De Digitale Omnibus en het arrest Scania
Doet de concept-Digitale Omnibus het Scania-arrest teniet? Een nauwkeurige lezing wijst anders: de Commissie bakent de reikwijdte af, maar schrapt het arrest niet.
Omnibus onder vuur
In allerlei publicaties wordt de stelling verdedigd dat de concept-Digitale Omnibus (over onder meer aanpassingen in de AVG) de juridische werking van het Scania-arrest (C-319/22) teniet zou doen: in onder meer iBestuur en op Linkedin. Een nauwkeurige lezing van de tekst suggereert echter anders. De Commissie zet geen streep door Scania, maar bakent de reikwijdte ervan af.
Indirect persoonsgegevens
In het arrest Scania oordeelde het EU Hof dat als gegevens (zoals chassis-nummers) voor de ontvanger persoonsgegevens zijn, zij dit indirect ook voor de verstrekker zijn. De vrees voor uitholling van dit arrest is gebaseerd op de door de Commissie voorgestelde toevoeging aan artikel 4 sub 1 AVG: “Such information does not become personal for that entity merely because a potential subsequent recipient has means reasonably likely to be used to identify the natural person to whom the information relates.” De crux voor de juiste lezing van deze zin, zit wat mij betreft in het woordje ‘potential.’
Wat is het verschil
Er moet een onderscheid worden gemaakt tussen een daadwerkelijke en een potentiële gegevensoverdracht:
- De Scania-doctrine (Daadwerkelijke overdracht): In het Scania-arrest was er sprake van een feitelijke terbeschikkingstelling van gegevens aan onafhankelijke marktdeelnemers. Omdat de data daadwerkelijk werden overgedragen aan een partij met identificatiemiddelen, werkte de status van persoonsgegeven indirect door naar de originele verstrekker.
- De Omnibus-tekst (Potentiële overdracht): De voorgestelde wetstekst adresseert uitsluitend de potentiële opvolgende ontvanger (“potential subsequent recipient”). Deze bepaling beoogt te voorkomen dat intern verwerkte, gepseudonimiseerde data kwalificeren als persoonsgegevens louter op basis van het theoretische feit dat er zich ergens in de wereld een partij bevindt die deze zou kunnen ontsleutelen.
Een afbakening dus
Conclusie: De Europese Commissie vernietigt met de concept- Digitale Omnibus het Scania-arrest niet, maar codificeert de logische grenzen van het relatieve persoonsgegevensbegrip, zoals eerder bevestigd in de SRB-zaak: indien u data daadwerkelijk overdraagt aan een partij met identificatiecapaciteit, kwalificeren de data ook voor u als persoonsgegevens. Blijft het bij een hypothetische, potentiële ontvanger, dan is deze kwalificatie niet aan de orde. De voorgestelde toevoeging biedt daarmee zoals de Commissie zelf ook stelt een verduidelijking van de huidige jurisprudentie, zonder afbreuk te doen aan de fundamentele beschermingsgedachte van het Hof.
