1/11
Geschillenkamer
Beslissing ten gronde 03/2021 van 13 januari 2021
Dossiernummer : DOS-2020-00608
Betreft : Verzending door school van een globale e-mail waarbij alle bestemmelingen
zichtbaar zijn
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter en de heren Christophe Boeraeve en Frank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna
WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
.
.
.
Beslissing ten gronde 03/2021 - 2/11
heeft de volgende beslissing genomen inzake:
- X, hierna “de klager”
- Y, hierna “de verweerder”
1. Feiten en procedure
1. Op 30 januari 2020 diende de klager klacht in bij de Gegevensbeschermingsautoriteit tegen de
verweerder.
2. Het voorwerp van de klacht betreft de verzending door de verweerder van een e-mail met
nieuwsbrief gericht aan de ouders van leerlingen van de hele school waarvan alle e-mailadressen
zichtbaar zijn voor alle bestemmelingen van de betreffende e-mail.
3. Op 17 februari 2020 wordt de klacht ontvankelijk verklaard op grond van de artikelen 58 en 60
WOG en wordt de klacht op grond van art. 62, §1 WOG overgemaakt aan de Geschillenkamer.
4. Op 3 april 2020 beslist de Geschillenkamer op grond van art. 95, §1, 1° en art. 98 WOG dat het
dossier gereed is voor behandeling ten gronde.
5. Op 3 april 2020 worden de betrokken partijen per aangetekende zending in kennis gesteld van de
bepalingen zoals vermeld in artikel 95, §2, alsook van deze in art. 98 WOG. Tevens worden zij op
grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij
vastgelegd op 18 mei 2020, deze voor de conclusie van repliek van de klager op 8 juni 2020 en
deze voor de conclusie van repliek van de verweerder op 29 juni 2020.
6. Op 18 mei 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder.
Daarin bevestigt hij dat Y op 30 januari 2020 een mail met de maandelijkse nieuwsberichten
verzond dewelke communicatie betrof rond de opstart van de kleuterafdeling door de gemeente
en een melding dat de school daags nadien zou zijn gesloten. Bij het verzenden van het bericht
werden de adressen van de ouders verkeerdelijk in het veld “Carbon Copy” (CC) geplaatst in plaats
van “Blind Carbon Copy” (BCC). De fout werd te laat gezien en een poging om het verzenden van
de mail ongedaan te maken of de mail in te trekken, is mislukt. Het was volgens de verweerder
geenszins de bedoeling om alle adressen in CC te plaatsen.
Beslissing ten gronde 03/2021 - 3/11
7. Verder voegt de verweerder drie documenten toe die richtlijnen bevatten aangaande de
verzending van mails naar externe personen waarin telkens wordt gesteld dat mailadressen in
BCC moeten worden geplaatst bij het in bulk verzenden van een mail. Daarnaast zou de
standaardwaarde om het verzenden van een mail ongedaan te maken, die initieel op 5 seconden
was ingesteld thans op 30 seconden zijn geplaatst, zodat bij twijfel de mail nog steeds kan worden
ingetrokken.
8. De verweerder biedt daarbij ook aan de klager zijn excuses aan voor het verspreiden van zijn
mailadres.
9. Op 20 mei 2020 ontving de Geschillenkamer de conclusie van repliek van de klager waarin hij stelt
dat voorafgaand aan de mail van 30 januari 2020 die het voorwerp uitmaakt van de klacht, reeds
meerdere malen mails van de verweerder ontving waarbij het telkens diende vast te stellen dat
de mailadressen zichtbaar waren voor alle bestemmelingen. Niettegenstaande de inspanningen
die de verweerder zou hebben gedaan, voegt de klager een mail toe, verzonden door de
verweerder op 22 april 2020, waaruit blijkt dat ook na 30 januari 2020 nog steeds alle mailadressen
voor alle bestemmelingen zichtbaar zijn.
10. Op 22 mei 2020 heeft de Geschillenkamer de conclusie van repliek ontvangen van de verweerder
waarin deze te kennen geeft dat hij het nodige zal doen om opvolging te verzekeren.
2. Rechtsgrond
- Artikel 5.1. b) AVG:
“Persoonsgegevens moeten: […] b) voor welbepaalde, uitdrukkelijk omschreven en
gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met
die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op
archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische
doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de
oorspronkelijke doeleinden beschouwd („doelbinding”);”
- Artikel 6.1. AVG
De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de
onderstaande voorwaarden is voldaan:
[…]
Beslissing ten gronde 03/2021 - 4/11
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van
de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de
grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van
persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de
betrokkene een kind is.
[…]
- Artikel 6.4. AVG:
“Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn
verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling
of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en
evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde
doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de
verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens
aanvankelijk zijn verzameld onder meer rekening met:
a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de
doeleinden van de voorgenomen verdere verwerking;
b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen
de betrokkenen en de verwerkingsverantwoordelijke betreft;
c) de aard van de persoonsgegevens, met name of bijzondere categorieën van
persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over
strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel
10;
d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of
pseudonimisering.”
- Art. 24.1 en 2. AVG:
“1. Rekening houdend met de aard, de omvang, de context en het doel van de verwerking,
alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en
vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende
technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de
verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen
worden geëvalueerd en indien nodig geactualiseerd.
2. Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1
bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de
verwerkingsverantwoordelijke wordt uitgevoerd.”
Beslissing ten gronde 03/2021 - 5/11
- Art. 25.1 en 2. AVG:
“1. Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de
omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en
ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen welke aan
de verwerking zijn verbonden, treft de verwerkingsverantwoordelijke, zowel bij de bepaling
van de verwerkingsmiddelen als bij de verwerking zelf, passende technische en
organisatorische maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de
gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende
manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving
van de voorschriften van deze verordening en ter bescherming van de rechten van de
betrokkenen.
2. De verwerkingsverantwoordelijke treft passende technische en organisatorische
maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt
die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de
hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn
waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen
met name ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor
een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt.”
3. Motivering
11. De verweerder beschikt over de contactgegevens van de ouders van leerlingen, waaronder de
klager, teneinde met hen te kunnen communiceren omtrent informatie die van belang is in het
kader van de relatie van de verweerder ten opzichte van de ouders van de leerlingen. De
Geschillenkamer gaat er vanuit dat voor het verkrijgen van deze gegevens een rechtsgrond
bestaat, als bedoeld in artikel 6.1 van de AVG, namelijk de noodzaak van de uitvoering van de
overeenkomst tussen klager en verweerder (artikel 6.1.b). Het lijkt immers in beginsel niet goed
mogelijk dat leerlingen van een school onderwijs genieten, zonder dat de school over de email-
gegevens van (één van) de ouders van de leerling beschikken. Om die reden is toestemming als
rechtsgrond overeenkomstig de voorwaarden van de artikelen 4, punt 7) en 7 AVG niet denkbaar
voor het verkrijgen van de gegevens. Ouders van kinderen hebben immers niet de vrije keuze om
al dan niet hun contactgegevens aan de school over te leggen.
12. De Geschillenkamer gaat na in hoeverre de verweerder die contactgegevens van de klager kan
delen met derden, in voorliggend geval de ouders van andere leerlingen.
Beslissing ten gronde 03/2021 - 6/11
13. Overeenkomstig artikel 5.1. b) AVG kan de verwerking van persoonsgegevens voor andere
doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel worden
toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens
aanvankelijk zijn verzameld. Rekening houdend met de criteria opgenomen in artikel 6.4. AVG en
overweging 50 AVG1 dient aldus te worden nagegaan of de verdere verwerking, in casu het
kenbaar maken via mail van de contactgegevens van de klager aan de ouders van andere
leerlingen, al dan niet verenigbaar is met de initiële verwerking bestaande uit de verzameling van
de contactgegevens van de klager binnen de context van rechtstreeks contact tussen de ouders
van leerlingen en de school. De Geschillenkamer komt tot het besluit dat de klager zijn
contactgegevens heeft verstrekt binnen het kader van zijn verhouding tot de school (zijnde de
verweerder) en er zich geenszins redelijkerwijs aan kon verwachten dat de school diezelfde
gegevens zou delen met derden die weliswaar een eigen band hebben met de school, vermits het
ouders van andere leerlingen betreft, maar die buiten de verhouding tussen de klager en de school
staan.
14. Dit leidt tot de vaststelling dat er geen sprake is van een verenigbare verdere verwerking, zodat
er een afzonderlijke rechtsgrond is vereist opdat de mededeling van de contactgegevens van de
klager aan de ouders van andere leerlingen als rechtmatig zou kunnen worden bestempeld.
15. Een verwerking van persoonsgegevens, waaronder dus ook een onverenigbare verdere verwerking
zoals in voorliggend geval, is immers slechts rechtmatig indien daartoe een rechtsgrond bestaat.
Voor onverenigbare verdere verwerkingen dient te worden teruggevallen op artikel 6.1. AVG en
overweging 50 AVG. In overweging 50 AVG 2 is opgenomen dat een afzonderlijke rechtsgrond is
vereist voor de verwerking van persoonsgegevens voor andere doeleinden die niet verenigbaar
zijn met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Die
afzonderlijke rechtsgronden op basis waarvan een verwerking, met inbegrip dus van
onverenigbare verdere verwerkingen, als rechtmatig kan worden beschouwd, zijn bepaald in
artikel 6.1. AVG.
1
Overweging 50 AVG: […] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de
persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake
rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling
tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld;
met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke
betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere
verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere
verwerkingen.
2
Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens
aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor
de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op
grond waarvan de verzameling van persoonsgegevens werd toegestaan. […]
Beslissing ten gronde 03/2021 - 7/11
16. De Geschillenkamer onderzoekt daartoe in hoeverre de rechtsgronden als bepaald in artikel 6.1.
AVG kunnen worden ingeroepen door de verweerder teneinde de verdere verwerking van de
persoonsgegevens die betrekking hebben op de klager te rechtvaardigen.
17. De verweerder zelf maakt geen melding van enige rechtsgrond dewelke hem zou toelaten over te
gaan tot de gegevensverwerking die het voorwerp uitmaakt van de klacht, zijnde de mededeling
van het mailadres van de klager aan de ouders van andere leerlingen. Daarenboven geeft de
verweerder uitdrukkelijk toe dat deze mededeling een fout betrof en het geenszins de bedoeling
was om alle mailadressen in CC te plaatsen. De verweerder argumenteert dus niet dat de
mededeling mocht plaatsvinden en tracht deze dus ook niet te rechtvaardigen door zich te
beroepen op enige rechtsgrond.
18. Op basis van de feitelijke elementen in het dossier aanwezig gaat de Geschillenkamer ambtshalve
na of er desgevallend een rechtsgrond kan worden ingeroepen die de verweerder zou toelaten
over te gaan tot de verzending van de mail met daarin zichtbaar voor alle bestemmelingen het
mailadres van de klager. Daartoe onderzoekt de Geschillenkamer of de mededeling van het
mailadres van de klager kan worden gebaseerd op enig gerechtvaardigd belang in hoofde van de
verweerder (artikel 6.1. f) AVG).
De overige rechtsgronden opgenomen in artikel 6.1. onder a), b), c), d) en e) AVG zijn in
voorliggend geval niet van toepassing.
19. Overeenkomstig artikel 6.1 f) AVG en de rechtspraak van het Hof van Justitie van de Europese
Unie (hierna “het Hof”) dient aan drie cumulatieve voorwaarden te zijn voldaan opdat een
verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op deze rechtmatigheidsgrond, “ te
weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de
verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in de
tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van
het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de fundamentele rechten
en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren ” (arrest
“Rigas”3).
20. Teneinde zich conform artikel 6.1 f) AVG te kunnen beroepen op de rechtmatigheidsgrond van het
“gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te
tonen dat:
3
HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA
„Rīgas satiksme”, overweging 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA,
overweging 40.
Beslissing ten gronde 03/2021 - 8/11
1) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend
(de “doeltoets”);
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de
“noodzakelijkheidstoets”); en
3) de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en
grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijke (de “afwegingstoets”).
21. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het doeleinde dat erin bestaat om tegelijkertijd alle ouders van de leerlingen te
bereiken door middel van verzending van één enkele e-mail moet worden beschouwd als
uitgevoerd met oog op een gerechtvaardigd belang. Het belang dat de verweerder als
verwerkingsverantwoordelijke nastreefde kan overeenkomstig overweging 47 AVG op zich als
gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste voorwaarde vervat
in artikel 6.1, f) AVG.
22. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer
bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan
worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende
verwerking voor de betrokkenen.
23. Uitgaande van het doeleinde, zijnde het bereiken van de ouders van leerlingen in één enkele e-
mail, dient de Geschillenkamer vast te stellen dat er een eenvoudig technisch middel bestaat dat
toelaat om de beoogde bestemmelingen van de e-mail in één enkele beweging te bereiken zonder
dat de mailadressen van eenieder zichtbaar zijn, namelijk de verzending in BCC in plaats van in
CC. Aan de tweede voorwaarde is aldus niet voldaan doordat het beginsel van minimale
gegevensverwerking (artikel 5.1. c) AVG) niet werd nageleefd.
24. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “ betrokkene
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden”4.
4
Overweging 47 AVG.
Beslissing ten gronde 03/2021 - 9/11
25. Dit wordt eveneens benadrukt door het Hof in zijn arrest “TK t/ Asociaţia de Proprietari bloc M5A-
ScaraA” van 11 december 20195, waarin het stelt:
“Ook relevant voor deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn of
haar persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven omstandigheden van
het geval, de betrokkene redelijkerwijs geen verdere verwerking van de gegevens kan
verwachten”.
26. De Geschillenkamer kan omtrent deze derde voorwaarde enkel vaststellen dat de klager zich op
geen enkel moment kon verwachten aan het delen van zijn mailadres met de ouders van andere
leerlingen.
27. De Geschillenkamer is van oordeel dat het geheel van de uiteengezette elementen aantoont dat
de verweerder zich op geen enkele rechtsgrond kan beroepen waaruit de rechtmatigheid blijkt
van de gegevensverwerking zoals deze door hem werd opgezet. Bovendien betwist de verweerder
de feiten niet en stelt zelf dat in de betreffende e-mail die het voorwerp uitmaakt van de klacht
het mailadres van de klager in het veld “CC” werd geplaatst in plaats van in “BCC” (BCC), hoewel
dit niet intentioneel gebeurde. Hierdoor geeft hij aan dat hij een inbreuk heeft gepleegd op de
verwerking van de persoonsgegevens van de klager. De Geschillenkamer besluit aldus dat de
inbreuk op artikel 5.1.b) juncto artikel 6.4. AVG, en op artikel 6.1. AVG is bewezen.
28. Ondanks het feit dat uit de door verweerder bijgebrachte stukken blijkt dat er binnen de school
algemene richtlijnen zijn opgesteld waarbij in globale mails de bestemmelingen in BCC dienen te
worden geplaatst, toont de klager aan dat deze richtlijnen niet in de praktijk worden omgezet.
Niet alleen de e-mail d.d. 30 januari 2020 waarop de klacht betrekking heeft, respecteert die
richtlijn niet, maar ook in de e-mail d.d. 22 april 2020 bijgevoegd door de klager in zijn conclusie
van repliek, wordt die regel niet toegepast. De verweerder ontkracht dit niet, maar stelt enkel dat
de casus zal worden opgevolgd. De Geschillenkamer is van oordeel dat ook de inbreuk op art.
24.1 en 2, en art. 25.1. en 2. AVG is bewezen.
29. De Geschillenkamer is bovendien van oordeel dat een school transparant dient te zijn omtrent de
wijze waarop het (communicatie-)gegevens van ouders verwerkt en daartoe een beleid ontwikkelt.
De Geschillenkamer beveelt daarom aan de verweerder om een dergelijk beleid te ontwikkelen,
dat ertoe strekt de communicatie met ouders te doen plaatsvinden in overeenstemming met art.
24.1 en 2, en art. 25.1. en 2. AVG.
5
HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 58.
Beslissing ten gronde 03/2021 - 10/11
30. Aangezien dit probleem zich voor alle scholen in België stelt, beschouwt de Geschillenkamer deze
beslissing als een aansporing voor scholen om zorgvuldig met gegevens van ouders om te gaan
en hiertoe een beleid te ontwikkelen. Een belangrijk onderdeel daarvan zou de verdere verwerking
van gegevens kunnen zijn, waarbij – in de gevallen waarin artikel 6.1. f) AVG niet kan worden
toegepast, toestemming als rechtsgrond kan worden gebruikt. Bijvoorbeeld wanneer die gegevens
worden verwerkt ten behoeve van de communicatie tussen ouders.
31. Belangrijk hierbij is dat scholen voor ogen houden dat als algemene regel voorop dient te staan
dat indien toestemming is gegeven, verdere verwerking alleen mogelijk is binnen de reikwijdte
van die toestemming. Toestemming moet immers granulair zijn 6. Indien ouders toestemming
geven voor het gebruik van communicatiegegevens door de school in het kader van communicatie
met andere ouders, mogen diezelfde gegevens bijvoorbeeld niet worden doorgegeven aan derden
voor direct marketing (voor bv. schoolboeken). Als de school die gegevens toch zou willen
doorgeven voor direct marketing doeleinden, moet de school daarvoor opnieuw toestemming
vragen aan de ouders. Dit is ook in overeenstemming met de Richtlijnen van het Europees Comité
voor Gegevensbescherming (EDPB) betreffende toestemming 7 waarin in essentie is opgenomen
dat de verwerkingsverantwoordelijke voorafgaand aan de verzameling van persoonsgegevens
dient te bepalen op welke rechtsgrond de verwerking steunt en niet kan overschakelen naar de
rechtsgrond ‘gerechtvaardigd belang’, wanneer de verdere verwerking niet past binnen de initiële
rechtsgrond ‘toestemming’ op basis waarvan de gegevens werden ingezameld.
32. De Geschillenkamer is van oordeel dat de hierna vermelde sancties volstaan, mede gelet op het
feit dat de verweerder zelf toegeeft dat er een fout is gebeurd en zich bereid toont om gelijkaardige
feiten in de toekomst te vermijden.
6
Overweging 43 AVG: […] De toestemming wordt geacht niet vrijelijk te zijn verleend indien geen afzonderlijke toestemming
kan worden gegeven voor verschillende persoonsgegevensverwerkingen ondanks het feit dat dit in het individuele geval passend
is, of indien de uitvoering van een overeenkomst, daaronder begrepen het verlenen van een dienst, afhankelijk is van de
toestemming ondanks het feit dat dergelijke toestemming niet noodzakelijk is voor die uitvoering.
7
Guidelines 05/2020 on consent under Regulation 2016/679 (vooralsnog is geen officiële Nederlandstalige vertaling
beschikbaar) https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf:
121. Article 6 sets the conditions for a lawful personal data processing and describes six lawful bases on which a
controller can rely. The application of one of these six bases must be established prior to the processing activity and in relation
to a specific purpose.
122. It is important to note here that if a controller chooses to rely on consent for any part of the processing, they must be
prepared to respect that choice and stop that part of the processing if an individual withdraws consent. Sending out
the message that data will be processed on the basis of consent, while actually some other lawful basis is relied on, would be
fundamentally unfair to individuals.
123. In other words, the controller cannot swap from consent to other lawful bases. For example, it is not allowed to
retrospectively utilise the legitimate interest basis in order to justify processing, where problems have been encountered
with the validity of consent. Because of the requirement to disclose the lawful basis, which the controller is relying upon at
the time of collection of personal data,controllers must have decided in advance of collection what the applicable lawful
basis is.
Beslissing ten gronde 03/2021 - 11/11
33. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing overeenkomstig artikel 100, §1, 16° WOG
gepubliceerd op de website van de Gegevensbeschermingsautoriteit met weglating van de
identificatiegegevens van de partijen, gezien die identificatiegegevens niet noodzakelijk en
relevant zijn bij de publicatie van de beslissing.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- op grond van artikel 100, §1, 5° WOG, een berisping te formuleren ten aanzien van de
verweerder.
- op grond van artikel 100, §1, 9° WOG, de verweerder te bevelen de verwerking in
overeenstemming te brengen met artikel 24.1. en 2. AVG en artikel 25.1 en 2. AVG.
Hiervoor geeft de Geschillenkamer de verweerder een termijn van drie maanden en verwacht de
Geschillenkamer dat de verweerder haar rapporteert tegen uiterlijk 31 maart 2021 omtrent het
in overeenstemming brengen van de verwerking met voormelde bepalingen.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(get.) Hielke Hijmans
Voorzitter van de Geschillenkamer