Samenvatting Onderneming & Privacy
Les 1
HvJ EG 15 juli 1964 Costa/E.N.E.L. ECLI:EU:1964:66
Essentie
Het EEG-verdrag heeft in tegenstelling tot andere internationale verdragen een
eigen, autonome rechtsorde gecreëerd. Bij inwerkingtreding van het verdrag is deze
rechtsorde in de rechtsorde van de lidstaten opgenomen, de nationale rechters
moeten hier rekening mee houden.
Rechtsregel
Het Europees recht vloeit voort uit autonome bron en kan op grond van zijn
bijzondere karakter niet door enige voorschrift van nationaal recht opzij worden
gezet. Het Europees recht heeft dus, onafhankelijk van de nationale rechtsorde,
voorrang op strijdige nationale bepalingen.
Inhoud arrest
De zaak gaat tussen een advocaat, Costa, en een voormalig staatsbedrijf van Italië
dat op het gebied van energievoorziening actief is, E.N.E.L.. Vanwege een Italiaanse
nationalisatiewet wordt een bedrijf waar Costa aandelenbelang in heeft
geïncorporeerd in E.N.E.L.. Costa verzoekt de nationale rechter prejudiciële vragen
te stellen over verenigbaarheid van de nationalisatiewet met een aantal bepalingen
van Europees recht.
De prejudiciële vragen zien op de verenigbaarheid van de nationalisatiewet met een
aantal artikelen van het EEG-verdrag. In reactie hierop stelt de Italiaanse regering
dat de nationalisatiewet boven het Europees recht gaat, de behandeling van deze
stelling is de kern van het arrest. Het HvJ overweegt, in antwoord op de stelling van
Italië, dat met het EEG-verdrag een eigen, autonome rechtsorde is gecreëerd. De
lidstaten hebben namelijk hun soevereiniteit op beperkt terrein begrensd en hebben
daarmee een rechtsstelsel in het leven geroepen dat zowel bindend is voor hun
onderdanen als voor henzelf. Nationale rechters moeten hier rekening mee houden.
Eenzijdige wettelijke voorschriften van de lidstaten kunnen om deze reden niet
boven het Europees recht worden gesteld. Zonder deze voorrang van het Europees
recht zouden bepaling van Europees recht namelijk betekenisloos zijn, wat in strijd
is met het autonome karakter van de Europese rechtsorde. Wat betreft de vragen
van de Italiaans rechter oordeelt het HvJ dat de nationalisatiewet verenigbaar is met
de bepalingen van Europees recht.
De kern van het arrest ligt echter in de voorrang die het HvJ verbindt aan het
Europese recht. Samen met HvJ Van Gend en Loos, waar het ging om de directe
werking van het Europees recht, heeft het HvJ met dit arrest bepaald dat de EEG
een zekere mate van soevereiniteit heeft. Samenhangend met deze soevereiniteit is
de controversiële stelling dat de Europese rechter de bevoegdheid heeft om te
oordelen over welke gebieden hij bevoegd is. Dit kan getypeerd worden met het
Duitse begrip ‘kompetenz-kompetenz’. In het licht van deze twee klassieke arrest
kan men het moeilijk met deze stelling oneens zijn.
,Les 2:
Practice note: Persoonsgegevens
HET BEGRIP ‘PERSOONSGEGEVENS’
De AVG is van toepassing op verwerkingen van persoonsgegevens. Wat
persoonsgegevens zijn, wordt in art. 4 lid 1 AVG gedefinieerd: Alle informatie over
een geïdentificeerde of identificeerbare natuurlijke persoon (de betrokkene); als
identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan
worden geïdentificeerd, met name aan de hand van een identificator zoals een
naam, een identificatienummer, locatiegegevens, een online identificator of van een
of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische,
psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.
Alle informatie
De definitie begint met aan te geven dat het om alle informatie gaat. Dit betekent
dat het niet om een grote hoeveelheid gegevens hoeft te gaan, maar dat één
gegeven genoeg is om te kunnen spreken van persoonsgegevens. Verder gaat het
om informatie in welke vorm dan ook. Hiertoe behoort bijvoorbeeld informatie op
papier, informatie op video en opgeslagen op de computer/in de cloud.
Over een natuurlijke persoon
De informatie moet wel betrekking hebben op een natuurlijke persoon. De gegevens
moeten iets over de persoon zeggen.
‘Geïdentificeerde’ of ‘identificeerbare’
De informatie moet gaan om een geïdentificeerde of identificeerbare persoon.
- Een persoon is geïdentificeerd wanneer deze uniek van andere personen te
onderscheiden is.
- Een persoon is identificeerbaar wanneer deze nog niet geïdentificeerd is,
maar dit zonder onevenredige inspanning wel mogelijk is. Bijvoorbeeld door
gegevens te koppelen met direct identificerende gegevens of als gegevens
door hun onderlinge combinatie zodanig uniek zijn dat ze maar op één
persoon betrekking kunnen hebben. Daarbij kan hulp van derden nodig zijn.
Dit volgt onder andere uit het arrest Breyer, waarin wordt bevestigd dat voor
de kwalificatie van een gegeven als persoonsgegeven niet is vereist dat alle
informatie aan de hand waarvan een persoon kan worden geïdentificeerd bij
een en dezelfde persoon berust.
Het gaat bij identificeerbaarheid verder niet om de hypothetische mogelijkheid dat
gegevens gekoppeld of gecombineerd kunnen worden, maar dus om de vraag of dit
zonder onevenredige inspanning kan. Hierbij speelt de beschikbaarheid over de
juiste middelen, technologieën en mogelijkheden om een persoon te identificeren
een rol.
‘Identificatoren’ en ‘kenmerkende elementen’
Om een persoon te identificeren wordt gebruik gemaakt van identificatoren of
kenmerkende elementen. De definitie in art. 4 AVG geeft verschillende voorbeelden
daarvan. In ieder geval kan met gebruik van een identificator of een kenmerkend
element een persoon geïdentificeerd worden. Al deze identificatoren en
kenmerkende element zijn persoonsgegevens.
‘Direct’ of ‘indirect’
Het maakt volgens de definitie niet uit of de persoon direct of indirect kan worden
geïdentificeerd met behulp van identificatoren of kenmerkende elementen. In
,allebei de gevallen is sprake van persoonsgegevens, namelijk direct en indirecte
persoonsgegevens.
Van directe persoonsgegevens is sprake wanneer de gegevens betrekking hebben
op een persoon waarvan de identiteit zonder veel moeite vast te stellen is. Daarbij
kan gedacht worden aan naam, adres geboortedatum.
Op zichzelf of in combinatie met elkaar zijn deze gegevens uniek en kenmerkend
voor een bepaalde persoon, waardoor met zekerheid of met een grote mate van
waarschijnlijkheid deze persoon kan worden geïdentificeerd.
Indirecte persoonsgegevens zijn gegevens die in combinatie met andere gegevens
herleidbaar zijn tot een bepaalde persoon. Daarbij kan gedacht worden aan
kentekennummer, WOZ-waarde, IP-adres.
Hoewel met deze gegevens op zichzelf een persoon meestal nog niet geïdentificeerd
kan worden, kunnen zij door hun onderlinge samenhang of door koppeling aan
andere gegevens alsnog leiden tot identificatie.
WAT ZIJN GEEN PERSOONSGEGEVENS?
Informatie over een overleden persoon, van organisaties en geanonimiseerde
gegevens zijn geen persoonsgegevens. Wanneer het te veel tijd, geld en moeite
kost om een persoon te kunnen identificeren, is in beginsel ook geen sprake van een
persoonsgegeven.
Anonieme gegevens
Persoonsgegevens waarbij de identiteitsgegevens zijn verwijderd, die zijn
versleuteld of gepseudonimiseerd, maar die kunnen worden gebruikt om iemand
opnieuw te identificeren, blijven persoonsgegevens en vallen binnen het
toepassingsgebied van de AVG.
Persoonsgegevens die zo zijn geanonimiseerd dat de persoon niet of niet langer kan
worden geïdentificeerd, worden niet langer als persoonsgegevens beschouwd.
Gegevens zijn pas echt geanonimiseerd als de anonimisering onomkeerbaar is.
SOORTEN PERSOONSGEGEVENS
De AVG maakt een onderscheid tussen gewone persoonsgegevens, bijzondere
persoonsgegevens en strafrechtelijke persoonsgegevens. Deze laatste twee
categorieën zijn, gelet op hun aard, gevoelige gegevens.
Gewone persoonsgegevens
Gewone persoonsgegevens mogen worden verwerkt als een grondslag aanwezig is.
Bijzondere persoonsgegevens (art. 9 AVG)
Bijzondere persoonsgegevens zijn gegevens over iemands:
o ras of etnische afkomst;
o politieke opvattingen;
o godsdienst of levensovertuiging;
o lidmaatschap van een vakbond;
o genetische of biometrische gegevens met oog op unieke identificatie;
o gezondheid;
o seksuele leven;
o strafrechtelijk verleden.
Het verwerken van deze gegevens is verboden, tenzij een wettelijke uitzondering
van toepassing is conform art. 9 AVG en art. 22 UAVG én een beroep kan worden
gedaan op een van de grondslagen voor het verwerken van gewone
, persoonsgegevens. Deze gegevens zijn gevoelig van aard en daarom biedt de AVG
extra bescherming rondom de verwerking van deze gegevens.
De uitzonderingen zijn:
1. Iemand heeft uitdrukkelijk toestemming gegeven voor de verwerking van
zijn/haar persoonsgegevens.
2. De verwerking is noodzakelijk om verplichtingen uit te voeren of specifieke
rechten uit te oefenen van u of de betrokken persoon. Dit op het gebied van
het arbeidsrecht, het socialezekerheidsrecht en het socialebeschermingsrecht
(alleen als het in een wet staat).
3. De verwerking is noodzakelijk om de vitale belangen van de betrokken
persoon of van een andere natuurlijke persoon te beschermen. Dit geldt
alleen wanneer diegene fysiek of juridisch niet in staat is om zijn/haar
toestemming te geven.
4. U verwerkt de gegevens als stichting, vereniging of andere instantie zonder
winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of
vakbondsgebied werkzaam is. En u verwerkt de gegevens voor
gerechtvaardigde activiteiten en met passende waarborgen.
5. U verwerkt persoonsgegevens die de betrokkene zelf openbaar heeft
gemaakt.
6. De verwerking is noodzakelijk om een rechtsvordering in te stellen, uit te
oefenen of te onderbouwen. Of u handelt als gerecht vanuit uw
rechtsbevoegdheid.
7. De verwerking is noodzakelijk voor een zwaarwegend algemeen belang
(alleen als het in een wet staat).
8. De verwerking is noodzakelijk voor doeleinden van preventieve of
(arbeids)geneeskundige aard. Zoals het beoordelen van arbeidsgeschiktheid
en/of het verstrekken van gezondheidszorg (alleen als het in een wet staat).
9. De verwerking is noodzakelijk voor de volksgezondheid (alleen als het in een
wet staat).
10.De verwerking is noodzakelijk voor archivering in het algemeen belang,
wetenschappelijk/historisch onderzoek of statistische doeleinden (alleen als
het in een wet staat).
Op 5 uitzonderingen kan alleen een beroep worden gedaan als in de Nederlandse
wet staat dat dit mag.
Burgerservicenummer (BSN)
Volgens de AVG is het BSN géén bijzonder persoonsgegeven. Dit betekent niet dat
het BSN behandeld mag worden als een gewoon persoonsgegeven. De UAVG geeft
aan het BSN, gelet op de gevoelige aard, een hoog beschermingsniveau. Het BSN
mag alleen verwerkt worden door overheidsinstellingen ter identificatie en door
andere instellingen wanneer de wet dat bepaalt (art. 46 UAVG).
Gevoelige gegevens
Bijzondere persoonsgegevens zijn per definitie gevoelige gegevens, maar gevoelige
gegevens zijn niet per definitie bijzondere persoonsgegevens. Gevoelige gegevens
hebben een hogere impact op de privacy van personen. Voorbeelden van gevoelige,
maar niet bijzondere gegevens zijn beoordelingen en financiële gegevens.
