taak uit te oefenen, hetgeen het evenwicht van de machten en de vrije uitoefening van de democratie zou kunnen verstoren.

93 Verzoekers wijzen er in dat verband op dat de weigering van toegang tot de gebouwen van het Parlement waarin het bestreden besluit voorziet ingeval geen geldig COVID-certificaat wordt getoond, geldt ongeacht wat de reden is waarom het niet wordt getoond. Zo is het mogelijk dat een lid geen geldig COVID-certificaat kan tonen omdat hij er geen heeft of geen wil hebben, maar ook omdat hij het vergeten of verloren is, of omdat zijn smartphone niet werkt op het ogenblik van de controle. Voorts wijzen zij erop dat de leden van het Parlement die niet over een vaccinatie- of herstelcertificaat beschikken, ten minste om de twee dagen zullen moeten worden getest vanwege de beperkte geldigheid van die tests. Bovendien moet rekening worden gehouden met een aanzienlijke wachttijd tussen het tijdstip van de test en het tijdstip waarop de Quick Response Code (hierna: „QR-code”) wordt gegenereerd. Hieruit volgt dat verzoekers, indien zij maandagmorgen naar het Parlement wensen te komen, geen andere keuze hebben dan zich te laten testen op hun vrije dagen, en dat zij zich in de praktijk niet kunnen laten testen tijdens de „rode” weken van de plenaire zittingen en de „roze” weken van de trialogen, aangezien de debatten tijdens die weken ’s avonds laat eindigen en ’s morgens vroeg worden hervat.

94 Het Parlement betwist die argumenten.

95 Vooraf zij eraan herinnerd dat volgens artikel 2, lid 1, van het Statuut van de leden „[d]e leden [...] vrij en onafhankelijk [zijn]”. Evenzo bepaalt artikel 2 van het Reglement van het Parlement met name dat de leden hun mandaat vrij en onafhankelijk uitoefenen. Het beginsel van het vrij en onafhankelijk mandaat van de leden is een beginsel dat alle democratische parlementaire stelsels gemeen hebben en vormt een essentieel onderdeel van de representatieve democratie waarop de werking van de Unie is gegrond overeenkomstig artikel 10, lid 1, VEU. Dat beginsel omvat het recht van de leden van het Parlement om ongehinderd toegang te krijgen tot de gebouwen van het Parlement teneinde overeenkomstig artikel 5, lid 4, van het Reglement van het Parlement actief deel te kunnen nemen aan de werkzaamheden van de commissies en delegaties van het Parlement.

96 Het bestreden besluit vormt dus een inmenging in de uitoefening van het mandaat van de leden van het Parlement, aangezien het hun voor de toegang tot de gebouwen van het Parlement een extra voorwaarde oplegt, namelijk de verplichting om een geldig COVID-certificaat te tonen.

97 Evenwel moet erop worden gewezen dat het beginsel van het vrij en onafhankelijk mandaat van de leden van het Parlement geen absoluut beginsel is en aan bepaalde beperkingen kan worden onderworpen, met name door het Parlement krachtens zijn in artikel 232 VWEU opgenomen interne organisatiebevoegdheid, wanneer het een legitiem doel beoogt na te streven.

98 Bij elke inmenging in of beperking van het beginsel van het vrij en onafhankelijk mandaat van de leden moet evenwel het evenredigheidsbeginsel in acht worden genomen als algemeen beginsel van het Unierecht. Dat beginsel verlangt dat handelingen van de instellingen van de Unie niet verder gaan dan wat passend en noodzakelijk is ter bereiking van het beoogde doel, met dien verstande dat wanneer een keuze mogelijk is tussen meerdere geschikte maatregelen, die maatregel moet worden gekozen die de minste belasting meebrengt (zie in die zin arrest van 2 oktober 2001, Martinez e.a./Parlement, T‑222/99, T‑327/99 en T‑329/99, EU:T:2001:242, punt 215 en aldaar aangehaalde rechtspraak).

99 In de eerste plaats wordt met het bestreden besluit blijkens met name de overwegingen 1 tot en met 11 ervan een legitiem doel nagestreefd, namelijk het verzoenen van twee concurrerende belangen in het kader van een pandemie, namelijk de continuïteit van de werkzaamheden van het Parlement enerzijds en de gezondheid van de personen die zich in de gebouwen van het Parlement bevinden anderzijds.

100 Enerzijds dient het Parlement immers de continuïteit van zijn werkzaamheden uit hoofde van de Verdragen te verzekeren. Zo moest tijdens de COVID-19-pandemie het vermogen van het Parlement om zijn werkzaamheden uit te voeren, met name zijn wetgevings- en begrotingswerkzaamheden, worden gehandhaafd. Daartoe heeft het Parlement op basis van Titel XIII bis van zijn Reglement buitengewone maatregelen genomen, bestaande met name in de invoering van methoden voor deelname op afstand. Zoals evenwel blijkt uit artikel 237 bis van het Reglement van het Parlement, moeten dergelijke buitengewone maatregelen per definitie beperkt zijn in de tijd. Bijgevolg diende het Parlement zijn werkzaamheden zo spoedig mogelijk te hervatten in de gangbare vorm, dat wil zeggen met de fysieke aanwezigheid van de leden, teneinde de normale werking te verzekeren van het Parlement als instelling van de Unie waarvan de leden democratisch verkozen zijn.

101 Anderzijds dient het Parlement uit hoofde van zijn zorgplicht en zijn verplichting die met name voortvloeit uit artikel 1 sexies, lid 2, van het Statuut – dat op grond van artikel 10 van de Regeling welke van toepassing is op de andere personeelsleden van de Europese Unie (hierna: „RAP”) ook geldt voor de tijdelijke personeelsleden van de Unie – de veiligheid en de gezondheid van de ambtenaren en andere personeelsleden van de Unie te waarborgen. Een dergelijke op de instellingen van de Unie als werkgever rustende verplichting om de veiligheid van haar personeel te waarborgen, vormt geen resultaatsverplichting, maar moet bijzonder strikt worden opgevat en de beoordelingsmarge van de administratie is weliswaar niet tot nul gereduceerd, maar beperkt (zie in die zin arresten van 27 maart 1990, Grifoni/Commissie, C‑308/87, EU:C:1990:134, punt 14, en 12 mei 2011, Missir Mamachi di Lusignano/Commissie, F‑50/09, EU:F:2011:55, punt 126). Hetzelfde geldt voor de verplichting tot waarborging van de gezondheid van het personeel van de Unie. Aangezien de aanwezigheid van de leden in de gebouwen van het Parlement impliceert dat zij in contact zullen komen met het personeel van die instelling, houdt de nakoming van de verplichting om de gezondheid van dat personeel te waarborgen dus in dat het Parlement erop moet toezien dat een dergelijke terugkeer naar de normale werkzaamheden mogelijk is zonder algemene nadelige gevolgen voor de gezondheid van de in zijn gebouwen aanwezige personen, waartoe ook het personeel van die instelling behoort.

102 In dit verband heeft de medische dienst van het Parlement blijkens overweging 13 van het bestreden besluit het volgende standpunt ingenomen:

„[D]e aanwezigheid van meer personen in de gebouwen van het Parlement, de toename van het aantal reizen als gevolg van de hervatting van de dienstreizen, de grotere frequentie van nauwe contacten bij fysieke ontmoetingen en de toename van de incidentie van COVID-19 in de samenleving [leiden] tot een hoger risico van het binnenbrengen van het virus in het Europees Parlement en een hoger risico van interne besmettingen met COVID-19 en quarantaines. Bovendien moet het Europees Parlement, als internationale organisatie en voor het publiek toegankelijke instelling, rekening houden met frequente internationale reizen als een extra risicofactor die van het Parlement een besmettingshaard zou kunnen maken. Daarom moet rekening worden gehouden met de gezondheidssituatie in de gehele Unie en niet alleen met de situatie in de lidstaten waar het Parlement zijn zetel of zijn werklocaties heeft.”

103 Voorts blijkt overeenkomstig overweging 14 van het bestreden besluit uit de door de medische dienst van het Parlement verstrekte gegevens dat er in de eerste twee en een halve week van september 2021 meer gevallen werden geregistreerd van nauwe contacten met personen die op basis van een PCR-test positief waren bevonden voor COVID-19 dan in enige voorgaande maand sinds november 2020, en dat deze trend zich in de rest van september 2021 en de eerste week van oktober 2021 doorzette.

104 Gelet op het voorgaande moet derhalve worden vastgesteld dat het bestreden besluit, gelet op de informatie waarover het Parlement beschikte ten tijde van de vaststelling van dat besluit, een legitiem doel nastreeft en geen kennelijk ongeschikt instrument is om dat doel te bereiken.

105 In de tweede plaats moet worden onderzocht of het bestreden besluit geen onevenredige of onredelijke inmenging inhoudt in het vrije mandaat van de leden van het Parlement en of het dat recht niet in zijn kern aantast (zie in die zin arrest van 28 maart 2017, Rosneft, C‑72/15, EU:C:2017:236, punt 148 en aldaar aangehaalde rechtspraak).

106 Zoals het Parlement in herinnering brengt, is er dienaangaande in de gehele Unie sprake van een universele, snelle en betaalbare toegang tot COVID-19-vaccins en -tests, hetgeen de grondslag vormt voor de afgifte van COVID-certificaten. Gelet op de legitieme doelstelling van het bestreden besluit om het leven en de gezondheid van de in de gebouwen van het Parlement aanwezige personen te beschermen en tegelijkertijd de hervatting van de normale werkzaamheden van het Parlement te verzekeren, kan het tonen van een COVID-certificaat door leden die de gebouwen van het Parlement betreden dus niet worden beschouwd als een onevenredige en onredelijke inmenging in de uitoefening van het vrije mandaat.

107 Tevens moet erop worden gewezen dat het Parlement maatregelen heeft getroffen om zijn leden de nodige ondersteuning te bieden zodat zij aan de nieuwe toegangsvereisten kunnen voldoen wanneer zij niet over een COVID-certificaat beschikken, zoals de mogelijkheid om zich ter plaatse, in zijn drie werklocaties, gratis te laten testen.

108 Het bestreden besluit is bovendien beperkt tot hetgeen strikt noodzakelijk is om de hervatting van de normale werkzaamheden van het Parlement te verzekeren. Volgens het advies van de raadgevend arts van het Parlement van 10 oktober 2021 leidt de hervatting van de normale werkzaamheden van het Parlement immers onvermijdelijk tot meer gevallen van COVID-19 en tot meer quarantaines. Volgens datzelfde advies kunnen dergelijke risico’s evenwel worden beperkt door maatregelen als die waarin het bestreden besluit voorziet. Wat de bescherming van persoonsgegevens betreft, wordt bij de verificatie van de COVID-certificaten aan de ingangen van de gebouwen van het Parlement een minimale hoeveelheid persoonsgegevens getoond, zoals blijkt uit de door het Parlement verstrekte bewijzen (zie punt 177 hieronder).

109 Voorts moet worden vastgesteld dat het bestreden besluit geen permanent karakter heeft. Artikel 6 van het bestreden besluit bepaalt namelijk dat dit besluit vervalt op 31 januari 2022, tenzij het wordt verlengd, gewijzigd of ingetrokken, en dat het op gezette tijden opnieuw wordt geëvalueerd in het licht van de ontwikkelingen op het gebied van de volksgezondheid.

110 Zoals het Parlement betoogt, kan met het bestreden besluit bovendien een einde worden gemaakt aan de buitengewone maatregelen en stelt het de leden van het Parlement in staat, door hervatting van hun werkzaamheden ter plaatse hun rechten opnieuw uit te oefenen met veel minder beperkingen op de uitoefening van hun vrije en onafhankelijke mandaat dan in een procedure van deelname op afstand.

111 Ten slotte dient erop te worden gewezen, zoals ook het Parlement dit heeft gedaan, dat verzoekers geen enkele alternatieve maatregel hebben vermeld die minder ingrijpend is en tegelijkertijd het beoogde doel op vergelijkbare wijze bereikt. Dienaangaande hebben verzoekers niet aangetoond dat een hervatting van de werkzaamheden van het Parlement met fysieke aanwezigheid, zonder dat voor toegang tot de gebouwen van het Parlement een COVID-certificaat dient te worden getoond, op een vergelijkbare manier zou kunnen bijdragen tot de doelstelling van waarborging van de gezondheid van het personeel.

112 Verzoekers beroepen zich evenwel op verschillende negatieve gevolgen die het bestreden besluit voor hun situatie teweegbrengt (zie punt 93 hierboven).

113 Ten eerste dient te worden vastgesteld, voor zover verzoekers schade aanvoeren als gevolg van de weigering om een geldig COVID-certificaat te tonen of van het feit dat dit certificaat werd vergeten, dat de door hen aangevoerde schade niet voortvloeit uit louter door het bestreden besluit teweeggebrachte gevolgen, maar uit hun keuze om een dergelijk certificaat niet te tonen, aangezien zij niet stellen dat zij daartoe niet de mogelijkheid hadden (beschikking van 8 december 2021, D’Amato e.a./Parlement, T‑722/21 R, niet gepubliceerd, EU:T:2021:874, punt 23).

114 Ten tweede dient erop te worden gewezen dat de secretaris-generaal van het Parlement op grond van artikel 5, lid 2, van het bestreden besluit afwijkingen kan toestaan van de verplichting om voor de toegang tot de gebouwen van het Parlement een dergelijk certificaat te tonen, teneinde rekening te houden met bepaalde specifieke situaties.

115 Ten derde dient eraan te worden herinnerd, voor zover verzoekers aanvoeren dat zij door technische problemen met bijvoorbeeld het gebruik van een smartphone mogelijkerwijs geen geldig COVID-certificaat kunnen tonen, dat het COVID-certificaat zowel in papieren als in digitale vorm wordt aanvaard, zodat die technische problemen in beginsel moeten kunnen worden vermeden.

116 Ten vierde betogen verzoekers dat zij zeer regelmatig zouden moeten worden getest, zelfs op hun vrije dagen, en dat het onmogelijk is om zich tijdens erg drukke werkdagen te laten testen op het werk.

117 Zonder dat uitspraak behoeft te worden gedaan over de ontvankelijkheid van dit argument, moet met betrekking tot de situatie van verzoekers die gevaccineerd noch hersteld zijn, worden opgemerkt dat het Parlement zijn leden in zijn drie werklocaties de nodige steun biedt om aan de nieuwe toegangsvereisten te kunnen voldoen, ingeval zij niet in het bezit zijn van een geldig COVID-certificaat. Zo heeft het Parlement de mogelijkheid ingevoerd om zich ter plaatse, in zijn drie werklocaties, gratis te laten testen. Die mogelijkheid is bovendien aan alle personeelsleden van het Parlement meegedeeld op 28 oktober 2021, dat wil zeggen vóór de inwerkingtreding van het bestreden besluit. Voorts kan voor het verkrijgen van toegang tot de gebouwen van het Parlement ook een negatief resultaat van een in België, Luxemburg of Frankrijk uitgevoerde PCR-test worden overgelegd. Ten slotte waren de resultaten van PCR-tests aanvankelijk geldig tot twee kalenderdagen na de dag van de test, maar is de geldigheidsduur van een PCR-test in de periode van 22 november 2021 tot en met 27 januari 2022 bij besluit van de secretaris-generaal van het Parlement van 19 november 2021 verlengd tot 72 uur na uitvoering van de test.

118 Ten vijfde dient er, met betrekking tot verzoekers’ argument dat het bestreden besluit tevens een rechtstreekse inbreuk vormt op hun vertegenwoordigingsbevoegdheid als verkozen leden van het Parlement en op hun vermogen om nuttig en doeltreffend te werken, aangezien het ook geldt voor hun medewerkers en het personeel van het Parlement, op te worden gewezen – zoals ook het Parlement dat heeft gedaan – dat verzoekers geen enkel concreet argument aanvoeren waaruit blijkt dat die personen niet tijdig aan de bij het bestreden besluit opgelegde toegangsvereisten kunnen voldoen.

119 Ten zesde en ten slotte wijzen verzoekers erop dat in Frankrijk de amendementen die ertoe strekten de toegang van afgevaardigden en senatoren tot de gebouwen van de Assemblée nationale en de Sénat afhankelijk te stellen van het tonen van een COVID-certificaat, allemaal zijn verworpen op grond van met name een beslissing van de Conseil constitutionnel (grondwettelijk hof, Frankrijk) van 11 mei 2020, waarin eraan wordt herinnerd dat verschillende bepalingen van de Franse grondwet vereisen dat de vrijheid van parlementsleden bij de uitoefening van hun mandaat wordt geëerbiedigd en dat een parlementslid nooit de toegang tot het halfrond mag worden ontzegd.

120 Dienaangaande volstaat het eraan te herinneren dat het Parlement, waarvan de gebouwen zich niet alleen in Frankrijk, maar ook in België en Luxemburg bevinden, op grond van artikel 232 VWEU en artikel 25, lid 2, van zijn Reglement over een autonome rechtsgrondslag beschikt voor de vaststelling van interne organisatorische maatregelen, zoals die welke bij het bestreden besluit zijn ingevoerd, zodat het niet gebonden kan zijn door beoordelingen op het niveau van een bepaalde lidstaat.

121 Gelet op het voorgaande is de slotsom dat geen van de door verzoekers aangevoerde argumenten aantoont dat het bestreden besluit op onevenredige of onredelijke wijze afbreuk doet aan de vrije en onafhankelijke uitoefening van het mandaat van lid van het Parlement of die uitoefening in haar kern aantast.

122 Het eerste onderdeel van het tweede middel moet dus ongegrond worden verklaard.

b) Tweede onderdeel: in wezen schending van de bij Protocol nr. 7 aan de leden toegekende immuniteiten

123 Volgens verzoekers is het bestreden besluit eveneens in strijd met artikel 7, eerste alinea, van Protocol nr. 7, op grond waarvan de lidstaten de bewegingsvrijheid van de leden van het Europees Parlement niet door bestuurlijke voorschriften mogen beperken. Die bepaling moet in het licht van artikel 4, lid 3, laatste alinea, VEU aldus worden uitgelegd dat zij alle maatregelen verbiedt die de verwezenlijking van de doelstellingen van de Unie in gevaar kunnen brengen, met inbegrip van maatregelen die de werking van de instellingen van de Unie kunnen belemmeren.

124 Voorts kan er volgens verzoekers geen twijfel over bestaan dat artikel 7, eerste alinea, van Protocol nr. 7, hoewel het formeel tot de lidstaten is gericht, ook van toepassing is op de instellingen van de Unie wanneer deze zelf beperkende maatregelen zoals het bestreden besluit vaststellen. Die bepaling dient immers te worden gelezen in het licht van de bepalingen van het Handvest, en met name van de artikelen betreffende de bescherming van het privéleven en het recht op lichamelijke integriteit. Bovendien volgt uit artikel 18 van Protocol nr. 7 en artikel 5 van het Reglement van het Parlement dat het Parlement in overeenstemming met de lidstaten moet handelen om de uitvoering van Protocol nr. 7 te verzekeren. Het staat met name aan het Parlement om de onafhankelijkheid van de leden bij de uitoefening van hun taken te waarborgen en hun recht om actief deel te nemen aan de werkzaamheden van de commissies en delegaties van het Parlement veilig te stellen.

125 Het Parlement betwist die argumenten.

126 Artikel 7 van Protocol nr. 7 bepaalt dat „[d]e bewegingsvrijheid der leden van het Europees Parlement die zich naar de plaats van bijeenkomst van het Europees Parlement begeven of daarvan terugkeren [...] op geen enkele wijze [wordt] beperkt door voorschriften van bestuursrechtelijke of andere aard”.

127 Onderzocht moet worden of, zoals verzoekers betogen, die bepaling het Parlement belet maatregelen te nemen om de toegang tot zijn gebouwen te beperken of aan voorwaarden te onderwerpen, zoals die waarin het bestreden besluit voorziet.

128 Dienaangaande zij allereerst opgemerkt dat, zoals verzoekers erkennen, Protocol nr. 7 in de eerste plaats gericht is tot de lidstaten en niet tot de instellingen van de Unie.

129 Voorts bepaalt artikel 18 van Protocol nr. 7, zoals verzoekers aanvoeren, dat „[v]oor de toepassing van dit protocol [...] de instellingen van de Unie [handelen] in overeenstemming met de [...] lidstaten”. In artikel 5 van het Reglement van het Parlement staat met name dat de leden de voorrechten en immuniteiten bedoeld in Protocol nr. 7 genieten en dat de leden „[v]oor de uitoefening van hun parlementaire taken [...] over het recht [beschikken] om, met inachtneming van dit Reglement, actief aan de werkzaamheden van de commissies en delegaties van het Parlement deel te nemen”.

130 Uit die bepalingen blijkt evenwel geenszins, zelfs niet wanneer zij worden uitgelegd in het licht van de bepalingen van het Handvest betreffende met name het recht op eerbiediging van het privéleven en de lichamelijke integriteit, dat het Parlement niet bevoegd zou zijn om op basis van artikel 25, lid 2, van zijn Reglement interne organisatorische maatregelen vast te stellen, zoals die waarin het bestreden besluit voorziet. Integendeel, artikel 5 van dat Reglement bepaalt uitdrukkelijk dat het recht van de leden om actief aan de werkzaamheden van de commissies en delegaties van het Parlement deel te nemen, moet worden uitgeoefend „met inachtneming van dit Reglement”.

131 Bovendien blijkt uit artikel 176, lid 1, laatste alinea, van het Reglement van het Parlement dat „[i]n gevallen waarin dit Reglement of een door het Bureau op grond van artikel 25 vastgesteld besluit voorziet in toepassing van dit artikel, [...] de [v]oorzitter een lid een sanctie [kan] opleggen”. Indien de door verzoekers voorgestelde uitlegging van Protocol nr. 7 zou moeten worden gevolgd, zou een dergelijke bepaling zelf onwettig zijn. Evenwel moet erop worden gewezen dat verzoekers de onwettigheid van het Reglement van het Parlement niet hebben opgeworpen krachtens artikel 277 VWEU.

132 Ten slotte dient eraan te worden herinnerd dat volgens de rechtspraak de bij Protocol nr. 7 aan de Unie toegekende voorrechten en immuniteiten enkel een functioneel karakter hebben, aangezien zij bedoeld zijn om te voorkomen dat de Unie in haar werking en onafhankelijkheid wordt belemmerd. Die voorrechten en immuniteiten worden dus uitsluitend in het belang van de Unie toegekend. Hetzelfde geldt noodzakelijkerwijs voor de immuniteit van de leden van het Parlement: zij strekt ertoe te voorkomen dat de goede werking van de instelling waarvan zij lid zijn, en bijgevolg de uitoefening van de bevoegdheden van die instelling, worden belemmerd (zie beschikking van 30 september 2011, Gollnisch/Parlement, T‑346/11 R, niet gepubliceerd, EU:T:2011:553, punt 23 en aldaar aangehaalde rechtspraak). In dezelfde zin bepaalt artikel 5, lid 2, tweede zin, van het Reglement van het Parlement dat „[d]e parlementaire immuniteit [...] geen persoonlijk voorrecht van de leden [is], maar een garantie voor de onafhankelijkheid van het Parlement als geheel en van zijn leden”.

133 In het licht van de voorgaande overwegingen moet dus worden vastgesteld dat het bestreden besluit niet in strijd is met Protocol nr. 7, noch met artikel 7 ervan in het bijzonder.

134 Derhalve moet ook het tweede onderdeel van het tweede middel, en dus het tweede middel in zijn geheel, ongegrond worden verklaard.

3. Derde middel: schending van de algemene beginselen betreffende de verwerking van persoonsgegevens

135 Verzoekers’ derde middel valt uiteen in de volgende twee onderdelen: 1) schending van het beginsel van de doelgebonden verwerking van persoonsgegevens en van het legaliteitsbeginsel, en 2) schending van de beginselen van behoorlijkheid, transparantie en minimale gegevensverwerking.

a) Eerste onderdeel: schending van het beginsel van de doelgebonden verwerking van persoonsgegevens en van het legaliteitsbeginsel

136 Verzoekers herinneren eraan dat volgens het beginsel van doelbinding persoonsgegevens moeten worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en vervolgens niet op een andere manier mogen worden verwerkt. De verwerkingsverantwoordelijke kan de oorspronkelijke doeleinden van de verwerking dus alleen uitbreiden in de in artikel 6 van verordening 2018/1725 limitatief opgesomde uitzonderingsgevallen.

137 Het gebruik van de in de COVID-certificaten van verzoekers opgenomen persoonsgegevens om hun toegang tot de gebouwen van het Parlement te verschaffen is wettelijk dus slechts mogelijk indien zij voor dat doel zijn verzameld.

138 Verzoekers wijzen er echter ten eerste op dat verordening 2021/953 slechts voorziet in de verwerking van gegevens om de uitoefening van het recht om vrij op het grondgebied van de lidstaten te reizen en te verblijven tijdens de COVID‑19‑pandemie, te faciliteren. Ten tweede blijkt duidelijk uit overweging 48 van verordening 2021/953 dat indien de lidstaten de in het kader van de invoering van het COVID-certificaat verwerkte gegevens wensen te gebruiken voor andere doeleinden dan die waarin verordening 2021/953 voorziet, zij daarvoor een specifieke nationale rechtsgrondslag dienen vast te stellen. Dat beginsel is onlangs eveneens in herinnering gebracht in het gezamenlijk advies nr. 04/2021 van het Europees Comité voor gegevensbescherming (EDPB) en de Europese Toezichthouder voor gegevensbescherming (EDPS) inzake het voorstel voor een verordening van het Europees Parlement en de Raad betreffende een kader voor de afgifte, verificatie en aanvaarding van interoperabele vaccinatie-, test- en herstelcertificaten teneinde het vrije verkeer tijdens de COVID‑19‑pandemie te vergemakkelijken (digitaal groen certificaat) (hierna: „gezamenlijk advies nr. 04/2021”), alsook door de EDPS in zijn richtsnoeren „betreffende de terugkeer naar de werkplek en het testen op COVID‑immuniteit/infectiestatus door de Europese instellingen”.

139 Voorts wordt in de regeling in België, waar parlementsleden zich het vaakst zullen moeten laten testen, de toegang tot de werkplek of tot de parlementen van het land niet vermeld bij de doeleinden van de verwerking van persoonsgegevens in verband met het COVID-certificaat. Een dergelijk gebruik is zelfs uitdrukkelijk uitgesloten omdat het leidt tot een verkapte vaccinatieverplichting. Ook in Frankrijk is het gebruik van een COVID-certificaat voor toegang tot de parlementaire vergaderingen uitdrukkelijk uitgesloten.

140 Ten slotte wijzen verzoekers erop dat geen van de uitzonderingen van artikel 6 van verordening 2018/1725 op het onderhavige geval van toepassing is en dat het Parlement zich dus op geen van deze uitzonderingen kan beroepen om „de verwerking voor een ander verenigbaar doel” te rechtvaardigen.

141 Verzoekers zijn dus van mening dat bij gebreke van een nationale rechtsgrondslag die de verwerking van medische vaccinatie-, test- of herstelgegevens uitdrukkelijk toestaat om er een voorwaarde van te maken voor de toegang tot de werkplek en de parlementaire vergaderingen, de verwerking van persoonsgegevens door het Parlement het beginsel van de doelgebonden verwerking schendt en dus onwettig is.

142 Het Parlement betwist die argumenten.

143 Allereerst zij eraan herinnerd dat volgens artikel 4, lid 1, van het bestreden besluit „[p]ersoonsgegevens die tijdens het scannen van het certificaat of het gelijkwaardige certificaat worden verkregen, worden verwerkt in overeenstemming met verordening [2018/1725]”. Volgens artikel 4, lid 1, onder b), van verordening 2018/1725, dat voorziet in het beginsel van doelbinding, worden persoonsgegevens „voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld en mogen [zij] vervolgens niet op een met die doeleinden onverenigbare wijze worden verwerkt”.

144 De doeleinden van de verwerking van de in de COVID-certificaten opgenomen persoonsgegevens zijn omschreven in artikel 10, lid 2, van verordening 2021/953, waarin het volgende is bepaald:

„Voor de toepassing van deze verordening worden de persoonsgegevens in de op grond van deze verordening afgegeven certificaten uitsluitend verwerkt met het oog op de toegang tot en de verificatie van de in het certificaat opgenomen informatie, teneinde de uitoefening van het recht van vrij verkeer binnen de Unie tijdens de COVID-19-pandemie te faciliteren. Na het einde van de toepassingsduur van deze verordening worden de gegevens niet langer verwerkt.”

145 Zoals ook het Parlement dit heeft gedaan, zij er dienaangaande op gewezen dat artikel 10, lid 2, van verordening 2021/953 aldus moet worden opgevat dat de lidstaten „voor de toepassing van deze verordening”, of met andere woorden wanneer zij deze verordening uitvoeren, de in de COVID-certificaten opgenomen persoonsgegevens uitsluitend met het oog op het faciliteren van de uitoefening van het recht van vrij verkeer mogen verwerken.

146 Zoals daarentegen uitdrukkelijk blijkt uit overweging 48 van verordening 2021/953, mogen „[d]e lidstaten [...] persoonsgegevens voor andere doeleinden verwerken indien de rechtsgrondslag voor verwerking van dergelijke gegevens voor andere doeleinden, met inbegrip van de daarmee samenhangende bewaartermijnen, wordt geboden door het nationale recht, dat in overeenstemming moet zijn met het Unierecht inzake gegevensbescherming en de beginselen van doeltreffendheid, noodzakelijkheid en evenredigheid, en dat specifieke bepalingen moet bevatten waarin duidelijk de reikwijdte en omvang van de verwerking, het specifieke doel dat wordt beoogd, de categorieën entiteiten die het certificaat kunnen controleren en de relevante waarborgen ter voorkoming van discriminatie en misbruik worden vastgesteld, rekening houdend met de risico’s voor de rechten en vrijheden van de betrokkenen”.

147 Anders dan verzoekers betogen, kan uit deze overweging niet worden afgeleid dat de instellingen van de Unie, zoals het Parlement in casu, de in de COVID-certificaten opgenomen persoonsgegevens slechts voor andere dan de door verordening 2021/953 vastgestelde doeleinden mogen verwerken indien een in het nationale recht opgenomen rechtsgrondslag hen daartoe uitdrukkelijk machtigt.

148 Zoals het Parlement betoogt, valt het feit dat in de vierde volzin van overweging 48 enkel wordt verwezen naar de lidstaten en het nationale recht, en niet naar de instellingen van de Unie, immers daardoor te verklaren dat die verordening is gericht tot de lidstaten en niet tot die instellingen.

149 Vervolgens moet worden opgemerkt dat de rechtsgrond voor de verwerking van de voor het beheer en de werking van de instellingen benodigde persoonsgegevens volgens artikel 5, lid 2, van verordening 2018/1725 in het Unierecht moet worden vastgesteld.

150 Door de vaststelling van het bestreden besluit heeft het Parlement dus op basis van zijn interne organisatiebevoegdheid krachtens artikel 232 VWEU een Unierechtelijke grondslag gecreëerd, op grond waarvan het, met inachtneming van verordening 2018/1725, de in de COVID-certificaten opgenomen persoonsgegevens mag verwerken met het oog op de toegang tot zijn gebouwen in zijn drie werklocaties.

151 Verzoekers’ argumenten die op de Belgische of de Franse regeling zijn gebaseerd, moeten derhalve als niet ter zake dienend worden afgewezen, aangezien een nationale rechtsgrondslag geenszins vereist is om het Parlement toe te staan de in de COVID-certificaten opgenomen persoonsgegevens te verwerken voor andere dan de door verordening 2021/953 vastgestelde doeleinden.

152 Anders dan verzoekers stellen, worden deze vaststellingen niet tegengesproken door het gezamenlijk advies nr. 04/2021, noch door de „richtsnoeren van de EDPS betreffende de terugkeer naar de werkplek en het testen op COVID‑immuniteit/infectiestatus door de Europese instellingen”.

153 Ten eerste hebben de EDPB en de EDPS in punt 23 van het gezamenlijk advies nr. 04/2021 erop gewezen dat „elk verder gebruik van het kader en het digitale groene certificaat op basis van het recht van de lidstaten, anders dan voor het vergemakkelijken van het recht op vrij verkeer tussen EU-lidstaten, buiten het voorstel [voor een verordening van het Parlement en de Raad betreffende een kader voor de afgifte, verificatie en aanvaarding van interoperabele vaccinatie-, test- en herstelcertificaten teneinde het vrije verkeer tijdens de COVID‑19‑pandemie te vergemakkelijken (digitaal groen certificaat)] valt en derhalve ook buiten het gezamenlijk advies”.

154 Wat ten tweede de „richtsnoeren van de EDPS betreffende de terugkeer naar de werkplek en het testen op COVID-immuniteit/infectiestatus door de Europese instellingen” betreft, wordt in punt 6.1 bevestigd dat het begrip „nationaal recht” in de zin van overweging 48 van verordening 2021/953, wat de instellingen van de Unie betreft, aldus moet worden uitgelegd dat het verwijst naar artikel 1 sexies, lid 2, van het Statuut, zoals aangevuld door een uitvoeringsbesluit van een instelling houdende passende maatregelen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkenen.

155 Voor zover verzoekers schending van artikel 6 van verordening 2018/1725 aanvoeren, moet ten slotte worden opgemerkt dat die bepaling voorziet in een afwijking van het beginsel van doelbinding. In dat artikel staat immers dat „[w]anneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 25, lid 1, bedoelde doelstellingen,” de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, rekening dient te houden met een aantal criteria.

156 Zoals uit overweging 24 van het bestreden besluit blijkt, is het doel van de verwerking van persoonsgegevens in casu met name de bescherming van de volksgezondheid. Met de verwerking wordt dus een doelstelling van algemeen belang van de Unie nagestreefd als bedoeld in artikel 25, lid 1, onder c), van verordening 2018/1725, zodat de door het bestreden besluit beoogde verwerking van persoonsgegevens voor een ander doel dan dat waarin verordening 2021/953 voorziet, door die bepaling is toegestaan, voor zover zij de wezenlijke inhoud van de in die verordening neergelegde grondrechten en fundamentele vrijheden eerbiedigt en een in een democratische samenleving noodzakelijke en evenredige maatregel vormt, hetgeen in het kader van het vierde middel zal worden onderzocht.

157 Gelet op de voorgaande overwegingen en onder voorbehoud van het onderzoek van de evenredigheid van de met het bestreden besluit beoogde verwerking van verzoekers’ persoonsgegevens, moet het eerste onderdeel van het derde middel ongegrond worden verklaard.

b) Tweede onderdeel: schending van de beginselen van behoorlijkheid, transparantie en minimale gegevensverwerking

158 In de eerste plaats wijzen verzoekers erop dat het beginsel van een behoorlijke en transparante verwerking van persoonsgegevens vereist dat de betrokkene wordt ingelicht over het bestaan van de verwerking en de doeleinden ervan. Zij zijn dan ook van mening dat het gebruik van persoonsgegevens door het Parlement voor een ander doel dan dat waarvoor die gegevens krachtens de nationale wetgeving zijn verzameld, in strijd is met het transparantiebeginsel van artikel 4, lid 1, onder a), en artikel 14 van verordening 2018/1725, aangezien zij bij de verzameling van hun persoonsgegevens niet ervan in kennis zijn gesteld dat die gegevens zouden worden gebruikt om voorwaarden op te leggen voor de toegang tot hun werkplek.

159 In de tweede plaats is volgens verzoekers de verwerking van persoonsgegevens door het Parlement bij de uitvoering van het bestreden besluit niet in overeenstemming met het in artikel 4, lid 1, onder c), van verordening 2018/1725 neergelegde beginsel van minimale gegevensverwerking, voor zover artikel 4, lid 3, van het bestreden besluit bepaalt dat bij het scannen van de QR-code van het COVID-certificaat persoonsgegevens betreffende de geldigheid van het certificaat zullen worden opgevraagd en getoond.

160 De beveiligingsagenten die belast zijn met de controle van de COVID-certificaten aan de ingangen van de gebouwen van het Parlement kunnen immers gemakkelijk concluderen welk soort certificaat elke persoon heeft, aangezien de maximale geldigheidsduur 2 dagen bedraagt voor testcertificaten, 180 dagen voor herstelcertificaten en vaccinatiecertificaten geen maximale geldigheidsduur hebben. Dergelijke gegevens betreffende de geldigheid van de certificaten zijn evenwel niet noodzakelijk voor de doeleinden waarvoor zij worden verwerkt.

161 Dienaangaande wijzen zij erop dat het Parlement dit risico zelf had onderkend in het document „Beveiligingsmaatregelen ter bestrijding van COVID 19 – Effectbeoordeling inzake gegevensbescherming; hierna: „effectbeoordeling”), maar de inherente risico’s, gelet op de door het Parlement voor de verwerking van die gegevens getroffen technische en organisatorische maatregelen, gering achtte. Evenwel blijkt noch uit het bestreden besluit, noch uit enige andere mededeling aan verzoekers dat specifieke maatregelen waren getroffen om die risico’s tot een minimum te beperken.

162 Volgens verzoekers is het ook heel goed mogelijk dat beveiligingsagenten screenshots maken van die vertrouwelijke informatie. De openbaarmaking van dit soort uiterst gevoelige gegevens kan evenwel zeer ernstige gevolgen hebben voor de betrokkenen, die kunnen leiden tot stigmatisering of discriminatie op het werk. Derhalve kan niet worden aangenomen dat er sprake is van een behoorlijke verwerking van verzoekers’ persoonsgegevens.

163 In de derde plaats vrezen verzoekers een onrechtmatige en onbehoorlijke verwerking van hun persoonsgegevens wegens het risico in verband met de kwetsbaarheid van de CovidScanBe-app, waarvan aan de ingangen van de gebouwen van het Parlement gebruik wordt gemaakt om de QR-codes van de COVID-certificaten te scannen. In de effectbeoordeling is dat risico aangemerkt als een potentieel risico. Bovendien is laatstelijk een zeer ernstig veiligheidslek ontdekt bij het valideren en scannen van de QR-codes op de COVID-certificaten met behulp van de CovidScanBe-app. Dienaangaande wijzen verzoekers erop dat een procedure in kort geding strekkende tot de opschorting van de CovidScanBe-app wegens meervoudige inbreuken op verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1), aanhangig is gemaakt bij de voorzitter van de Franstalige rechtbank van eerste aanleg Brussel (België), die bij beschikking van 29 oktober 2021 het risico van een veiligheidslek voldoende bewezen achtte om een onafhankelijke deskundige aan te wijzen teneinde die lekken te onderzoeken en de eventuele schade vast te stellen. Ten slotte heeft een tweede veiligheidslek in de CovidScanBe-app betrekking op de mogelijkheid om toegang te krijgen tot gevoelige persoonsgegevens zoals de naam, de voornaam, de datum van vaccinatie, het type vaccin, het land waar het vaccin is toegediend of het aantal toegediende doses, wanneer de QR-code op het COVID-certificaat wordt gescand met behulp van de reismodule van de app.

164 Volgens verzoekers tonen deze elementen dus aan dat het bestreden besluit het beginsel van een behoorlijke en transparante verwerking van persoonsgegevens schendt.

165 Het Parlement betwist die argumenten.

166 In de eerste plaats zij eraan herinnerd dat volgens artikel 4, lid 1, onder a), van verordening 2018/1725 persoonsgegevens worden „verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is”.

167 Voorts luidt artikel 15, lid 1, van verordening 2018/1725 als volgt:

„Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens al de volgende informatie:

[...]

c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor de verwerking;

[...]”

168 Artikel 16, lid 1, onder c), van verordening 2018/1725 bepaalt dat die informatie eveneens moet worden verstrekt wanneer de persoonsgegevens niet van de betrokkene zijn verkregen.

169 Voorts staat in artikel 16, lid 4, van verordening 2018/1725 te lezen dat „[w]anneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, [hij] de betrokkene vóór die verdere verwerking informatie [verstrekt] over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2”.

170 Anders dan verzoekers betogen, volgt uit die bepalingen dus dat wanneer persoonsgegevens worden verwerkt voor een ander doel dan dat waarvoor zij aanvankelijk zijn verkregen, het uitsluitend aan de voor de verdere verwerking van die gegevens verantwoordelijke persoon staat om de betrokkenen vooraf in te lichten over dat andere doel en alle relevante verdere informatie.

171 Aangezien de in het bestreden besluit vastgestelde verwerking van persoonsgegevens, zoals het Parlement erkent, in casu een verdere verwerking is voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, diende het Parlement overeenkomstig voornoemde bepalingen de betrokkenen dus vóór die verdere verwerking informatie over dat andere doel te verstrekken.

172 Uit het door het Parlement overgelegde bewijsmateriaal blijkt evenwel duidelijk dat het aan die verplichting heeft voldaan.

173 Zoals uit die bewijzen blijkt, heeft het Parlement immers, ten eerste, voorafgaand aan de verwerking van de betrokken gegevens register nr. 464 inzake deze verwerking, vergezeld van een verklaring inzake gegevensbescherming, bekendgemaakt in zijn openbaar register van de verwerkingen. Ten tweede heeft het de leden en alle personeelsleden van het Parlement op 27 oktober 2021 een e‑mail gestuurd, waarin zij werden geïnformeerd over de doeleinden van de verwerking. Ten derde is het bestreden besluit, zoals in artikel 6, lid 1, ervan wordt gepreciseerd, „zichtbaar aangebracht bij alle toegangspunten van de gebouwen van het Parlement waar de controle wordt uitgevoerd”, hetgeen verzoekers niet betwisten.

174 Vastgesteld moet dus worden dat het Parlement heeft voldaan aan zijn uit het transparantiebeginsel voortvloeiende verplichtingen en dat verzoekers’ argument dat zij bij de aanvankelijke verzameling van hun persoonsgegevens hadden moeten worden ingelicht over het feit dat deze gegevens zouden worden gebruikt voor de toegang tot de gebouwen van het Parlement, ongegrond moet worden verklaard.

175 In de tweede plaats zij eraan herinnerd dat in artikel 4, lid 1, van verordening 2018/1725 wordt aangegeven dat „[p]ersoonsgegevens [...] toereikend [zijn], ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’)”.

176 Dienaangaande moet er om te beginnen op worden gewezen dat volgens artikel 4, leden 2 en 4, van het bestreden besluit het doel van de gegevensverwerking die na het scannen van de QR-code wordt uitgevoerd, strikt beperkt is tot het verlenen van toegang tot de gebouwen van het Parlement, en dat de bij de verificatie van de COVID-certificaten getoonde gegevens niet lokaal of extern worden opgeslagen, geregistreerd of bewaard, noch aan een ander orgaan van de Unie of een derde partij worden overgedragen en niet voor andere doeleinden mogen worden gebruikt.

177 Voorts hebben de beveiligingsagenten van het Parlement, zoals het Parlement ter terechtzitting heeft bevestigd en zonder daarin door verzoekers te zijn tegengesproken, wat het scannen betreft van QR-codes op COVID-certificaten van personen die toegang tot de gebouwen van het Parlement wensen, de instructie gekregen om de CovidScanBe-app alleen in de „evenementen”-modus te gebruiken. Zoals uit het door het Parlement overgelegde bewijsmateriaal blijkt, wordt bij gebruik van de CovidScanBe-app in de „evenementen”-modus alleen de geldigheid van het certificaat en de naam en voornaam van de persoon getoond. Hetzelfde geldt voor de Luxemburgse app CovidCheck.lu. Anders dan verzoekers stellen, wordt de geldigheidsduur van het certificaat dus niet getoond, zodat de beveiligingsagenten niet kunnen concluderen of de betrokkene is gevaccineerd, negatief is getest, dan wel van COVID-19 is hersteld.

178 Zelfs in de veronderstelling dat de beveiligingsagenten van het Parlement op de hoogte zouden kunnen zijn van de geldigheidsduur van de certificaten en daaruit zouden kunnen afleiden dat de betrokkene is gevaccineerd, hersteld of negatief getest, zou dit hoe dan ook niet noodzakelijkerwijs de door verzoekers aangevoerde ernstige gevolgen hebben.

179 Deze beveiligingsagenten zijn immers, zoals het Parlement betoogt, opgeleid om de vertrouwelijkheid van de verwerking te eerbiedigen en hebben instructies gekregen om de persoonsgegevens waartoe zij toegang hebben, niet te delen met andere personen dan die welke betrokken zijn bij de controle van de toegang tot de gebouwen. Schending van deze instructies leidt tot disciplinaire of contractuele sancties. Bovendien zijn de met de verificatie van de COVID-certificaten belaste ambtenaren en personeelsleden van het Parlement onderworpen aan een strikte geheimhoudingsplicht overeenkomstig artikel 339 VWEU en zijn zij gebonden door artikel 17 van het Statuut, dat overeenkomstig artikel 11 RAP ook van toepassing is op de tijdelijke personeelsleden en op grond waarvan het hun verboden is, ook na beëindiging van de dienst, „informatie waarvan [zij] in [hun] ambt kennis [hebben] genomen, aan onbevoegden mede te delen, tenzij die informatie reeds openbaar of voor het publiek toegankelijk is gemaakt”.

180 Volgens de door het Parlement ter terechtzitting meegedeelde informatie, die door verzoekers niet is tegengesproken, is het bovendien technisch niet mogelijk om tijdens een controle van een COVID-certificaat met behulp van een van de door de beveiligingsagenten van het Parlement gebruikte apps een screenshot te maken. Dus zelfs in het onwaarschijnlijke geval dat informatie over de geldigheidsduur van de certificaten aan het licht komt tijdens het scannen van de QR-code op het COVID-certificaat, dient het risico dat de beveiligingsagenten informatie kunnen registreren die wordt getoond op het scanningstoestel voor de door hen gebruikte app, en dat zij die informatie kunnen verspreiden buiten de daartoe gemachtigde personen, als zeer gering of zelfs onbestaande te worden beschouwd.

181 Ofschoon het aan de mogelijke kwetsbaarheid van de gebruikte app gerelateerde risico inderdaad is onderkend in de effectbeoordeling, moet worden opgemerkt dat dit risico als gering werd beschouwd, gelet op de door het Parlement in het kader van zijn verwerking van persoonsgegevens getroffen technische en organisatorische maatregelen, te weten met name het feit dat de gebruikte apps niet zijn ontworpen om na elke individuele controle de persoonsgegevens op te slaan, dat met die apps geen export van persoonsgegevens mogelijk is of dat die apps uitsluitend worden verbonden met het interne en beveiligde intranet van het Parlement.

182 Wat vervolgens de beschikking van 29 oktober 2021 van de voorzitter van de Franstalige rechtbank van eerste aanleg Brussel betreft, moet worden vastgesteld dat, anders dan verzoekers stellen, de voorzitter van die rechtbank bij die beschikking geen veiligheidslek in de CovidScanBE-app heeft vastgesteld, maar enkel een gerechtsdeskundige heeft aangesteld die moest nagaan of het aan het gebruik van deze app verbonden veiligheidsniveau als toereikend kon worden beschouwd. Zoals het Parlement aanvoert, blijkt dienaangaande uit die beschikking dat de gestelde veiligheidslekken van de CovidScanBE-app voortvloeien uit de openbaarheid van de databank Suspension list, die wordt beheerd door de Belgische autoriteiten en waarmee de app in verbinding staat. Zoals het Parlement heeft aangegeven, strekken die lekken zich evenwel niet uit tot de persoonsgegevens op de certificaten die bij de controle van de toegang tot de gebouwen van het Parlement worden getoond aan de beveiligingsagenten, aangezien overeenkomstig artikel 4, lid 4, van het bestreden besluit de controle van de COVID-certificaten door de beveiligingsagenten van het Parlement geen overdracht met zich meebrengt van persoonsgegevens van de CovidScanBE-app naar de betrokken databank.

183 Ten slotte moeten ook verzoekers’ beweringen met betrekking tot de „reis”-modus van de CovidScanBe-app worden afgewezen, aangezien de beveiligingsagenten van het Parlement, zoals hierboven reeds is opgemerkt, de app in beginsel enkel in de „evenementen”-modus gebruiken. Zoals het Parlement ter terechtzitting heeft bevestigd zonder daarin door verzoekers te zijn tegengesproken, wordt, wanneer deze app in de „reis”-modus wordt gebruikt, bij verificatie van de certificaten hoe dan ook enkel de voornaam, de achternaam en de geboortedatum van de COVID-certificaathouder en de geldigheid van dat certificaat op het scherm getoond.

184 In het licht van voorgaande overwegingen kan de door het Parlement op grond van het bestreden besluit verrichte verwerking van persoonsgegevens dus niet als onrechtmatig of onbehoorlijk worden beschouwd.

185 Derhalve moeten het tweede onderdeel van het derde middel en dus het derde middel in zijn geheel ongegrond worden verklaard.

4. Vierde middel: in wezen is er sprake van een ongerechtvaardigde en onevenredige schending van het recht op eerbiediging van het privéleven en de bescherming van persoonsgegevens, van het recht op lichamelijke integriteit, van het recht op vrijheid en veiligheid en van het recht op gelijke behandeling en non-discriminatie

186 Met hun vierde middel beroepen verzoekers zich ten eerste op schending van hun recht op eerbiediging van hun privéleven en op bescherming van hun persoonsgegevens, van hun recht op lichamelijke integriteit, vrijheid en veiligheid en van hun recht op gelijkheid voor de wet en op non-discriminatie. Ten tweede zijn zij van mening dat de schending van voornoemde rechten en beginselen in strijd is met het in artikel 52, lid 1, van het Handvest neergelegde evenredigheidsbeginsel.

187 In dit verband wijzen verzoekers op het belang van de door het Handvest beschermde grondrechten. Zij herinneren er eveneens aan dat het weliswaar niet om absolute prerogatieven gaat, maar dat elke beperking van die rechten bij wet moet zijn gesteld, de wezenlijke inhoud van die rechten moet eerbiedigen en het evenredigheidsbeginsel in acht moet nemen.

a) Gestelde schending van het recht op eerbiediging van het privéleven, van het recht op bescherming van persoonsgegevens, van het recht op lichamelijke integriteit, van het recht op vrijheid en veiligheid en van het recht op gelijke behandeling en non-discriminatie

188 In de eerste plaats stellen verzoekers dat het bestreden besluit afbreuk doet aan het in artikel 3, lid 1, van het Handvest neergelegde recht op lichamelijke integriteit, aangezien het van verzoekers die niet over een vaccinatie- of herstelcertificaat beschikken, verlangt dat zij om de twee dagen een nas