1/25
s
Geschillenkamer
Beslissing ten gronde 07/2021 van 29 januari 2021
Dossiernummer : DOS-2019-06201
Betreft : Verstrekking van persoonlijke informatie aan derden zonder toestemming van
de betrokkene
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter en de heren Christophe Boeraeve en Jelle Stassijns, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna
WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
.
.
.
Beslissing ten gronde 07 /2021 - 2/25
heeft de volgende beslissing genomen inzake:
- Mevrouw X, hierna “de klager”
- Y1 , hierna “verweerder 1”
- De heer Y2 , hierna “verweerder 2”
1. Feiten en procedure
1. Op 11 december 2019 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit, hierna
GBA, tegen de verweerders.
Het voorwerp van de klacht betreft:
- de weigering door verweerder 1 om de klager inzage te verstrekken in persoonsgegevens.
- de verzending door mevrouw Z , vennoot bij verweerder 1, van een e-mail met 32 bijlagen, deels
betreffende de vennootschap X bv waarvan de klager 100% aandeelhouder is waardoor deze
informatie inzage zou geven in de persoonlijke activiteiten, financiën en persoonsgegevens van
de klager, aan verweerder 2, de vroegere associé van de klager. Deze informatie zou zijn verstrekt
zonder toestemming van de klager.
Bovendien zou de betreffende e-mail met daarin vervat de informatie betreffende X bv, door
verweerder 2 zijn doorgestuurd aan diens raadsman die vervolgens op zijn beurt de e-mail zou
hebben doorgestuurd aan de raadsman van de klager.
2. Op 7 januari 2020 wordt de klacht ontvankelijk verklaard op grond van de artikelen 58 en 60 van
de WOG, en wordt de klacht op grond van art. 62, §1 WOG overgemaakt aan de Geschillenkamer.
3. Op 29 januari 2020 stelt de Geschillenkamer de klager ervan in kennis dat op grond van artikel
95, § 1, 3° WOG werd beslist om de klacht te seponeren omwille van opportuniteitsredenen. De
beslissing vermeldt dat de klacht geen grieven bevat die een ruime maatschappelijke impact
hebben, alsook dat met betrekking tot de deontologische en professionele fouten die werden
begaan door mevrouw Z een klacht hangende is bij de bevoegde instantie en de Geschillenkamer
een eventueel dubbel onderzoek wenst te vermijden.
4. Op 5 maart 2020 ontvangt de Geschillenkamer vanwege het Hof van beroep te Brussel de
kennisgeving van een verzoekschrift van klager tegen de GBA, neergelegd ter griffie van het Hof.
Beslissing ten gronde 07 /2021 - 3/25
5. Op 30 april 2020 meldt de griffie van het Hof van beroep te Brussel aan de Geschillenkamer dat
de inleiding van de zaak oorspronkelijk vastgesteld tijdens de periode maart-april 2020, werd
geannuleerd en een nieuwe inleidingsdatum werd voorzien op 6 mei 2020.
6. Bij beschikking d.d. 6 mei 2020 legt het Marktenhof de conclusiekalender vast. Daarin stelt het
Hof ook vast dat de raadslieden zich schriftelijk akkoord verklaren met een schriftelijke in beraad
name, dewelke zal plaatsvinden op 7 augustus 2020 met uitspraak van het arrest ter openbare
terechtzitting van 2 september 2020.
7. Op 2 september 2020 velt het Marktenhof arrest.
Het arrest1 bevat in hoofdlijnen de volgende aandachtspunten aangaande de beoordeling van het
voorwerp van het verzoekschrift:
Vernietiging van de sepotbeslissing van de Geschillenkamer bij gebrek aan afdoende
motivering
Het inwilligen door het Hof van de door de klager gevorderde maatregel, nl. te beslissen dat
het dossier gereed is voor behandeling ten gronde in de zin van artikel 95, §1, 1° WOG en de
Gegevensbeschermingsautoriteit te veroordelen om het dossier ten gronde te behandelen in
de zin van artikel 98 WOG.
Het Marktenhof doet niet alleen de beslissing van de Geschillenkamer van 28 januari 2020 teniet,
maar beveelt ook de Geschillenkamer om binnen de termijn van vijf maanden vanaf de
kennisgeving van het arrest een nieuwe beslissing te treffen aangaande de neergelegde klacht.
Aangezien het Marktenhof de aanspraken van de klager alsnog wenst te toetsen aan de
tegenspraak door de GBA vordert het Hof dat de GBA standpunt zou innemen omtrent de
vordering zoals gesteld door de klager.
Het Hof houdt de zaak aan teneinde te kunnen nagaan of de Geschillenkamer binnen de gestelde
termijn een nieuwe beslissing heeft genomen en teneinde de klager toe te laten alsnog aanspraak
te maken op de volle rechtsmacht van het Marktenhof mocht de Geschillenkamer geen nieuwe
beslissing hebben genomen. Het Hof stelt de zaak voor controle ter openbare terechtzitting van
24 februari 2021, waarbij het Hof preciseert dat het niet aan haar toekomt om de nieuwe beslissing
in het kader van het voorliggend geding op zijn merites te beoordelen.
1
Het arrest is beschikbaar op de website van de Gegevensbeschermingsautoriteit via volgende link:
https://www.gegevensbeschermingsautoriteit.be/publications/tussenarrest-van-02-september-2020-van-het-marktenhof.pdf
Beslissing ten gronde 07 /2021 - 4/25
8. In opvolging van het arrest beslist de Geschillenkamer op 8 september 2020 op grond van art. 95,
§1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde.
9. Op 8 september 2020 worden de betrokken partijen per aangetekende zending in kennis gesteld
van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in art. 98 WOG. Ook werden
de betrokken partijen op grond van art. 99 WOG in kennis gesteld van de termijnen om hun
verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord
van de verweerders werd daarbij vastgelegd op 20 oktober 2020, deze voor ontvangst van de
conclusie van repliek van de klager op 10 november 2020, met voor de verweerders de
mogelijkheid om een conclusie van repliek in te dienen tot 1 december 2020.
10. Op 19 oktober 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege verweerder
2. De verweermiddelen die worden aangevoerd, kunnen als volgt worden samengevat:
Aangaande de bevoegdheid van de GBA wordt geargumenteerd dat de Geschillenkamer op
basis van artikel 100, §1 WOG kan overgaan tot een seponering van de klacht. Voorts worden
argumenten geput uit het arrest van het Marktenhof om aan te tonen dat ook in de procedure
ten gronde de Geschillenkamer over sepotbevoegdheid beschikt. Dit brengt verweerder 2
ertoe om ten aanzien van de Geschillenkamer erop aan te dringen opnieuw een
sepotbeslissing te nemen na toetsing van de feitelijke elementen en de grondslag van de
klacht aan het strategisch plan en de interne seponeringsrichtlijnen van de GBA.
Er zou volgens verweerder 2 geen verwerking van persoonsgegevens zijn (artikel 2.1 AVG) bij
gebrek aan intentioneel element in hoofde van verweerder 2 om van de persoonsgegevens
gebruik te maken, aangezien hij enkel de bestemmeling was van de e-mail en slechts één
handeling heeft gesteld, namelijk het doorsturen van de e-mail aan zijn advocaat, waarna de
e-mail met bijlagen werd gewist.
Verweerder 2 stelt dat hij noch als verwerkingsverantwoordelijke, noch als verwerker kan
worden bestempeld. Hij stelt dat hij enkel voldoet aan de criteria van de AVG om als ontvanger
en derde, zoals gedefinieerd in artikel 4 AVG te worden beschouwd.
Het doorsturen van de e-mail aan zijn raadsman, vormt volgens verweerder 2 geen inbreuk
op de AVG. Daartoe verwijst hij naar artikel 237 van de Codex Deontologie voor de Advocaten
en Advies 1/2010 over de begrippen “voor de verwerking verantwoordelijke” en “verwerker”
van de Groep Gegevensbescherming artikel 29, goedgekeurd op 16 februari 20102, om te
stellen dat een rechtsonderhorige informatie mag bezorgen aan zijn/haar advocaat. Anders
oordelen, zou volgens verweerder 2 tot gevolg hebben dat er een verbod zou zijn op het
2
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_nl.pdf
Beslissing ten gronde 07 /2021 - 5/25
doorgeven van informatie aan een raadsman in zoverre die informatie betrekking heeft op
persoonsgegevens. Verweerder 2 voegt hieraan toe dat zijn raadsman er op zijn beurt
deontologisch toe was verplicht om de verkregen informatie over te maken aan de raadsman
van de klager.
Zelfs indien er een inbreuk zou worden vastgesteld, dan is verweerder 2 van oordeel dat hem
geen sanctie kan worden opgelegd, gelet op de concrete omstandigheden van de zaak.
Specifiek voor wat betreft de mogelijkheid tot het opleggen van een administratieve
geldboete, geeft verweerder 2 voor elk van de in artikel 83.2 AVG vermelde criteria aan in
welke mate deze al dan niet van toepassing zijn en dit brengt hem tot het besluit dat hem
geen boete kan worden opgelegd.
11. Op 20 oktober 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege verweerder
1. De verweermiddelen die worden aangevoerd, kunnen als volgt worden samengevat:
Aangaande de bevoegdheid van de GBA wordt opgeworpen dat ook in het kader van een
procedure ten gronde de Geschillenkamer kan overgaan tot seponering, hetwelk werd
bevestigd door het arrest van het Marktenhof d.d. 2 september 2020.
De verzending van de e-mail met verweerder 2 als één van de bestemmelingen betreft een
eenmalige menselijke vergissing waarbij onbedoeld bepaalde gegevens opgenomen in één
enkel e-mail werden verstuurd aan verweerder 2.
Verweerder 1 stelt te goeder trouw te hebben gehandeld door onmiddellijk het nodige te doen
om bij verweerder 2 de verwijdering van de e-mail te verkrijgen.
De rechten van verdediging zouden zijn geschonden doordat in de klacht geen rechtsregels
worden vermeld.
Verweerder 1 wijst op het feit dat zij steeds haar verplichtingen inzake privacy heeft nageleefd.
Verweerder 1 meent dat er geen inbreuk werd gepleegd en hem geen sanctie kan worden
opgelegd.
12. Op 10 november 2020 ontvangt de Geschillenkamer de conclusie van repliek vanwege de klager.
De klager voert aan dat verweerder 1 volgende schendingen zou hebben begaan:
- Schending van het recht van inzage (artikel 15 AVG)
- Schending van de rechtsgrondvereiste (artikel 6.1 AVG); het rechtmatigheids- transparantie-
en behoorlijkheidsbeginsel (art. 5.1 a) AVG); het doelbindingsbeginsel (artikel 5.1 b) AVG) en
het beginsel van minimale gegevensverwerking (artikel 5.1 c) AVG) en dit telkens zowel voor
wat betreft het vandaag nog steeds onder zich houden door verweerder 1, als voor wat betreft
het doorsturen via e-mail naar verweerder 2
- Schending van het integriteits- en vertrouwelijkheidsbeginsel (artikel 5.1 f) AVG en 32 AVG)
en van de plicht tot het melden van een datalek (artikel 33 AVG)
Beslissing ten gronde 07 /2021 - 6/25
Voor wat betreft verweerder 2 voert de klager volgende schendingen aan:
- Verweerder 2 is gezamenlijk verwerkingsverantwoordelijke voor de schendingen door
verweerder 1
- Schending van de rechtsgrondvereiste (artikel 6.1 AVG), het rechtmatigheids- en
transparantiebeginsel (artikel 5.1 a) AVG), alsook het doelbindingsbeginsel (artikel 5.1 b) AVG)
13. Op 28 november 2020 ontvangt de Geschillenkamer de conclusie van repliek vanwege verweerder
2. De conclusie van repliek herneemt volledig de op 19 oktober 2020 ingediende conclusie van
antwoord. De verweerder voegt daaraan nog volgende punten toe:
De klacht zou volgens verweerder 2 onontvankelijk moeten worden verklaard doordat de
klager in de conclusie van repliek voorhoudt dat ‘het gebruik door verweerder 2 van de e-mail
tegen de klager’ het probleem vormt en niet zozeer ‘het doorsturen door verweerder 2 van
die e-mail aan zijn raadsman’, zoals in de klacht geformuleerd. Aldus zou de klacht niet
voldoen aan de vereiste van artikel 60, lid 2 WOG waarin is opgenomen dat een klacht
ontvankelijk is wanneer deze een uiteenzetting van de feiten bevat, alsook de nodige indicaties
voor de identificatie van de verwerking waarop zij betrekking heeft. Aan deze vereiste zou
niet zijn voldaan.
Omtrent de stelling van de klager in de conclusie van repliek dat verweerder 1 enkel de
instructies van verweerder 2 volgt waardoor verweerder 2 het doel en de middelen zou
bepalen van de verwerking in de zin van artikel 4. 7) AVG, dit met verwijzing naar een
mondelinge verklaring van verweerder 1 dat verweerder 2 haar zou hebben opgedragen om
geen enkel document aan de klager te bezorgen zonder verweerder 2 daarvan op de hoogte
te stellen, reageert verweerder 2 dat hiervoor geen enkel bewijs wordt bijgebracht, zodat in
tegenstelling tot wat de klager voorhoudt, verweerder 1 en verweerder 2 niet als gezamenlijke
verwerkingsverantwoordelijken kunnen worden bestempeld.
Voor wat betreft de uiteenzetting van de klager in de conclusie van repliek aangaande het
gerechtvaardigd belang als rechtsgrond voor de verwerking, stelt verweerder 2 dat deze
rechtsgrond door hem niet wordt aangevoerd.
De vraag van de klager tot het opleggen van een dwangsom is onontvankelijk, minstens
ongegrond, want zonder voorwerp, aangezien de e-mail en bijlagen op eerste verzoek reeds
werden gewist.
14. Op 1 december 2020 ontvangt de Geschillenkamer de conclusie van repliek vanwege verweerder
1, dewelke de elementen van zijn conclusie van antwoord volledig herneemt en daaraan toevoegt
dat de uitbreiding van de argumenten van de klager via haar conclusie van antwoord ertoe leidt
dat de rechten van verdediging van verweerder 1 zouden zijn geschonden. Ook betwist
Beslissing ten gronde 07 /2021 - 7/25
verweerder 1, zowel in feite als in rechte, elk feit dat niet uitdrukkelijk wordt erkend in zijn
conclusie van repliek.
2. Rechtsgrond
Beginselen inzake verwerking van persoonsgegevens
Artikel 5.1 AVG
1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en
transparant is („rechtmatigheid, behoorlijkheid en transparantie”);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en
mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de
verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch
onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar
met de oorspronkelijke doeleinden beschouwd („doelbinding”);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor
zij worden verwerkt („minimale gegevensverwerking”);
[…]
f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier
worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd
zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of
beschadiging („integriteit en vertrouwelijkheid”).
Rechtmatigheid van de verwerking
Artikel 6.1. AVG
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande
voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor
een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene
partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te
nemen;
Beslissing ten gronde 07 /2021 - 8/25
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de
verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere
natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak
in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is
opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en
de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen,
zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea,
punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van
hun taken.
Recht van inzage
Artikel 15.1 AVG
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over
het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om
inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden
verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden
opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat
persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende
persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare
informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4,
bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica,
alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
Beslissing ten gronde 07 /2021 - 9/25
3. Motivering
A. Procedure
15. Deze zaak is het vervolg op het arrest van het Marktenhof d.d. 2 september 2020 in een zaak
tegen de Gegevensbeschermingsautoriteit (GBA), ingevolge het beroep ingesteld door de klager
tegen de beslissing van de Geschillenkamer om op grond van artikel 95, § 1, 3° WOG diens klacht
te seponeren.
16. Thans laten de verweerders in de procedure ten gronde die voor de Geschillenkamer wordt
gevoerd, gelden dat de Geschillenkamer nog steeds kan overgaan tot het seponeren van de klacht
en dat dit in voorliggend dossier passend zou zijn, evenwel na toetsing aan het strategisch plan
en de interne seponeringsrichtlijnen van de Geschillenkamer.
17. De klager echter meent dienaangaande te kunnen stellen dat de Geschillenkamer niet over de
mogelijkheid tot seponering beschikt en leidt dit af uit het betreffende arrest van het Marktenhof
waarin is opgenomen dat de door de klager gevorderde maatregel om te beslissen dat het dossier
gereed is voor behandeling ten gronde in de zin van artikel 95, 1° WOG en het dossier ten gronde
te behandelen in de zin van artikel 98 e.v. WOG. door het Marktenhof wordt ingewilligd.
18. De Geschillenkamer wenst omtrent dit punt duidelijkheid te verschaffen, zonder vooruit te lopen
op de beoordeling van de feiten die ten grondslag liggen aan de klacht en de eventuele inbreuken
op de AVG die daaruit zouden kunnen voortvloeien. Daartoe verwijst de Geschillenkamer naar
artikel 100 WOG3 waarin haar beslissingsbevoegdheid wordt bepaald in het kader van een
3
Art. 100. § 1. De geschillenkamer heeft de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de
gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
Beslissing ten gronde 07 /2021 - 10/25
procedure ten gronde. Deze bepaling voorziet uitdrukkelijk dat, naast tal van andere maatregelen,
de Geschillenkamer ook in de procedure ten gronde over de mogelijkheid beschikt om een klacht
te seponeren (artikel 100, §1, 1° WOG). De Geschillenkamer benadrukt dat het haar vrijstaat om
klachten ook in deze fase om technische redenen of om beleidsmatige redenen te seponeren,
overeenkomstig de voorwaarden in de rechtspraak van het Marktenhof. 4
19. Hierna zal de Geschillenkamer onderzoeken of er al dan niet sprake is van enige inbreuk op de
AVG en beoordelen welke sanctie desgevallend als passend moet worden beschouwd.
20. In tegenstelling tot wat de klager beweert, heeft het Marktenhof in haar arrest van 2 september
2020 geen restricties opgenomen aangaande de mogelijk te nemen sancties door de
Geschillenkamer en blijft dus ook de mogelijkheid om over te gaan tot seponering behouden. Het
arrest vermeldt uitdrukkelijk dat het de Geschillenkamer vrijstaat om een nieuwe beslissing te
nemen en dat dit wel degelijk een sepotbeslissing kan zijn. Het arrest 5 stelt immers dat indien de
nieuwe beslissing opnieuw een sepotbeslissing zou zijn, erover moet worden gewaakt dat deze
nieuwe beslissing deugdelijk is gemotiveerd.
B. Onderzoek van de klacht zoals geformuleerd ten aanzien van verweerder 1
a. Voorwerp van de klacht en rechten van verdediging
21. Verweerder 1 richt het verwijt aan de klager dat deze in de conclusie van repliek de klacht uitbreidt.
Doordat de klager deze argumentatie niet vervatte in de oorspronkelijke klacht, maar enkel in de
conclusie, meent verweerder 1 dat zijn rechten van verdediging zijn geschonden. Verweerder 1
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te
bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg
dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit.
§ 2. Wanneer na toepassing van § 1, 15°, het openbaar ministerie er van afziet een strafvervolging in te stellen, een minnelijke
schikking of een bemiddeling in strafzaken bedoeld in artikel 216ter van het Wetboek van strafvordering voor te stellen, of
wanneer het openbaar ministerie geen beslissing heeft genomen binnen een termijn van zes maanden te rekenen van de dag
van ontvangst van het dossier, beslist de Gegevensbeschermingsautoriteit of de administratieve procedure moet worden
hernomen.
4
Arrest van het Marktenhof d.d. 2 september 2020, 9.4.
5
Het arrest van het Marktenhof d.d. 2 september 2020 stelt in 9.11. “Is de sepotbeslissing – zoals te dezen – niet deugdelijk
gemotiveerd, dan wordt zij vernietigd. Het staat de Geschillenkamer in dat geval vrij om een nieuwe beslissing te nemen en
indien dat opnieuw een sepotbeslissing zou zijn, om erover te waken dat deze nieuwe beslissing ditmaal deugdelijk gemotiveerd
is.”
Beslissing ten gronde 07 /2021 - 11/25
voegt daaraan toe dat in de klacht geen rechtsregels worden ingeroepen, waardoor zijn rechten
van verdediging eveneens zouden zijn geschonden.
22. De Geschillenkamer stelt vast dat de klacht zoals deze ten aanzien van verweerder 1 wordt
geformuleerd, twee elementen bevat:
- de weigering door verweerder 1 om de klager inzage te verstrekken in persoonlijke
informatiegegevens
- de verzending door verweerder 1, van een e-mail met 32 bijlagen betreffende de klager waardoor
deze informatie inzage zou geven in de persoonlijke activiteiten, financiën en persoonsgegevens
van de klager, aan verweerder 2, de vroegere associé van de klager. Deze informatie zou zijn
verstrekt zonder toestemming van de klager.
23. De Geschillenkamer is van oordeel dat de conclusie van repliek van de klager deze beide
elementen herneemt en de klager precies doet wat verweerder 1 opwerpt in zijn conclusie van
antwoord waarin hij stelt dat de klager haar klacht verder dient uiteen te zetten, met vermelding
van de ingeroepen rechtsregels, teneinde verweerder 1 in de mogelijkheid te stellen om op
gepaste wijze nader te kunnen concluderen.
24. Hoewel verweerder 1 aldus in de gelegenheid was om hierop te reageren in zijn conclusie van
repliek en zijn rechten van verdediging ten volle uit te oefenen, beperkt verweerder 1 zich ertoe
om enkel te stellen dat het discours in rechte en in feite vervat in de conclusie van repliek van de
klager is betwist en dit zowel in feite als in rechte, en de klager duidelijkheid dient te verschaffen
waarop zij haar beweringen poogt te staven.
25. De Geschillenkamer benadrukt dat een onpartijdige en eerlijke behandeling over het volledige
traject moet worden verzekerd. De rechten van verdediging van verweerder 1 zijn niet
geschonden, want hij heeft de kans gekregen om zijn argumentatie volledig naar voor te brengen
door middel van zijn conclusies, minstens door middel van zijn conclusie van repliek.
26. Voor wat betreft het verweer ten aanzien van de klager, namelijk dat deze duidelijkheid dient te
verschaffen over de bewijsmiddelen waarop haar beweringen rusten, wijst de Geschillenkamer er
nogmaals op dat het indienen van een klacht voor de betrokkenen wiens persoonsgegevens
verwerkt worden, ongecompliceerd dient te zijn.6 Meer in het bijzonder merkt de Geschillenkamer
op dat het aan elk van de partijen toekomt om voor de beweerde inbreuken of tot weerlegging
daarvan het nodige bewijs bij te brengen. De klager hoeft dit bewijs niet in de klacht zelf over te
6
Zie meer uitgebreid Beslissing ten gronde 05/2021 van 22 januari 2021, 11.
Beslissing ten gronde 07 /2021 - 12/25
leggen. Het komt aan de Geschillenkamer toe om te beoordelen welke beweerde schendingen zij
voldoende bewezen acht om als inbreuk op de AVG te weerhouden. De Geschillenkamer heeft
daarbij een aanzienlijke beleidsvrijheid om de omvang van de procedure te bepalen.7 Het
ontbreken van stavingsstukken voor bepaalde beweringen kan door de tegenpartij niet worden
ingeroepen als een schending van zijn recht van verdediging.
b. Rechtmatigheid van de verwerking
27. De klager voert aan dat enige rechtsgrond voor de verwerking van de persoonsgegevens van de
klager door verweerder 1 volledig ontbreekt zowel voor wat betreft het nog steeds onder zich
houden van de boekhouding van de klager, als voor de verwerking van persoonsgegevens die
bestaat uit het doorsturen van de e-mail met bijlagen aan verweerder 2.
28. Vooreerst wijst de Geschillenkamer erop dat voor wat betreft het nog steeds onder zich houden
van de boekhouding van de klager, zij op basis van de elementen waarover zij beschikt niet kan
beoordelen in welke mate de stukken betreffende de boekhouding van de klager die in het bezit
zijn van verweerder 1 nog vereist zouden zijn in het kader van het bestaande geschil tussen
verweerder 1 en verweerder 2. De Geschillenkamer onderzoekt hierna enkel in welke mate het
doorsturen van de e-mail met bijlagen aan verweerder 2 als rechtmatig kan worden beschouwd.
29. Verweerder 1 erkent dat de e-mail inderdaad aan verweerder 2 was gericht als één van de
bestemmelingen, maar dat dit het gevolg was van een eenmalige menselijke vergissing waarbij
onbedoeld persoonsgegevens betreffende de klager aan verweerder 2 werden verzonden. Hij licht
toe dat aan de basis van deze vergissing het feit ligt dat gedurende vele jaren e-mails werden
verstuurd aan zowel de klager als verweerder 2 in het kader van de notarisassociatie tussen
beiden. Hij preciseert hierbij dat de e-mail die het voorwerp uitmaakt van de klacht zowel bijlagen
bevatte die betrekking hebben op de notarisassociatie, als bijlagen die betrekking hebben op de
persoonlijke vennootschap van de klager. Verweerder 1 stelt dat dergelijke onbedoelde, niet
intentionele handeling, geen aanleiding kan geven tot een inbreuk op de AVG.
30. De Geschillenkamer vestigt er de aandacht op dat de al dan niet aanwezigheid van een intentie
geen criterium vormt voor de verwerking van persoonsgegevens in de zin van artikel 4. 2) AVG8.
7
Zie onder meer Beslissing ten gronde 05/2021 van 22 januari 2021, 10-13.
8
Art. 4. AVG
Voor de toepassing van deze verordening wordt verstaan onder:
[…]
Beslissing ten gronde 07 /2021 - 13/25
Ook al was het niet de bedoeling van verweerder 1 om de e-mail te verzenden aan verweerder 2,
is het enkele feit dat de e-mail wel degelijk werd verzonden aan verweerder 2 voldoende om deze
verzending als verwerking te bestempelen.
31. De verzending door verweerder 1 aan verweerder 2, van een e-mail met 32 bijlagen betreffende
de klager waardoor deze informatie inzage zou geven in de persoonlijke activiteiten, financiën en
persoonsgegevens van de klager, vormt een verwerking waarvan de rechtmatigheid dient te
worden nagegaan.
32. Overeenkomstig artikel 5.1. b) AVG kan de verwerking van persoonsgegevens voor andere
doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel worden
toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens
aanvankelijk zijn verzameld. Rekening houdend met de criteria opgenomen in artikel 6.4. AVG en
overweging 50 AVG9 dient aldus te worden nagegaan of de verdere verwerking, in casu het
doorzenden van de e-mail met bijlagen aan verweerder 2, al dan niet verenigbaar is met de initiële
verwerking bestaande uit het voeren van de boekhouding van de vennootschap van de klager
door verweerder 1. Bij de beoordeling daarvan spelen de redelijke verwachtingen van de
betrokkene een belangrijke rol. De Geschillenkamer komt tot het besluit dat de klager beroep
heeft gedaan op de diensten van verweerder 1 uitsluitend met het oog op de boekhouding van
haar vennootschap en er zich geenszins redelijkerwijs aan kon verwachten dat verweerder 1 die
gegevens zou delen met verweerder 2.
33. Dit leidt tot de vaststelling dat er geen sprake is van een verenigbare verdere verwerking, zodat
er een afzonderlijke rechtsgrond is vereist opdat de mededeling van de persoonsgegevens van de
klager aan verweerder 2 als rechtmatig zou kunnen worden bestempeld.
34. Een verwerking van persoonsgegevens, waaronder dus ook een onverenigbare verdere verwerking
zoals in voorliggend geval, is immers slechts rechtmatig indien daartoe een rechtsgrond bestaat.
Voor onverenigbare verdere verwerkingen dient te worden teruggevallen op artikel 6.1. AVG en
2) „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van
persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen,
structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending,
verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van
gegevens;
9
Overweging 50 AVG: […] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de
persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake
rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling
tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld;
met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke
betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere
verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere
verwerkingen.
Beslissing ten gronde 07 /2021 - 14/25
overweging 50 AVG. In overweging 50 AVG10 is opgenomen dat een afzonderlijke rechtsgrond is
vereist voor de verwerking van persoonsgegevens voor andere doeleinden die niet verenigbaar
zijn met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Die
afzonderlijke rechtsgronden op basis waarvan een verwerking, met inbegrip dus van
onverenigbare verdere verwerkingen, als rechtmatig kan worden beschouwd, zijn bepaald in
artikel 6.1. AVG.
35. De Geschillenkamer onderzoekt daartoe in hoeverre de rechtsgronden als bepaald in artikel 6.1.
AVG kunnen worden ingeroepen door verweerder 1 teneinde de verdere verwerking van de
persoonsgegevens die betrekking hebben op de klager te rechtvaardigen.
36. Verweerder 1 maakt zelf geen melding van enige rechtsgrond dewelke hem zou toelaten over te
gaan tot de gegevensverwerking die het voorwerp uitmaakt van de klacht, zijnde de doorzending
van de e-mail aan verweerder 2. Daarenboven geeft verweerder 1 uitdrukkelijk toe dat deze
doorzending een vergissing betrof en het geenszins de bedoeling was om de e-mail ook aan
verweerder 2 te sturen. Verweerder 1 argumenteert dus niet dat deze doorzending mocht
plaatsvinden en tracht deze dus ook niet te rechtvaardigen door zich te beroepen op enige
rechtsgrond.
37. Op basis van de feitelijke elementen in het dossier aanwezig gaat de Geschillenkamer ambtshalve
na of er desgevallend een rechtsgrond kan worden ingeroepen die verweerder 1 zou toelaten over
te gaan tot de verzending van de e-mail aan verweerder 2. Daartoe onderzoekt de Geschillenkamer
of de verzending van de e-mail met persoonsgegevens van de klager kan worden gebaseerd op
enig gerechtvaardigd belang in hoofde van verweerder 1 (artikel 6.1. f) AVG).
38. De overige rechtsgronden opgenomen in artikel 6.1. onder a), b), c), d) en e) AVG zijn in
voorliggend geval niet van toepassing.
39. Overeenkomstig artikel 6.1 f) AVG en de rechtspraak van het Hof van Justitie van de Europese
Unie (hierna “het Hof”) dient aan drie cumulatieve voorwaarden te zijn voldaan opdat een
verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op deze rechtmatigheidsgrond, “te
weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de
verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in de
tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van
10
Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens
aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor
de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op
grond waarvan de verzameling van persoonsgegevens werd toegestaan. […]
Beslissing ten gronde 07 /2021 - 15/25
het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de fundamentele rechten
en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren” (arrest
“Rigas” ).
40. Teneinde zich conform artikel 6.1 f) AVG te kunnen beroepen op de rechtmatigheidsgrond van het
“gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te
tonen dat:
de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen
worden erkend (de “doeltoets”);
de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen
(de “noodzakelijkheidstoets”); en
de afweging van deze belangen ten opzichte van de belangen, fundamentele
vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijke (de “afwegingstoets”).
41. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het doeleinde dat erin bestaat om tegelijkertijd alle betrokken partijen te bereiken
door middel van verzending van één enkele e-mail met bijlagen die alle betrokken partijen
aanbelangen, moet worden beschouwd als uitgevoerd met oog op een gerechtvaardigd belang.
Het belang dat verweerder 1 als verwerkingsverantwoordelijke nastreefde kan overeenkomstig
overweging 47 AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan
aan de eerste voorwaarde vervat in artikel 6.1, f) AVG.
42. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer
bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan
worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende
verwerking voor de betrokkenen.
43. Uitgaande van het doeleinde, zijnde het bereiken van alle betrokken partijen door middel van
verzending van één enkele e-mail met bijlagen die alle betrokken partijen aanbelangen, dient de
Geschillenkamer vast te stellen dat de e-mail zowel bijlagen bevatte die betrekking hebben op de
notarisassociatie tussen de klager en verweerder 2 alsook bijlagen die betrekking hadden op de
persoonlijke vennootschap van de klager. Teneinde vermenging van beide soorten bijlagen te
vermijden, had verweerder 1 ermee kunnen volstaan een e-mail te verzenden aan de klager en
verweerder 2 met de bijlagen die betrekking hebben op de notarisassociatie tussen de klager en
verweerder 2 en een afzonderlijke e-mail enkel gericht aan de klager met de bijlagen die
betrekking hadden op haar persoonlijke vennootschap. Aan de tweede voorwaarde is aldus niet
Beslissing ten gronde 07 /2021 - 16/25
voldaan doordat het beginsel van minimale gegevensverwerking (artikel 5.1. c) AVG) niet werd
nageleefd.
44. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden” .
45. Dit wordt eveneens benadrukt door het Hof in zijn arrest “TK t/ Asociaţia de Proprietari bloc M5A-
ScaraA” van 11 december 2019 , waarin het stelt:
“Ook relevant voor deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn of
haar persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven omstandigheden van
het geval, de betrokkene redelijkerwijs geen verdere verwerking van de gegevens kan
verwachten”.
46. De Geschillenkamer kan omtrent deze derde voorwaarde enkel vaststellen dat de klager zich op
geen enkel moment kon verwachten aan het delen van de bijlagen die betrekking hebben op haar
persoonlijke vennootschap met verweerder 2.
47. De Geschillenkamer is van oordeel dat het geheel van de uiteengezette elementen aantoont dat
verweerder 1 zich op geen enkele rechtsgrond kan beroepen waaruit de rechtmatigheid blijkt van
de gegevensverwerking zoals deze door hem werd opgezet. Bovendien betwist verweerder 1 de
feiten niet en stelt zelf dat in de betreffende e-mail die het voorwerp uitmaakt van de klacht het
mailadres van verweerder 2 in het veld “CC” werd geplaatst11, hoewel dit niet intentioneel
gebeurde. Hierdoor geeft hij aan dat hij een inbreuk heeft gepleegd op de verwerking van de
persoonsgegevens van de klager. De Geschillenkamer besluit aldus dat de inbreuk op artikel
5.1 b) juncto artikel 6.4. AVG, op artikel 5.1 a) juncto artikel 6.1. AVG en op artikel
5.1 c) AVG is bewezen.
48. De klager werpt ook op dat verweerder 1 de beginselen van transparantie (artikel 5.1 a) AVG,
artikel 12 en 13 AVG) en behoorlijkheid (artikel 5.1 a) AVG) zou hebben miskend. Dienaangaande
11
Zie in dezelfde zin: Beslissing ten gronde 03/2021 van 13 januari 2021
Beslissing ten gronde 07 /2021 - 17/25
is de Geschillenkamer van oordeel dat gelet op het feit dat de doorzending een vergissing betrof
en het geenszins de bedoeling was om de e-mail ook aan verweerder 2 te sturen, verweerder 2
niet had voorzien dat dergelijke doorzending zou gebeuren. Dit vloeit voort uit de aard zelf van
een vergissing. Bij gebrek aan enige intentie om de e-mail te verzenden aan verweerder 2, heeft
verweerder 1 ook niet voldaan aan de beginselen van transparantie en behoorlijkheid die vereisen
dat bepaalde mededelingen voorafgaand aan de doorzending door verweerder 1 aan verweerder
2 hadden moeten gebeuren. De inbreuk op deze beginselen beïnvloedt echter op generlei wijze
de sanctie die bij deze beslissing wordt opgelegd, gelet op het feit dat een vergissing aan de basis
lag van de gegevensverwerking.
49. Rekening houdend met het feit dat verweerder 1 stelt dat meteen het nodige werd gedaan om
van verweerder 2 de verwijdering van de e-mail te verkrijgen en de raadsman van de klager werd
geïnformeerd over de bevestiging van deze verwijdering door verweerder 2, hetwelk aantoont dat
verweerder 1 te goeder trouw handelde, alsmede het feit dat de inbreuk slechts voor een eerste
keer werd begaan, is de Geschillenkamer van oordeel dat het passend is om ten aanzien van
verweerder 1 een berisping te formuleren. Gelet op deze omstandigheden ziet de Geschillenkamer
af van het opleggen van een administratieve geldboete.
c. Recht van inzage
50. De klager voert aan dat verweerder 1 weigert om haar inzage te verlenen en kopie te bezorgen
van de volledige boekhouding van haar eenmansvennootschap. Verweerder 1 neemt hieromtrent
concreet geen standpunt in in zijn conclusies, maar geeft enkel aan dat hij elk feit dat niet
uitdrukkelijk wordt erkend in zijn conclusies, door hem wordt betwist.
51. De Geschillenkamer stelt vast dat de klager geen enkel stuk bijbrengt waaruit de weigering door
verweerder 1 tot het verlenen van inzage in de volledige boekhouding van haar
eenmansvennootschap blijkt. Bijgevolg kan de Geschillenkamer niet overgaan tot het vaststellen
van enige inbreuk door verweerder 1 op het recht van inzage van de klager (artikel 15 AVG).
d. Beveiliging van de verwerking en gegevenslek
52. De klager stelt dat verweerder 1, in toepassing van artikel 33 AVG, aan de
Gegevensbeschermingsautoriteit had moeten melden dat het doorsturen van de
persoonsgegevens van de klager aan verweerder 2, een inbreuk in verband met
persoonsgegevens betrof.
Beslissing ten gronde 07 /2021 - 18/25
53. De Geschillenkamer licht toe dat artikel 33 AVG betrekking heeft op inbreuken aangaande de
beveiliging van persoonsgegevens zoals omschreven in artikel 32 AVG. Overweging 83 AVG12
bepaalt dat de verwerkingsverantwoordelijke passende technische en organisatorische
maatregelen moet nemen teneinde de gegevensbeveiligingsrisico’s te beperken.
54. De Geschillenkamer oordeelt dat de toegang die verweerder 2 heeft gekregen tot de
persoonsgegevens van de klager geen verband houdt met onvoldoende technische en
organisatorische maatregelen die verweerder 1 zou hebben genomen om de persoonsgegevens
van de klager te beschermen tegen beveiligingsrisico’s. De e-mail werd door verweerder 1 gericht
aan zowel de klager als verweerder 2. Het feit dat de e-mail verweerder 2 heeft bereikt, kan niet
in verband worden gebracht met een probleem inzake beveiliging van de persoonsgegevens die
worden verwerkt door verweerder 1. De Geschillenkamer is van oordeel dat geen enkele
beveiligingsmaatregel van aard kan zijn om volledig uit te sluiten dat door een menselijke fout een
e-mail aan een niet-bedoelde bestemmeling wordt verzonden. Er kan aldus niet besloten worden
dat verweerder 1 door de verzending van de e-mail aan verweerder 2 onvoldoende maatregelen
zou hebben genomen om de persoonsgegevens van de klager te beschermen tegen
beveiligingsrisico’s, zodat er geen inbreuk op artikel 32 en 33 AVG kan worden vastgesteld.
C. Onderzoek van de klacht zoals geformuleerd ten aanzien van verweerder 2
a. Verwerking en verwerkingsverantwoordelijke
55. Verweerder 2 betwist dat er sprake zou zijn van enige verwerking van persoonsgegevens in zijnen
hoofde, in de zin van artikel 2.1. AVG. Hij argumenteert dat vermits hij louter in zijn hoedanigheid
van bestemmeling van de betreffende e-mail, er geen sprake kan zijn van enige verwerking bij
gebrek aan enig initiatief daartoe in zijnen hoofde. Verweerder 2 meent te kunnen stellen dat een
verwerking een intentioneel element inhoudt om van persoonsgegevens gebruik te kunnen maken.
12
Overweging 83 AVG: Teneinde de veiligheid te waarborgen en te voorkomen dat de verwerking inbreuk maakt op deze
verordening, dient de verwerkingsverantwoordelijke of de verwerker de aan de verwerking inherente risico's te beoordelen en
maatregelen, zoals versleuteling, te treffen om die risico's te beperken. Die maatregelen dienen een passend niveau van
beveiliging, met inbegrip van vertrouwelijkheid, te waarborgen, rekening houdend met de stand van de techniek en de
uitvoeringskosten afgezet tegen de risico's en de aard van de te beschermen persoonsgegevens. Bij de beoordeling van de
gegevensbeveiligingsrisico's dient aandacht te worden besteed aan risico's die zich voordoen bij persoonsgegevensverwerking,
zoals de vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot de
doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig, hetgeen met name tot
lichamelijke, materiële of immateriële schade kan leiden.
Beslissing ten gronde 07 /2021 - 19/25
56. Aangaande de notie ‘verwerking’ merkt de Geschillenkamer op dat dit begrip wordt gedefinieerd
in artikel 4. 2) AVG13, en duidelijk wordt afgebakend. Het enkel en alleen ontvangen van
persoonsgegevens vormt weliswaar geen verwerking in de zin van artikel 4. 2) AVG. Daarentegen,
moet het raadplegen ervan, alsook het doorzenden van de e-mail met de bijhorende bijlagen die
persoonsgegevens bevatten, wel degelijk als een verwerking in de zin van de AVG worden
beschouwd. Hoewel verweerder 2 aanvoert dat hij geen kennis heeft genomen van de bijlagen bij
de betreffende e-mail en er dus geen raadpleging plaatsvond, geeft hij wel toe dat hij de e-mail
heeft overgemaakt aan zijn raadsman waardoor het aldus onmiskenbaar vaststaat dat verweerder
2 persoonsgegevens heeft verstrekt door middel van doorzending in de zin van artikel 4. 2) AVG
en moet verweerder 2 voor wat betreft dit aspect, bestaande uit het doorzenden van de e-mail
met bijlagen die persoonsgegevens omtrent de klager bevatten, als
verwerkingsverantwoordelijke14 in de zin van artikel 4. 7) AVG worden aangemerkt, omdat hij het
doel en de middelen van deze doorzending bepaalt. Hij kan zichzelf niet eenvoudigweg
bestempelen als ontvanger 15 van de e-mail in de zin van artikel 4. 9) AVG, vermits verweerder 2
zich niet heeft beperkt tot de ontvangst van de e-mail, maar doordat hij deze op zijn beurt heeft
doorgezonden, heeft hij zichzelf voor wat betreft die doorzending tot
verwerkingsverantwoordelijke gemaakt. Door die handeling heeft hij de ontvangen
persoonsgegevens immers voor een eigen doeleinde 16 aangewend. Gelet op zijn hoedanigheid van
verwerkingsverantwoordelijke met betrekking tot de doorgifte, kan verweerder 2 evenmin, en dit
in tegenstelling tot wat hij aanvoert, als derde 17 worden beschouwd in de zin van artikel 4. 10)
13
Art. 4. AVG
Voor de toepassing van deze verordening wordt verstaan onder:
[…]
2) „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van
persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen,
structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending,
verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van
gegevens;
14
Art. 4. AVG
Voor de toepassing van deze verordening wordt verstaan onder:
[…]
7) „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander
orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt;
wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden
vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt
aangewezen;
15
Art. 4. AVG
Voor de toepassing van deze verordening wordt verstaan onder:
[…]
9) „ontvanger”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet
een derde, aan wie/waaraan de persoonsgegevens worden verstrekt. […]
16
Guidelines of the European Data Protection Board 07/2020 on the concepts of controller and processor in the GDPR (p. 29):
“A third party recipient shall be considered a controller for any processing that it carries out for its own purpose(s) after it
receives the data.”
17 17
Art. 4. AVG
Beslissing ten gronde 07 /2021 - 20/25
AVG. Zijn verklaring dat hij na de doorzending de e-mail met bijlagen heeft gewist, doet hieraan
geen afbreuk.
57. De Geschillenkamer merkt volledigheidshalve op dat verweerder 2 niet het bewijs levert dat zijn
raadsman eveneens is overgegaan tot wissing van de e-mail met bijlagen, aangezien artikel 19
AVG de verplichting inhoudt voor de verwerkingsverantwoordelijke om iedere ontvanger aan wie
persoonsgegevens zijn verstrekt, in kennis te stellen van elke wissing van persoonsgegevens
overeenkomstig artikel 17 AVG, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt.
Op basis hiervan had verweerder 2 ook om de wissing van de betreffende e-mail moeten
verzoeken ten aanzien van zijn raadsman in zijn hoedanigheid van ontvanger van de door
verweerder 2 doorgestuurde e-mail.
58. Hieraan voegt de Geschillenkamer ook toe dat aangaande de stelling van de klager dat verweerder
2 gezamenlijk verwerkingsverantwoordelijke is met verweerder 1, zij van oordeel is dat geen enkel
stuk van het dossier deze bewering aantoont. De klager baseert deze bewering immers enkel op
een mondelinge verklaring die zou zijn gedaan door verweerder 1 tijdens de laatste vergadering
die de klager had met verweerder 1. Er zou toen zijn verklaard dat verweerder 2 aan verweerder
1 had opgedragen om geen enkel document aan de klager te bezorgen zonder dat hij daarvan op
de hoogte werd gesteld. Voor deze eenzijdige bewering van de klager wordt geen enkel bewijs
aangebracht, zodat er voor de Geschillenkamer dan ook geen reden is om aan te nemen dat beide
verweerders als gezamenlijke verwerkingsverantwoordelijken optraden.
b. Ontvankelijkheid van de klacht
59. Hoewel verweerder 2 ontkracht dat er van enige gegevensverwerking in zijnen hoofde sprake zou
zijn, blijkt uit het bovenstaande dat op basis van de feitelijke elementen de Geschillenkamer heeft
vastgesteld dat verweerder 2 als verwerkingsverantwoordelijke voor de doorzending van de e-
mail aan zijn raadsman moet worden beschouwd.
60. De klager argumenteert in de conclusie van repliek dat de doorzending van de e-mail door
verweerder 2 aan diens raadsman een verwerking is waarvoor verweerder 2 de
verwerkingsverantwoordelijke is en stelt dat het verwijt niet is dat verweerder 2 de gegevens van
Voor de toepassing van deze verordening wordt verstaan onder:
[…]
10) „derde”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, niet zijnde de
betrokkene, noch de verwerkingsverantwoordelijke, noch de verwerker, noch de personen die onder rechtstreeks gezag van de
verwerkingsverantwoordelijke of de verwerker gemachtigd zijn om de persoonsgegevens te verwerken;
Beslissing ten gronde 07 /2021 - 21/25
de klager heeft doorgestuurd naar zijn advocaat, maar wel dat verweerder 2 die gegevens, hem
gestuurd in strijd met de AVG, vervolgens gebruikt als stuk in het geschil tegen de klager.
61. Dit laatste, zijnde dat ‘het verwijt niet is dat verweerder 2 de gegevens van de klager heeft
doorgestuurd naar zijn advocaat, maar wel dat verweerder 2 die gegevens, hem gestuurd in strijd
met de AVG, vervolgens gebruikt als stuk in het geschil tegen de klager’ wordt door verweerder 2
aangegrepen om te stellen dat de klacht onontvankelijk moet worden verklaard.
62. Doordat de klager in de conclusie van repliek voorhoudt dat ‘het gebruik door verweerder 2 van
de e-mail tegen de klager’ het probleem vormt en niet louter op zich ‘het doorsturen door
verweerder 2 van die e-mail aan zijn raadsman’, zoals in de klacht geformuleerd, meent
verweerder 2 te kunnen stellen dat de klager in de conclusie van repliek ineens een geheel nieuwe
vordering/schending ontwikkelt. In die optiek zou de klacht niet voldoen aan de vereiste van artikel
60, lid 2 WOG waarin is opgenomen dat een klacht ontvankelijk is wanneer deze een uiteenzetting
van de feiten bevat, alsook de nodige indicaties voor de identificatie van de verwerking waarop zij
betrekking heeft. Doordat de in de klacht aangevoerde schending van de AVG fundamenteel
verschillend zou zijn van deze uiteengezet in de conclusie van repliek van de klager, zou aan deze
vereiste niet zijn voldaan.
63. De Geschillenkamer merkt op dat reeds in de initiële klacht door de klager werd verwezen naar
stuk 7, hetwelk als bijlage werd gehecht aan de klacht. Dat stuk betreft precies een e-mail van de
raadsman van de klager dewelke is gericht aan de klager zelf teneinde deze laatste ervan op de
hoogte te stellen dat de door verweerder 2 doorgestuurde e-mail aan diens raadsman betreffende
persoonsgegevens van de klager ‘als stuk’ wordt meegedeeld door de raadsman van verweerder
2 aan de raadsman van de klager. De klager herhaalt dit feit met verwijzing naar hetzelfde stuk
in de conclusie van repliek. De problematiek dat de e-mail ‘als stuk’ wordt aangewend in een
hangende procedure tussen de klager en verweerder 2 is aldus niet nieuw zoals verweerder 2
tracht te laten uitschijnen. De Geschillenkamer besluit dan ook dat artikel 60, lid 2 WOG werd
gerespecteerd, de ontvankelijkheid van de klacht niet is aangetast en de rechten van verdediging
zijn gerespecteerd.18
c. Rechtmatigheid van de verwerking
64. Verweerder 2 stelt dat de enige handeling die hij heeft gepleegd, het doorsturen is van de e-mail
naar zijn raadsman en dat dit rechtmatig is gebeurd op basis van een specifieke rechtsgrond die
18
Zie ook het in punt 26 ten aanzien van verweerder 1 gestelde.
Beslissing ten gronde 07 /2021 - 22/25
advocaten toelaat informatie van hun cliënten te ontvangen. Daartoe verwijst hij naar artikel 237
van de Codex Deontologie voor de Advocaten en Advies 1/2010 over de begrippen “voor de
verwerking verantwoordelijke” en “verwerker” van de Groep Gegevensbescherming artikel 29,
goedgekeurd op 16 februari 201019, om te stellen dat een rechtsonderhorige informatie mag
bezorgen aan zijn/haar advocaat. Anders oordelen, zou volgens verweerder 2 tot gevolg hebben
dat er een verbod zou zijn op het doorgeven van informatie aan een raadsman in zoverre die
informatie betrekking heeft op persoonsgegevens.
65. De klager reageert hierop door te stellen dat verweerder 2, ten onrechte, aanvoert dat het zou
toegelaten zijn om in strijd met de AVG verkregen persoonsgegevens van een tegenpartij aan een
advocaat te bezorgen om deze op die manier tegen de tegenpartij te gebruiken. Dit is volgens de
klager volledig in strijd met de AVG. De klager stelt dat verweerder 2 haar persoonsgegevens via
e-mail heeft doorgestuurd naar zijn advocaat en heeft gebruikt in het geschil tegen haar zonder
zich te kunnen beroepen op één van de in artikel 6.1 AVG bepaalde rechtsgronden.
66. De Geschillenkamer stelt vast dat verweerder 2 voorbij gaat aan het feit dat hij in het bezit is
gekomen van de e-mail door toedoen van verweerder 1 die hem deze heeft doorgestuurd zonder
dat daartoe enige rechtsgrond aanwezig was (zie hierboven). De doorzending door verweerder 1
aan verweerder 2 was aldus aangetast door een gebrek aan rechtmatigheid. Het is duidelijk dat
verweerder 2 – in zijn hoedanigheid van ontvanger – deze onrechtmatig verkregen
persoonsgegevens, niet op zijn beurt mag gebruiken – ditmaal in de hoedanigheid van
verwerkingsverantwoordelijke – door deze door te sturen aan zijn advocaat om deze e-mail met
persoonsgegevens van de klager vervolgens aan te wenden als stuk in een hangende procedure.
67. Een verwerking van persoonsgegevens is immers slechts rechtmatig indien daartoe een
rechtsgrond bestaat. De Geschillenkamer kan niet anders dan vaststellen dat er geen enkele
rechtsgrond zoals bepaald in artikel 6.1. AVG de doorzending van de e-mail door verweerder 2
aan zijn raadsman rechtvaardigt. Verweerder 2 beroept zich ook op geen enkele rechtsgrond van
artikel 6.1. AVG en bevestigt in zijn conclusie van repliek uitdrukkelijk voor wat betreft het
gerechtvaardigd belang (artikel 6.1. f) AVG) dat hij deze rechtsgrond zelfs niet aanvoert.
Verweerder 2 beroept zich enkel op artikel 237 van de Codex Deontologie voor de Advocaten
waardoor wordt bevestigd dat vertrouwelijke mededelingen van de cliënt aan zijn advocaat
plaatsvinden, dewelke zijn gedekt door het beroepsgeheim. De Geschillenkamer erkent uiteraard
het principe dat een cliënt aan zijn advocaat vertrouwelijke mededelingen moet kunnen doen,
maar dit kan, in de mate dat het persoonsgegevens betreft, enkel op voorwaarde dat die
19
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_nl.pdf
Beslissing ten gronde 07 /2021 - 23/25
persoonsgegevens worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig
is (artikel 5.1 a) AVG en artikel 6.1. AVG). Nu blijkt echter in voorliggend geval dat de doorzending
aan de raadsman van verweerder 2 plaatsvond met miskenning van het rechtmatigheidsbeginsel
bij gebrek aan ook maar enige rechtsgrond zoals bepaald in artikel 6.1. AVG.
68. De Geschillenkamer is van oordeel dat het geheel van de uiteengezette elementen aantoont dat
verweerder 2 zich op geen enkele rechtsgrond kan beroepen waaruit de rechtmatigheid blijkt van
de gegevensverwerking zoals deze door hem werd opgezet. De Geschillenkamer besluit aldus dat
de inbreuk op artikel 5.1. a) AVG en artikel 6.1. AVG is bewezen.
69. Naast de schending van het rechtmatigheidsbeginsel, werpt de klager op dat ook het
transparantiebeginsel (artikel 5.1. a), artikel 12 en artikel 14 AVG) en het doelbindingbeginsel
(artikel 5.1. b) AVG) door verweerder 2 zouden zijn geschonden.
70. Aangaande het doelbindingsbeginsel vestigt de Geschillenkamer er de aandacht op dat dit beginsel
vereist dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde
doeleinden worden ‘verzameld’20. Van enige verzameling voor een uitdrukkelijk omschreven en
gerechtvaardigd doeleinde van de persoonsgegevens van de klager door verweerder 2 is evenwel
geen sprake. Hij heeft de e-mail met persoonsgegevens louter ontvangen zonder dat dit op enige
rechtsgrond kon worden gesteund. Doordat hij die gegevens na de ontvangst doorstuurde aan
zijn raadsman, en dit eveneens zonder enige rechtsgrond, om als stuk te gebruiken, eigende
verweerder 2 zich de hoedanigheid toe van verwerkingsverantwoordelijke, waardoor hij in principe
alle toepasselijke bepalingen van de AVG diende te respecteren waaronder het
doelbindingsbeginsel en het transparantiebeginsel.
71. Beide beginselen konden eenvoudigweg niet worden toegepast doordat de verwerking door
verweerder 2 fundamenteel is aangetast door een gebrek aan rechtsgrond, zodat de
Geschillenkamer geen inbreuk op het transparantiebeginsel (artikel 5.1. a), artikel 12 en artikel 14
AVG) en het doelbindingbeginsel (artikel 5.1. b) AVG) kan vaststellen. Doordat de doorzending
door verweerder 1 aan verweerder 2 ab initio onrechtmatig is, is elke verwerking door verweerder
2 voor enig eigen doeleinde eveneens onrechtmatig. Voor wat betreft het transparantiebeginsel
voegt de Geschillenkamer toe dat zelfs indien verweerder 2 het beginsel van transparantie had
20
Artikel 5.1. Persoonsgegevens moeten:
[…]
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet
verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in
het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid
1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”);
Beslissing ten gronde 07 /2021 - 24/25
getracht te respecteren, de doorzending aan zijn advocaat en het gebruik dat ervan wordt
gemaakt niettemin onrechtmatig blijft.
72. Rekening houdend met het feit dat verweerder 2 stelt dat de e-mail met bijlagen onmiddellijk op
eerste verzoek werd gewist, alsmede dat de inbreuk slechts voor een eerste keer werd begaan, is
de Geschillenkamer van oordeel dat het passend is om de verweerder 2 hiervoor te bevelen om
de verwerking van de betreffende e-mail met bijlagen definitief te verbieden (art. 100, §1, 8°
WOG), alsook de kennisgeving te bevelen van dit definitief verbod aan zijn raadsman (artikel 100,
§1, 10° WOG) zowel voor de verwerkingen van de e-mail met bijlagen die reeds plaatsvonden als
voor deze in de toekomst.
73. Bij de bepaling van deze sancties neemt de Geschillenkamer ook in aanmerking dat de klacht
kadert binnen een ruimer conflict tussen de partijen die het voorwerp uitmaakt van een
arbitrageprocedure omtrent financiële zaken en de weigering tot overhandiging van
boekhoudkundige en andere documenten in het kader van de vereffening van de maatschap
waarin de notarisactiviteit werd uitgeoefend door de klager en verweerder 2, waaromtrent de
Geschillenkamer opmerkt dat het niet tot de taak van de Gegevensbeschermingsautoriteit behoort
om daarin tussen te komen voor wat betreft de aspecten die geen betrekking hebben op de
verwerking van persoonsgegevens. De Geschillenkamer besluit dan ook dat, in de concrete
feitelijke omstandigheden van deze zaak, de opgelegde sancties volstaan. Gelet op deze
omstandigheden ziet de Geschillenkamer af van het opleggen van een administratieve geldboete.
D. Geen beslissing tot seponering
74. Hoewel de Geschillenkamer in het kader van de procedure voorafgaand aan de beslissing ten
gronde is overgegaan tot het seponeren van de klacht, is in de procedure ten gronde op basis van
de omstandige uiteenzetting van de feitelijke elementen in de conclusies van elk van de partijen,
gebleken dat er zich inbreuken hebben voorgedaan op fundamentele beginselen inzake verwerking
van persoonsgegevens. Hierdoor is de Geschillenkamer van oordeel dat een beslissing ten gronde
strekkende tot seponering van de klacht niet in overeenstemming is te brengen met de
vastgestelde inbreuken, maar dat daarentegen moet worden overgegaan tot de hierna bepaalde
sancties.
E. Publicatie van de beslissing
75. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de GBA. Het is evenwel
Beslissing ten gronde 07 /2021 - 25/25
niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden
bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
ten aanzien van de verweerder 1, op grond van op grond van artikel 100, §1, 5° WOG, een
berisping te formuleren ingevolge de inbreuk op artikel 5.1 b) juncto artikel 6.4. AVG, op
artikel 5.1 a) juncto artikel 6.1. AVG en op artikel 5.1 c) AVG.
ten aanzien van verweerder 2 ingevolge de inbreuk op artikel 5.1. a) AVG en artikel 6.1.
AVG:
- op grond van artikel 100, §1, 8° WOG, te bevelen om de verwerking van de betreffende e-mail
met bijlagen definitief te verbieden;
- op grond van artikel 100, §1, 10° WOG, de kennisgeving te bevelen van dit definitief
verbod aan zijn raadsman zowel voor de verwerkingen van de e-mail met bijlagen die reeds
plaatsvonden als voor de verwerking ervan in de toekomst.
Tegen deze beslissing kan op grond van artikel 108, §1 WOG, beroep worden aangetekend binnen
een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
Hielke Hijmans
Voorzitter van de Geschillenkamer