Prejudiciële vragen gesteld over gegevenswissing onder de AVG

Prejudiciële vragen gesteld aan HvJEU 17 november 2025, IT 5166; C-730/25 (Vinted tegen Valstybinė duomenų apsaugos inspekcija) via MinBuza. Verzoekster is de vennootschap Vinted, exploitant van een online marktplaats. Na klachten van drie gebruikers over geblokkeerde accounts en geweigerde wissing van persoonsgegevens heeft de nationale toezichthoudende autoriteit voor gegevensbescherming (tevens verweerder), inbreuken van de AVG vastgesteld. De Litouwse rechter vraagt het Hof vervolgens om uitleg van diverse bepalingen van de AVG. 

Prejudiciële vragen: 
1. Moeten artikel 55, lid 1, artikel 56, lid 1, artikel 57, lid 1, artikel 58, leden 1 en 2, en artikel 60 AVG aldus worden uitgelegd dat zij in de weg staan aan een praktijk van een lidstaat volgens welke de toezichthoudende autoriteit geen besluit meer kan vaststellen over een klacht inzake grensoverschrijdende gegevensverwerking en/of geen corrigerende maatregelen als bedoeld in artikel 58, lid 2, AVG meer kan opleggen om de enkele reden dat de naar nationaal recht geldende verjaringstermijn van twee jaar voor het opleggen van een administratieve geldboete is verstreken? 

2. Moeten artikel 57, lid 1, onder f), en artikel 58, leden 1 en 2, AVG aldus worden uitgelegd dat een toezichthoudende autoriteit in het kader van een onderzoek van een klacht van een betrokkene inzake een specifieke inbreuk die in de klacht is aangegeven, ook een besluit kan (of moet) nemen over andere, dezelfde gegevensverwerking betreffende inbreuken op de AVG die tijdens het onderzoek van de klacht zijn ontdekt, of moet deze autoriteit zich beperken tot het voorwerp van de klacht? 

3. Moet artikel 57, lid 1, onder f), AVG aldus worden uitgelegd dat een toezichthoudende autoriteit die een klacht van een betrokkene heeft ontvangen, de omvang van het onderzoek duidelijk moet omschrijven en de verwerkingsverantwoordelijke precies moet laten weten welke informatie van hem wordt verlangd om de klacht naar behoren te kunnen onderzoeken? 

4. Moeten artikel 5, lid 2, en artikel 24 AVG aldus worden uitgelegd dat de verwerkingsverantwoordelijke op grond van het verantwoordingsbeginsel alle beschikbare gegevens over de betrokkene die de klacht heeft ingediend, gedurende de gehele duur van het onderzoek van de klacht moet bewaren, ook al houden deze gegevens niet rechtstreeks verband met de strekking van de door de toezichthoudende autoriteit onderzochte klacht, en dat deze opslag verenigbaar is met het beginsel van minimale gegevensverwerking als bedoeld in artikel 5, lid 1, onder c), AVG en met het beginsel van opslagbeperking als bedoeld onder e), van dat artikel? 

5. Moeten artikel 5, lid 1, onder a), en artikel 12, leden 1 en 4, AVG aldus worden uitgelegd dat, wanneer een betrokkene op grond van artikel 17 AVG een niet-gespecificeerd verzoek tot wissing van zijn persoonsgegevens indient zonder de redenen voor wissing aan te geven, de verwerkingsverantwoordelijke kan weigeren de gegevens te wissen en hij de betrokkene niet hoeft mee te delen dat hij op eigen initiatief heeft beoordeeld of er sprake is van ten minste één van de in artikel 17, lid 1, AVG genoemde redenen voor wissing? Moet voorts, in geval van afwijzing van een verzoek krachtens artikel 17 AVG om wissing van persoonsgegevens, het in artikel 5, lid 1, onder a), en artikel 12, lid 1, AVG verankerde transparantiebeginsel, gelezen in samenhang met artikel 12, lid 4, aldus worden uitgelegd dat de verwerkingsverantwoordelijke de betrokkene informatie moet verstrekken over alle redenen waarom de persoonsgegevens zullen worden verwerkt, met inbegrip van de doeleinden van de resterende verwerkingsactiviteiten, de categorieën van gegevens, de verwerkingsactiviteiten en de rechtmatige grondslag? 

6. Moeten artikel 5, lid 1, onder a), artikel 6, lid 1, onder f), artikel 13, lid 1, onder d), artikel 14, lid 3, onder a), en artikel 14, lid 5, AVG aldus worden uitgelegd dat de verplichting van de verwerkingsverantwoordelijke om de betrokkene informatie te verstrekken over de wijze waarop persoonsgegevens in het kader van een schaduwban worden verwerkt, geacht wordt te zijn nagekomen en dat het in overeenstemming is met het transparantiebeginsel wanneer de verwerkingsverantwoordelijke in zijn privacybeleid aangeeft dat een ban zal worden opgelegd in geval van inbreuk op de regels van het platform (zonder nader aan te geven welke soorten bannen, met inbegrip van schaduwbannen, mogelijk zijn), en dat de persoonsgegevens (met inbegrip van de reden voor de ban, de duur en de profielgegevens) zullen worden verwerkt op basis van het gerechtvaardigde belang om de veiligheid van het platform, de gebruikers en de leden ervan te beschermen en te waarborgen, maar de betrokkene niet individueel wordt geïnformeerd over de verwerking van persoonsgegevens in het kader van de schaduwban, noch op het moment dat die verwerking begint, noch later, en de betrokkene pas informatie ontvangt over de verwerking van persoonsgegevens wegens de ban (een volledige ban, geen schaduwban) nadat de periode (van niet meer dan 30 dagen) van de schaduwban voorbij is en een volledige ban is opgelegd? Indien deze laatste vraag ontkennend wordt beantwoord, moet artikel 14, lid 5, onder b), AVG dan aldus worden uitgelegd dat de verwerkingsverantwoordelijke zich kan beroepen op de uitzondering op de informatieverplichting waarin deze bepaling voorziet, wanneer de verwerking in het kader van een schaduwban wordt verricht? 

7. Moeten artikel 5, lid 1, onder a), en artikel 6, lid 1, onder f), AVG aldus worden uitgelegd dat het handelen van een verwerkingsverantwoordelijke die de persoonsgegevens van een gebruiker in het kader van een schaduwban verwerkt zonder de betrokkene over deze verwerking te informeren, maar met het doel het platform, de gebruikers en de leden ervan te beschermen, kan worden geacht te voldoen aan de rechtmatigheidsvereisten van de AVG?