In een arrest van 29 januari 2025 heeft het Hof van Justitie geoordeeld dat de bindende besluiten van de EDPB (European Data Protection Board) gericht aan de Ierse toezichthouder DPC (Data Protection Commission) betreffende Meta gehandhaafd kunnen blijven. Dit is een interessant arrest omdat de hoogste Europese rechter hier duidelijk maakt hoe bij (grensoverschrijdende) discussies tussen nationale toezichthouders onderling de verhoudingen liggen tussen de nationale toezichthouder(s) enerzijds en de EDPB anderzijds. In dit arrest wordt de formele bevoegdheid van de EDPB ten aanzien van bindende besluiten gericht op nationale lidstaten bekrachtigd.
De aanleiding voor de bindende besluiten van de EDPB was een conflict tussen de DPC en andere nationale toezichthouders. In 2018 zijn er bij nationale toezichthouders van Duitsland, België en Oostenrijk klachten ingediend tegen Meta, wegens vermeende overtredingen van onder andere artikel 9 van de AVG over de verwerking van bijzondere persoonsgegevens.[1]De klachten zijn doorverwezen naar de Ierse toezichthouder DPC omdat daar Meta gevestigd is.[2]
Gelet op het grensoverschrijdende karakter van de klacht, heeft de DPC zijn concept besluiten waaruit bleek dat de DPC de vermeende overtreding van artikel 9 niet nader ging onderzoeken naar de andere betrokken nationale toezichthouders gestuurd. De betrokken toezichterhouders kwamen in beroep maar de DPC weigerde verder onderzoek uit te voeren. Vervolgens werd de EDPB betrokken bij het geschil.[3] In de bindende besluiten heeft de EDPB de DPC opgedragen om het onderzoek naar de data verwerkingsactiviteiten van Meta uit te breiden en nader te onderzoeken.[4] Het Hof van Justitie heeft het beroep van de Ierse toezichthouder tegen deze besluiten betreffende Meta verworpen. [5]
Met deze uitspraak van het Hof van Justitie het Hof duidelijkheid verschaft over de verhouding tussen de EDPB en nationale toezichthouders van de lidstaten van de AVG. In de uitspraak wordt namelijk bevestigd dat de EDPB de bevoegdheid heeft om nationale toezichthoudende autoriteiten te verplichten om hun onderzoeken uit te breiden in geval van grensoverschrijdende gevallen.
Het is belangrijk om te benoemen dat het nemen van dergelijke bindende besluiten ter geschilbeslechting van nationale toezichthouders voor de handhaving van de AVG, niet de enige taak is van de EDPB. De EDPB stelt ook zogeheten guidelines en aanbevelingen op over de AVG ter verduidelijking ervan. Deze EDPB guidelines bieden een belangrijke bron van informatie voor verwerkers van persoonsgegevens over hoe aan specifieke AVG verplichtingen invulling te geven. Ook de privacyrecht advocaten van Kienhuis Legal putten veel uit deze guidelines, en houden daarnaast natuurlijk de besluiten van nationale toezichthouders en van het Hof van Justitie nauwlettend bij, teneinde u zo goed mogelijk te kunnen ondersteunen bij het interpreteren en implementeren van verplichtingen uit de AVG.
De EDPB Guidelines zijn in tegenstelling tot besluiten van de EDPB overigens niet bindend; het Hof van Justitie behoudt ook daarover het laatste woord.
[1] Hof van Justitie 29 januari 2025,ECLI:EU:T:2025:116 r.o. 5-6.
[2] Hof van Justitie 29 januari 2025, ECLI:EU:T:2025:116 r.o. 7- 9.
[3] Hof van Justitie 29 januari 2025, ECLI:EU:T:2025:116 r.o. 83.
[4] Hof van Justitie 29 januari 2025, ECLI:EU:T:2025:116 r.o. 2.
[5] Hof van Justitie 29 januari 2025, ECLI:EU:T:2025:116 r.o. 3.
Voor meer informatie, neem contact op met Lesley Broos.