A-G HvJ EU: verwerking persoonsgegevens door financiële-inlichtingeneenheden valt onder richtlijn gegevensbescherming bij rechtshandhaving

HvJ EU Conclusie A-G 8 oktober 2026, IT 5593; ECLI:EU:C:2026:837 (Rahapesu Andmebüroo). Een betrokkene heeft de Estse financiële-inlichtingeneenheid Rahapesu Andmebüroo (RAB) verzocht om informatie over de verwerking van zijn persoonsgegevens. De RAB weigerde inzage te verlenen en beriep zich op nationale bepalingen die de toegang tot gegevens in haar databank beperken. De Estse rechter in eerste aanleg oordeelde dat de wettelijke grondslag onvoldoende duidelijk was en dat de toegang niet op deze wijze mocht worden beperkt. In hoger beroep werd deze beslissing bevestigd, waarna de RAB cassatieberoep instelde. De hoogste Estse rechter stelde prejudiciële vragen over het toepasselijke gegevensbeschermingsrecht en de voorwaarden waaronder het inzagerecht kan worden beperkt. Advocaat-generaal Medina stelt dat de verwerking van persoonsgegevens door een financiële-inlichtingeneenheid in het kader van haar taken ter voorkoming, opsporing en bestrijding van witwassen en terrorismefinanciering onder Richtlijn (EU) 2016/680 betreffende gegevensbescherming bij rechtshandhaving valt, en niet onder de Algemene verordening gegevensbescherming (AVG). Een dergelijke eenheid moet voor deze verwerkingen worden aangemerkt als bevoegde autoriteit in de zin van artikel 3, punt 7, van de richtlijn, ook wanneer zij naar nationaal recht geen strafrechtelijke onderzoeksautoriteit is.

Volgens de advocaat-generaal staat artikel 15 van Richtlijn 2016/680 toe dat het inzagerecht onder voorwaarden volledig wordt beperkt, maar moet de wettelijke regeling duidelijke en nauwkeurige regels bevatten over de reikwijdte en toepassing van die beperking en voldoende waarborgen bieden tegen misbruik en onrechtmatige gegevensverwerking. De Estse regeling, waarbij het inzagerecht kan worden beperkt totdat de gegevens worden vernietigd, lijkt niet aan deze vereisten te voldoen. Een volledige beperking van rechtstreekse inzage moet bovendien worden gecompenseerd door de mogelijkheid om het inzagerecht indirect uit te oefenen via de bevoegde toezichthoudende autoriteit overeenkomstig artikel 17 van de richtlijn. De financiële-inlichtingeneenheid mag onder bepaalde voorwaarden weigeren de redenen voor de beperking mee te delen, bijvoorbeeld om te voorkomen dat wordt bevestigd of ontkend dat persoonsgegevens worden verwerkt. De betrokkene moet echter altijd worden geïnformeerd over de mogelijkheid van indirecte inzage via de toezichthouder. Tot slot stelt Medina dat de wettelijke grondslag voor een beperking van het inzagerecht uit meerdere bepalingen mag bestaan, waaronder lagere regelgeving, mits deze gezamenlijk voldoende duidelijke en nauwkeurige regels bevatten. Het is aan de verwijzende rechter om te beoordelen of de Estse regeling aan deze vereisten voldoet.

107. Zoals de Commissie ter terechtzitting terecht heeft opgemerkt, moet echter, indien wordt aangenomen dat het hoofd van de RAB inderdaad over een beoordelingsmarge beschikt, in de relevante nationale maatregel zijn vastgelegd welke elementen of criteria die beoordelingsmarge afbakenen. Die elementen blijken echter niet uit de uiteenzetting over de relevante nationale wettelijke regeling.

108. Het nationale recht kan dus weliswaar voorzien in een volledige beperking van de toegang tot de gegevens waarover de FIE beschikt, maar moet duidelijke en precieze regels bevatten die de draagwijdte en de toepassingsvoorwaarden van de betrokken wetgevingsmaatregel regelen en minimale vereisten opleggen, zodat de personen van wie de persoonsgegevens worden verwerkt over voldoende garanties beschikken dat die gegevens doeltreffend worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik van die gegevens door FIE’s of andere bevoegde autoriteiten binnen het AML/CFT-stelsel.(74)

109. Bovendien moet elke volledige beperking van de toegang die wordt opgelegd aan de betrokkene, worden gecompenseerd door het mechanisme van artikel 17 van richtlijn 2016/680. Die bepaling voorziet in de indirecte uitoefening van de rechten van de betrokkene via de toezichthoudende autoriteit. Deze indirecte uitoefening is onder meer aan de orde in de situatie waarnaar artikel 15, lid 3, van deze richtlijn verwijst. Dit artikel biedt de verwerkingsverantwoordelijke de mogelijkheid om de betrokkene niet kennis te stellen van de weigering of beperking van de inzage en de redenen voor die weigering of beperking van informatie, wanneer de verstrekking van die informatie een van de in artikel 15, lid 1, van deze richtlijn genoemde doelstellingen van algemeen belang zou ondermijnen. Volgens artikel 17, lid 3, van deze richtlijn moet de toezichthoudende autoriteit, wanneer deze het inzagerecht namens de betrokkene uitoefent, de betrokkene er ten minste van in kennis stellen dat alle noodzakelijke controles of een evaluatie door de toezichthoudende autoriteit hebben plaatsgevonden.

110. In de rechtspraak van het Hof wordt het belang benadrukt van de indirecte uitoefening van de rechten van de betrokkene om een passend evenwicht te waarborgen tussen het algemene belang, dat de beperking van het inzagerecht rechtvaardigt, en de grondrechten van de betrokkene op gegevensbescherming en op een doeltreffende rechterlijke toetsing in de zin van artikel 47 van het Handvest. In het arrest in de zaak Ligue des droits humains (Controle door de toezichthoudende autoriteit op de gegevensverwerking) heeft het Hof geoordeeld dat de indirecte uitoefening van de rechten van de betrokkene via de bevoegde toezichthoudende autoriteit noodzakelijk is om deze rechten te beschermen, zoals blijkt uit overweging 48 van richtlijn 2016/680, aangezien de rechtstreekse uitoefening ervan bij de verwerkingsverantwoordelijke moeilijk of zelfs onmogelijk kan zijn.(75)