Het Hof start bij de beantwoording van de tweede prejudiciële vraag met het schetsen van het juridisch kader en geeft daarbij een handig en beknopt overzicht van relevante Hof-arresten.

Hoog beschermingsniveau en ruime uitleg begrip ‘verwerkingsverantwoordelijke’
Allereerst roept het Hof in herinnering dat het doel van de AVG met name bestaat in het waarborgen van een hoog niveau van bescherming van de fundamentele vrijheden en grondrechten van natuurlijke personen (de betrokkenen).[1] Gelet op die doelstelling volgt uit artikel 4, punt 7, AVG en de jurisprudentie die betrekking heeft op dat artikel een ruime definitie van het begrip “verwerkingsverantwoordelijke”.[2] De ruime definitie van verwerkingsverantwoordelijke is dus bedoeld om doeltreffende en volledige bescherming van betrokkenen te waarborgen.

Gezamenlijke verwerkingsverantwoordelijkheid
Vervolgens staat het Hof stil bij gezamenlijke verwerkingsverantwoordelijkheid. Uit artikel 4, punt 7, AVG volgt immers dat het doel van en de middelen voor de gegevensverwerking alleen of samen met anderen kunnen worden vastgesteld. Het begrip verwerkingsverantwoordelijke kan dus betrekking hebben op meerdere deelnemers aan een verwerking, die dan ieder afzonderlijk aan de bepalingen uit de AVG moeten voldoen.[3] Indien een natuurlijke persoon of rechtspersoon voor eigen doeleinden invloed uitoefent op de verwerking van persoonsgegevens en daardoor betrokken is bij de vaststelling van het doel van en de middelen voor de gegevensverwerking, moet deze als verwerkingsverantwoordelijke worden aangemerkt. Bepalen twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking, dan is sprake van gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 AVG.[4]

De betrokkenheid bij de vaststelling van het doel van en de middelen voor de verwerking kan verschillende vormen aannemen. Er kan sprake zijn van een gezamenlijk besluit tussen twee of meer partijen of van convergerende besluiten van die partijen. Bij convergerende besluiten moeten de losse besluiten van partijen elkaar aanvullen, zodat elk ervan een concreet effect heeft op de vaststelling van het doel van en de middelen voor de verwerking. Het is voor het ontstaan van gezamenlijke verwerkingsverantwoordelijkheid echter niet noodzakelijk dat er tussen partijen een formele overeenkomst bestaat over het doel van en de middelen voor de verwerking. Doorslaggevend voor de kwalificatie is de feitelijke situatie (en niet de juridische werkelijkheid).[5]

Ieder van de gezamenlijk verwerkingsverantwoordelijken moet afzonderlijk dus kwalificeren als verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG. Het bestaan van gezamenlijke verwerkingsverantwoordelijkheid leidt echter niet noodzakelijk tot een gelijkwaardige verantwoordelijkheid van de verschillende deelnemers aan één en dezelfde verwerking. Integendeel: de deelnemers kunnen in verschillende stadia en in verschillende mate bij de verwerking betrokken zijn. Het niveau van betrokkenheid moet dan ook worden beoordeeld in het licht van alle relevante omstandigheden van het geval. Daar komt verder nog bij dat gezamenlijke verwerkingsverantwoordelijkheid niet veronderstelt dat iedere afzonderlijke deelnemer toegang heeft tot de persoonsgegevens in kwestie.[6]


[1] Het Hof verwijst naar artikel 1 AVG, de overwegingen 1 en 10 bij de AVG en naar het arrest van 4 mei 2023, Bundesrepublik Deutschland (Gerechtelijke elektronische postbus),C-60/22, EU:C:2023:373, punt 64.

[2] Het Hof verwijst naar het arrest van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, punt 28)

[3] Het Hof verwijst naar zie naar de arresten van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, punt 29, en 10 juli 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, punt 65.

[4] Het Hof verwijst naar het arrest van 10 juli 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, punt 68 en het arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, punt 40.

[5] Het Hof verwijst naar het arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, punten 43 en 44.

[6] Het Hof verwijst naar arrest van 10 juli 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, punten 66 en 69 en aldaar aangehaalde rechtspraak.

Vraag het onze specialisten