Janssen De Jong Groep B.V. e.a. t. Nederland (EHRM, 2800/16) – Privacyrechten van rechtspersonen

1. In Janssen De Jong Groep B.V. e.a. draait het om vermoedens die rond 2007 ontstonden houdende dat lokale overheidsfunctionarissen waren omgekocht door aannemers die overheidsopdrachten voor infrastructuurprojecten wilden binnenhalen. Het Openbaar Ministerie, bijgestaan door de Nationale Politie, startte een onderzoek. Een onderzoeksrechter gaf toestemming voor het aftappen van telefoongesprekken van enkele werknemers van de aannemersbedrijven. De Politie speelde vervolgens gegevens uit het onderzoek die verband houden met prijsafspraken door aan de Nederlandse Mededingingsautoriteit (NMA). De NMA deed vervolgens doorzoekingen van de bedrijven in kwestie, bekeek documenten en ondervroeg werknemers. De bedrijven verzochten daarop een burgerlijke rechter om de teruggave van hun gegevens door de NMA aan het Openbaar Ministerie te bevelen op grond van art. 8 EVRM, maar dat verzoek werd afgewezen. Toen de NMA de bedrijven een sanctie oplegde voor het overtreden van de Mededingingswet, gingen de bedrijven in beroep bij de bestuursrechter, opnieuw met een beroep op een schending van art. 8 EVRM. De lagere rechter gaf de bedrijven gelijk, omdat strafrechtelijke gegevens waren gedeeld zonder passende beoordeling van de privacybelangen van bedrijven. In hoger beroep volgde de hoogste bestuursrechter echter niet het oordeel van de rechtbank. De lagere rechter had geoordeeld dat de overdracht van strafrechtelijke gegevens gebaseerd moet zijn op een belangenafweging door de officier van justitie en dat die belangenafweging bekend is en door de rechter kan worden beoordeeld. De beschikbaarheid van een schriftelijke motivering van de officier van justitie op het moment van de doorgifte kan de controle op de naleving van de wet vereenvoudigen, maar noch de wet noch de wetsgeschiedenis suggereert dat het niet beschikbaar zijn van een schriftelijke motivering op het moment van de doorgifte betekent dat niet aan de vereisten voor doorgifte is voldaan. Daarom vond de hoogste administratieve rechter op dit punt geen schending van artikel 8 EVRM.

2. Het EHRM was van oudsher terughoudend om aanvragen van rechtspersonen ontvankelijk te verklaren onder art. 8 EVRM, omdat het vond dat het recht op privacy, meer dan de meeste andere rechten onder het Verdrag, een persoonlijk en privékarakter heeft. Langzaam aan, te beginnen met het Stes Colas Est-arrest uit 2002,[1] heeft het echter geaccepteerd dat rechtspersonen onder bepaalde omstandigheden zich ook rechtstreeks op art. 8 EVRM beroepen. Sindsdien heeft het EHRM een dozijn of wat zaken aanvaard waarin het de privacyklachten van rechtspersonen ontvankelijk verklaart. In het algemeen gaat het dan om twee soorten klachten. Ten eerste klachten waarbij het bedrijfspand van een rechtspersoon werd betreden door overheidsfunctionarissen, wat neerkwam op een inmenging in de 'woning' van de rechtspersoon. Ten tweede massasurveillancezaken waarbij het Hof het slachtoffervereiste losliet en eenieder toestond om te klagen, niet over de aantasting van eigen belangen, maar over de geldigheid van het vigerende wettelijke regime.[2]

3. In het onderhavige geval kent het Hof een nogal onspecifiek recht toe aan de rechtspersonen, dat het koppelt aan het briefgeheim, maar dat ook zou kunnen worden gelezen als een meer algemeen recht op gegevensbescherming, omdat de kern van de zaak niet het onderscheppen van privécorrespondentie betreft, maar de daaropvolgende overdracht van de onderschepte gegevens aan derden en het hergebruik van die gegevens voor secundaire doeleinden. Bijgevolg zou deze zaak de eerste stap kunnen zijn in de toekenning door het EHRM van een recht op gegevensbescherming aan rechtspersonen, wat om twee redenen opmerkelijk zou zijn. Ten eerste omdat er geen recht op gegevensbescherming expliciet is vastgelegd in het Verdrag. De Raad van Europa heeft weliswaar in 1981 wel Verdrag 108 aangenomen, dat recentelijk is vervangen door Verdrag 108+, waarin tal van gegevensbeschermingsrechtelijke principes zijn vervat, maar deze principes, alsmede soortgelijke principes die te vinden zijn in de jurisprudentie van het EHRM, werden traditioneel gekoppeld aan het recht op privéleven en het recht op correspondentie, zoals vastgelegd in art. 8 EVRM. Dat betekende dat de principes een veel beperktere reikwijdte hadden dan onder het acquis van de EU. Gradueel heeft het EHRM gegevensbeschermingsregels onder de reikwijdte van het recht op privacy gebracht. Deze zaak zou een volgende stap kunnen zijn in de erkenning van het recht op gegevensbescherming, dat in het EU-Handvest als een afzonderlijk grondrecht wordt erkend (art. 8 Hv), en de beginselen inzake gegevensbescherming zoals vastgelegd in de AVG van de EU, zoals beperkingen op de doorgifte van persoonsgegevens en het doelbindingsbeginsel. Ten tweede zou de Raad van Europa hiermee een stap verder gaan dan de EU, omdat het recht op gegevensbescherming in EU-wetgeving alleen van toepassing is op gegevens van natuurlijke personen, niet op die van rechtspersonen. Daarbij moet worden opgemerkt dat het Verdrag 108landen expliciet de mogelijk gaf om de gegevensbeschermingsregels ook op gegevens van rechtspersonen van toepassing te verklaren. Wat dit tweede punt complex maakt, is dat in casu de afgetapte gegevens betrekking hebben op de activiteiten van de rechtspersoon, maar dat het uiteraard natuurlijke personen (werknemers) waren die deze gegevens communiceerden. Het Hof maakt niet duidelijk in hoeverre:
a. de bedrijven een zelfstandig recht op gegevensbescherming hebben, dat in het geding was omdat gegevens over hun gedrag werden verwerkt en doorgegeven; of
b. de belangen van het bedrijf en de werknemers zozeer met elkaar vervlochten waren dat het onmogelijk was om die belangen te scheiden; of
c. de bedrijven een indirect recht op gegevensbescherming hebben, afgeleid van dat van hun werknemers; of
d. er in deze zaak twee rechten in het geding zijn, namelijk enerzijds het recht op bescherming van de persoonlijke levenssfeer van de correspondentie van natuurlijke personen en anderzijds het recht op gegevensbescherming van de rechtspersonen, waarbij laatstgenoemden een zaak aanhangig hebben gemaakt; of
e. de vordering van de rechtspersonen representatief moet worden opgevat: zij komen op voor de rechten van natuurlijke personen, namelijk hun werknemers.  

‘The Court accepts that the transmission to the NMA of data obtained in the “Cleveland” criminal investigation against the applicant companies through tapping of their employees’ telephones constituted an interference with those companies’ rights under Article 8 of the Convention (Janssen BV, par. 45)’. Ten slotte is het interessant dat het Hof erop wijst dat de beoordelingsmarge van de verdragsstaten groter is met betrekking tot mogelijke inbreuken op rechten van rechtspersonen dan op die van natuurlijke personen.

4. Naast de zaak Janssen De Jong Groep B.V. e.a. heeft het EHRM op dezelfde dag twee andere zaken gewezen tegen Nederland, aangaande soortgelijke vraagstukken. In een van die twee zaken, namelijk Burando, staat ook centraal de vraag in hoeverre een bedrijf kan klagen over het verzamelen van gegevens van werknemers van een ander bedrijf (niet zijnde Burando), waarvan Burando wel de eigenaar is. Op dit punt stelt het EHRM ‘that only conversations of the I. company’s employees were intercepted and subsequently transmitted to the NMA. However, at the relevant time Burando Holding B.V. controlled all the shares in the I. company via Port Invest B.V., who was also a board member of the I. company. For this reason, the domestic authorities assumed that Port Invest B.V. and Burando Holding B.V. exercised decisive influence on the I. company’s actions. Under these circumstances, the Court considers that the I. company and the applicant companies are so closely identified with each other that it is artificial to distinguish between them (Burando, par. 46)’. Deze frase zou zo geïnterpreteerd kunnen worden dat wanneer gegevens worden verzameld over een werknemer van bedrijf A dat eigendom is van bedrijf B, B een beroep kan doen op art. 8 EVRM.

5. Het Hof verwijst in alle drie de zaken naar zijn vaste jurisprudentie over de kwaliteit van de wet, wat betekent dat de wet voldoende duidelijk moet zijn over wanneer, hoe en door wie bevoegdheden kunnen worden gebruikt, om willekeur bij de inzet van bevoegdheden te voorkomen. Deze doctrine wordt minstens sinds het begin van de jaren ‘90 van de vorige eeuw gebruikt en ontwikkeld, maar is de laatste jaren door het Hof uitgebreid, in het bijzonder met betrekking tot inlichtingendiensten en speciale politie-eenheden waarvan de werking geheel of gedeeltelijk geheim blijft. Het EHRM heeft een uitgebreid kader ontwikkeld om ervoor te zorgen dat deze operaties voldoen aan de minimumnormen van de rechtsstaat. In deze zaak onderstreept het Hof dat het nog geen specifieke richtlijnen heeft gegeven voor het delen van gegevens tussen organisaties, behalve in de speciale context van het delen van inlichtingenmateriaal door een Europese organisatie aan een buitenlandse staat of internationale organisaties. Het Hof wijst er ook op dat deze zaak, anders dan andere zaken, in de eerste plaats draait om de overdracht van gegevens, en niet zozeer om het verzamelen ervan. In een moeilijk te volgen redenering wijst het Hof erop dat de ‘transmission of data was derivative of an interference which already provided for safeguards against arbitrariness and which the Court assumes was in accordance with Article 8. For this reason already, the power to transmit the data obtained by that interference was not “unfettered” (Janssen BV, par. 54)’. Het Hof stelt vast dat het wettelijk kader voldoende waarborgen bood tegen machtsmisbruik en oordeelt daarom dat de inmenging bij wet was voorzien. Wat deze redenering opmerkelijk maakt, is dat normaal gesproken zowel het verzamelen als de daaropvolgende doorgifte van gegevens wordt beschouwd als het verwerken van gegevens, waarvoor een passende rechtsgrondslag moet bestaan en die moeten voldoen aan alle normen van de privacy- en gegevensbeschermingswetgeving. Hier lijkt het alsof het EHRM oordeelt dat omdat de eerste verzameling van gegevens adequaat was geregeld, de daaropvolgende doorgifte ook als adequaat moet worden beschouwd, terwijl het tegenovergestelde waar lijkt te zijn. Er kunnen zeer strikte richtlijnen zijn voor wanneer en hoe een instantie gegevens mag verzamelen, maar geen of zeer weinig richtlijnen voor de daaropvolgende doorgifte.

6. Bij de vraag of de inmenging noodzakelijk was in een democratische samenleving, besteedt het EHRM bijzondere aandacht aan het feit dat er sprake was van uitgebreid ex post facto rechterlijk toezicht. Dit is op zijn minst om twee redenen opmerkelijk. In de eerste plaats maakt de evaluatie van de vraag of er adequaat rechterlijk toezicht was normaliter onderdeel uit van de discussie omtrent het  voorgeschreven recht criterium en de daarmee samenhangende deelcriteria omtrent de kwaliteit van wet. Ten tweede zijn de criteria voor de kwaliteit van wet primair gericht op het voorkomen van willekeur en niet op het verhelpen daarvan, hoewel adequaat toezicht achteraf en klachtenprocedures altijd belangrijke pijlers zijn geweest in de benadering van het Hof. Het EHRM wijst erop dat in dit geval het toezicht adequaat was. Bovendien verschillen de drie zaken aangaande de doorgifte van data van de politie aan de NMA van de Sanoma-zaak, die betrekking had op het vitale belang voor de persvrijheid van de bescherming van journalistieke bronnen en van informatie die tot hun identificatie zou kunnen leiden, en die geen betrekking had op de overdracht van rechtmatig verkregen gegevens tussen rechtshandhavingsinstanties. Gelet op de aard en de omvang van de inmenging in het onderhavige geval, in combinatie met de waarborgen die in het nationale rechtskader waren voorzien, waaronder de voorzorgsmaatregelen die zijn genomen bij het doorgeven van de door middel van interceptie van communicatie verkregen gegevens aan een andere overheidsinstantie, is het Hof ervan overtuigd dat het systeem voldoende in staat was om machtsmisbruik te voorkomen en is het van oordeel dat in de onderhavige context geen voorafgaande toestemming van een rechter vereist was. Tot slot acht het Hof in de zaak Janssen De Jong Groep B.V. het delen van gegevens evenredig omdat het slechts 2% van de afgetapte telefoongesprekken betrof.

7. In hun gezamenlijke dissenting opinion stellen rechters Grozev, Pavli en Ktistakis dat alhoewel de verdragsstaten een ‘iets’ grotere beoordelingsmarge hebben met betrekking tot inbreuken op de rechten van rechtspersonen dan op die van natuurlijke personen, dit eerder een pragmatisch dan een paradigmatisch onderscheid moet zijn. Zij wijzen ook op het feit dat het arrest van de meerderheid bijna uitsluitend gebaseerd is op verwijzingen naar eerdere jurisprudentie van het Hof over massasurveillance, terwijl het grotendeels voorbijgaat aan de beginselen inzake gegevensbescherming zoals die onder meer zijn neergelegd in de AVG. Zij wijzen er in het bijzonder op dat gerechtelijke toestemming werd verleend aan wetshandhavingsinstanties voor het verzamelen van gegevens in het licht van strafrechtelijke onderzoeken, niet voor bijvangstgegevens die kunnen worden gebruikt om een schending van het mededingingsrecht vast te stellen. Zij brengen een punt naar voren dat het Hof gewoonlijk maakt met betrekking tot de overdracht van gegevens tussen verschillende instanties, maar niet in dit geval, en dat is het risico van wetsomzeiling en -ontduiking. Het onderliggende idee is eenvoudig en wordt vaak toegepast. Stel dat instantie A en instantie B onder verschillende wettelijke regelingen vallen. Instantie A heeft ruimere bevoegdheden om gegevens te verzamelen. Als A, op eigen initiatief of op een direct of indirect verzoek of suggestie van B, gegevens verzamelt die relevant zijn voor B, kan het wettelijk gemachtigd zijn, en soms zelfs verplicht, om die gegevens door te geven aan B. B kan op die manier gegevens verkrijgen die het zelf niet zou mogen verzamelen. De drie rechters stellen dat de jurisprudentie van het EHRM op dit punt onderontwikkeld is en zijn van mening dat de nationale wetgeving op zijn minst een bepaald minimumniveau van ernst van potentiële wetsovertredingen moet vaststellen waarvan dat de verdere overdracht van strafrechtelijke onderzoeksgegevens kan rechtvaardigen, vooral als dergelijke niet-strafrechtelijke overtredingen op zichzelf niet kunnen leiden tot het gebruik van geheime suveillancemaatregelen. Bovendien stellen zij voor dat er sprake moet zijn van rechterlijke toetsing vooraf, en niet alleen van rechterlijke toetsing achteraf, en benadrukken zij dat een naar behoren gemotiveerde beslissing voor het uitwisselen van gegevens een minimumvoorwaarde moet zijn op grond van art. 8 EVRM. Het feit dat er geen gemotiveerde beslissing was die door een onafhankelijke instelling kon worden getoetst, betekende dat controle vooraf moeilijk tot onmogelijk was. De nationale regeling bood geen expliciete richtsnoeren voor de uitvoering van de evenredigheidsbeoordeling en de beoordeling van de verschillende gegevensbeschermingsnormen. Tot slot zijn zij er niet van overtuigd dat de ex post facto rechterlijke toetsing door de hoogste administratieve rechtbank in overeenstemming was met de normen van art. 8 EVRM. Daarbij wijzen zij erop dat de rechtbank een aantal belangrijke overwegingen over het hoofd zag, onder andere dat het feit dat de mededingingsautoriteit geen wettelijke bevoegdheden heeft om geheime toezichtmaatregelen te vragen. Bovendien wordt de NMA normaal gesproken in staat geacht haar taken op het gebied van de handhaving van het mededingingsrecht te vervullen zonder haar toevlucht te nemen tot zulke surveillance. Derhalve zijn er uitzonderlijke omstandigheden nodig om een dergelijk gebruik te rechtvaardigen, terwijl die in deze drie zaken afwezig leek.  De kritiek van de dissenting rechters is goed in te voelen. Het is de vraag of het EHRM tot dezelfde conclusie zou zijn gekomen als dezelfde feiten en omstandigheden zich in Hongarije, Polen of Turkije hadden voltrekken. Het lijkt erop dat het Hof wel erg veel waarde hecht aan de vermeende professionaliteit, onafhankelijkheid en terughoudendheid van de uitvoerende instanties in Nederland. Nederland is wat dat betreft vast Nirwana in vergelijking met sommige andere Europese landen, maar iedereen die de Nederlandse krant bijhoudt weet dat ook in Nederland de praktijk weerbarstig kan zijn.

Bart van der Sloot
Tilburg University

[1] ECtHR, Stes Colas Est e.a. t. Frankrijk, EHRM 16 april 2002, nr. 37971/97, ECLI:CE:ECHR:2002:0416JUD003797197.

[2] Zie voor een overzicht: van der Sloot, B. (2015). Do privacy and data protection rules apply to legal persons and should they? A proposal for a two-tiered system. Computer law & security review, 31(1), 26-45.