Het Europese Hof van Justitie (Hof) heeft op 10 juli een arrest gewezen dat nader ingaat op de begrippen “bestand” en “verwerkingsverantwoordelijke”.

Casus

De Finse toezichthouder had de geloofsgemeenschap van Jehova’s getuigen verboden om in het kader van haar van-huis-tot-huisverkondiging persoonsgegevens te verzamelen en te verwerken voor zover de betreffende Finse privacy wetten niet in acht werden genomen. Naar de mening van de Finse toezichthouder kwalificeert de gezamenlijke geloofsgemeenschap als verantwoordelijke en geldt het verzamelen van persoonsgegevens door haar leden als een verwerking. De Finse rechter heeft dat besluit vernietigd. Hiertegen is de Finse toezichthouder voor gegevensbescherming in beroep gegaan en zijn er vragen gesteld aan het Hof. De rechter wilde namelijk weten of de wetgeving van toepassing is op het verzamelen en verwerken van persoonsgegevens door individuele leden van de geloofsgemeenschap. Ook vroeg de rechter zich af of er sprake is van een ‘bestand’ en de wetgeving dus van toepassing is, en wie als verwerkingsverantwoordelijke moet worden aangemerkt.

Het antwoord van het Hof luidt op al deze drie vragen bevestigend met als gevolg dat de geloofsgemeenschap onderworpen is aan privacywetgeving bij het uitoefenen van haar activiteiten. Dit geldt dus ook voor het doen van van-huis-tot-huisverkondigingen ter verbreiding van haar geloof en het verzamelen van persoonsgegevens daarbij.

Gestructureerd bestand

De tweede vraag zag op de uitleg van de term ‘bestand’. De privacywetgeving ziet zowel op geautomatiseerde als op net-geautomatiseerde gegevensverwerking, mits in dat laatste geval de verwerkte gegevens worden opgenomen in een ‘bestand’. Het begrip ‘bestand’ ziet op elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd dan wel gedecentraliseerd is of verspreid op een functioneel of geografisch bepaalde wijze. Het begrip dient ruim te worden opgevat, zodat elk gestructureerd geheel van persoonsgegevens eronder valt.

Daarvan is hier sprake. De geloofsgemeenschap heeft in het kader van haar activiteiten persoonsgegevens verzameld, waaronder naam en adres van de bezochte alsmede informatie over diens geloofsovertuiging of gezinssituatie. De gemeenschap heeft deze gegevens gestructureerd aan de hand van specifieke criteria die zij gekozen heeft naargelang het met de verzameling nagestreefde doel, namelijk als geheugensteun voor volgende bezoeken of voor het opstellen van een verbodslijst. Dit maakt een makkelijk gebruik mogelijk. Een dergelijk geheel aan verzamelde persoonsgegevens valt volgens het Hof onder het begrip ‘bestand’. Ook als de wijze van vastleggen niet centraal is geregeld. Het geheel aan verzamelde persoonsgegevens dat aan de hand van specifieke criteria door de geloofsgemeenschap is gestructureerd om het gebruik daarvan op een later tijdstip te vergemakkelijken valt dus als ‘bestand’ te kwalificeren.

Conclusie

Ondanks het feit dat de uitspraak ziet op de uitleg van definities uit de Richtlijn 95/46/EG, doet dit geen afbreuk aan de waarde van de uitspraak voor de uitleg van dezelfde definities onder de AVG. Deze uitspraak maakt duidelijk dat de begrippen ‘bestand’ en ‘verwerkingsverantwoordelijke’ ruim dienen te worden opgevat. Ook dient men zich ervan bewust te zijn dat activiteiten waarbij persoonsgegevens worden verzameld al snel onder de werking van de AVG zullen vallen. Dit heeft alles te maken met het doel van de Verordening, namelijk dat natuurlijke personen bij de verwerking van hun persoonsgegevens een brede bescherming dienen te genieten.

Mocht u naar aanleiding van deze uitspraak vragen hebben over de toepassing van de AVG of meer in het algemeen advies nodig hebben op het gebied van privacy, neemt u dan contact op met een van onze advocaten uit het team Privacy. Zij helpen u graag verder.