1/12
Geschillenkamer
Beslissing ten gronde 01/2022 van 3 januari 2022
Dossiernummer : DOS-2020-01182
Betreft : Klacht tegen een private arbeidsbemiddelaar wegens de onrechtmatige verdere
verwerking van persoonsgegevens na een verzoek tot gegevenswissing.
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans,
voorzitter en de heren Dirk Van Der Kelen en Jelle Stassijns;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en
betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene
verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers
op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
De klager: X, hierna “klager”;
De verweerder: Y, vertegenwoordigd door meester Maarten Stassen, hierna “verweerder”
Beslissing ten gronde 01/2022 - 2/12
I. Feiten en procedure
1. Op 3 maart 2020 dient klager een klacht in bij de Gegevensbeschermingsautoriteit tegen
verweerder. Het voorwerp van de klacht betreft de onrechtmatige verdere verwerking van
persoonsgegevens van de klager, nadat hij verweerder had verzocht om de persoonsgegevens te
wissen.
2. Klager verklaart dat hij in het najaar van 2019 op sollicitatiegesprek is geweest bij verweerder doch
niet is aangeworven, en vervolgens heeft gevraagd om zijn gegevens te laten wissen. Echter, op 2
maart 2020 ontvangt klager een e-mail van verweerder, waarin wordt meegedeeld dat verweerder
voor hem een account heeft aangemaakt. Klager antwoordt diezelfde dag dat hij geen account
wenst, en hij verzoekt verweerder om al zijn persoonsgegevens te wissen. Hoewel verweerder hem
op 3 maart 2020 in de voormiddag bevestigt dat de persoonsgegevens verwijderd werden,
ontvangt klager in de namiddag opnieuw een e-mail met een vacatureaanbod van een lokaal
kantoor van verweerder.
3. Op 29 april 2020 neemt de Eerstelijnsdienst contact op met klager teneinde na te vragen of hij
sinds de indiening van de klacht nieuwe e-mails heeft ontvangen, alsook om een bewijs aan te
leveren van de uitoefening van zijn rechten bij verweerder.
4. Op 29 april 2020 bevestigt klager dat hij een tweede e-mail met een vacatureaanbod, uitgestuurd
door een ander kantoor van verweerder op 15 april 2020, heeft ontvangen. Tevens verklaart klager
dat hij de gegevenswissing destijds telefonisch heeft aangevraagd bij een kantoor van verweerder,
erop vertrouwend dat zijn verzoek door de hele organisatie zou worden ingewilligd.
5. Op 2 juli 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de
artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, § 1 WOG overgemaakt aan de
Geschillenkamer.
6. Op 22 juli 2020 beslist de Geschillenkamer op grond van art. 63, 2° en 94, 1° WOG een onderzoek
te vragen aan de Inspectiedienst.
7. Op 22 juli 2020 wordt overeenkomstig art. 96, § 1 WOG het verzoek van de Geschillenkamer tot het
verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de
inventaris van de stukken.
8. Op 21 april 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het
dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter
van de Geschillenkamer op grond van art. 91, § 1 en § 2 WOG. Het onderzoeksverslag bevat
vaststellingen met betrekking tot het voorwerp van de klacht en onderscheidt twee verwerkingen1.
1
De Geschillenkamer benadrukt voor de goede orde dat het onderzoeksverslag foutief verwijst naar 2 en 3 maart 2019 als data voor
de e-mails ter mededeling van de activatie van het Y portaalsite account resp. de e-mails met betrekking tot het verzoek tot
gegevenswissing en de daaropvolgende vacature e-mails die klager desondanks ontving. Deze uitwisselingen vonden in 2020 plaats.
Beslissing ten gronde 01/2022 - 3/12
De eerste verwerking betreft de inschrijving van klager op Y mailinglijsten “voor vacatures”. De
tweede verwerking slaat op de aanmaak van een account, op naam van klager, op de Y portaalsite.
9. Verwerking 1 — Verweerder verklaart in zijn antwoord aan de Inspectiedienst dat klager zich op
29 april 2019 om 12u01 inschreef als kandidaat-uitzendkracht, via een niet langer in gebruik zijnde
webpagina van Y (…). Ten aanzien van de rechtmatigheid van de inschrijving van klager op Y
mailinglijst "voor het verzenden van vacatures", verwijst de DPO Y naar verschillende
rechtsgronden afhankelijk van het type verwerking.
10. Y stelt in het bijzonder dat de uitvoering van een overeenkomst (artikel 6.1.b AVG) de rechtsgrond
is voor de verwerking van persoonsgegevens in het kader van diensten die binnen Y opdracht als
private arbeidsbemiddelaar vallen, waaronder het versturen van vacatures. Diensten die
daarentegen ‘auxiliair’ zijn aan de opdracht van private arbeidsbemiddeling sensu stricto, berusten
op het gerechtvaardigd belang van verweerder. Hieronder valt onder meer het voorstellen van een
opleiding om de tewerkstellingsmogelijkheden te bevorderen, opdat de beschikbare vaardigheden
aan werknemerszijde zo goed mogelijk kunnen worden afgestemd op de vraag aan vaardigheden
aan werkgeverszijde. Tot slot gebruikt verweerder de toestemming van betrokkenen voor
communicatie die buiten Y opdracht als private arbeidsbemiddelaar valt en als
marketingcommunicatie wordt beschouwd.
11. Op basis van deze elementen stelt de Inspectiedienst vast dat de eerste betwiste verwerking van
persoonsgegevens, met name de inschrijving van klager op Y mailinglijst “voor het verzenden van
vacatures”, kadert binnen Y opdracht als private arbeidsbemiddelaar en derhalve gegrond is op de
uitvoering van een overeenkomst met de betrokkene. Bijgevolg besluit de Inspectiedienst dat deze
verwerking geen schending inhoudt van de artikelen 6 en 7 AVG.
12. Aangaande de wijze waarop verweerder het verzoek tot gegevenswissing door klager heeft
verwerkt, acht de Inspectiedienst dat deze niet verenigbaar is met de plicht van de
verwerkingsverantwoordelijke om de uitoefening van de rechten van betrokkenen te faciliteren
alsmede zijn verantwoordelijkheid om ten aanzien daarvan passende organisatorische en
technische maatregelen te treffen.
13. In de antwoorden op de bevragingen van de Inspectiedienst met betrekking tot het behandelen van
aanvragen van het recht van gegevenswissing, verduidelijkt verweerder vooreerst dat
persoonsgegevens van kandidaat-uitzendkrachten in een centrale database voor België worden
bewaard. De interne procedure voor de behandeling van verzoeken van betrokkenen voorziet dat
aanvragen tot gegevensverwijdering standaard worden overgemaakt aan het Quality departement
van Y, met het oog op een manuele behandeling ervan. Deze dienst onderzoekt de aanvraag en
voert een identiteitscontrole uit alvorens de draagwijdte van het verzoek te verduidelijken en de
aanvraag op passende wijze te behartigen. In het geval van een aanvraag tot gegevenswissing zal
de dienst meer bepaald nagaan vanuit de centrale databank welke gegevens verwijderd kunnen
Beslissing ten gronde 01/2022 - 4/12
worden en, desgevallend, de gegevens manueel aanpassen. Na voltooiing van het verzoek wordt
de betrokkene tot slot op de hoogte gebracht.
14. Niettegenstaande het voorgaande bevestigt verweerder eveneens dat de medewerkster die
destijds de aanvraag van klager heeft ontvangen, zou hebben nagelaten het verzoek tot
gegevenswissing door te geven aan de betrokken dienst, met als gevolg dat er geen verzoek tot
gegevenswissing werd geregistreerd en evenmin werd afgehandeld, waardoor klager uiteindelijk
in de centrale databank opgenomen bleef als kandidaat-uitzendkracht.
15. Verweerder verklaart in zijn antwoord aan de Inspectiedienst dat Y er overigens naar streeft om de
manuele behandeling van verzoeken tot gegevenswissing enigszins te beperken en zulke
verzoeken in de toekomst geautomatiseerd te verwerken. Volgens de Inspectiedienst lijkt dit
“streven naar” een geautomatiseerde verwerking van aanvragen tot gegevenswissing niet alleen
onverenigbaar met de in artikel 12.2 AVG gebruikte formulering dat de
verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkene dient te
faciliteren, maar diende verweerder krachtens artikel 24 AVG passende technische en
organisatorische maatregelen te treffen om te waarborgen en te kunnen aantonen dat de
verwerking in overeenstemming met de AVG wordt uitgevoerd met inbegrip van een
geautomatiseerde behandeling van verzoeken tot gegevenswissing. De Inspectiedienst stelt
derhalve vast dat verweerder de artikelen 12.2, 17 en 24 AVG heeft geschonden.
16. Verwerking 2 — Met betrekking tot de tweede betwiste verwerking van persoonsgegevens, met
name de aanmaak van Y portaalsite account, licht verweerder toe dat Y begin 2020 is overgestapt
van een centrale inschrijfpagina naar een zelfbedieningsportaal, dat als verlengstuk dient van de bij
verweerder reeds geregistreerde persoonsgegevens alsook de kandidaat-uitzendkrachten de
mogelijkheid biedt om hun persoonsgegevens zelf te beheren, bij te werken indien nodig, en ermee
te solliciteren. Sindsdien gaan nieuwe inschrijvingen bij verweerder gepaard met de aanmaak van
een account op de Y portaalsite. Kandidaat-uitzendkrachten die reeds bij Y ingeschreven waren op
het ogenblik van de "activatie" van het Y zelfbedieningsportaal, werden daarentegen ten tijde en
ter gelegenheid van de invoering ervan geïnformeerd via een e-mail.
17. In het antwoord op de informatievraag van de Inspectiedienst verduidelijkt verweerder eveneens
dat Y zich niet baseert op de toestemming als rechtsgrond voor de aanmaak van Y portaalsite
account, maar op de uitvoering van een overeenkomst tussen de kandidaat-uitzendkracht als
werkzoekende en Y als private arbeidsbemiddelaar.
18. Gelet op voorgaande elementen stelt de Inspectiedienst vast dat de aanmaak van Y portaalsite
account voor klager rechtmatig is gebeurd en derhalve geen schending inhoudt van de artikelen 6
en 7 AVG.
19. Met betrekking tot de informatie aan klager voorafgaand aan de aanmaak van Y portaalsite
account, stelt de Inspectiedienst vast, op grond van de stukken voorgelegd door klager alsmede
Beslissing ten gronde 01/2022 - 5/12
door verweerder, dat klager pas op 2 maart 2020 per e-mail op de hoogte werd gebracht dat zijn
account geactiveerd werd. Tijdens het onderzoek van de Inspectiedienst bevestigde de DPO van Y
dat de heer X zichzelf bij Y had ingeschreven als kandidaat-uitzendkracht, dat het Y
zelfbedieningsportaal nog niet bestond ten tijde van zijn inschrijving, en dat Y dit voor klager heeft
geactiveerd bij de invoering ervan, waarvan hij op de hoogte gebracht werd via twee e-mails van 2
maart 2020. Verder stelt de Inspectiedienst vast dat deze e-mails louter aangeven dat een Y
portaalsite account werd aangemaakt voor klager met het e-mail adres van klager als login.
20. Aangezien klager aldus niet op de hoogte werd gebracht van het introduceren van de Y portaalsite
voorafgaandelijk aan de aanmaak en activatie ervan, stelt de Inspectiedienst dat deze tweede
betwiste verwerking van persoonsgegevens verwarring schept en derhalve een schending inhoudt
van artikel 5.1.a AVG.
21. Op 20 mei 2021 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG dat het
dossier gereed is voor behandeling ten gronde.
22. Op 28 mei 2021 worden de betrokken partijen per aangetekende zending in kennis gesteld van de
bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in art. 98 WOG. Tevens worden zij op
grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
23. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij
vastgelegd op 9 juli 2021, deze voor de conclusie van repliek van de klager op 30 juli 2021 en deze
voor de conclusie van repliek van de verweerder op 20 augustus 2021.
24. Op 11 juni 2021 wordt de Geschillenkamer ingelicht dat Y door meester Maarten Stassen
vertegenwoordigd zal worden. Verweerder verzoekt tevens dat alle communicatie met de
Geschillenkamer, en zo mogelijk met de andere partij, elektronisch verloopt. Voorts vraagt
verweerder een kopie van het dossier (art. 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 16
juni 2021.
25. Op 9 juli 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege verweerder.
26. Verweerder verklaart allereerst dat de klacht een geïsoleerd geval betreft van niet-intentioneel
niet-volgen van de voorgeschreven procedure voor gegevenswissing. Hoewel verweerder niet
heeft kunnen nagaan waarom de procedure niet gevolgd werd of waarom de betrokken
medewerkster bevestigde dat de gegevens van klager uit de database van verweerder verwijderd
werden terwijl dit niet het geval was, omdat de medewerkster in kwestie niet meer voor verweerder
werkt sinds juli 2020, i.e. vóór het eerste schrijven van de Inspectiedienst, verklaart verweerder dat
er geen aanwijzingen werden gevonden dat het om een intentioneel handelen van de voormalige
medewerkster zou gaan, en dat het zeker geen intentioneel handelen was van verweerder, als
verwerkingsverantwoordelijke.
Beslissing ten gronde 01/2022 - 6/12
27. Met betrekking tot de tweede vaststelling door de Inspectiedienst, stelt verweerder dat een
verzoek tot gegevenswissing niet volledig geautomatiseerd kan worden wanneer "uitvoering van
een overeenkomst" de rechtsgrond van een verwerking is, aangezien artikel 17.1.a AVG stelt dat de
verwerkingsverantwoordelijke in zulk geval enkel verplicht is de persoonsgegevens te wissen
wanneer "de persoonsgegevens [...] niet langer nodig [zijn] voor de doeleinden waarvoor zij zijn
verzameld of anderszins verwerkt".
28. Verweerder stelt dat het in casu overigens niet duidelijk is welke feitelijke aantijgingen de
Inspectiedienst doen besluiten dat er een inbreuk op artikelen 17, 12.2 en 24 AVG is, en in het
bijzonder of de vaststelling door de Inspectiedienst betrekking heeft op het eenmalig niet-naleven
van de bestaande procedure dan wel op de procedure zelf.
29. Verder weerlegt verweerder het besluit van de Inspectiedienst dat de geautomatiseerde
verwerking van verzoeken tot gegevenswissing noodzakelijk, of minstens passend, is om de
uitoefening van de rechten van betrokkenen te faciliteren. Volgens verweerder is een
geautomatiseerde verwerking immers niet mogelijk omdat het inherent is aan deze verwerking en
de rechtsgrond van artikel 6.1.b AVG dat niet alle gegevens zomaar automatisch kunnen gewist
worden. Een manuele tussenkomst van de afdeling verantwoordelijk voor de behandeling van
verzoeken zou, aldus verweerder, derhalve steeds noodzakelijk zijn.
30. Verweerder verduidelijkt tevens dat verzoeken tot uitoefening van AVG-gerelateerde rechten op
verschillende manieren binnenkomen, zoals onder meer fysiek in een kantoor van verweerder,
telefonisch, via e-mail naar een e-mail adres van een kantoor, via e-mail rechtstreeks naar een
medewerker, via een e-mail naar de betrokken afdeling (zoals aangegeven in het privacybeleid), via
een e-mail naar andere diensten, enz. Met deze aanpak tracht verweerder het uitoefenen van
rechten van betrokkenen laagdrempelig te maken en worden alle verzoeken behandeld, ongeacht
het kanaal waarlangs deze binnenkomen.
31. Verweerder verwijst vervolgens naar de investeringen in een privacy management systeem
teneinde bestaande AVG-gerelateerde processen verder te optimaliseren, met inbegrip van
processen aangaande het afhandelen van verzoeken van betrokkenen. Verweerder meent dat er,
gelet op de huidige technische en organisatorische maatregelen evenals de investeringen in een
privacy management software om de uitoefening van rechten afdoende te faciliteren, bezwaarlijk
gesteld kan worden dat er een inbreuk is op artikelen 17, 12.2 en 24 AVG.
32. Ten aanzien van de inbreuk op artikel 5.1.a AVG, verklaart verweerder dat klager degelijk wist dat
verweerder zijn persoonsgegevens kon verwerken om het sollicitatieproces voor nieuwe functies
te faciliteren, alsook dat klager voorafgaandelijk op de hoogte werd gebracht van het introduceren
van de Y portaalsite. Hieruit volgt, aldus verweerder, dat de verwerking geschiedde op een manier
die ten aanzien van de klager transparant was, in overeenstemming met artikel 5.1.a AVG.
Beslissing ten gronde 01/2022 - 7/12
33. Verweerder weerlegt de stelling van de Inspectiedienst dat klager enkel werd geïnformeerd over
de introductie van de Y portaalsite nadat diens account was aangemaakt, door middel van een
activatie e-mail dd. 2 maart 2020. Meer bepaald verklaart verweerder dat de privacyverklaring voor
kandidaten, die beschikbaar was via de website waarop klager zich op 22 april 2019 registreerde
als kandidaat-uitzendkracht, duidelijk vermeldt dat persoonsgegevens gebruikt worden om het
sollicitatieproces voor nieuwe functies te faciliteren, welke het exacte doel is van de Y portaalsite,
aldus verweerder.
34. Verweerder voert overigens aan dat deze verbetering, en het specifieke doel om het
sollicitatieproces voor nieuwe functies te faciliteren, een tweede maal werd toegelicht in een e-mail
die naar alle betrokkenen werd gestuurd wiens gegevens in de database van verweerder zaten, een
paar dagen voorafgaand aan de e-mail van 2 maart 2020 aan klager met betrekking tot de activatie
van zijn Y account. Bijgevolg meent verweerder dat Y het nodige heeft gedaan om transparant te
zijn betreffende de verwerking in kwestie, waardoor er bezwaarlijk kan gesteld worden dat er een
inbreuk is op artikel 5.1.a AVG.
35. Verweerder verwijst naar het beleid van de Geschillenkamer inzake de publicatie van beslissingen
op de website van de GBA, evenals naar het feit dat de oorzaak die geleid heeft tot de klacht een
menselijke fout is, alvorens de Geschillenkamer te verzoeken om geen informatie openbaar te
maken in de beslissing waarmee de identificatie van verweerder mogelijk zou zijn. Verweerder ziet
in de feiten van deze zaak noch in zijn eigen houding een reden om de identificatie van de betrokken
partijen in dit dossier als sanctie toe te passen.
36. Tot slot vraagt verweerder dat de Geschillenkamer vaststelt dat het niet-wissen van de gegevens
van klager na diens verzoek daartoe een geïsoleerd geval betreft zonder intentioneel verkeerdelijk
handelen van verweerder en akte te nemen van de inspanningen die verweerder doet en heeft
gedaan om de uitoefening van rechten, waaronder het recht op gegevenswissing, optimaal te
faciliteren, en op basis daarvan te oordelen dat het niet nodig is om één van de maatregelen
voorzien in artikel 100 § 1, WOG uit te spreken.
37. Eveneens in hoofdorde, vraagt verweerder dat de Geschillenkamer zou vaststellen dat het op basis
van het onderzoeksverslag van de Inspectiedienst en de hierbij aangevoerde middelen vaststaat
dat verweerder geen bepalingen van de AVG heeft geschonden, en op basis daarvan op grond van
artikel 100 § 1, 2° WOG de buitenvervolgingstelling te bevelen.
38. Eveneens in hoofdorde verzoekt verweerder om niet geïdentificeerd te worden in de publicatie van
de beslissing, aangezien verweerder door zijn positieve en meewerkende houding aantoont dat
"naming en shaming" niet nodig is om zijn AVG-gerelateerde verplichtingen serieus te nemen,
omdat dit ook zonder een sanctie reeds het geval is.
39. In ondergeschikte orde, indien de Geschillenkamer op basis van de vaststellingen van de
Inspectiedienst toch zou oordelen dat verweerder bepalingen van de AVG heeft geschonden,
Beslissing ten gronde 01/2022 - 8/12
verzoekt verweerder dat de Geschillenkamer oordeelt dat deze inbreuken niet van dien aard zijn
dat daar een sanctie voor moet worden opgelegd, en op basis daarvan op grond van artikel 100 § 1,
2° WOG de buitenvervolgingstelling te bevelen.
40. Klager dient geen conclusie van repliek in bij de Geschillenkamer.
41. Op 16 augustus 2021 ontvangt de Geschillenkamer de syntheseconclusie van verweerder.
II. Motivering
42. De Geschillenkamer stelt vast dat de klacht betrekking heeft op het nalaten gevolg te geven aan
een verzoek tot gegevenswissing, enerzijds, en een vermeende inbreuk op de beginselen van
rechtmatigheid, behoorlijkheid en transparantie, anderzijds.
II.1. Inschrijving op Y mailinglijsten voor vacatures (verwerking 1) en verzoek tot
gegevenswissing door klager
43. Op grond van het onderzoeksverslag van de Inspectiedienst alsmede de stavingstukken die
verweerder inbrengt, oordeelt de Geschillenkamer vooreerst dat verweerder klager ten tijde van
zijn inschrijving als kandidaat-uitzendkracht op passende wijze heeft geïnformeerd over de
diensten die Y aanbiedt als private arbeidsbemiddelaar, middels de privacyverklaring voor
kandidaten.
44. De Geschillenkamer besluit dat de inschrijving van klager op de mailinglijsten van Y met betrekking
tot vacatures, rechtmatig geschiedde en dus geen schending vormt van artikelen 6 en 7 AVG. Dit
luik van de klacht dient derhalve geseponeerd te worden.
45. Ten aanzien van het verzoek tot gegevenswissing, begrijpt de Geschillenkamer dat klager op
29 april 2019 in het kader van een telefonisch gesprek met een medewerkster van het kantoor Y [..]
zou gevraagd hebben zijn gegevens te laten wissen, toen hij vernam niet aangeworven te zijn.
Daarnevens zou klager, naar aanleiding van de tweeledige mededeling dat er Y portaalsite account
werd aangemaakt voor hem, op 2 maart 2020 een e-mail hebben verstuurd naar Y [..](...) teneinde
zijn persoonsgegevens te laten verwijderen, waarop een medewerkster van datzelfde kantoor op
3 maart 2020 schriftelijk antwoordde dat zijn persoonsgegevens uit de databanken verwijderd
werden.
46. Uit het voorwerp van de klacht en de stavingstukken van klager blijkt echter dat verweerder geen
gevolg heeft gegeven aan het verzoek van klager. Artikel 17.1 AVG voorziet nochtans in het recht
voor betrokkenen om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing
van hun persoonsgegevens te verkrijgen. Indien persoonsgegevens niet langer nodig zijn voor de
doeleinden waarvoor zij zijn verzameld of anderszins verwerkt, is de verwerkingsverantwoordelijke
in beginsel verplicht deze persoonsgegevens zonder onredelijke vertraging te wissen.
Beslissing ten gronde 01/2022 - 9/12
47. In casu heeft verweerder de verwerking van persoonsgegevens van de klager zelfs verdergezet,
zoals blijkt uit het feit dat Y diezelfde dag en wederom op 15 april 2020 is doorgegaan met de
verzending van vacature e-mails aan het persoonlijke mailadres van klager.
48. De oorzaak hiervan zou volgens verweerder te wijten zijn aan een eenmalige, menselijke fout door
de toenmalige medewerkster, die zou hebben nagelaten de aanvraag tot gegevenswissing aan de
bevoegde dienst mee te delen, zoals nochtans voorgeschreven door de interne procedures voor de
behandeling van aanvragen van betrokkenen ter uitoefening van hun rechten onder de AVG.
49. Niettegenstaande het voorgaande, oordeelt de Geschillenkamer dat op grond van bovenstaande
analyse dient te worden geconcludeerd dat verweerder hierdoor een inbreuk op de artikelen 12.22
en 17.13 van de AVG heeft gepleegd, en evenmin heeft voldaan aan de op hem rustende
verantwoordingsplicht overeenkomstig artikel 5.2 en 24 AVG.
50. De Geschillenkamer neemt evenwel akte van het feit dat verweerder zich hiervoor bij klager
verontschuldigde en benadrukt heeft dat zijn persoonsgegevens ondertussen uit de databank van
verweerder werden gewist4. Tevens besluit de Geschillenkamer dat zij niet beschikt over
aanwijzingen dat de door verweerder ingestelde procedures niet van dien aard zijn dat zij afdoende
waarborgen dat de rechten van de betrokkenen in overeenstemming met de AVG worden
gevrijwaard.
51. De Geschillenkamer stelt overigens vast dat de Inspectiedienst geen aanwijzingen heeft gevonden
dat dit een opzettelijke schending was, en dat verweerder na de tussenkomst van de
Inspectiedienst onverwijld het verzoek van klager heeft ingewilligd. Het geval van de klager lijkt (tot
2
Artikel 12 AVG — Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene
[…]
2. De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en
met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het
verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de
verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.
[…]
3
Artikel 17 AVG — Recht op gegevenswissing („recht op vergetelheid”)
1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende
persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging
te wissen wanneer een van de volgende gevallen van toepassing is:
a) de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust,
in, en er is geen andere rechtsgrond voor de verwerking;
c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende
gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
d) de persoonsgegevens zijn onrechtmatig verwerkt;
e) de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde
wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
f) de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in
artikel 8, lid 1.
[…]
4
Met uitzondering van de persoonsgegevens die volgens verweerder nodig zijn voor onderhavige procedure.
Beslissing ten gronde 01/2022 - 10/12
nu toe) een op zichzelf staand geval te zijn5, en verweerder geeft voldoende aan dat er naar
aanleiding van het onderzoek door de Inspectiedienst de nodige maatregelen werden getroffen om
gelijkaardige incidenten in de toekomst te voorkomen.
52. Voorts wijst de Geschillenkamer erop dat klager geenszins in zijn klacht aanvoert dat hij enige
schade zou hebben geleden door het voorval.
53. Ten slotte dient te worden aangestipt dat klager tijdens het onderzoek geen antwoord heeft
geboden aan de vragen van de Inspectiedienst en evenmin verweermiddelen heeft ingediend
tijdens de procedure voor de Geschillenkamer.
54. Gelet op bovenstaande elementen oordeelt de Geschillenkamer dat de inbreuk op artikelen 12.2,
17.1 en 24 AVG bewezen is. Gelet op het feit dat het onder meer lijkt te gaan om een éénmalige
overtreding, die niet opzettelijk is en ook geen gevolgen heeft voor meerdere betrokkenen besluit
de Geschillenkamer om op grond van artikel 100, § 1, 5° van de WOG een berisping te formuleren
ten aanzien van verweerder voor het niet inwilligen van een verzoek tot gegevenswissing.
II.2. Aanmaak Y portaalsite account (verwerking 2) en naleving van de beginselen van
rechtmatigheid, behoorlijkheid en transparantie ten aanzien van klager
55. Het tweede luik van de klacht heeft betrekking op de activatie van Y portaalsite account op naam
van klager desondanks diens eerdere verzoek tot gegevenswissing. Klager verklaart dat hij
overigens niet in kennis werd gebracht van de aanmaak van zijn account voorafgaand aan de
activatie ervan op 2 maart 2020.
56. De Inspectiedienst treedt het standpunt van klager bij door de inbreuk op artikel 5.1.a AVG vast te
stellen, zonder echter te concluderen dat verweerder de verwerking van de persoonsgegevens van
klager op onrechtmatige wijze heeft uitgevoerd voor de aanmaak van een Y portaalsite account.
57. Dienaangaande merkt de Geschillenkamer op dat verweerder dat standpunt weerlegt in zijn
verweermiddelen en verklaart dat de e-mail met informatie over de uitrol van de Y portaalsite naar
alle betrokkenen werd gestuurd die in de database van verweerder zaten, en voor wie een Y-
account aangemaakt zou worden.
58. Uit de stavingstukken die verweerder voorlegt, blijkt echter nergens dat deze voorafgaande e-mail
daadwerkelijk werd verzonden. In tegenstelling tot de twee gedateerde activatie e-mails, vindt de
Geschillenkamer immers geen verzenddatum of ontvanger van deze voorafgaande e-mail, met als
gevolg dat zij het onvoldoende bewezen acht dat verweerder klager daadwerkelijk op passende
wijze heeft ingelicht over de verdere verwerking van diens persoonsgegevens in het kader van zijn
nieuwe Y portaalsite account.
5
Beslissing ten gronde 67/2021 van 4 juni 2021, beschikbaar op: https://www.gegevensbeschermingsautoriteit.be/
Beslissing ten gronde 01/2022 - 11/12
59. Desalniettemin stelt verweerder dat een portaalsite zoals Y een dienst is dewelke klager in een
moderne online omgeving had moeten verwachten. Verweerder verwijst in het bijzonder naar de
privacyverklaring voor kandidaten, die beschikbaar was via de website waarop klager zich
registreerde en hem duidelijk informeerde over het gebruik van zijn persoonsgegevens voor het
faciliteren van het sollicitatieproces voor nieuwe functies, wat volgens verweerder bovendien het
exacte doel is van de Y portaalsite.
60. Daarnaast stelt de Geschillenkamer vast dat klager geen bewijs inbrengt van zijn eerste verzoek tot
gegevenswissing, hoewel de privacyverklaring uitdrukkelijk verwijst naar het zelfbedieningsportaal
dan wel twee functionele e-mail adressen om zijn rechten uit te oefenen. Tevens verklaart
verweerder dat er geen bewijs van dergelijke aanvraag werd teruggevonden in de interne
systemen. Aldus kan de Geschillenkamer niet vaststellen dat klager voorafgaand aan de ontvangst
van de activatie e-mails de wissing van zijn persoonsgegevens heeft aangevraagd.
61. De Geschillenkamer besluit op grond van voorgaande analyse dat klager, bij gebrek aan
gegevenswissing vóór 2 maart 2020, overeenkomstig de intern voorgeschreven bewaartermijnen
in de databanken van kandidaat-uitzendkrachten bewaard is gebleven, hetgeen ertoe heeft geleid
dat zijn persoonsgegevens werden overgebracht naar de nieuwe Y portaalsite.
62. Aangezien deze laatste verwerking kadert binnen de dienstverlening van verweerder in zijn
hoedanigheid van private arbeidsbemiddelaar, en vermits klager door middel van de
privacyverklaring — waarvan hij bij zijn inschrijving kennis heeft genomen — werd ingelicht van de
met deze dienstverlening gepaard gaande mogelijke gegevensverwerkingen, oordeelt de
Geschillenkamer dat er in casu geen schending kan worden vastgesteld van artikel 5.1.a AVG.
63. Het geheel van de hierboven uiteengezette elementen rechtvaardigt volgens de Geschillenkamer
dat in casu wordt overgegaan tot het nemen van een beslissing op grond van artikel 100, § 1, 1°
WOG. Meer bepaald besluit de Geschillenkamer om de klacht, voor wat betreft het aspect van de
mogelijke schending van het rechtmatigheidsbeginsel en het transparantiebeginsel in het kader
van de aanmaak van Y portaalsite account, te seponeren.
III. Publicatie van de beslissing
64. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens
van de partijen rechtstreeks worden bekendgemaakt.
Beslissing ten gronde 01/2022 - 12/12
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- op grond van artikel 100, § 1, 1° van de WOG de klacht met betrekking tot de inschrijving
van klager op de vacature-nieuwsbrieven van verweerder te seponeren;
- op grond van artikel 100, § 1, 5° van de WOG een berisping te formuleren ten aanzien van
verweerder voor het niet inwilligen van een verzoek tot gegevenswissing;
- op grond van artikel 100, § 1, 1° van de WOG de klacht met betrekking tot de schending van
het rechtmatigheidsbeginsel en het transparantiebeginsel in het kader van de aanmaak van
een Y portaalsite account te seponeren;
Tegen deze beslissing kan op grond van artikel 108, § 1 van de WOG, beroep worden aangetekend
binnen een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(get) Hielke HIJMANS
Voorzitter van de Geschillenkamer