Uitspraak
uitspraak
COLLEGE VAN BEROEP VOOR HET BEDRIJFSLEVEN
zaaknummers: 18/2783 en 18/2846
uitspraak van de meervoudige kamer van 14 januari 2020 in de zaken tussen
1.Vereniging Netbeheer Nederland, appellante (Netbeheer)
(gemachtigden: mr. S.M. Dielemans-Goossens en mr. P. Courtens),
2.Vereniging Nederlandse EnergieData Uitwisseling, appellante (NEDU)
(gemachtigde: mr. A.J. Dunnik)
en
Autoriteit Consument en markt, verweerster (ACM)
(gemachtigden: mr. T.C. Topp, mr. C.A. Vesseur, mr. L.J.M. Franssen).
Procesverloop
Bij besluit van 16 oktober 2018 (Stcrt. 2018, nr. 60760, 30 oktober 2018) heeft ACM onder meer de Informatiecode elektriciteit en gas (Informatiecode) gewijzigd.
Appellanten hebben tegen dit besluit afzonderlijk beroep ingesteld.
ACM heeft een verweerschrift ingediend.
Netbeheer heeft een nader stuk ingediend.
Het onderzoek ter zitting heeft plaatsgevonden op 10 december 2019.
Partijen zijn verschenen bij genoemde gemachtigden. Voor Netbeheer zijn voorts verschenen [naam 1] en [naam 2] . Voor NEDU is voorts verschenen
[naam 3] . Voor ACM is voorts verschenen [naam 4] .
[naam 3] . Voor ACM is voorts verschenen [naam 4] .
Overwegingen
1.1
Bij brief van 29 mei 2017 hebben NEDU en Netbeheer een gezamenlijk voorstel tot wijziging van de Informatiecode bij ACM ingediend. Die wijziging van de voorwaarden als bedoeld in de artikelen 31 en 54, eerste lid, van de Elektriciteitswet en de artikelen 12b en 22 van de Gaswet strekt, voor zover van belang, tot het verbeteren van de beveiliging van persoonsgegevens. Er is dus een verband met de toepassing van de Algemene verordening gegevensbescherming (AVG). [1]
1.2
ACM heeft over dat voorstel de Autoriteit Persoonsgegevens (AP) verzocht advies uit te brengen. In zijn advies van 23 oktober 2017 schrijft de AP onder meer:
"(…) De grondslag voor de Informatiecode is neergelegd in de artikel 54 Elektriciteitswet Pro 1998 en artikel 22 Gaswet Pro. (…) De genoemde artikelen geven de mogelijkheid
voorwaardente stellen, hetgeen wezenlijk anders is dan het scheppen van juridische rechtvaardigingsgronden voor verwerkingen van persoonsgegevens. De Informatiecode kan aangemerkt worden als een algemeen verbindend voorschrift, maar slechts voor zover de bepalingen van de Informatiecode binnen de legitimatie van artikel 54 Elektriciteitswet Pro 1998 en artikel 22 Gaswet Pro vallen. Nu de Informatiecode en de wijzigingen daarvan worden geïnitieerd door de energiebranche zelf en worden vastgesteld door de ACM, ligt het niet in de rede dat de verwerkingen van persoonsgegevens door diezelfde branche hun rechtvaardiging en legitimatie vinden in die Informatiecode. Het aldus creëren van juridische rechtvaardigingsgronden voor verwerkingen van persoonsgegevens in de Informatiecode klemt te meer omdat de rechtvaardigingsgronden ten aanzien van de
voorwaardente stellen, hetgeen wezenlijk anders is dan het scheppen van juridische rechtvaardigingsgronden voor verwerkingen van persoonsgegevens. De Informatiecode kan aangemerkt worden als een algemeen verbindend voorschrift, maar slechts voor zover de bepalingen van de Informatiecode binnen de legitimatie van artikel 54 Elektriciteitswet Pro 1998 en artikel 22 Gaswet Pro vallen. Nu de Informatiecode en de wijzigingen daarvan worden geïnitieerd door de energiebranche zelf en worden vastgesteld door de ACM, ligt het niet in de rede dat de verwerkingen van persoonsgegevens door diezelfde branche hun rechtvaardiging en legitimatie vinden in die Informatiecode. Het aldus creëren van juridische rechtvaardigingsgronden voor verwerkingen van persoonsgegevens in de Informatiecode klemt te meer omdat de rechtvaardigingsgronden ten aanzien van de
verwerking van bijvoorbeeld meetgegevens via slimme meters bij wet is geregeld en niet in de Informatiecode. Het creëren van grondslagen voor de verwerking van persoonsgegevens in de Informatiecode is hier niet mee in lijn, waardoor een onevenwichtig en onoverzichtelijk regime ontstaat ten aanzien van de verwerkingen van persoonsgegevens in de energiesector.
De rechtvaardigingsgronden voor de gegevensverwerkingen (…) zouden daarom in de Elektriciteitswet 1998 of Gaswet zelf dienen te worden neergelegd, dan wel in daarop gebaseerde algemene maatregel van bestuur of ministeriële regeling. De wijze waarop de gegevensverwerking praktisch zijn toepassing vindt (de voorwaarden waaronder) zouden kunnen worden geregeld in de Informatiecode. De AP adviseert derhalve om de wijze waarop de Informatiecode nu beoogt verwerkingen van persoonsgegevens te legitimeren nader te bezien.
(…)"
1.3
ACM heeft vervolgens aan de Informatiecode conform het voorstel van NEDU en Netbeheer onder meer de volgende artikelen toegevoegd:
"2.2b.4
Tenzij 2.2b.3 van toepassing is, stuurt de regionale netbeheerder een bericht naar de leverancier en verstrekt, naar aanleiding van de in 2.2b.1 bedoelde opvraag, de gegevens als bedoeld in B7.1.
2.5a.4
Tenzij 2.5a.3 van toepassing is, stuurt de regionale netbeheerder uiterlijk één werkdag na ontvangst van de opvraag een bericht naar de leverancier en verstrekt daarbij de volgende gegevens:
a. de bedrijfs-EAN-code van de opvragende leverancier;
b. de EAN-code van de aansluiting;
c. indien aangeleverd bij de opvraag: het referentienummer van de opvragende leverancier;
d. indien beschikbaar: de contracteinddatum die het verst in de toekomst ligt;
e. de opzegtermijn behorende bij de leveringsovereenkomst met de verst in de toekomst gelegen contracteinddatum.
2.5b.4 Tenzij 2.5b.3 van toepassing is, stuurt de regionale netbeheerder uiterlijk één werkdag na ontvangst van de opvraag een bericht naar de leverancier en verstrekt daarbij de volgende gegevens:
a. de bedrijfs-EAN-code van de opvragende leverancier;
b. de EAN-code van de aansluiting;
c. indien aangeleverd bij de opvraag: het referentienummer van de opvragende leverancier.
d. indien beschikbaar: de contracteinddatum die het verst in de toekomst ligt;
e. de opzegtermijn behorende bij de leveringsovereenkomst met de verst in de toekomst gelegen contracteinddatum."
1.4
In de toelichting verwijst ACM naar het advies van de AP met de opmerking:
"dat de Informatiecode op zichzelf geen grondslag ex artikel 6, eerste lid, onderdeel c, van de AVG kan bieden voor de verwerking van persoonsgegevens door de netbeheerders. De ACM treedt niet in (…) welke andere grondslag uit de AVG de netbeheerders kunnen gebruiken. (…) De ACM heeft (…) geen reden om te veronderstellen dat het codevoorstel niet uitvoerbaar is. Het is een verantwoordelijkheid van de netbeheerders om de juiste grondslag te vinden, waarmee ze het codebesluit kunnen uitvoeren."
2.1
ACM betwist dat Netbeheer belanghebbende is als bedoeld in artikel 1:2 van Pro de Algemene wet bestuursrecht (Awb), nu de collectieve belangen die zij behartigt deels overlappen met de belangen waarvoor de NEDU opkomt.
2.2
Het College volgt ACM daarin niet. Een belanghebbende is degene wiens belang rechtstreeks bij een besluit is betrokken. Ten aanzien van rechtspersonen worden als hun belangen mede beschouwd de algemene en collectieve belangen die zij krachtens hun doelstellingen en blijkens hun feitelijke werkzaamheden in het bijzonder behartigen. Netbeheer is de brancheorganisatie van de energienetbeheerders, NEDU is het verbindend platform van de Nederlandse energiesector waarin alle marktpartijen in de energiesector zijn vertegenwoordigd. Zij hebben beiden (gezamenlijk) het voorstel voor de wijziging van de Informatiecode (op grond van artikel 22, eerste lid, van de Gaswet en artikel 54, eerste lid, van de Elektriciteitswet 1998 als representatief deel van de ondernemingen die zich bezighouden met het transporteren, leveren of meten van gas c.q. elektriciteit) gedaan en zijn daarmee beide belanghebbende. Dat de belangen die Netbeheer tracht te beschermen (deels) samenvallen met die waarvoor NEDU opkomt, maakt niet dat Netbeheer bij de Informatiecode geen belanghebbende is.
3.1
Volgens ACM missen Netbeheer en NEDU procesbelang, omdat de Informatiecode is vastgesteld conform hun voorstel.
3.2
Ook daarin volgt het College ACM niet. Een appellant heeft geen belang als zijn beroep hem niet in een betere positie kan brengen met betrekking tot het bestreden besluit en eventuele bijkomende (rechterlijke) beslissingen (ECLI:NL:HR:2014:878). Het doel dat de appellant met het instellen van het rechtsmiddel wil bereiken, moet hij ook daadwerkelijk kunnen bereiken en dat resultaat moet voor hem feitelijk betekenis hebben en niet alleen hypothetische (ECLI:NL:HR:2006:AZ4415; ECLI:NL:CRVB:2008:BF7417; ECLI:NL:CBB:2012:BW9145). Appellanten vorderen, al dan niet partiële, vernietiging van de Informatiecode en er is geen reden waarom zij dat doel niet zouden kunnen bereiken.
4.1
De beroepsgronden richten zich specifiek tegen de geciteerde artikelen van de Informatiecode. Netbeheer en Nedu voeren aan dat ACM ten onrechte heeft toegelicht dat deze artikelen geen wettelijke grondslag vormen in de zin van artikel 6, eerste lid, onder c, van de AVG.
4.2
Naar het oordeel van het College betoogt ACM in overeenstemming met het advies van AP terecht dat artikel 54 van Pro de Elektriciteitswet 1998 en artikel 22 van Pro de Gaswet haar niet de ruimte bieden om een wettelijke verplichting voor gegevensverstrekking in de Informatiecode te introduceren. Daarmee in overeenstemming zijn de toelichtingen bij twee wetswijzigingen:
"Deze code voorziet niet in een basis voor het uitwisselen van gegevens, maar uitsluitend in een beschrijving van de wijze waarop gegevens worden uitgewisseld." [2]
en
"Ingevolge (…) het wetsvoorstel marktmodel, worden bij ministeriële regeling regels gesteld met het oog op een door de NMa vast te stellen informatiecode die regelt ‘hoe’ met het oog op een eenduidig gehanteerd model binnen de sector gegevens worden verwerkt, en niet ‘dat’ gegevens (mogen) worden verwerkt. Dit sluit aan bij het regime van de Wet bescherming persoonsgegevens, die de ondubbelzinnige toestemming van betrokkene noemt als één van de limitatief beschreven situaties waarin persoonsgegevens mogen worden verwerkt. De informatiecode zelf beoogt dus niet te voorzien in een generieke wettelijke grondslag voor het mogen uitwisselen en verwerken van persoonsgegevens (…)" [3]
4.3
Om uitvoering te kunnen geven aan de geciteerde bepalingen van de Informatiecode, moeten de netbeheerders beschikken over een (andere) geldige verwerkingsgrondslag in de AVG. Hiermee is niet verenigbaar dat de ACM deze bepalingen dwingend (en onvoorwaardelijk) heeft geformuleerd. Dat heeft namelijk tot gevolg dat als is voldaan aan de toepassingsvoorwaarden, de netbeheerder moet overgaan tot gegevensverstrekking, ongeacht of sprake is van een grondslag in de zin van artikel 6 van Pro de AVG. Het bestreden besluit legt daarmee, in weerwil van de toelichting, (toch) in strijd met de artikelen 54 van de Elektriciteitswet 1998 en 22 van de Gaswet aan de regionale netbeheerders een verplichting tot informatieverstrekking op.
5. Uit het voorgaande volgt dat het beroep gegrond is. De overige beroepsgronden behoeven geen bespreking. Het College vernietigt het bestreden besluit voor zover het de artikelen 2.2b.4, 2.5a.4 en 2.5b.4 betreft.
6. Het College veroordeelt ACM in de door appellanten gemaakte proceskosten. Met inachtneming van het Besluit proceskosten bestuursrecht stelt het College de proceskosten voor de door een derde beroepsmatig verleende rechtsbijstand per appellant vast op € 1.050,- (1 punt voor het indienen van de beroepschriften, 1 punt voor het verschijnen ter zitting met een waarde per punt van € 525,- en een wegingsfactor 1).
Beslissing
Het College:
- verklaart het beroep gegrond;
- vernietigt het bestreden besluit voor zover het de artikelen 2.2b.4, 2.5a.4 en 2.5b.4 betreft;
- draagt ACM op het betaalde griffierecht van € 338,- aan zowel NEDU als aan Netbeheer te vergoeden;
- veroordeelt ACM in de proceskosten voor ieder van de appellanten tot € 1.050,-.
Deze uitspraak is gedaan door mr. R.C. Stam, mr. T. Pavićević en mr. D. Brugman, in aanwezigheid van mr. P.M. Beishuizen, griffier. De beslissing is in het openbaar uitgesproken op 14 januari 2020.
w.g. R.C. Stam w.g. P.M. Beishuizen
Bijlage regelgeving
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming).
Artikel 6
Rechtmatigheid van de verwerking
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a. a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
2. De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a. a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.
4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:
a. a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;
b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;
c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;
d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.
Elektriciteitswet 1998
Artikel 54
1. Met inachtneming van de krachtens artikel 53 vastgestelde Pro regels zendt een representatief deel van de ondernemingen die zich bezighouden met het transporteren, leveren of meten van elektriciteit aan de Autoriteit Consument en Markt een voorstel voor de door hen jegens elkaar en afnemers in het kader van administratieve processen te hanteren voorwaarden met betrekking tot de wijze waarop de met die administratieve processen samenhangende gegevens worden vastgelegd, uitgewisseld of gebruikt of met betrekking tot de wijze waarop en de termijn waarbinnen die gegevens worden bewaard, waaronder in ieder geval voorwaarden die bepalen dat:
a. bij een wisseling van leverancier, de beoogde leverancier, en
b. bij een verhuizing, de leverancier van de afnemer
verantwoordelijk is voor het verzamelen van de meetgegevens van de afnemer.
2. Ondernemingen die een voorstel doen, voeren overleg over dit voorstel met representatieve organisaties van partijen op de elektriciteitsmarkt.
3. In het voorstel dat aan de Autoriteit Consument en Markt wordt gezonden, geven de ondernemingen aan welke gevolgtrekkingen zij hebben verbonden aan de zienswijzen die de organisaties, bedoeld in het tweede lid, naar voren hebben gebracht.
Gaswet
Artikel 22
1. Met inachtneming van de krachtens artikel 21 vastgestelde Pro regels zendt een representatief deel van de ondernemingen die zich bezighouden met het transporteren, leveren of meten van gas aan de Autoriteit Consument en Markt een voorstel voor de door hen jegens elkaar en afnemers in het kader van administratieve processen te hanteren voorwaarden met betrekking tot de wijze waarop de met die administratieve processen samenhangende gegevens worden vastgelegd, uitgewisseld of gebruikt of met betrekking tot de wijze waarop en de termijn waarbinnen die gegevens worden bewaard, waaronder in ieder geval voorwaarden die bepalen dat:
a. bij een wisseling van leverancier, de beoogde leverancier, en
b. bij een verhuizing, de leverancier van de afnemer
verantwoordelijk is voor het verzamelen van de meetgegevens van de afnemer.
2. Ondernemingen die een voorstel doen, voeren overleg over dit voorstel met representatieve organisaties van partijen op de gasmarkt.
3. In het voorstel dat aan de Autoriteit Consument en Markt wordt gezonden, geven de ondernemingen aan welke gevolgtrekkingen zij hebben verbonden aan de zienswijzen die de organisaties, bedoeld in het tweede lid, naar voren hebben gebracht.