APD/GBA (Belgium) - 04/2021

Beslissing ten gronde 04/2021 - 1/49

Geschillenkamer

Beslissing ten gronde 04/2021 van 27 januari 2021

Dossiernummer : DOS-2019-04798

Betreft : Klacht naar aanleiding van het doorgeven van persoonsgegevens door een
organisatie die aanbiedingen doet aan (aanstaande) moeders.

De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans,
voorzitter en de heren Jelle Stassijns en Dirk Van Der Kelen, leden;

Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;

Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna
WOG;

Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari
2019;

Gelet op de stukken van het dossier;

.
.
.

Beslissing ten gronde 04/2021 - 2/49

heeft de volgende beslissing genomen inzake:

- Mevr. X, hierna “de klager”,
- De vennootschap/ De Nationale Dienst voor Promotie van Kinderartikelen, NV (hierna: NV
NDPK), hierna “de verweerder”, vertegenwoordigd door mr. Jean-François Henrotte en mr.
Fanny Coton.

1. Feiten en procedure

De klacht

1. De omstandigheden rond en het voorwerp van de klacht kunnen worden samengevat
als volgt. De verweerder is een privéonderneming, meer bepaald een reclamebureau dat
voorziet in media representatie. De verweerder biedt zogenaamde “Geschenkpakketen”
aan, ten behoeve van (aanstaande) moeders waarin aanbiedingen en staaltjes van
producten en diensten te vinden zijn. Deze geschenkpakketten worden door een netwerk
van partners verdeeld. De verweerder biedt (aanstaande) moeders eveneens informatie
aan over de zwangerschap, geboorte, etc. Verder geeft zij kortingen die tijdelijk worden
aangeboden aan geregistreerde leden. De gegevens van (aanstaande) moeders worden
doorgegeven aan derden (zogenaamde structurele partners) in ruil voor voornoemde
aanbiedingen en staaltjes en met oog op de handel in persoonsgegevens en direct
marketing door deze derden. De klacht wijst voornamelijk op het feit dat de verweerder
een leverancier is van persoonsgegevens.

2. De klager heeft zich destijds - bij het ontvangen van een geschenkpakket vanwege de
verweerder - ingetekend bij de verweerder en toestemming gegeven voor het verwerken
van bepaalde aan haar toehorende persoonsgegevens. De klager besliste later echter
om een bezwaar aan te tekenen bij de verweerder omdat zij niet meer wenste
gecontacteerd te worden door derden/partners van verweerder. Toch ontving de klager
na het indienen van een bezwaar bij de verweerder nog telefoonoproepen van derde
partners van de verweerder in verband met bepaalde promoties.

3. Op 19 september 2019 dient de klager klacht in bij de Gegevensbeschermingsautoriteit
(hierna ook GBA genoemd) tegen de verweerder.

4. Het voorwerp van de klacht betreft het verhuren of het verkopen van persoonsgegevens
voor redenen van direct marketing, zonder expliciete toestemming van betrokkenen en
op zijn minst na het intrekken ervan, met ongewenste reclame als gevolg. De klager
werd door een Nederlands bedrijf opgebeld voor reclamedoeleinden. Het Nederlandse

Beslissing ten gronde 04/2021 - 3/49

bedrijf zou hebben aangegeven dat zij de gegevens van de klager heeft bekomen bij de
verweerder. De klager stelt dat de doorgifte van de gegevens op een niet-transparante
wijze gebeurde. Tegelijk geeft ze aan dat ze destijds een formulier van de verweerder
heeft ingevuld, maar dat zij zich niet herinnert hierin toestemming te hebben gegeven
om haar gegevens door te geven.

5. Op 23 september 2019 wordt de klacht ontvankelijk verklaard op grond van de artikelen
58 en 60 WOG en wordt de klacht op grond van art. 62, §1 WOG overgemaakt aan de
Geschillenkamer.

Het verslag van de Inspectiedienst

6. Op 8 oktober 2019 beslist de Geschillenkamer op grond van art. 63, 2° en 94, 1° GBA-
wet een verzoek om een onderzoek te verrichten aan de Inspectiedienst te richten. De
Geschillenkamer vond enkele punten te onduidelijk om over te gaan naar de behandeling
ten gronde.

7. Op 28 januari 2020 werd het verslag door de Inspectiedienst overgemaakt aan de
Geschillenkamer overeenkomstig artikel 91, §2 WOG.

8. Het verslag stelt dat volgende persoonsgegevens worden verhuurd aan derde
ondernemingen door de verweerder: naam moeder, voornaam moeder, geboortedatum
van de baby, geslacht van de baby, naam van de baby, e-mailadres, straat en
huisnummer, postcode en woonplaats.

9. De Inspectiedienst stelt niet bevoegd te zijn om nuttige onderzoekshandelingen te
verrichten voor de Nederlandse onderneming die de klager opbelde op 17 september
2019 met een aanbod voor kinderboeken. De Nederlandse onderneming heeft immers
geen vestiging in België. De Inspectiedienst beperkte zich aldus tot een onderzoek ten
aanzien van de verweerder als verwerkingsverantwoordelijke.

10. De Nederlandse onderneming zou volgens de Inspectiedienst de gegevens van de
verweerder gehuurd hebben. De klager had een eerste maal ingetekend op “het
geschenkpakket” van de verweerder tijdens haar zwangerschap via een formulier
“reservatiekaart voor mijn geschenkpakketten”. Het eerste geschenkpakket werd
volgens de klager op 12 april 2019 bezorgd via een winkel gespecialiseerd in
babyproducten.

Beslissing ten gronde 04/2021 - 4/49

11. Volgens de klager nodigde een medewerker van deze winkel haar uit om het formulier
in te vullen indien zij ook de andere geschenkpakketten van de verweerder wenst te
ontvangen, waarvan de klager aangeeft dat zij het formulier inderdaad heeft ingevuld
en overgemaakt aan de verweerder. De klager kreeg eveneens een “paars
geschenkpakket” bij haar gynaecologe die een QR code bevatte waarbij ze werd
uitgenodigd om zich online in te schrijven. Bij haar opname in de materniteit verkreeg
ze een derde geschenkpakket zonder de vraag om een formulier in te vullen.

12. Op 21 mei 2019 kreeg de klager een e-mail waarbij zij bedankt werd voor haar
inschrijving en waarin zij werd uitgenodigd om in te tekenen voor een
welkomstgeschenk. De klager uitte vervolgens haar bezwaar bij de verweerder, die de
ontvangst hiervan bevestigde op 19 september 2019. Desondanks bleef de klager nadien
nog herhaaldelijk e-mails ontvangen van een partner van de verweerder in de periode
tussen 26 september en 12 november 2019, terwijl volgens de voorwaarden van de
verweerder ontvangen gegevens niet meer dan één keer mogen worden gebruikt door
dit type partner (een ‘losse partner’, infra).

13. De verweerder heeft verschillende soorten partners:
- Structurele partners waaraan de persoonsgegevens worden doorgegeven.
- Losse partners: Bij één type van losse partners stuurt de verweerder zelf e-mails uit in
hun naam. Een ander type losse partners krijgen persoonsgegevens voor eenmalig
gebruik om postzendingen te kunnen uitzenden of telefonisch contact te kunnen zoeken
met de betrokkenen.

14. De eerste activiteit van de verweerder, zoals uiteengezet in het verslag van de
Inspectiedienst, betreft de verdeling van geschenkpakketten via de partners van de
verweerder. Het distribueren van de geschenkpakketten ondersteunt volgens de
Inspectiedienst het voeren van een activiteit van handel in persoonsgegevens van
moeder en kind met oog op direct marketing door niet exhaustief vernoemde partners
van de verweerder. Er zijn verschillende partners naargelang het soort geschenkpakket:
- “mijn zwangerschap” en “mijn geboorte” geschenkpakketten met materniteiten en
gynaecologen als partners;
- “mijn eerste maanden” geschenkpakket met een supermarkt (Y1), kinderdagverblijven
en onthaalouders als partners;
- “mijn eerste verjaardag” geschenkpakket met een kledingbedrijf (Y2), deelnemende
kinderdagverblijven en onthaalouders als partners;
- “mijn eerste schoolherinneringen” geschenkpakket met een kledingbedrijf (Y2) als
partner

Beslissing ten gronde 04/2021 - 5/49

15. Inzake de naleving van art. 5, lid 1, punt a) AVG (rechtmatigheid, behoorlijkheid en
transparantie) antwoordt de verweerder dat zij “voor wat haar persoonlijk gebruik
betreft” geen gegevens “met het oog op direct marketing verzamelt.” De Inspectiedienst
kon niet vaststellen dat de verweerder voor het promoten van eigen diensten of
goederen direct marketing berichten zou sturen naar de moeders en/of hun minderjarige
kinderen. Maar de Inspectiedienst stelt dat:
- de stukken aantonen dat het de bedoeling is om de persoonsgegevens van moeders
te verhuren met het oog op direct marketing door de klanten van de verweerder;

- de verweerder in de periode rond 2014 haar naam verbond aan de slogan “N°1 in
young family marketing”;
- de verweerder actief is bij het profileren van betrokkenen. Moeders worden
ingedeeld op basis van de leeftijd van hun kind;
- opvalt dat de verweerder in haar communicatie met de betrokkenen en de GBA maar
een deel van haar activiteiten benadrukt (verdelen van de geschenkpakketten) en
de communicatie over de andere activiteit (handel in persoonsgegevens/verhuur)
niet expliciet omschrijft in normaal taalgebruik maar enkel in vage bewoordingen.
Deze werkwijze schept potentieel verwarring en gaat in tegen het
eerlijkheidsbeginsel. Er wordt niet duidelijk gecommuniceerd dat als men inschrijft
op het geschenkpakket men reclame kan krijgen van derden die (qua categorie)
afdoende duidelijk worden omschreven;
- het herhaaldelijk verdoezelen (expliciete woorden zoals profilering, reclame,
marketing niet gebruiken in de externe communicatie) of spelen met woorden door
“halve waarheden” te communiceren - zoals bijvoorbeeld te stellen dat men zelf
geen gegevens voor direct marketing verzamelt en enkel de voordelen benadrukt -
een bewijs is dat de risico’s en gevolgen voor de betrokkenen bewust worden
verzwegen of ondergewaardeerd worden door de verweerder;
- her transparantiebeginsel en het eerlijkheidsbeginsel niet worden nageleefd;

16. De tweede activiteit van de verweerder zoals uiteengezet in het verslag van de
Inspectiedienst betreft de handel in persoonsgegevens (met het oog op direct
marketing). Ingevolge art. 12 en art. 13 AVG is er een informatieplicht en een
verantwoordingsplicht om te voldoen aan het vereiste van een transparante verwerking.

17. De verweerder als verwerkingsverantwoordelijke moet passende maatregelen nemen
opdat de betrokkene in de artikelen 13 en 14 AVG bedoelde informatie verkrijgt.
Eveneens dient de informatie omtrent de rechten van betrokkenen overeenkomstig
artikelen 12 tot en met 22 en art. 34 AVG in verband met de verwerking weergegeven

Beslissing ten gronde 04/2021 - 6/49

te zijn in een beknopte, transparante, begrijpelijke en gemakkelijke toegankelijke vorm
en in duidelijke en eenvoudige taal.

18. Volgens de verantwoordingsplicht in art. 5, lid 2 AVG moet de
verwerkingsverantwoordelijke kunnen aantonen dat de activiteit van de handel in
persoonsgegeven door de partners op afdoende wijze duidelijk wordt gemaakt aan de
betrokkenen.

19. De verweerder camoufleert volgens de Inspectiedienst de doelstelling “handel in
persoonsgegevens en profilering” door niet op dezelfde (duidelijke) wijze over haar
handelsactiviteiten te communiceren als over het ontvangen van “gratis” voordelen via
de geschenkpakketten. De informatie over de profilering van de betrokken moeders en
de handel in persoonsgegevens wordt verschaft in juridische bewoordingen en kleine
letters op de zijkant van de papieren antwoordkaarten en op de website van de
verweerder.

20. De Inspectiedienst stelt vast dat de commerciële hoofdactiviteiten van de verweerder
(met name reclame, mediarepresentatie, handel in persoonsgegevens) niet op afdoende
transparante wijze worden gecommuniceerd aan de (aanstaande) moeders zoals vereist
door artikelen 5, lid 1, punt a) en 12, lid 1 AVG.

21. Betreffende de rechtmatigheid van de verwerking (art. 6 AVG) baseert de verweerder
zich op art. 6, lid 1, punten a) en f) AVG, afhankelijk van of de verzameling van
persoonsgegevens dateert van resp. na en voor 25 mei 2018.

22. Artikel 6 lid 1 a) betreft de toestemming van de betrokkene als rechtsgrond voor de
verwerking van de persoonsgegevens. De verweerder hanteert een online
intekenprocedure. Het online intekenen op een geschenkpakket is steeds gekoppeld aan
het verplicht geven van het “akkoord” voor minstens een vorm van doorgifte met het
oog op direct marketing. Er wordt de betrokkene echter geen keuze gelaten om te
bepalen welke handel in persoonsgegevens en profilering kan plaatsvinden in welke
context. De betrokkene kan niet verdergaan met de inschrijving indien een vakje niet
wordt aangevinkt. Het is niet mogelijk om zonder toestemming de voordelen te
ontvangen. Er kan aldus geen sprake zijn van “vrije toestemming” in de zin van de AVG,
concludeert de Inspectiedienst.

23. Het recht tot intrekking, dat onlosmakelijk samenhangt met het geven van de
toestemming, wordt enkel vermeld in het online privacybeleid. Het recht wordt

Beslissing ten gronde 04/2021 - 7/49

daarnevens niet gefaciliteerd door de weergave in kleine letters. De Inspectiedienst stelt
dienvolgens vast dat de intrekking niet even eenvoudig als het geven van toestemming
verloopt, wat in strijd is met art. 7, lid 3 AVG. Indien de toestemming door een
betrokkene wordt ingetrokken worden de persoonsgegevens bij de verweerder niet
geschrapt of gewist, maar enkel op “inactief” gezet.

24. Verder is er geen granulair karakter van de toestemming. Alle doeleinden worden steeds
samengevoegd bij de communicatie door de verweerder. Dit beperkt de controle van
betrokkenen over hun persoonsgegevens. Eveneens worden de categorieën van de
ontvangers van de persoonsgegevens niet afdoende duidelijk omschreven. Betrokkenen
kunnen niet inschatten wat de impact of aard is van het doorgeven van hun gegevens
waardoor hun vrije keuze in het gedrang komt.

25. De Inspectiedienst leidt uit de combinatie van voormelde vaststellingen af dat er geen
sprake is van het bestaan van een geldige toestemming in de zin van de AVG in hoofde
van de betrokkenen voor zichzelf (moeder) of als wettelijk vertegenwoordiger van het
kind (minderjarige).

26. Artikel 6 lid 1, punt f) AVG betreft het gerechtvaardigd belang van de
verwerkingsverantwoordelijke als rechtsgrond voor de verwerking van de
persoonsgegevens. In de beoordeling of het gerechtvaardigd belang toereikend is als
rechtsgrondslag, moet worden rekening gehouden met de redelijke verwachtingen,
belangen en rechten van de betrokkenen (moeder en kind). De reactie van de klager
illustreert volgens de Inspectiedienst dat het gerechtvaardigd belang van de verweerder
niet strookt met de redelijke verwachtingen van betrokkenen. De verweerder hanteert
abstracte voorwaarden en geen expliciete termen zoals reclame, direct marketing en
handel in persoonsgegevens. Het is onmogelijk voor betrokkenen om in te schatten
hoeveel andere ondernemingen hun persoonsgegevens verder gebruiken.

27. De Inspectiedienst stelt dat de verweerder onvoldoende toelichting geeft over het soort
verwerkingen die kunnen volgen na het verhandelen van de persoonsgegevens. Bij de
distributie van de geschenkpakketten worden ziekenhuizen en gynaecologen
ingeschakeld, wat volgens de Inspectiedienst een verkeerde perceptie kan opwekken bij
betrokkenen dat de verweerder een vzw of overheidsinitiatief zou uitmaken in plaats van
een private onderneming die persoonsgegevens verhandelt.

28. Om te bewijzen dat de verweerder rekening hield en nagedacht heeft over de relevante
en werkzame waarborgen in het kader van deze rechtsgrond, heeft deze een document

Beslissing ten gronde 04/2021 - 8/49

opgesteld waarin een op risico gebaseerde aanpak vervat zit. Het is de Inspectiedienst
niet helemaal duidelijk hoe dit document in de praktijk betrokkenen concreet dient te
beschermen. De verweerder kan volgens de Inspectiedienst onvoldoende aantonen
welke concrete technische of organisatorische maatregelen adequate bescherming
bieden. De Inspectiedienst besluit dat door de verweerder niet wordt aangetoond dat
dit document ook werkelijk in de praktijk wordt toegepast.

29. De verweerder voert verder aan dat er een beperking is op het aantal keren dat de
gegevens worden gebruikt via het gebruik van controleadressen. De Inspectiedienst stelt
echter vast dat de gebruiksbeperking en het ontvangen van een bezwaar in de praktijk
niet (altijd) werkt. Het gebrek aan bewijs van effectieve technische en organisatorische
maatregelen om de belangen van betrokkenen te waarborgen impliceert volgens de
Inspectiedienst dat de verweerder handelt in strijd met het beginsel van
toerekenbaarheid/verantwoordingsplicht.

30. De partners van de verweerder volgen volgens de Inspectiedienst hun informatieplicht
ten aanzien van betrokkenen op (art. 14, lid 2, punt f) AVG). Zo wordt er tussen de
verweerder en haar partners niets contractueel bedongen met betrekking tot de
mededeling van de bron van de persoonsgegevens aan betrokkenen op grond van art.
14, lid 2, punt f) AVG.

31. Op basis van de voormelde vaststellingen en overwegingen stelt de Inspectiedienst vast
dat de verweerder zich niet kon beroepen op artikel 6, lid 1, punt f) AVG, gelet op het
gebrek aan effectieve waarborgen die zij voorziet teneinde de belangen en rechten van
de betrokkenen onder de AVG te respecteren. Verder besluit de Inspectiedienst dat een
dubbele rechtsgrond voor eenzelfde verwerking niet kan worden beschouwd als een
eerlijke verwerking. Meer algemeen kan volgens de Inspectiedienst niet worden
vastgesteld dat de verweerder beschikt over een afdoende rechtsgrond om de
verwerking van de persoonsgegevens te rechtvaardigen onder art. 6, lid 1, punt a)
(toestemming) of art. 6, lid 1, punt f) (gerechtvaardigd belang), nu niet voldaan is aan
de voorwaarden die de AVG hiertoe oplegt.

32. Betreffende de beginselen van proportionaliteit en gegevensbescherming door ontwerp
overeenkomstig art. 5 en art. 25, lid 1 AVG, stelt de Inspectiedienst vast dat de
doeleinden van de verwerking niet worden onderscheiden. Bij het intekenen op een
bijkomend geschenkpakket wordt een akkoord met de handel in persoonsgegevens
geïmpliceerd. Volgens de Inspectiedienst toont de verweerder ook niet aan dat een

Beslissing ten gronde 04/2021 - 9/49

ontvangen bezwaar tegen direct marketing steeds wordt meegedeeld aan de partners
van de verweerder.

33. Betreffende het sluiten van de verwerkersovereenkomst overeenkomstig art. 28, lid 3
AVG stelt de Inspectiedienst vast dat een winkel gespecialiseerd in babyspullen
invulkaarten ontvangt en als zogenaamde ‘brievenbus’ fungeert door die invulkaarten
enkel te bewaren, totdat een werknemer van de verweerder ze komt ophalen. Deze
activiteit dient volgens de Inspectiedienst te worden beschouwd als een verwerking van
persoonsgegevens. Er diende aldus een verwerkersovereenkomst te worden afgesloten.
De Inspectiedienst is van oordeel dat het afdoende is aangetoond dat de verweerder
art. 28 lid 3 AVG heeft geschonden.

34. Betreffende de naleving van de medewerkingsplicht uit hoofde van art. 31 AVG stelt de
Inspectiedienst vast dat er geen exhaustieve lijst van partners bezorgd is en aldus geen
effectieve naleving is van deze plicht.

35. De Inspectiedienst beslist vervolgens om haar verslag als onderdeel van het dossier over
te maken aan de Voorzitter van de Geschillenkamer overeenkomstig artikel 91, §2 WOG.

De procedure voor de Geschillenkamer

36. Op 20 april 2020 beslist de Geschillenkamer overeenkomstig artikel 95, §1, 1° en artikel
98 WOG dat het dossier gereed is voor behandeling ten gronde.

37. De klager en de verweerder worden op 20 april 2020 op de hoogte gesteld van de
beslissing van de Geschillenkamer. In de brief met de kennisgeving van die beslissing
worden ook de conclusietermijnen meegedeeld aan de partijen overeenkomstig artikelen
98 en 99 WOG.

38. Op 8 mei 2020 ontvangt het Secretariaat van de Geschillenkamer een e-mailbericht van
de advocaten van de verwerende partij met de boodschap dat bepaalde stukken bij het
verslag van de Inspectiedienst ontbreken. De verwerende partij vraagt om deze stukken
alsnog te ontvangen en tevens de conclusietermijnen aan te passen. Daarnaast vroeg
de verwerende partij om het dossier voortaan in het Frans te behandelen, aangezien de
belangrijkste contacten en verantwoordelijken bij de verwerende partij Franstalig zijn.

39. Op 20 mei 2020 beantwoordt de Geschillenkamer het bericht met de bevestiging dat
inderdaad vastgesteld is dat er stukken ontbraken bij de overdracht van het dossier van

Beslissing ten gronde 04/2021 - 10/49

Inspectiedienst naar Geschillenkamer en daardoor een onvolledige inventaris werd
opgesteld. Het gaat onder meer, maar niet alleen, om dubbele stukken. Om die reden
werden de conclusietermijnen vervolgens gestuit en krijgen de partijen het volledige
dossier met een correcte inventaris doorgestuurd.

40. Met betrekking tot de vraag voor een Franstalige behandeling van de zaak verwijst de
Geschillenkamer naar art. 57 WOG die de discretie van de
Gegevensbeschermingsautoriteit (en de Geschillenkamer als orgaan ervan) omschrijft
wat betreft de proceduretaal. Het staat de Geschillenkamer om die reden vrij om een
taal van de procedure te hanteren die rekening houdt met de concrete omstandigheden
van de zaak.

41. In deze zaak is het onderzoek van de Inspectiedienst van de
Gegevensbeschermingsautoriteit volledig in het Nederlands gevoerd. Eveneens is er in
de voorgaande fasen van de procedure geen bezwaar ingediend omtrent het gebruik
van het Nederlands. Om deze redenen acht de Geschillenkamer het niet aan de orde om
de procedure in het Frans verder te zetten. Gezien de aanpassing van de
conclusietermijnen acht de Geschillenkamer dat er voldoende tijd en ruimte is voor de
verwerende partij om de nodige organisatorische maatregelen te treffen om haar
verweer terdege voor te bereiden. De Geschillenkamer onderstreept dat de klager
Nederlandstalig is, net als een groot deel van de betrokkenen wiens persoonsgegevens
de verweerder verwerkt en ten aanzien van wie de verweerder een Nederlandstalige
communicatie aanhoudt.

De conclusies van de verweerder

42. Op 8 juli 2020 legt de verweerder haar eerste conclusie neer. Op 19 augustus 2020 legt
de verweerder een repliekconclusie neer. Hierna volgt de synthese van de inhoud van
die conclusies.

43. In de inleidende opmerkingen wordt eerst en vooral ingegaan op de eerbiediging van de
rechten van verdediging. De verweerder stelt vast dat er meer mogelijke inbreuken op
de AVG worden opgeworpen dan dat er onderzocht zijn door het de Inspectiedienst.
Deze inbreuken zijn volgens de verweerder onvoldoende bewezen bij gebrek aan verdere
details en bewijsstukken ter staving van deze inbreuken. Hierdoor beweert de
verweerder haar rechten van verdediging niet te kunnen uitoefenen zoals deze in artikel
6 van het Europees Verdrag voor de Rechten van de Mens zijn voorgeschreven. Volgens
de verweerder preciseert de Geschillenkamer ook onvoldoende in haar beslissing van 20

Beslissing ten gronde 04/2021 - 11/49

april 2020 waarin de schendingen, die wel door de Inspectiedienst onderzocht zijn,
concreet zouden bestaan. Hierdoor beweert de verweerder haar verdediging
onvoldoende te kunnen voorbereiden.

44. Ten tweede wordt ingegaan op de onvolledigheid van de ontvangen stukken. De
verweerder stelt dat bepaalde stukken niet waren toegevoegd aan het verslag van de
Inspectiedienst . De stukken waren eveneens niet correct genummerd en onvolledig
volgens de verweerder. Als gevolg hiervan vond de verweerder het dossier
onoverzichtelijk en fragmentarisch ogen. De verweerder beweert dat enkel de
belastende elementen in het dossier zijn opgenomen. De verweerder vraagt om deze
stukken uit de debatten te weren op grond van hun onvolledigheid.

45. Ten derde wordt ingegaan op de irrelevante aard van de eerdere elementen bijgebracht
door de Inspectiedienst. Het gaat hierbij volgens de verweerder telkens over eerdere
grieven waaraan de Commissie voor de bescherming van de persoonlijke levenssfeer
(de rechtsvoorganger van de GBA, hierna ook CBPL) geen gevolg heeft gegeven. De
stukken tonen volgens de verweerder niet aan dat zij niet zou hebben voldaan aan de
verzoeken van de voormalige CBPL. Deze zaken kunnen volgens de verweerder aldus
niet als precedenten worden beschouwd.

46. Ten vierde gaat de verweerder in op de noodzaak om vervolgingen te splitsen. De
verweerder stelt voor de zaak te splitsen in:
• een zaak betreffende het voorwerp van de klacht, met name over de vraag of er
direct marketing gevoerd wordt zonder dat daarover een rechtsgeldige toestemming
is (klacht over een mogelijke inbreuk op artikelen 6 j° 7 AVG) en;
• een zaak betreffende de andere gronden, ingevolge de vaststellingen verricht door
de Inspectiedienst buiten het kader van de klacht, in het bijzonder mogelijke
inbreuken op de artikelen 5, 6, 12, 13, 14, 25, 28, 31, 37 en 38 AVG.

47. In de beschrijving van de feiten, licht de verweerder één en ander nader toe, waaronder
de werking van haar dienst en de ondernomen compliance stappen. De verweerder
beweert zich enkel tot (aanstaande) moeders te richten en niet tot hun kinderen. Zij
stelt dat haar activiteit draait om vier grote assen:
“1. Zij biedt gratis geschenkpakketten aan met aanbiedingen en staaltjes van producten
en diensten voor aanstaande moeders en moeders, geschenkpakketten die door een
netwerk van partners worden verdeeld;
2. Zij informeert aanstaande moeders en moeders.

Beslissing ten gronde 04/2021 - 12/49

3. Ze biedt de mogelijkheid om te genieten van kortingen die tijdelijk worden aangeboden
aan de leden die op haar website geregistreerd zijn, door middel van het afdrukken van
vouchers;

4. Ze maakt het mogelijk om rechtstreeks aanbiedingen te ontvangen vanwege
partnerbedrijven, van producten en diensten voor aanstaande moeders en moeders.”

48. Vervolgens legt de verweerder uit hoe de gegevens van (aanstaande) moeders worden
gedeeld met derden:

1. Eerste type partners: de structurele (of langetermijn-)partners.
“Wat de e-mailadressen betreft, draagt de verweerder deze alleen over aan haar
langetermijnpartners. Dankzij deze langdurige samenwerking kan de verweerder
aanstaande moeders en moeders bij het verkrijgen van hun toestemming met name
genoemd informeren van de mededeling aan deze ontvangers. Het komt vervolgens aan
de ontvangers van die gegevens toe om de AVG na te leven in hun hoedanigheid van
verwerkingsverantwoordelijke.

2. Tweede type partners: de losse partners. Hiervan zijn er twee subtypes.
Bij het eerste subtype stelt de verweerder aan andere bedrijven die producten en
diensten aanbieden aan aanstaande moeders en moeders, van diegenen die daarvoor
toestemming hebben gegeven, de gegevens ter beschikking, zulks op tijdelijke basis en
voor eenmalig gebruik.

Vanwege het feit dat dit eenmalige verzoeken zijn, is het voor de verweerder niet
mogelijk om alle potentiële partners met name op te noemen wanneer zij de
toestemming vraagt van aanstaande moeders en moeders. Alleen de
activiteitengebieden kunnen worden aangegeven. Het gaat daarbij altijd om bedrijven
die interessant kunnen zijn voor aanstaande moeders en moeders die hun toestemming
hebben gegeven om deze aanbiedingen te ontvangen, niet alleen om de bij de vraag tot
toestemming van de moeders verschafte informatie te respecteren, maar ook vanuit
commercieel oogpunt voor de verweerder, om het lidmaatschap van de moeders-leden
te kunnen behouden.”

49. Verder verduidelijkt de verweerder:

“Het tweede subtype van de losse partners betreft andere bedrijven die zich eveneens
op eenmalige wijze tot de verweerder richten maar waarbij:

• de e-mailadressen niet aan hen worden meegedeeld. Het zijn zij die de criteria
bepalen volgens dewelke zij willen dat de e-mail gericht wordt aan welke
aanstaande moeders of moeders, en die e-mail wordt verzonden door de
verweerder op haar hoofding. Dat maakt het mogelijk voor de verweerder om

Beslissing ten gronde 04/2021 - 13/49

zich te verzekeren van het eenmalig gebruik van de gegevens en van het feit
dat zij niet na de desbetreffende promotionele campagne bewaard worden;
• de verweerder voor postadressen en telefoonnummers een lijst met gegevens
voor eenmalig gebruik geeft aan het ontvangende bedrijf (na controle of ze niet
op de lijst “bel me niet” voor telefoonnummers staan).
.
De verweerder beschikt niet over de nodige infrastructuur om zelf de papieren
communicatie of telefoongesprekken af te handelen. Met de ontvangers van de
gegevens is echter contractueel overeengekomen dat de gegevens slechts eenmaal
mogen worden gebruikt.

Het komt vervolgens aan de ontvangende bedrijven toe om, naast het nakomen van
hun contractuele verplichtingen, te voldoen aan het toepasselijke wettelijke kader, in
het bijzonder de AVG en de verificatie, indien van toepassing, van de “bel me niet meer”
lijst.”

50. Betreffende de compliance stappen stelt de verweerder dat haar conformiteit bereikt
werd met de hulp van haar vorige raadsman. Het gegevensbeschermingsbeleid en de
algemene en bijzondere voorwaarden zijn herzien, evenals het registratieproces via de
website. Het recht op rectificatie en het recht op gegevenswissing kunnen rechtstreeks
door de betrokkenen worden uitgeoefend via de pagina “mijn account”, zoals wordt
uiteengezet onder de “FAQ’s”-webpagina. Er zijn verder contracten gesloten met
verwerkers die volgens verweerder voldoen aan de vereisten van artikel 28 AVG.

51. De verweerder geeft aan, ingevolge de uitwisseling van e-mails met de klager, zich er
spontaan toe verbonden te hebben de interne processen opnieuw te onderzoeken en ze
te proberen verbeteren. Sinds eind oktober 2019 is het registratieproces gewijzigd op
de website en het gegevensbeschermingsbeleid werd in maart 2020 eveneens
vervolledigd. Verder herinnerde de verweerder de ontvangers van de gegevens aan het
belang van het naleven van hun eigen wettelijke verplichtingen inzake de bescherming
van persoonsgegevens.

52. Betreffende de aansluiting via postkaarten deelt de verweerder mee dat de
desbetreffende partner sinds midden november 2019 de antwoordkaarten niet meer
bewaart.

53. De verweerder heeft ook een functionaris voor gegevensbescherming benoemd, ook al
meent zij dat zij daartoe niet verplicht is onder de voorwaarden vastgelegd in de AVG.

Beslissing ten gronde 04/2021 - 14/49

54. Met betrekking tot de verzoeken van de klager, draagt de verweerder enkele middelen
aan.

55. Als eerste middel stelt de verweerder dat de klacht ongegrond is. De klacht betreft een
mogelijke inbreuk op artikel 6, lid 1, punt a) j° 7 AVG. De verweerder beweert dat zij
het inschrijvingsproces al reeds voor de ontvangst van het verslag van de Inspectiedienst
zou verbeterd hebben, zodat de grief aangaande het niet vrije karakter van de
toestemming niet langer actueel is op het moment van de behandeling van het dossier
ten gronde door de Geschillenkamer.

56. De verweerder verwijst naar arrest van het Marktenhof.1 In dit arrest stelt het
Marktenhof dat het niet als “nadeel” kan worden beschouwd indien een klant niet in
staat is een getrouwheidskaart aan te maken omdat hij de daarvoor vereiste verwerking
van de gegevens op zijn identiteitskaart (“eID”) weigerde. Volgens het Marktenhof betrof
dit slechts een potentieel bijkomend voordeel dat verloren gaat, geen wettelijk of
contractueel recht.

57. De verweerder besluit dat de door de klager gegeven toestemming een geldige
rechtsgrond vormt voor de mededeling van haar gegevens aan de ontvangers. Verder
beweert de verweerder dat de betrokkene bij het geven van de toestemming
geïnformeerd is over de ontvangers van de persoonsgegevens (waardoor het een
“geïnformeerde toestemming” betreft). Een enkele toestemming voor de mededeling
van gegevens aan derden met het oog op het ontvangen van commerciële aanbiedingen
beschouwt de verweerder als een geldige toestemming, aangezien het om één en
dezelfde doelstelling gaat, ongeacht of meerdere derde ondernemingen de
persoonsgegevens ontvangen.

58. Met betrekking tot de opmerking van de Inspectiedienst dat het recht om de
toestemming in te trekken niet op het scherm wordt vermeld wanneer de toestemming
wordt verkregen, stelt de verweerder dat ze dit proces heeft aangepast. Ze vermeldt wel
dat er geen formeel vereiste voorzien is door de AVG om deze intrekking afzonderlijk te
vermelden.

59. Ten slotte stelt de verweerder dat haar website geen praktische mogelijkheid biedt om
de toestemming onmiddellijk in te trekken. Volgens verweerder is het intrekken van de
toestemming hoe dan ook even gemakkelijk als het verlenen van toestemming,
aangezien de betrokkenen hun toestemming voor de verschillende soorten

1
Arrest Hof van Beroep Brussel (Kamer 19 A, Marktenhof) van 19 februari 2020, 2019/AR/1600.

Beslissing ten gronde 04/2021 - 15/49

mededelingen kunnen intrekken in hun “mijn account”-gedeelte op de website. De
toestemming kan ook worden ingetrokken door het sturen van een e-mail, brief of
middels een telefoonoproep naar de verweerder.

60. De verweerder haalt aan dat het feit dat de online uitschrijfpagina enkel in het Engels
en Frans bestond inmiddels werd gecorrigeerd.

61. Aangaande de vaststelling van de Inspectiedienst dat een groot deel van de
persoonsgegevens betrekking heeft op minderjarige kinderen waardoor overweging 38
AVG van toepassing zou zijn, stelt de verweerder dat alleen de gegevens van de
moeders, samen met de geboortedatum van een kind nodig zijn. Er is geen verplichting
om de naam noch het geslacht van het kind te verschaffen. Om die reden beweert de
verweerder dat zij geen gegevens van minderjarigen verwerkt; enkel het feit dat de
moeder een kind heeft onder de leeftijd van 18 jaar is van belang. Volgens de verweerder
is overweging 38 AVG niet van toepassing aangezien die betrekking heeft op diensten
die rechtstreeks aan een kind worden aangeboden, terwijl verweerder haar
geschenkpakketten en mededelingen alleen aan moeders richt.

62. Vervolgens gaat de verweerder in op de overige beweerde schendingen van de AVG:
art. 5.1 a, 12.1, 13, 14, 6, 7, 5.1.c juncto 25, 5.2, 28.3, 31, 37 en 38 AVG.

63. Betreffende artikel 5 lid 1, punt a) AVG stelt de verweerder dat zij de
geschenkpakketten niet gebruikt als “voorwendsel” om de gegevens van (aanstaande)
moeders te verkrijgen. Het gebruik van die gegevens door derden is slechts een deel
van haar activiteiten. De gegevens zijn ook nodig om de moeders uit te nodigen hun
volgende geschenkpakket op te halen, dicht bij hun woonplaats. Op die wijze weet de
verweerder hoeveel geschenkpakketten elke distributeur ongeveer nodig heeft. Dit doel
wordt duidelijk vermeld in het gegevensbeschermingsbeleid van de verweerder en
weerspiegelt volgens de verweerder de realiteit waardoor er geen sprake kan zijn van
een schending van de loyaliteitsplicht. Verder legt de verweerder uit dat de naam “De
vennootschap” niet wordt gebruikt om “een indruk te wekken van familiediensten”,
aangezien zij deze naam gebruikt in haar B2B-relaties.

64. De verweerder stelt dat geen vage bewoordingen gebruikt worden inzake de activiteit
van het delen van gegevens. Zij gebruikt gewoon niet de term “direct marketing” maar
beschrijft wel wat dit doel inhoudt, met name: “met het oog op het verzenden van
producten, aanbiedingen en informatie”. De verweerder is daarbij volgens haar

Beslissing ten gronde 04/2021 - 16/49

voldoende transparant, waardoor er geen inbreuk op de AVG bestaat op dit punt.

65. Verder is het voor de verweerder niet duidelijk hoe de terminologie en een vermeend
verschil in taalniveau en lettergrootte tussen de presentatie van de dienst ter verdeling
van de geschenkpakketten en het verzoek om toestemming voor het ontvangen van
mededelingen van partners van de verweerder een inbreuk op de AVG zou vormen. Art.
5, lid 1, punt a) AVG bepaalt volgens de verweerder niet dat het verboden is een bepaald
taalniveau te hanteren, noch dat het verboden is aan te dringen op de voordelen van
een dienst. Alleen de juistheid van de aan de betrokken personen verstrekte informatie
moet in aanmerking worden genomen.

66. De verweerder benadrukt dat zij geen persoonsgegevens verzamelde voor eigen gebruik
voor direct-marketingdoeleinden aangezien zij die niet gebruikt om haar eigen
activiteiten te promoten. De verweerder beweert niet de aard van haar activiteiten ten
behoeve van de begunstigden te verbergen. Zij geeft volgens haar het marketing doel
aan in haar gegevensbeschermingsbeleid en verstrekt een lijst van haar partners en een
lijst van potentiële ontvangerscategorieën.

67. Betreffende de artikelen 12, lid 1 en 13 AVG stelt de verweerder dat men haar niet
kan verwijten categorieën van ontvangers te hebben vermeld aangezien dit expliciet
voorzien is in artikel 13, lid 1, onder e) AVG. De verweerder beweert dat een
gedetailleerde en volledige publicatie van de lijst van partners een inbreuk zou vormen
op haar bedrijfsgeheimen. Volgens de verweerder bestaat er een strijdigheid tussen
twee gelijkwaardige rechten: het recht op gegevensbescherming en het recht op
bescherming van bedrijfsgeheimen, overeenkomstig Richtlijn (EU) 2016/943.2 Hoe dan
ook heeft de verweerder (al voor het verkrijgen van het verslag van de Inspectiedienst)
haar gegevensbeschermingsbeleid aangevuld en werd de formulering vervolledigd.
Tevens verbindt de verweerder zich ertoe de begunstigden verder te verduidelijken.

68. De verweerder stelt dat artikel 13 AVG enkel vereist dat informatie over de categorieën
van gegevensontvangers moet worden gegeven, niet over de juridische verrichting die
de mededeling van de gegevens ondersteunt (met name het “huren” of “verkopen” van
gegevens). Verweerder stelt op grond van artikel 14 AVG verder dat het aan de
ontvangende derde partij is om aan de betrokkenen aan te geven welke gegevens zij
verwerken, wanneer zij de persoonsgegevens van de verweerder hebben verkregen. De
verweerder stelt dat de AVG niet vereist dat zij specificeert hoe lang en hoe de

2
Richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar
gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken
daarvan, PB L 157/1.

Beslissing ten gronde 04/2021 - 17/49

zakenpartners die gegevens bewaren. Verder stelt de verweerder dat ook geen
wettelijke verplichting bestaat om in de e-mail ter bevestiging van de registratie te
vermelden welke velden de betrokkene had ingevuld omdat dit kan geraadpleegd
worden via “mijn account”.

69. Er is volgens de verweerder alzo geen sprake van een inbreuk op de
verantwoordingsplicht en haar activiteit is volgens de verweerder op voldoende
transparante wijze aan de betrokkenen gecommuniceerd aangezien de vereisten van
artikel 13 AVG door haar gerespecteerd worden.

70. Het precedent uit het Verenigd Koninkrijk dat de Inspectiedienst aanhaalde, namelijk de
“Bounty UK” zaak3, is volgens de verweerder gebaseerd op de voorheen in het Verenigd
Koninkrijk geldende wetgeving en niet op de AVG. De inbreuk is volgens verweerder niet
vergelijkbaar. Er kan aldus geen precedent worden uit getrokken.

71. De verweerder stelt vast dat er geen sprake is van een overtreding van artikel 12, lid 1
noch van artikel 13 AVG.

72. Betreffende artikel 14 AVG stelt de verweerder dat, aangezien (aanstaande) moeders
zichzelf inschrijven bij het geschenkpakket, zij de persoonsgegevens rechtstreeks van
hen verkrijgt en dat artikel 14 AVG aldus niet van toepassing is. De verweerder vindt dat
er aan haar tekortkomingen worden verweten die aan derden zouden toekomen. Hoe
dan ook is de verweerder bezig haar contractuele documenten aan te passen om de
verplichtingen van de AVG voor haar klanten in herinnering te brengen om zo tegemoet
te komen aan de bezorgdheden van de Inspectiedienst.

73. Het feit dat een partner van de verweerder de klager niet op de hoogte gebracht zou
hebben van de bron waarvan zij haar persoonsgegevens had verkregen is volgens de
verweerder een gedraging van een verwerkingsverantwoordelijke die niet aan de
verweerder is toe te rekenen. Dit geldt ook voor het wissen van persoonsgegevens van
klager door een partner. Bovendien, het feit dat klager nog meldingen krijgt van partners
is omdat ze zich elders geregistreerd heeft.

74. Betreffende artikelen 6 en 7 AVG: de verweerder verwijst voor de argumenten inzake
toestemming (art. 6, lid 1, punt a) AVG) naar hetgeen reeds werd gesteld tegenover de

3
Verwijzing naar de administratieve geldboete die de Information Commissioner’s Office oplegde aan de onderneming Bounty,
de Geschillenkamer voegt voor de duidelijkheid een weblink naar het persbericht omtrent die beslissing in het Verenigd Koninkrijk
bij: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/04/bounty-uk-fined-400-000-for-sharing-personal-
data-unlawfully/.

Beslissing ten gronde 04/2021 - 18/49

Inspectiedienst. Met betrekking tot de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde (artikel 6, lid 1, punt f) AVG) stelt de
verweerder dat de gedragingen van een derde verwerkingsverantwoordelijke niet
weerhouden kunnen worden om een tekortkoming in hoofde van haar vast te stellen,
noch om het evenwicht tussen haar gerechtvaardigde belangen en die van de
betrokkenen te beoordelen.

75. De verweerder benadrukt dat zij op geen enkele wijze de indruk wekt dat zij een publieke
of gesubsidieerde entiteit of vzw zou zijn. Ze beweert ook dat de leden zich aansluiten
bij het geschenkpakket omwille van de aanbiedingen en daarom niet kan worden gesteld
dat ze in hun toestemming verrast zouden zijn, aangezien de overdracht van hun
gegevens plaatsvindt om hen andere aanbiedingen te doen toekomen.

76. Met betrekking tot de redelijke verwachtingen ten aanzien van de gegevens van kinderen
herhaalt verweerder dat zij niet de gegevens van de kinderen verwerkt, maar enkel de
gegevens van moeders waarbij de geboortedatum van het kind wordt verwerkt om de
behoeften van de moeders te bepalen.

77. De verweerder stelt met betrekking tot de passende en doeltreffende waarborgen voor
een correcte verwerking van persoonsgegevens dat (zoals reeds vermeld) de ontvangers
van de persoonsgegevens de AVG moeten naleven en het juridisch niet nodig is dat de
verweerder hen daaraan in de contractuele documenten herinnert. Het maakt volgens
de verweerder niet uit dat de gebruiksbeperking (eenmalig gebruik) deel uitmaakt van
haar aanbod en dat zij de toepassing ervan ook vanuit commercieel oogpunt controleert.
Het kan de verweerder volgens haar niet worden verweten dat zij haar aanbod heeft
ontworpen in overeenstemming met de artikelen 5 en 25 van de AVG.

78. De verweerder meldt - over de overeenkomst die haar verbindt aan haar verwerker Y3
- dat zij ervoor zorgde dat de vermeldingen vereist door artikel 28, lid 3 AVG daarin
werden opgenomen. Deze overeenkomst wordt aangevuld met specifieke technische
bijlagen waarmee volgens de verweerder verder wordt gegaan dan wat vereist wordt
door artikel 28, lid 3 AVG.

79. Betreffende de dubbele juridische grondslag ontkent de verweerder dat zij zich baseert
op twee verschillende juridische grondslagen. Zij verklaart dat zij zich op één juridische
grondslag per situatie baseert. Zij baseert zich op artikel 6, lid 1, punt a) AVG voor de
moeders die sinds 25 mei 2018 hebben toegestemd (datum inwerkingtreding AVG) en
op artikel 6, lid 1, punt f) AVG voor de moeders die voor 25 mei 2018 hebben toegestemd

Beslissing ten gronde 04/2021 - 19/49

en waarvan de eerder geuite toestemming dus niet beantwoordt aan de vereisten van
de AVG. Hoe dan ook, de verweerder beweert dat zelfs het gebruik van twee juridische
grondslagen geen administratieve sanctie kan rechtvaardigen. De verweerder besluit dat
zij geen inbreuk pleegt op artikel 6 door twee verschillende rechtsgronden te voorzien
voor de verwerking van gegevens van verschillende betrokkenen.

80. Betreffende artikelen 5, lid 1, punt c) en 25 AVG stelt de verweerder dat de
gegevens gewist worden voordat het kind de leeftijd van 18 heeft, als de moeder dat
wil. Die bewaartermijn is zo vastgesteld omdat een groot aantal kinderen na het bereiken
van de leeftijd van de leerplicht in het actieve leven terechtkomen en niet langer deel
uitmaken van het ouderlijk huishouden. Alle gegevens van de moeder worden gewist
wanneer zij geen kind meer heeft onder de 18 jaar. Hieruit concludeert verweerder dat
zij voldoet aan het beginsel van minimale gegevensverwerking.

81. Met betrekking tot de mogelijkheid om een (granulaire) keuze te maken tussen de
verwerkingsdoeleinden stelt de verweerder dat niet is aangetoond dat de gegevens niet
toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden
waarvoor zij worden verwerkt. Er wordt volgens de verweerder geen tekortkoming
aangetoond betreffende de implementatie van passende technische en organisatorische
maatregelen. De verweerder beweert dat er enkel persoonsgegevens worden verwerkt
die noodzakelijk zijn voor elk specifiek doel van de verwerking.

82. Bovendien stelt de verweerder nogmaals dat zij niet verantwoordelijk kan worden
gesteld voor het gedrag van derde ontvangers. De verweerder besluit dat er geen enkele
inbreuk is op de artikelen 5, lid 1, punt c) en 25 AVG.

83. Betreffende artikel 5, lid 2 AVG: er werd door de verweerder geen registratie
bijgehouden van het aantal verzoeken om rectificatie en is het niet mogelijk om te
bewijzen dat er een effectieve wissing plaatsvond. De verweerder stelt dat er geen
enkele bepaling van de AVG haar verplicht om dergelijke registratie bij te houden. De
enige verplichting die bestaat is de behandeling van het verzoek om rectificatie zelf. De
verweerder kon wel bewijzen dat de klagende partij niet langer in haar mailingslijst-
databasis stond. Na verder onderzoek heeft de verweerder eveneens het bewijs kunnen
verkrijgen van de gegevenswissing.

84. De verweerder vermeldt dat zij de e-mailadressen van de moeders die hebben gevraagd
om hun gegevens te verwijderen bewaart, maar enkel om ervoor te zorgen dat er later
geen nieuw account kan worden aangemaakt met hetzelfde e-mailadres. Omtrent deze

Beslissing ten gronde 04/2021 - 20/49

kwestie bestaat er volgens de verweerder noch in de AVG noch in de rechtspraak en
rechtsleer een duidelijk antwoord. Daarom zou haar niet kunnen worden verweten dat
zij de daad van het wissen van de gegevens van klagende partij niet onmiddellijk kon
bewijzen.

85. Betreffende artikel 28, lid 3 AVG vindt de verweerder niet dat zij een contract met de
Y4 had moeten sluiten, omdat er geen verhouding met een gegevensverwerker is in de
zin van de AVG. Er wordt volgens de verweerder geen enkele classificatie uitgevoerd
door die partner voordat zij de postkaarten aan haar overhandigt. De verweerder stelt
verder dat voordat zij de door de (aanstaande) moeders handgeschreven gegevens
ingeeft, het niet gaat om een bestand. Die fase valt dus niet onder het materieel
toepassingsgebied van de AVG. Volgens de verweerder is deze partner aldus geen
verwerker in de zin van artikel 4, lid 8 AVG. Bijgevolg is artikel 28, lid 3 AVG niet van
toepassing.

86. Betreffende artikel 31 AVG stelt de verweerder goed te hebben meegewerkt met de
Inspectiedienst en die dienst gedetailleerde informatie te hebben verstrekt over haar
netwerk van geschenkpakkettenverdelers. De reden waarom één van haar partners niet
vermeld is, valt volgens de verweerder te herleiden tot de beperkte activiteit die die
partner voor haar uitvoert. De verweerder stelt dat zij te goeder trouw bevestigd heeft
dat de lijst exhaustief was, aangezien ze er niet bewust van was een verdeler vergeten
te hebben. Er kan volgens de verweerder geen tekortkoming zijn begaan aan de
samenwerkingsplicht aangezien de samenwerking met deze partner niet onderworpen
is aan de AVG (zie supra). Verder snapt de verweerder de beweerde tekortkomingen
niet betreffende de klantenlijst (de “partners” die de persoonsgegevens ontvangen). De
verweerder beweert correct te hebben gereageerd op de vragen van de Inspectiedienst.
De verweerder concludeert dat er geen enkele inbreuk op artikel 31 van de AVG is
aangetoond.

87. Betreffende artikelen 37 en 38 AVG stelt de verweerder niet verplicht te zijn op basis
van artikel 37.1 AVG om een functionaris voor gegevensbescherming te moeten
aanstellen. Zij is namelijk geen overheidsinstantie. Verder is de kernactiviteit van de
verweerder volgens haar verweer niet het opvolgen van (aanstaande) moeders op
regelmatige, systematische en grootschalige basis. De verweerder beweert dat er geen
bewijs is dat zij aan de voorwaarden die nopen tot het aanstellen van een functionaris
voor gegevensbescherming zou voldoen.

Beslissing ten gronde 04/2021 - 21/49

88. De beweerde profilering waarvan de Inspectiedienst spreekt, is ook niet bewezen
volgens de verweerder. De verweerder besluit dat zij geen verwerkingen in de zin van
één van de in artikel 37, lid 1 AVG genoemde gevallen uitvoert. Verder kan er volgens
haar ook geen sprake zijn van een schending van artikelen 37, lid 5 en 37, lid 7 AVG
omdat er geen enkele aanwijzing is dat zij onder het toepassingsgebied van artikel 37,
lid 1, punten b) of c) AVG zou vallen. Met betrekking tot artikel 38 AVG stelt de
verweerder dat de Inspectiedienst niet geïdentificeerd heeft welke tekortkoming er aan
haar ten laste zou worden gelegd. Hoe dan ook heeft de verweerder vrijwillig een
functionaris voor gegevensbescherming aangesteld.

89. De verweerder verzoekt:
- In hoofdorde: schending van de rechten van verdediging waardoor verweerder niet
kan worden gestraft voor de vermeende schending van een van de artikelen vernoemd
in de beslissing van 20 april 2020.
- In ondergeschikte orde: geen inbreuk en geen sanctie. Volgens verweerder wordt er
door de Inspectiedienst geen enkele inbreuk aangetoond die geviseerd wordt in de
voornoemde beslissing.
- In meer ondergeschikte orde: er dient geen sanctie van geldboete uitgesproken te
worden. De verweerder verbindt zich ertoe de aanpassingen die de Geschillenkamer
nodig acht binnen drie maanden na uitspraak door te voeren en hierover een verslag
te bezorgen.
- In nog meer ondergeschikte orde: zo een administratieve boete zou uitgesproken
worden: mogelijkheid voor de verweerder om bemerkingen te uiten omtrent het
bedrag daarvan. Verweerder wil zich kunnen verdedigen omtrent het bedrag van de
beoogde geldboete.
- Tot slot: Geen noodzaak tot het publiceren van de beslissing; indien er toch een
publicatie komt zou elke verwijzing naar de activiteiten van haar moeten worden
verwijderd.

De conclusie van de klager

90. Overeenkomstig artikel 98 WOG legt ook de klager een conclusie neer.

91. De klager stelt dat zij voornamelijk wil dat de verweerder haar werkwijze aanpast zodat
het voor iedereen duidelijk is dat zij gegevens doorverkoopt/verhuurt en bepaalde
gegevens 18 jaar lang bewaart. Volgens de klager moet de communicatie (ook via de
website) van de verweerder transparanter zodat een betrokkene alle parameters weet,
voordat ze zich registreert.

Beslissing ten gronde 04/2021 - 22/49

92. Verder pleit de klager voor de bekendmaking en publicatie van dit dossier aangezien dit
voor dit dossier “noodzakelijk” is “omdat de tactieken die op de website worden
toegepast een voorbeeld zijn van hoe het niet moet […] .”

93. De klager beweert dat de website van de verweerder niet beveiligd is voor het lekken
van bestaande e-mailadressen via het registratieformulier.

94. De klager verduidelijkt dat de kaarten die bij één van de partners van de verweerder
verkrijgbaar waren, invulkaarten zijn en geen postkaarten zoals de verweerder aanvoert.
Momenteel worden er geen papieren/kaarten meer ontvangen door deze partner wat
logisch is, aangezien hiervoor een overeenkomst dient opgemaakt te worden omdat
gegevens worden verwerkt en bewaard. De klager roept verder op om antwoordkaarten
volledig te schrappen aangezien deze niet zijn opgemaakt volgens de richtlijnen van de
AVG.

95. De klager haalt aan dat bij sterfte van moeder en/of kind de verweerder niet op de
hoogte wordt gebracht en dat deze gegevens verkocht/verhuurd blijven worden.

96. De klager besluit dat de verweerder nog steeds inbreuken pleegt op verschillende
rechtsbepalingen binnen de AVG.

De hoorzitting

97. Overeenkomstig artikel 51 van het Reglement van Interne Orde van de
Gegevensbeschermingsautoriteit, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers, worden de partijen uitgenodigd op de door de verweerder
verzochte hoorzitting (op grond van artikel 98 WOG).

98. De klager is niet aanwezig op de hoorzitting.

99. De verweerder is aanwezig op de hoorzitting en wordt vertegenwoordigd door haar twee
raadslieden, alsook een vertegenwoordiger van het uitvoerend bestuur.

100. De hoorzitting vindt plaats op 25 november 2020.

101. Er werd een proces-verbaal van de hoorzitting opgemaakt, dat als enige doel heeft
aanvullingen en preciseringen met betrekking tot de eerder neergelegde conclusies weer

Beslissing ten gronde 04/2021 - 23/49

te geven. Zoals steeds kregen de partijen ook de mogelijkheid feitelijke opmerkingen te
formuleren bij het proces-verbaal, zonder dat dit een heropening van de debatten
inhoudt. De verweerder maakte zulke opmerkingen over, die als bijlage bij het proces-
verbaal aan het dossier werden toegevoegd.

Het boeteformulier van 9 december 2020

102. Op 9 december 2020 heeft de Geschillenkamer een boeteformulier overgemaakt aan
de verweerder, met de mededeling dat de Geschillenkamer voornemens was een boete
van 50.000 EUR op te leggen aan de verweerder ingevolge de inbreuken op meerdere
bepalingen van de AVG in onderhavig dossier (dezelfde inbreuken die in de voorliggende
beslissing worden weerhouden voor het opleggen van een administratieve geldsanctie
op grond van artikel 83 AVG).

103. In haar reactie op het boeteformulier op 29 december 2020, wijst de verweerder op
een aantal elementen die worden meegenomen door de Geschillenkamer in haar
beraadslaging, en de volgende elementen zijn daarbij in het bijzonder van belang voor
de bepaling van de sanctionering in onderhavige beslissing:

o met betrekking tot de duur van de inbreuk: de Y4 hield midden november
2019 op met het inzamelen van invulkaarten;
o met betrekking tot het aantal betrokkenen: de verweerder haalt aan dat er
in werkelijkheid slechts van 1.140.725 volwassenen persoonsgegevens
worden verwerkt en dat de Inspectiedienst ten onrechte de informatie van
de kinderen (volgens de verweerder een “kenmerk van de moeder” en geen
persoonsgegeven) toerekent aan die kinderen als betrokkenen en zo aan
het veel groter aantal betrokkenen van 2.439.492 komt. Daarnaast haalt
de verweerder aan dat er zich veel overlappingen bevinden door dubbele
registratie, waardoor het werkelijk aantal betrokkenen “ruim onder
1.000.000” zou liggen;
o de verweerder stelt dat de Geschillenkamer enkel bevoegd is voor de
inzameling van persoonsgegevens tussen 25 mei 2018 en eind oktober
2019;
o met betrekking tot de financiële draagkracht van de onderneming, wijst de
verweerder erop dat zij ingevolge de COVID-19 crisis kampt met gebrekkige
inkomsten waardoor de verweerder “het jaar ongetwijfeld met (een groot)
verlies [zal] afsluiten.” De verweerder wijst erop dat het opleggen van een
hoge boete de onderneming en haar personeel in gevaar brengt;

Beslissing ten gronde 04/2021 - 24/49

o met betrekking tot de hoogte van de geldboete beschouwt de verweerder
dat enkel mag rekening worden gehouden met de opbrengsten uit de
gegevensdoorgifte (39% van de activiteiten in boekjaar 2019) en dat in lijn
met de eerdere rechtspraak van de Geschillenkamer een percentage moet
worden gehanteerd dat als uitkomst een boete van 2.500 EUR zou hebben.

2. Motivering

2.1. Procedurele aspecten

104. In haar verweermiddelen werpt de verweerder een aantal vermeende problemen
omtrent de procedure op.

De materiële scope van het dossier

105. Vooreerst stelt de verweerder dat de rechten van verdediging niet zouden worden
gerespecteerd, aangezien het onduidelijk is op welke mogelijke inbreuken zij zich dient
te verweren.

106. Echter, de Geschillenkamer heeft in haar brief dd. 20 april 2020 aan de partijen ter
kennis gebracht met betrekking tot welke rechtsbepalingen de verweerder zich dient te
verweren en waar potentieel inbreuken zouden kunnen worden vastgesteld; zij verwijst
voor de vaststellingen dienaangaande naar het verslag van de Inspectiedienst dat
gevoerd werd naar aanleiding van de klacht.

107. Alle door de Geschillenkamer aldaar opgesomde rechtsbepalingen, werden door de
Inspectiedienst aangehaald in haar verslag. Het klopt dat bijvoorbeeld artikel 37 en 38
AVG an sich niet vermeld staan in de vaststellingen van het verslag, doch er wordt wel
vastgesteld door de Inspectiedienst dat er geen functionaris voor gegevensbescherming
werd gemeld bij de Gegevensbeschermingsautoriteit door de verweerder. 4 Het is om die
reden dat de verweerder dan ook de kans krijgt zich hieromtrent uit te spreken in haar
verweer.

108. De verweerder heeft kennis kunnen nemen van het volledige dossier, en met name ook
van het integrale verslag van de Inspectiedienst. De Geschillenkamer beschikt
vanzelfsprekend niet over méér stukken dan de verweerder inzake dit dossier. Wanneer

4
Verslag Inspectiedienst, blz. 14.

Beslissing ten gronde 04/2021 - 25/49

de Geschillenkamer in het verslag van de Inspectiedienst leest dat er mogelijk
onduidelijkheid is omtrent de aanmelding van de functionaris voor
gegevensbescherming, is het ook aan de orde dat de verweerder zich hieromtrent
uitgebreid kan verdedigen, en meer bepaald op grond van alle (uitzonderings)
bepalingen in de genoemde rechtsbepalingen, niet louter die bepalingen die impliciet
bezwarend zouden kunnen zijn voor de verweerder.
109. Er kan hierbij worden opgemerkt dat er in de procedure voor de Geschillenkamer van
de Gegevensbeschermingsautoriteit niet is voorzien in een soort Openbaar Ministerie of
Parket, laat staan dat die rol aan de Inspectiedienst werd toebedeeld. De Inspectiedienst
kent louter die bevoegdheden die haar krachtens de WOG werden toebedeeld. De
procedure voor de Gegevensbeschermingsautoriteit is dan ook niet te vergelijken met
deze in een strafrechtelijke procedure, hoewel er uiteraard waarborgen zijn die de
rechten van verdediging moeten verzekeren in het licht van artikel 6 EVRM.

110. Het kan ook niet zijn dat de Geschillenkamer vooringenomen zou overkomen, door a
priori een inbreuk die zij zou lezen in het dossier in concreto aan te wijzen in haar
beslissing om de partijen uit te nodigen verweermiddelen in te dienen en gehoord te
worden overeenkomstig artikel 98 WOG. Integendeel, de Geschillenkamer heeft de
bepalingen van het recht waar zich potentieel (op basis van de klacht én het onderzoek
en navolgend verslag van de Inspectiedienst) een probleem stelt of problemen stellen,
precies aangeduid, juist met het oogmerk om de rechten van verdediging te waarborgen
en niet vooringenomen voor te komen.

Onvolledigheid van de ontvangen stukken en de vermeende irrelevante aard van die stukken

111. Het klopt dat in eerste instantie het dossier dat de partijen ontvingen, niet strookte met
de stukken zoals deze werden aangeduid door de Inspectiedienst in haar verslag. Deze
situatie werd echter verholpen, waarna de partijen een nieuwe inventaris en een nieuw
dossier ontvingen (dat integraal alle bij de Geschillenkamer bekende stukken omvat) en
de conclusietermijnen werden verlengd. De rechten van verdediging werden dus
onverkort gewaarborgd.

112. Verder haalt de verweerder ook aan dat bepaalde stukken toegevoegd aan het dossier
door de Inspectiedienst niet relevant zijn en dat er geen rekening mag worden gehouden
met deze stukken op grond van artikelen 104 en 105 WOG. Bovendien verwijst de
verweerder naar de onbevoegdheid ter zake voor de Gegevensbeschermingsautoriteit
met betrekking tot inbreuken daterend van voor 25 mei 2018.

Beslissing ten gronde 04/2021 - 26/49

113. Het klopt dat de stukken waar de verweerder in haar conclusies naar verwijst, stukken
zijn waaromtrent de Geschillenkamer zich om één of meerderlei redenen niet of niet
meer over kan uitspreken. Het onderzoek van de Inspectiedienst tracht echter (feitelijke)
inlichtingen in te winnen die zouden kunnen relevant zijn voor het dossier, op grond van
artikel 72 WOG. Dit betekent niet dat met zulke elementen – in de zin van artikel 104
WOG als ‘bezwarend element’ in de juridische zin – rekening wordt gehouden door de
Geschillenkamer wanneer zij eventueel zou overgaan tot het nemen van sancties. Wel
kunnen deze feiten relevant zijn voor de opbouw van het dossier van de Inspectiedienst.
Het kan niet zijn dat de Inspectiedienst beperkt wordt in haar discretie dienaangaande.
De Geschillenkamer heeft tot taak zich uit te spreken over de relevantie van de door de
Inspectiedienst naar voren geschoven elementen.

Noodzaak tot splitsing van “de vervolgingen”

114. De verweerder stelt dat er een onderscheid moet worden gemaakt tussen de
vaststellingen met betrekking op de klacht enerzijds, en de andere vaststellingen van de
Inspectiedienst buiten het kader van de klacht.

115. Nu het dossier overeenkomstig artikel 63, 2° WOG aanhangig werd gemaakt door de
Geschillenkamer bij de Inspectiedienst, heeft die laatste uiteraard de bevoegdheid om
de verwerkingen die verband houden met het voorwerp van de klacht verder te
onderzoeken. De Geschillenkamer benadrukt daarbij dat de onderzoeksbevoegdheden
van de Inspectiedienst (artikelen 64 tot en met 90 WOG) zich niet beperken tot een
loutere vaststelling van de accuraatheid van de inhoud van de klacht. De
onderzoeksbevoegdheden moeten immers dienend zijn om de naleving van de
bepalingen inzake persoonsgegevensbescherming te onderzoeken. Het onderzoek moet
om die reden op zijn minst ook kunnen ingaan op elementen die accessoir zijn aan het
voorwerp van de klacht.

116. De Geschillenkamer wijst er daarnaast op dat wanneer de Inspectiedienst in de loop
van een onderzoek naar een klacht vaststelt dat er ernstige aanwijzingen zijn van het
bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de beginselen van
de bescherming van persoonsgegevens, de Inspectiedienst overeenkomstig artikel 63,
6° WOG uit eigen beweging nieuwe elementen kan onderzoeken. De Geschillenkamer
wijst er echter op dat in de onderhavige zaak alle vaststellingen van de Inspectiedienst
rechtstreeks of onrechtstreeks verband houden met het voorwerp van de klacht. Alle
vaststellingen maken deel uit van één dossier, dat bij de Inspectiedienst aanhangig werd
gemaakt op basis van artikel 63, 2° WOG.

Beslissing ten gronde 04/2021 - 27/49

117. Bovendien zijn alle juridische aspecten van het dossier relevant voor de klager en haar
minderjarige kind, nu hun persoonsgegevens door de verweerder verwerkt werden of
worden. Het zijn deze verwerkingen die aan een uitgebreid onderzoek werden
onderworpen. Alle vaststellingen van de Inspectiedienst zijn dan ook nauw verbonden
met het voorwerp van de klacht.

118. Er kan te dezen ook niet worden gesteld dat de omvang van het dossier voor de
verweerder onduidelijk was, nu de beslissing van de Geschillenkamer d.d. 20 april 2020,
met de uitnodiging aan beide partijen om verweermiddelen in te dienen overeenkomstig
artikel 98 en 99 WOG, duidelijk verwijst naar de klacht én de vaststellingen van de
Inspectiedienst.

119. Het verzoek van de Geschillenkamer aan de Inspectiedienst beperkt dus geenszins de
omvang van het onderzoek en onderzoeksmogelijkheden van die laatste. Dit blijkt
duidelijk uit de wettekst. Om die reden kan het verzoek van de verweerder om “de
vervolgingen te splitsen” niet worden weerhouden. Het is bovendien vermeldenswaardig
dat de klager overeenkomstig artikel 77, lid 2 AVG het recht heeft om in de opvolging
van diens klacht en het navolgend dossier te worden betrokken, waaraan de nationale
wetgever ook procedureel uitvoerig gevolg heeft gegeven, door de rol van de klager in
de procedure uitgebreid in te vullen, in overeenstemming met de Europese bepaling
hieromtrent.

De omvang van het aantal betrokkenen

120. In haar reactie op het boeteformulier haalt de verweerder aan dat de Geschillenkamer
enkel verantwoordelijk is voor de inzameling van persoonsgegevens tussen 25 mei 2018
en eind oktober 2019. De Geschillenkamer wijst erop dat zij zonder meer bevoegd is zich
uit te spreken over alle persoonsgegevensverwerkingen die plaatsvonden na 25 mei
2018. Zij beperkt zich bijgevolg niet tot verwerkingen met betrekking tot
persoonsgegevens die na 25 mei 2018 zijn verzameld, maar is ook bevoegd voor
verwerkingen van persoonsgegevens die zijn verzameld vóór 25 mei 2018.

2.2. Toestemming en de rechtmatigheid van de verwerking (artikel 4, punt 11,
artikel 6, lid 1 juncto artikel 7 AVG)

Beslissing ten gronde 04/2021 - 28/49

121. Betreffende de rechtmatigheid van de verwerking (art. 6 AVG) baseert de verweerder
zich op art. 6, lid 1, punten a) en f) AVG, respectievelijk voor de verwerkingen op basis
van persoonsgegevensverzamelingen die dateren van na en voor 25 mei 2018.

122. Artikel 6 lid 1 a) betreft de toestemming van de betrokkene als rechtsgrond voor de
verwerking van de persoonsgegevens. De definitie van “toestemming” van de
betrokkene in de AVG is de volgende:5

“elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de
betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling
hem betreffende verwerking van persoonsgegevens aanvaardt”

123. Overweging 42 in fine verduidelijkt in verband met die rechtsbepaling:

“Toestemming mag niet worden geacht vrijelijk te zijn verleend indien de betrokkene
geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken
zonder nadelige gevolgen.” (de Geschillenkamer onderstreept)

2.2.1 Het vrije karakter van de toestemming

124. De verweerder beweert dat de bezwaren in het dossier omtrent het vrije karakter van
de toestemming ongegrond zijn omdat slechts een potentieel bijkomend voordeel
verloren zou gaan6. De verweerder verwijst naar een arrest van 19 februari 2019 van
het Marktenhof7 ter zake. De verweerder haalt enkele elementen aan:

o Volgens het Marktenhof kan het niet als “nadeel” worden beschouwd dat
een klant niet in staat is een getrouwheidskaart aan te maken omdat hij de
verwerking van de gegevens op zijn identiteitskaart, benodigd voor de
getrouwheidskaart, weigerde.
o Volgens het Hof is dit slechts een potentieel bijkomend voordeel dat verloren
gaat, geen wettelijk of contractueel recht.
o Volgens het Marktenhof is er aldus niet zozeer een nadeel door het verliezen
– maar het verliezen van een beperkt voordeel - wanneer iemand
toestemming weigert te geven om zijn persoonsgegevens te verwerken.

5
Art. 4(11) AVG.
6
Arrest Marktenhof 2009/AR/1600.
7
Arrest Marktenhof 2009/AR/1600.

Beslissing ten gronde 04/2021 - 29/49

125. De genoemde zaak is feitelijk niet te vergelijken met onderhavig dossier. Het betreft in
casu een andere situatie omdat de voordelen die betrokkenen kunnen verwerven (het
ontvangen van i.a. geschenkpakketten en voordelen) ook effectief worden misgelopen
indien er geen toestemming wordt gegeven. De verweerder hanteert immers een online
intekenprocedure waarbij het intekenen op de voordelen steeds gekoppeld is aan het
verplicht geven van het “akkoord” voor minstens een vorm van doorgifte met het oog
op direct marketing. Het gaat hierbij om de essentie van de dienstverlening door
verweerder, niet om een bijkomend voordeel, zoals een klantenkaart.

126. Daarnaast wijst de Geschillenkamer erop dat het verlies van een voordeel voor een
betrokkene ten gevolge van een inbreuk op een bepaling van de AVG – zoals gebrekkige
informatievoorziening – door een verwerkingsverantwoordelijke, waar een betrokkene
zonder die inbreuk het voordeel zou hebben verworven, zonder meer in causaal verband
staat met de inbreuk.8 Hiermee moet worden rekening gehouden bij het beoordelen van
het ‘vrije’ karakter van de toestemming in de zin van artikel 4, punt 11 AVG.

127. Er wordt de betrokkene geen keuze gelaten om te bepalen welke handel in
persoonsgegevens kan plaatsvinden in welke context. De betrokkene (waaronder de
klager) kan niet verdergaan met de inschrijving indien het vakje niet wordt aangevinkt.
De vraag is dus of de toestemming te dezen een voldoende “vrije” toestemming is in de
zin van de AVG.

128. Volgens het Europees Comité voor Gegevensbescherming (hierna in de Engelse
afkorting: EDPB) is toestemming enkel geldig indien de betrokkene een werkelijke keuze
kan maken en controle kan houden over de eigen persoonsgegevens.9 Overeenkomstig
artikel 70, lid 1, punt e) AVG is de EDPB bevoegd om richtsnoeren uit te vaardigen om
te bevorderen dat de AVG consequent wordt toegepast. Deze richtsnoeren binden de
Gegevensbeschermingsautoriteit als lid van de EDPB. Indien de EDPB richtsnoeren
vaststelt, mag van de leden van de EDPB verwacht worden dat deze zich aan deze
richtsnoeren houden.10

8
Ten overvloede zou de vraag kunnen worden opgeworpen of, wanneer een betrokkene overeenkomstig artikel 82 AVG (voor
een rechter) een schadevergoeding zou vorderen voor het verlies van voornoemd voordeel, dit niet als nadelige schade ten
aanzien van de betrokkene zou kunnen worden aanzien waarvoor de betrokkene – op basis van de voornoemde Europese bepaling
- schadevergoeding zou kunnen krijgen; voor een uitgebreide bespreking van de concepten, lees J. HERBOTS, “Why It Is Ill-
Advised to Translate Consequential Damage by Dommage Indirect” in European Review of Private Law, 2011, Vol. 19 (6), 931-
949.
9
EDPB Richtsnoeren 5/2020 inzake toestemming onder Verordening 216/679 (v. 1.1.), 4 mei 2020, beschikbaar via:
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_nl.pdf (hierna Richtsnoeren 5/2020), rn.
13.
10
Vgl redenering AG Bobek in zaak C-16/16 P, België/Commissie, ECLI:EU:C:2017:959, paras 89-90.

Beslissing ten gronde 04/2021 - 30/49

129. In de richtsnoeren omtrent toestemming onderstreept de EDPB dat een toestemming
op gronden van ‘nadeel’ niet vrij kan zijn, indien er voor de betrokkene “aanzienlijke
negatieve gevolgen” zijn.11 Toestemming moet een autonome handeling van het individu
inhouden, vrij van externe manipulaties. 12 Toestemming volgens de AVG mag niet
worden beschouwd als vrij gegeven wanneer de betrokkene geen echte keuze heeft of
niet in staat is haar of zijn toestemming te weigeren zonder nadelige gevolgen. 13

130. De verweerder biedt niet enkel producten en kortingsbonnen aan, maar verleent ook
een service in informatieverstrekking ten aanzien van betrokkenen. De verweerder biedt
aan (aanstaande) moeders informatiefiches betreffende de zwangerschap en de periode
nadien. Noch van de producten en andere voordelen, noch van de informatiefiches zou
kunnen worden genoten indien de betrokkene geen persoonsgegevens overmaakt en
met tientallen verdere doorgiften en andere verwerkingen instemt, waardoor dit duidelijk
een nadeel oplevert voor de betrokkene.

131. De EDPB heeft hieromtrent ook voorbeelden gegeven in haar Richtsnoeren 5/2020. Als
voorbeeld wordt daar besproken dat er geen nadeel blijkt te zijn in het geval de
voordelen ook nog op een andere manier te verkrijgen zijn.14 A contrario zijn de
voordelen te dezen niet verkrijgbaar op een andere manier, en brengt het niet verlenen
van een toestemming een nadeel voor de betrokkenen, waaronder de klager, mee.

132. Er is bovendien geen granulair karakter van de toestemming. Alle doeleinden voor
verdere verwerkingen worden gebundeld bij het verlenen van de toestemming door
betrokkenen ten aanzien van de verweerder. Eveneens worden de categorieën van de
ontvangers van de persoonsgegevens niet afdoende duidelijk omschreven en kunnen de
partners van de verweerder niet volledig worden achterhaald door betrokkenen.
Betrokkenen kunnen op die manier niet inschatten wat de impact of aard is van het
doorgeven van hun gegevens. De controle van betrokkenen over hun persoonsgegevens
wordt hen dientengevolge ontnomen.

133. De AVG stelt in overweging 43 dat een toestemming “wordt geacht niet vrijelijk te zijn
verleend indien geen afzonderlijke toestemming kan worden gegeven voor verschillende
persoonsgegevensverwerkingen, ondanks het feit dat dit in het individuele geval

11
Richtsnoeren 5/2020, 14-15.
12
Vergelijk KOSTA, E., Consent in European Data Protection Law, Leiden, Martinus Nijhoff Publishers, 2013, p. 169.
13
Overweging 42 AVG.
14
Richtsnoeren 5/2020, 14-15.

Beslissing ten gronde 04/2021 - 31/49

passend is, of indien de uitvoering van een overeenkomst, daaronder begrepen het
verlenen van een dienst, afhankelijk is van de toestemming ondanks het feit dat
dergelijke toestemming niet noodzakelijk is voor die uitvoering.” Zo is het mogelijk dat
een betrokkene louter de geschenkpakketten die de verweerder aanbiedt wenst te
verkrijgen en daarom de contactgegevens wil overmaken aan de verweerder, maar dit
niet kan omdat de verweerder ook op onlosmakelijke wijze andere doeleinden heeft voor
de persoonsgegevens middels de toestemming (het verkopen en verhuren van de
persoonsgegevens voor commerciële doeleinden).

134. Wanneer de verwerkingsverantwoordelijke meerdere doeleinden (en daarenboven
meerdere verwerkingen) beoogt bij het verzamelen van dezelfde persoonsgegevens,
zouden volgens de EDPB “de betrokkenen vrij moeten kunnen kiezen welke doeleinden
zij accepteren, in plaats van toestemming te moeten verlenen voor een pakket
verwerkingsdoeleinden.”15

135. Alleen al om het niet vrije karakter van de toestemming, is de toestemming
overeenkomstig artikel 6, lid 1, punt a) j° 7 AVG niet rechtsgeldig.

2.2.2 Het “geïnformeerde” karakter van een toestemming

136. Het uitoefenen van positieve druk (zoals het aanbieden van kortingen op producten)
maakt de toestemming niet ongeldig voor zover de betrokkene alle nodige informatie
heeft gekregen met betrekking tot de verwerking van zijn persoonsgegevens en hem
een echte keuze gegeven wordt om te beslissen. In casu heeft de betrokkene echter
niet alle nodige informatie ontvangen. De klacht heeft net dit aspect als voorwerp.

137. Bovendien blijkt uit het dossier en de argumentatie van de verweerder in de procedure
ten gronde dat zelfs niet alle partners voor betrokkenen bekend konden zijn op basis
van de voor hen beschikbare informatie op het moment van de toestemming, nu de
verweerder niet al haar partners kenbaar maakt, om redenen gestoeld op de Richtlijn
2016/943 inzake Bedrijfsgeheimen.16

138. De EDPB schrijft in haar Richtsnoeren omtrent toestemming letterlijk “dat ingeval
meerdere (gezamenlijke) verwerkingsverantwoordelijken zich op de gevraagde
toestemming willen baseren of als de gegevens zullen worden doorgegeven aan of

15
Richtsnoeren 5/2020, rn. 42.
16
Aangehaald in voetnoot 4.

Beslissing ten gronde 04/2021 - 32/49

verwerkt door andere verwerkingsverantwoordelijken die zich op de oorspronkelijke
toestemming willen baseren, al deze organisaties moeten worden genoemd.”17

139. De klacht legt de nadruk op de niet-transparante informatieverstrekking waarbij een
onjuiste perceptie gecreëerd wordt bij de klager en andere betrokkenen. Zo stelt de
klager dat het initiatief van de geschenkpakketten eerder gelinkt lijkt aan een
overheidsinitiatief.

140. Indien een onderneming zich wil beroepen op de rechtsgrond van toestemming moeten
betrokkenen duidelijk alle parameters kennen bij het geven van deze toestemming.
Geïnformeerde toestemming betekent immers dat deze gebaseerd dient te zijn op een
waardering, begrip van de feiten en implicaties van een handeling. Dit houdt in dat de
betrokkene op een duidelijke en begrijpelijke manier nauwkeurige en volledige
informatie moet krijgen over alle relevante kwesties zoals de aard van de verwerkte
gegevens, de doeleinden van de verwerking, de ontvangers van mogelijke overdrachten
en de rechten van de betrokkene. 18 In casu is de toestemming noch voldoende
geïnformeerd noch voldoende specifiek.

141. Er zijn nog twee aspecten van belang bij het geven van een geldige toestemming. Eerst
en vooral moet de kwaliteit van de informatie voldoende zijn. De manier waarop de
informatie gegeven is door de verweerder is niet toereikend. De Inspectiedienst stelde
vast dat de communicatie over de activiteit handel in persoonsgegevens niet expliciet
omschreven staat in normaal taalgebruik maar enkel in vage bewoordingen zoals “met
het oog op het verzenden van producten, aanbiedingen en informatie” . De verweerder
camoufleert op deze manier de activiteit van handel in persoonsgegevens door niet op
dezelfde duidelijke wijze te communiceren als over het ontvangen van de “gratis”
voordelen.

142. De informatie betreffende de handel in persoonsgegevens wordt daarenboven
verschaft in juridische bewoordingen. Expliciete termen zoals reclame en marketing
worden bijvoorbeeld vermeden in de externe communicatie. De verweerder dient
duidelijk en begrijpelijk te zijn in haar communicatie voor betrokkenen, “voor de
gemiddelde persoon, en niet alleen voor juristen.”19 De werkwijze van de verweerder

17
Richtsnoeren 5/2020, rn. 65.
18
Richtsnoeren 5/2020, rn. 64..
19
Richtsnoeren 5/2020, 18.

Beslissing ten gronde 04/2021 - 33/49

schept echter verwarring en houdt niet voldoende rekening met de impact op (de
rechten van) de betrokkenen.

143. Ten tweede is de toegankelijkheid en zichtbaarheid van de informatie van belang.
Informatie moet rechtstreeks aan individuen worden gegeven. Het is niet voldoende om
het ergens anders ‘beschikbaar’ te maken (bijvoorbeeld via een privacy policy op de
website).20 In de online realiteit is het niet uitzonderlijk dat informatie aan betrokkenen
wordt gegeven door middel van een privacybeleid 21, maar deze dient wel voldoende
duidelijk te zijn opdat het voor betrokkenen begrijpelijk is om een geïnformeerde
toestemming te geven.22 De verwijzing moet zichtbaar op het formulier/antwoordkaart
staan waar ook de toestemming wordt gegeven, en niet in kleine letters op de zijkant,
zoals het geval is bij de verweerder.

144. Ook op basis van het niet voldoende “geïnformeerde” karakter van de toestemming, is
de toestemming overeenkomstig artikel 6, lid 1, punt a) j° artikel 7 AVG niet rechtsgeldig.
Dit gebrek is reeds voldoende om een inbreuk op artikel 6, lid 1, punt a) j° artikel 7 AVG
vast te stellen.

2.2.3 De voorwaarden inzake “specificiteit” en “ondubbelzinnigheid” voor een rechtsgeldige
toestemming

145. Geïnformeerde toestemming hangt samen met specifieke toestemming. Wanneer
gegevensverwerkingsactiviteiten, waarvoor toestemming moet worden verleend, niet
specifiek en dus onduidelijk zijn, kan de betrokkene niet geïnformeerd beslissen over
deze activiteiten.23 Ook hier wijst het gebrek aan granulariteit op zich al op de
gebrekkigheid van de specifieke aard van de toestemming.

146. Ook kan er op worden gewezen dat er door de geleidelijke vervaging van de doeleinden
waarvoor persoonsgegevens worden verwerkt, een risico voor betrokkenen ligt dat zich
in dit specifieke dossier realiseert. Er is bij het omschrijven van de doeleinden door de
verweerder sprake van het fenomeen van “function creep” (“doelverschuiving”), hetgeen
leidt tot het voor de klager en andere betrokkenen onvoorziene gebruik van

20
Richtsnoeren 5/2020, 18-19.
21
KOSTA, E., Consent in European Data Protection Law, Leiden, Martinus Nijhoff Publishers, 2013, p. 215.
22
SCHERMER, CUSTERS, VAN DER HOF, Ethics Inf Technol, 2014/16.
23
Richtsnoeren 5/2020, 15-16.

Beslissing ten gronde 04/2021 - 34/49

persoonsgegevens voor doeleinden die voor hen niet of onvoldoende duidelijk waren,
en door partners die hen niet of onvoldoende bekend waren.24

147. Om specifiek te zijn moet toestemming zeer nauwkeurig verwijzen naar zowel de
reikwijdte als de gevolgen van de gegevensverwerking.25 De toestemming is hierdoor
bovendien niet ondubbelzinnig omdat betrokkenen niet weten waar ze mee instemmen.

2.2.4 Aanvullende voorwaarden voor het verkrijgen van een rechtsgeldige toestemming

148. Het intrekken van de toestemming overeenkomstig artikel 7 lid 3 AVG is onlosmakelijk
verbonden met het geven van de toestemming. De verweerder stelt dat er verschillende
mogelijkheden zijn om de toestemming in te trekken. Op het ogenblik van de indiening
van de klacht was het echter duidelijk niet even eenvoudig om de toestemming in te
trekken als om deze te geven.

149. De intrekking werd niet voldoende gefaciliteerd omwille van het feit dat het enkel werd
vermeld in het online privacybeleid van de verweerder en daar bovendien slechts in
kleine letters. Het recht om de toestemming in te trekken werd aldus niet vermeld op
het scherm wanneer de toestemming werd gegeven. Verder was de uitschrijfpagina ten
tijde van de klacht enkel beschikbaar in het Engels of Frans. Bij het gebruik van
toestemming als rechtsgrond is het essentieel dat het duidelijk wordt aangegeven dat
de toestemming steeds kan worden ingetrokken en dit op een eenvoudige wijze (op het
moment van het geven van de toestemming). De intrekking is aldus niet even eenvoudig
als het geven van toestemming in tegenstelling tot wat artikel 7, lid 3 AVG vooropstelt.

150. Een bijkomend problematisch element is het feit dat wanneer de toestemming effectief
door een betrokkene wordt ingetrokken, de persoonsgegevens bij de verweerder niet
geschrapt of gewist worden maar enkel op “inactief” worden gezet. Een
verwerkingsverantwoordelijke moet er echter - zodra de toestemming ingetrokken is –
voor zorgen dat de gegevens worden gewist, tenzij er een andere wettelijke grond is om
de gegevens te verwerken.26

24
Richtsnoeren 5/2020, rn. 56.
25
Richtsnoeren 5/2020, .
26
Vergelijk: https://ec.europa.eu/info/law/law-topic/data-protection/reform/rules-business-and-organisations/legal-grounds-
processing-data/grounds-processing/what-if-somebody-withdraws-their-consent_nl.

Beslissing ten gronde 04/2021 - 35/49

151. De Geschillenkamer stelt derhalve ook met betrekking tot de andere voorwaarden
omtrent een rechtsgeldige toestemming, meer bepaald die vervat in artikel 7, lid 3 AVG,
een inbreuk vast.

2.2.5 De rechtmatigheid van de verwerking van persoonsgegevens van het minderjarige kind

152. De Geschillenkamer merkt bijkomend op dat op zijn minst de geboortedatum van het
kind wordt verzameld en verder verwerkt door de verweerder. Ook wordt de
mogelijkheid geboden door de verweerder om andere persoonsgegevens van het kind
aan derden kenbaar te maken, zoals ook wordt vermeld in de privacyverklaring.27

153. Overweging 38 van de AVG stelt:

“Kinderen hebben met betrekking tot hun persoonsgegevens recht op specifieke
bescherming, aangezien zij zich allicht minder bewust zijn van de betrokken risico's,
gevolgen en waarborgen en van hun rechten in verband met
de verwerking van persoonsgegevens. Die specifieke bescherming moet met name
gelden voor het gebruik van persoonsgegevens van kinderen voor marketingdoeleinden
of voor het opstellen van persoonlijkheids- of gebruikersprofielen en het verzamelen van
persoonsgegevens over kinderen bij het gebruik van rechtstreeks aan kinderen
verstrekte diensten. In de context van preventieve of adviesdiensten die rechtstreeks
aan een kind worden aangeboden, is de toestemming van de persoon die de ouderlijke
verantwoordelijkheid draagt, niet vereist.”

154. Hoewel de geboortedatum van het kind gelinkt wordt aan de identiteit van de ouder, is
de geboortedatum ook specifiek toe te bedelen aan het individuele kind. Dat is evenzeer
het geval voor de naam en de voornaam van het kind. Het is niet omdat het
persoonsgegeven aan de ouder wordt toegeschreven (‘de geboortedatum van hun kind’)
dat het niet (ook) toebehoort aan het minderjarige kind. Er is dus wel degelijk sprake
van persoonsgegevens als bedoeld in artikel 4, punt 7 AVG die verwerkt worden van het
minderjarige kind. Dit kind is een betrokkene van wie de persoonsgegevens moeten
worden verwerkt in overeenstemming met de bepalingen van de AVG.

155. Volgens de verweerder geschiedt deze verwerking om op een bepaalde leeftijd van het
kind een bepaald geschenkpakket aan de ouder toe te sturen. Bij het verwerken van die

27
https://www.[...].be/privacy#3.

Beslissing ten gronde 04/2021 - 36/49

persoonsgegevens moet dus wel degelijk een rechtsgrondslag in de zin van artikel 6, lid
1 AVG worden aangeduid door de verweerder als verwerkingsverantwoordelijke, iets wat
zij nalaat.28

156. Hoewel in casu de moeder van het kind haar toestemming gegeven had, is het in theorie
mogelijk dat zij niet het ouderlijk gezag houdt over het kind, en dus geen toestemming
kan geven voor de verwerking van de persoonsgegevens van dat kind. Bovendien zijn
er nog andere redenen waarom een ouder wel zou instemmen de eigen
persoonsgegevens te verwerken, maar niet die van haar of zijn kind(eren). Diegene die
het ouderlijk gezag uitoefent, moet dus ook toestemming verlenen om de
persoonsgegevens van het kind te verwerken.

157. De Geschillenkamer concludeert dat er in elk geval geen rechtmatige verwerking van
de persoonsgegevens van het minderjarige kind bestaat, gezien de verweerder nalaat
een grondslag aan te duiden, hetgeen een inbreuk vormt op artikel 6, lid 1 AVG.

2.3. Rechtmatigheid van verwerkingen van persoonsgegevens verzameld voor
25 mei 2018 op basis van gerechtvaardigde belangen (artikel 6, lid 1, punt f)
AVG)

158. Artikel 6 lid 1 f) betreft het gerechtvaardigd belang van de
verwerkingsverantwoordelijke als rechtsgrond voor de verwerking van de
persoonsgegevens. De vraag is of de verdere verwerkingen van persoonsgegevens
verzameld voor 25 mei 2018 rechtmatig zijn onder de voornoemde rechtsbepaling in de
AVG.

159. Overeenkomstig de rechtspraak van het Hof van Justitie (EU) dienen de
verwerkingsverantwoordelijken aan te tonen dat:

1) de belangen die zij met de verwerking nastreven, als gerechtvaardigd kunnen
worden erkend (de “doeltoets”);
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen
(de“noodzakelijkheidstoets”); en

28
Artikel 5, lid 2 AVG en artikel 24 AVG verplicht de verwerkingsverantwoordelijke de naleving van de bepalingen van de AVG te
organiseren en te kunnen aanduiden.

Beslissing ten gronde 04/2021 - 37/49

3) de afweging van die belangen ten opzichte van de belangen, fundamentele
vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijken of van een derde (de “afwegingstoets”). 29

160. Vooreerst kan worden vastgesteld dat het verder verwerken van persoonsgegevens die
werden verzameld voor 25 mei 2018 in overeenstemming kan worden bevonden met de
gerechtvaardigde belangen van de verweerder en daarom op zich de doeltoets
doorstaat. Het commercieel belang van de verweerder blijkt binnen de huidige
rechtskundige situatie een gerechtvaardigd belang onder de AVG te kunnen zijn. Het
dient echter te worden onderzocht of de verwerkingen ook de noodzakelijkheidstoets en
de afwegingstoets doorstaan.

161. Vooreerst stelt de Geschillenkamer vast dat, hoewel een commercieel belang dus wel
degelijk als een gerechtvaardigd belang kan worden beschouwd in de geest van de AVG,
er daarentegen geen noodzaak tot het verwerken van bepaalde persoonsgegevens
bestaat, wanneer er nog andere mogelijkheden zijn om de verwerkingen rechtmatig te
laten verlopen en zo de gerechtvaardigde belangen veilig te stellen. Het is niet aan de
Geschillenkamer om de proceseconomische strategie van de verweerder te bepalen of
hierin enigszins advies te verstrekken. De Geschillenkamer stelt echter vast dat uit het
verweer niet blijkt dat er voldoende onderzocht is door de verweerder of en waarom er
geen andere mogelijkheden bestaan om de rechtmatigheid van de verwerking te
verzekeren, waardoor de verwerkingen op basis van het gerechtvaardigd belang
noodzakelijk worden. Om die reden doorstaan de hoger genoemde verwerkingen van de
verweerder de noodzakelijkheidstoets niet.

162. Het gerechtvaardigd belang van de verweerder moet overeenkomstig de
afwegingstoets worden afgewogen met de redelijke verwachtingen, belangen en rechten
van de betrokkenen. De verweerder hanteert te abstracte voorwaarden en noemt geen
expliciete termen zoals reclame, direct marketing en handel in persoonsgegevens. Het
is onmogelijk voor betrokkenen om in te schatten hoeveel andere ondernemingen hun
persoonsgegevens verder gebruiken.

163. Bijkomend geeft de verweerder onvoldoende toelichting over de soorten verwerkingen
die kunnen volgen na het verhandelen van de persoonsgegevens. Bij de distributie van
de geschenkpakketten worden ziekenhuizen en gynaecologen ingeschakeld. Dit kan de
verkeerde perceptie opwekken bij betrokkenen, namelijk dat de verweerder een vzw of

29
Arrest HvJEU van 4 mei 2017, Rigas satiksme, C-13/16, EU:C:2017:336, punt 28.

Beslissing ten gronde 04/2021 - 38/49

overheidsinitiatief zou uitmaken en niet een private onderneming die persoonsgegevens
verhandelt. De Geschillenkamer stelt vast dat de verweerder onvoldoende transparantie
betracht over de voordelen die worden geboden in relatie tot de doorgifte van
persoonsgegevens. Er is een duidelijke wanverhouding tussen de beloofde voordelen en
de niet duidelijk belichte activiteiten, zijnde het doorverhuren/verkopen van de gegeven
persoonsgegevens aan derden. Op zich kunnen betrokkenen wellicht nog verwachten
dat, in een geval waarin betrokkenen persoonsgegevens doorgeven aan een bedrijf en
hiervoor bepaalde voordelen ontvangen, dit bedrijf nadien de betrokkenen kan
benaderen om marketing redenen. In casu is het probleem echter dat het een doorgifte
van de persoonsgegevens door de verweerder aan derden betreft. Dit behoort niet tot
de redelijke verwachtingen van betrokkenen.

164. Om te bewijzen dat de verweerder rekening hield met en nagedacht heeft over de
relevante en werkzame waarborgen in het kader van artikel 6 lid 1 f) is er enkel een
document opgesteld waarin een op risico gebaseerde aanpak vervat zit. De verweerder
kan onvoldoende aantonen welke concrete technische of organisatorische maatregelen
adequate bescherming bieden. Het is niet aangetoond dat dit document ook werkelijk in
de praktijk wordt toegepast. Zolang er geen aanvullend bewijs is van de werkelijke
toepassing in de praktijk kunnen dergelijke documenten niet worden weerhouden als
een bewijs van werkzame en relevante waarborgen. De verweerder voert verder aan dat
er een beperking is op het aantal keren dat de gegevens worden gebruikt via het gebruik
van controleadressen. De Inspectiedienst stelde echter vast dat de gebruiksbeperking
en het ontvangen van een bezwaar in de praktijk niet (altijd) werkt. Op basis van de
voormelde overwegingen en het gebrek aan bewijs van effectieve technische en
organisatorische maatregelen om de belangen van betrokkenen te waarborgen stelt de
Geschillenkamer een schending vast van artikel 6, lid 1 f) AVG.

165. De Geschillenkamer concludeert tot een schending van artikel 6 lid 1, punt f), omwille
van het feit dat zij niet kan vaststellen dat de verweerder beschikt over een afdoende
rechtsgrond om de verwerking van de persoonsgegevens te rechtvaardigen onder art.
6, lid 1, punt f) AVG (gerechtvaardigd belang). Er is niet voldaan aan de voorwaarden
die de AVG hiertoe oplegt. Dit is in lijn met de jurisprudentie die stelt dat een
verwerkingsactiviteit enkel kan worden toegestaan wanneer deze conform de regels
inzake rechtmatigheid van de verwerking verloopt. 30

30
HvJ, zaken C-465/00, C-138/01 en C-139/01, Rechnungshof v. Österreichischer Rundfunk e.a.; Neukomm en Lauermann v.
Österreichischer Rundfunk, para. 65; HvJ, C-524/06, Huber v. Duitsland, 16 December 2008, para. 48.

Beslissing ten gronde 04/2021 - 39/49

2.4. Betreffende de transparantieverplichting (art. 5, lid 1. punt a) j° art. 12 en
art. 13 AVG)

166. De Geschillenkamer verwerpt de stelling van de verweerder dat wordt voldaan aan de
transparantievereisten uit hoofde van artikel 5, lid 1, a) AVG.

167. Transparantie is van cruciaal belang om betrokkenen controle te geven over hun
persoonsgegevens en om een effectieve bescherming van persoonsgegevens te
waarborgen.31 De transparantieverplichting in de AVG vereist dat alle informatie of
communicatie inzake de gegevensverwerking van betrokkenen makkelijk toegankelijk en
begrijpelijk moet zijn.32 Het doel is om zo een vertrouwensomgeving voor
gegevensverwerking te creëren voor betrokkenen. 33 Deze problematiek hangt samen
met het oordeel van de Geschillenkamer over de geldigheid van de toestemming. De
klager en andere betrokkenen vernemen niet voldoende duidelijk wat de precieze
activiteiten van de verweerder inhouden. Het feit dat de klager denkt dat de verweerder
een vzw of overheidsinitiatief uitmaakt illustreert dit feit. Er moet transparantere
informatie aangeboden worden aan betrokkenen, bijvoorbeeld over het feit dat
betrokkenen bepaalde voordelen verkrijgen enkel indien zij in ruil hiervoor hun
persoonsgegevens geven.

168. De verweerder stelt dat artikel 13 AVG enkel vereist dat informatie over de categorieën
van gegevensontvangers moet worden gegeven, niet over de juridische verrichting die
de mededeling van de persoonsgegevens ondersteunt (met name het “huren” of
verkopen” van gegevens). De Geschillenkamer verwerpt deze stelling omwille van het
feit dat in hoofde van artikel 13 lid 1 c) AVG de verwerkingsdoeleinden moeten worden
vermeld waarvoor de persoonsgegevens zijn bestemd. Dit betekent dat de verweerder
wel degelijk had moeten aangeven dat deze persoonsgegevens zouden
verhuurd/verkocht worden aan derden.

169. Verder suggereert de verweerder dat een gedetailleerde en volledige publicatie van de
lijst van partners een inbreuk zou vormen op haar bedrijfsgeheimen. Volgens de
verweerder zijn er twee gelijkwaardige rechten in strijd met elkaar: enerzijds het recht
op gegevensbescherming en anderzijds het recht op bescherming van bedrijfsgeheimen,

31
Mededeling Europese Commissie, Een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie, COM
(2010) 609 def, p. 6.
32
Overweging 39 AVG.
33
DE HERT, PAPAKONSTANTINOU, Computer Law & Security Review 2016, p. 134.

Beslissing ten gronde 04/2021 - 40/49

overeenkomstig de reeds genoemde Richtlijn 2016/943. Deze redenering kan niet
worden weerhouden, aangezien het recht op de bescherming van persoonsgegevens
een in de EU verdragen en de AVG beschermd fundamenteel recht is, dat slechts kan
worden beperkt in door de wetgever voorziene gevallen. Noch de Europese wetgeving,
noch de Belgische wetgeving ter uitvoering van artikel 23 AVG voorziet in een beperking
van de publicatie van de naam van ontvangers van persoonsgegevens.

170. Daarenboven stelt de Geschillenkamer vast dat de kern van de activiteiten in onderhavig
dossier bestaat in de doorgifte van persoonsgegevens, en het beleid van de verweerder
hieromtrent. Er kan niet ten koste van betrokkenen worden besloten dat de commerciële
belangen van de verweerder of haar partners nu eens wel, en dan eens niet doorwegen
tegenover de rechten van die betrokkenen. Door steeds meer partners toe te voegen
lijkt de lijst bovendien nog steeds niet exhaustief te zijn. Het is in elk geval zo dat ten
tijde van het verslag van de Inspectiedienst door de klager aan het licht is gebracht dat
er geschenkpakketten en invulkaarten werden verdeeld door een toen niet-genoemde
partner.

171. De activiteiten van de verweerder raken aan de kern van de AVG. Het is van
fundamenteel belang dat de betrokkenen weten welke partners contact kunnen
opnemen met hen.34 Dit zou anders zijn mochten de partners louter goederen leveren
zonder dat ze iets in ruil vragen. Hier is het echter zo dat de persoonsgegevens worden
verkocht. In dergelijke situaties is het per definitie de plicht ingevolge artikel 5 j° artikel
13 AVG voor de verweerder om te partners weer te geven/te vermelden.

172. De Geschillenkamer concludeert hieruit dat de commerciële activiteiten van de
verweerder gericht op reclame, mediarepresentatie en handel in persoonsgegevens niet
op afdoende transparante wijze worden gecommuniceerd aan de betrokkenen. De
Geschillenkamer acht een schending van de artikelen 5, lid 1, punt a), 12 en 13 AVG
bewezen.

34
Dit standpunt werd ook ingenomen door de Information Commissioner’s Office in de Bounty UK case.
(https://ico.org.uk/media/action-weve-taken/mpns/2614757/bounty-mpn-20190412.pdf) Het betrof in deze case ook zeer
gelijklopende informatie. Ook hier werden gegevens van de moeder als ouder en hun pasgeboren kind verzameld. Daarnaast
toont deze gelijkaardige zaak aan dat de voormelde praktijk geen unicum is in Europa. Er is een reële nood aan handhaving van
de AVG tot bescherming van een kwetsbare populatie.

Beslissing ten gronde 04/2021 - 41/49

2.5. Betreffende de bewaartermijn uit hoofde van art. 5, lid1, punt c) j° art. 25
AVG

173. De verweerder heeft niet de passende technische en organisatorische maatregelen
getroffen om ervoor te zorgen dat alleen persoonsgegevens worden verwerkt die
noodzakelijk zijn voor elk specifiek doel van de verwerking. Deze praktijk behoort echter
tot de kern van de verantwoordelijkheid van de verwerker die met de invoering van de
AVG des te belangrijker is geworden.35

174. De verweerder onderscheidt niet duidelijk de doeleinden van de verwerking. Indien een
betrokkene intekent op een bijkomend geschenkpakket impliceert dit voor de verweerder
een akkoord met de handel in persoonsgegevens. Verder wordt er door de verweerder
niet aangetoond dat een ontvangen bezwaar tegen direct marketing steeds wordt
meegedeeld aan de partners van de verweerder. De bewaartermijn van 18 jaar is
eveneens disproportioneel ten opzichte van de initiële toestemming en de redelijke
verwachtingen van de klager en andere betrokkenen. De oorspronkelijk aangeboden
producten (voordelen) betreffen immers vooral babyspullen. Ten slotte stelt de
verweerder dat haar website geen praktische mogelijkheid biedt om de verleende
toestemming onmiddellijk in te trekken. Al deze voorgenoemde elementen gaan in tegen
de beginselen van proportionaliteit en gegevensbescherming door ontwerp.

175. Tijdens de hoorzitting vergelijkt de verweerder de situatie met die van een abonnement
voor een krant, dat ook expliciet moet worden opgezegd. Deze situaties zijn echter niet
vergelijkbaar. Bij een abonnement voor een krant weet de betrokkene, door het
verkrijgen en de systematische betaling voor die krant dat zijn relatie met de krant wordt
voortgezet. In de onderhavige situatie is dat niet het geval. Ten minste moet de
verweerder expliciet vermelden dat de persoonsgegevens 18 jaar worden bijgehouden
en daar de betrokkene ook met regelmaat aan herinneren, alsook aan de mogelijkheid
de relatie op te zeggen.

176. De Geschillenkamer concludeert uit bovenstaande overwegingen dat artikel 5 lid 1 c) j°
25 AVG geschonden zijn.

2.6. Betreffende de verantwoordingplicht uit hoofde van art. 5.2. j° art. 24 AVG

35
QUELLE C., Privacy, Proceduralism and Self-Regulation in Data Protection Law 2017, p. 6.

Beslissing ten gronde 04/2021 - 42/49

177. De verweerder treft, rekening houdend met de aard, omvang context en doel van de
verwerkingen, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor
de rechten en vrijheden van natuurlijke personen, niet de passende technische en
organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de
verwerking in overeenstemming is met de AVG. Er was geen duidelijk bewijs van
effectieve technische en organisatorische maatregelen om de belangen van betrokkenen
te waarborgen in het kader van artikel 6 lid 1 f).

178. De verantwoordingsplicht overeenkomstig de artikelen 5 lid 2 en 24 AVG vereist dat de
verwerkingsverantwoordelijke maatregelen neemt om de
gegevensbeschermingsbeginselen en –verplichtingen na te leven en op verzoek aan te
tonen dat ze nageleefd zijn.36 De verweerder heeft echter niet aangetoond dat de
activiteit van de handel in persoonsgegevens door de partners op afdoende wijze
duidelijk is voor de betrokkenen. Verder werd er evenmin een registratie bijgehouden
van de verzoeken tot rectificatie en kon de verweerder niet (meteen) bewijzen dat er
een effectieve wissing van de persoonsgegevens had plaatsgevonden. Sterker nog, de
verweerder stelt dat zij de e-mailadressen van de betrokkenen die om de wissing van
hun persoonsgegevens hebben gevraagd toch bewaren om ervoor te zorgen dat er later
geen nieuw account kan worden aangemaakt via hetzelfde e-mailadres. Dit gaat echter
compleet voorbij aan de letter en de geest van het recht tot gegevenswissing.

179. De Geschillenkamer concludeert uit bovenstaande overwegingen dat artikel 5 lid 2 j°
24 AVG geschonden zijn.

2.7. Betreffende art. 14 AVG

180. De Geschillenkamer stelt geen inbreuk vast op artikel 14 AVG aangezien de verweerder
de persoonsgegevens rechtstreeks van de betrokkenen verkrijgt en dat artikel 14 AVG
aldus niet van toepassing is. Het zijn de partners van de verweerder die de vereisten
van artikel 14 AVG moeten naleven, aangezien zij de persoonsgegevens van de
verweerder verkrijgen en niet rechtstreeks van betrokkenen.

2.8. Betreffende art. 28, lid 3 AVG

36
Article 29 Working Party, ‘Opinion 3/2010 on the principle of accountability’, p. 3.

Beslissing ten gronde 04/2021 - 43/49

181. De verweerder heeft nagelaten om een verwerkersovereenkomst aan te gaan tussen
haarzelf en één van haar partners, die ten tijde van de klacht invulkaarten bewaarde
voor de verweerder. Dit is een verwerking van persoonsgegevens zoals bedoeld in artikel
4 1) en 2) AVG.

182. Volgens de verweerder viel dit bewaren door de Y4 niet onder het materieel
toepassingsgebied van de AVG, nu het louter bewaren van de invulkaarten geen
persoonsgegevensverwerking zou uitmaken in de zin van artikel 2 AVG.

183. Artikel 2, lid 1 AVG bepaalt dat de AVG van toepassing is “op de geheel of gedeeltelijk
geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in
een bestand zijn opgenomen, of die bestemd zijn om daarin te worden opgenomen.”
(de Geschillenkamer onderstreept)

184. Nu de invulkaarten ab initio bestemd zijn om te worden opgenomen in een bestand
(door de verweerder), is het bewaren van de invulkaarten door de Y4 wel degelijk een
verwerking in de zin van de AVG.

185. De Geschillenkamer stelt aldus een schending van artikel 28 lid 3 AVG vast in hoofde
van de verweerder, nu die laatste een verwerkingsovereenkomst had moeten sluiten
met de Y4, hetgeen de verweerder heeft nagelaten.

2.9. Betreffende art. 37 en 38 AVG

186. De verweerder stelt niet verplicht te zijn op basis van artikel 37.1 AVG om een
functionaris voor gegevensbescherming te moeten aanstellen omdat zij geen
overheidsinstantie uitmaakt. Verder is volgens haar haar kernactiviteit niet het opvolgen
van (aanstaande) moeders op regelmatige, systematische en grootschalige basis. De
verweerder beweert dat er geen bewijs is dat zij aan deze voorwaarden zou voldoen. In
elk geval heeft de verweerder in tussentijd een functionaris aangesteld.

187. De Geschillenkamer gaat niet in op de vraag in hoeverre de verweerder verplicht was
om een functionaris voor gegevensbescherming aan te stellen, mede gelet op het feit
dat inmiddels een functionaris voor gegevensbescherming is aangesteld en dat de kern
van de inbreuken in de onderhavige zaak los staat van de positie van de functionaris
voor gegevensbescherming. Ten algemene titel wijst de Geschillenkamer er wel op dat

Beslissing ten gronde 04/2021 - 44/49

zij groot belang hecht aan de naleving van de verplichtingen rond de functionaris voor
gegevensbescherming.

3. Inbreuken op de AVG en de verzoeken van de klager

188. De Geschillenkamer acht inbreuken op de volgende bepalingen door de verweerder
bewezen:

a. artikel 5, lid 1, a) AVG, gezien het gebrek aan transparante informatieverstrekking
waarbij een onjuiste perceptie gecreëerd wordt t.a.v. de betrokkenen, waaronder de
klager. Het initiatief van de geschenkpakketten wordt in de perceptie van betrokkenen
eerder gelinkt aan een vzw of een overheidsinitiatief waarbij het voor onder meer de
klager niet duidelijk is dat het een privé-onderneming betreft die bovendien als activiteit
het verhandelen van persoonsgegevens heeft. Er is een duidelijke wanverhouding
tussen de beloofde voordelen en die niet duidelijk toegelichte activiteit;
b. artikel 5, lid 1, c) j° artikel 25 AVG, gezien de verweerder niet de passende
technische en organisatorische maatregelen heeft getroffen om ervoor te zorgen dat
alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel
van de verwerking. De bewaartermijn van 18 jaar is disproportioneel t.a.v. de initiële
toestemming en redelijke verwachtingen van de klager en andere betrokkenen. De
oorspronkelijk aangeboden producten (voordelen) betreffen immers vooral
babyspullen.
c. artikel 6 AVG, in het bijzonder artikel 6, lid 1, punten a) en f) AVG, gezien er
geen sprake kan zijn van vrije, specifieke, geïnformeerde en ondubbelzinnige
toestemming van de klager (cfr. artikel 4, punt 11) AVG). De klager kende immers niet
alle parameters bij het geven van de toestemming waardoor de toestemming niet
geïnformeerd is gegeven. Daarnaast zijn de verdere verwerkingen van
persoonsgegevens die werden verzameld voor 25 mei 2018 niet noodzakelijk voor het
behartigen van de gerechtvaardigde belangen van de verweerder – ook wegen die
gerechtvaardigde belangen niet zwaarden dan de belangen, grondrechten en
fundamentele vrijheden van de betrokkenen;
d. artikel 7, lid 3 AVG, gezien de toestemming ten tijde van de klacht niet even makkelijk
kon worden ingetrokken dan dat ze kon worden gegeven;
e. artikel 13 AVG, gezien de gebrekkige, niet transparante informatieverstrekking.
f. artikel 24 AVG, gezien de verweerder rekening houdend met de aard, omvang,
context en doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst
uiteenlopende risico’s voor de rechten en vrijheden van betrokkenen geen passende
technische en organisatorische maatregelen heeft getroffen.

Beslissing ten gronde 04/2021 - 45/49

g. artikel 28, lid 3 AVG, gezien het gebrek aan verwerkersovereenkomst tussen de
verweerder en één van hun partners die ten tijde van de klacht invulkaarten bewaarde
voor de verweerder, wat een verwerking van persoonsgegevens uitmaakt zoals bedoeld
in artikel 4, lid 2 AVG.

189. De Geschillenkamer acht het passend te bevelen dat de verwerking in overeenstemming
wordt gebracht met de bepalingen van de AVG, in het bijzonder artikel 5, lid 1 AVG,
artikel 24 en artikel 28 AVG, één en ander op grond van artikel 58.2, d) AVG en artikel
100, §1, 9° WOG, binnen de zes maanden na de kennisgeving van deze beslissing en de
Geschillenkamer hierover binnen dezelfde termijn te informeren. Deze relatief lange
termijn wordt vastgesteld, in de wetenschap dat deze beslissing mogelijk een
aanzienlijke aanpassing van de bedrijfsvoering in hoofde van verweerder vereist.

190. Voorts acht de Geschillenkamer het passend om, naast deze corrigerende maatregel,
een administratieve geldboete op te leggen (artikel 83, lid 2 AVG; artikel 100, §1, 13°
WOG en artikel 101 WOG). De Geschillenkamer wijst erop dat een administratieve boete
in veel gevallen – waaronder het onderhavige geval – de passende maatregel is die in
voldoende mate doeltreffend, evenredig en afschrikwekkend zijn. De handhaving van
het Unierecht door de lidstaten moet aan deze eisen voldoen, ter uitvoering van de
verplichting tot loyale samenwerking (artikel 4, lid 3, van het EU Verdrag). Deze eisen
gelden dus niet alleen bij het opleggen van een boete overeenkomstig artikel 83, lid 1
AVG, maar ook bij de keuze tussen de verschillende typen sancties die zijn voorzien in
artikel 58, lid 2 AVG en artikel 100 WOG. Waar de Geschillenkamer het gepast acht om
een handeling die reeds heeft plaatsgevonden te sanctioneren, bieden de AVG en de
WOG slechts zeer beperkte alternatieven, die in veel gevallen bovendien nog
onvoldoende doeltreffend, evenredig en afschrikwekkend zijn.

191. Rekening houdend met artikel 83 AVG en de rechtspraak37 van het Marktenhof,
motiveert de Geschillenkamer het opleggen van een administratieve boete in concreto:

a. De ernst van de inbreuk:

Inbreuken op artikel 5, 6 en 7 AVG geven aanleiding tot de hoogste geldboeten in
artikel 83, lid 5 AVG.

Uit de gecombineerde inbreuken van artikel 13, 24, 25 en 28 AVG, blijkt dat de
verwerkingsverantwoordelijke nagelaten heeft haar verwerkingen in overeenstemming

37
Hof van Beroep Brussel (sectie Marktenhof), X t. GBA, Arrest 2020/1471 van 19 februari 2020.

Beslissing ten gronde 04/2021 - 46/49

te brengen met de wetgeving inzake persoonsgegevensbescherming, hoewel de
verwerking van die persoonsgegevens tot de kern van haar bedrijfsactiviteiten hoort.

Uit alle elementen van het dossier blijkt dat er onvoldoende rekening werd gehouden
met de verwachtingen van de burger en de implicaties voor de
persoonsgegevensbescherming.

b. De duur van de inbreuk:

De verweerder oefent al een zeer groot aantal jaren haar activiteiten uit en is er
gedurende al die jaren niet in geslaagd haar businessmodel aan te passen aan de
wetgeving betreffende persoonsgegevensbescherming, wat nochtans raakt aan de kern
van haar activiteiten.

c. De omvang van de inbreuk:

Het aantal geaffecteerde betrokkenen is van aanzienlijke omvang. Het betreft volgens
de vaststellingen van de Inspectiedienst op het moment van haar onderzoek immers
persoonsgegevens afkomstig van 21,10% van de Belgische populatie, en in elk geval
een aanzienlijk aantal betrokkenen.

De Geschillenkamer heeft kennis genomen van hetgeen door de verweerder
hieromtrent wordt tegengeworpen in haar reactie op het boeteformulier ( supra,
paragrafen 101 en 102). Vooreerst stelde de Geschillenkamer al vast dat de gegevens
van minderjarige kinderen die door de verweerder louter als persoonsgegeven van de
ouder (“kenmerk van de moeder”) worden beschouwd, ook aan de kinderen als
betrokkenen dienen te worden toegeschreven. Het gaat wel degelijk ook om
persoonsgegevensverwerkingen van die kinderen.

Vervolgens stelt de Geschillenkamer vast dat de verweerder zelf niet het correcte aantal
betrokkenen van wie zij persoonsgegevens verwerkt kan aanduiden (“ ruim onder
1.000.000”), hetgeen op zich al opvallend is, in het licht van de technische en
organisatorische maatregelen die de verweerder moet nemen om ervoor te zorgen dat
de persoonsgegevens voldoen aan de beginselen inzake de verwerking van
persoonsgegevens, waaronder de juistheid van persoonsgegevens, de verplichting
inzake opslagbeperking en de minimale gegevensverwerkingsplicht.

Beslissing ten gronde 04/2021 - 47/49

De Geschillenkamer beschouwt de schatting van de Inspectiedienst als de meest
betrouwbare en stelt vast dat de verweerder geen bijkomende elementen aandraagt
die dit cijfer als schatting kunnen tegenspreken.

d. De nodige afschrikwekkende werking om verdere inbreuken te voorkomen:

Uit dit dossier blijkt dat onvoldoende rekening wordt gehouden met de
persoonsgegevensbescherming van betrokkenen wat eigenlijk centraal zou moeten
staan gezien het businessmodel van de verweerder. Het verwerken van
persoonsgegevens maakt immers een kernactiviteit uit van de verweerder. Sterker nog,
de verweerder verhandelt deze persoonsgegevens met derde partners. Het is dus van
cruciaal belang dat dergelijke databrokers/ondernemingen conform de bepalingen van
de AVG functioneren.

De feiten, omstandigheden en vastgestelde inbreuken nopen daarom tot een boete die
tegemoetkomt aan de nood om een voldoende afschrikwekkende werking (‘effet
dissuasif’) te hebben, waarbij de verweerder voldoende sterk worden gesanctioneerd,
opdat praktijken met dergelijke inbreuken niet zouden worden herhaald, en opdat de
verweerder voortaan meer aandacht zou besteden aan persoonsgegevensbescherming.

192. De Geschillenkamer wijst erop dat de andere criteria van art. 83.2. AVG in dit geval niet
van aard zijn dat zij leiden tot een andere administratieve geldboete dan die welke de
Geschillenkamer in het kader van deze beslissing heeft vastgesteld.

193. De Geschillenkamer neemt akte van wat de verweerder in de reactie op het
boeteformulier kenbaar maakt, en houdt meer bepaald rekening met de economisch
precaire omstandigheden voor de onderneming, en de mogelijke impact van een hoge
administratieve geldsanctie op de onderneming en haar personeelsleden. De
Geschillenkamer benadrukt echter dat economisch gezond ondernemen nooit ten koste
mag gaan van grondrechten van burgers, zoals vervat in artikel 8 Handvest van de
Europese Unie en zoals gespecifieerd in de AVG. Het is ook aan de verweerder als
verwerkingsverantwoordelijke om haar verantwoordelijkheid te nemen om te zorgen dat
zij voldoende technische en organisatorische maatregelen neemt om te zorgen dat haar
verwerkingen in overeenstemming met de AVG verlopen, hetgeen in casu niet het geval
is, waaruit de nalatigheid van de verweerder blijkt.

Beslissing ten gronde 04/2021 - 48/49

194. De Geschillenkamer meent dat in enkele sectoren van de economie er reden is om,
gezien de uitzonderlijke omstandigheden van de COVID-19 gezondheidscrisis, een
administratieve geldsanctie in bepaalde mate te verlagen, zonder dat dit afbreuk doet
aan de nodige afschrikwekkende werking van de boete. Voor de activiteiten van
verweerder, waarbij de opbrengsten vooral gerelateerd zijn aan het verhandelen van
persoonsgegevens, bestaat hier echter geen specifieke reden toe. Gelet op het
bovenstaande verlaagt de Geschillenkamer de in het boeteformulier voorgestelde hoogte
van de boete niet en stelt de boete vast op 50.000 Euro.

4 Het publiceren van de onderhavige beslissing

195. Het is in het algemeen belang de voorliggende beslissing kenbaar te maken aan het
publiek, gezien de aard van de inbreuken, en het groot aantal betrokkenen in de
Belgische samenleving.

196. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing overeenkomstig artikel 100, §1, 16° WOG
gepubliceerd op de website van de Gegevensbeschermingsautoriteit met vermelding van
de identificatiegegevens van de verweerder, en dit omwille van de specificiteit van de
activiteiten van de verweerder en hun algemene bekendheid, die een zinvolle weglating
van de identificatiegegevens niet goed mogelijk maken, alsmede van het algemeen
belang van onderhavige beslissing, maar met weglating van de identificatiegegevens van
de klager, gezien die identificatiegegevens niet noodzakelijk en relevant zijn bij de
publicatie van de beslissing. De identificatiegegevens van partners van verweerder
worden ook weggelaten.

Beslissing ten gronde 04/2021 - 49/49

OM DEZE REDENEN,

beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om de
verweerder:

- op grond van artikel 58.2, d) AVG en artikel 100, §1, 9° WOG, te bevelen de
verwerking in overeenstemming te brengen met de bepalingen van de AVG, in het
bijzonder artikel 5, lid 1 AVG, artikel 24 en artikel 28 AVG, binnen de zes maanden
na de kennisgeving van deze beslissing en de Geschillenkamer hierover binnen
dezelfde termijn te informeren.
- op grond van artikel 83 AVG en artikelen 100, 13° en 101 WOG een
administratieve geldboete van 50.000 EUR op te leggen aan verweerder wegens
schending van artikelen 5, 6, 7, 13, 24, 25 en 28 AVG.

Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.

(get.) Hielke Hijmans

Voorzitter van de Geschillenkamer

Publicatie dd. 27/04/2021