CELEX: 62010CJ0468
Language: nl
Date: 2011-11-24 00:00:00
Title: Arrest van het Hof (Derde kamer) van 24 november 2011.#Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C-468/10) en Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C-469/10) tegen Administración del Estado.#Verzoeken om een prejudiciële beslissing: Tribunal Supremo - Spanje.#Verwerking van persoonsgegevens - Richtlijn 95/46/EG - Artikel 7, sub f - Rechtstreekse werking.#Gevoegde zaken C-468/10 en C-469/10.

Gevoegde zaken C‑468/10 en C‑469/10
      Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
      en
      Federación de Comercio Electrónico y Marketing Directo (FECEMD)
      tegen
      Administración del Estado
      (verzoeken van het Tribunal Supremo om een prejudiciële beslissing)
      „Verwerking van persoonsgegevens – Richtlijn 95/46/EG – Artikel 7, sub f – Rechtstreekse werking”
      Samenvatting van het arrest
      1.        Harmonisatie van wetgevingen – Bescherming van natuurlĳke personen in verband met verwerking van persoonsgegevens – Richtlijn
            95/46 – Volledige harmonisatie – Uitputtende lijst van gevallen van rechtmatige verwerking van persoonsgegevens
      (Richtlijn 95/46 van het Europees Parlement en de Raad, art. 7)
      2.        Harmonisatie van wetgevingen – Bescherming van natuurlĳke personen in verband met verwerking van persoonsgegevens – Richtlijn
            95/46 – Voorwaarden waaronder verwerking van persoonsgegevens rechtmatig is
      (Handvest van de grondrechten van de Europese Unie, art. 7 en 8; richtlijn 95/46 van het Europees Parlement en de Raad, art. 5
            en 7, sub f)
      3.        Harmonisatie van wetgevingen – Bescherming van natuurlĳke personen in verband met verwerking van persoonsgegevens – Richtlijn
            95/46 – Beoordelingsmarge van lidstaten – Omvang
      (Richtlijn 95/46 van het Europees Parlement en de Raad, art. 5)
      4.        Harmonisatie van wetgevingen – Bescherming van natuurlĳke personen in verband met verwerking van persoonsgegevens – Richtlijn
            95/46 – Voorwaarden waaronder verwerking van persoonsgegevens rechtmatig is
      (Handvest van de grondrechten van de Europese Unie, art. 7 en 8; richtlijn 95/46 van het Europees Parlement en de Raad, art. 7,
            sub f)
      5.        Grondrechten – Eerbiediging van privéleven – Bescherming van persoonsgegevens – Beperkingen toegestaan krachtens Handvest
            van grondrechten van Europese Unie
      (Handvest van de grondrechten van de Europese Unie, art. 7, 8 en 52, lid 1)
      6.        Handelingen van de instellingen – Richtlijnen – Rechtstreekse werking – Voorwaarden
      (Art. 249, derde alinea, EG; richtlijn 95/46 van het Europees Parlement en de Raad, art. 7, sub f)
      1.        De in richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens
         en betreffende het vrije verkeer van die gegevens bedoelde harmonisatie van de nationale wettelijke regelingen beperkt zich
         niet tot een minimumharmonisatie, maar dient in beginsel tot een volledige harmonisatie te leiden. Vanuit die optiek wil die
         richtlijn het vrije verkeer van persoonsgegevens verzekeren en tevens een hoog beschermingsniveau verzekeren van de rechten
         en belangen van de personen op wie die gegevens betrekking hebben. Derhalve vloeit uit dat doel voort dat artikel 7 van die
         richtlijn een uitputtende lijst bevat van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt.
         Hieruit volgt dat de lidstaten aan artikel 7 van die richtlijn geen nieuwe beginselen betreffende de toelaatbaarheid van de
         verwerking van persoonsgegevens mogen toevoegen, noch bijkomende vereisten mogen vaststellen die de reikwijdte van een van
         de in dat artikel vervatte beginselen zouden wijzigen.
      
      Aan die uitlegging wordt geen afbreuk wordt gedaan door de bevoegdheid van de lidstaten om krachtens artikel 5 van richtlijn
         95/46 nader te bepalen onder welke voorwaarden de verwerking van persoonsgegevens rechtmatig is. De lidstaten mogen immers
         krachtens de beoordelingsmarge waarover zij op grond van artikel 5 van de richtlijn beschikken, geen andere beginselen betreffende
         de toelaatbaarheid van de verwerking van persoonsgegevens invoeren dan die welke worden genoemd in artikel 7 van die richtlijn,
         noch door middel van bijkomende vereisten de reikwijdte van de in voornoemd artikel 7 voorziene beginselen wijzigen.
      
      (cf. punten 29‑30, 32‑33, 35‑36)
      2.        Artikel 7, sub f, van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van
         persoonsgegevens en betreffende het vrije verkeer van die gegevens moet in die zin worden uitgelegd dat het zich verzet tegen
         een nationale regeling die, bij ontbreken van toestemming van de betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens,
         die noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de voor die verwerking verantwoordelijke of van
         de derde(n) aan wie de gegevens zullen worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele
         rechten en vrijheden van de betrokkene niet worden geschonden, maar ook van het vereiste dat de gegevens in voor het publiek
         toegankelijke bronnen zijn opgenomen, en aldus elke verwerking van gegevens die niet in dergelijke voor het publiek toegankelijke
         bronnen zijn opgenomen, categorisch en generiek uitsluit.
      
      Uit het doel van deze richtlijn, het vrije verkeer van persoonsgegevens te verzekeren en tevens een hoog beschermingsniveau
         te verzekeren van de rechten en belangen van de personen op wie die gegevens betrekking hebben, vloeit immers enerzijds voort
         dat artikel 7 ervan een uitputtende lijst bevat van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan
         worden aangemerkt. De lidstaten mogen derhalve geen nieuwe beginselen betreffende de toelaatbaarheid van de verwerking van
         persoonsgegevens invoeren, noch bijkomende vereisten vaststellen die de reikwijdte van een van de in dat artikel 7 vervatte
         beginselen zouden wijzigen. Bovendien mogen de lidstaten krachtens artikel 5 van die richtlijn ook geen andere beginselen
         betreffende de toelaatbaarheid van de verwerking van persoonsgegevens invoeren dan die welke worden genoemd in artikel 7,
         noch mogen zij door middel van bijkomende vereisten de reikwijdte van de in voornoemd artikel 7 voorziene beginselen wijzigen.
      
      Anderzijds kunnen de lidstaten voor het verrichten van de door artikel 7, sub f, van diezelfde richtlijn vereiste afweging
         van de aan de orde zijnde tegengestelde rechten en belangen, richtsnoeren opstellen. Zij kunnen er ook rekening mee houden
         dat de ernst van de aantasting van de grondrechten van de betrokkene door die verwerking kan verschillen naargelang de desbetreffende
         gegevens al dan niet reeds in voor het publiek toegankelijke bronnen zijn opgenomen. In het laatste geval zal de aantasting
         groter zijn.
      
      Wanneer een nationale regeling voor bepaalde categorieën persoonsgegevens de mogelijkheid van verwerking uitsluit door voor
         die categorieën de uitkomst van de afweging van de tegengestelde rechten en belangen definitief vast te stellen, zonder ruimte
         te bieden voor een afwijkende uitkomst wegens de bijzondere omstandigheden van een concreet geval, is evenwel geen sprake
         meer van een nadere bepaling, maar van een, door artikel 7, sub f, van die richtlijn verboden, bijkomend vereiste.
      
      (cf. punten 29‑30, 32, 36, 44‑49, dictum 1)
      3.        Richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende
         het vrije verkeer van die gegevens bevat regels die door een zekere soepelheid worden gekenmerkt, en laat het in tal van gevallen
         aan de lidstaten over om de bijzonderheden te regelen of een keuze uit verschillende mogelijkheden te maken. Er moet dus een
         onderscheid worden gemaakt tussen, enerzijds, nationale maatregelen die voorzien in bijkomende vereisten die de reikwijdte
         van een in artikel 7 van die richtlijn genoemd beginsel wijzigen, en, anderzijds, nationale maatregelen die enkel voorzien
         in een nadere bepaling van een van die beginselen. Het eerste soort nationale maatregelen is verboden. Enkel in het kader
         van het tweede soort nationale maatregelen beschikken de lidstaten, krachtens artikel 5 van die richtlijn, over een beoordelingsmarge.
      
      (cf. punt 35)
      4.        Artikel 7, sub f, van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van
         persoonsgegevens en betreffende het vrije verkeer van die gegevens, voorziet in twee cumulatieve voorwaarden waaraan moet
         worden voldaan wil een verwerking van persoonsgegevens geoorloofd zijn, te weten, enerzijds, dat de verwerking van de persoonsgegevens
         noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de
         derde(n) aan wie de gegevens worden verstrekt, en, anderzijds, dat de fundamentele rechten en vrijheden van de betrokkene
         niet prevaleren. De tweede van die voorwaarden brengt noodzakelijkerwijs een afweging met zich mee van de aan de orde zijnde
         tegengestelde rechten en belangen, welke in beginsel afhangt van de bijzondere omstandigheden van het concrete geval, en in
         het kader waarvan de persoon of de instelling die de afweging verricht, rekening dient te houden met het belang van de uit
         de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie voortvloeiende rechten van de betrokkene.
      
      (cf. punten 38, 40)
      5.        De eerbiediging van het in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie erkende recht op
         persoonlijke levenssfeer bij de verwerking van persoonsgegevens betreft elke informatie aangaande een geïdentificeerde of
         identificeerbare natuurlijke persoon. Niettemin volgt uit de artikelen 8, lid 2, en 52, lid 1, van het Handvest dat aan dat
         recht, onder bepaalde voorwaarden, beperkingen kunnen worden gesteld.
      
      (cf. punt 42)
      6.        In alle gevallen waarin de bepalingen van een richtlijn, inhoudelijk gezien, onvoorwaardelijk en voldoende nauwkeurig zijn,
         kunnen particulieren zich op die bepalingen beroepen tegenover de staat, met name wanneer deze verzuimt deze richtlijn binnen
         de gestelde termijn om te zetten in nationaal recht of dit op onjuiste wijze doet. Dit is het geval met artikel 7, sub f,
         van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens
         en betreffende het vrije verkeer van die gegevens. Die richtlijn laat de lidstaten weliswaar in meer of mindere ruime mate
         een beoordelingsmarge voor de uitvoering van een aantal bepalingen, maar dat artikel 7, sub f, legt hen een onvoorwaardelijke
         verplichting op.
      
      (cf. punten 51‑52, 55, dictum 2)
ARREST VAN HET HOF (Derde kamer)
      24 november 2011 (*)
      
      „Verwerking van persoonsgegevens – Richtlijn 95/46/EG – Artikel 7, sub f – Rechtstreekse werking”
      In de gevoegde zaken C‑468/10 en C‑469/10,
      betreffende verzoeken om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Tribunal Supremo (Spanje)
         bij beslissingen van 15 juli 2010, ingekomen bij het Hof op 28 september 2010, in de procedures
      
      Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),
      
      Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)
      
      tegen
      Administración del Estado,
      in tegenwoordigheid van:
      Unión General de Trabajadores (UGT) (C‑468/10 en C‑469/10),
      
      Telefónica de España SAU (C‑468/10),
      
      France Telecom España SA (C‑468/10 en C‑469/10),
      
      Telefónica Móviles de España SAU (C‑469/10),
      
      Vodafone España SA (C‑469/10),
      
      Asociación de Usuarios de la Comunicación (C‑469/10),
      
      wijst
      HET HOF (Derde kamer),
      samengesteld als volgt: K. Lenaerts (rapporteur), kamerpresident, R. Silva de Lapuerta, E. Juhász, T. von Danwitz en D. Šváby,
         rechters,
      
      advocaat-generaal: P. Mengozzi,
      griffier: M. Ferreira, hoofdadministrateur,
      gezien de stukken en na de terechtzitting op 15 september 2011,
      gelet op de opmerkingen van:
      –        de Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), vertegenwoordigd door C. Alonso Martínez en A. Creus
         Carreras, abogados,
      
      –        de Federación de Comercio Electrónico y Marketing Directo (FECEMD), vertegenwoordigd door R. García del Poyo Vizcaya en M. Á. Serrano
         Pérez, abogados,
      
      –        de Spaanse regering, vertegenwoordigd door M. Muñoz Pérez als gemachtigde,
      –        de Europese Commissie, vertegenwoordigd door I. Martínez del Peral en B. Martenczuk als gemachtigden,
      gelet op de beslissing, de advocaat-generaal gehoord, om de zaak zonder conclusie te berechten,
      het navolgende
      Arrest
      1        De verzoeken om een prejudiciële beslissing betreffen de uitlegging artikel 7, sub f, van richtlijn 95/46/EG van het Europees
         Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking
         van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31).
      
      2        Deze verzoeken zijn ingediend in het kader van een geding tussen de Asociación Nacional de Establecimientos Financieros de
         Crédito (ASNEF) en de Federación de Comercio Electrónico y Marketing Directo (FECEMD), enerzijds, en de Administración del
         Estado, anderzijds.
      
       Toepasselijke bepalingen
       Unierecht
       Richtlijn 95/46
      3        De punten 7, 8, en 10 van de considerans van richtlijn 95/46 luiden als volgt:
      
      „(7)      Overwegende dat verschillen in de mate waarin de bescherming van de rechten en vrijheden van personen, inzonderheid van de
         persoonlijke levenssfeer, op het stuk van de verwerking van persoonsgegevens in de lidstaten is gewaarborgd, het doorzenden
         van die gegevens van het grondgebied van de ene lidstaat naar dat van een andere kunnen beletten; dat deze verschillen bijgevolg
         een belemmering kunnen vormen voor de uitoefening van een reeks economische activiteiten op communautaire schaal, de mededinging
         kunnen vervalsen en de overheid kunnen beletten haar taak ten aanzien van de toepassing van het gemeenschapsrecht te vervullen;
         dat deze verschillen in beschermingsniveau het gevolg zijn van divergenties tussen de nationale wettelijke en bestuursrechtelijke
         bepalingen;
      
      (8)      Overwegende dat, teneinde de belemmeringen voor het verkeer van persoonsgegevens op te heffen, het niveau van de bescherming
         van de rechten en vrijheden van personen op het stuk van de verwerking van deze gegevens in alle lidstaten gelijkwaardig moet
         zijn; dat dit doel, dat voor de interne markt van fundamenteel belang is, niet kan worden bereikt door een optreden van de
         lidstaten alleen, gezien met name de omvang van de bestaande divergenties tussen de geldende nationale wettelijke regelingen
         ter zake en de noodzaak om de wetgevingen van de lidstaten op elkaar af te stemmen teneinde voor de grensoverschrijdende stromen
         van persoonsgegevens tot een samenhangende reglementering te komen die in overeenstemming is met de doelstelling van de interne
         markt [...]; dat een optreden van de Gemeenschap in de vorm van een onderlinge aanpassing van de wetgevingen derhalve noodzakelijk
         is;
      
      [...]
      (10)      Overwegende dat met de nationale wetgevingen betreffende de verwerking van persoonsgegevens de eerbiediging moet worden gewaarborgd
         van de fundamentele rechten en vrijheden, en met name van het recht op bescherming van de persoonlijke levenssfeer, dat tevens
         in artikel 8 van het Europese Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden [, ondertekend
         te Rome op 4 november 1950 (hierna: ‚EVRM’),] en in de algemene beginselen van het gemeenschapsrecht is erkend; dat derhalve
         de onderlinge aanpassing van deze wetgevingen niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist
         erop gericht moet zijn een hoog beschermingsniveau in de Gemeenschap te waarborgen”.
      
      4        Artikel 1 van die richtlijn, met het opschrift „Onderwerp van de richtlijn”, luidt:
      
      „1.      De lidstaten waarborgen in verband met de verwerking van persoonsgegevens, overeenkomstig de bepalingen van deze richtlijn,
         de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke
         levenssfeer.
      
      2.      De lidstaten mogen het vrije verkeer van persoonsgegevens tussen lidstaten beperken noch verbieden om redenen die met de uit
         hoofde van lid 1 gewaarborgde bescherming verband houden.”
      
      5        Artikel 5 van deze richtlijn bepaalt:
      
      „De lidstaten bepalen binnen de grenzen van de bepalingen van dit hoofdstuk nader de voorwaarden waaronder de verwerking van
         persoonsgegevens rechtmatig is.”
      
      6        In artikel 7 van richtlijn 95/46 wordt bepaald:
      
      „De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:
      a)      de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend, of
       [...]
      f)      de verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke
         of van de derde(n) aan wie de gegevens worden verstrekt, mits het belang of de fundamentele rechten en vrijheden van de betrokkene
         die aanspraak maakt op bescherming uit hoofde van artikel 1, lid 1, van deze richtlijn, niet prevaleren.”
      
      7        Artikel 13, lid 1, van deze richtlijn bepaalt:
      
      „De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in artikel 6, lid 1, artikel 10,
         artikel 11, lid 1, artikel 12 en artikel 21 bedoelde rechten en plichten indien dit noodzakelijk is ter vrijwaring van
      
      a)      de veiligheid van de staat;
      b)      de landsverdediging;
      c)      de openbare veiligheid;
      d)      het voorkomen, het onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van de beroepscodes voor gereglementeerde
         beroepen;
      
      e)      een belangrijk economisch en financieel belang van een lidstaat of van de Europese Unie, met inbegrip van monetaire, budgettaire
         en fiscale aangelegenheden;
      
      f)      een taak op het gebied van controle, inspectie of regelgeving, verbonden, ook al is dit incidenteel, met de uitoefening van
         het openbaar gezag in de onder c, d en e, bedoelde gevallen;
      
      g)      de bescherming van de betrokkene of van de rechten en vrijheden van anderen.”
       Nationaal recht
       Ley Orgánica 15/1999
      8        Ley Orgánica 15/1999 inzake de bescherming van persoonsgegevens (BOE nr. 298 van 14 december 1999, blz. 43088) zet richtlijn
         95/46 om in Spaans recht.
      
      9        Artikel 3, sub j, van Ley Orgánica 15/1999 bevat de volgende uitputtende opsomming van „voor het publiek toegankelijke bronnen”:
      
      „[...] bestanden die door eenieder kunnen worden geraadpleegd, zonder dat daaraan beperkingen worden gesteld, dan wel, in
         voorkomend geval, op de enkele voorwaarde dat een vergoeding wordt betaald. Als voor het publiek toegankelijke bronnen gelden
         uitsluitend: voor publicitaire doeleinden bestemde kopieën van kiezerslijsten, telefoongidsen onder de in de desbetreffende
         wettelijke regeling voorziene voorwaarden en lijsten van personen die deel uitmaken van beroepsorganisaties, die enkel naam,
         titel, beroep, activiteit, academische graad, adres en een vermelding van lidmaatschap van de organisatie bevatten. Tot de
         voor het publiek toegankelijke bronnen worden voorts gerekend: dagbladen, officiële publicatiebladen en de media.”
      
      10      Artikel 6, lid 1, van Ley Orgánica 15/1999 stelt de verwerking van de gegevens afhankelijk van de door de betrokkene tot uiting
         gebrachte ondubbelzinnige toestemming, tenzij de wet anders bepaalt. Zo bepaalt artikel 6, lid 2, in fine, van Ley Orgánica
         15/1999 dat de toestemming met name niet vereist is:
      
      „wanneer de gegevens zijn opgenomen in voor het publiek toegankelijke bronnen en de verwerking ervan noodzakelijk is voor
         de behartiging van een gerechtvaardigd belang van de voor het bestand verantwoordelijke of van derden aan wie de gegevens
         zullen worden meegedeeld, mits de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden”.
      
      11      Artikel 11, lid 1, van Ley Orgánica 15/1999 herinnert aan de noodzaak van toestemming van de betrokkene voor het meedelen
         van persoonsgegevens aan derden. Lid 2 van dat artikel bepaalt evenwel dat die toestemming met name niet nodig is wanneer
         het gegevens betreft die worden vermeld in voor het publiek toegankelijke bronnen.
      
       Real Decreto 1720/2007
      12      De Spaanse regering heeft aan Ley Orgánica 15/1999 uitvoering gegeven bij Real Decreto 1720/2007 (BOE nr. 17 van 19 januari
         2008, blz. 4103).
      
      13      Artikel 10, lid 1, van Real Decreto 1720/2007 staat de verwerking en overdracht van persoonsgegevens toe indien de betrokkene
         daarvoor vooraf zijn toestemming heeft verleend.
      
      14      Artikel 10, lid 2, van Real Decreto 1720/2007 bepaalt evenwel:
      
      „[...] verwerking of overdracht van persoonsgegevens zonder toestemming van de betrokkene [is] mogelijk, wanneer:
      a)      dat is toegestaan bij een voorschrift met rang van wet of een voorschrift van gemeenschapsrecht en in het bijzonder wanneer
         zich een van de volgende gevallen voordoet:
      
      –        de verwerking of de overdracht dient de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke
         of van de verkrijger van de gegevens die onder die voorschriften valt, mits het belang of de fundamentele rechten en vrijheden
         van de betrokkenen in de zin van artikel 1 van Ley Orgánica 15/1999 van 13 december 1999 niet prevaleren;
      
      –        de verwerking of de overdracht van de gegevens is noodzakelijk met het oog op de nakoming door de voor de verwerking verantwoordelijke
         van een hem bij een van die voorschriften opgelegde verplichting;
      
      b)      de gegevens waarop de verwerking of de overdracht betrekking heeft, zijn opgenomen in voor het publiek toegankelijke bronnen
         en de voor het bestand verantwoordelijke of de derde aan wie de gegevens worden meegedeeld een gerechtvaardigd belang heeft
         bij de verwerking of de kennis daarvan, mits de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden.
      
      Ingevolge dit lid mogen de openbare besturen de uit voor het publiek toegankelijke bronnen verkregen gegevens evenwel slechts
         aan de voor particuliere bestanden verantwoordelijken meedelen wanneer hun dat krachtens een voorschrift met rang van wet
         is toegestaan.”
      
       Hoofdgedingen en prejudiciële vragen
      15      De ASNEF en de FECEMD hebben bij de bestuursrechter beroep ingesteld tegen een aantal artikelen van Real Decreto 1720/2007.
      
      16      Artikel 10, lid 2, sub a, eerste streepje, en sub b, eerste alinea, is een van de aangevochten artikelen die volgens de ASNEF
         en de FECEMD inbreuk maken op artikel 7, sub f, van richtlijn 95/46.
      
      17      De ASNEF en de FECEMD betogen met name dat het Spaanse recht aan het gerechtvaardigde belang als voorwaarde voor het verwerken
         van gegevens zonder toestemming van de betrokkene een voorwaarde toevoegt die in richtlijn 95/46 niet wordt gesteld, namelijk
         dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen.
      
      18      Het Tribunal Supremo is van mening dat de gegrondheid van de door de ASNEF en de FECEMD ingestelde beroepen in hoge mate afhangt
         van de wijze waarop het Hof artikel 7, sub f, van richtlijn 95/46 uitlegt. Zo is het van mening dat wanneer de lidstaten geen
         aanvullende voorwaarden mogen stellen en deze bepaling rechtstreekse werking heeft, artikel 10, lid 2, sub b, van Real Decreto
         1720/2007 buiten toepassing moet worden gelaten.
      
      19      Het Tribunal Supremo stelt dat bij ontbreken van toestemming van de betrokkene, het Spaanse recht de mogelijkheid tot verwerking
         van diens persoonsgegevens, die noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de verantwoordelijke
         of van de derde(n) aan wie de gegevens zullen worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele
         rechten en vrijheden van de betrokkene niet worden geschonden, maar ook van het vereiste dat die gegevens zijn opgenomen in
         de bestanden die worden opgesomd in artikel 3, sub j, van Ley Orgánica 15/1999. Dienaangaande is het van oordeel dat Ley Orgánica
         15/1999 en Real Decreto 1720/2007 de werkingssfeer van artikel 7, sub f, van richtlijn 95/46 beperken.
      
      20      Volgens het Tribunal Supremo voert die beperking een belemmering van het vrije verkeer van persoonsgegevens in die enkel verenigbaar
         is met richtlijn 95/46 voor zover de bescherming van de fundamentele rechten en vrijheden van de betrokkene dat verlangt.
         Het leidt hieruit af dat de strijdigheid tussen die richtlijn en het Spaanse recht alleen kan worden opgeheven door ervan
         uit te gaan dat het vrije verkeer van persoonsgegevens die zijn opgenomen in andere bestanden dan die welke worden opgesomd
         in artikel 3, sub j, van Ley Orgánica 15/1999, de fundamentele rechten en vrijheden van de betrokkene schendt.
      
      21      Niettemin vraagt het Tribunal Supremo zich af of een dergelijke uitlegging verenigbaar is met de wil van de Uniewetgever.
      
      22      In die omstandigheden heeft het Tribunal Supremo, van oordeel dat de oplossing van de twee zaken afhangt van een uitlegging
         van bepalingen van Unierecht, de behandeling van de zaken geschorst en het Hof de volgende, in deze twee zaken gelijkluidende,
         prejudiciële vragen gesteld:
      
      „1)      Moet artikel 7, sub f, van richtlijn 95/46[...] aldus worden uitgelegd dat het zich verzet tegen een nationale wettelijke
         regeling die, bij ontbreken van toestemming van de betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens,
         die noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de verantwoordelijke of van de derden aan wie de
         gegevens zullen worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden
         van de betrokkene niet worden geschonden, maar ook van het vereiste dat de gegevens in voor het publiek toegankelijke bronnen
         zijn opgenomen?
      
      2)      Voldoet voornoemd artikel 7, sub f, aan de in de rechtspraak van het Hof […] gestelde voorwaarden voor rechtstreekse werking?”
      23      Bij beschikking van de president van het Hof van 26 oktober 2010 zijn de zaken C‑468/10 en C‑469/10 gevoegd voor de schriftelijke
         en de mondelinge behandeling alsmede voor het arrest.
      
       Beantwoording van de prejudiciële vragen
       Eerste vraag
      24      Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 7, sub f, van richtlijn 95/46 in die zin
         moet worden uitgelegd dat het zich verzet tegen een nationale wettelijke regeling die, bij ontbreken van toestemming van de
         betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens, die noodzakelijk is voor de behartiging van een gerechtvaardigd
         belang dat wordt nagestreefd door de voor die verwerking verantwoordelijke of door de derde(n) aan wie die gegevens zullen
         worden meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkene
         niet worden geschonden, maar ook van het vereiste dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen.
      
      25      Ingevolge artikel 1 van richtlijn 95/46 waarborgen de lidstaten in verband met de verwerking van persoonsgegevens, de bescherming
         van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer
         (zie in die zin arrest van 16 december 2008, Huber, C‑524/06, Jurispr. blz. I‑9705, punt 47).
      
      26      Overeenkomstig hoofdstuk II van richtlijn 95/46, met het opschrift „Algemene voorwaarden voor de rechtmatigheid van de verwerking
         van persoonsgegevens”, moet elke verwerking van persoonsgegevens, behoudens de op grond van artikel 13 van deze richtlijn
         toegestane uitzonderingen, stroken met de in artikel 6 van die richtlijn genoemde beginselen betreffende de kwaliteit van
         de gegevens, en met een van de zes in artikel 7 van de richtlijn genoemde beginselen betreffende de toelaatbaarheid van gegevensverwerking
         (zie in die zin arrest van 20 mei 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 en C‑139/01, Jurispr. blz. I‑4989,
         punt 65, en reeds aangehaald arrest Huber, punt 48).
      
      27      Blijkens punt 7 van de considerans van richtlijn 95/46 kunnen de totstandbrenging en de werking van de interne markt door
         de verschillen tussen de nationale regelingen voor de verwerking van persoonsgegevens ernstig worden geschaad (zie arrest
         van 6 november 2003, Lindqvist, C‑101/01, Jurispr. blz. I‑12971, punt 79).
      
      28      In dit verband moet eraan worden herinnerd dat richtlijn 95/46, zoals met name blijkt uit punt 8 van de considerans, de bescherming
         van de rechten en vrijheden van personen op het stuk van de verwerking van persoonsgegevens in alle lidstaten op hetzelfde
         niveau wil brengen. Punt 10 van de considerans voegt daaraan toe dat de onderlinge aanpassing van de ter zake geldende nationale
         wetgevingen niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist erop gericht moet zijn een hoog
         beschermingsniveau in de Unie te waarborgen (zie in die zin reeds aangehaalde arresten Lindqvist, punt 95, en Huber, punt 50).
      
      29      Eerder is dan ook geoordeeld dat de harmonisatie van vorenbedoelde nationale wettelijke regelingen zich niet beperkt tot een
         minimumharmonisatie, maar in beginsel tot een volledige harmonisatie dient te leiden. Vanuit die optiek wil richtlijn 95/46
         het vrije verkeer van persoonsgegevens verzekeren maar tevens een hoog beschermingsniveau verzekeren van de rechten en belangen
         van de personen op wie die gegevens betrekking hebben (zie reeds aangehaald arrest Lindqvist, punt 96).
      
      30      Derhalve vloeit uit het doel om in alle lidstaten een gelijkwaardige bescherming te bieden voort, dat artikel 7 van richtlijn
         95/46 een uitputtende lijst bevat van gevallen waarin een verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt.
      
      31      Die uitlegging vindt steun in de termen „slechts mag geschieden indien” en het voegwoord „of” in artikel 7 van richtlijn 95/46,
         die het uitputtende karakter van de in dat artikel opgenomen lijst doen uitkomen.
      
      32      Hieruit volgt dat de lidstaten aan artikel 7 van richtlijn 95/46 geen nieuwe beginselen betreffende de toelaatbaarheid van
         de verwerking van persoonsgegevens mogen toevoegen, noch bijkomende vereisten mogen vaststellen die de reikwijdte van een
         van de zes in dat artikel vervatte beginselen zouden wijzigen.
      
      33      Aan bovenstaande uitlegging wordt geen afbreuk wordt gedaan door artikel 5 van richtlijn 95/46. Dat artikel staat de lidstaten
         immers enkel toe om, binnen de grenzen van hoofdstuk II van die richtlijn en dus binnen de grenzen van artikel 7 ervan, de
         voorwaarden nader te bepalen waaronder de verwerking van persoonsgegevens rechtmatig is.
      
      34      Van de beoordelingsmarge waarover de lidstaten krachtens voornoemd artikel 5 beschikken, kan dus enkel gebruik worden gemaakt
         in overeenstemming met het doel van richtlijn 95/46, dat erin bestaat een evenwicht tussen het vrije verkeer van persoonsgegevens
         en de bescherming van de persoonlijke levenssfeer te verzekeren (zie reeds aangehaald arrest Lindqvist, punt 97).
      
      35      Richtlijn 95/46 bevat regels die door een zekere soepelheid worden gekenmerkt, en laat het in tal van gevallen aan de lidstaten
         over om de bijzonderheden te regelen of een keuze uit verschillende mogelijkheden te maken (zie reeds aangehaald arrest Lindqvist,
         punt 83). Er moet dus een onderscheid worden gemaakt tussen, enerzijds, nationale maatregelen die voorzien in bijkomende vereisten
         die de reikwijdte van een in artikel 7 van richtlijn 95/46 genoemd beginsel wijzigen, en, anderzijds, nationale maatregelen
         die enkel voorzien in een nadere bepaling van een van die beginselen. Het eerste soort nationale maatregelen is verboden.
         Enkel in het kader van het tweede soort nationale maatregelen beschikken de lidstaten, krachtens artikel 5 van richtlijn 95/46,
         over een beoordelingsmarge.
      
      36      Hieruit volgt dat de lidstaten krachtens artikel 5 van richtlijn 95/46 ook geen andere beginselen betreffende de toelaatbaarheid
         van de verwerking van persoonsgegevens mogen invoeren dan die welke worden genoemd in artikel 7 van die richtlijn, noch door
         middel van bijkomende vereisten de reikwijdte van de zes in voornoemd artikel 7 voorziene beginselen mogen wijzigen.
      
      37      In het onderhavige geval bepaalt artikel 7, sub f, van richtlijn 95/46 dat de verwerking van persoonsgegevens geoorloofd is
         indien „de verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke
         of van de derde(n) aan wie de gegevens worden verstrekt, mits het belang of de fundamentele rechten en vrijheden van de betrokkene
         die aanspraak maakt op bescherming uit hoofde van artikel 1, lid 1, van deze richtlijn, niet prevaleren”.
      
      38      Genoemd artikel 7, sub f, voorziet in twee cumulatieve voorwaarden waaraan moet worden voldaan wil een verwerking van persoonsgegevens
         geoorloofd zijn, te weten, enerzijds, dat de verwerking van de persoonsgegevens noodzakelijk is voor de behartiging van het
         gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt,
         en, anderzijds, dat het belang of de fundamentele rechten en vrijheden van de betrokkene niet prevaleren.
      
      39      Hieruit volgt dat, wat de verwerking van persoonsgegevens betreft, artikel 7, sub f, van richtlijn 95/46 zich verzet tegen
         elke nationale wettelijke regeling die, bij ontbreken van toestemming van de betrokkene, naast de twee in het voorgaande punt
         genoemde cumulatieve voorwaarden, bijkomende vereisten oplegt.
      
      40      Niettemin moet rekening worden gehouden met het feit dat de tweede van die voorwaarden noodzakelijkerwijs een afweging met
         zich meebrengt van de aan de orde zijnde tegengestelde rechten en belangen, welke in beginsel afhangt van de bijzondere omstandigheden
         van een concreet geval en in het kader waarvan de persoon of de instelling die de afweging uitvoert rekening dient te houden
         met het belang van de uit de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”)
         voortvloeiende rechten van de betrokkene.
      
      41      In dat verband zij opgemerkt dat artikel 8, lid 1, van het Handvest bepaalt dat „[e]enieder recht [heeft] op bescherming van
         de hem betreffende persoonsgegevens”. Dat fundamentele recht houdt nauw verband met het in artikel 7 van het Handvest neergelegde
         recht op eerbiediging van het privéleven (arrest van 9 november 2010, Volker en Markus Schecke en Eifert, C‑92/09 en C‑93/09,
         nog niet gepubliceerd in de Jurisprudentie, punt 47).
      
      42      Volgens de rechtspraak van het Hof betreft de eerbiediging van het in de artikelen 7 en 8 van het Handvest erkende recht op
         persoonlijke levenssfeer bij de verwerking van persoonsgegevens gelijk welke informatie aangaande een geïdentificeerde of
         identificeerbare natuurlijke persoon (zie reeds aangehaald arrest Volker en Markus Schecke en Eifert, punt 52). Niettemin
         volgt uit de artikelen 8, lid 2, en 52, lid 1, van het Handvest dat aan dat recht, onder bepaalde voorwaarden, beperkingen
         kunnen worden gesteld.
      
      43      Bovendien moeten de lidstaten bij de omzetting van richtlijn 95/46 erop toezien dat zij zich baseren op een uitlegging daarvan
         die het mogelijk maakt een juist evenwicht tussen de verschillende door de rechtsorde van de Unie beschermde grondrechten
         te verzekeren (zie naar analogie arrest van 29 januari 2008, Promusicae, C‑275/06, Jurispr. blz. I‑271, punt 68).
      
      44      Wat de door artikel 7, sub f, van richtlijn 95/46 vereiste afweging betreft, kan er rekening mee worden gehouden dat de ernst
         van de aantasting door die verwerking van de grondrechten van de betrokkene kan verschillen naargelang van de vraag of de
         desbetreffende gegevens reeds in voor het publiek toegankelijke bronnen zijn opgenomen.
      
      45      Anders dan in het geval van verwerking van gegevens die in voor het publiek toegankelijke bronnen zijn opgenomen, impliceert
         de verwerking van gegevens die zijn opgenomen in niet voor het publiek toegankelijke bronnen immers noodzakelijkerwijs dat
         de informatie over het privéleven van de betrokkene inmiddels bekend is bij de voor de verwerking verantwoordelijke en, in
         voorkomend geval, bij de derde(n) aan wie de gegevens worden verstrekt. Deze grotere aantasting van de rechten van de betrokkene
         die zijn vastgelegd in de artikelen 7 en 8 van het Handvest, moet op haar juiste waarde worden geschat, door haar in evenwicht
         te brengen met het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens
         worden verstrekt.
      
      46      Dienaangaande moet worden beklemtoond dat niets zich ertegen verzet dat de lidstaten in het kader van hun in artikel 5 van
         richtlijn 95/46 vastgelegde beoordelingsvrijheid richtsnoeren opstellen voor die afweging.
      
      47      Wanneer een nationale wettelijke regeling voor bepaalde categorieën persoonsgegevens de mogelijkheid van verwerking uitsluit,
         door voor die categorieën de uitkomst van de afweging van tegengestelde rechten en belangen definitief vast te stellen, zonder
         ruimte te bieden voor een afwijkende uitkomst wegens de bijzondere omstandigheden van een concreet geval, is evenwel geen
         sprake meer van een nadere bepaling in de zin van voornoemd artikel 5.
      
      48      Behoudens artikel 8 van richtlijn 95/46, dat betrekking heeft op de verwerking van bijzondere categorieën gegevens – welke
         bepaling in het hoofdgeding niet aan de orde is – verzet artikel 7, sub f, van die richtlijn zich er derhalve tegen dat een
         lidstaat voor bepaalde categorieën persoonsgegevens categorisch en generiek de mogelijkheid van verwerking uitsluit, zonder
         ruimte te bieden voor een afweging van de betrokken tegengestelde rechten en belangen in een concreet geval.
      
      49      Gelet op deze overwegingen dient op de eerste vraag te worden geantwoord dat artikel 7, sub f, van richtlijn 95/46 in die
         zin moet worden uitgelegd dat het zich verzet tegen een nationale wettelijke regeling die, bij ontbreken van toestemming van
         de betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens, die noodzakelijk is voor de behartiging van een
         gerechtvaardigd belang van de voor die verwerking verantwoordelijke of van de derde(n) aan wie de gegevens zullen worden meegedeeld,
         niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkene niet worden geschonden,
         maar ook van het vereiste dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen, en aldus elke verwerking
         van gegevens die niet in dergelijke voor het publiek toegankelijke bronnen zijn opgenomen, categorisch en algemeen uitsluit.
      
       Tweede vraag
      50      Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 7, sub f, van richtlijn 95/46 rechtstreekse
         werking heeft.
      
      51      Dienaangaande dient eraan te worden herinnerd dat uit vaste rechtspraak van het Hof volgt dat in alle gevallen waarin de bepalingen
         van een richtlijn inhoudelijk gezien onvoorwaardelijk en voldoende nauwkeurig zijn, particulieren zich op die bepalingen kunnen
         beroepen tegenover de staat, met name wanneer hij verzuimt deze richtlijn binnen de gestelde termijn om te zetten in nationaal
         recht of dit op onjuiste wijze doet (zie arrest van 3 maart 2011, Auto Nikolovi, C‑203/10, nog niet gepubliceerd in de Jurisprudentie,
         punt 61 en aldaar aangehaalde rechtspraak).
      
      52      Vastgesteld moet worden dat artikel 7, sub f, van richtlijn 95/46 voldoende nauwkeurig is om door een particulier te worden
         aangevoerd en door de nationale rechterlijke instanties te worden toegepast. Bovendien laat richtlijn 95/46 de lidstaten weliswaar
         ontegenzeglijk in meer of minder ruime mate een beoordelingsmarge voor de uitvoering van een aantal bepalingen, maar legt
         artikel 7, sub f, een onvoorwaardelijke verplichting op (zie naar analogie reeds aangehaald arrest Österreichischer Rundfunk
         e.a., punt 100).
      
      53      Het gebruik van de term „mits” in de tekst zelf van artikel 7, sub f, van richtlijn 95/46 doet niet af aan het onvoorwaardelijke
         karakter van die bepaling in de zin van die rechtspraak.
      
      54      Die term beoogt immers een van de twee in artikel 7, sub f, van richtlijn 95/46 vastgelegde cumulatieve voorwaarden vast te
         leggen waaraan de mogelijkheid van verwerking van persoonsgegevens zonder toestemming van de betrokkene is onderworpen. Aangezien
         die voorwaarde duidelijk is omschreven, ontneemt zij artikel 7, sub f, niet zijn nauwkeurige en onvoorwaardelijke karakter.
      
      55      Mitsdien moet op de tweede vraag worden geantwoord dat artikel 7, sub f, van richtlijn 95/46 rechtstreekse werking heeft.
      
       Kosten
      56      Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale
         rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof
         gemaakte kosten komen niet voor vergoeding in aanmerking.
      
      Het Hof (Derde kamer) verklaart voor recht:
      1)      Artikel 7, sub f, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming
            van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens,
            moet in die zin worden uitgelegd dat het zich verzet tegen een nationale wettelijke regeling die, bij ontbreken van toestemming
            van de betrokkene, de mogelijkheid tot verwerking van diens persoonsgegevens, die noodzakelijk is voor de behartiging van
            een gerechtvaardigd belang van de voor die verwerking verantwoordelijke of van de derde(n) aan wie de gegevens zullen worden
            meegedeeld, niet alleen afhankelijk stelt van de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkene niet
            worden geschonden, maar ook van het vereiste dat de gegevens in voor het publiek toegankelijke bronnen zijn opgenomen, en
            aldus elke verwerking van gegevens die niet in dergelijke voor het publiek toegankelijke bronnen zijn opgenomen, categorisch
            en algemeen uitsluit.
      2)      Artikel 7, sub f, van richtlijn 95/46 heeft rechtstreekse werking.
      ondertekeningen
      * Procestaal: Spaans.